Mit den VAIT zu einer transparenteren Versicherungs-IT

Für nahezu jedes betroffene Unternehmen der Versicherungswirtschaft ist zu erwarten, dass aus den VAIT (Versicherungsaufsichtliche Anforderungen an die IT) konkrete ergänzende Maßnahmen abgeleitet und umgesetzt werden müssen. Da die VAIT als Konkretisierung bereits bestehender Anforderungen verstanden werden, gelten sie ohne Umsetzungsfristen; gerade der hohe Detaillierungsgrad erzeugt jedoch in vielen Häusern unmittelbaren Handlungsbedarf. Die Entwicklung eines geeigneten Aktionsplans zur Erfüllung, Messung und zum Nachweis der relevanten Anforderungen wird als zentrale Managementaufgabe positioniert.

Im Kern adressieren die VAIT acht thematische Fokusbereiche, die jeweils eine angemessene Betrachtung sowie die Einbindung geeigneter Interessensvertreter und Experten erfordern. Vorgaben zu IT-Strategie und IT-Governance definieren Mindestanforderungen an Inhalte und Verankerung in Aufbau- und Ablauforganisation. Informationsrisiken und deren Management werden als relevant für das übergreifende Unternehmens- bzw. Geschäftsrisikomanagement beschrieben. Zur Stärkung der Informationssicherheit wird unter anderem ein weitreichend unabhängig agierender Informationssicherheitsbeauftragter gefordert; zudem rücken Berechtigungsmanagement, Access Management und Governance stärker in den Prüfungsfokus.

Über den klassischen IT-Betrieb hinaus werden IT-Projekte, partiell entkoppelte Umsetzungen sowie Anwendungsentwicklung behandelt, was bei guter Ausgestaltung Schritte in Richtung „Security by Design“ ermöglicht. Auslagerungen, IT-Dienstleistungen Dritter, Managed Service Provider sowie zunehmend Cloud-Services werden explizit berücksichtigt. Insgesamt stellen die VAIT damit zugleich eine Konkretisierung und eine Modernisierung der Anforderungen für digitalisierte Versicherungs-IT-Infrastrukturen dar und erlauben durch ihre Modularisierung den Rückgriff auf etablierte Standards, Frameworks und praxiserprobte Best Practices.

• Die VAIT sind Versicherungsaufsichtliche Anforderungen an die IT.
• Die BAIT wurden im Jahr 2017 für Banken vorgelegt.
• Die VAIT gelten ohne Umsetzungsfristen.
• Die VAIT konkretisieren Anforderungen an eine angemessene technisch-organisatorische Ausstattung der IT-Systeme mit besonderem Fokus auf Informationssicherheit.
• Die VAIT beziehen sich auf Vorschriften zur Geschäftsorganisation (§ 23 ff.) im Gesetz über die Beaufsichtigung der Versicherungsunternehmen (VAG).
• Die VAIT umfassen acht thematische Fokusbereiche.
• Die VAIT fordern einen weitreichend unabhängig agierenden Informationssicherheitsbeauftragten.
• Berechtigungsmanagement rückt Access Management und Governance stärker in den Fokus der Prüfer.
• Der Fokusbereich „IT-Dienstleistungen“ betrachtet Auslagerungen, Dienste Dritter und Cloud-Services.
• Die VAIT werden als zugleich Konkretisierung und Modernisierung für digitalisierte Versicherungs-IT-Infrastrukturen beschrieben.

• „Die Entwicklung und Umsetzung eines geeigneten Aktionsplans für die Erfüllung, Messung und den Nachweis der relevanten Anforderungen ist eine wesentliche Managementaufgabe.“
• „Risikobewusstsein und eine starke Risikoorientierung sind hierbei explizit gewollt.“
• „Alle acht Fokusbereiche erfordern eine angemessene Betrachtung und die Einbindung geeigneter Interessensvertreter und Experten.“
• „Konkrete Regelungen für IT-Strategie und IT-Governance definieren Mindestanforderungen an deren Inhalte und Umsetzung in der Aufbau- und Ablauforganisation.“
• „Die Informationssicherheit wird nicht zuletzt auch durch die Forderung nach einem weitreichend unabhängig agierenden Informationssicherheitsbeauftragten zu stärken versucht.“
• „Neben dem traditionellen IT-Betrieb rücken aber auch IT-Projekte und deren partiell entkoppelte Durchführung in den Fokus.“
• „Der Blick auf die Anwendungsentwicklung ermöglicht, richtig gemacht, auch schon wichtige Schritte in Richtung „Security by Design“.“
• „Die VAIT stellen damit sowohl eine Konkretisierung, als auch eine Modernisierung der Anforderungen mit Blick auf aktuellere, digitalisierte Versicherungs-IT-Infrastrukturen dar.“
• „Die angemessene Umsetzung grundlegender, regulatorischer und rechtlicher Anforderungen ist eine große Herausforderung und bietet einen erheblichen Interpretationsspielraum.“
• „Proaktive Unternehmen … werden die VAIT im Rahmen einer effizienten „Control once, comply to many“-Strategie abdecken.“