Los requisitos normativos pueden parecer onerosos y excesivos en algunos casos, pero en el caso de la VAIT tienen todo el sentido del mundo. Cualquiera que opere sistemas y aplicaciones informáticos en una empresa debe también documentarlos adecuadamente según la actual directiva VAIT. A pesar de que la directiva entrará en vigor en marzo de 2022 90% de las empresas afectadas siguen cumpliendo sus requisitos sólo parcialmente o no los cumplen en absoluto (cf. BaFin "IT Supervision of Insurance Companies and Pension Funds", a partir del 21.06.2022). Ha llegado el momento de actuar: El cumplimiento de los requisitos debe abordarse no sólo para mantener la seguridad jurídica y evitar la amenaza de sanciones, sino también para optimizar la empresa con el soporte de datos.

¿Qué es la ¿El VAIT?

Las VAIT (Insurance Supervisory Requirements for IT) son instrucciones administrativas que la Autoridad Federal de Supervisión Financiera (BaFin) publicó por primera vez en 2018. Los requisitos reglamentarios concretan los requisitos legales de la Ley de Supervisión de Seguros (VAG; §§ 23-32) o los Requisitos Mínimos para la Organización Empresarial de las Compañías de Seguros (MaGo). El objetivo es garantizar una aplicación coherente. Las últimas modificaciones publicadas son las siguientes Versión a partir del 03.03.2022 grabados. Los siguientes Requisitos se definen en el VAIT:

1. Estrategia informática
2. Gobernanza informática
3. Gestión de riesgos de la información
4. Gestión de la seguridad de la información
5. Seguridad de la información operativa
6. Gestión de identidades y derechos
7. Proyectos informáticos y desarrollo de aplicaciones
8. Operaciones informáticas
9. Subcontratación de servicios informáticos y otras relaciones de servicio en el ámbito de los servicios informáticos
10. Gestión de emergencias informáticas
11. Infraestructuras críticas

BaFin se centra en una base vinculante para la gestión de las TI, que también debería aumentar la concienciación sobre los riesgos informáticos en las empresas frente a sus proveedores de servicios informáticos. Las normas comunes (por ejemplo, procedimientos de cifrado y sistemas de gestión legal) deben tenerse debidamente en cuenta. El cumplimiento de la normativa no sólo debe dar lugar a auditorías satisfactorias, sino también contribuir a la gestión y el control activos de los riesgos informáticos de las aseguradoras y aumentar la ciberseguridad de las empresas. La VAIT afecta a todas las compañías de seguros y reaseguros, así como a los fondos de pensiones.que están sujetas a la supervisión de BaFin.

¿Por qué hay tantos rezagados en la implantación del VAIT?

Para las compañías de seguros, los requisitos de la VAIT suponen sobre todo un aumento de los requisitos de documentación y control de las TI. También exigen una mayor transparencia de la información procesada en los sistemas informáticos y los procesos asociados. A este respecto, las aseguradoras suelen Escasez de personal y problemas de capacidad no son capaces de cumplir por sí solas los requisitos reglamentarios relativos a su entorno de sistemas. Esto se ve agravado por el hecho de que a menudo Sin responsabilidad central para lograr el cumplimiento de la VAIT. Sin embargo, un cumplimiento normativo incompleto o inexistente puede acarrear graves sanciones e incluso daños a la reputación.

Además de los sistemas de las aseguradoras, a partir de ahora también habrá que documentar de manera conforme el tratamiento individual de datos (IDV) de los departamentos. Esta carga de trabajo adicional a menudo no puede ser cubierta de forma independiente por los departamentos.

Impulsar la implantación del VAIT

Tenemos un Catálogo de medidas cuyo objetivo es contribuir al cumplimiento de la VAIT en su totalidad o -en función del grado de cumplimiento de la empresa- por partes:

Evaluación

- ¿Se han implantado los sistemas que se van a auditar de conformidad con el VAIT?
- ¿Están disponibles los documentos VAIT necesarios?
- ¿Qué deficiencias pueden detectarse en la documentación actual?

Definición de las medidas

- ¿Qué medidas se utilizan para lograr la conformidad con el VAIT?
- ¿Cómo se garantiza que las medidas estén preparadas para el futuro?

Aplicación

- Modificación de sistemas informáticos (por ejemplo, gestión de autorizaciones de usuarios)
- Implementación de funciones de seguridad (por ejemplo, evaluación automatizada de datos de registro para combatir escenarios de amenazas).
- Revisión completa de la documentación VAIT

Estaremos encantados de acompañarle en su camino hacia el cumplimiento de la VAIT. No dude en ponerse en contacto con nosotros si tiene alguna pregunta. También estaremos encantados de ayudarle a cumplir las especificaciones exigidas en relación con BAIT, KAIT y ZAIT. Si está interesado en este tema, esperamos su participación en nuestro seminario web gratuito.

La cooperación con Alexander Thamm GmbH es muy satisfactoria. [at] nos ha apoyado con éxito en la introducción conforme a la normativa de nuevos servicios y productos de TI y convence con un enfoque estructurado y proactivo.

Director de Datos de una de las 10 principales aseguradoras de Alemania