Versicherungsaufsichtliche Anforderungen an die IT

Versicherungsvoraussetzungen für IT, kurz VAIT, ist eine Verwaltungsvorschrift, die von der Bundesanstalt für Finanzaufsicht der Bundesrepublik Deutschland veröffentlicht wurde. Sie soll die sichere Organisation der damit verbundenen IT-Systeme und IT-Prozesse in deutschen Versicherungsunternehmen gewährleisten.

VAIT wurde erstmals 2018 veröffentlicht, die letzte Aktualisierung erfolgte 2022.

VAIT besteht aus 11 Kapiteln, die verschiedene Aspekte abdecken, darunter:

• IT-Management
• Sicherheit
• IT-Strategie
• Informationsrisiko
• Identitätsmanagement
• Zugriffsrechte
• IT-Projekte
• Entwicklung von Anwendungen

Die BaFin prüft die Einhaltung der VAIT-Vorschriften bei der Aufsicht. Im Jahr 2024 hatten mehrere große Unternehmen aufgrund von VAIT-Verstößen Probleme, die sich auf eine doppelte Kapitalanforderung beliefen.

Im Mai 2024 gab die BaFin bekannt, dass DORA VAIT ablösen wird.

Der Umfang und die Unterscheidung von VAIT sind eine gesetzliche Anforderung des Gesetzes über die Versicherungsaufsicht, geregelt in den Abschnitten 23–32. Es handelte sich um Verwaltungsverfügungen, die in Normen gedeutet wurden und eine deutsche aufsichtsrechtliche Pflicht gegenüber Versicherungsgesellschaften darstellten. Der Geltungsbereich von VAIT umfasste alle Gesellschaften, die gemäß Artikel 1 der Aufsicht unterworfen waren, Absatz 1 des Gesetzes über die Betreuung älterer Menschen.

Die Anwendung von VAIT war im Prinzip proportional. Dieser Grundsatz war in VAIT wichtig und wurde in Ziffer 7 der vorläufigen Stellungnahme zu VAIT ausführlicher erläutert. Zudem mussten gemäß § 296 des Versicherungsaufsichtsgesetzes die aufsichtsrechtlichen Anforderungen in gewisser Weise erfüllt werden, um die Art, Komplexität und Risiken der Aktivitäten des Unternehmens zu berücksichtigen.