Wie setzen Banken BSI IT-Grundschutz BAIT-konform um?

BSI IT-Grundschutz ist nicht direkt gesetzlich vorgeschrieben, wird aber von der BaFin als anerkannter Standard für die Umsetzung der BAIT-Anforderungen empfohlen. Die BAIT fordert in Kapitel

4 ein angemessenes Informationssicherheitsmanagement auf Basis anerkannter Standards. BSI IT-Grundschutz und ISO 27001 gelten als die wichtigsten Nachweise. Für KRITIS-Betreiber im Finanzsektor besteht zudem die Pflicht, die Einhaltung branchenspezifischer Sicherheitsstandards (B3S) nachzuweisen — BSI IT-Grundschutz erfüllt diese Anforderung.

MaRisk (Mindestanforderungen an das Risikomanagement) definiert die übergeordneten Anforderungen an das Risikomanagement von Kreditinstituten gemäß § 25a KWG. Die BAIT konkretisiert diese Anforderungen für den IT-Bereich und fordert ein Informationssicherheitsmanagement nach anerkannten Standards. BSI IT-Grundschutz nach BSI 200–1 bis 200–3 bietet die methodische Grundlage, um diese Anforderungen strukturiert umzusetzen. Zusammen bilden sie den regulatorischen Rahmen für IT-Sicherheit im deutschen Bankensektor.

Für Banken sind insbesondere die Bausteine aus den Bereichen ORP (Organisation und Personal), CON (Konzepte), OPS (Betrieb), NET (Netze und Kommunikation), APP (Anwendungen) und SYS (IT-Systeme) relevant. Besondere Aufmerksamkeit erfordern die Bausteine für Serverräume, Netzwerksicherheit, Webanwendungen, Datenbanken und mobile Endgeräte. Für den Zahlungsverkehr und Kernbanksysteme gelten erhöhte Schutzbedarfe, die eine ergänzende Risikoanalyse nach BSI 200–3 erfordern.

Die Dauer hängt von der Größe und Komplexität des Instituts ab. Für eine mittelgroße Bank mit 500‑1.000 Mitarbeitern rechnen wir typischerweise mit 12–18 Monaten bis zur vollständigen Umsetzung der Standard-Absicherung. Die Basis-Absicherung kann in 6–9 Monaten erreicht werden. Wichtige Faktoren sind der Reifegrad bestehender Sicherheitsmaßnahmen, die Anzahl der IT-Systeme und die Verfügbarkeit interner Ressourcen. Wir empfehlen einen stufenweisen Ansatz: zunächst Basis-Absicherung für schnelle BAIT-Compliance, dann schrittweise Erweiterung.

Bei IT-bezogenen Sonderprüfungen nach §

44 KWG prüft die BaFin typischerweise: die Angemessenheit des Informationssicherheitsmanagements, die Umsetzung der BAIT-Anforderungen, das IT-Risikomanagement, das IT-Notfallmanagement (MaRisk AT 7.3), das Auslagerungsmanagement und die operative IT-Sicherheit. Ein dokumentiertes BSI IT-Grundschutz-Konzept nach BSI 200–2 dient als strukturierter Nachweis für die Erfüllung dieser Anforderungen und erleichtert die Prüfungsvorbereitung erheblich.

Die DORA-Verordnung (Digital Operational Resilience Act) ergänzt seit Januar

2025 die bestehenden Anforderungen an die IT-Sicherheit im Finanzsektor. BSI IT-Grundschutz bietet eine solide Grundlage für viele DORA-Anforderungen, insbesondere im Bereich IKT-Risikomanagement und Incident Management. Ergänzend müssen Banken DORA-spezifische Elemente wie Threat-Led Penetration Testing (TLPT), das IKT-Drittparteienrisikomanagement und das Meldewesen für IKT-Vorfälle in ihr bestehendes Sicherheitsframework integrieren.

Die Kosten variieren je nach Umfang und Ausgangslage. Ein initialer IT-Grundschutz-Check mit Gap-Analyse und Maßnahmenplan liegt typischerweise im Bereich von 15.000‑30.000 Euro. Die vollständige Umsetzung der Standard-Absicherung einschließlich Dokumentation und Schulung kann für ein mittelgroßes Institut 80.000‑150.000 Euro betragen. Investitionen in BSI IT-Grundschutz zahlen sich durch reduzierte Prüfungsrisiken, niedrigere Versicherungsprämien und vermiedene Sicherheitsvorfälle aus.