Art. 2 Änderungen der Richtlinie 2009/138/EG | DORA directive | DORA

This article amends the Solvency II Directive (2009/138/EC) to align it with DORA.

It makes two targeted changes: first, it explicitly requires insurance and reinsurance undertakings to set up and manage their network and information systems in accordance with DORA when ensuring business continuity; and second, it carves out ICT risk management from the scope of delegated acts that the Commission can adopt under Solvency II, reflecting that DORA now governs that domain directly.

Important points:

Insurance and reinsurance undertakings must set up and manage their network and information systems in accordance with DORA as part of their broader continuity obligations.
The Commission's delegated act-making powers under Solvency II are narrowed, explicitly excluding elements and functions related to ICT risk management, as these fall under DORA.
This article reflects the broader pattern of the directive: ensuring that sector-specific legislation defers to DORA on all ICT-related matters rather than creating parallel or conflicting requirements.

Die Richtlinie 2009/138/EG wird wie folgt geändert:

Artikel 41 Absatz 4 erhält folgende Fassung:
Versicherungs- und Rückversicherungsunternehmen treffen angemessene Vorkehrungen, einschließlich der Entwicklung von Notfallplänen, um die Kontinuität und Ordnungsmäßigkeit ihrer Tätigkeiten zu gewährleisten. Zu diesem Zweck greift das Unternehmen auf geeignete und verhältnismäßige Systeme, Ressourcen und Verfahren zurück, richtet insbesondere Netzwerk- und Informationssysteme ein und verwaltet diese gemäß der Verordnung (EU) 2022/2554 des Europäischen Parlaments und des Rates(¹⁶).
In Artikel 50 Absatz 1 erhalten die Buchstaben a und b folgende Fassung:
„die Bestandteile der in den Artikeln 41, 44, insbesondere die unter Artikel 44 Absatz 2 aufgeführten Bereiche, 46 und 47 genannten Systeme mit Ausnahme derjenigen, die das Risikomanagement im Bereich der Informations- und Kommunikationstechnologie betreffen;
die in den Artikeln 44, 46, 47 und 48 genannten Funktionen mit Ausnahme der Funktionen im Zusammenhang mit dem Risikomanagement im Bereich der Informations- und Kommunikationstechnologie.“.