BaFin – News und Maßnahmen I. Einleitung 1. Zweck der Überwachungskommunikation Erstmalig bis Ende 2025 gemäß § 4 Abs. 1 S. 1 Nr. 1 c) cc) und § 6 S. 1 Nr. 3 Verordnung über die Versicherungsmeldung (BerVersV) informiert diese Aufsichtsmitteilung über die Bildung der Schwankungsrückstellung für die neue Art der autonomen Cyberversicherung (Va 26.1). 2. Geltungsbereich und Begriffsbestimmungen Die aufsichtsrechtliche Bekanntmachung richtet sich an Versicherungsunternehmen, die Versicherungstätigkeiten in der Versicherungsform „CyberInsurance Stand Alone“ (nachfolgend „Cyber“) betreiben. Zur Art der Cyberversicherung zählen ausschließlich solche Policen, die eigenständig angeboten werden und in erster Linie dem Schutz vor Cyberrisiken und den daraus resultierenden unmittelbaren Risiken dienen. Ausgenommen hiervon sind Cyber-Versicherungsbestandteile, die als Ergänzung oder Zusatzdeckung zu anderen Versicherungsverträgen abgeschlossen werden. 3. Gültigkeitsdauer und Verhältnis zu anderen Veröffentlichungen Die Aufsichtsbescheide gelten ab sofort bis zum 31.12.2030, ab diesem Zeitpunkt sind sie ausreichend BaFin-Die Datenhaltung erfolgt für einen Beobachtungszeitraum von zehn Jahren und damit den gesetzlichen Regelungen des § 29 S. 1 Rechnungslegungsverordnung des Versicherungsunternehmens (RechVersV) iVm Abschnitt I Nr. 1 und Abschnitt III Nr. Es gilt Abs. 1 Abs. 1 der Anlage zu § 29. II. Regelung einer separaten Wertschwankungsreserve für die Art der Cyberversicherung Ab dem Berichtsjahr 2025 müssen Daten für Cyber gem BerVersV gesondert ausgewiesen werden. Die Einstufung von Cyber als eigenständige Versicherungsart (Va 26.1) in BerVersV wirkt sich auf die zukünftige Berechnung der Cyber-Schwankungsrückstellungen und die Versicherungsklassen/Versicherungsarten aus, unter denen Cyber-Prämien- und Schadensdaten bisher gemeldet wurden. 1. Ausgangslage der Rechtslage gemäß § 29 RechVersV iVm Anlage zu § 29 Gemäß § 29 S.1 RechVersV iVm In Abschnitt I Nr. 1 der Anlage zu § 29 besteht die Verpflichtung zur Bildung einer Schwankungsrückstellung, wenn bestimmte Mindestanforderungen an die verdienten Prämien, die Standardabweichung der Schadenquote und die Schadenkostenquote erfüllt sind. Zur Berechnung der Verlustraten müssen Daten aus einem Beobachtungszeitraum von mindestens zehn Jahren vorliegen (Abschnitt II Nr. 3 Abs. 2 der Anlage zu § 29 RechVersV), wobei sie aus eigenen oder von bereitgestellten Geschäftsunterlagen stammen BaFin veröffentlichte Verlustquoten (Abschnitt III Nr. 1 Abs. 1 der Anlage zu § 29 RechVersV). 2. Schaffung einer Cyber-Ausgleichsreserve für das Geschäftsjahr 2025 Nach Angaben von BaFin verfügt kein Versicherungsunternehmen, das im Geschäftsjahr 2025 Cybergeschäfte getätigt hat, über die notwendigen Daten für einen Beobachtungszeitraum von mindestens zehn Jahren, um Schadenquoten zu berechnen. Nach Kenntnisstand der Versicherungen BaFin nicht diejenigen, die ab Beginn des Cyber-Abdeckungsangebots erforderlich sind Regierung für Cyber freiwillig zum Zwecke der Bildung einer Wertschwankungsreserve erstellt. Auch die von BaFin Veröffentlichte Verlustraten beginnen erst im Jahr 2020 (siehe unten Ziff. III). Daher besteht für das Geschäftsjahr 2025 keine Verpflichtung zur Bildung einer Cyber-Ausgleichsrückstellung. Aus Sicht der Versicherungsunternehmen kann es jedoch erforderlich sein, bereits im Geschäftsjahr 2025 eine Schwankungsrückstellung für Cyber zu bilden. 29 S. 2 RechVersV sieht die Möglichkeit vor, im Einzelfall auf Antrag Abweichungen von der Berechnungsvorschrift zur Bildung einer Wertschwankungsrücklage zu genehmigen, wenn andernfalls der Ausgleich der Schwankungen der Jahresverlustverpflichtung nicht oder nicht ausreichend gewährleistet ist. Für die vorzeitige Bildung der Cyberausgleichsrückstellung kann eine generelle branchenweite Ausnahmegenehmigung erteilt werden BaFin nicht gewähren 3. Voraussetzungen für die frühzeitige Bildung einer Schwankungsrückstellung Eine Ausnahmegenehmigung für die vorzeitige Bildung einer Cyber-Ausgleichsrückstellung zu erhalten gemäß § 29 S. 2 RechVersV muss weiterhin Abschnitt I entsprechen Nr. 1 der Anlage zu § 29 RechVersV Die genannten Anforderungen in Bezug auf verdiente Beiträge, Standardabweichung und Verlust- und Kostenquote müssen erfüllt sein und können durch entsprechende Daten aus Ihren eigenen Geschäftsunterlagen nachgewiesen werden. Im Rahmen der Befreiung gemäß § 29 S. 2 RechVersV im Cyber-Bereich kann es Unternehmen jedoch gestattet sein, die Schadensquote stattdessen auf Basis von Daten aus einem verkürzten Beobachtungszeitraum von mindestens sieben Jahren zu berechnen RechVersV der geplante Beobachtungszeitraum von zehn Jahren. Voraussetzung für die Anwendung des verkürzten Beobachtungszeitraums ist jedoch, dass die für die Berechnung der Verlustquote erforderlichen Daten den vorhandenen eigenen Geschäftsunterlagen des Unternehmens entnommen werden können. Die Verwendung BaFin veröffentlichte Verlustquoten (siehe unten Ziff. III) ist nicht zulässig, wenn vorab eine Ausgleichsrückstellung gebildet wird. Der Beobachtungszeitraum von mindestens sieben Jahren gewährleistet eine gewisse statistische Mindestqualität Schätzung der Ausgleichsreserve aus früheren Daten. Diese Voraussetzungen müssen im Rahmen eines einfachen Bewerbungsverfahrens nachgewiesen werden. gewährt BaFin Sofern die Regelungen des Abschnitts I fortbestehen, ist die Gesellschaft, sofern sie der vorzeitigen Bildung einer Schwankungsrückstellung für Kybernetik zustimmt, von nun an daran gebunden. Nr. 1 der Anlage zu § 29 hinsichtlich der erwirtschafteten Beiträge, der Standardabweichung und der Verlust- und Aufwandsquote eingehalten werden. Bei der oben genannten Vorgehensweise (erstmalige Verkürzung des Beobachtungszeitraums im Rahmen einer Ausnahmegenehmigung) bei der neuen Art der Cyberversicherung handelt es sich um eine Übergangslösung, bis ausreichende Daten für einen zehnjährigen Beobachtungszeitraum entweder bei der jeweiligen Versicherung oder im Formular vorliegen BaFin Es liegen veröffentlichte Verlustraten vor. 4. Auswirkungen einer Cyber-Ausgleichsrückstellung auf andere Versicherungsarten Billigung BaFin für die vorzeitige Bildung der Cyber-Ausgleichsrückstellung erfolgt unter der Voraussetzung, dass die spezifischen Cyber-Daten aus den Daten der für die Schwankungsrückstellung relevanten Versicherungsbranche/Versicherungsart im Rahmen der Voraussetzungen entnommen werden oder von denen bisher im gesamten Beobachtungszeitraum Cyberdaten erhoben wurden. Dadurch wird eine doppelte Nutzung von Cyberdaten bei der Berechnung der Ausgleichsreserve vermieden. Kann die vorzeitige freiwillige Bildung einer Cyberschwankungsrückstellung nicht genehmigt werden, wird die Schwankungsrückstellung in der Versicherungssparte/Versicherungsart berechnet, in der sie tätig ist oder auf dem die Cyberdaten bisher gemäß den Anforderungen des Abschnitts I der Anlage zu § 29 erfasst wurden RechVersV. BaFin – Aktuelle Entwicklungen und Maßnahmen BaFin – Aktuelle Entwicklungen und Schritte