AnalyseRegulierung & Aufsicht2 Min. Lesezeit
BAIT endet am 31. Dezember 2026, DORA gilt seit Januar 2025
Die BaFin hebt die bankaufsichtlichen IT-Anforderungen (BAIT) zum 31. Dezember 2026 auf, meldet die Deutsche Bundesbank am 23. September 2026. DORA gilt seit dem 17. Januar 2025 unmittelbar.
Von Henrike Alsmann, Chefin vom Dienst, Regulierung & Aufsicht
Welche IT-Anforderungen gelten ab wann
Seit dem 17. Januar 2025 gilt die EU-Verordnung 2022/2554 (Digital Operational Resilience Act, DORA) unmittelbar für den gesamten Finanzsektor in Deutschland. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hebt die bankaufsichtlichen Anforderungen an die IT (BAIT) zum 31. Dezember 2026 auf, meldet die Deutsche Bundesbank am 23. September 2026. Bis dahin laufen DORA und BAIT parallel.
Die BaFin hat die zahlungsdiensteaufsichtlichen, versicherungsaufsichtlichen und kapitalverwaltungsaufsichtlichen Anforderungen (ZAIT, VAIT und KAIT) bereits zum 16. Januar 2025 aufgehoben. Für Finanzdienstleistungsinstitute gilt DORA ab dem 1. Januar 2027, Förderinstitute unterliegen der Verordnung seit dem 17. Januar 2025. Das Finanzmarktdigitalisierungsgesetz (FinmadiG) vom Dezember 2024 hat diese Nicht-CRR-Institute nachträglich unter DORA gestellt.
Was DORA von BAIT unterscheidet
DORA regelt IKT-Risikomanagement, die Meldung schwerwiegender IKT-Vorfälle, das Testen digitaler Resilienz und das IKT-Drittparteienrisikomanagement. BAIT gibt auf Grundlage des § 25a Absatz 1 Kreditwesengesetz (KWG) einen Rahmen für IT-Ressourcenmanagement, IT-Risikomanagement und IT-Sicherheitsmanagement vor. Die Verordnung ist in der Fassung vom 16. Dezember 2024 veröffentlicht.
Die BaFin hat in einer Aufsichtsmitteilung vom 9. Oktober 2024, geändert am 2. Mai 2025, Unterschiede zwischen DORA und BAIT sowie VAIT benannt. Die Hinweise stammen aus mehr als 30 Sitzungen von sechs Arbeitsgruppen mit Industrie, Bundesbank und BaFin. DORA wird durch acht Delegierte Verordnungen, zwei Durchführungsverordnungen, zwei Delegierte Akte und zwei Richtlinien ergänzt.
Übergangsfrist bis Ende 2026
Institute, die bisher BAIT unterlagen, müssen bis zum 31. Dezember 2026 auf DORA umstellen. In dieser Zeit gelten beide Regelwerke parallel. Die BaFin hat ZAIT, VAIT und KAIT einen Tag vor Inkrafttreten von DORA aufgehoben, BAIT läuft noch gut drei Monate.
Was das für Berater heißt
Mandanten, die unter das Kreditwesengesetz fallen, müssen bis Ende 2026 prüfen, ob ihre IT-Prozesse DORA erfüllen. Wer BAIT bereits umsetzt, hat einen Teil der Arbeit erledigt, muss aber IKT-Drittparteienrisikomanagement und Vorfallmeldung nach DORA-Standard nachrüsten. Finanzdienstleistungsinstitute haben bis zum 1. Januar 2027 Zeit. Die BaFin-Aufsichtsmitteilung vom Oktober 2024 ist die verbindliche Auslegungshilfe.