KWG/VAG/TKG: sektorale Sicherheitspflichten

Kurzdefinition: KWG (Kreditwesengesetz), VAG (Versicherungsaufsichtsgesetz) und TKG (Telekommunikationsgesetz) sind die sektoralen Aufsichtsgesetze für Banken, Versicherer und Telekommunikation. Sie enthalten eigene Anforderungen an Geschäftsorganisation, Risikomanagement und IT-Sicherheit, die neben oder anstelle des BSIG greifen können. [N-KWG-25a]

Der Normwortlaut

§ 25a Abs. 1 KWG bestimmt: „Ein Institut muss über eine ordnungsgemäße Geschäftsorganisation verfügen … Eine ordnungsgemäße Geschäftsorganisation muss insbesondere eine solide Unternehmensführung sowie ein angemessenes und wirksames Risikomanagement umfassen.“ Vergleichbare Governance-Pflichten enthalten das VAG für Versicherer und das TKG für Telekommunikationsanbieter. [N-KWG-25a]

Was regeln KWG, VAG und TKG?

Die sektorale Aufsicht. Das KWG die Banken, das VAG die Versicherer, das TKG die Telekommunikation — jeweils mit eigenen Governance-, Risikomanagement- und Sicherheitsanforderungen. [N-KWG-25a]

Wie verhalten sie sich zum BSIG?

Als spezielleres Recht. Für erfasste Unternehmen können sektorale Pflichten neben das BSIG treten oder es teilweise verdrängen; die Abgrenzung ist im Einzelfall zu prüfen. [N-KWG-25a]

Welche Rolle spielt § 25a KWG?

Zentrale Governance-Norm. Er verlangt eine ordnungsgemäße Geschäftsorganisation mit wirksamem Risikomanagement — der Anknüpfungspunkt für IT-Sicherheit im Bankensektor. [N-KWG-25a]

Was gilt im Telekommunikationssektor?

Eigene Sicherheitspflichten. Das TKG enthält spezifische Anforderungen an Sicherheit und Meldung für Telekommunikationsanbieter. [N-KWG-25a]

Wie greift DORA ein?

Für Finanzunternehmen vorrangig. DORA überlagert die IT-bezogenen Anforderungen für erfasste Banken und Versicherer; KWG und VAG bilden den institutionellen Rahmen. [N-KWG-25a]

Häufige Fehlannahmen

„Nur das BSIG regelt Cybersicherheit.“ Nein. KWG, VAG und TKG enthalten eigene Pflichten. [N-KWG-25a]
„Sektorrecht und BSIG gelten immer kumulativ.“ Nicht immer. Spezielleres Recht kann im geregelten Umfang vorgehen; Restpflichten sind gesondert zu prüfen. [N-KWG-25a]
„§ 25a KWG betrifft nur die Bilanz.“ Nein. Er verlangt wirksames Risikomanagement inklusive IT. [N-KWG-25a]
„Das TKG hat keine Sicherheitspflichten.“ Doch. Es enthält eigene Anforderungen. [N-KWG-25a]
„DORA spielt hier keine Rolle.“ Doch. Für Finanzunternehmen überlagert DORA die IT-Anforderungen. [N-KWG-25a]

Was die Geschäftsleitung tun sollte

Sektor bestimmen. Klären, welches Aufsichtsgesetz gilt.
Abgrenzen. Verhältnis zu BSIG und DORA prüfen.
Governance sichern. § 25a KWG bzw. Pendants umsetzen.
Dokumentieren. Die Zuordnung festhalten.

Für die Geschäftsleitung

KWG, VAG und TKG zeigen: Cybersicherheit steht nicht nur im BSIG. Wer in einem regulierten Sektor tätig ist, muss die sektoralen Pflichten kennen und ihr Verhältnis zu BSIG und DORA sauber abgrenzen.