Die aufsichtlichen Anforderungen an die IT werden im Wesentlichen von der EU-Verordnung DORA abgedeckt. Sie wird vom 17. Januar 2025 an angewendet. Um Doppelregulierung zu vermeiden, hebt die Finanzaufsicht BaFin ihre Rundschreiben auf.
Dies betrifft die Kapitalverwaltungsaufsichtlichen Anforderungen an die IT (KAIT), die Versicherungsaufsichtlichen Anforderungen an die IT (VAIT) und die Zahlungsdiensteaufsichtlichen Anforderungen an die IT von Zahlungs- und E-Geld-Instituten (ZAIT). Diese Rundschreiben hebt die BaFin mit Ablauf des 16. Januar 2025 auf. Sie sind vom 17. Januar 2025 an in dieser Übersicht zu finden.
Schrittweise Aufhebung der BAIT
Die Bankaufsichtlichen Anforderungen an die IT (BAIT) hebt die BaFin schrittweise auf: Mit Ablauf des 16. Januar 2025 werden Institute, die ab dem 17. Januar 2025 ein Risikomanagement für die Informations- und Kommunikationstechnologie (IKT) nach Artikel 5 bis 15 oder Artikel 16 Digital Operational Resilience Act (DORA) betreiben müssen, aus dem Anwenderkreis der BAIT ausgenommen. Zudem hebt die BaFin Kapitel 11 der BAIT auf. Die aktualisierten BAIT sind auf der Website der BaFin zu finden.
Durch das Finanzmarktdigitalisierungsgesetz (FinmadiG) wurde § 1a Absatz 2 Kreditwesengesetz neu gefasst, wonach ab dem 1. Januar 2027 weitere Institute DORA anwenden müssen. Mit Ablauf des 31. Dezember 2026 werden die BAIT daher vollständig aufgehoben.