Kein Bankenthema: Auch Versicherer und Vermögensverwalter schulden das Krypto-Inventar
Die FINMA-Aufsichtsmitteilung 05/2026 zum Quantum Computing stützt ihre Vorgaben für Banken auf das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken». Die Erwartung eines kryptografischen Inventars trifft Versicherer und Vermögensverwalter aber genauso — sie hängt an Art. 22 VAG und Art. 9 FINIG, nicht am Bankenrundschreiben, und gilt heute.
Dr. iur. Servatius von Tatzenberg
Die FINMA-Aufsichtsmitteilung 05/2026 «Quantum Computing» vom 9. Juli stützt ihre Vorgaben für Banken auf das FINMA-Rundschreiben 2023/1, «Operationelle Risiken und Resilienz – Banken». Dessen Titel verleitet zum falschen Schluss, das Quantenrisiko sei ein Bankenthema. Es ist keines: Die Erwartung eines kryptografischen Inventars trifft Versicherer und Vermögensverwalter heute genauso, nur hängt sie an Art. 22 VAG und Art. 9 FINIG statt an Art. 12 BankV.
Die Mitteilung schafft keine neue Norm. Ihr rechtlicher Hebel ist, dass die bestehenden, technologieneutralen und prinzipienbasierten Anforderungen an Governance und Risikomanagement das Quantenrisiko schon erfassen. Diese Anforderungen kennt jedes beaufsichtigte Institut, nicht nur die Bank. Das Rundschreiben 2023/1 ist bloss die Bankenfassung einer Pflicht, die im jeweiligen Aufsichtsgesetz steht. Fehlt einem Sektor das gleichnamige Rundschreiben, fehlt ihm nicht die Pflicht.
Für den Versicherer verlangt Art. 22 VAG eine Organisation, die alle wesentlichen Risiken erfasst, begrenzt und überwacht. Für die übrigen Institute unter dem Finanzinstitutsgesetz — Vermögensverwalter, Trustees, Verwalter kollektiver Vermögen — verlangt Art. 9 FINIG dasselbe: angemessenes Risikomanagement und wirksame interne Kontrolle. Das Wertpapierhaus steht dabei näher am Bankenregime, weil sich das Rundschreiben 2023/1 selbst sinngemäss auf Wertpapierhäuser erstreckt. «Harvest now, decrypt later» macht die Vertraulichkeit langlebiger Bestände zu genau diesem Risiko — warum die Uhr längst läuft, zeigten wir am 11. Juli. Ein Lebensversicherer hütet Gesundheits- und Vertragsdossiers über Jahrzehnte, ein Vermögensverwalter seine Mandats- und KYC-Akten kaum kürzer. Wo die Geheimhaltungsfrist den Quantenhorizont überdauert, wirkt das Risiko heute.
Die Handlung für Montag ändert sich dadurch nicht, nur ihr Adressatenkreis wird grösser. Das kryptografische Inventar und eine vom Oberleitungsorgan verabschiedete Migrationsstrategie gehören auf die Agenda des Risikoausschusses, gestützt auf Art. 22 VAG oder Art. 9 FINIG statt auf das Bankenrundschreiben. Warten Sie nicht auf ein eigenes Rundschreiben für Ihren Sektor. Die Inventarpflicht steht schon in Ihrer Risikomanagementnorm.
Offen bleibt, ob die FINMA für Versicherer und FINIG-Institute ein eigenes Resilienz-Rundschreiben nach dem Vorbild der Banken schafft. Das ist die Frage der Konkretisierung, nicht der Pflicht, denn die steht im Gesetz. Geprüft wird sie ohnehin früher: Die Prüfgesellschaft, die nach Art. 24 FINMAG die aufsichtsrechtliche Prüfung durchführt, testiert das Risikomanagement, das Art. 22 VAG und Art. 9 FINIG verlangen — bei jedem beaufsichtigten Institut, nicht nur der Bank. Wie daraus eine Beanstandung im Prüfbericht wird, behandelten wir am 14. Juli. Der erste Prüfbericht, der einem Versicherer beim Quantenrisiko einen bloss beobachtenden Reifegrad attestiert, beantwortet die Frage.