VAIT-Konformität von Cloud-Lösungen

Ebenso wie bei Mainframe-Systemen kann mit Blick auf den Einsatz einer Cloud-Lösung die Frage nicht abstrakt beantwortet werden, ob dies VAIT-konform ist.
Gleichwohl ist Folgendes festzuhalten: Für die Frage der VAIT-Konformität ist die Ausgestaltung einer Cloud-Lösung grundsätzlich ohne Bedeutung. Ein Versicherungsunternehmen hat in jedem der oben beschriebenen Bereitstellungsmodelle die Anforderungen nach den VAIT zu befolgen. Welches das sind, richtet sich nach der konkreten Ausgestaltung.

Dabei ist zu beachten, dass beim Einsatz einer Community oder Public Cloud neben den Anforderungen der VAIT sowie spezialgesetzlichen IT-Sicherheitspflichten auch datenschutzrechtlichen Bestimmungen einzuhalten sind. Für den Einsatz einer Private Cloud gilt folgende Unterscheidung:

• Betreibt das Versicherungsunternehmen diese Form der Lösung auf eigenen Servern, handelt es sich um ein eigenständiges IT-System, das die Anforderungen der ersten sieben Kapitel der VAIT - wie beim Betrieb eines originären Mainframe-Systems - erfüllen muss.

• Wenn die Private Cloud auf externen Servern in der Form betrieben wird, dass Rechenleistung, Speicherplatz, Plattformen oder Software zur Verfügung gestellt wird, sind zusätzlich zu den Anforderungen der ersten sieben Kapiteln nach Randnummer 65 des Abschnitts II. der VAIT die für Ausgliederungen jeweils geltenden Anforderungen zu erfüllen. Insbesondere ist nach dem Willen der BaFin vorab eine Risikoanalyse durchzuführen.

Fazit

Technisch ist eine Umstellung des Betriebs der IT eines Versicherungsunternehmens von einem Mainframe auf eine cloudbasierte Mainframe-Lösung bereits möglich.
Rechtlich bedarf es hingegen einer Analyse des Einzelfalls.

Festzuhalten ist jedenfalls Folgendes: Eine Umstellung ist nach den Vorgaben der VAIT grundsätzlich nicht zwingend erforderlich. Gleichwohl ist es vor allem unter Berücksichtigung des Aufwands, die neuen Anforderungen der VAIT sowie die generell bestehenden spezialgesetzlichen IT-Sicherheitspflichten einzuhalten, ratsam, zu prüfen, ob der Betrieb der IT auf eine cloudbasierte Mainframe-Lösung migriert werden sollte. Diese Überlegung dürfte vor dem Hintergrund von Run-Off Transaktionen, mit deren Zunahme aufgrund der anhaltenden Niedrigzinsphase insbesondere im Lebensversicherungssektor zu rechnen ist, an Bedeutung gewinnen. Im Gegensatz zu einem originären Mainframe können mithilfe einer cloudbasierten Mainframe-Lösung Daten nicht nur migriert, sondern vielmehr portiert werden. Das kann eine wesentliche Erleichterung der tatsächlichen Durchführung einer solchen Transaktion darstellen.