VAIT
Versicherungsaufsichtliche Anforderungen an die IT
Insurance Supervisory Requirements for IT (Germany)
Die VAIT waren das Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)-Rundschreiben, das die IT-aufsichtlichen Erwartungen für Versicherungsunternehmen konkretisierte — das sektorspezifische Pendant zu Bankaufsichtliche Anforderungen an die IT (BAIT) und Kapitalverwaltungsaufsichtliche Anforderungen an die IT (KAIT). Sie übertrugen Grundsätze zu IT-Governance, Informationssicherheit, Auslagerung und Notfallmanagement auf die Versicherungsbranche. Mit der Europäische Union (EU)-Verordnung Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) wurden sie aufgehoben.
Historie & Fakten. Die VAIT gehörten zur Familie der xAIT-Rundschreiben, mit denen die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) einheitliche IT-Erwartungen über die Finanzsektoren hinweg formulierte. Versicherer sind als institutionelle Anleger und Verwalter großer Datenbestände ein attraktives Angriffsziel; die VAIT trugen dem mit Anforderungen an Informationssicherheit und Auslagerungssteuerung Rechnung. Zur Vermeidung einer Doppelregulierung hob die BaFin die VAIT mit Ablauf des 16. Januar 2025 auf.
Ausblick & Empfehlung. Seit dem 17. Januar 2025 gelten für betroffene Versicherer unmittelbar die Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA)-Vorgaben. Die inhaltliche Nähe ist groß, doch DORA bringt eigene Akzente — insbesondere das verpflichtende Management von IKT-Drittparteienrisiken und das Informationsregister. Wer seine Prozesse an den VAIT ausgerichtet hatte, sollte den Bestand per Gap-Analyse gegen DORA prüfen und gezielt die neuen Pflichten ergänzen.