BAIT
Bankaufsichtliche Anforderungen an die IT
Banking Supervisory Requirements for IT (Germany)
Die BAIT sind ein BaFin-Rundschreiben, das auf Grundlage des § 25a KWG die aufsichtlichen Erwartungen an die IT-Organisation und Informationssicherheit von Banken konkretisiert. Sie waren über Jahre der maßgebliche nationale Maßstab für IT-Sicherheit im Bankensektor. Mit der EU-Verordnung DORA werden sie schrittweise abgelöst.
Historie & Fakten. Die BAIT (ursprünglich BaFin-Rundschreiben 10/2017) übersetzten abstrakte gesetzliche Anforderungen in prüfbare Erwartungen zu IT-Strategie, -Governance, Berechtigungsmanagement, Auslagerungen und Informationssicherheit. Mit Anwendung von DORA ab dem 17. Januar 2025 wurde der Anwenderkreis reduziert: Institute, die ein IKT-Risikomanagement nach DORA betreiben müssen, fallen nicht mehr unter die BAIT, und das Kapitel zu Zahlungsdienstnutzern entfiel.
Ausblick & Empfehlung. Die vollständige Aufhebung der BAIT ist mit Ablauf des 31. Dezember 2026 vorgesehen, abgestuft nach Anwendungsbereich der Institute und flankiert vom Finanzmarktdigitalisierungsgesetz. Auch wenn die BAIT formal auslaufen: Viele ihrer Anforderungen sind in DORA aufgegangen und bleiben als etablierte Praxis relevant. Wer seine Prozesse an BAIT ausgerichtet hat, besitzt für DORA eine gute Ausgangsbasis — eine Gap-Analyse zeigt die verbleibenden Lücken.