Das BMF hat einen Referentenentwurf für ein Gesetz über die Digitalisierung des Finanzmarkts veröffentlicht. Dieses Gesetz stellt unter anderem eine nationale Reaktion auf das DORA-Paket dar. Das FinmadiG soll unter anderem die DORA-Verordnung (EU) 2022/2554 durchführen und die DORA-Richtlinie (EU) 2022/2556 umsetzen. Dieses DORA-Paket führt mit Art. 11 FinmadiG zu drei wesentlichen Änderungen im VAG:

• Die BaFin und die entsprechenden Landesbehörden beaufsichtigen die Versicherungsunternehmen im Hinblick auf die DORA-Regulierung. Die Beaufsichtigung der Versicherungsvermittler übernimmt die IHK
• Die Versicherungsaufsichtsbehörden erhalten neue Eingriffsbefugnisse speziell im Hinblick auf die Vorgabe der DORA-Regulierung. Neu ist etwa, dass Unternehmensvertreter von den Aufsichtsbehörden vorgeladen werden können
• Die Erfüllung der Anzeigepflichten der DORA-Regulierung und die Einhaltung ausgewählter materieller Vorgaben der DORA-Regulierung werden obligatorischer Gegenstand der Abschlussprüfung.

Flankiert werden diese Neuregelungen „selbstverständlich“ durch einen weiteren Bußgeldtatbestand, der einen Bußgeldrahmen bis zu 5 Millionen € eröffnet.

Bewertung: Der Großteil der Neuregelungen beruht auf obligatorischem Unionsrecht. Problematisch erscheint die Ausweitung der Abschlussprüfung auf die materiellen Vorgaben zur DORA-Governance. Damit werden Governance-Vorgaben im Versicherungssektor erstmals Gegenstand der Abschlussprüfung mit Schnittmengen zur aufsichtsrechtlichen Governance. Das Vertrauen des deutschen Gesetzgebers in die Abschlussprüfer ist weiterhin ungebrochen: Offenbar wäre die BaFin ohne dieses Outsourcing personell (quantitativ und/oder qualitativ) nicht der Lage, ihre gesetzlichen Aufgaben zu erfüllen. Bemerkenswert ist außerdem, dass der Entwurf keine klarstellende Änderung des VAG dahingehend vorsieht, das ITK-Aspekte künftig nicht mehr von den Vorgaben im VAG, sondern nur von der DORA-Verordnung erfasst werden.

Praxishinweis: Die Entwurfsbegründung zum KWG führt aus, dass Vorgaben der bankenaufsichtlichen Anforderungen an die IT (BAIT) in dem entsprechenden BaFin-Rundschreiben keine Anwendung mehr finden, soweit sie höhere Anforderungen als die DORA-Verordnung formulieren. Das gilt gleichfalls für die parallelen Inhalte der versicherungsaufsichtlichen Anforderungen an die IT (VAIT) der BaFin. Damit verlieren die VAIT-Inhalte zur Widerstandfähigkeit der Unternehmen im Hinblick auf IKT-Risiken ihre Bedeutung.