DORA für Vermittler abgewendet

Ein Artikel von Anja C. Kahlscheuer, Geschäftsführerin und Rechtsanwältin beim Bundesverband Deutscher Versicherungskaufleute e. V.

Das Europäische Parlament verabschiedete am 10.11.2022 den sogenannten Digital Operational Resilience Act (kurz: DORA). Die Abgeordneten des Europäischen Parlamentes stimmten mit 556 Ja-Stimmen, 18 Nein-Stimmen und 38 Enthaltungen für das neue gesetzliche Regelungswerk zur digitalen operativen Belastbarkeit im Finanzsektor. Die neue Verordnung, die unmittelbar in allen europäischen Mitgliedsstaaten gilt, ohne dass es einer nationalen Umsetzung bedarf, wurde im Zuge des sogenannten digitalen Finanzpaketes in Angriff genommen.

Unverhältnismäßige Belastung für Versicherungsvermittler

Kurze Vorgeschichte: Die Europäische Union legte im Herbst 2020 ein Regelungswerk zur digitalen operativen Belastbarkeit im Finanzsektor vor. Damit sollen zukünftig Cyber-Angriffe vermieden und eine Verbesserung der Aufsicht über ausgelagerte IT-Dienste erreicht werden. Geplant waren ca. 100 digitale Sicherheits- und Berichtsanforderungen, um die Risiken in der Informations- und Kommunikationstechnologie zu mindern. Im Vorschlag der Europäischen Kommission fielen zunächst die Versicherungsvermittler uneingeschränkt in den Anwendungsbereich von DORA. Dieses hätte zu einer unverhältnismäßigen Belastung für viele Versicherungsvermittler geführt, aber auch zu großen bürokratischen und finanziellen Hürden. Der Bundesverband Deutscher Versicherungskaufleute e. V. (BVK) hat sich daher selbst sowie über seinen europäischen Dachverband der Vermittler – BIPAR – gegen die Einbeziehung von Versicherungsvermittlern in den Anwendungsbereich von DORA eingesetzt.

Auch wenn das grundsätzliche Ziel von DORA, nämlich die digitale operative Widerstandsfähigkeit des Finanzsektors zu erhöhen, begrüßt werden kann, war es nach Ansicht des BVK nicht operativ und finanziell tragbar, dass diese Anforderungen von DORA für alle Versicherungs- und Finanzvermittler zu übernehmen sind. Die Regulierungsarchitektur von DORA sei nicht an den Versicherungsvertriebssektor angepasst und die verhältnismäßige Anwendung der zahlreichen und detaillierten Anforderungen sei in der Praxis nur schwer zu gewährleisten. Diese Botschaft wurde an die Abgeordneten des Rates und der Kommission weitergeleitet. Der BVK hat sich daher zum einen in Arbeitspapieren an die Europäische Kommission gewandt, zum anderen aber auch die Mitglieder des Wirtschafts- und Währungsausschusses (ECON-Ausschuss) angeschrieben und seine Bedenken angebracht.

Verdoppelung der Anforderungen

Im Wesentlichen wurde vorgetragen, dass die Versicherungsvermittler bereits ausreichend durch die derzeitige EU-Versicherungsvertriebsrichtlinie IDD und die Datenschutzgrundverordnung erfasst seien und bereits dadurch IT-sicherheitsrelevante Pflichten tragen müssten. Kritisiert wurde zudem, dass kleine und mittelgroße Unternehmen vollumfänglich in den Anwendungsbereich von DORA aufgenommen werden. Der Anwendungsbereich von DORA sei viel zu weit gefasst. Er betreffe große Finanzunternehmen und gleichfalls auch Versicherungsvermittler oder nebenberufliche Vermittler, so wie sie in der IDD definiert seien. Dies würde in vielen Fällen zu einer Verdopplung von Anforderungen führen, die bereits heute für die Versicherungsvermittler gelten. Im Übrigen würden die Verpflichtungen von DORA für viele Vermittler zu weiteren bürokratischen Hürden führen, die in keinem proportionalen Verhältnis zum Risiko stehen.

Einwände trugen Früchte

Ein weiterer Kritikpunkt: Die Mehrzahl der Versicherungsvermittler hat kein eigenes IT-System, im Gegenteil, die meisten Vermittler benutzen die Software des Versicherungsunternehmens, das sie vertreten. Auch sei die digitale Vernetzung und Gefährdung eines großen Banken- und Versicherungsunternehmens kaum mit einer Versicherungsagentur zu vergleichen. Es sei daher im Weiteren der Gedanke der Verhältnismäßigkeit besonders zu berücksichtigen.

Diese Kritikpunkte trugen Früchte. Im neuen Entwurf, der nunmehr auch verabschiedet wurde, sind Versicherungsvermittler, Rückversicherungsvermittler und Versicherungsvermittler in Nebentätigkeit, so wie sie in der IDD definiert sind, bei denen es sich um Kleinstunternehmen, kleine und mittlere Unternehmen handelt, aus dem Anwendungsbereich von DORA gemäß Artikel 2 Nr. 3e und Artikel 3 herausgenommen worden.

Für große Kreditinstitute oder größere Versicherungsvermittler gelten die Grundsätze der Verhältnismäßigkeit. Hier stehen noch weitere Diskussionen an, welche Auslegung im Rahmen des Grundsatzes der Verhältnismäßigkeit letztendlich heranzuziehen sind. Eine weitere berufspolitische Interessenvertretung auf nationaler sowie europäischer Ebene wird also weiter vonnöten sein.

Relevanz für Versicherungsvermittler

Für Versicherungsvermittler bedeutet dies nun: Versicherungsvermittler mit weniger als 250 Mitarbeitern und einem Jahresumsatz von weniger als 50 Mio. Euro bzw. einer Jahresbilanzsumme von weniger als 43 Mio. Euro fallen nicht in den Anwendungsbereich von DORA. Verfügen Versicherungsvermittler über mehr als 250 Mitarbeiter und liegt ihr Jahresumsatz oder ihre Bilanzsumme über den oben erwähnten Beträgen, fallen sie grundsätzlich in den Anwendungsbereich von DORA. Die Anwendung muss sich jedoch an Grundsätzen der Verhältnismäßigkeit orientieren. Ihre Ausarbeitung wird in den nächsten Monaten noch ausgeführt werden müssen.

Es zeigt sich, dass durch eine beharrliche Interessenvertretung und Einflussnahme auf die entsprechenden Gremien im Gesetzgebungsverfahren Einfluss genommen werden kann. Es ist daher wichtig, die politische Arbeit in Brüssel frühzeitig zu starten und die Belange der Versicherungsvermittler dort vorzubringen.

Diesen Artikel lesen Sie auch in AssCompact 02/2023, S. 102 f., und in unserem ePaper.