Für Nicht-CRR-Kreditinstitute, d. h. Kreditinstitute nach dem Kreditwesengesetz, die nicht unter die EU-Eigenkapitalverordnung CRR (Capital Requirements Regulation, CRR – Verordnung (EU) Nr. 575/2013) fallen, steht zum Jahreswechsel 2026/2027 eine wichtige Veränderung im Bereich der Informations- und Kommunikationstechnologie bevor: Die bisher geltenden Bankaufsichtlichen Anforderungen an die IT (BAIT) treten für sie außer Kraft. An ihre Stelle tritt der europäische Digital Operational Resilience Act (DORA). Dabei handelt es sich nicht um die erstmalige Einführung von DORA oder einen neuen allgemeinen DORA-Termin, sondern um die erstmalige Anwendung von DORA auf Institute, welche bislang nicht unmittelbar dem EU-Regulierungswerk DORA unterlagen.
BAIT als bisheriger aufsichtsrechtlicher Rahmen
Die BAIT konkretisieren die Anforderungen an die IT von Kreditinstituten und bilden seit mehreren Jahren einen wesentlichen Bestandteil der IT-Aufsicht in Deutschland. Im Mittelpunkt stehen unter anderem die IT-Governance, Informationssicherheitsmanagement, IT-Risikomanagement, IT-Projekte sowie der Umgang mit IT-Auslagerungen. Für Kreditinstitute bedeutet das: IT-Risiken müssen nicht nur technisch, sondern auch organisatorisch und auf Ebene der Unternehmensführung angemessen berücksichtigt werden.
DORA nicht neu in der Finanzbranche
DORA gilt grundsätzlich bereits seit dem 17. Januar 2025 für einen sehr großen Teil des Finanzsektors. Die BaFin beschreibt DORA als Regelwerk, das „so gut wie alle beaufsichtigten Finanzunternehmen“ erfasst. Dazu gehören beispielsweise klassische Kreditinstitute, Zahlungsinstitute, Wertpapierfirmen, Versicherungsunternehmen und weitere Finanzunternehmen. Das Hauptziel ist es, die digitale und operative Widerstandsfähigkeit des europäischen Finanzsektors gegenüber Cyberangriffen und IT-Störungen zu stärken. Nicht-CRR-Kreditinstitute werden aufgrund der deutschen Regelungen zum Jahreswechsel in den DORA-Anwendungsbereich einbezogen. Für sie ist der 1. Januar 2027 daher ein wichtiger Stichtag.
Nicht-CRR-Kreditinstitute und Einrichtungen – wer ist betroffen?
Nach § 1a KWG und dem Aufsichtsrecht zählen dazu insbesondere folgende Institute und Einrichtungen:
- Kreditinstitute mit Sonderstatus / Spezialinstitute
Bestimmte Förderbanken oder Institute mit eingeschränkter Lizenz, die nicht das klassische Einlagen- und Kreditgeschäft im Sinne der CRR in vollem Umfang betreiben. - Wohnungsunternehmen mit Spareinrichtung
Unternehmen, die neben ihrer eigentlichen Wohnungsbautätigkeit Spareinlagen annehmen (§ 1a Abs. 1 Nr. 3 KWG). - Bestimmte Zentralverwahrer
Kreditinstitute, die ausschließlich über eine Zulassung als Zentralverwahrer nach der EU-Zentralverwahrer-Verordnung (CSDR) verfügen (§ 1a Abs. 1 Nr. 2 KWG). - Bürgschaftsbanken
Kreditinstitute, die Bürgschaften für den Mittelstand übernehmen und im KWG teilweise von spezifischen CRR-Vorschriften ausgenommen sind. - Skontroführer an Börsen
Kreditinstitute, soweit sie ausschließlich als Skontroführer nach dem Börsengesetz tätig und keine CRR-Institute sind (z. B. nach § 340c HGB). - Finanzdienstleistungsinstitute (historisch/übergreifend)
Gewisse unter das KWG fallende Finanzdienstleister, sofern sie nicht als klassische Banken oder Wertpapierinstitute im Sinne des WpIG eingestuft sind.
Was ändert sich zum 1. Januar 2027 für Nicht-CRR-Kreditinstitute?
Für die betroffenen Institute gilt ab dem 1. Januar 2027 insbesondere der vereinfachte IKT-Risikomanagementrahmen nach Artikel 16 DORA. Gleichzeitig endet die Anwendung der BAIT mit Ablauf des 31. Dezember 2026.
Der Wechsel bedeutet allerdings nicht, dass bestehende IT-Strukturen oder Prozesse vollständig neu aufgebaut werden müssen. Vielmehr bietet es sich an, die bereits vorhandenen BAIT-Strukturen als Ausgangspunkt zu nutzen und systematisch zu prüfen, welche Anforderungen unter DORA weitergeführt, angepasst oder ergänzt werden müssen.
Wie kann man sich als Nicht-CRR-Kreditinstitut auf die neuen Anforderungen ab dem 1. Januar 2027 vorbereiten? Diese Frage steht im Mittelpunkt unseres demnächst erscheinenden Beitrags: „DORA ab 2027: Was Nicht-CRR-Kreditinstitute jetzt vorbereiten müssen“.
Jörg Richarz ist als Senior Management Consultant bei Security Assist tätig. Seine Beratungsschwerpunkte liegen in der Informationssicherheit, im Datenschutz, Business Continuity Management und in der Physischen Sicherheit.