Innovation, Outsourcing und operationelle Resilienz

Die Schweiz hat versucht, ihre Bankenregulierung an neue Geschäftsmodelle anzupassen. Seit 2017 erlaubt die Bankenverordnung (BankV) Unternehmen, Publikumseinlagen bis zu einer Million Franken ohne Bankbewilligung entgegenzunehmen, sofern sie die Einlagen weder anlegen noch verzinsen und ihre Kunden darüber informieren, dass die Einlagen nicht gesichert sind. Diese als Sandbox bekannte Regelung erlaubt es Start-ups, ihre Geschäftsmodelle zu erproben, bevor sie eine Bewilligung benötigen.¹

Am 1. Januar 2019 folgte eine neue Bewilligungskategorie, die gemeinhin als Fintech-Bewilligung bezeichnet wird. Sie erlaubt Instituten, Publikumseinlagen bis zu hundert Millionen Franken oder sammelverwahrte Krypto-Vermögenswerte entgegenzunehmen, sofern sie diese Mittel weder anlegen noch verzinsen. Da sie keine Fristentransformation betreiben, die eine Bank kennzeichnet, unterliegen solche Institute erleichterten Anforderungen. Diese betreffen ihr Mindestkapital, ihre Organisation und die Eigenmittelvorschriften, die deutlich reduziert sind. Ihre Kunden geniessen keine Einlagensicherung und müssen darüber informiert werden.² Die Zahl der erteilten Fintech-Bewilligungen ist klein geblieben. Mehrere Inhaber sind im Bereich Zahlungsverkehr und Krypto-Vermögenswerte tätig, was erklärt, weshalb die Vorschläge des Bundesrates von 2025 für Zahlungsmittelinstitute und Krypto-Institute das Konzept erneut aufgriffen.

Da Banken immer mehr Tätigkeiten an Dienstleister und Cloud-Plattformen auslagern, musste sich die Aufsicht mit den daraus entstehenden Risiken befassen. Das 2018 revidierte Outsourcing-Rundschreiben der FINMA verlangt von den Banken, ein Inventar ihrer ausgelagerten Funktionen zu führen und ihre Dienstleister sorgfältig auszuwählen, zu instruieren und zu überwachen. Die Verträge müssen sicherstellen, dass die Bank, ihre Prüfgesellschaft und die FINMA Zugang zu den benötigten Informationen behalten. Werden Funktionen ins Ausland ausgelagert, muss die Bank sicherstellen, dass sie diese in der Schweiz wiederherstellen oder auf einen anderen Dienstleister übertragen kann.³

Die operationelle Resilienz wurde zu einem eigenständigen Aufsichtsbegriff, nachdem der Basler Ausschuss 2021 seine Grundsätze zu diesem Thema verabschiedet hatte. Die FINMA übernahm sie in ein neues Rundschreiben zu operationellen Risiken und Resilienz, das Anfang 2024 in Kraft trat und das Rundschreiben von 2008 ersetzte. Die Banken müssen ihre kritischen Funktionen bestimmen, für jede Funktion die Toleranz für Unterbrechungen festlegen und nachweisen, dass sie diese in schweren, aber plausiblen Szenarien innerhalb dieser Toleranzen aufrechterhalten können.⁴ Das Rundschreiben enthält zudem Anforderungen an das Management der Informations- und Kommunikationstechnologie, der Daten und der Cyberrisiken.

Cyberangriffe gehören zu den operationellen Risiken, welche die FINMA für den Finanzplatz Schweiz als besonders bedeutsam erachtet. Seit 2020 müssen beaufsichtigte Institute der FINMA wesentliche Cyberangriffe innert kurzer Frist nach ihrer Entdeckung melden und anschliessend einen vollständigen Bericht einreichen. Seit 2025 verpflichtet zudem eine allgemeine Meldepflicht für Betreiber kritischer Infrastrukturen, zu denen die Banken gehören, diese, Cyberangriffe der Cybersicherheitsbehörde des Bundes zu melden.⁵ Für den Kunden einer Basler Privatbank mögen diese Regeln technisch wirken. Sie schützen, was einem solchen Kunden am wichtigsten ist: die Vertraulichkeit der Daten und die Verfügbarkeit der Vermögenswerte.

Anmerkungen

1. Zum bewilligungsfreien Innovationsraum (Sandbox) für die Entgegennahme von Publikumseinlagen bis CHF 1 Mio. nach Art. 6 Abs. 2 Bankenverordnung, in Kraft seit 1. August 2017, und zur Verlängerung der Ausnahme für Abwicklungskonten auf 60 Tage vgl. SR 952.02 und die Publikationen der FINMA. ↩
2. Zur Bewilligung für Institute nach Art. 1b Bankengesetz (Fintech-Bewilligung), in Kraft seit 1. Januar 2019, mit dem Schwellenwert von CHF 100 Mio. an Publikumseinlagen und den erleichterten Anforderungen nach Art. 14a ff. Bankenverordnung vgl. SR 952.0, SR 952.02 und die Wegleitung der FINMA. ↩
3. FINMA-Rundschreiben 2018/3 «Outsourcing – Banken und Versicherer», in Kraft seit 1. April 2018, zu den Anforderungen an die Auslagerung wesentlicher Funktionen, einschliesslich Inventar, Auswahl und Überwachung der Dienstleister, Prüf- und Einsichtsrechten sowie Auslagerung ins Ausland. ↩
4. FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken», in Kraft seit 1. Januar 2024, das das Rundschreiben 2008/21 ersetzt, sowie die Principles for Operational Resilience des Basler Ausschusses vom März 2021; vgl. die Publikationen der FINMA und der BIZ. ↩
5. Zur Meldepflicht für Cyberangriffe nach der FINMA-Aufsichtsmitteilung 05/2020 (Erstmeldung innert 24 Stunden, vollständige Meldung innert 72 Stunden) und zur Meldepflicht nach dem Informationssicherheitsgesetz für Betreiber kritischer Infrastrukturen, in Kraft seit 1. April 2025, vgl. die Publikationen der FINMA und des Bundesamts für Cybersicherheit. ↩

Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.