Die FINMA-Aufsichtsmitteilung 05/2026 «Quantum Computing» vom 9. Juli 2026 ist formell weich: Ihre Massnahmen bezeichnet die Behörde ausdrücklich als Empfehlungen. Wer sie deshalb der IT zur Kenntnis gibt und den Ernstfall erst beim Enforcement erwartet, hat den falschen Prüfer im Kopf. Geprüft wird das Quantenrisiko zuerst von der eigenen Prüfgesellschaft — im nächsten aufsichtsrechtlichen Prüfzyklus nach Art. 24 FINMAG, am Massstab des operationellen Risikomanagements nach Art. 12 BankV.

Dass die Empfehlung weich ist, ändert an der Pflicht nichts. Art. 12 BankV mit dem Randtitel «Funktionentrennung und Risikomanagement» verlangt, operationelle Risiken zu erfassen, zu begrenzen und zu überwachen; das FINMA-RS 2023/1 «Operationelle Risiken und Resilienz – Banken» konkretisiert das seit dem 1. Januar 2024 für kritische Daten und Cyberrisiken. Warum «harvest now, decrypt later» dieses Risiko schon heute auslöst und was ins kryptografische Inventar gehört, steht in unserem Deep Dive vom 11. Juli. Die Mitteilung schafft keine neue Norm. Sie sagt der Aufsicht, worauf sie beim bestehenden operationellen Risiko nun schaut.

Der Weg von der Empfehlung zur Beanstandung führt über die aufsichtsrechtliche Prüfung. Die Aufsicht ist dualistisch organisiert: Nicht die FINMA erscheint im Haus, sondern eine von ihr zugelassene Prüfgesellschaft prüft an ihrer Stelle (Art. 24 f. FINMAG) und hält das Ergebnis im Prüfbericht fest. Das FINMA-RS 2025/1 «Prüfwesen», seit dem 1. Januar 2025 in Kraft, gliedert die Prüfung in Prüffelder und legt je Feld die Prüftiefe risikoorientiert fest. Die operationellen Risiken sind eines dieser Felder. Wird das Quantenrisiko künftig verstärkt in die laufende Aufsicht einbezogen, geschieht das genau hier — im Prüfzyklus, den jedes Institut ohnehin durchläuft.

Der Termin, der zählt, steht damit im Prüfplan der Prüfgesellschaft, nicht im Fahrplan der Quantenentwicklung. Nimmt sie das Prüffeld «operationelle Risiken» das nächste Mal auf und fehlen ein kryptografisches Inventar und eine vom Oberleitungsorgan verabschiedete Migrationsstrategie, dann ist das kein offener IT-Punkt. Es ist ein nicht bewirtschaftetes operationelles Risiko, und als solches gehört es in den Prüfbericht.

Die Handlung für Montag ist deshalb bescheiden und konkret: das kryptografische Inventar beginnen und die vom Oberleitungsorgan zu verabschiedende Migrationsstrategie traktandieren — als Nachweis, den die Prüfgesellschaft sehen will, bevor sie ihn vermisst. Offen bleibt, wie streng die Prüfgesellschaften einen bloss «beobachtenden» Reifegrad benoten; einen quantenspezifischen Prüfpunkt hat die FINMA nicht veröffentlicht. Beantwortet wird das im ersten Prüfbericht, der ein solches Institut beurteilt. Und der landet, anders als jede Empfehlung, auf dem Tisch der FINMA.