BAIT, VAIT und DORA 2026: Was für Banken und Versicherungen jetzt gilt

Wer seine IT-Sicherheitsmaßnahmen noch an der VAIT ausrichtet, baut auf eine Vorschrift, die seit dem 16. Januar 2025 nicht mehr gilt. Die BaFin hat VAIT, KAIT und ZAIT an diesem Stichtag aufgehoben — abgelöst durch die europaweite Verordnung DORA. Wer die Umstellung verschleppt, riskiert bei der nächsten BaFin-Prüfung Beanstandungen, weil die Aufsicht längst nach DORA-Maßstab prüft, nicht mehr nach den alten Rundschreiben. Dieser Beitrag zeigt, was seit dem Wechsel tatsächlich gilt und welche technischen Sicherheitsmaßnahmen IT-Verantwortliche in Banken und Versicherungen jetzt priorisieren müssen.

Was ist aus BAIT und VAIT geworden?

Die BaFin-Rundschreiben BAIT (2017) und VAIT (2018) waren national geprägte Auslegungen der aufsichtsrechtlichen Anforderungen an die IT von Banken und Versicherungen. Mit dem Digital Operational Resilience Act (DORA) hat die EU seit dem 17. Januar 2025 ein einheitliches Regelwerk für die digitale operationale Resilienz des gesamten Finanzsektors geschaffen — Banken, Versicherer, Zahlungsdienstleister und Kapitalverwaltungsgesellschaften eingeschlossen.

Die BaFin hat daraufhin VAIT, KAIT und ZAIT vollständig aufgehoben. Bei der BAIT ging sie stufenweise vor: Institute, die bereits vollständig unter das ICT-Risikomanagement nach Artikel 5 bis 16 DORA fallen, sind seit Januar 2025 aus dem BAIT-Anwendungsbereich ausgenommen. Für alle anderen betroffenen Institute bleiben Teile der BAIT bis zur vollständigen Aufhebung am 31. Dezember 2026 in Kraft.

Was schreibt DORA für IT-Sicherheit vor?

DORA verlangt von Banken und Versicherern ein dokumentiertes ICT-Risikomanagement, das Angriffserkennung, Reaktion und Wiederherstellung als durchgängigen Prozess abbildet — nicht als einmaliges Audit-Ergebnis. Kernpunkte sind ein Risikomanagement-Rahmenwerk mit klaren Verantwortlichkeiten und laufendes Monitoring inklusive Threat Detection. Dazu kommen gemeldete Reaktionszeiten bei Sicherheitsvorfällen sowie regelmäßige Resilienz-Tests bis hin zu bedrohungsgeleiteten Penetrationstests (TLPT) bei größeren Instituten.

Welche DORA-Anforderungen treffen Banken und Versicherer am härtesten?

Institute, die von VAIT/BAIT auf DORA umstellen, berichten übereinstimmend von drei Schwerpunkten:

• Incident-Reporting: DORA verlangt eine gestufte Meldung schwerwiegender IKT-Vorfälle an die Aufsicht — mit deutlich engeren Fristen als früher üblich.
• Third-Party-Risk-Management: Die Steuerung von IT-Dienstleister-Risiken — Auslagerungen müssen vertraglich und technisch nachvollziehbar abgesichert sein, inklusive Exit-Strategien.
• Durchgängige Erkennung statt Perimeterschutz: Klassische Firewall-Regeln reichen nicht mehr — gefordert ist Detection-Fähigkeit auf Endpoint- und Netzwerkebene, die Vorfälle nachweisbar in Meldefristen bringt.

Gerade der letzte Punkt trifft viele mittelgroße Institute unvorbereitet: Ohne durchgängiges Monitoring lässt sich weder ein Vorfall rechtzeitig erkennen noch fristgerecht melden.

Wie deckt Managed Detection and Response die DORA-Anforderungen ab?

Ein zentrales Element von DORA ist die Fähigkeit, IKT-Vorfälle zügig zu erkennen, einzudämmen und zu melden. Genau hier setzt Managed Detection and Response an: Ein SOC-Team überwacht Endpoints und Netzwerk rund um die Uhr, reagiert auf Alarme innerhalb definierter Zeiten und liefert die Nachweise, die Institute für ihre Meldepflichten brauchen. Anbieter wie Sophos führen MDR als eigenständigen Managed Service, der genau diese Detection- und Reaktionszeiten abdeckt — für Institute mit begrenzter eigener SOC-Kapazität oft der schnellste Weg zur DORA-Konformität ohne eigenes 24/7-Team.

Ein Beispiel aus der Praxis: Das BLACKSOC All-in-One Managed SOC mit XDR/MDR bündelt Detection, Response und die dazugehörige Dokumentation in einem Vertrag, statt mehrere Einzellösungen selbst zu orchestrieren.

Wie läuft die Umstellung in der Praxis ab?

Institute, die den Wechsel bereits vollzogen haben, gehen meist in drei Schritten vor. Erstens: eine Gap-Analyse, die bestehende BAIT- oder VAIT-Dokumentation den passenden DORA-Artikeln gegenüberstellt — oft zeigt sich, dass technische Maßnahmen schon vorhanden sind, aber die Nachweisführung fehlt. Zweitens: die Überarbeitung der Dienstleisterstruktur, weil DORA für IKT-Dienstleister ein zentrales Register mit Exit-Strategie verlangt, das die alte BAIT so nicht kannte. Drittens: der technische Ausbau der Detection-Fähigkeit, damit ein Vorfall nicht erst durch einen externen Hinweis auffällt, sondern intern innerhalb der Meldefristen erkannt wird.

Gerade der dritte Schritt kostet in der Praxis am meisten Zeit, weil er nicht mit einer Dokumenten-Überarbeitung erledigt ist. Wer noch keine durchgängige Endpoint- und Netzwerk-Überwachung betreibt, muss diese erst aufbauen oder als Managed Service einkaufen — und genau das trifft mittelgroße Institute mit kleinem IT-Team am härtesten.

Vergleich: Anforderungsbereiche BAIT/VAIT versus DORA

Was schreiben BAIT und VAIT für IT-Sicherheit vor?

VAIT schreibt seit Januar 2025 nichts mehr vor — sie wurde vollständig durch DORA ersetzt. BAIT gilt 2026 nur noch für Institute, die nicht bereits vollständig unter DORA fallen, und wird zum 31. Dezember 2026 komplett aufgehoben. Maßgeblich für die IT-Sicherheit im Finanzsektor ist seit Januar 2025 DORA.

Was bedeutet das konkret für Ihre IT-Sicherheitsplanung?

Für IT-Verantwortliche in Banken und Versicherungen heißt das: Projekte, die noch auf BAIT- oder VAIT-Textziffern verweisen, sollten auf die entsprechenden DORA-Artikel umgestellt werden. Wichtiger als die Referenz auf dem Papier ist aber die technische Umsetzung — speziell in drei Feldern:

1. Nachweisbare Detection- und Reaktionszeiten dokumentieren
2. Verträge mit IT-Dienstleistern auf DORA-Anforderungen prüfen (Auslagerungsregister, Exit-Klauseln)
3. Bestehende Endpoint-Security und Monitoring-Lösungen auf Meldefähigkeit testen — nicht nur auf Erkennung

Institute, die diese Umstellung noch nicht dokumentiert haben, sollten das vor der nächsten BaFin-Prüfung nachholen — die Aufsicht prüft längst nach DORA-Maßstab, unabhängig davon, ob interne Dokumente noch BAIT oder VAIT zitieren.

Häufige Fragen zu BAIT, VAIT und DORA

Muss ich als Bank ab 2026 noch etwas aus der BAIT beachten?

Nur wenn Ihr Institut nicht bereits vollständig unter das ICT-Risikomanagement nach DORA fällt. Für diese Institute bleiben Teile der BAIT bis zum 31. Dezember 2026 anwendbar, danach gilt ausschließlich DORA.

Was ist der wichtigste Unterschied zwischen BAIT/VAIT und DORA?

DORA ist eine unmittelbar geltende EU-Verordnung statt eines nationalen Rundschreibens, gilt einheitlich für den gesamten Finanzsektor und schreibt deutlich konkretere Meldefristen sowie Pflichten für Dienstleister-Risikomanagement vor.

Wie schnell müssen IKT-Vorfälle unter DORA gemeldet werden?

DORA sieht eine gestufte Meldung vor: eine Erstmeldung kurz nach Feststellung eines schwerwiegenden Vorfalls, gefolgt von Zwischen- und Abschlussberichten. Die genauen Fristen regeln die zugehörigen technischen Regulierungsstandards.

Brauchen kleinere Institute auch ein 24/7-SOC für DORA?

Nicht zwingend als Eigenbetrieb. Viele mittelgroße Banken und Versicherer decken die Detection- und Meldepflichten über Managed Detection and Response ab, statt ein eigenes SOC-Team aufzubauen.

Was passiert, wenn ein Institut DORA nicht umsetzt?

Die BaFin kann aufsichtsrechtliche Maßnahmen ergreifen, von Auflagen bis zu Sanktionen. DORA selbst kennt keine eigene Schonfrist über 2026 hinaus — nur die Reste der alten BAIT laufen bis Ende 2026 stufenweise aus, DORA gilt seit Januar 2025 bereits vollständig.

Quelle: BaFin: DORA – Digital Operational Resilience Act

Sie wollen wissen, welche Detection- und Reporting-Lösung zu Ihrem Institut passt? Unser Produktberater hilft bei der Auswahl — oder lesen Sie zuerst, was EDR, XDR und MDR konkret unterscheidet.