Wenn ein Aufseher ein Regelwerk zurückzieht, klingt das nach Entlastung. Im Fall der Bankaufsichtlichen Anforderungen an die IT ist das Gegenteil der Fall. Die BaFin lässt ihr Rundschreiben, das über Jahre den Rahmen für IT-Organisation und IT-Sicherheit der Institute vorgab, schrittweise auslaufen. Mit Ablauf des 31. Dezember 2026 werden die BAIT vollständig aufgehoben. An ihre Stelle tritt kein leichteres, sondern ein strengeres und europaweit einheitliches Regime: der Digital Operational Resilience Act, kurz DORA.
Der Übergang läuft bereits seit anderthalb Jahren. DORA wird seit dem 17. Januar 2025 unmittelbar angewendet; als EU-Verordnung gilt sie in jedem Mitgliedstaat direkt, ohne nationalen Umsetzungsakt. Um eine Doppelregulierung zu vermeiden, hat die BaFin ihre nationalen IT-Rundschreiben parallel zurückgezogen. Die aufsichtlichen Anforderungen an die IT für Zahlungsdienstleister (ZAIT), Versicherer (VAIT) und Kapitalverwaltungsgesellschaften (KAIT) hob die Behörde bereits mit Ablauf des 16. Januar 2025 auf. Die betroffenen Häuser richten sich seither allein nach DORA.
Bei den BAIT wählte die Aufsicht einen gestaffelten Weg. Institute, die seit dem 17. Januar 2025 ein IKT-Risikomanagement nach den Artikeln 5 bis 15 oder Artikel 16 der DORA-Verordnung vorhalten müssen, sind von diesem Tag an aus dem Anwenderkreis der BAIT ausgenommen; zugleich fiel Kapitel 11 des Rundschreibens weg. Für eine kleinere Übergangsgruppe, etwa Leasing- und Factoringunternehmen, die noch nicht der DORA unterliegen, blieben die BAIT vorerst maßgeblich. Erst das Finanzmarktdigitalisierungsgesetz (FinmadiG) zieht diese Häuser zum 1. Januar 2027 in den DORA-Anwendungsbereich. Deshalb endet die BAIT endgültig mit dem Jahreswechsel 2026 auf 2027.
Wer darin einen Rückzug des Staates aus der IT-Aufsicht liest, missversteht die Mechanik. Die BAIT stützten sich auf Paragraf 25a Absatz 1 des Kreditwesengesetzes, ein national gefärbtes, prinzipienbasiertes Rundschreiben mit Ermessensspielräumen. DORA ist unmittelbar geltendes EU-Recht mit konkreten, sanktionsbewehrten Pflichten und einer europäischen Aufsichtsklammer. Der Wechsel bedeutet weniger Auslegungsraum, nicht mehr.
Das zeigt sich an den Pflichten, die im zweiten Halbjahr 2026 für kleinere und mittlere Institute (LSIs) gelten. DORA verlangt ein dokumentiertes IKT-Risikomanagementrahmenwerk, das über die frühere BAIT-Logik hinausgeht. Schwerwiegende IKT-Vorfälle sind nach festen Schwellen und Fristen zu melden, und zwar gestuft: eine Erstmeldung kurz nach Feststellung, eine Zwischenmeldung mit dem Stand der Bewältigung und ein Abschlussbericht mit Ursachenanalyse. Die BaFin fungiert dabei als zentrale nationale Meldestelle, die Informationen an Bundesbank, EZB und die europäischen Aufsichtsbehörden weiterreicht. Wer eine Störung zu spät oder unvollständig anzeigt, riskiert nicht mehr nur eine Feststellung im Prüfbericht, sondern einen dokumentierten Verstoß gegen unmittelbar geltendes Verordnungsrecht. Die frühere BAIT-Welt kannte eine Meldepflicht in dieser Verbindlichkeit und Taktung nicht.
Hinzu kommt das Informationsregister: Jedes Institut muss sämtliche vertraglichen Vereinbarungen über die Nutzung von IKT-Drittdienstleistern erfassen und der Aufsicht in standardisierter Form vorlegen. Was früher als interne Auslagerungsdokumentation genügte, ist heute ein prüfbares, maschinenlesbares Register, das die Aufsicht auch für die Analyse branchenweiter Abhängigkeiten nutzt. Schon 2025 mussten die Institute diese Register erstmals einreichen, und der Aufwand traf viele Häuser härter als erwartet: Verträge mit Cloud-, Software- und Rechenzentrumsdienstleistern waren oft nicht in der geforderten Granularität erfasst und mussten nachdokumentiert, teils neu verhandelt werden. Wer die BAIT-Auslagerungssteuerung nur formal betrieben hatte, spürte den Unterschied hier zuerst.
Der vielleicht schärfste Bruch liegt beim Testen. DORA schreibt bedrohungsgeleitete Penetrationstests (Threat-Led Penetration Testing, TLPT) vor, sobald ein Institut bestimmte Größen- und Systemrelevanzschwellen überschreitet. Solche Angriffssimulationen unter realen Bedingungen kannte die BAIT in dieser Verbindlichkeit nicht. Für die meisten LSIs greift diese Pflicht zwar nicht unmittelbar, doch die Schwellenlogik verschiebt die Erwartung: Belastbarkeit muss nachgewiesen, nicht nur behauptet werden.
Neu ist auch die Perspektive auf Konzentrationsrisiken. Über das nationale Aufsichtsrecht hinaus etabliert DORA eine europaweite Überwachung kritischer IKT-Drittdienstleister. Wenn ein einzelner Cloud- oder Rechenzentrumsanbieter für einen Großteil der Branche unverzichtbar wird, entsteht ein Klumpenrisiko, das keine einzelne nationale Aufsicht allein einhegen kann. Genau hier setzt der europäische Überwachungsrahmen an, den die BAIT nie leisten konnten. Als kritisch eingestufte Anbieter unterliegen einer eigenen Aufsicht durch federführende Überwacher auf EU-Ebene, deren Empfehlungen bis in die Vertragsgestaltung der einzelnen Institute zurückwirken.
Für die deutschen Institute bedeutet der Jahreswechsel 2026 auf 2027 damit weniger einen Endpunkt als eine Angleichung. Die vertraute nationale Terminologie verschwindet, die Substanz der Anforderungen bleibt und wächst. Häuser, die ihre BAIT-Prozesse ernst genommen haben, finden vieles wieder: Governance, Auslagerungssteuerung, Notfallmanagement. Doch die Messlatte liegt höher, die Fristen sind knapper, und die Aufsicht schaut mit europäischem Blick auf Vorfälle und Abhängigkeiten.
Der stille Abschied der BAIT ist deshalb kein Deregulierungsmoment, sondern das Ende eines nationalen Sonderwegs. Die IT-Resilienz der Banken wird nicht länger in Frankfurt allein definiert, sondern in einem Regelwerk, das für Lissabon und Helsinki dasselbe verlangt. Für die Institute ist die eigentliche Arbeit damit nicht abgeschlossen, sondern verschoben: weg vom Erfüllen eines Rundschreibens, hin zum dauerhaften Nachweis operativer Widerstandsfähigkeit.
Discussion
Sign in to join the discussion.
No comments yet. Be the first to share your thoughts.