Cybersicherheit und operationelle Resilienz

Die Digitalisierung hat eine Kehrseite: die Verwundbarkeit. Finanzinstitute sind bevorzugte Ziele von Cyberangriffen, sei es durch Ransomware, Phishing oder die Kompromittierung von Lieferanten. Der Finanzplatz Genf mit seinen vermögenden Kunden und seinen Rohstoffhändlern ist ein bevorzugtes Ziel. Mit ihrem Rundschreiben zu den operationellen Risiken verlangt die FINMA von den beaufsichtigten Instituten, die Informatikrisiken zu bewirtschaften und schwerwiegende Cyberangriffe innert vierundzwanzig Stunden zu melden. 2025 führte der Bund eine allgemeine Meldepflicht für Cyberangriffe auf kritische Infrastrukturen ein.¹ Die bekannten Fälle, von denen mehrere Institute in der Westschweiz betrafen, zeigen, dass erfolgreiche Angriffe oft auf die Dienstleister des Instituts zielen, deren Sicherheit weniger genau überwacht wurde als jene des Instituts selbst.²

Die operationelle Resilienz geht über die Cybersicherheit allein hinaus. Sie betrifft die Fähigkeit eines Instituts, seine kritischen Funktionen bei einem Ausfall, einem Angriff, dem Versagen eines Lieferanten oder einer Katastrophe aufrechtzuerhalten. Sie setzt die Identifizierung dieser Funktionen, Szenarien, Tests und Wiederherstellungspläne voraus. Die Europäische Union hat eine Verordnung über die digitale operationale Resilienz erlassen, die seit Januar 2025 anwendbar ist und den Instituten und ihren kritischen IT-Dienstleistern detaillierte Anforderungen auferlegt. Genfer Institute, die europäischen Gruppen angehören oder Kunden in der Union betreuen, spüren ihre indirekten Auswirkungen.³ Die Konzentration der Anbieter von Cloud-Diensten und Bankensystemen auf wenige, fast ausschliesslich amerikanische Unternehmen schafft zudem eine Abhängigkeit, die die schweizerischen und europäischen Behörden inzwischen als systemisches Risiko betrachten.

Vorsicht. Die Auslagerung der Informatik an Cloud-Anbieter überträgt die Ausführung, doch die Verantwortung bleibt. Das Institut bleibt gegenüber seinen Kunden und gegenüber der FINMA für die Vertraulichkeit, Verfügbarkeit und Integrität der Daten verantwortlich, auch wenn der Anbieter im Ausland ansässig ist und Gesetzen untersteht, die ihn verpflichten können, Daten den Behörden seines eigenen Landes offenzulegen.

Anmerkungen

1. FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken», das das Rundschreiben 2008/21 ersetzt und seit 1. Januar 2024 in Kraft ist (The Governance Law Firm, «Révision de la FINMA : circulaire Risques et résilience opérationnels – banques», thegovernancelawfirm.com); Pflicht, Cyberangriffe auf kritische Infrastrukturen innert vierundzwanzig Stunden dem Nationalen Zentrum für Cybersicherheit zu melden, gestützt auf das Informationssicherheitsgesetz und in Kraft seit 1. April 2025, mit Sanktionen ab 1. Oktober 2025 (NCSC, «L’obligation de signaler les cyberattaques contre des infrastructures critiques entre en vigueur le 1er avril 2025», bacs.admin.ch). ↩
2. FINMA, Dossier «Cyberrisiken (2024)» und Medienmitteilung vom 7. Juni 2024 zur Aufsichtsmitteilung 03/2024 (finma.ch): Zunahme der Meldungen erfolgreicher oder teilweise erfolgreicher Cyberangriffe um 30 Prozent im Jahr 2024 gegenüber dem Vorjahr; Ransomware (die Gruppen PLAY, AKIRA und Lockbit 3.0), Business E-Mail Compromise, Wellen von Denial-of-Service-Angriffen und Angriffe auf die Lieferkette, wobei Letztere fast ein Drittel der gemeldeten Vorfälle ausmachten; mehr als die Hälfte der 2022–2023 gemeldeten Angriffe betraf ausgelagerte Dienstleistungen; Meldepflicht gestützt auf Art. 29 Abs. 2 FINMAG; mehr als ein Dutzend Vor-Ort-Kontrollen zum Cyberrisiko im Jahr 2023. ↩
3. Verordnung (EU) 2022/2554 vom 14. Dezember 2022 über die digitale operationale Resilienz im Finanzsektor (DORA), anwendbar seit 17. Januar 2025: IKT-Risikomanagement, Meldung von Vorfällen, Resilienztests, Risiken durch Drittanbieter; Autorité de contrôle prudentiel et de résolution, «Digital Operational Resilience Act (DORA)», acpr.banque-france.fr (abgerufen im September 2026). ↩

Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.