Kurzdefinition: § 23 VAG verpflichtet Versicherungsunternehmen zu einer wirksamen und ordnungsgemäßen Geschäftsorganisation, die der Art, dem Umfang und der Komplexität ihrer Tätigkeiten angemessen ist. Dazu gehören eine klare Organisationsstruktur, schriftliche interne Leitlinien und angemessene Vorkehrungen — einschließlich Notfallplänen — zur Sicherung der Geschäftskontinuität. § 23 VAG ist die aufsichtsrechtliche Grundnorm, an die die DORA für IKT-Risiken anknüpft. [N-VAG-23]
Der Normwortlaut
§ 23 Abs. 1 VAG bestimmt: „Versicherungsunternehmen müssen über eine Geschäftsorganisation verfügen, die … ist und die der Art, dem Umfang und der Komplexität ihrer Tätigkeiten angemessen ist.“ Nach § 23 Abs. 4 VAG haben die Unternehmen „angemessene Vorkehrungen, einschließlich der Entwicklung von Notfallplänen, zu treffen, um die Kontinuität und Ordnungsmäßigkeit ihrer Tätigkeiten zu gewährleisten“. [N-VAG-23]
Was verlangt § 23 VAG?
Eine wirksame und ordnungsgemäße Organisation. Nach § 23 Abs. 1 VAG muss die Geschäftsorganisation neben der Einhaltung der Gesetze eine solide und umsichtige Leitung gewährleisten — mit angemessener, transparenter Organisationsstruktur, klarer Zuweisung und Trennung der Zuständigkeiten und einem wirksamen internen Kommunikationssystem. [N-VAG-23]
Welche Rolle spielen Notfallpläne?
Eine zentrale. § 23 Abs. 4 VAG verlangt angemessene Vorkehrungen einschließlich Notfallplänen, um die Kontinuität und Ordnungsmäßigkeit der Tätigkeiten zu gewährleisten. Für IT-Ausfälle und Cybervorfälle ist die Geschäftsfortführung damit vorzubereiten. [N-VAG-23]
Müssen interne Leitlinien aufgestellt werden?
Ja, schriftlich. Nach § 23 Abs. 3 VAG müssen die Unternehmen schriftliche interne Leitlinien aufstellen, die der vorherigen Zustimmung des Vorstands unterliegen. Sie müssen mindestens Vorgaben zu Risikomanagement, internem Kontrollsystem, interner Revision und zur Ausgliederung machen und sind mindestens jährlich zu überprüfen. [N-VAG-23]
Wer überprüft die Geschäftsorganisation?
Der Vorstand. Nach § 23 Abs. 2 VAG sorgt der Vorstand dafür, dass die Geschäftsorganisation regelmäßig intern überprüft wird. Die Verantwortung für die Organisation liegt damit auf der Leitungsebene. [N-VAG-23]
Wie verhält sich § 23 VAG zur DORA?
Als Grundnorm, die die DORA konkretisiert. § 23 VAG legt die allgemeinen Anforderungen an die Geschäftsorganisation fest; die DORA tritt als spezielleres IKT-Regime hinzu und konkretisiert die Anforderungen an das IKT-Risikomanagement für Versicherer. [N-VAG-23]
Häufige Fehlannahmen
- „Eine grobe Organisation genügt.“ Nein. § 23 VAG verlangt eine wirksame und ordnungsgemäße, der Tätigkeit angemessene Geschäftsorganisation. [N-VAG-23]
- „Notfallpläne sind für Versicherer nicht vorgeschrieben.“ Doch. § 23 Abs. 4 VAG verlangt angemessene Vorkehrungen einschließlich Notfallplänen. [N-VAG-23]
- „Interne Leitlinien können mündlich sein.“ Nein. Sie müssen schriftlich aufgestellt und mindestens jährlich überprüft werden. [N-VAG-23]
- „Die Organisation muss nicht überprüft werden.“ Doch. Der Vorstand sorgt für eine regelmäßige interne Überprüfung. [N-VAG-23]
- „Die DORA ersetzt § 23 VAG.“ Nein. § 23 VAG bleibt die Grundnorm; die DORA konkretisiert die IKT-Anforderungen. [N-VAG-23]
- „Die Dokumentation ist entbehrlich.“ Nein. Aufbau- und Ablauforganisation sowie das interne Kontrollsystem sind nachvollziehbar zu dokumentieren. [N-VAG-23]
Was die Geschäftsleitung tun sollte
- Organisation ausrichten. Eine wirksame und ordnungsgemäße, der Tätigkeit angemessene Geschäftsorganisation sicherstellen.
- Notfallpläne entwickeln. Vorkehrungen zur Geschäftskontinuität, auch für IT-Ausfälle, treffen.
- Leitlinien pflegen. Schriftliche interne Leitlinien aufstellen und mindestens jährlich überprüfen.
- DORA integrieren. Die IKT-spezifischen DORA-Vorgaben in die Geschäftsorganisation einbauen.
Für die Geschäftsleitung
§ 23 VAG ist das organisatorische Rückgrat des Versicherers: wirksam, ordnungsgemäß, dokumentiert und mit Notfallplänen für die Geschäftskontinuität. Wer diese Grundnorm sauber führt, hat zugleich das Fundament, auf dem die spezielleren IKT-Anforderungen der DORA aufsetzen.
Quellen
- [N-VAG-23] § 23 VAG (Allgemeine Anforderungen an die Geschäftsorganisation), Abs. 1 bis 5. Amtlich: https://www.gesetze-im-internet.de/vag_2016/__23.html
