BAIT Auslagerung & Cloud-Outsourcing: Kapitel 9 Anforderungen für Banken

Kreditinstitute müssen nach BAIT Kapitel 9 ein vollständiges IT-Notfallkonzept vorhalten — von der Business Impact Analyse über definierte RTO/RPO-Werte bis zu jährlichen Notfallübungen. Mit dem DORA-Übergang ab 2025 steigen die Anforderungen weiter: kürzere Meldefristen, strengeres ICT-Risikomanagement und EU-weite Harmonisierung. Wir unterstützen Sie beim Aufbau eines BAIT-konformen IT Service Continuity Managements (ITSCM), das nahtlos in Ihr Übergreifendes BCM nach MaRisk AT 7.3 integriert wird — und gleichzeitig DORA-ready ist.

Die BAIT fordern in Kapitel 7 strukturierte IT-Änderungsprozesse mit Vier-Augen-Prinzip, Funktionstrennung und lückenloser Dokumentation. Jede Änderung an produktiven IT-Systemen muss über einen definierten Change-Prozess mit Risikoanalyse, Impact-Bewertung, Testverfahren und Freigabeprozeduren gesteuert werden. Mit dem DORA-Übergang ab 2025 verschärfen sich die Anforderungen an das ICT Change Management zusätzlich. Wir unterstützen Banken und Finanzdienstleister bei der Einführung und Optimierung BAIT-konformer Änderungsprozesse — von der Gap-Analyse über die Prozessgestaltung bis zur prüfungssicheren Dokumentation und DORA-Readiness.

Mit dem Inkrafttreten von DORA am 17. Januar 2025 beginnt für DORA-pflichtige Institute der stufenweise Übergang von BAIT zu DORA. Bis zum 31. Dezember 2026 werden die BAIT vollständig aufgehoben. Wir begleiten Ihr Institut durch diesen Übergang mit systematischer Gap-Analyse: BAIT-Kapitel werden Artikel für Artikel den DORA-Anforderungen gegenübergestellt, überschneidungen bei IKT-Risikomanagement, Informationssicherheit und Auslagerungscontrolling identifiziert und DORA-Mehranforderungen — insbesondere bei TLPT-Resilienztests, IKT-Drittanbieterregister und verschärften Meldefristen — gezielt adressiert. Das Ergebnis: ein integrierter Compliance-Fahrplan, der doppelte Arbeit vermeidet und BAIT-Investitionen maximal für DORA anrechnet.

BAIT Kapitel 8 definiert verbindliche Anforderungen an den IT-Betrieb von Kreditinstituten — von der Datensicherung über Patch Management bis hin zu IT-Monitoring und Kapazitätsplanung. Ab 2025 greifen ergänzend die DORA-Anforderungen an die digitale operationale Resilienz. Wir unterstützen Banken bei der regelkonformen Gestaltung des IT-Betriebs: IT-Bestandsverzeichnis aufbauen, Sicherungsprozesse optimieren, Monitoring-Strukturen etablieren und den Übergang zu DORA ICT Operations vorbereiten.

BAIT Kapitel 1 fordert von Kreditinstituten eine nachhaltige IT-Strategie, die IT-Architektur, IT-Governance, Notfallmanagement und anerkannte Standards wie COBIT, ITIL und ISO 27001 umfasst. Wir unterstützen Banken bei der Entwicklung und Überprüfung ihrer IT-Strategie — von der Geschäftsstrategieabstimmung über die IT-Roadmap bis zur DORA-Übergangsplanung.

Die BAIT verlangen ein strukturiertes Incident Management mit definierten Eskalationsstufen, Reaktionszeiten und BaFin-Meldepflichten. Mit dem DORA-Übergang ab 2025 verschärfen sich die Anforderungen an IT-Vorfallmanagement, ICT-Incident-Klassifizierung und regulatorische Berichterstattung erheblich. Wir unterstützen Kreditinstitute bei der Konzeption und Umsetzung BAIT-konformer Incident-Management-Frameworks, die nahtlos in DORA-Anforderungen überführt werden können — von der Vorfallserkennung über Crisis Response bis zur BaFin-Meldung.