Rundschreiben 2023/1: operationelle Risiken und Resilienz

Das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» vom 7. Dezember 2022 trat am 1. Januar 2024 in Kraft und ersetzte das Rundschreiben 2008/21 über die operationellen Risiken bei Banken. Seine Bestimmungen zur operationellen Resilienz waren innert einer Übergangsfrist von zwei Jahren umzusetzen, also bis zum 1. Januar 2026.¹ Das Rundschreiben enthält Anforderungen an das Management der Risiken der Informations- und Kommunikationstechnologie, der Cyberrisiken, der kritischen Daten, an das Business Continuity Management und an die operationelle Resilienz. Die Institute müssen für ihre IT-Systeme Entwicklungs-, Test- und Produktionsumgebungen trennen und das Change Management regeln (Rz. 47 bis 60). Sie müssen Cyberbedrohungen identifizieren, ihre Werte schützen, Angriffe erkennen, auf Vorfälle reagieren und sich davon erholen, und sie müssen erfolgreiche Cyberangriffe, die kritische Werte betreffen, der FINMA innert 24 Stunden melden, gefolgt von einem vollständigen Bericht innert 72 Stunden (Rz. 61 bis 70).²

Das Rundschreiben definiert kritische Daten als Daten, deren Bedeutung für die Erbringung von Dienstleistungen oder für regulatorische Zwecke so gross ist, dass sie erhöhte Sicherheitsmassnahmen erfordern (Rz. 71 bis 82).³ Kundendaten, mit denen ein System der künstlichen Intelligenz trainiert oder betrieben wird, werden häufig kritische Daten in diesem Sinne sein. Das Business Continuity Management verlangt Ziele für Wiederherstellungszeit und Wiederherstellungspunkt, Kontinuitäts- und Katastrophenwiederherstellungspläne sowie regelmässige Tests (Rz. 83 bis 96). Das Konzept der operationellen Resilienz schliesslich verlangt von den Instituten, ihre kritischen Funktionen zu identifizieren und «Unterbrechungstoleranzen» festzulegen – die maximale Unterbrechung einer kritischen Funktion, die das Institut in schweren, aber plausiblen Szenarien hinnehmen kann – und diese regelmässig zu testen (Rz. 97 bis 114).⁴

Für eine Luganeser Bank bedeuteten die Anforderungen an die operationelle Resilienz, zu ermitteln, welche Funktionen – etwa Zahlungsverkehr, Verwahrung und Kundenzugang – kritisch sind, und die Personen, Prozesse, Technologien, Informationen und Anbieter zu erfassen, von denen sie abhängen. Ist ein System der künstlichen Intelligenz Teil einer kritischen Funktion geworden, etwa ein Überwachungssystem, ohne das keine Zahlungen freigegeben werden können, muss das Institut für dessen Ausfall planen: eine Rückfalllösung mit manuellen Prozessen, einen alternativen Anbieter oder eine eingeschränkte Dienstleistung. Die Dokumentation der Rückfalllösungen, welche die FINMA in der Aufsichtsmitteilung 08/2024 verlangt, bildet das Bindeglied zwischen den beiden Regelwerken.⁵

Die Meldepflicht für Cyberangriffe nach dem Informationssicherheitsgesetz

Seit dem 1. April 2025 sind Betreiberinnen kritischer Infrastrukturen in der Schweiz verpflichtet, Cyberangriffe dem Nationalen Zentrum für Cybersicherheit zu melden, das 2024 zum Bundesamt für Cybersicherheit (BACS) wurde. Die Pflicht wurde mit einer Änderung des Informationssicherheitsgesetzes eingeführt und gilt unter anderem für Banken, Versicherungen und Finanzmarktinfrastrukturen. Die Meldung ist innert 24 Stunden nach Entdeckung eines Angriffs zu erstatten, der die Funktionsfähigkeit der Infrastruktur gefährdet, zur Manipulation oder zum Abfluss von Informationen geführt hat, über längere Zeit unentdeckt geblieben ist oder mit Erpressung, Drohung oder Nötigung verbunden ist. Verstösse gegen die Meldepflicht sind seit dem 1. Oktober 2025 mit Busse bis zu CHF 100’000 bedroht.⁶ Von der FINMA beaufsichtigte Finanzinstitute müssen daher zwei Meldewege koordinieren: die Meldung an die FINMA nach dem Rundschreiben 2023/1 und die Meldung an das BACS nach dem Informationssicherheitsgesetz. Die Bundesbehörden haben ein gemeinsames Meldeformular vorgesehen, sodass eine einzige Meldung beiden Zwecken dienen kann.⁷

Anmerkungen

1. FINMA-Rundschreiben 2023/1 «Operational risks and resilience – banks» vom 7. Dezember 2022, https://www.finma.ch/en/~/media/finma/dokumente/dokumentencenter/myfinma/ rundschreiben/finma-rs-2023-01-20221207.pdf?la=en. ↩
2. FINMA-Rundschreiben 2023/1 (oben), Rz. 47–70. ↩
3. FINMA-Rundschreiben 2023/1 (oben), Rz. 71–82. ↩
4. FINMA-Rundschreiben 2023/1 (oben), Rz. 83–114. ↩
5. FINMA, Aufsichtsmitteilung 08/2024 (oben), Abschnitt 2.5. ↩
6. Bundesgesetz über die Informationssicherheit beim Bund vom 18. Dezember 2020 (Informationssicherheitsgesetz, ISG), SR 128, Art. 74a–74h und 74e (Sanktionen), geändert durch das Bundesgesetz vom 29. September 2023; Cybersicherheitsverordnung vom 7. März 2025 (CSV), SR 128.51. In Kraft seit 1. April 2025, Sanktionen anwendbar ab 1. Oktober 2025. ↩
7. Bundesamt für Cybersicherheit (BACS), Informationen zur Meldepflicht und zum Meldeformular. ↩

Nur zur allgemeinen Information. Dieser Beitrag ist keine Rechts- oder Steuerberatung, ersetzt nicht die Beratung im Einzelfall und begründet kein Mandatsverhältnis. Rechtsstand: 10/2026.