Die kurze Fassung Die BAIT gelten seit dem 17. Januar 2025 nur noch für eine Restgruppe, und zwar übergangsweise. Diese Übergangsfrist endet am 31. Dezember 2026. Ab dem 1. Januar 2027 gibt es die BAIT nicht mehr, weder in abgeschwächter Form noch als Auslegungshilfe.
Wen es trifft
Die BaFin nennt in ihren Fragen und Antworten zu DORA vier Gruppen, für die die BAIT übergangsweise weitergalten und die ab dem 1. Januar 2027 nach Artikel 16 DORA arbeiten müssen:
- Bürgschaftsbanken
- Drittstaatenzweigstellen (Zweigstellen nach § 53 KWG)
- Finanzdienstleistungsinstitute (insbesondere Finanzierungsleasing, Factoring und Kryptowertpapierregisterführung)
- Wohnungsunternehmen mit Spareinrichtung
Die BaFin beaufsichtigt 372 Finanzdienstleistungsinstitute, davon 339 aus Finanzierungsleasing und Factoring (Jahresbericht 2025). Das ist der größte Teil dieser Gruppe. Es sind überwiegend Häuser mit deutlich weniger Personal als eine Bank vergleichbarer Bilanzsumme.
Diese vier Gruppen sind ein Teil eines größeren Kreises. In ihrer Aufsichtsmitteilung vom 21. August 2025 beziffert die BaFin die Häuser unter dem vereinfachten Rahmen auf etwa 1.100: kleine Wertpapierinstitute, kleine Einrichtungen der betrieblichen Altersversorgung, Versicherungsholdings und die Institute außerhalb der CRR. Der Unterschied liegt im Zeitpunkt: Versicherungsholdings wenden Artikel 16 seit Anfang 2025 an. Nur für die Häuser, die bis zum 31. Dezember 2026 nach den BAIT arbeiten durften (die vier Gruppen oben), beginnt es am 1. Januar 2027.
Wenn Sie nicht sicher sind, zu welcher der beiden Gruppen Ihr Haus gehört: Die Frage entscheidet nicht darüber, ob Artikel 16 für Sie gilt, sondern nur darüber, seit wann. Wer zur ersten Gruppe gehört und noch nichts getan hat, ist nicht im Vorlauf, sondern im Rückstand.
Eine Gruppe, die nicht betroffen ist und das oft nicht weiß Finanzholdinggesellschaften und ähnliche Einheiten fallen überhaupt nicht unter DORA. Für sie enden die BAIT ebenfalls, ohne dass Artikel 16 an ihre Stelle träte. Das heißt nicht, dass dort kein IT-Risikomanagement nötig wäre; die allgemeinen Anforderungen der MaRisk und des Gesellschaftsrechts bleiben. Es heißt nur, dass die Frage anders zu beantworten ist als bei den vier Gruppen oben. Prüfen Sie zuerst, in welche Kategorie Ihr Haus fällt, bevor Sie anfangen zu arbeiten.
Die europäische Seite derselben Frage
Artikel 16 Absatz 1 DORA beschreibt die Adressaten nicht nach deutschen Kategorien, sondern nach europäischen: kleine und nicht verflochtene Wertpapierfirmen, ausgenommene Zahlungsinstitute, ausgenommene Institute nach der Eigenkapitalrichtlinie, ausgenommene E-Geld-Institute und kleine Einrichtungen der betrieblichen Altersversorgung.
Beide Listen beschreiben dieselbe Sache aus zwei Richtungen. Wenn Sie unsicher sind, ob Ihr Haus dazugehört, ist die BaFin-Liste der schnellere Weg: Sie ist auf die deutschen Institutstypen geschrieben.
„Vereinfacht“ heißt nicht „weniger wichtig“
Der Unterschied lässt sich an einer Zahl zeigen. Die Delegierte Verordnung (EU) 2024/1774 füllt beide Rahmen aus:
Titel II: der volle Rahmen
Artikel 2 bis 27, also 26 Artikel in fünf Kapiteln: IKT-Sicherheitsrichtlinien, Asset-Management, Verschlüsselung und Schlüsselverwaltung, Kapazitätsmanagement, Schwachstellen- und Patch-Management, Netzwerksicherheit, Projektmanagement, Änderungsmanagement, physische Sicherheit, Personalpolitik, Identitätsmanagement, Zugangskontrolle, Vorfallsbehandlung, Geschäftsfortführung, Überprüfungsbericht.
Titel III: der vereinfachte Rahmen
Artikel 28 bis 41, also 14 Artikel in vier Kapiteln: Governance und Organisation, Informationssicherheitsleitlinien, Klassifizierung der Assets, IKT-Risikomanagement, physische Sicherheit, Zugangskontrolle, Betriebssicherheit, Daten- und Netzwerksicherheit, Sicherheitstests, Beschaffung und Wartung, Projekt- und Änderungsmanagement, Geschäftsfortführung, Testen der Pläne, Überprüfungsbericht.
Vierzehn statt sechsundzwanzig. Die Themen sind weitgehend dieselben, nur weniger kleinteilig ausgeführt. Was wegfällt, ist die Detailtiefe, nicht der Gegenstand. Ein Haus, das keine kryptografische Schlüsselverwaltungsrichtlinie nach Artikel 7 braucht, muss trotzdem sagen können, wie es seine Daten schützt.
Die acht Grundpflichten aus Artikel 16 Absatz 1
Über der Delegierten Verordnung steht der Artikel selbst, und der ist kurz genug, um ihn einmal ganz zu lesen. Er verlangt acht Dinge:
Tabelle seitlich wischbar
| Buchst. | Pflicht | Was das praktisch heißt |
|---|---|---|
| a | Ein solider und dokumentierter IKT-Risikomanagementrahmen mit Mechanismen und Schutzmaßnahmen | Das Wort „dokumentiert“ ist der Arbeitsauftrag. Was nur gelebt, aber nicht aufgeschrieben ist, zählt nicht. |
| b | Fortlaufende Überwachung von Sicherheit und Funktionieren aller IKT-Systeme | Nicht jährlich, sondern fortlaufend. Wer nur einmal im Jahr hinsieht, erfüllt den Buchstaben nicht. |
| c | Resiliente und aktualisierte Systeme, Protokolle und Tools; Schutz von Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit | „Aktualisiert“ heißt Patch- und Lebenszyklusmanagement. Altsysteme ohne Herstellerunterstützung sind hier das häufigste Thema. |
| d | Rasche Ermittlung von IKT-Risiken und Aufdeckung von Anomalien | Protokollierung und Auswertung. Wer Protokolle schreibt, sie aber nicht auswertet, deckt nichts auf. |
| e | Identifizierung wesentlicher Abhängigkeiten von IKT-Drittdienstleistern | Der Anknüpfungspunkt zum Drittparteienrisiko. Wer sein Informationsregister gepflegt hat, ist hier fast fertig. |
| f | Geschäftskontinuität durch Pläne, Wiederherstellungsmaßnahmen, Sicherung und Wiedergewinnung | Und zwar getestet. Artikel 40 der Delegierten Verordnung verlangt das Testen ausdrücklich. |
| g | Regelmäßiges Testen der Pläne und Maßnahmen nach Buchstabe f sowie der Wirksamkeit der Kontrollen nach den Buchstaben a und c | Zu testen ist zweierlei: ob der Notfallplan trägt und ob die Schutzmaßnahmen wirken. Der zweite Teil wird fast immer vergessen. |
| h | Die Erkenntnisse aus Tests und aus der Analyse nach einem Vorfall in die IKT-Risikobewertung einbeziehen; Sensibilisierung und Schulung für Personal und Management | Ein Test, dessen Ergebnis die Risikobewertung nicht verändert, war eine Übung ohne Folgen. Das Management ist ausdrücklich mitgemeint, nicht nur die IT. |
Was Sie aus den BAIT weiterverwenden können
Das ist der Teil, den ich in keiner Veröffentlichung gefunden habe, und derjenige, der die meiste Arbeit spart. Sie fangen nicht bei null an. Die folgende Zuordnung ist meine fachliche Einschätzung aus der Umsetzungspraxis, keine amtliche Übersetzungstabelle; eine solche gibt es nicht.
Tabelle seitlich wischbar
| Ihr BAIT-Kapitel | Findet sich wieder in | Was zu tun ist |
|---|---|---|
| IT-Strategie | Art. 28: Governance und Organisation | Weitgehend übernehmbar. Ergänzen: ausdrückliche Rolle und Verantwortung des Leitungsorgans für den IKT-Rahmen. |
| IT-Governance | Art. 28 | Weitgehend übernehmbar. Die Funktionstrennung zwischen erster und zweiter Verteidigungslinie muss erkennbar sein. |
| Informationsrisikomanagement | Art. 30: Klassifizierung der Assets Art. 31: IKT-Risikomanagement |
Gute Grundlage. Der Schutzbedarf ist bereits da; neu ist die ausdrückliche Verknüpfung mit den Abhängigkeiten von Drittdienstleistern. |
| Informationssicherheitsmanagement | Art. 29: Informationssicherheitsleitlinien | Übernehmbar. Die Leitlinie braucht eine dokumentierte Genehmigung und einen Überprüfungsturnus. |
| Operative Informationssicherheit | Art. 34: Betriebssicherheit Art. 35: Daten-, System- und Netzwerksicherheit Art. 36: Sicherheitstests |
Teilweise. Die Sicherheitstests nach Art. 36 sind ausdrücklicher gefasst als in den BAIT; hier ist meist nachzuarbeiten. |
| Identitäts- und Rechtemanagement | Art. 33: Zugangskontrolle | Übernehmbar. Achten Sie auf die Rezertifizierung: Berechtigungen müssen regelmäßig überprüft werden, und diese Überprüfung muss nachweisbar sein. |
| IT-Projekte, Anwendungsentwicklung | Art. 37: Beschaffung, Entwicklung, Wartung Art. 38: Projekt- und Änderungsmanagement |
Übernehmbar. |
| IT-Betrieb | Art. 34 | Übernehmbar. Kapazitäts- und Lebenszyklusthemen sind weiter zu führen. |
| Auslagerungen und sonstiger Fremdbezug | Nicht Art. 16, sondern Art. 28–30 DORA | Achtung, eigener Strang. Das Drittparteienrisiko steckt nicht im vereinfachten Rahmen. Es gilt für Sie nach den allgemeinen Artikeln; dazu gehört auch das Informationsregister. |
| IT-Notfallmanagement | Art. 39: Geschäftsfortführungsplan Art. 40: Testen der Pläne |
Teilweise. Das Testen ist der Punkt, an dem es in der Praxis hakt: Pläne gibt es, Testnachweise selten. |
| Kundenbeziehungen (Zahlungsdienste) | keine unmittelbare Entsprechung | Geht in den allgemeinen Sicherheitsanforderungen auf. |
Der Punkt, der am häufigsten übersehen wird Das Drittparteienrisiko liegt nicht im vereinfachten Rahmen. Artikel 16 nennt in Buchstabe e nur die Identifizierung wesentlicher Abhängigkeiten. Die eigentlichen Pflichten (Vorabbewertung nach Art. 28 Abs. 4, Vertragsinhalte nach Art. 30, Informationsregister nach Art. 28 Abs. 3, Ausstiegspläne nach Art. 28 Abs. 8) gelten daneben und in vollem Umfang. Wer den vereinfachten Rahmen als „DORA light“ versteht, plant genau diesen Teil nicht ein. Und es ist der aufwendigste.
Was neu zu schreiben ist
Aus meiner Erfahrung mit Häusern dieser Größe sind es regelmäßig dieselben sechs Dinge. Keines davon ist aufwendig; sie fehlen nur, weil die BAIT sie nicht in dieser Form verlangt haben.
-
Die schriftlich fixierte Ordnung zum IKT-Rahmen
Ein Dokument, das den Rahmen als Ganzes beschreibt und die anderen Unterlagen einordnet. Das ist kein Verwaltungsakt, sondern eine Arbeitshilfe. Ein Prüfer, der wissen will, ob es einen Rahmen gibt, sucht genau dieses eine Dokument und findet sonst zwölf Einzelrichtlinien ohne Klammer.
-
Die Verantwortung des Leitungsorgans, ausdrücklich
Wer genehmigt den Rahmen, wer überwacht seine Umsetzung, wie oft wird berichtet. Artikel 28 der Delegierten Verordnung will das sehen. In den BAIT stand es verstreut, hier gehört es an eine Stelle.
-
Das Berechtigungskonzept samt Rezertifizierung
Konzepte gibt es fast immer. Was fehlt, ist der Nachweis der turnusmäßigen Überprüfung: wer hat wann welche Berechtigung bestätigt oder entzogen. Ohne diesen Nachweis ist das Konzept eine Absichtserklärung.
-
Testnachweise für die Geschäftsfortführung
Artikel 40 verlangt das Testen der Pläne. Gemeint ist nicht zwingend eine Vollübung; ein dokumentierter Wiederherstellungstest einer Sicherung mit Datum, Ergebnis und Verantwortlichem deckt schon einen großen Teil der Anforderung ab. Dokumentiert ist das Stichwort.
-
Der Überprüfungsbericht nach Artikel 41
Der vereinfachte Rahmen verlangt eine regelmäßige Überprüfung und einen Bericht darüber, in Format und Inhalt nach Artikel 41. Das ist ein eigenes Dokument, kein Absatz im Jahresbericht.
-
Die Verbindung zum Drittparteienrisiko
Buchstabe e verlangt die Identifizierung wesentlicher Abhängigkeiten. Praktisch heißt das: Ihre Liste der IKT-Dienstleister und Ihre Liste der IKT-Assets müssen sich aufeinander beziehen lassen. Wenn ein Dienstleister ausfällt, muss ablesbar sein, welche Systeme und welche Funktionen betroffen sind.
Ein realistischer Zeitplan
Es sind noch gut drei Monate. Das reicht, wenn man nicht bei null anfängt. Und das tun Sie nicht.
Tabelle seitlich wischbar
| Bis wann | Was |
|---|---|
| Oktober | Betroffenheit klären (fallen Sie unter Art. 16 oder gar nicht unter DORA?). Vorhandene BAIT-Unterlagen sichten und der Tabelle oben zuordnen. Ergebnis: eine Liste dessen, was fehlt. |
| November | Die sechs fehlenden Dokumente schreiben. Parallel den Stand beim Drittparteienrisiko prüfen; das ist der Teil, der eigene Zeit braucht. |
| Dezember | Genehmigung durch das Leitungsorgan, dokumentiert. Ein Wiederherstellungstest mit Protokoll. Der Rahmen gilt ab dem 1. Januar. |
| Erstes Quartal 2027 | Ersten Überprüfungsbericht nach Art. 41 planen, nicht schon schreiben. Und: das Informationsregister mit Stand 31.12.2026 einreichen. Der Termin gilt unabhängig davon. |
Wenn die Zeit nicht reicht Dann ist die beste Reihenfolge: erst das, was ein Prüfer zuerst sieht, nämlich der dokumentierte Rahmen, die Genehmigung durch das Leitungsorgan und das Berechtigungskonzept mit Rezertifizierungsnachweis. Ein Haus, das diese drei hat und beim Rest ehrlich einen Umsetzungsplan mit Terminen vorlegt, steht deutlich besser da als eines, das an zwölf Stellen gleichzeitig angefangen und nichts fertiggestellt hat.
Stand: 28. September 2026 · Grundlagen:
Verordnung (EU) 2022/2554, insbesondere Artikel 16;
Delegierte Verordnung (EU) 2024/1774, Titel III (Artikel 28–41);
BaFin,
Fragen und Antworten zu DORA: für wen gelten die BAIT noch;
BaFin,
Aufsichtsmitteilung vom 21. August 2025: Hinweise zu Artikel 16 DORA;
BaFin, Themenseite
DORA.
Die Zuordnungstabelle BAIT → Artikel 16 ist eine fachliche Einschätzung aus der
Umsetzungspraxis und keine amtliche Übersetzung; eine solche gibt es nicht.
Diese Anleitung ist ein fachlicher Hinweis und keine Rechtsberatung. Prüfen Sie die
Betroffenheit Ihres Hauses im Einzelfall.
Diese Anleitung reicht, um den vereinfachten Rahmen selbst aufzubauen. Wer den Katalog, die Register und das Meldewesen lieber in einer Anwendung führt, findet unter Software zur Umsetzung, was ich dafür anbiete.