Rundschreiben
10/2017 (BA)

Bankaufsichtliche Anforderungen an die IT (BAIT)

Darin:
1 IT-Strategie
2 IT-Governance
3 Informationsrisikomanagement
4 Informationssicherheitsmanagement
5 Operative Informationssicherheit
6 Identitäts- und Rechtemanagement
7 IT-Projekte und Anwendungsentwicklung
8 IT-Betrieb
9 Auslagerungen und sonstiger Fremdbezug von IT-Dienstleistungen
10 IT-Notfallmanagement
11 Management der Beziehungen mit Zahlungsdienstnutzern
12 Kritische Infrastrukturen
Laut BaFin mit Ablauf des 16. Januar 2025 aufgehoben

BAIT (12 Kapitel, 34 Seiten)
Rundschreiben 10/2017 (BA) in der Fassung vom 24Dec2024

(auch in Englisch verfügbar)

Kapitalverwaltungsaufsichtliche Anforderungen an die IT (KAIT)
Laut BaFin mit Ablauf des 16. Januar 2025 aufgehoben

Rundschreiben 10/2018 (VA)

Versicherungsaufsichtliche Anforderungen an die IT (VAIT)
Laut BaFin mit Ablauf des 16. Januar 2025 aufgehoben

Rundschreiben 11/2021 (BA)

Zahlungsdiensteaufsichtliche Anforderungen an die IT (ZAIT)
Laut BaFin mit Ablauf des 16. Januar 2025 aufgehoben

Rundschreiben 05/2023 (BA)

Mindestanforderungen an das Risikomanagement - MaRisk

Darin insbesondere:
AT 7.1 Personal
AT 7.2 Technisch-organisatorische Ausstattung
AT 7.3 Notfallmanagement
AT 8.2 Änderungen betrieblicher Prozesse oder Strukturen
AT 9 Auslagerung

MaRisk (BA) (55 Seiten)
MaRisk 8.0 / 7.Novelle: Rundschreiben 05/2023 (BA) vom 29.06.2023

MaRisk (BA) (56 Seiten) und Erläuterungen (122 Seiten)
MaRisk 9.0 / 8.Novelle: Rundschreiben 06/2024 (BA) vom 29.05.2024

final:
(EU)2022/2554

gilt ab 17 Januar 2025

Verordnung (EU) 2022/2554
über die digitale operationale Resilienz im Finanzsektor
("DORA"). Darin die Kapitel:

I - Allgemeine Bestimmungen
II - IKT-Risikomanagement
III - Behandlung, Klassifizierung und Berichterstattung IKT-bezogener Vorfälle
IV - Testen der digitalen operationalen Resilienz
V - Management des IKT-Drittparteienrisikos
VI - Vereinbarungen über den Austausch von Informationen
VII - Zuständige Behörden
VIII - Delegierte Rechtsakte
IX - Übergangs- und Schlussbestimmungen

(EU)2022/2554 Verordnung (64 Artikel, 79 Seiten)

.

Richtlinie (EU) 2022/2556 ...zur Änderung der Richtlinien ...hinsichtlich der digitalen operationalen Resilienz im Finanzsektor

Ändert acht verschiedene Richtlinien (u.a. MiFID-2) und bedarf nationaler Umsetzung.

Verordnung 22Feb24
(EU) 2024/1502

DELEGIERTE VERORDNUNG (EU) .../... DER KOMMISSION vom 22.2.2024 zur Ergänzung der Verordnung (EU) 2022/2554 ...durch Festlegung der Kriterien für die Einstufung von IKT-Drittdienstleistern als für Finanzunternehmen kritisch

(EU)2024/1502 Verordnung (7 Artikel, 4 Seiten)
"zur Ergänzung der Verordnung (EU) 2022/2554 ...durch Festlegung der Höhe der von der federführenden Überwachungsbehörde bei kritischen IKTDrittdienstleistern zu erhebenden Überwachungsgebühren und der Art und Weise der Entrichtung dieser Gebühren

Entwurf 22Feb24
C(2024)902

Verordnung 22Feb24
(EU) 2024/1505

DELEGIERTE VERORDNUNG (EU) .../... DER KOMMISSION vom 22.2.2024 zur Ergänzung der Verordnung (EU) 2022/2554 ...durch Festlegung der Höhe der von der federführenden Überwachungsbehörde bei kritischen IKT-Drittdienstleistern zu erhebenden Überwachungsgebühren und der Art und Weise der Entrichtung dieser Gebühren

(EU)2024/1505 Verordnung (7 Artikel, 4 Seiten)
"zur Ergänzung der Verordnung (EU) 2022/2554 ...durch Festlegung der Höhe der von der federführenden Überwachungsbehörde bei kritischen IKTDrittdienstleistern zu erhebenden Überwachungsgebühren und der Art und Weise der Entrichtung dieser Gebühren

Cnslt.Paper 16JUN23
JC 2023 34

Final Report 17JAN24
JC 2023 83

Entwurf 13MAR24
C(2024)1519

Verordnung 13MAR24
(EU) 2024/1772

RTS zu Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen
RTS gemäß Art. 18(3) DORA

(im Final Report waren noch 19 Artikel, in Verordnung 13)

Final Report (77 Seiten)
on Draft Regulatory Technical Standards specifying the criteria for the classification of ICT related incidents, materiality thresholds for major incidents and significant cyber threats under Regulation (EU) 2022/2554

(EU)2024/1772 Verordnung (13 Artikel, 9 Seiten)
"zur Ergänzung der Verordnung (EU) 2022/2554 ...durch technische Regulierungsstandards zur Festlegung der Kriterien für die Klassifizierung von IKT-bezogenen Vorfällen und Cyberbedrohungen, der Wesentlichkeitsschwellen und der Einzelheiten von Meldungen schwerwiegender Vorfälle

RTS zur zur Festlegung des Inhalts der Meldung und Berichte zu IKT-Vorfällen und erhebliche Cyber-Bedrohungen sowie die Fristen für die Meldung dieser Vorfälle
gemäß Art. 20a DORA

und

ITS zur Festlegung der Einzelheiten der Berichterstattung über größere IKT-bezogene Vorfälle
gemäß Art. 20b DORA

Consultation Paper JC 2023 70 (98 Seiten):

Final report JC 2024 33 (128 Seiten)
Draft Regulatory Technical Standards on the content of the notification and reports for major incidents and significant cyber threats and determining the time limits for reporting major incidents
and
Draft Implementing Technical Standards On the standard forms, templates and procedures for financial entities to report a major incident and to notify a significant cyber threat

Verordnung (EU) 2025/301 (RTS, 5 Seiten)
"... zur Festlegung des Inhalts und der Fristen für die Erstmeldung, die Zwischenmeldung und die Abschlussmeldung schwerwiegender IKT-bezogener Vorfälle sowie des Inhalts der freiwilligen Meldung erheblicher Cyberbedrohungen"

Verordnung (EU) 2025/302 (ITS, 44 Seiten)
" ...zur Festlegung technischer Durchführungsstandards ...im Hinblick auf Standardformulare, Vorlagen und Verfahren für Finanzunternehmen zur Meldung eines schwerwiegenden IKT-bezogenen Vorfalls oder einer erheblichen Cyberbedrohung"

Final Report 17JAN24
JC 2023 84

Entwurf 13MAR24
C(2024) 1531

Verordnung 13MAR24
(EU) 2024/1773

RTS zur Leitlinie in Bezug auf die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer und wichtiger Funktionen
RTS gemäß Art. 28(10) DORA (zur Erfüllung von Art.28(2) )
"RTS TPPol"

"RTS to specify the policy on third-party ICT services supporting critical or important functions"

Final Report (57 Seiten)
on Draft Regulatory Technical Standards to specify the detailed content of the policy in relation to the contractual arrangements on the use of ICT services supporting critical or important functions provided by ICT third-party service providers as mandated by Regulation (EU) 2022/2554

(EU)2024/1773 Verordnung (11 Artikel, 9 Seiten)
"zur Ergänzung der Verordnung (EU) 2022/2554 ...durch technische Regulierungsstandards zur Spezifizierung des detaillierten Inhalts der Leitlinie für vertragliche Vereinbarungen über die Nutzung von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen, die von IKT-Drittdienstleistern bereitgestellt werden"

Final Report 17JAN24
JC 2023 85

Verordnung 29Nov24
(EU)2024/2956

Standardvorlage für das Informationsregister
ITS gemäß Art. 28(9) DORA

eba Template als "illustrative excel" hier
BaFin Informationsregister-Vorlage für Excel hier

Hinweise der eba hier
(die eba FAQ dort genannt, hier direkt oder im Cache)

Final Report (113 Seiten)
On Draft Implementing Technical Standards on the standard templates for the purposes of the register of information in relation to all contractual arrangements on the use of ICT services provided by ICT third-party service providers under Article 28(9) of Regulation (EU) 2022/2554

(EU)2024/2956 : Durchführungsverordnung (7 Artikel, 43 Seiten)
"zur Festlegung technischer Durchführungsstandards für die Anwendung der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates im Hinblick auf Standardvorlagen für das Informationsregister."

RTS für den IKT-Risikomanagementrahmen (Art. 15) und den vereinfachten IKT-Risikomanagementrahmen (Art. 16 Abs. 3)
RTS gemäß Art. 15 & 16(3) DORA
"RTS RMF"

"RTS on ICT risk management and on the simplified ICT risk management framework"

Final Report (42 Artikel, 182 Seiten)
Draft Regulatory Technical Standards to further harmonise ICT risk management tools, methods, processes and policies as mandated under Articles 15 and 16(3) of Regulation (EU) 2022/2554

Delegierte Verordnung (EU)2024/1774 (42 Artikel, 37 Seiten)
"zur Ergänzung der Verordnung (EU) 2022/2554 ... durch technische Regulierungsstandards zur Festlegung der Tools, Methoden, Prozesse und Richtlinien für das IKT-Risikomanagement und des vereinfachten IKT-Risikomanagementrahmens"

RTS zu Threat Led Penetration Testing
gemäß Art. 26(11) DORA

Mit Anhängen:
ANHANG I Inhalt der Projektcharta
ANHANG II Inhalt des Scoping-Dokuments
ANHANG III Inhalt des spezifischen Bedrohungsanalyseberichts
ANHANG IV Inhalt des Red-Team-Testplans
ANHANG V Inhalt des Red-Team-Testberichts
ANHANG VI Inhalt des Blue-Team-Testberichts
ANHANG VII Inhalt des Berichts einer Zusammenfassung TLPT
ANHANG VIII Inhalt der Bescheinigung über den TLPT

Es gibt einen BaFin-Artikel mit Hinweisen zu TLPT

Consultation Paper JC 2023 72 (57 Seiten):
Draft Regulatory Technical Standards specifying elements related to threat led penetration tests

Final Report JC 2024 29 (184 Seiten)
on draft RTS specifying elements related to threat led penetration tests

Delegierte Verordnung (EU) 2025/1190 (29 Seiten)
"...zur Festlegung der Kriterien für die Bestimmung der Finanzunternehmen, die zur Durchführung von bedrohungsorientierten Penetrationstests verpflichtet sind, der Anforderungen und Standards für den Einsatz interner Tester, der Anforderungen hinsichtlich des Testumfangs, der Testmethodik und des Testkonzepts für jede einzelne Phase des Testverfahrens sowie der Ergebnisse, des Abschlusses und der Behebungsphasen der Tests sowie der Art der aufsichtlichen und sonstigen relevanten Zusammenarbeit, die für die Umsetzung von bedrohungsorientierten Penetrationstests und die Erleichterung der gegenseitigen Anerkennung dieser Tests erforderlich ist"

RTS zur Spezifizierung von Elementen bei der Untervergabe von kritischen oder wichtigen Funktionen
RTS gemäß Art. 30(5) DORA
"RTS-E SUB"

Consultation Paper JC 2023 67 (21 Seiten):
Draft Regulatory Technical Standards to specify the elements which a financial entity needs to determine and assess when subcontracting ICT services supporting critical or important functions

Final Report JC 2024 53 (52 Seiten)
to specify the elements which a financial entity needs to determine and assess when subcontracting ICT services supporting critical or important functions as mandated by Article 30(5)

Delegierte Verordnung (EU) 2025/532 (7 Seiten)
"... technische Regulierungsstandards zur Präzisierung der Aspekte, die ein Finanzunternehmen bei der Untervergabe von IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen bestimmen und bewerten muss"

Draft
JC 2023 68

Final Report 17Jul2024
JC 2024 34

Leitlinien für die Schätzung der aggregierten Kosten und Verluste verursacht durch schwerwiegende IKT-bezogene Vorfälle
gemäß Art. 11(11) DORA

Consultation Paper JC 2023 68 (20 Seiten):
on Joint Guidelines on the estimation of aggregated annual costs and losses caused by major ICT-related incidents

Final Report JC 2024 34 (26 Seiten)

Draft
JC 2023 69

Final Report 17Jul2024
JC 2024-35

Verordnung 24Oct2024
(EU) 2025/295

RTS zur Harmonisierung der Voraussetzungen für die Durchführung der Überwachungstätigkeiten
gemäß Art. 41(1) DORA

Consultation Paper JC 2023 69 (31 Seiten):
Draft regulatory technical standard on the harmonisation of conditions enabling the conduct of the oversight activities under Article 41(1) points (a), (b) and (d) of Regulation (EU) 2022/2554

Final Report JC 2024 35 (48 Seiten)
on draft RTS on harmonisation of conditions enabling the conduct of the oversight activities

Delegierte Verordnung (EU) 2025/295 (10 Seiten)
"...technische Regulierungsstandards zur Harmonisierung der Bedingungen für die Durchführung von Überwachungstätigkeiten"

Draft vom 18.4.2024
JC 2024 24

Final Report 17Jul2024
JC 2024-54

Verordnung 16Dec24
(EU) 2025/420

RTS zur Harmonisierung der Bedingungen für die Durchführung der Aufsichtstätigkeiten gemäß Art. 41(1)c DORA (JC 2024 24)

("RTS on JET" i.e. joint examination team)

Consultation Papaer JC 2024 24 (18 Seiten)
Consultation paper on draft regulatory technical standard on the harmonisation of conditions enabling the conduct of the oversight activities under Article 41(1) point (c) of Regulation

Final Report JC 2024 54 (21 Seiten)
Draft regulatory technical standard on the harmonisation of conditions enabling the conduct of the oversight activities under Article 41(1)(c) of Regulation (EU) 2022/2554

Delegierte Verordnung (EU) 2025/420 (6 Seiten)
"...Kriterien für die Festlegung der Zusammensetzung des gemeinsamen Untersuchungsteams, bei der eine ausgewogene Beteiligung der Mitarbeiter der ESA und der jeweils zuständigen Behörden sicherzustellen ist, sowie ihrer Benennung, Aufgaben und Arbeitsvereinbarungen"

Draft
JC 2023 71

Final Report 17Jul2024
JC 2024 36

GL für die Zusammenarbeit zwischen den ESA und dem CAs hinsichtlich der Struktur der Überwachung
Richtlinie gem. Art.32(7) DORA

Consultation Paper JC 2023 71 (33 Seiten):
Draft joint guidelines on the oversight cooperation and information exchange between the ESAs and the competent authorities under Regulation (EU) 2022/2554

Final Report JC 2024 36 (36 Seiten)

Final Report 29Nov19
EBA/GL/2019/04

Final Report 11Feb25
EBA/GL /2025/02

EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken
(gelten ab dem 30. Juni 2020, also vor DORA)
(basieren auf Artikel 74 der Richtlinie 2013/36/EU - CRD)

EBA Pressemitteilung zu den Änderungen vom 11Feb2025

Final Report EBA/GL/2019/04 (129 Seiten)
EBA Guidelines on ICT and security risk management
Leitlinien EBA/GL/2019/04 (25 Seiten)
EBA-Leitlinien für das Management von IKT- und Sicherheitsrisiken

Final Report EBA/GL /2025/02 (10 Seiten)
Guidelines - amending Guidelines EBA/GL/2019/04 on ICT and security risk management
Leitlinien EBA/GL/2025/02 (4 Seiten)
Leitlinien - zur Änderung der Leitlinien EBA/2019/04 für das Management von IKT- und Sicherheitsrisiken

JC 2024 29

Digital Operational Resilience Act (DORA):
Oversight of critical third-party providers

Guide on oversight activities
("applies exclusively to ICT third-party service providers designated as critical by the ESAs")

20250715 DORA Oversight Guide.pdf (35 Seiten)

Entwurf
FinmadiG

Bundesgesetzblatt
FinmaDig

Finanzmarktdigitalisierungsgesetz
zur nationalen Umsetzung und Anpassung/Durchführung u.a.wg:
- Verordnung (EU) 2023/1114 Kryptowerte
- Verordnung (EU) 2022/2554 DORA
- Richtlinie (EU) 2022/2556 DORA
ändert insgesamt 14 verschiedene Gesetze.

Die BaFin weist darauf hin, dass durch das FinmaDig auch nicht-CRR Institute der DORA unterworfen werden, allerdings wegen §65a erst ab 1.1.2027, (Meldewesen jedoch schon ab 17.1.2025)

Regierungsentwurf FinmadiG

Text FinmaDig aus dem Bundesgesetzblatt

Finanzmarktintegritätsstärkungsgesetz ("Gesetz zur Stärkung der Finanzmarktintegrität")

Verschärft Anforderungen an Abschlussprüfer.
Pflicht zur Einführung eines RMS und IKS.

IKT-Geschäftsfortführungsleitlinie

IKT-Geschäftsfortführungspläne

KT-Reaktions- und Wiederherstellungspläne

Artikel 11 Reaktion und Wiederherstellung

DORA Artikel 24: bei allen IKT-Systemen und -Anwendungen, die kritische oder wichtige Funktionen unterstützen, mindestens einmal jährlich angemessene Tests durchführen.

(EU) 2024/1774 (RTS IKT-Risikomanagementrahmen)
Artikel 26 IKT-Reaktions- und Wiederherstellungspläne. Mit Szenarien in Absatz 2 a-i

Artikel 27 Format und Inhalt des Berichts über die Überprüfung des IKT-Risikomanagementrahmens

Artikel 39 Komponenten des IKT-Geschäftsfortführungsplans

Artikel 41 Format und Inhalt des Berichts über die Überprüfung des vereinfachten IKT-Risikomanagementrahmens

EBA/GL/2019/04
EBA Guidelines on ICT and security risk management
3.6.3. ICT change management / Art 75 & 76

DORA Artikel 8 (3): "bei jeder wesentlichen Änderung der Netzwerk- und Informationssysteminfrastruktur, der Prozesse oder Verfahren, die sich auf ihre IKTgestützten Unternehmensfunktionen, Informations- oder IKT-Assets auswirken, eine Risikobewertung"

DORA Artikel 9 (4b) "Änderungen an IKT-Systemen auf kontrollierte Weise erfasst, getestet, bewertet, genehmigt, implementiert und überprüft werden;"

RTS (EU)2024/1774 IKT-Risikomanagementrahmen:
Artikel 16:"...Die Finanzunternehmen entwickeln, dokumentieren und implementieren für die Tests und die Genehmigung aller IKT-Systeme vor ihrer Nutzung und nach ihrer Wartung ..."

DORA Artikel 8 "Finanzunternehmen führen Inventare, die sie regelmäßig sowie bei jeder wesentlichen Änderung ...aktualisieren."

RTS (EU)2024/1774 IKT-Risikomanagementrahmen:
Artikel 4 "das Finanzunternehmen erfasst... : i) die eindeutige Kennung jedes IKT-Assets,..."
Artikel 8 "Richtlinien und Verfahren für IKT-Vorgänge "
Artikel 30 "Klassifizierung von Informations- und IKT-Assets"