Risikomanagement des Versicherers (§ 26 VAG): Cyber

Kurzdefinition: § 26 VAG verpflichtet Versicherungsunternehmen zu einem wirksamen Risikomanagementsystem, das gut in die Organisationsstruktur und die Entscheidungsprozesse integriert ist. Es muss sämtliche Risiken des Unternehmens abdecken und insbesondere die Steuerung operationeller Risiken umfassen — dazu zählen auch IKT- und Cyberrisiken. § 26 VAG ist die aufsichtsrechtliche Grundnorm, an die die DORA für IKT-Risiken anknüpft. [N-VAG-26]

Der Normwortlaut

§ 26 Abs. 1 VAG bestimmt: „Versicherungsunternehmen müssen über ein … verfügen, das gut in die Organisationsstruktur und die Entscheidungsprozesse des Unternehmens integriert ist“ und die Informationsbedürfnisse der leitenden Personen berücksichtigt. Nach § 26 Abs. 5 VAG hat das Risikomanagementsystem sämtliche Risiken abzudecken und insbesondere „die Steuerung operationeller Risiken“ zu umfassen. [N-VAG-26]

Was verlangt das Risikomanagementsystem?

Umfassende Risikosteuerung. Nach § 26 Abs. 1 VAG muss das System die Strategien, Prozesse und internen Meldeverfahren umfassen, um Risiken zu identifizieren, zu bewerten, zu überwachen und zu steuern sowie über sie zu berichten — einzeln und auf aggregierter Basis, unter Berücksichtigung der Interdependenzen. [N-VAG-26]

Fallen Cyberrisiken unter § 26 VAG?

Ja, als operationelle Risiken. § 26 Abs. 5 Nummer 5 VAG nennt ausdrücklich die Steuerung operationeller Risiken als abzudeckenden Bereich. IKT- und Cyberrisiken zählen im aufsichtsrechtlichen System zu den operationellen Risiken und sind damit Teil des Risikomanagements. [N-VAG-26]

Welche Bereiche muss das System abdecken?

Sämtliche Risiken. Nach § 26 Abs. 5 VAG gehören dazu unter anderem die Zeichnung von Versicherungsrisiken, das Aktiv-Passiv-Management, die Kapitalanlagen, die Steuerung des Liquiditäts- und Konzentrationsrisikos, die Steuerung operationeller Risiken sowie die Rückversicherung. [N-VAG-26]

Was ist der Sanierungsplan?

Ein Vorsorgeinstrument. Nach § 26 Abs. 1 VAG haben Versicherungsunternehmen auf Verlangen der Aufsichtsbehörde einen allgemeinen Sanierungsplan aufzustellen, der Gefährdungsszenarien beschreibt und darlegt, mit welchen Maßnahmen diesen begegnet werden soll. [N-VAG-26]

Wie verhält sich § 26 VAG zur DORA?

Als Grundnorm, die die DORA konkretisiert. § 26 VAG legt das allgemeine Risikomanagementsystem fest; die DORA konkretisiert die Anforderungen an das IKT-Risikomanagement für Versicherer und tritt als spezielleres Regime hinzu. [N-VAG-26]

Häufige Fehlannahmen

„Cyberrisiken sind vom VAG-Risikomanagement nicht erfasst.“ Nein. Sie zählen zu den operationellen Risiken nach § 26 Abs. 5 Nr. 5 VAG. [N-VAG-26]
„Das System muss nur einzelne Risiken betrachten.“ Nein. Es muss sämtliche Risiken einzeln und aggregiert steuern. [N-VAG-26]
„Ein Risikomanagementsystem genügt neben der Organisation.“ Es muss gut in Organisationsstruktur und Entscheidungsprozesse integriert sein. [N-VAG-26]
„Einen Sanierungsplan braucht es nie.“ Doch. Auf Verlangen der Aufsichtsbehörde ist ein allgemeiner Sanierungsplan aufzustellen. [N-VAG-26]
„Die DORA ersetzt § 26 VAG.“ Nein. § 26 VAG bleibt die Grundnorm; die DORA konkretisiert die IKT-Anforderungen. [N-VAG-26]
„§ 26 VAG und § 23 VAG sind dasselbe.“ Nein. § 23 VAG betrifft die Geschäftsorganisation, § 26 VAG das Risikomanagementsystem. [N-VAG-26]

Was die Geschäftsleitung tun sollte

System integrieren. Das Risikomanagementsystem in Organisation und Entscheidungsprozesse einbetten.
Cyberrisiken einordnen. IKT- und Cyberrisiken als operationelle Risiken abdecken.
Alle Bereiche erfassen. Sämtliche Risiken einzeln und aggregiert steuern und berichten.
DORA integrieren. Die IKT-spezifischen DORA-Vorgaben in das Risikomanagement einbauen.

Für die Geschäftsleitung

§ 26 VAG verlangt ein Risikomanagementsystem, das alle Risiken abdeckt — Cyberrisiken eingeschlossen, als operationelle Risiken. Wer diese Grundnorm ernst nimmt, führt Cyberrisiken nicht isoliert, sondern als Teil der Gesamtsteuerung des Versicherers — und schafft die Basis, auf der die DORA-Anforderungen aufsetzen.