Glossarbegriff
BAIT
Auch: Bankaufsichtliche Anforderungen an die IT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.
Die BAIT richtet sich an alle Kreditinstitute im Geltungsbereich des KWG. Sie ist ergänzendes Auslegungsmaterial zu MaRisk und damit faktisch verpflichtend, auch wenn es sich um ein Rundschreiben handelt. Aktuelle Fassung: BAIT 2021 mit Anpassungen.
Inhalte: IT-Strategie und -Governance, Informationsrisikomanagement, Informationssicherheits-Management, Benutzerberechtigungs-Management (inkl. Joiner-Mover-Leaver), IT-Projekte und Anwendungsentwicklung, IT-Betrieb, Auslagerungen, kritische Infrastrukturen.
In der Praxis
Verhältnis zu DORA: DORA löst BAIT in vielen Punkten ab, bleibt aber nicht ohne BAIT-Bezug. BaFin-Prüfer arbeiten 2025/2026 in einer Übergangsphase. Banken müssen DORA und BAIT-Logik parallel beherrschen.
Verwandte Begriffe
VAIT
Rundschreiben der BaFin für Versicherungsunternehmen. Pendant zur BAIT im Bankenbereich, abgeleitet aus MaGo (Mindestanforderungen an die Geschäftsorganisation). Regelt IT-Strategie, Informationssicherheit, Benutzerberechtigungen, IT-Projekte und Auslagerungen.
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.
BSI C5
Prüfkatalog des BSI für Cloud-Dienste, der eine Mindest-Sicherheitsbasis und Transparenzpflichten definiert. Wird über ein C5-Testat durch unabhängige Wirtschaftsprüfer nachgewiesen. De-facto-Standard für Cloud-Beschaffung im deutschen Markt.
BYOK / HYOK (Bring/Hold Your Own Key)
Schlüssel-Management-Modelle in Cloud-Umgebungen: BYOK bedeutet, der Kunde bringt seinen eigenen Schlüssel in den Cloud-KMS ein. HYOK bedeutet, der Schlüssel verlässt nie die Kunden-Infrastruktur, nur die Operationen werden bei Bedarf an den KMS delegiert.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.