Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat gegenüber der SIGNAL IDUNA Lebensversicherung a.G. verbindlich angeordnet, eine ordnungsgemäße Geschäftsorganisation im Bereich der IT sicherzustellen. Das Unternehmen muss der Aufsicht regelmäßig über die Fortschritte bei der Umsetzung berichten.
Eine zuvor durchgeführte aufsichtsrechtliche Prüfung hatte ergeben, dass Mängel in der IT-Organisation des Versicherers bestehen. Diese betreffen die Vorgaben des § 23 Abs. 1 Versicherungsaufsichtsgesetz (VAG), der Versicherungsunternehmen verpflichtet, über eine wirksame, ordnungsgemäße und risikoadäquate Geschäftsorganisation zu verfügen. Die BaFin sah hierin einen Missstand und ordnete die Abstellung der festgestellten Defizite an. Die Maßnahme ist bestandskräftig.
Hintergrund: Anforderungen an eine ordnungsgemäße Geschäftsorganisation
Nach dem Versicherungsaufsichtsgesetz müssen Versicherungsunternehmen sicherstellen, dass ihre Organisationsstruktur – insbesondere im Bereich IT und Datenverarbeitung – den aufsichtsrechtlichen und operativen Anforderungen genügt. Dazu zählen etwa:
-
Funktionsfähige IT-Systeme zur Gewährleistung sicherer und effizienter Geschäftsprozesse,
-
Schutz sensibler Kundendaten vor unbefugtem Zugriff,
-
Angemessene Kontroll- und Risikomanagementprozesse,
-
sowie eine laufende Überwachung und Anpassung der IT-Infrastruktur.
Ziel ist eine solide und umsichtige Unternehmensleitung, die rechtliche und technische Standards einhält.
Eingriffsbefugnis der BaFin
Kommt die Aufsicht zu dem Schluss, dass eine unzureichende Geschäftsorganisation vorliegt, kann sie gemäß § 298 Abs. 1 i.V.m. § 294 Abs. 2 VAG tätig werden. Sie hat dann die Möglichkeit, konkrete Maßnahmen zu ergreifen – etwa die Beseitigung von Mängeln anzuordnen oder eine laufende Berichterstattung über deren Behebung zu verlangen.
Die Veröffentlichung solcher Maßnahmen erfolgt nach § 319 Abs. 1 VAG, um Transparenz gegenüber Versicherten und Marktteilnehmern zu gewährleisten.
Bedeutung für die Branche
Der Fall zeigt, dass die BaFin zunehmend den Fokus auf IT- und Cyber-Risiken in der Versicherungswirtschaft legt. Eine fehlerhafte oder unzureichend gesicherte IT-Infrastruktur kann nicht nur den Geschäftsbetrieb, sondern auch Datenschutz, Risikosteuerung und Kundensicherheit beeinträchtigen.
Mit ihrer Anordnung unterstreicht die Aufsichtsbehörde, dass IT-Governance und digitale Sicherheit integraler Bestandteil einer ordnungsgemäßen Geschäftsorganisation sind – und Verstöße in diesem Bereich aufsichtsrechtliche Konsequenzen nach sich ziehen können.
