DORA für Versicherer: was aus der VAIT wird und wie die MaGo dazu passt

Diese Seite gilt für den Vollrahmen: Erst- und Rückversicherungsunternehmen unter Solvency II wenden Art. 5 bis 15 DORA an, den vereinfachten Rahmen nach Art. 16 gibt es für sie nicht. Art. 16 gilt für Versicherungsholdings (Abschnitt unten) und, außerhalb von Solvency II, für kleine Einrichtungen der betrieblichen Altersversorgung. Ob und in welchem Rahmen DORA für Ihr Unternehmen gilt, klärt die Seite DORA-Anwendungsbereich.

Für wen in der Versicherungsbranche gilt DORA?

Für jeden Versicherer unter Solvency II, und zwar im Vollrahmen. DORA nennt Versicherungs- und Rückversicherungsunternehmen ausdrücklich als Finanzunternehmen (Art. 2 Abs. 1 lit. n). Daneben gibt es drei Sonderfälle:

Was ist aus der VAIT geworden?

Sie gilt nicht mehr. Die BaFin hat die VAIT, zusammen mit KAIT und ZAIT, mit Ablauf des 16.01.2025 aufgehoben. Schon im Juni 2024 hatte sie festgehalten, dass die Anforderungen von BAIT und VAIT im Wesentlichen im Vollrahmen von DORA und in Art. 28 bis 30 abgebildet sind. Eine weitere Übergangsfrist gibt es nicht. Konkretisiert wird über die europäischen Level-2-Rechtsakte, für das IKT-Risikomanagement über die Delegierte Verordnung (EU) 2024/1774 (RTS), siehe DORA-Verordnung.

Eine Übergangsgruppe wie bei der BAIT (BAIT und DORA) gibt es nicht. „Aufgehoben“ heißt: keine ausdrückliche Vorgabe der VAIT mehr. Die meisten Aufgaben dahinter verlangt DORA weiter, oft ausführlicher.

Wohin wandern die VAIT-Kapitel?

In den Vollrahmen von DORA und in die RTS 2024/1774, Kapitel für Kapitel. Die Tabelle folgt der Gegenüberstellung in der BaFin-Aufsichtsmitteilung vom 08.07.2024 (Stand Juni 2024), die die Kapitel 1 bis 10 von BAIT und VAIT mit dem Vollrahmen und Art. 28 bis 30 vergleicht. Die Kapitelnummern sind in beiden Rundschreiben gleich, einzelne Textziffern weichen ab: Der Informationssicherheitsbeauftragte (ISB) steht in der VAIT unter 4.5, in der BAIT unter 4.4. Ein Mapping Textziffer für Textziffer gibt es für die BAIT als Excel auf der Seite BAIT und DORA, für Versicherer zeigt diese Tabelle die Kapitelebene.

Die Kapitel 3 und 4 behandelt die Aufsichtsmitteilung in einem gemeinsamen Abschnitt, die Aufteilung auf zwei Zeilen ist unsere. Was die Vertragsinhalte nach Art. 30 im Einzelnen verlangen, behandeln wir auf der Seite IKT-Drittdienstleister steuern, den Aufbau des Registers auf der Seite Informationsregister.

MaGo und DORA: wer regelt was?

DORA regelt die IKT-Risiken, die MaGo die allgemeine Geschäftsorganisation, und beide gelten nebeneinander. Für Versicherer unter Solvency II gilt das Rundschreiben 09/2025 (VA) „MaGo für SII-VU“ vom 14.07.2025, in Kraft seit 14.10.2025. Es hat das Rundschreiben 02/2017 (VA) abgelöst, nach Angabe der BaFin ohne grundlegende inhaltliche Änderungen.

Das Verhältnis beschreibt die MaGo selbst (Rn. 11): DORA und die KI-Verordnung setzen sektorspezifische Anforderungen an IKT- und KI-Risiken, die MaGo legt die allgemeinen Geschäftsorganisationsprozesse aus. Soweit es dafür auf die allgemeine Geschäftsorganisation ankommt, „bleiben die Auslegungshinweise aus diesem Rundschreiben maßgeblich“. Die MaGo für SII-VU gilt nicht für Sterbekassen, Pensionskassen und kleine Versicherungsunternehmen nach § 211 VAG (Rn. 2). Für Einrichtungen der betrieblichen Altersversorgung gibt es eine eigene MaGo, die wir hier nicht behandeln.

Notfallmanagement (Kapitel 14) und Ausgliederung (Kapitel 13) folgen in eigenen Abschnitten. Für Banken stellt sich dieselbe Frage mit der MaRisk, siehe MaRisk und DORA.

Wie passen das Notfallmanagement der MaGo und DORA zusammen?

Am besten als ein System mit einem IKT-Teil. Die MaGo verlangt in Kapitel 14 ein Notfallmanagement, für das die Geschäftsleitung verantwortlich ist. Die Notfallplanung beschließt die gesamte Geschäftsleitung (Rn. 252). Notfallpläne braucht jeder Bereich und Prozess, dessen unvorhergesehene Störung die Fortführung der Geschäftstätigkeit gefährden kann, mit tolerierbaren Ausfall- und Wiederherstellungszeiten, unter Einbeziehung ausgegliederter Bereiche und mit regelmäßigen Testläufen und Übungen (Rn. 253). Die Szenarien richten sich nach dem individuellen Risikoprofil (Rn. 254).

DORA verlangt im Vollrahmen eine IKT-Geschäftsfortführungsleitlinie, die als fester Bestandteil der allgemeinen Geschäftsfortführungsleitlinie verabschiedet werden kann (Art. 11 Abs. 1), dazu Reaktions- und Wiederherstellungspläne, eine Business-Impact-Analyse, mindestens jährliche Tests und eine Krisenmanagementfunktion (Art. 11 Abs. 3, 5, 6, 7) sowie Wiederherstellungsziele je Funktion (Art. 12 Abs. 6). Die Reaktions- und Wiederherstellungspläne sind das Gegenstück der IT-Notfallpläne aus Kapitel 10 der VAIT.

Daraus folgt unsere Empfehlung: Die Notfallplanung nach MaGo bleibt das Dach, die IKT-Geschäftsfortführungsleitlinie wird ihr Bestandteil. Beide nutzen dieselbe BIA und dieselben Ausfall- und Wiederherstellungszeiten, und die Übungen nach Rn. 253 und die Tests nach Art. 11 Abs. 6 werden gemeinsam geplant.

Ausgliederung und IKT-Drittdienstleister: was gilt doppelt?

Viele Verträge fallen unter beide Regelwerke, einige nur unter eines. Die MaGo regelt in Kapitel 13 die Ausgliederung von Funktionen und Versicherungstätigkeiten nach § 32 VAG. Als wichtig gelten in der Regel unter anderem Bestandsverwaltung, Leistungsbearbeitung, Rechnungswesen, Kapitalanlage und -verwaltung sowie die elektronische Datenverarbeitung im Hinblick auf ihrerseits wichtige versicherungstypische Tätigkeiten (Rn. 218). Für solche Ausgliederungen gelten unter anderem Vorabgenehmigung durch die gesamte Geschäftsleitung, Anzeige nach § 47 Nr. 8 VAG und eigene Notfallpläne.

DORA erfasst dagegen jede vertragliche Vereinbarung über IKT-Dienstleistungen. Der Begriff ist laut BaFin deutlich weiter als der Ausgliederungsbegriff, alle Drittbezüge mit IKT-Bezug sind einzuwerten. Die Ausgliederungsregeln der MaGo gelten parallel und ergänzend, viele IKT-Verträge sind zugleich Ausgliederungen und umgekehrt. Ob eine IKT-Dienstleistung eine kritische oder wichtige Funktion unterstützt, ist methodisch nicht dasselbe wie die Frage, ob eine wichtige Funktion oder Versicherungstätigkeit im Sinne des VAG vorliegt (Aufsichtsmitteilung vom 08.07.2024, Abschnitt 6.1). Wie Sie kritische oder wichtige Funktionen einstufen, zeigt die Seite Kritische oder wichtige Funktionen.

Für die Organisation heißt das: Die Funktion zur Überwachung der IKT-Verträge nach Art. 5 Abs. 3 DORA ist nach der BaFin mit dem (zentralen) Auslagerungsbeauftragten vergleichbar. Statt ein zweites Amt zu schaffen, können Sie die Aufgabe dem Ausgliederungsbeauftragten zusätzlich übertragen oder ein Mitglied der Geschäftsleitung benennen, wie Art. 5 Abs. 3 es zulässt.

Was gilt für Versicherungsholdings?

Für sie gilt der vereinfachte Rahmen nach Art. 16. Versicherungs-Holdinggesellschaften nach § 7 Nr. 31 VAG und Unternehmen nach § 293 Abs. 4 VAG, deren Haupttätigkeit das Erwerben und Halten von Beteiligungen an Versicherern oder Pensionsfonds ist und die noch nicht nach dem VAG beaufsichtigt werden, wenden DORA an, statt Art. 5 bis 15 aber Art. 16 (§ 293 Abs. 5 VAG). Eine Übergangsfrist nennt das VAG dafür nicht. Was der vereinfachte Rahmen verlangt, steht auf der Seite Art. 16 DORA. Für die übrige Geschäftsorganisation gilt die MaGo für Holdings je nach Tätigkeit unmittelbar oder entsprechend (Rn. 4).

Beispiel: Umbauplan für einen Versicherer

Frei erfundenes Beispiel, kein Kunde: Die Muster-Versicherung AG ist ein regionaler Schaden- und Unfallversicherer unter Solvency II mit 140 Beschäftigten, also kein Kleinstunternehmen. Das Informationsregister und die wichtigsten Leitlinien stehen seit Januar 2025, viele Unterlagen folgen aber noch der VAIT-Gliederung. Im November 2026 stellt sie einen Umbauplan auf. Die Bestandsführung läuft als Cloud-Dienst eines Softwarehauses, das Rechenzentrum betreibt ein externer IT-Dienstleister, die Kapitalanlage verwaltet eine Kapitalverwaltungsgesellschaft.

Umbauplan VAIT/MaGo → DORA (Vorlage, fiktiv ausgefüllt, Stand 06.11.2026):

Keine Zeile streicht eine Schutzmaßnahme: Jede Unterlage bekommt eine neue Grundlage oder einen neuen Zuschnitt. Der Abgleich der drei Dienstleister zeigt drei Fälle. Die Cloud-Bestandsführung ist die Ausgliederung einer wichtigen Versicherungstätigkeit nach MaGo und zugleich eine IKT-Dienstleistung, die nach der Einstufung des Unternehmens eine kritische oder wichtige Funktion unterstützt: Anzeige, Registereintrag und Vertragsinhalte nach Art. 30 Abs. 3 gelten nebeneinander. Der Rechenzentrumsbetrieb ist eine IKT-Dienstleistung. Nach unserer Lesart ist er, weil er wichtige versicherungstypische Tätigkeiten stützt, in der Regel auch die Ausgliederung einer wichtigen Funktion (MaGo Rn. 218 zur Wichtigkeit der EDV). Ob eine Ausgliederung nach § 32 VAG vorliegt, prüft die Muster-Versicherung im Einzelfall. Die Kapitalanlageverwaltung ist nach MaGo in der Regel die Ausgliederung einer wichtigen Funktion. Ist sie eine regulierte Finanzdienstleistung, behandelt die BaFin sie nicht als IKT-Dienstleistung im Sinne von Art. 3 Nr. 21 DORA.

Drei typische Lücken

Beispiel, Umbauplan und Lücken sind unsere fachliche Einordnung aus dem Wortlaut von DORA, MaGo und den Aufsichtsmitteilungen der BaFin. Ob ein einzelner Bezug eine Ausgliederung nach § 32 VAG ist, gehört im Zweifel in Ihre Rechtsberatung.

Wie wir unterstützen

Wir haben am DORA-Programm einer großen deutschen Versicherungsgruppe mitgearbeitet (im Auftrag einer international tätigen Managementberatung, 02/2024-10/2025). Für Versicherer beginnen wir mit der DORA-Gap-Analyse im Vollrahmen: Sie zeigt, wo VAIT-Unterlagen, MaGo und DORA noch auseinanderlaufen, und endet mit einem Maßnahmenplan. Versicherungsholdings im vereinfachten Rahmen starten mit der Art.-16-Gap-Analyse.