Am 9. Juli 2026 hat die FINMA die Aufsichtsmitteilung 05/2026 «Quantum Computing» veröffentlicht. Sie liest sich zunächst wie die Warnung vor einem entfernten Risiko: Rund zwei Drittel der 60 zwischen November 2025 und Januar 2026 befragten Institute rechnen damit, dass ein Quantencomputer erst in spätestens zehn Jahren eine RSA-2048-Verschlüsselung binnen eines Tages bricht. Der rechtliche Gehalt liegt woanders. Die FINMA hält im selben Text fest, dass die bestehenden, technologieneutralen und prinzipienbasierten Anforderungen an Governance und Risikomanagement auch die Risiken erfassen, die aus dem Aufkommen leistungsfähiger Quantencomputer entstehen, und sie bezeichnet das Risiko von «harvest now, decrypt later»-Angriffen als heute schon real. Die Pflicht ist damit gegenwärtig. Neu ist nicht die Pflicht, sondern die Aufforderung, mit der Bestandsaufnahme jetzt zu beginnen.

Keine neue Verordnung, sondern die Auslegung einer geltenden Pflicht

Formal ist die Mitteilung weich. Eine Aufsichtsmitteilung ist kein Rundschreiben und entfaltet keine eigenständige Normwirkung; die Massnahmen ihres dritten Abschnitts sind ausdrücklich «Empfehlungen», deren «Berücksichtigung im internen Risikomanagement» die FINMA anregt. In der ersten Berichterstattung wurde sie folgerichtig als Ratschlag zur Vorbereitung gelesen. Wer dort stehen bleibt, übersieht, worauf die Empfehlungen aufsetzen.

Die FINMA verankert sie in einer Pflicht, die längst gilt. Für Banken konkretisiert das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken», in Kraft seit dem 1. Januar 2024, das Management operationeller Risiken, kritischer Daten und Cyberrisiken. Es stützt sich auf das Risikomanagement nach Art. 12 der Bankenverordnung (SR 952.02) und legt die Verantwortung dem Oberleitungsorgan auf; für Versicherer, Verwalter von Kollektivvermögen und Finanzmarktinfrastrukturen greift dieselbe prinzipienbasierte Logik nach den jeweils einschlägigen FINMA-Rundschreiben. Das Ziel benennt die FINMA präzise: die «laufende Erfüllung der Vorgaben zu operationellen Risiken und Resilienz» abzusichern. Die Vorgabe gilt also bereits; die Mitteilung sichert ihre Erfüllung ab. Zusätzlich kündigt die FINMA an, das Thema «verstärkt in ihre laufende Aufsichtstätigkeit» aufzunehmen. Die Empfehlung ist weich; die Pflicht, die sie bedient, steht seit zweieinhalb Jahren.

Die sieben Jahre sind die falsche Uhr

Die Umfragezahlen laden zum Zuwarten ein. 72 Prozent der Institute haben noch keine Massnahme geplant oder getroffen. Wer diese Zahl mit dem Zehn-Jahres-Horizont verknüpft, den zwei Drittel der Befragten für den Angriff auf RSA-2048 nennen, liest sie als Frist — und verwechselt dabei den Reifegrad der Technik mit dem Eintritt des Schadens. Dieser Horizont beschreibt, wann der Quantencomputer einsatzfähig wird, nicht ab wann das Risiko wirkt.

Für Daten, die über diesen Horizont hinaus vertraulich bleiben müssen, ist die Gefährdung gegenwärtig. «Harvest now, decrypt later» heisst, dass ein Angreifer heute verschlüsselte Daten abgreift, um sie später mit einem leistungsfähigen Quantencomputer zu entschlüsseln. Die massgebliche Uhr ist deshalb nicht der Tag, an dem die Maschine existiert, sondern die Aufbewahrungs- und Geheimhaltungsfrist der Daten. Kundendaten unter dem Bankgeheimnis (Art. 47 BankG), langlaufende Verträge, Versicherungs- und Gesundheitsdossiers, Signaturschlüssel, deren Beweiswert über Jahre tragen muss: Was heute abfliesst und 2035 noch geheim sein soll, liegt bereits im Erntekorb.

Die Handlung für Montag: Inventar und Daten-Triage

Der erste empfohlene Schritt ist eine Bestandsaufnahme. Die FINMA rät in der Aufsichtsmitteilung, sämtliche Geschäftsprozesse auf ihre Verschlüsselungs-, Signatur- und Authentifizierungstechnologien zu durchleuchten und daraus ein umfassendes kryptografisches Inventar zu bilden: für Daten bei der Übertragung (VPN, TLS, HTTPS) wie für gespeicherte Daten, für Schlüsselmanagement und Authentifizierung. Erfasst werden sollen alle IKT-Systeme, ob selbst betrieben, ausgelagert oder als Dienst bezogen, ausdrücklich auch verteilte elektronische Register (Art. 973d Abs. 2 Ziff. 2 OR, SR 220). Das Inventar zeigt, welche Verfahren quantum-anfällig sind (RSA, ECDSA, EdDSA, Diffie-Hellman) und durch die im August 2024 finalisierten NIST-Standards ersetzt werden müssen: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA). Für die Übergangszeit empfehlen die in der Aufsichtsmitteilung zitierten europäischen Aufsichtsbehörden hybride Verfahren, die einen klassischen mit einem quantensicheren Algorithmus koppeln. Das erhöht allerdings die Komplexität und damit das Implementierungsrisiko.

Parallel dazu läuft die Triage der kritischen Daten: Welche Bestände brauchen langfristige Garantien für Vertraulichkeit und Integrität? Diese Frage bestimmt, was zuerst geschützt gehört, nicht das Ankunftsdatum des Quantencomputers. Sie ist die eine Zeile, die am Montag auf der Traktandenliste stehen sollte.

Wo die Pflicht Protokoll und Vertrag erreicht

Für Verwaltungsrat und Vertragsjuristen ergeben sich zwei unmittelbare Konsequenzen. Erstens verlangt die FINMA, dass sich die Migration auf eine «vom Oberleitungsorgan verabschiedete Strategie» stützt, aus der ein Umsetzungsplan mit Zieldaten für die vollständige Migration und für die kritischen Geschäftsprozesse hervorgeht. Eine PQC-Roadmap «bis spätestens Mitte 2027» legt sie nahe — der einzige konkrete Termin im Dokument, und damit der Meilenstein, an dem die Aufsicht die Ernsthaftigkeit ablesen wird.

Zweitens wird die Kryptoagilität zur Beschaffungsvorgabe. Neu zu entwickelnde oder anzuschaffende Systeme sollen ihre Algorithmen flexibel austauschen können, ohne tiefen Eingriff in die Softwarearchitektur. Für die Rechtsabteilung ist das eine Klausel: Kryptoagilität gehört in neue Outsourcing- und Softwareverträge und ist bei bestehenden Auslagerungen nachzuführen. Die Verantwortung für die ausgelagerte Funktion bleibt beim Institut (FINMA-RS 2018/3 «Outsourcing», Rz. 8 ff.); migriert der Dienstleister nicht rechtzeitig, ist das der Mangel des auslagernden Instituts, nicht des Lieferanten.

Bekannt ist damit dreierlei: Die Pflicht zum Risikomanagement gilt seit dem 1. Januar 2024, Inventar und Daten-Triage gehören jetzt begonnen, und die Aufsichtsmitteilung legt eine vom Oberleitungsorgan verabschiedete Roadmap bis Mitte 2027 nahe. Offen bleibt, wann ein kryptografisch relevanter Quantencomputer existiert; die FINMA räumt «erhebliche Unsicherheiten» ein, zwei Drittel der Befragten tippen auf spätestens zehn Jahre für RSA-2048, und genauer weiss es niemand. Für langlebige Bestände ist dieses Datum gleichgültig: Was 2035 noch geheim sein muss und heute unter RSA übertragen wird, ist schon jetzt gefährdet. Offen ist zuletzt, wie streng die Aufsicht ein Institut misst, das bloss «beobachtet» — und das klärt der erste Prüfzyklus, in dem die FINMA das kryptografische Inventar und die verabschiedete Roadmap erwartet.