DORA- und NIS-2-Seminare
Qualifizierung für Teams, die den IKT-Risikorahmen selbst aufbauen und betreiben.
Fachbeitrag Regulatorik · IKT-Risikomanagement
DORA ersetzt BAIT: Fristen, Pflichten und Umstellung 2026/2027
DORA ersetzt BAIT: Für die meisten Institute gilt das seit dem 17.01.2025, für eine Übergangsgruppe nach § 1a Abs. 2a KWG gilt es ab dem 01.01.2027. Hier siehst du, wer wann umstellen muss und welche BAIT-Themen in welchen DORA-Artikeln wiederkehren.
Der Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.
Management Summary
Seit dem 17.01.2025 ist die Verordnung (EU) 2022/2554 für CRR-Kreditinstitute, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Versicherer und Kapitalverwaltungsgesellschaften der alleinige Maßstab für das IKT-Risikomanagement. Die BAIT sind für diese Unternehmen nicht mehr anwendbar. Mit Ablauf des 31.12.2026 hebt die BaFin die BAIT auch formal vollständig auf.
Eine Übergangsgruppe hat noch bis zum 31.12.2026 Zeit: Finanzierungsleasing- und Factoringinstitute, Bürgschaftsbanken, Wohnungsunternehmen mit Spareinrichtung, Drittstaatenzweigstellen, Kryptowertpapierregisterführer und Zweigstellen nach § 53 KWG (§ 1a Abs. 2a, § 65a Abs. 3 KWG). Für sie gilt ab dem 01.01.2027 DORA mit dem vereinfachten IKT-Risikomanagementrahmen nach Art. 16. Die Meldepflichten für schwerwiegende IKT-Vorfälle gelten für sie bereits seit dem 17.01.2025.
Drei Fragen entscheiden über den Handlungsbedarf: Gehört dein Unternehmen zur Übergangsgruppe? Läuft dein Vorfallprozess nach den Fristen von 4, 24 und 72 Stunden sowie einem Monat? Und steht das Informationsregister nach Art. 28 Abs. 3 DORA?
Der Beitrag richtet sich an Geschäftsleiter, Informationssicherheitsbeauftragte, die IKT-Risikokontrolle, Auslagerungsbeauftragte, Compliance und Interne Revision. Am Ende findest du eine Gegenüberstellung nach Artikeln, einen Quick-Check und eine Checkliste für die Umstellung bis zum 31.12.2026.
Wer muss wann umstellen? DORA ersetzt BAIT in zwei Stufen
| Gruppe | Beispiele | Seit / ab | Maßstab |
|---|---|---|---|
| Finanzunternehmen nach Art. 2 DORA | CRR-Kreditinstitute, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Versicherer, Kapitalverwaltungsgesellschaften, Kryptowerte-Dienstleister | seit 17.01.2025 | DORA (Art. 5 bis 15 oder Art. 16). Die BAIT sind nicht mehr anwendbar; VAIT, KAIT und ZAIT wurden mit Ablauf des 16.01.2025 aufgehoben. |
| Förderinstitute | Förderbanken der Länder, KfW | seit 17.01.2025 | DORA über das FinmadiG |
| KWG-Institute ohne CRR-Status (§ 1a Abs. 2a, § 65a Abs. 3 KWG) | Finanzierungsleasing- und Factoringinstitute, Bürgschaftsbanken, Drittstaatenzweigstellen, Kryptowertpapierregisterführer, Wohnungsunternehmen mit Spareinrichtung, Zweigstellen nach § 53 KWG | Meldewesen seit 17.01.2025; übriges DORA ab 01.01.2027 | Bis 31.12.2026 BAIT, danach DORA mit vereinfachtem Rahmen nach Art. 16. Keine bedrohungsgeleiteten Penetrationstests (Art. 26, 27). Kleinstunternehmen sind von Art. 28 bis 30 befreit. |
Kernaussagen
- Die BaFin hat die BAIT schrittweise aufgehoben. Mit Ablauf des 16.01.2025 wurden alle Institute, die ein IKT-Risikomanagement nach Art. 5 bis 15 oder Art. 16 DORA betreiben müssen, aus dem Anwenderkreis ausgenommen. Kapitel 11 entfiel ganz. Mit Ablauf des 31.12.2026 werden die BAIT vollständig aufgehoben.
- Für die Institute, die erst ab 2027 vollständig unter DORA fallen, gilt: Sie müssen die DORA-Vorgaben anwenden, „so, als wären diese Institute CRR-Kreditinstitute“ (§ 1a Abs. 2a Satz 1 KWG). Die Ausnahmen stehen in Satz 2 Nr. 1 bis 3.
Praxis-Tipp: Prüfe zuerst, in welche Gruppe dein Unternehmen fällt. Ein Leasing- oder Factoringinstitut braucht bis zum 31.12.2026 einen Umstellungsplan auf Art. 16 DORA, nicht auf Art. 5 bis 15.
Was ändert sich grundsätzlich?
- Rechtsnatur: Die BAIT waren eine norminterpretierende Verwaltungsvorschrift (Rundschreiben 10/2017, zuletzt in der Fassung vom 16.12.2024) zu § 25a Abs. 1 und § 25b KWG. DORA ist eine unmittelbar geltende EU-Verordnung. Sie wird durch technische Regulierungs- und Durchführungsstandards konkretisiert, etwa die Delegierte Verordnung (EU) 2024/1774 zum IKT-Risikomanagement.
- Verantwortung: Das Leitungsorgan „trägt die endgültige Verantwortung“ für das Management des IKT-Risikos (Art. 5 Abs. 2 DORA). Es muss sich regelmäßig schulen lassen (Art. 5 Abs. 4 DORA).
- Kontrollfunktion: Steuerung und Überwachung des IKT-Risikos liegen bei einer Kontrollfunktion mit angemessener Unabhängigkeit (Art. 6 Abs. 4 DORA). Die MaRisk führen die „IKT-Risikokontrollfunktion gemäß Art. 6 Abs. 4“ ausdrücklich als Kontrollfunktion auf.
- Abgrenzung zu den MaRisk: IKT-Dienstleistungen, die dem IKT-Drittparteienrisikomanagement nach Art. 28 bis 30 DORA unterliegen, fallen nicht unter MaRisk AT 9 (Erläuterung zu AT 9 Tz. 1, Rundschreiben 06/2026 (BA)).
BAIT und DORA artikelgenau gegenübergestellt
| BAIT-Thema | DORA-Fundstelle | Hinweis |
|---|---|---|
| IT-Strategie, IT-Governance | Art. 5 (Governance und Organisation); Art. 6 Abs. 8 (Strategie für die digitale operationale Resilienz) | Endgültige Verantwortung des Leitungsorgans |
| Informationsrisikomanagement | Art. 6 (IKT-Risikomanagementrahmen); Art. 8 (Identifizierung) | Inventar der IKT-Assets und Funktionen, Risikobewertung |
| Informationssicherheitsmanagement, ISB | Art. 6 Abs. 4 (Kontrollfunktion); Art. 9 (Schutz und Prävention) | IKT-Sicherheitsrichtlinien nach Art. 9 Abs. 2 |
| Benutzerberechtigungsmanagement | Art. 9 Abs. 4 lit. c; Delegierte VO (EU) 2024/1774 | Regelungen zu Zugriffsrechten und Identitätsmanagement |
| IT-Projekte, Anwendungsentwicklung | Art. 8, Art. 9; Delegierte VO (EU) 2024/1774 | Änderungsmanagement, Projekt- und Entwicklungsvorgaben |
| IT-Betrieb | Art. 7 (IKT-Systeme, -Protokolle und -Tools); Art. 10 (Erkennung) | Kapazität, Überwachung, Erkennung anomaler Aktivitäten |
| IT-Notfallmanagement | Art. 11 (Reaktion und Wiederherstellung); Art. 12 (Backup, Wiederherstellung) | Leitlinie zur IKT-Geschäftsfortführung; Notfallmanagement nach MaRisk AT 7.3 bleibt bestehen |
| Lernen aus Vorfällen | Art. 13 (Lernprozesse und Weiterentwicklung) | Auswertung nach Vorfällen; Schulungsprogramme |
| Auslagerungen und sonstiger Fremdbezug von IT | Art. 28 bis 30 (IKT-Drittparteienrisiko); Art. 28 Abs. 3 (Informationsregister); Art. 30 (Vertragsbestimmungen) | Exit-Strategien nach Art. 28 Abs. 8 |
| Kapitel 11 (Zahlungsdienstnutzer) | entfallen; zahlungsbezogene Vorfälle: Art. 23 DORA | Art. 16 regelt nicht Zahlungsinstitute, sondern den vereinfachten Rahmen |
| Prüfungen, Penetrationstests | Art. 24, 25 (Testprogramm); Art. 26, 27 (TLPT) | TLPT nur für Unternehmen, die die Behörde bestimmt; mindestens alle drei Jahre |
| (kein BAIT-Pendant) | Art. 17 bis 19 (Vorfallmanagement, Klassifizierung, Meldung) | Neu: einheitliches Meldewesen |
| (kein BAIT-Pendant) | Art. 31 bis 44 (Überwachung kritischer IKT-Drittdienstleister) | Direkte EU-Aufsicht über die Dienstleister, nicht über das Institut |
| Vereinfachter Rahmen | Art. 16 | Für kleine, nicht vernetzte Wertpapierfirmen u. a. sowie für KWG-Institute nach § 1a Abs. 2a KWG ab 2027 |
Praxis-Tipp: Baue deine Gap-Analyse auf dieser Tabelle auf. Für jede BAIT-Anforderung trägst du die DORA-Fundstelle, die Lücke, den Verantwortlichen und den Termin ein.
Fristen und Zeitpunkte
| Zeitpunkt | Ereignis | Bedeutung |
|---|---|---|
| 16.01.2025 | Ablauf der Anwendung für DORA-Institute | BAIT für Institute mit IKT-Risikomanagement nach Art. 5 bis 15 oder Art. 16 DORA aufgehoben; VAIT, KAIT und ZAIT aufgehoben; Kapitel 11 entfallen |
| 17.01.2025 | DORA anwendbar | Meldepflichten für schwerwiegende IKT-Vorfälle gelten auch für die Übergangsgruppe |
| 18.11.2025 | Benennung kritischer IKT-Drittdienstleister | Die ESAs benennen erstmals 19 Anbieter (Art. 31 DORA) |
| 31.12.2026 | Vollständige Aufhebung der BAIT | Stichtag für den Stand des Informationsregisters |
| 01.01.2027 | DORA für die Übergangsgruppe | Vereinfachter Rahmen nach Art. 16, § 1a Abs. 2a KWG |
| 31.03.2027 | Einreichung des Informationsregisters | Stand 31.12.2026, Einreichung über die MVP |
Meldepflichten bei schwerwiegenden IKT-Vorfällen
Ob ein Vorfall schwerwiegend ist, richtet sich nach der Delegierten Verordnung (EU) 2024/1772. Die Fristen regelt Art. 5 der Delegierten Verordnung (EU) 2025/301:
- Erstmeldung: „so früh wie möglich, in jedem Fall aber innerhalb von vier Stunden nach Einstufung des IKT-bezogenen Vorfalls als schwerwiegend und spätestens 24 Stunden nach dem Zeitpunkt, zu dem das Finanzunternehmen Kenntnis von dem IKT-bezogenen Vorfall erlangt hat“ (Abs. 1 lit. a).
- Zwischenmeldung: spätestens 72 Stunden nach der Erstmeldung (Abs. 1 lit. b).
- Abschlussmeldung: spätestens einen Monat nach der letzten Zwischenmeldung (Abs. 1 lit. c).
- Späte Einstufung: Erfolgt die Einstufung erst nach mehr als 24 Stunden, gilt die 4-Stunden-Frist ab Einstufung (Abs. 2).
Der Meldeweg führt über die BaFin-Plattform MVP (Fachverfahren „Digital Operational Resilience Act (DORA)“). Die BaFin leitet die Meldung unter anderem an das BSI und die ESAs weiter. IKT-Drittdienstleister sind selbst nicht meldepflichtig. Unter den BAIT gab es keine allgemeine aufsichtliche Meldepflicht für IT-Vorfälle; Sondervorschriften bestanden etwa für Zahlungsdienste (§ 54 ZAG) und für KRITIS-Betreiber nach dem BSIG.
Praxis-Tipp: Lege die Zeitpunkte „Kenntnisnahme“ und „Einstufung“ im Vorfallprozess eindeutig fest und dokumentiere sie. An ihnen hängen alle Fristen.
Informationsregister und kritische IKT-Drittdienstleister
- Register: Jedes Finanzunternehmen führt ein eigenes Informationsregister über alle vertraglichen Vereinbarungen zu IKT-Dienstleistungen (Art. 28 Abs. 3 DORA; Vorlagen nach Durchführungsverordnung (EU) 2024/2956). Es gibt kein EU-weites Register, das das Institut selbst führt.
- Einreichung: Das Register ist jährlich über die MVP einzureichen, bis spätestens 31.03., mit Stand zum 31.12. des Vorjahres. Für den Zyklus 2027 sind keine Änderungen an der Taxonomie vorgesehen. Wer die Frist verpasst, kann erst im nächsten Jahreszyklus einreichen. Ob für die ab 01.01.2027 erfassten KWG-Institute bereits der Zyklus 2027 gilt, prüfst du in den aktuellen Hinweisen der BaFin.
- Kritische IKT-Drittdienstleister: Am 18.11.2025 haben die ESAs erstmals 19 Anbieter als kritisch benannt, darunter große Cloud-Anbieter (Art. 31 DORA). Sie unterliegen der direkten Überwachung durch die ESAs.
- Kleinstunternehmen: Für Kleinstunternehmen unter § 1a Abs. 2a KWG gelten Art. 28 bis 30 DORA nicht.
Weitere Entwicklungen 2026/2027
| Thema | Stand | Bedeutung |
|---|---|---|
| MaRisk-Novelle | Rundschreiben 06/2026 (BA), Juni 2026; für zusätzliche Anforderungen gelten Fristen bis 01.01.2027 | Abgrenzung AT 9 und DORA; IKT-Risikokontrollfunktion als Kontrollfunktion |
| BaFin-Orientierungshilfe zu KI | Dezember 2025, nicht verbindlich | IKT-Risiken beim Einsatz von KI unter DORA (Art. 6, 9, 28) |
| Überwachung kritischer IKT-Drittdienstleister | seit November 2025 (19 Anbieter) | Ergebnisse der Überwachung wirken mittelbar auf das Drittparteienmanagement der Institute |
| Informationsregister 2027 | Einreichung bis 31.03.2027, Stand 31.12.2026 | Auch für die ab 01.01.2027 erfassten KWG-Institute zu prüfen, soweit sie keine Kleinstunternehmen sind |
| NIS-2-Umsetzung und BSIG | seit Dezember 2025 | Verhältnis zu DORA für Finanzunternehmen gesondert prüfen, siehe DORA, NIS-2 und CRA: Governance |
Pflichten nach Funktion
Art. 5 DORA
Geschäftsleitung
Das Leitungsorgan trägt die endgültige Verantwortung für das IKT-Risiko (Art. 5 Abs. 2) und lässt sich regelmäßig schulen (Art. 5 Abs. 4). Dokumentiere die Verantwortung und den Beschluss zum IKT-Risikomanagementrahmen nach Art. 16.
Art. 6 Abs. 4 DORA
ISB und IKT-Risikokontrolle
Steuerung und Überwachung des IKT-Risikos liegen bei einer Kontrollfunktion mit angemessener Unabhängigkeit. Ordne die ISB-Rolle dieser Funktion zu oder grenze sie davon ab, und halte die Entscheidung schriftlich fest.
Art. 28 bis 30 DORA
Auslagerungsbeauftragte
Das Informationsregister, die Vertragsbestimmungen (Art. 30) und die Exit-Strategien (Art. 28 Abs. 8) liegen im Kern hier. Für Kleinstunternehmen unter § 1a Abs. 2a KWG gelten Art. 28 bis 30 nicht.
Art. 17 bis 19 DORA
Compliance
Begleite die Gruppenzuordnung, prüfe das Verhältnis zum BSIG und stelle sicher, dass Meldeprozess und Fristen im Unternehmen bekannt sind. Die Fristen gelten für die Übergangsgruppe bereits seit dem 17.01.2025.
Prüfungsplan 2027
Interne Revision
Ab dem 01.01.2027 ist DORA der Prüfungsmaßstab für die Übergangsgruppe. Stelle den Prüfungsplan 2027 auf DORA um und berücksichtige Meldeprozess, Informationsregister und Testprogramm.
Art. 3 Nr. 60 DORA
Kleinstunternehmen
Prüfe den Kleinstunternehmen-Status und halte das Ergebnis fest. Er entscheidet, ob Art. 28 bis 30 DORA und das Testprogramm nach Art. 24 und 25 anzuwenden sind.
Resilienztests und TLPT
- Alle Finanzunternehmen außer Kleinstunternehmen brauchen ein Programm für Tests der digitalen operationalen Resilienz (Art. 24 DORA). Es umfasst unter anderem Schwachstellenanalysen, Netzwerksicherheitsbewertungen, szenariobasierte Tests und Penetrationstests (Art. 25 DORA).
- Bedrohungsgeleitete Penetrationstests (TLPT) müssen nur Finanzunternehmen durchführen, die die zuständige Behörde dafür bestimmt, und zwar mindestens alle drei Jahre (Art. 26 DORA). Maßgeblich ist der RTS zu TLPT, die Delegierte Verordnung (EU) 2025/1190. Die BaFin führt keine Liste zugelassener Tester.
- Für KWG-Institute nach § 1a Abs. 2a KWG gilt die TLPT-Pflicht nicht.
Pain Points bei der Umstellung
Art. 16 DORA
Falscher Rahmen
Wer zur Übergangsgruppe gehört, braucht einen Umstellungsplan auf den vereinfachten Rahmen nach Art. 16, nicht auf Art. 5 bis 15. Ein Plan auf den vollen Rahmen bindet Ressourcen an der falschen Stelle.
Art. 7 bis 12, 24 bis 27
Artikelverwechslungen
Zugriffsrechte stehen in Art. 9 Abs. 4 lit. c, nicht in Art. 8 (Identifizierung). IT-Betrieb ist Art. 7 und 10, nicht Art. 11. Notfallmanagement ist Art. 11 und 12, nicht Art. 10. Tests stehen in Art. 24 bis 27.
Art. 5 VO (EU) 2025/301
Meldefristen
Die 4-Stunden-Frist läuft ab Einstufung, die 24-Stunden-Grenze ab Kenntnis. Ohne dokumentierte Zeitpunkte lassen sich beide Fristen nicht nachweisen.
Art. 28 Abs. 3, Art. 31
Zwei Register verwechselt
Das Informationsregister führt jedes Finanzunternehmen selbst. Die Benennung kritischer IKT-Drittdienstleister erfolgt dagegen durch die ESAs. Beides ist getrennt zu behandeln.
Art. 23 DORA
Zahlungsbezogene Vorfälle
Kapitel 11 der BAIT wurde aufgehoben. Zahlungsbezogene Vorfälle regelt Art. 23 DORA. Art. 16 enthält nicht Regeln für Zahlungsinstitute, sondern den vereinfachten Rahmen.
MaRisk AT 9 Tz. 1
Abgrenzung zu den MaRisk
IKT-Dienstleistungen, die unter Art. 28 bis 30 DORA fallen, gehören nicht zu AT 9. Prüfe, welche Fremdbezüge weiterhin nach AT 9 zu behandeln sind.
Quick-Check: Wo steht dein Unternehmen?
Mit diesen Prüffeldern ordnest du dein Unternehmen ein. Die Spalte „Mögliche Lücke“ nennt, woran Umstellungen häufig scheitern können.
| Prüffeld | Prüffrage | Normbezug | Mögliche Lücke |
|---|---|---|---|
| Gruppenzuordnung | Fällt dein Unternehmen unter § 1a Abs. 2a KWG oder bereits unter Art. 5 bis 15 DORA? | § 1a Abs. 2a, § 65a Abs. 3 KWG; Art. 2 DORA | Zuordnung nicht schriftlich festgehalten |
| Kleinstunternehmen | Ist der Status geprüft und dokumentiert? | Art. 3 Nr. 60 DORA; Art. 28 bis 30 DORA | Status nicht geprüft, Folgen für Verträge und Tests offen |
| Leitungsorgan | Sind Verantwortung und Schulung dokumentiert? | Art. 5 Abs. 2 und 4 DORA | Schulung fehlt oder ist nicht nachweisbar |
| Rahmen | Ist der IKT-Risikomanagementrahmen nach Art. 16 beschlossen? | Art. 16 DORA; Delegierte VO (EU) 2024/1774 | BAIT-Richtlinien nur umbenannt, nicht auf DORA umgestellt |
| Vorfallprozess | Sind Kenntnis und Einstufung definiert, laufen die Fristen 4/24/72 Stunden und ein Monat? | Art. 17 bis 19 DORA; VO (EU) 2024/1772; VO (EU) 2025/301 | Zeitpunkte nicht dokumentiert |
| MVP-Zugang | Ist der Zugang für Meldungen und Informationsregister freigeschaltet? | Art. 19 DORA | Zugang wird erst im Vorfall geklärt |
| Informationsregister | Sind alle IKT-Verträge nach den Vorlagen erfasst? | Art. 28 Abs. 3 DORA; DVO (EU) 2024/2956 | Auslagerungsregister ohne Dienstleistungskette |
| Verträge | Sind die IKT-Verträge auf Art. 30 DORA geprüft? | Art. 30 DORA | Vertragsbestandteile fehlen |
| Testprogramm | Ist ein Programm nach Art. 24 und 25 festgelegt? | Art. 24, 25 DORA | Kein Programm, nur einzelne Penetrationstests |
| Interne Revision | Ist der Prüfungsplan 2027 auf DORA umgestellt? | DORA; Prüfungsplan 2027 | Prüfungsplan verweist weiter auf die BAIT |
Lösungsansätze: Umstellung ohne Reibungsverluste
Was du aus den BAIT weiter nutzen kannst
- ISMS und Richtlinien: Du kannst sie übernehmen, musst sie aber auf DORA-Begriffe und -Artikel umstellen, vor allem auf Art. 9 und die Delegierte VO (EU) 2024/1774.
- Notfallkonzepte: MaRisk AT 7.3 bleibt bestehen. Ergänze die IKT-Geschäftsfortführung nach Art. 11 DORA und Tests nach Art. 24 ff.
- Auslagerungsregister: Es ist eine gute Grundlage für das Informationsregister. Ergänze die Felder nach ITS 2024/2956 und die Dienstleistungskette.
- Rollen: ISB und Auslagerungsbeauftragter bleiben sinnvoll. Ordne sie der IKT-Risikokontrollfunktion nach Art. 6 Abs. 4 zu oder grenze sie davon ab.
Checkliste: Umstellung bis 31.12.2026
Gilt für Institute nach § 1a Abs. 2a KWG.
- Zugehörigkeit zur Gruppe nach § 1a Abs. 2a KWG bestätigt; Kleinstunternehmen-Status geprüft (Art. 3 Nr. 60 DORA)
- Gap-Analyse BAIT zu Art. 16 DORA (und Delegierte VO (EU) 2024/1774, Titel III) abgeschlossen
- Leitungsorgan geschult, Verantwortung dokumentiert (Art. 5)
- IKT-Risikomanagementrahmen nach Art. 16 beschlossen
- Vorfallprozess mit Klassifizierung (VO (EU) 2024/1772) und Fristen 4/24/72 Stunden bzw. 1 Monat (VO (EU) 2025/301) im Einsatz, er gilt bereits seit 17.01.2025
- MVP-Zugang für Meldungen und Informationsregister freigeschaltet
- Informationsregister nach ITS 2024/2956 aufgebaut, Stand 31.12.2026; BaFin-Hinweise zur ersten Einreichung geprüft (Frist 31.03.2027)
- IKT-Verträge auf Art. 30 DORA geprüft, soweit Art. 28 bis 30 anwendbar sind
- Testprogramm nach Art. 24 und 25 festgelegt
- Interne Revision: Prüfungsplan 2027 auf DORA umgestellt
Fazit: DORA ersetzt BAIT, die Frist läuft
DORA ersetzt BAIT, und für die meisten Institute gilt das seit dem 17.01.2025 ohne Übergangszeit. Nur die Institute nach § 1a Abs. 2a KWG haben noch bis zum 31.12.2026 Zeit. Danach gibt es keine BAIT mehr.
Kernbotschaften
- Klär die Gruppenzugehörigkeit zuerst. Sie entscheidet, ob Art. 5 bis 15 oder Art. 16 DORA gilt.
- Die Meldefristen von 4, 24 und 72 Stunden sowie einem Monat gelten auch für die Übergangsgruppe bereits seit dem 17.01.2025.
- Das Informationsregister ist jährlich bis 31.03. einzureichen. Die nächste Frist ist der 31.03.2027.
- Deine BAIT-Dokumentation ist eine gute Grundlage, aber keine Lösung. Sie braucht die DORA-Artikel, das Meldewesen, das Testprogramm und das Informationsregister.
Wenn dein Team die Umstellung selbst tragen soll, findest du passende Qualifizierung unter DORA- und NIS-2-Seminare.
FAQ: Häufige Fragen zur Umstellung
Gelten die BAIT noch?+−
Nur noch für Institute, die noch kein IKT-Risikomanagement nach DORA betreiben müssen, etwa Finanzierungsleasing- und Factoringinstitute, Bürgschaftsbanken oder Wohnungsunternehmen mit Spareinrichtung. Mit Ablauf des 31.12.2026 hebt die BaFin die BAIT vollständig auf.
Was gilt ab dem 01.01.2027 für Leasing- und Factoringinstitute?+−
Sie müssen DORA anwenden, so als wären sie CRR-Kreditinstitute (§ 1a Abs. 2a KWG). Statt Art. 5 bis 15 gilt der vereinfachte IKT-Risikomanagementrahmen nach Art. 16 DORA. Bedrohungsgeleitete Penetrationstests entfallen. Kleinstunternehmen sind von Art. 28 bis 30 DORA ausgenommen. Die Meldepflichten gelten bereits seit dem 17.01.2025.
Wie schnell muss ein schwerwiegender IKT-Vorfall gemeldet werden?+−
Die Erstmeldung ist innerhalb von vier Stunden nach der Einstufung als schwerwiegend fällig, spätestens 24 Stunden nach Kenntnisnahme. Die Zwischenmeldung folgt spätestens nach 72 Stunden, die Abschlussmeldung spätestens einen Monat nach der letzten Zwischenmeldung (Art. 5 Delegierte Verordnung (EU) 2025/301).
Bis wann muss das Informationsregister eingereicht werden?+−
Jährlich bis spätestens 31.03. über die BaFin-Plattform MVP, mit dem Stand zum 31.12. des Vorjahres. Wer die Frist verpasst, kann erst im nächsten Jahreszyklus einreichen. Die nächste Frist ist der 31.03.2027. Ob für die ab 01.01.2027 erfassten KWG-Institute bereits der Zyklus 2027 gilt, solltest du in den aktuellen Hinweisen der BaFin prüfen.
Muss jedes Institut TLPT durchführen?+−
Nein. Bedrohungsgeleitete Penetrationstests müssen nur Finanzunternehmen durchführen, die die Aufsicht dafür bestimmt, und zwar mindestens alle drei Jahre (Art. 26 DORA). Alle anderen brauchen ein Testprogramm nach Art. 24 und 25 DORA.
Kann ich meine BAIT-Dokumentation weiterverwenden?+−
Ja, als Grundlage. Richtlinien, Notfallkonzepte und Auslagerungsregister müssen aber auf die DORA-Artikel und die technischen Standards umgestellt und um Meldewesen, Testprogramm und Informationsregister ergänzt werden.
Quellenverzeichnis
Primärquellen stehen zuerst. Alle Links führen zu amtlichen Stellen; PDFs sind gekennzeichnet.
EU-Rechtsakte
- Verordnung (EU) 2022/2554 (DORA) – Primärquelle für Art. 5 bis 16, 17 bis 19, 23 bis 31
- Delegierte Verordnung (EU) 2025/301 (PDF, Amtsblatt) – Inhalt und Fristen der Meldungen schwerwiegender IKT-Vorfälle, Art. 5
Aufsichtsbehörden und Bundesbank
- BaFin: Meldung zur Aufhebung der BAIT, VAIT, KAIT und ZAIT – schrittweise Aufhebung, Stichtage 16.01.2025 und 31.12.2026
- BaFin-FAQ zu DORA: Anwendungsbereich – Übergangsgruppe nach § 1a Abs. 2a und § 65a Abs. 3 KWG
- BaFin-FAQ zu DORA (englische Fassung): Anwenderkreis – Gruppen, die weiter nach den BAIT behandelt werden
- BaFin-FAQ zu DORA: Übersicht – Antworten zu Testprogramm, TLPT und Kleinstunternehmen
- BaFin: Leasing und Factoring – BAIT bis 31.12.2026, danach DORA mit Art. 16
- Deutsche Bundesbank: BAIT und DORA – Rundschreiben 10/2017 und Aufhebung der Parallelregelungen
- BaFin-FAQ: Meldewesen zu IKT-Vorfällen – Fristen der Erst-, Zwischen- und Abschlussmeldung
- Deutsche Bundesbank: DORA-Meldewesen – Meldeweg und Weiterleitung der Meldungen
- BaFin: Register und Anzeigepflichten – Informationsregister und Einreichung über die MVP
- BaFin-FAQ: Informationsregister – allgemeine Fragen zu Frist und Stichtag
- ESMA: Benennung kritischer IKT-Drittdienstleister – Pressemitteilung der ESAs zu den benannten Anbietern
- BaFin: Kritische IKT-Dienstleister – Einordnung der EU-Überwachung nach Art. 31 ff. DORA
- BaFin: MaRisk-Rundschreiben 06/2026 (BA) – Kontrollfunktion nach AT 4.4 und Abgrenzung zu AT 9
- BaFin: Orientierungshilfe zu IKT-Risiken beim Einsatz von KI (PDF) – nicht verbindliche Auslegungshilfe, Stand Dezember 2025
Normen ohne Link: § 1a Abs. 2a, § 25a, § 25b, § 65a Abs. 3 KWG sowie die Delegierten Verordnungen (EU) 2024/1772, 2024/1774 und 2025/1190 und die Durchführungsverordnung (EU) 2024/2956. Quellenstand: 14.10.2026.
Verwandte Leistungen und Programme
Auslagerungs-Controlling-Seminare
Informationsregister, Verträge und Exit-Strategien im Zusammenspiel von MaRisk und DORA.
Auslagerungsbeauftragter-Lehrgang
Sachkunde für die Rolle, die Register und Drittparteienrisiko verantwortet.
Interne-Revision-Seminare
Prüfungsmaßstäbe und Prüfungsplanung unter DORA.
Aufsichtsrecht-Seminare
Aufsichtsrechtliche Grundlagen für Geschäftsleitung und Fachbereiche.
E-Learning-Kurse
Wissen für das ganze Team, zeitlich flexibel.
Fachbeitrag: DORA, NIS-2 und CRA
Governance-Blick auf die drei Rechtsakte.
Fachbeitrag: Regulatorik für Geschäftsführer
Pflichten, Haftung und Aufsicht aus Sicht der Geschäftsleitung.
Seminartermine
Alle aktuellen Termine auf einen Blick.
Fehlen im Unternehmen die Kapazitäten für die operative Umsetzung, kannst du sie auch extern unterstützen lassen. Ein Angebot dazu findest du bei S+P Compliance.
Über den Autor
Achim Schulz
Geschäftsführer S+P Compliance & S+P Unternehmerforum · langjährige Vorstands- & Geschäftsführungserfahrung
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und Geschäftsführer sowie als Interim-Manager in Industrieunternehmen. Diese Doppelperspektive aus Finanzsektor und Realwirtschaft prägt seine Beiträge für CEO, COO und CFO. Er kennt das Zusammenspiel von Geschäftsleitung, Aufsichtsrat und Gesellschaftern aus der Praxis und übersetzt strategische wie aufsichtsrechtliche Anforderungen in umsetzbare, haftungssichere Führungsentscheidungen – praxisnah und auf Augenhöhe mit dem Management.
LinkedIn-Profil → · Redaktion & Experten →Seminare & Lehrgänge
Plattform & Methodik
Über S+P
