BAIT BaFin
Les BAIT sont des exigences prudentielles informatiques pour les établissements financiers allemands, publiées par BaFin dans la circulaire 10/2017 (BA). Elles expliquent comment les établissements doivent organiser et contrôler leurs ressources informatiques selon le droit bancaire. L'exploitation informatique, la sécurité de l'information et les droits d'accès font partie du cadre utilisé par les banques et leurs auditeurs pour évaluer la gestion des systèmes.
DORA a remplacé les BAIT pour les établissements soumis à ses exigences de gestion des risques TIC. Les BAIT restent applicables pendant la transition aux établissements exclus de cette partie de DORA et seront totalement abrogées à la fin du 31 décembre 2026. Les équipes informatiques et risques utilisent la transition pour rapprocher leurs contrôles existants des exigences applicables sous DORA.
Ce que couvrent les BAIT
Les BAIT reposent sur l'article 25a(1) de la loi bancaire allemande pour la gestion des ressources, des risques et de la sécurité informatiques, et sur l'article 25b pour l'externalisation, comme l'explique la Deutsche Bundesbank. La version actuelle date du 16 décembre 2024 et cette révision a supprimé le chapitre 11 sur les relations avec les utilisateurs de services de paiement.
Depuis 2017, les BAIT sont le document selon lequel les auditeurs informatiques, responsables de la sécurité de l'information et auditeurs externes contrôlaient une banque allemande. Elles interprètent MaRisk pour l'informatique, et les deux circulaires étaient lues ensemble: MaRisk pour l'organisation bancaire, les BAIT pour les systèmes, droits d'accès, projets et opérations informatiques.
Des BAIT à DORA
DORA s'applique aux banques, assureurs, sociétés de paiement et entreprises d'investissement depuis le 17 janvier 2025. Pour éviter une double réglementation, BaFin a abrogé les circulaires parallèles ZAIT, VAIT et KAIT pour les établissements de paiement, assureurs et gestionnaires d'actifs, et exclu des BAIT tout établissement devant appliquer le cadre DORA de gestion des risques TIC, articles 5 à 15 ou cadre simplifié de l'article 16.
La loi de numérisation du marché financier, FinmadiG, a étendu DORA à d'autres établissements: banques de développement depuis le 17 janvier 2025 et établissements de services financiers relevant du KWG à partir du 1 janvier 2027. Selon Dr. Datenschutz, les sociétés de crédit-bail font partie des entreprises restant soumises aux BAIT jusque-là, lesquelles expirent le 31 décembre 2026.
Effets pour les équipes informatiques et risques
Une grande partie du contenu subsiste, car DORA exige aussi un cadre de gestion des risques TIC, la sécurité de l'information, le contrôle des accès, la gestion des changements et projets, ainsi que la sauvegarde et la restauration. DORA impose la notification d'incidents au superviseur, un registre d'informations sur tous les contrats TIC, des tests de résilience allant jusqu'aux tests de pénétration fondés sur la menace et la supervision directe des prestataires TIC critiques.
Pour une entreprise basculant le 1 janvier 2027, le travail consiste à faire correspondre chaque exigence BAIT avec l'article de DORA et la norme technique qui la remplacent, en recensant les écarts et leurs responsables. L'obligation de notification des incidents et le registre n'ont pas de précédent dans les BAIT.
Prochains événements sur le risque et la conformité
Les BAIT restent-elles valides?
Oui, pour un groupe de plus en plus restreint et une durée limitée. Les BAIT dans leur version du 16 décembre 2024 s'appliquent aux établissements KWG non soumis aux règles de gestion des risques TIC de DORA, et seront totalement abrogées à la fin du 31 décembre 2026.
Que sont devenues les VAIT, KAIT et ZAIT?
BaFin les a toutes trois abrogées à l'entrée en vigueur de DORA: KAIT pour les gestionnaires d'actifs, VAIT pour les assureurs et ZAIT pour les établissements de paiement et de monnaie électronique. Ces secteurs relèvent directement de DORA, donc un second ensemble allemand de règles informatiques aurait fait double emploi.
MaRisk contient-il encore des exigences informatiques?
Oui, à un niveau général, le MaRisk actuel exige dans AT 7.2 des moyens techniques et organisationnels adaptés à l'activité et aux risques, ainsi que des processus assurant la qualité des données de risque, tandis qu'AT 7.3 fixe la gestion des urgences. Les services TIC soumis aux règles de DORA sur les tiers sont exclus du module d'externalisation AT 9.
BAIT, DORA et Finance Loop
Finance Loop réunit les responsables des risques informatiques, responsables de la sécurité de l'information et auditeurs informatiques des banques allemandes qui font passer leurs contrôles des BAIT à DORA. Finance Loop a annoncé KI Exchange 2026 à Hambourg, conférence dont le programme incluait la conformité DORA, et sa page de formation DORA expose les exigences du règlement pour le personnel et la direction.
Finance Loop est un réseau professionnel qui favorise l'usage institutionnel de technologies émergentes dans la finance, telles que l'IA, les paiements numériques, les solutions cloud et blockchain. Finance Loop aide ses membres à développer leurs compétences et leurs réseaux personnels dans ces domaines: Investissement & actifs numériques, Paiements & monnaie numérique, Infrastructure numérique & souveraineté et Risque & conformité.