Von der KAIT zu DORA: was für Kapitalverwaltungsgesellschaften jetzt gilt

Diese Seite gilt für den Vollrahmen: Kapitalverwaltungsgesellschaften (KVG) mit Erlaubnis wenden Art. 5 bis 15 DORA an. Den vereinfachten Rahmen nach Art. 16 gibt es für sie nicht, die BaFin nennt frühere KAIT-Adressaten ausdrücklich als nicht erfasst. Ob und in welchem Rahmen DORA für Ihre Gesellschaft gilt, klärt die Seite DORA-Anwendungsbereich.

Für welche Kapitalverwaltungsgesellschaften gilt DORA?

Für OGAW- und AIF-Kapitalverwaltungsgesellschaften im Vollrahmen, ausgenommen kleine AIF-Verwalter:

Für registrierte KVG nach § 44 KAGB, die die KAIT nicht erfasste, steht die Antwort in den Fragen unten.

Was ist aus der KAIT geworden?

Sie gilt nicht mehr. Die BaFin hat die KAIT (Rundschreiben 11/2019 (WA) in der Fassung vom 01.10.2019) zusammen mit VAIT und ZAIT mit Ablauf des 16.01.2025 aufgehoben, ohne weitere Übergangsfrist. Laut Informationsschreiben vom 19.12.2024 deckt DORA die bisherigen IT-Anforderungen im Wesentlichen ab. Eine Übergangsgruppe wie bei der BAIT (BAIT und DORA) gibt es für KVG nicht.

„Aufgehoben“ heißt: keine ausdrückliche Vorgabe der KAIT mehr. Die Pflichten dahinter stehen weiter im Gesetz: § 28 Abs. 1 Nr. 5 KAGB verlangt angemessene Kontroll- und Sicherheitsvorkehrungen für die Datenverarbeitung in Einklang mit DORA. Konkretisiert wird über die Level-2-Rechtsakte, vor allem die Delegierte Verordnung (EU) 2024/1774 (DORA-Verordnung).

Wohin wandern die KAIT-Kapitel?

In den Vollrahmen von DORA, die RTS 2024/1774 und Art. 28 bis 30. Einen eigenen Abgleich der KAIT mit DORA hat die BaFin nicht veröffentlicht. Ihre Aufsichtsmitteilung vom 08.07.2024 vergleicht BAIT und VAIT Kapitel für Kapitel und hält fest, die Anforderungen der KAIT seien „in vielen Fällen vergleichbar, sodass sich die Ergebnisse in der Regel übertragen lassen“. Auf dieser Grundlage überträgt die Tabelle die Zuordnung auf die acht Kapitel der KAIT. Die Zuordnung ist unsere, die Tz.-Bereiche stammen aus dem KAIT-Text. Ein Mapping Textziffer für Textziffer gibt es als Excel nur für die BAIT, auf der Seite BAIT und DORA.

Drei Kapitel der BAIT fehlen in der KAIT: operative Informationssicherheit, IT-Notfallmanagement und Kritische Infrastrukturen. Für DORA am wichtigsten ist das Notfallmanagement. Notfallmaßnahmen standen in der KAIT nur in Tz. 15, im Übrigen verwies sie auf das Notfallkonzept nach Ziffer 8.2 KAMaRisk (Tz. 6). Hier verlangt DORA am meisten zusätzlich (Art. 11 und 12), Einzelheiten stehen auf der Seite IKT-Geschäftsfortführung.

Welche KAMaRisk gilt, und was würde der Entwurf ändern?

Es gilt die KAMaRisk in der Fassung vom 10.01.2017 (Rundschreiben 01/2017 (WA)). Sie konkretisiert Vorgaben der AIFM-Level-2-Verordnung zu Organisation, Risikomanagement und Auslagerung. Die KAIT hatte die IT-Anforderungen der KAMaRisk nur konkretisiert und ausdrücklich unberührt gelassen (KAIT, Vorbemerkung Tz. 2). Mit der KAIT ist diese Konkretisierung weggefallen, die IT-Stellen der KAMaRisk stehen weiter im Rundschreiben.

Am 12.06.2026 hat die BaFin eine geänderte Fassung zur Konsultation gestellt (Konsultation 06/2026), Stellungnahmen waren bis 01.07.2026 möglich. Anlass ist laut BaFin vor allem das Fondsrisikobegrenzungsgesetz zur Umsetzung der AIFMD II, daneben streicht der Entwurf Doppelungen mit DORA. Eine endgültige Fassung war am 06.11.2026 nicht veröffentlicht. Die mittlere Spalte zeigt deshalb nur einen Entwurf, es gilt weiter die Fassung von 2017.

Unsere Empfehlung bis zur Endfassung: Streichen Sie nichts aus den eigenen Unterlagen, nur weil der Entwurf eine Stelle streicht.

Auslagerung nach KAGB und IKT-Dienstleister nach DORA: was gilt doppelt?

Viele Verträge fallen unter beide Regelwerke, einige nur unter eines. § 36 KAGB regelt die Auslagerung von Aufgaben der KVG: Bedingungen wie Qualifikation, Überwachung, Weisungs- und Kündigungsrechte, und eine Anzeige an die BaFin, bevor die Auslagerungsvereinbarung in Kraft tritt (§ 36 Abs. 2). Die KAMaRisk konkretisiert das in Abschnitt 10. Den sonstigen Fremdbezug von IT-Dienstleistungen regelte die KAIT in Kapitel 8.

DORA erfasst jede vertragliche Vereinbarung über IKT-Dienstleistungen, ob Auslagerung oder nicht. Für jeden Vertrag stellen sich damit zwei getrennte Fragen: Ist er eine Auslagerung nach § 36 KAGB? Ist er eine IKT-Dienstleistung nach Art. 3 Nr. 21 DORA, und unterstützt sie eine kritische oder wichtige Funktion? Wie Sie Funktionen einstufen, zeigt die Seite Kritische oder wichtige Funktionen, den Aufbau des Registers die Seite Informationsregister, die Vertragsinhalte die Seite IKT-Drittdienstleister steuern.

Organisatorisch hilft Art. 5 Abs. 3 DORA: KVG, die keine Kleinstunternehmen sind, richten eine Funktion zur Überwachung der IKT-Verträge ein oder benennen dafür ein Mitglied der Geschäftsleitung. Diese Aufgabe kann das bestehende Auslagerungsmanagement übernehmen, das die Anzeigen nach § 36 KAGB ohnehin betreut.

Beispiel: Umbauplan für eine Kapitalverwaltungsgesellschaft

Fiktives Beispiel, kein Kunde. Die Muster-KVG mbH verwaltet mit 42 Beschäftigten Spezial-AIF und hat eine Erlaubnis als AIF-KVG. Mit 42 Beschäftigten ist sie kein Kleinstunternehmen. Das Informationsregister steht seit 2025, viele Unterlagen folgen aber noch der Gliederung der KAIT. Welche Pflichten sie zuerst angeht, zeigt die Seite DORA-Anforderungen. Das Portfoliomanagementsystem bezieht sie als Cloud-Dienst, das Rechenzentrum betreibt ein externer IT-Dienstleister, die Fondsbuchhaltung läuft im eigenen Haus.

Umbauplan KAIT → DORA (Vorlage, fiktiv ausgefüllt, Stand 06.11.2026):

Keine Zeile streicht eine Schutzmaßnahme oder Rolle: Jede Unterlage bekommt eine neue Grundlage oder einen neuen Zuschnitt. Beim Abgleich der Verträge ist das Portfoliomanagementsystem als Cloud-Dienst zugleich Auslagerung nach § 36 KAGB und IKT-Dienstleistung für eine kritische oder wichtige Funktion, Anzeige, Registereintrag und Vertragsinhalte nach Art. 30 Abs. 3 gelten nebeneinander.

Drei typische Lücken

Beispiel, Umbauplan und Lücken sind unsere fachliche Einordnung aus dem Wortlaut von DORA, KAGB, KAMaRisk und den Veröffentlichungen der BaFin. Die Einordnung ist allgemeine Information, für Ihre Gesellschaft ist sie im Einzelfall zu prüfen.

Wie wir unterstützen

Für KVG beginnen wir mit der DORA-Gap-Analyse im Vollrahmen. Sie zeigt, wo KAIT-Unterlagen, KAMaRisk und DORA noch auseinanderlaufen, und endet mit einem Maßnahmenplan. Grenzfälle, etwa ob ein Vertrag eine Auslagerung nach § 36 KAGB ist, markieren wir für Ihre Rechtsberatung. Wer den Bestand gleich umstellen will, findet Umfang und Preis im Paket Umstieg von der KAIT.