Anwendungen im Fachbereich können wichtige Geschäftsprozesse unterstützen. Im Finanzsektor muß deshalb geklärt werden, welche aufsichtlichen und internen Anforderungen für ihre Entwicklung und ihren Betrieb gelten. Die Bezeichnung als kleine Datei oder selbst geschriebenes Skript beantwortet diese Frage noch nicht.
Der aktuelle Übergang
Die Verordnung über die digitale operationale Resilienz im Finanzsektor, der Digital Operational Resilience Act (DORA), gilt seit dem 17. Januar 2025. Die Bankaufsichtlichen Anforderungen an die IT (BAIT) gelten nach der Einordnung der Deutschen Bundesbank für die Institute weiter, die noch ihrem Anwendungsbereich unterliegen. Institute, die das einschlägige Risikomanagement nach DORA betreiben müssen, sind vom BAIT-Anwenderkreis ausgenommen.
Die Deutsche Bundesbank nennt für weitere Finanzdienstleistungsinstitute den 1. Januar 2027 als Übergang zu DORA. Die vollständige Aufhebung der BAIT ist mit Ablauf des 31. Dezember 2026 vorgesehen. Welche Vorgabe eine konkrete Organisation zu welchem Zeitpunkt betrifft, muß an Hand ihres Anwendungsbereiches und der jeweils maßgeblichen Regelungen geklärt werden. Stand dieser Einordnung ist der 11. November 2026. Quelle: Deutsche Bundesbank – BAIT und DORA.
Was wir für die Anwendung klären
Für Grassroot IT beginnt die praktische Einordnung bei der tatsächlichen Nutzung. Welche betriebliche Aufgabe wird unterstützt, welche Daten werden verarbeitet und welche Folgen könnte ein fehlerhaftes oder ausbleibendes Ergebnis haben? Daraus läßt sich zusammen mit den maßgeblichen Vorgaben ableiten, welche Prüfungen, Zuständigkeiten und Betriebsgrundlagen benötigt werden.
Die Organisation legt fest, wie fachliche Anwendungen in ihren Anwendungsbestand und ihre bestehenden Kontrollverfahren aufgenommen werden. Ein Anwendungssteckbrief schafft dafür eine erste Übersicht. Er wird um die konkret erforderlichen Nachweise ergänzt, beispielsweise zu fachlicher Prüfung, Berechtigungen oder Wiederherstellung.
Regelkonformität über den Lebenszyklus
Anforderungen werden bereits bei Bedarf und Entwurf berücksichtigt. Vor der Einführung werden die vorgesehenen Prüfungen und Freigaben durchgeführt. Im Betrieb werden Änderungen und neue Vorgaben nachgehalten. Bei der Ablösung werden auch Datenaufbewahrung, Berechtigungen und weitere Abhängigkeiten behandelt.
Die hier beschriebene Arbeitsweise kann helfen, Verantwortung und Nachweise nachvollziehbar zu ordnen. Ob eine einzelne Anwendung die für sie geltenden Anforderungen erfüllt, muß an Hand dieser Anforderungen und ihres tatsächlichen Betriebes geprüft werden. Die Konzeptübersicht zeigt, wie Regelkonformität und Wertbeitrag alle Phasen verbinden.