Glossarbegriff
VAIT
Auch: Versicherungsaufsichtliche Anforderungen an die IT
Rundschreiben der BaFin für Versicherungsunternehmen. Pendant zur BAIT im Bankenbereich, abgeleitet aus MaGo (Mindestanforderungen an die Geschäftsorganisation). Regelt IT-Strategie, Informationssicherheit, Benutzerberechtigungen, IT-Projekte und Auslagerungen.
Die VAIT gilt für Erstversicherer und Rückversicherer unter VAG-Aufsicht. Aktuelle Fassung von 2018 mit Anpassungen. Inhaltlich eng an BAIT angelehnt, mit versicherungs-spezifischen Akzenten (Kunden- und Bestandsführungssysteme, Riester/Rürup-Datenfluss).
Kernkapitel: IT-Strategie, IT-Governance, Informationsrisiko-, Informationssicherheits- und Benutzerberechtigungs-Management, IT-Projekte/Anwendungsentwicklung, IT-Betrieb, Auslagerungen.
In der Praxis
Mit DORA-Anwendung ab Januar 2025 wird die VAIT in Teilen überlagert. Versicherer müssen 2025-2027 in einer Übergangsphase agieren, in der DORA-Pflichten und VAIT-Konkretisierungen kombiniert werden.
Verwandte Begriffe
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.
DORA
EU-Verordnung 2022/2554 für digitale operationale Resilienz im Finanzsektor. Seit 17. Januar 2025 unmittelbar geltend. Fünf Säulen: ICT-Risikomanagement, Vorfallsmanagement, Resilienz-Testing inkl. TLPT, Drittanbieter-Steuerung, Informationsaustausch.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.
BSI C5
Prüfkatalog des BSI für Cloud-Dienste, der eine Mindest-Sicherheitsbasis und Transparenzpflichten definiert. Wird über ein C5-Testat durch unabhängige Wirtschaftsprüfer nachgewiesen. De-facto-Standard für Cloud-Beschaffung im deutschen Markt.
BYOK / HYOK (Bring/Hold Your Own Key)
Schlüssel-Management-Modelle in Cloud-Umgebungen: BYOK bedeutet, der Kunde bringt seinen eigenen Schlüssel in den Cloud-KMS ein. HYOK bedeutet, der Schlüssel verlässt nie die Kunden-Infrastruktur, nur die Operationen werden bei Bedarf an den KMS delegiert.