Am 08.04.2019 stellte die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) den Entwurf eines Rundschreibens zu den Kapitalverwaltungsaufsichtlichen Anforderungen an die IT (KAIT) zur Konsultation. Bereits Ende 2017 wurden die Bankaufsichtlichen Anforderungen an die IT (BAIT) und Mitte 2018 die Versicherungsaufsichtlichen Anforderungen an die IT (VAIT) veröffentlicht. Mit den am 02.10.2019 veröffentlichen KAIT erfolgte die Erläuterung der BaFin bezüglich der Mindestanforderungen, insbesondere an die IT-Governance und Informationssicherheit, die von KVGen mit Erlaubnis nach § 20 Abs. 1 Kapitalanlagegesetzbuch (KAGB) einzuhalten sind. Die BaFin setzt damit ihre Reihe der Anforderungen an die IT-Landschaft im Finanzsektor fort.

Die KAIT stellen eine Konkretisierung bereits bestehender Vorschriften aus dem KAGB beziehungsweise aus den Mindestanforderungen an das Risikomanagement von Kapitalverwaltungsgesellschaften (KAMaRisk) hinsichtlich der IT dar. Vom Umfang der gesetzten Anforderungen gehen sie jedoch weit über diese hinaus. Damit fügen sie sich in die Verwaltungspraxis der BaFin im Sinne der BAIT und VAIT ein.

Die acht Anforderungsbereiche (siehe Darstellung weiter unten) der KAIT legen unter anderem Vorgaben zur IT-Governance, Informationssicherheit sowie zur Entwicklung und dem Betrieb von IT-Systemen fest. Darüber hinaus werden auch IT-Projekte, IT-Betrieb und Auslagerungen respektive der Fremdbezug von IT-Dienstleistungen behandelt.

Für KVGen bedeuten die Vorgaben der KAIT vor allem eine Steigerung der Dokumentations- und Kontrollanforderungen in der IT sowie die Notwendigkeit einer stärkeren Transparenz von verarbeiteten Informationen in den IT-Systemen und den dazugehörigen Prozessen. Für die Herstellung einer angemessenen Compliance bedarf es einer individuellen Herangehensweise zur Definition eines risikobezogenen Soll-Zustandes.

Die wichtigsten Punkte der KAIT sind: