Glossarbegriff
BaFin DORA-Aufsichtsmitteilung
Auch: BaFin Merkblatt DORA, BaFin Rundschreiben DORA
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
Relevante BaFin-Publikationen seit DORA-Geltung (17. Januar 2025): Aufsichtsmitteilung zur Erstanwendung, Hinweise zum ICT-Drittparteien-Informationsregister, Fachartikel zur Anwendung von Art. 28-30, Hinweise zur TLPT-Pflicht und zum Verhältnis BAIT/VAIT zu DORA. Veröffentlichungen erfolgen auf bafin.de unter 'Veröffentlichungen' und im BaFin-Journal.
Inhaltliche Schwerpunkte 2025/2026: Erwartungshaltung bei Vertragsanpassungen nach Art. 30, Konzentrationsrisiko-Analyse bei Hyperscalern, Übergangsregeln BAIT/VAIT/MaRisk, Behandlung bestehender Sub-Outsourcing-Ketten, Anforderungen an Exit-Strategien. BaFin betont durchgängig: Eigenverantwortung des Vorstands, nicht delegierbare Aufsicht.
In der Praxis
Verhältnis zu EU-Recht: BaFin-Hinweise sind keine Rechtsetzung, sondern Auslegung. EBA/EIOPA/ESMA Q&A und RTS sind primäre Quelle, BaFin-Mitteilungen konkretisieren für die deutsche Aufsichts-Praxis. Bei Konflikten gilt EU-Recht, BaFin-Mitteilungen sind aber faktisch Maßstab bei deutschen Vor-Ort-Prüfungen.
Verwandte Begriffe
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.
VAIT
Rundschreiben der BaFin für Versicherungsunternehmen. Pendant zur BAIT im Bankenbereich, abgeleitet aus MaGo (Mindestanforderungen an die Geschäftsorganisation). Regelt IT-Strategie, Informationssicherheit, Benutzerberechtigungen, IT-Projekte und Auslagerungen.
ICT Third-Party Risk
Sammelbegriff für Risiken aus dem Einsatz externer ICT-Lieferanten: Cloud-Provider, SaaS-Anbieter, MSPs, MSSPs. Unter DORA Art. 28 explizit reguliert; jeder kritische Lieferant muss in einem Register stehen und einer dokumentierten Eignungsprüfung folgen.
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.
BSI C5
Prüfkatalog des BSI für Cloud-Dienste, der eine Mindest-Sicherheitsbasis und Transparenzpflichten definiert. Wird über ein C5-Testat durch unabhängige Wirtschaftsprüfer nachgewiesen. De-facto-Standard für Cloud-Beschaffung im deutschen Markt.
BYOK / HYOK (Bring/Hold Your Own Key)
Schlüssel-Management-Modelle in Cloud-Umgebungen: BYOK bedeutet, der Kunde bringt seinen eigenen Schlüssel in den Cloud-KMS ein. HYOK bedeutet, der Schlüssel verlässt nie die Kunden-Infrastruktur, nur die Operationen werden bei Bedarf an den KMS delegiert.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).