DORA · BAIT-Ablösung
BAIT und DORA laufen nur noch bis zum Jahresende nebeneinander. Laut Bundesbank wird die BAIT mit Ablauf des 31. Dezember 2026 vollständig aufgehoben. VAIT, KAIT und ZAIT sind bereits seit Ablauf des 16. Januar 2025 Geschichte. Für Finanzdienstleistungsinstitute gilt DORA ab dem 1. Januar 2027. Wer seine Microsoft-365-Nachweise noch nach BAIT-Kapiteln sortiert, hat zwei Monate, um sie den DORA-Artikeln zuzuordnen.
Seit dem 17. Januar 2025 gilt DORA als EU-Verordnung unmittelbar. Institute, die ein IKT-Risikomanagement nach Art. 5 bis 15 oder nach Art. 16 DORA betreiben müssen, sind seitdem aus dem Anwenderkreis der BAIT herausgenommen. Die BAIT galt danach nur noch für Institute nach § 25a KWG, die DORA noch nicht anwenden.
Das sind vor allem Finanzdienstleistungsinstitute. Für sie gilt DORA nach dem Finanzmarktdigitalisierungsgesetz ab dem 1. Januar 2027, und mit Ablauf des 31. Dezember 2026 fällt die BAIT für alle weg. Die genaue Einordnung Ihres Hauses klären Sie mit Rechtsabteilung oder Verband. Dieser Artikel beschreibt die Umstellung der Microsoft-365-Nachweise.
Betroffen sind aber auch Banken, die DORA seit 2025 anwenden, deren Dokumentation intern aber weiter nach BAIT-Kapiteln gegliedert ist. Spätestens in der nächsten Prüfung wird nach Artikeln gefragt, nicht nach Kapiteln. Die BAIT-Gliederung als Inhaltsverzeichnis zu behalten, ist bequem, führt aber zu Lücken, weil DORA Themen enthält, die in der BAIT so nicht standen.
Baustein 1
IT-Strategie und IT-Governance aus den BAIT-Kapiteln 1 und 2 finden sich in DORA in Art. 5 wieder. Neu ist die Schärfe: Das Leitungsorgan trägt die letzte Verantwortung für das IKT-Risikomanagement, und seine Mitglieder müssen sich nach Art. 5 Abs. 4 durch regelmäßige Schulungen ausreichende Kenntnisse verschaffen. Art. 13 Abs. 6 verlangt Sensibilisierungsprogramme und Schulungen für alle Beschäftigten und die Geschäftsleitung.
Microsoft 365 liefert dafür das Werkzeug, nicht den Inhalt: Trainingskampagnen im Angriffssimulationstraining für die Belegschaft, Nutzungsbedingungen in Entra ID für die Bestätigung der Richtlinien. Die Schulung der Geschäftsleitung braucht ein eigenes Format und ein Protokoll.
Aus meinen Checks: Schulungen für die Belegschaft gibt es meistens. Ein Nachweis über eine Schulung der Leitung zu IKT-Risiken fehlt fast überall.
Prüferblick: Die Frage zu Art. 5 geht an die Geschäftsleitung, nicht an die IT. Wer dort nur auf den IT-Leiter verweist, beantwortet sie falsch.
Baustein 2
Informationsrisikomanagement und Informationssicherheitsmanagement aus den BAIT-Kapiteln 3 und 4 gehen in den IKT-Risikomanagementrahmen nach Art. 6 über. Er muss dokumentiert und mindestens einmal jährlich überprüft werden. Art. 8 verlangt, IKT-gestützte Unternehmensfunktionen, Informationsassets und IKT-Assets zu identifizieren und zu klassifizieren.
Für Microsoft 365 heißt das: Der Tenant ist ein IKT-Asset mit einer Konfiguration, die dokumentiert und regelmäßig gegen einen Sollzustand geprüft wird. Secure Score als Zeitreihe, eine Konfigurationsdokumentation mit Datum und ein Klassifizierungsschema für Daten mit Vertraulichkeitsbezeichnungen sind die Bausteine, die ein Prüfer hier erwartet.
Aus meinen Checks: Die Tenant-Konfiguration ist selten aktuell dokumentiert. Meist gibt es ein Einführungskonzept von vor einigen Jahren, das mit dem heutigen Stand wenig zu tun hat.
Prüferblick: "Wann wurde der Rahmen zuletzt überprüft, und was hat sich dabei geändert?" Ohne Datum und Änderungsprotokoll ist die jährliche Überprüfung nicht belegt.
Baustein 3
Das Identitäts- und Rechtemanagement aus BAIT-Kapitel 6 steckt in DORA in Art. 9 Abs. 4: Zugriffe auf das Notwendige beschränken und starke Authentifizierungsmechanismen einsetzen. In Microsoft 365 sind das Richtlinien für bedingten Zugriff, phishingresistente Anmeldung für Admins, Privileged Identity Management und eine regelmäßige Rezertifizierung.
Die Rezertifizierung war in der BAIT ausdrücklich gefordert, und an ihr ändert sich mit DORA nichts. Mit Zugriffsüberprüfungen läuft sie im Tenant statt per Excel. Wie Sie das aufsetzen, steht in Zugriffsüberprüfungen in Entra ID einrichten.
Aus meinen Checks: Rezertifizierungen laufen häufig noch manuell. Die Umsetzung der Ablehnungen ist dabei die schwächste Stelle.
Prüferblick: Der Prüfer zieht eine Stichprobe privilegierter Konten und fragt nach der letzten Bestätigung. Das Kapitel im Konzept interessiert ihn weniger als das Datum im System.
Baustein 4
Operative Informationssicherheit aus BAIT-Kapitel 5 wird in DORA zu Art. 10: Mechanismen, um anomale Aktivitäten zügig zu erkennen. In Microsoft 365 sind das Defender XDR mit seinen Vorfällen und das Überwachungsprotokoll in Purview.
Achten Sie auf die Aufbewahrung. Laut Microsoft werden Protokolle in Audit (Standard) 180 Tage aufbewahrt. Mit E5-Lizenzen gilt für Exchange, SharePoint, OneDrive und Entra ein Jahr, und über eigene Aufbewahrungsrichtlinien für Überwachungsprotokolle sind mit Zusatzlizenz bis zu zehn Jahre möglich. Legen Sie fest, welche Frist Sie für die Aufklärung von Vorfällen brauchen, und begründen Sie sie.
Aus meinen Checks: Viele Tenants laufen auf der Standardfrist. Wer einen Vorfall vom Jahresanfang im Herbst aufklären will, findet dann keine Protokolle mehr.
Prüferblick: Erkennung ohne ausreichende Protokolle ist nur halb belegt. Der Prüfer fragt, wie weit Sie einen Zugriff zurückverfolgen können.
Baustein 5
Das IT-Notfallmanagement aus BAIT-Kapitel 10 geht in Art. 11 (Reaktion und Wiederherstellung) und Art. 12 (Backup, Wiederherstellung) über. DORA verlangt Backup-Richtlinien, Verfahren zur Wiederherstellung und deren regelmäßigen Test.
Für Microsoft 365 heißt das: Die eingebauten Schutzmechanismen von Microsoft ersetzen keine eigene Entscheidung über Sicherung und Wiederherstellung. Dokumentieren Sie, welche Daten wie gesichert werden, wie schnell eine Wiederherstellung gelingen muss und wann sie zuletzt getestet wurde, mit Datum und Ergebnis.
Aus meinen Checks: Ein dokumentierter Wiederherstellungstest für Microsoft-365-Daten liegt selten vor. Meist verlässt man sich darauf, dass die Cloud schon sichert.
Prüferblick: "Zeigen Sie mir den letzten Wiederherstellungstest." Ein Konzept ohne Testprotokoll ist für Art. 12 kein Nachweis.
Baustein 6
Hier liegt der größte Unterschied. Auslagerungen und sonstiger Fremdbezug aus BAIT-Kapitel 9 werden in DORA zum Management des IKT-Drittparteienrisikos nach Art. 28 ff., mit Informationsregister nach Art. 28 Abs. 3 und Mindestinhalten für Verträge nach Art. 30. Microsoft gehört als IKT-Drittdienstleister in dieses Register. Wie das für Microsoft 365 konkret aussieht, steht in DORA und Microsoft 365: Drittanbieter-Risikomanagement.
Neu gegenüber der BAIT ist die Pflicht, IKT-bezogene Vorfälle nach Art. 17 bis 19 zu erfassen, zu klassifizieren und schwerwiegende Vorfälle zu melden. Die Vorfälle in Defender XDR sind dafür eine Datenquelle. Den Meldeprozess, die Klassifizierung und die Fristen ersetzen sie nicht.
Aus meinen Checks: Microsoft steht zwar als Dienstleister in den Unterlagen, aber die vertraglichen Unterlagen und die Exit-Überlegungen sind selten auf DORA-Stand.
Prüferblick: Informationsregister und Vorfallmeldung haben in der BAIT kein direktes Gegenstück. Wer nur sein BAIT-Mapping umbenennt, hat genau hier eine Lücke.
Für die meisten Nachweise aus Microsoft 365 ändert sich mit dem Ende der BAIT wenig an der Technik, aber viel an der Zuordnung. Rezertifizierung, Protokolle und Backups bleiben, sie hängen nur an anderen Stellen. Neu hinzu kommen die Verantwortung und Schulung der Leitung, das Informationsregister und die Vorfallmeldung.
Wer jetzt eine Tabelle anlegt mit DORA-Artikel, Kontrolle in Microsoft 365, Nachweis und Datum, geht mit einer sauberen Gliederung ins Jahr 2027. Wie Microsoft 365 insgesamt für Banken aufgestellt werden kann, zeigt die Seite Microsoft 365 für deutsche Banken. Die Daten zur Ablösung der BAIT finden Sie bei der Bundesbank.
Laut Bundesbank wird die BAIT mit Ablauf des 31. Dezember 2026 vollständig aufgehoben. Für Institute, die DORA bereits anwenden, gilt sie schon seit dem 17. Januar 2025 nicht mehr.
Nein. VAIT, KAIT und ZAIT wurden laut Bundesbank mit Ablauf des 16. Januar 2025 aufgehoben, um eine Doppelregulierung mit DORA zu vermeiden. Für Versicherer gilt seitdem DORA.
Nach dem Finanzmarktdigitalisierungsgesetz ab dem 1. Januar 2027. Bis dahin gilt für sie noch die BAIT.
Nur teilweise. Viele Kontrollen lassen sich übertragen, aber Informationsregister, Klassifizierung und Meldung von IKT-Vorfällen sowie die Schulungspflicht der Leitung haben in der BAIT kein direktes Gegenstück. Ordnen Sie jeden Nachweis einem DORA-Artikel zu.