Kurzdefinition: BAIT, VAIT und KAIT sind aufsichtliche Rundschreiben der BaFin, die die IT-Anforderungen an Banken (BAIT), Versicherer (VAIT) und Kapitalverwaltungsgesellschaften (KAIT) konkretisieren. Sie konkretisieren die Anforderung an eine ordnungsgemäße Geschäftsorganisation; für viele Finanzunternehmen werden sie durch die unmittelbar geltenden DORA-Vorgaben überlagert. [N-KWG-25a]
Der Normwortlaut
§ 25a Abs. 1 KWG bestimmt: „Ein Institut muss über eine ordnungsgemäße Geschäftsorganisation verfügen, die die Einhaltung der vom Institut zu beachtenden gesetzlichen Bestimmungen … gewährleistet.“ Eine ordnungsgemäße Geschäftsorganisation muss insbesondere „ein angemessenes und wirksames Risikomanagement“ umfassen — der Anknüpfungspunkt, den BAIT und die DORA konkretisieren. [N-KWG-25a]
Was sind BAIT, VAIT und KAIT?
Aufsichtliche IT-Rundschreiben. Sie konkretisieren, wie Institute, Versicherer und Kapitalverwaltungsgesellschaften ihre IT ordnungsgemäß organisieren müssen — auf Grundlage der jeweiligen Aufsichtsgesetze. [N-KWG-25a]
Sind sie Gesetze?
Nein. Es sind Verwaltungsvorschriften der BaFin (Rundschreiben), die die gesetzlichen Anforderungen — etwa § 25a KWG — konkretisieren und die Verwaltungspraxis abbilden. [N-KWG-25a]
Wie verhalten sie sich zu DORA?
DORA überlagert vieles. Für die von DORA erfassten Finanzunternehmen gelten die unmittelbar anwendbaren DORA-Vorgaben; die Rundschreiben treten insoweit zurück oder werden angepasst. [N-KWG-25a]
Für wen gelten sie?
Je nach Sektor. BAIT für Banken, VAIT für Versicherer, KAIT für Kapitalverwaltungsgesellschaften — jeweils auf Grundlage des passenden Aufsichtsgesetzes. [N-KWG-25a]
Warum sind sie noch relevant?
Als Auslegungshilfe. Auch wo DORA greift, prägen die etablierten Anforderungen das Verständnis guter IT-Governance. [N-KWG-25a]
Häufige Fehlannahmen
- „BAIT/VAIT/KAIT sind Gesetze.“ Nein. Es sind aufsichtliche Rundschreiben. [N-KWG-25a]
- „Sie gelten unverändert neben DORA.“ Nicht durchgehend. DORA überlagert für erfasste Unternehmen. [N-KWG-25a]
- „Sie betreffen alle Unternehmen.“ Nein. Nur die jeweiligen Finanzsektoren. [N-KWG-25a]
- „IT-Governance ist damit optional.“ Nein. § 25a KWG verlangt ein wirksames Risikomanagement. [N-KWG-25a]
- „Mit DORA sind sie bedeutungslos.“ Nein. Sie bleiben Auslegungshilfe. [N-KWG-25a]
Was die Geschäftsleitung tun sollte
- Rechtslage klären. Prüfen, ob DORA oder die Rundschreiben maßgeblich sind.
- Governance ausrichten. IT-Organisation an § 25a KWG und DORA orientieren.
- Sektor zuordnen. Das passende Regelwerk (BAIT/VAIT/KAIT) bestimmen.
- Aktualität sichern. Anpassungen durch DORA nachvollziehen.
Für die Geschäftsleitung
BAIT, VAIT und KAIT konkretisieren die IT-Anforderungen der Finanzaufsicht — für viele Unternehmen heute im Licht von DORA zu lesen. Wer erfasst ist, sollte klären, welche Vorgaben unmittelbar gelten und welche nur noch als Auslegungshilfe dienen.
Quellen
- [N-KWG-25a] § 25a KWG (Besondere organisatorische Pflichten; ordnungsgemäße Geschäftsorganisation), Abs. 1. Amtlich: https://www.gesetze-im-internet.de/kredwg/__25a.html
