Die IT-Rundschreiben der BaFin laufen aus, an ihre Stelle tritt die europäische Verordnung DORA. Bestehen bleibt das Risikomanagement nach den MaRisk, das mit der Novelle schlanker geworden ist. Für Institute, die beide Regelwerke umsetzen, ist entscheidend, ob die Anforderungen in einem gemeinsamen Modell verknüpft sind oder in zwei getrennten Ablagen liegen.
Stand: 23. September 2026
| Risiko | Kategorie | Brutto | Netto |
|---|---|---|---|
| Ausfall eines IKT-Dienstleisters | Operationell | ||
| Zinsänderung im Anlagebuch | Marktpreis | ||
| Konzentration im Kreditportfolio | Adressenausfall | ||
| Cybervorfall mit Kundendatenbezug | Operationell |
Die aufsichtlichen Anforderungen an die IT werden nach Angaben der BaFin im Wesentlichen von der EU-Verordnung DORA abgedeckt. Um Doppelregulierung zu vermeiden, hat die BaFin ihre Rundschreiben KAIT, VAIT und ZAIT zum 17. Januar 2025 aufgehoben, Kapitel 11 der BAIT ist entfallen, und die BAIT laufen zum 31. Dezember 2026 vollständig aus. Was bleibt, ist das Risikomanagement nach den Mindestanforderungen an das Risikomanagement, kurz MaRisk.
Die MaRisk gelten in der Fassung des Rundschreibens 06/2026 (BA) vom 30. Juni 2026. Die Novelle ist stärker prinzipienorientiert, die Komplexität wurde nach Angaben der BaFin deutlich reduziert, der Umfang von 122 auf rund 80 Seiten.
Zwei Entwicklungen laufen parallel: Die IT-Rundschreiben werden aufgehoben, das Risikomanagement wird neu gefasst.
DORA gilt. Die BaFin hebt die drei Rundschreiben auf, um Doppelregulierung zu vermeiden.
Institute, die die Artikel 5 bis 15 oder Artikel 16 der DORA anwenden, sind von den BAIT befreit. Kapitel 11 entfällt.
Rundschreiben 06/2026 (BA). Die Novelle ist stärker prinzipienorientiert und von 122 auf rund 80 Seiten gekürzt.
Die BaFin veröffentlicht ein eigenes Rundschreiben für kleine und mittlere Wertpapierinstitute.
Danach gibt es kein eigenes IT-Rundschreiben der BaFin für Banken mehr.
Ab diesem Zeitpunkt müssen weitere Institute die Anforderungen der Verordnung erfüllen.
Die Angaben zu den IT-Rundschreiben stammen aus der Meldung der BaFin zum Geltungsbeginn von DORA, die Angaben zur MaRisk-Novelle aus dem Rundschreiben und dem begleitenden Fachartikel.
Betroffen sind Banken, Versicherer, Kapitalverwaltungs- und Zahlungsinstitute, jeweils in unterschiedlicher Weise. Für die MaRisk spielt seit der Novelle zusätzlich die Institutsgröße eine Rolle.
Die Novelle führt nach Angaben der BaFin drei Größenklassen ein, im Wesentlichen nach der Bilanzsumme: sehr kleine Institute bis eine Milliarde Euro, kleine Institute sowie die übrigen weniger bedeutenden Institute. Je kleiner das Institut, desto mehr Spielraum besteht bei der Anwendung.
Die BaFin nennt als Beispiel die Stresstests: Sehr kleine Institute könnten jetzt auf fünf Stresstests kommen, teilweise nur jährlich statt vierteljährlich. Bei der internen Berichterstattung bestimmt die Geschäftsleitung eigenverantwortlich, welche Teilberichte aktualisiert werden müssen.
Für kleine und mittlere Wertpapierinstitute hat die BaFin ein eigenes Rundschreiben veröffentlicht. Für diese Institute sind die Anforderungen dort geregelt, nicht in der Fassung für Banken.
Acht Punkte, die in jeder Prüfung eine Rolle spielen, unabhängig davon, ob sie das Risikomanagement oder die IT betreffen.
| Anforderung | Seite | Worauf es ankommt | So bilden Sie es in CRISAM® ab |
|---|---|---|---|
| Risikoinventar führen | Risiko | Ein vollständiges Bild der wesentlichen Risiken, über Kategorien hinweg und nicht nur dort, wo zuletzt etwas passiert ist | Risiken lassen sich über Assistenten strukturiert identifizieren und bewerten. Unternehmensstrukturen werden flexibel aus Risikoperspektive modelliert. |
| Angemessen bewerten | Risiko | Die Bewertungsmethode muss zur Bedeutung des Risikos passen. Wo es auf Beträge ankommt, reicht eine reine Einstufung in Klassen nicht aus | Je nach Reifegrad stehen qualitative und quantitative Bewertungsmethoden zur Verfügung, auch über mehrere Perioden hinweg. Für die Gesamtsicht stehen Monte-Carlo-Simulationen bereit. |
| Kontrollen verankern | IKS | Kontrollen müssen einem Risiko zugeordnet sein, sonst lässt sich ihre Wirkung nicht beurteilen | Risiken, Kontrollen, Compliance-Anforderungen und Audits werden gemeinsam betrachtet. Kontrollen werden regelmäßig durchgeführt und nachverfolgt, einmalig oder wiederkehrend. |
| IKT-Risiken anschließen | IT | Seit DORA sind die IT-Anforderungen in der Verordnung geregelt. Werden IKT-Risiken getrennt geführt, fehlen sie in der Gesamtsicht des Instituts | Die DORA-Erweiterung ist in ISMS, Business Continuity Management, Risikomanagement und Audit integriert. Die Abbildung und Bewertung der DORA-Anforderungen schließt die zugehörigen RTS- und ITS-Dokumente ein. |
| Dienstleister im Blick behalten | IT | Auch bei einer Auslagerung bleibt das Risiko beim Institut. Es muss erkennbar sein, welche Funktion von welchem Dienstleister erbracht wird | Kritische oder wichtige Funktionen werden strukturiert klassifiziert und die daraus abgeleiteten IKT-Dienstleistungen nachvollziehbar dokumentiert. Das Informationsregister lässt sich aufbauen, pflegen und exportieren. |
| Maßnahmen steuern | Risiko | Jede Maßnahme braucht einen Verantwortlichen, eine Frist und eine Wirksamkeitskontrolle | Maßnahmen zur Risikominimierung werden workflowgestützt geplant, umgesetzt und überwacht. Die Brutto- und Nettosicht zeigt die Wirksamkeit. |
| An die Leitung berichten | Bericht | Die Geschäftsleitung muss rechtzeitig und in entscheidungsfähiger Form informiert sein. Seit der Novelle entscheidet sie selbst, welche Teilberichte fortgeschrieben werden | Interaktive Dashboards zeigen Risiken, Workflows, Maßnahmen und Status. Management-Reports und individuell konfigurierbare Berichte richten sich an Entscheidungsträger. |
| Prüfungen standhalten | Nachweis | Interne Revision, Abschlussprüfer und Aufsicht fragen nicht nur nach dem Ergebnis, sondern auch nach dem Weg dorthin | Alle Kontrollen, Maßnahmen, Änderungen und Ergebnisse werden zentral dokumentiert, versioniert und auditierbar historisiert. Audit- und Prüfungsreports unterstützen interne und externe Prüfungen. |
Vom Risikoinventar bis zu den Unterlagen, die Revision und Prüfer erhalten.
Der Assistent führt durch die Erfassung. Ob qualitativ oder quantitativ bewertet wird, hängt davon ab, wie das Risiko wirkt, und nicht davon, welcher Kategorie es zugeordnet ist.
Dasselbe Risiko taucht im Risikoinventar und in der IKT-Sicht auf. Es wird einmal erfasst und in beiden Sichten ausgewertet.
Kontrollen gehören ans RisikoErst die Zuordnung macht sichtbar, wie viel von der Bruttobewertung nach den Kontrollen übrig bleibt.
Verantwortung und TerminJedes Risiko hat einen Verantwortlichen und einen Termin zur Überprüfung. Beides gehört zum Nachweis.
Kontrollen ohne Risikobezug verursachen Aufwand, ohne etwas auszusagen. Erst die Zuordnung zeigt, welche Kontrolle welches Risiko senkt und wo keine Kontrolle greift.
| Kontrolle | Risiko | Turnus | Letzter Test | Wirksamkeit |
|---|---|---|---|---|
| Vieraugenprinzip bei Zahlläufen | Operationell | monatlich | 04.09.2026 | |
| Limitüberwachung Anlagebuch | Marktpreis | täglich | 04.09.2026 | |
| Kreditnehmereinheiten prüfen | Adressenausfall | quartalsweise | 21.08.2026 | |
| Ausweichverfahren testen | Operationell | jährlich | 18.02.2026 | |
| Berechtigungen überprüfen | Operationell | halbjährlich | überfällig | |
| Dienstleisterberichte auswerten | Operationell | quartalsweise | überfällig |
Die IT-Anforderungen sind seit DORA in der Verordnung geregelt. Sie werden nicht separat geführt, sondern mit denselben Objekten verknüpft wie die übrigen Risiken.
| Funktion | Dienstleister | Einstufung | Vertrag | Register |
|---|---|---|---|---|
| Zahlungsverkehr | Dienstleister A | geprüft | vollständig | |
| Kernbankensystem | Dienstleister B | geprüft | vollständig | |
| Kundenportal | Dienstleister C | in Prüfung | teilweise | |
| Archivierung | Dienstleister D | offen | teilweise | |
| Reporting | intern | nicht erforderlich | vollständig |
| Punkt | Wirkung | Verantwortlich |
|---|---|---|
| Zwei Verträge ohne geprüfte Wiederanlaufzeiten | Nachweis unvollständig | Auslagerungsbeauftragter |
| Resilienztests nicht für alle kritischen Funktionen | Lücke im Testprogramm | Informationssicherheit |
Aus jeder Lücke entsteht eine Maßnahme mit Verantwortung und Frist. Der Umsetzungsstand ist am selben Objekt dokumentiert wie der Befund.
Seit der Novelle entscheidet die Geschäftsleitung selbst, welche Teilberichte fortgeschrieben werden. Das setzt voraus, dass jeder Teilbericht eigenständig aktualisiert werden kann.
| Teilbericht | Inhalt | Turnus | Empfänger | Status |
|---|---|---|---|---|
| Gesamtrisikoprofil | Risiken je Kategorie, Netto | quartalsweise | Geschäftsleitung | |
| Operationelle Risiken | Schadensfälle und Maßnahmen | quartalsweise | Geschäftsleitung | |
| IKT und Auslagerungen | Kritische Funktionen, Vorfälle | quartalsweise | Geschäftsleitung | |
| Stresstests | Szenarien und Ergebnisse | jährlich | Geschäftsleitung | |
| Kontrollwirksamkeit | Testergebnisse je Kontrolle | halbjährlich | Revision | |
| Maßnahmenstand | Offene Punkte mit Frist | monatlich | Fachbereiche |
Am Ende übergeben Sie Revision, Abschlussprüfer und Aufsicht den Stand je Themenfeld mit den zugehörigen Unterlagen.
| Unterlage | Inhalt | Stand | Verantwortlich | Status |
|---|---|---|---|---|
| Risikoinventar | 142 Risiken mit Verantwortlichen | 04.09.2026 | Risikocontrolling | |
| Kontrollverzeichnis | 318 Kontrollen mit Risikobezug | 04.09.2026 | Compliance | |
| Informationsregister | Kritische und wichtige Funktionen | 30.06.2026 | Auslagerungsbeauftragter | |
| Vorfalldokumentation | IKT-Vorfälle mit Einstufung | laufend | Informationssicherheit | |
| Berichte an die Leitung | Sechs fortlaufende Teilberichte | laufend | Risikocontrolling | |
| Maßnahmenverzeichnis | 26 offene Punkte mit Frist | laufend | Fachbereiche |
Gesamtverantwortung, Entscheidung über Berichtsumfang und Maßnahmen.
Inventar, Bewertung, Stresstests, Berichte an die Leitung.
Kontrollen, Dienstleisterbeziehungen, Informationsregister.
Prüfung der Angemessenheit und Wirksamkeit, Begleitung externer Prüfungen.
Risikomanagement und IKT-Anforderungen beziehen sich auf dieselben Objekte: Prozesse, Dienstleister, Kontrollen. In CRISAM® erheben Sie diese nur einmal.
Die DORA-Erweiterung ist in ISMS, Business Continuity Management, Risikomanagement und Audit integriert. Was DORA im Einzelnen verlangt, steht auf der eigenen Seite.
Risiken, Kontrollen, Compliance-Anforderungen und Audits werden gemeinsam betrachtet. Dadurch entstehen konsistente Sichten statt paralleler Listen.
Die interne Revision leitet ihre Prüfungsprioritäten aus demselben Risikomodell ab, statt aus einer eigenen Liste.
Wiederanlauf und Notbetrieb sind Gegenstand des Business Continuity Managements. Dieselben Pläne belegen auch die operationelle Resilienz.
Die beiden Regelwerke haben unterschiedliche Schwerpunkte. Die MaRisk regeln das Risikomanagement des Instituts insgesamt, DORA regelt die digitale operationale Resilienz. Seit die IT-Rundschreiben der BaFin auslaufen, sind die IT-Anforderungen in der Verordnung geregelt. Entscheidend ist deshalb nicht, welches Regelwerk gilt, sondern ob beide auf denselben Objekten aufsetzen.
| Kriterium | MaRisk | DORA |
|---|---|---|
| Art | Rundschreiben der BaFin, zuletzt 06/2026 (BA) vom 30. Juni 2026 | Verordnung der Europäischen Union, unmittelbar anwendbar |
| Gegenstand | Mindestanforderungen an das Risikomanagement | Digitale operationale Resilienz im Finanzsektor |
| Zuschnitt | Prinzipienorientiert, mit drei Größenklassen und mehr Spielraum für kleine Institute | Einheitlich, ergänzt um technische Regulierungs- und Durchführungsstandards |
| IT und IKT | Die aufsichtlichen Anforderungen an die IT werden nach Angaben der BaFin im Wesentlichen von DORA abgedeckt | IKT-Risikomanagement, Vorfälle, Tests, Drittparteienrisiko und Informationsregister |
| Was die Vorgänger betrifft | Bleibt bestehen und wurde neu gefasst | KAIT, VAIT und ZAIT aufgehoben, BAIT laufen zum 31. Dezember 2026 aus |
| Was am Ende steht | Ein Risikomanagement, das Revision, Abschlussprüfer und Aufsicht nachvollziehen können | Nachweise gegenüber der Aufsicht, darunter das Informationsregister |
| Abbildung in CRISAM® | Risiken, Kontrollen, Maßnahmen und Berichte in einer Plattform, revisionssicher historisiert | Über die DORA-Erweiterung, integriert in ISMS, Business Continuity Management, Risikomanagement und Audit |
Weniger bei den Regelwerken selbst als an den Schnittstellen zwischen ihnen. Ein Dienstleister, der eine kritische Funktion betreibt, ist ein Fall für das Informationsregister und zugleich ein operationelles Risiko. Wird beides getrennt geführt, entstehen widersprüchliche Datenstände, die spätestens der Revision auffallen. Eine Übersicht aller Regelwerke finden Sie unter Normen und Standards.
Der erste Schritt hängt davon ab, wo Sie heute stehen.
Dann beginnen Sie mit der Zuordnung. Bestandsdaten lassen sich über eine csv- oder Rest-API-Schnittstelle übernehmen. Danach ist jede Kontrolle mit dem Risiko verknüpft, das sie senken soll.
Dann ist die DORA-Erweiterung der nächste Schritt. Das enthaltene Knowledge Pack stellt über 55 Bausteine und mehr als 700 Kontrollziele bereit, gegliedert nach Unternehmensgröße und für IKT-Dienstleister.
Dann kommt es darauf an, dass jeder Teilbericht eigenständig aktualisiert werden kann. Dashboards und individuell konfigurierbare Berichte lassen sich je Empfänger und Turnus zuschneiden.
Sie benötigen dafür die CRISAM® GRC Plattform, je nach Ausgangslage das CRISAM® IRM Modul oder das CRISAM® ISMS Modul, für die IKT-Seite zusätzlich das DORA Knowledge Pack. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.
Die aufsichtlichen Anforderungen an die IT werden nach Angaben der BaFin im Wesentlichen von der EU-Verordnung DORA abgedeckt. Um Doppelregulierung zu vermeiden, hat die BaFin ihre Rundschreiben KAIT, VAIT und ZAIT zum 17. Januar 2025 aufgehoben, Kapitel 11 der BAIT ist entfallen, und die BAIT laufen zum 31. Dezember 2026 vollständig aus. Was bleibt, ist das Risikomanagement nach den Mindestanforderungen an das Risikomanagement, kurz MaRisk.
Es gilt die Fassung des Rundschreibens 06/2026 (BA) vom 30. Juni 2026. Die Novelle ist stärker prinzipienorientiert, die Komplexität wurde nach Angaben der BaFin deutlich reduziert, der Umfang von 122 auf rund 80 Seiten. Für kleine und mittlere Wertpapierinstitute hat die BaFin ein eigenes Rundschreiben veröffentlicht.
Die Novelle führt nach Angaben der BaFin drei Größenklassen ein, im Wesentlichen nach der Bilanzsumme: sehr kleine Institute bis eine Milliarde Euro, kleine Institute sowie die übrigen weniger bedeutenden Institute. Als Beispiel nennt die BaFin die Stresstests, bei denen sehr kleine Institute auf fünf Stresstests kommen könnten, teilweise nur jährlich statt vierteljährlich. Bei der internen Berichterstattung bestimmt die Geschäftsleitung eigenverantwortlich, welche Teilberichte aktualisiert werden müssen.
Die beiden Regelwerke haben unterschiedliche Schwerpunkte. Die MaRisk regeln das Risikomanagement des Instituts insgesamt, DORA regelt die digitale operationale Resilienz. Seit die IT-Rundschreiben der BaFin auslaufen, sind die IT-Anforderungen in der Verordnung geregelt. Entscheidend ist deshalb nicht, welches Regelwerk gilt, sondern ob beide auf denselben Objekten aufsetzen.
Sie laufen aus. Nach Angaben der BaFin sind Institute, die die Artikel 5 bis 15 oder Artikel 16 der DORA anwenden, seit dem 17. Januar 2025 von den Anforderungen der BAIT befreit, und Kapitel 11 ist entfallen. Zum 31. Dezember 2026 werden die BAIT vollständig aufgehoben. Ab dem 1. Januar 2027 müssen weitere Institute die Anforderungen der Verordnung erfüllen.
Nein. Die BaFin hat diese drei Rundschreiben zum 17. Januar 2025 aufgehoben, dem Tag, an dem DORA gilt. Nach Angaben der BaFin soll so eine Doppelregulierung vermieden werden.
Sie sind über dieselben Objekte verknüpft. Ein Dienstleister, der eine kritische Funktion betreibt, ist ein Eintrag im Informationsregister und zugleich ein operationelles Risiko. In CRISAM® werden Risiken, Kontrollen, Compliance-Anforderungen und Audits gemeinsam betrachtet, und die DORA-Erweiterung ist in ISMS, Business Continuity Management, Risikomanagement und Audit integriert.
Entscheidend ist, ob Risiko, Kontrolle, Dienstleister und Nachweis in einem gemeinsamen Modell verknüpft sind. CRISAM® bewertet Risiken qualitativ und quantitativ in einer Brutto- und Nettosicht, führt Kontrollen mit Risikobezug und Wirksamkeitstests, steuert Maßnahmen workflowgestützt mit Verantwortlichkeiten und Fristen und dokumentiert alle Änderungen versioniert und auditierbar. Für die IKT-Seite bildet die DORA-Erweiterung die Anforderungen einschließlich der RTS- und ITS-Dokumente ab und unterstützt Aufbau, Pflege und Export des Informationsregisters.
Die Angaben zu den aufsichtlichen Anforderungen auf dieser Seite stammen aus den folgenden Veröffentlichungen der Bundesanstalt für Finanzdienstleistungsaufsicht.
Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.
In der Demo gehen wir Ihren Fall durch: Risikoinventar, Kontrollen mit Risikobezug, IKT-Risiken und Dienstleister, Maßnahmen mit Frist und die Unterlagen für Revision und Prüfer.
Bleiben wir in Kontakt
Telefon
Newsletter
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
