XAIT – das Ende einer Ära

Die deutschen Rundschreiben der BaFin zu den IT-Anforderungen im Finanzsektor – zusammengefasst als XAIT (BAIT, VAIT, ZAIT, KAIT) – haben jahrelang die IT-Sicherheitsstandards geprägt. Doch mit dem Inkrafttreten der Digital Operational Resilience Act (DORA) am 17. Januar 2025 endet diese Ära.

In diesem Artikel beleuchten wir, warum die XAIT-Rundschreiben aufgehoben wurden, was dies für Unternehmen bedeutet und wie die Zukunft der IT-Regulierung aussieht.

Was war XAIT?

Die Rundschreiben BAIT, VAIT, ZAIT und KAIT legten spezifische Anforderungen für IT-Systeme und deren Sicherheitsmaßnahmen fest. Sie richteten sich an:

BAIT: Banken und Kreditinstitute
VAIT: Versicherungen
ZAIT: Zahlungs- und E-Geld-Institute
KAIT: Kapitalverwaltungsgesellschaften

XAIT bot klare Vorgaben, die Unternehmen halfen, ihre IT-Risiken zu minimieren und regulatorische Standards einzuhalten.

Warum wird XAIT abgeschafft?

Mit der Einführung von DORA auf europäischer Ebene verfolgt die EU das Ziel, sektorübergreifend einheitliche IT-Regelungen zu schaffen. Dies hat mehrere Vorteile:

Vermeidung von Doppelregulierung: Nationale Vorschriften wie XAIT werden durch DORA ersetzt, um administrative Belastungen zu reduzieren.
Harmonisierung: Einheitliche Vorgaben stärken die Resilienz des europäischen Finanzmarkts und fördern die grenzüberschreitende Zusammenarbeit.
Fokus auf Resilienz: Während XAIT primär auf Prävention ausgelegt war, stellt DORA die operative Widerstandsfähigkeit in den Mittelpunkt.

Zeitplan für das Ende von XAIT

16. Januar 2025: VAIT, ZAIT und KAIT werden vollständig aufgehoben.
17. Januar 2025: DORA ersetzt XAIT für Institute, die unter die neuen Anforderungen fallen.
31. Dezember 2026: Die BAIT gelten noch für Institute, die nicht sofort DORA umsetzen müssen. Danach werden sie vollständig abgeschafft.

Die Übergangsfristen sind im Finanzmarktdigitalisierungsgesetz (FinmadiG) und dem geänderten Kreditwesengesetz (KWG) geregelt.

Was ändert sich mit DORA?

Sektorübergreifende Standards: Alle Unternehmen im Finanzsektor unterliegen denselben IT-Regelungen.
IKT-Risikomanagement: Unternehmen müssen nicht nur präventiv handeln, sondern auch für Krisenfälle gerüstet sein.
Drittparteienrisiko: Verträge mit IKT-Dienstleistern unterliegen strengeren Anforderungen.
Vorfallmeldungen: Cybervorfälle müssen zeitnah gemeldet werden.

Was bedeutet das für Unternehmen?

Die Abschaffung von XAIT bringt Unternehmen sowohl Chancen als auch Herausforderungen:

Chancen: Weniger regulatorische Komplexität durch einheitliche Vorgaben.
Herausforderungen: Anpassungen an neue Anforderungen, insbesondere beim Drittparteienrisiko und bei Resilienztests.

Unternehmen, die bisher XAIT umgesetzt haben, können jedoch von einer soliden Grundlage profitieren, da viele DORA-Vorgaben bekannte Inhalte aufgreifen.

XAIT – das Ende einer Ära