Quantencomputer gelten oft noch als Zukunftsmusik. Die FINMA macht jedoch deutlich, dass die damit verbundenen Cyberrisiken bereits heute in das Risikomanagement beaufsichtigter Institute gehören. Mit ihrer neuen Guidance erwartet die Aufsichtsbehörde, dass Banken, Versicherungen und weitere Finanzmarktteilnehmer den Übergang zu quantensicheren Verschlüsselungsverfahren strategisch planen. Wer erst handelt, wenn leistungsfähige Quantencomputer verfügbar sind, könnte bereits zu spät sein.
Quantencomputer werden zum Thema der Finanzmarktaufsicht
Mit der Veröffentlichung der Guidance 05/2026 zu Quantum Computing macht die Eidgenössische Finanzmarktaufsicht (FINMA) deutlich, dass Quantencomputer aus regulatorischer Sicht kein fernes Zukunftsszenario mehr sind. Zwar existieren kryptographisch relevante Quantencomputer heute noch nicht. Die FINMA erwartet jedoch bereits jetzt, dass beaufsichtigte Institute die damit verbundenen Risiken in ihre Governance sowie ihr Risiko- und Informationssicherheitsmanagement integrieren. Die Guidance stellt klar, dass die bestehenden, technologieneutral ausgestalteten Anforderungen an das Management operationeller Risiken auch Risiken erfassen, die sich künftig aus leistungsfähigen Quantencomputern ergeben.
Keine neuen Pflichten – aber neue Erwartungen
Bemerkenswert ist, dass die FINMA keine neuen regulatorischen Anforderungen schafft. Vielmehr konkretisiert sie ihre Erwartungen an die Umsetzung bestehender aufsichtsrechtlicher Vorgaben. Nach Auffassung der Aufsicht müssen Finanzinstitute die Risiken leistungsfähiger Quantencomputer bereits heute in ihre Governance einbeziehen und ihr Risikomanagement entsprechend ausrichten. Die Guidance ist deshalb weniger als neue Regulierung zu verstehen als vielmehr als aufsichtsrechtliche Klarstellung darüber, wie bestehende Anforderungen künftig ausgelegt werden.
Die eigentliche Gefahr beginnt bereits heute
Obwohl leistungsfähige Quantencomputer noch nicht verfügbar sind, besteht das zentrale Risiko bereits heute. Die FINMA weist ausdrücklich auf sogenannte „Harvest now, decrypt later“-Angriffe hin. Dabei werden verschlüsselte Daten schon heute abgefangen und gespeichert, um sie zu einem späteren Zeitpunkt mithilfe eines leistungsfähigen Quantencomputers zu entschlüsseln. Besonders kritisch ist dies für Daten, deren Vertraulichkeit über viele Jahre gewährleistet bleiben muss, etwa Kundeninformationen, Vertragsunterlagen oder kryptographische Schlüssel. Gerade diese langfristig schutzbedürftigen Informationen sollten nach Auffassung der FINMA prioritär auf quantensichere Verfahren umgestellt werden.
Die Umfrage zeigt deutlichen Handlungsbedarf
Die Guidance stützt sich auf eine Umfrage unter 60 Schweizer Banken, Versicherungen, Vermögensverwaltern und Finanzmarktinfrastrukturen. Die Ergebnisse zeigen eine deutliche Diskrepanz zwischen Risikobewusstsein und tatsächlicher Vorbereitung. Zwar rechnen rund zwei Drittel der befragten Institute damit, innerhalb der nächsten sieben Jahre von den Cyberrisiken des Quantencomputings betroffen zu sein. Ebenso viele erwarten, dass RSA-2048 innerhalb der kommenden zehn Jahre durch Quantencomputer gebrochen werden könnte. Gleichzeitig haben jedoch 72 Prozent bislang weder konkrete Massnahmen geplant noch umgesetzt. Lediglich acht Prozent verfügen über eine spezifische Roadmap für den Übergang auf Post-Quantum-Kryptographie.
Was die FINMA jetzt von Finanzinstituten erwartet
Nach Auffassung der FINMA beginnt die Vorbereitung mit einer vom Verwaltungsrat verabschiedeten Strategie, aus der sich eine konkrete Roadmap mit Prioritäten und zeitlichen Meilensteinen ableitet. Eine solche Roadmap soll nach den Empfehlungen der Behörde spätestens bis Mitte 2027 vorliegen. Daneben empfiehlt die FINMA eine umfassende Risikoanalyse sämtlicher Geschäftsprozesse sowie die Erstellung eines vollständigen Kryptographie-Inventars. Erst wenn bekannt ist, welche Verschlüsselungs-, Signatur- und Authentifizierungsverfahren im Unternehmen tatsächlich eingesetzt werden, lässt sich eine risikoorientierte Migrationsstrategie entwickeln.
Crypto-Agility wird zum neuen Standard
Ein zentrales Schlagwort der Guidance lautet „Crypto-Agility“. Gemeint ist die Fähigkeit von IT-Systemen, kryptographische Algorithmen flexibel austauschen zu können, ohne tiefgreifende Änderungen an der Softwarearchitektur vornehmen zu müssen. Die FINMA empfiehlt ausdrücklich, dieses Prinzip bereits heute bei der Entwicklung neuer Anwendungen und bei der Beschaffung neuer IT-Systeme zu berücksichtigen. Damit soll sichergestellt werden, dass künftige kryptographische Entwicklungen mit vertretbarem Aufwand umgesetzt werden können.
Auch Outsourcing-Verträge geraten in den Fokus
Besondere Aufmerksamkeit widmet die FINMA den Abhängigkeiten von externen Dienstleistern. Die Migration auf quantensichere Kryptographie wird vielfach nur gemeinsam mit Cloud-Anbietern, Softwareherstellern oder anderen ICT-Dienstleistern möglich sein. Gleichzeitig erinnert die Aufsicht daran, dass die Verantwortung für ausgelagerte Funktionen weiterhin beim beaufsichtigten Institut verbleibt. Institute sollten daher frühzeitig prüfen, ob bestehende Verträge ausreichende Regelungen für den Übergang auf Post-Quantum-Kryptographie enthalten und ob bei künftigen Beschaffungen Anforderungen an die Crypto-Agility der Anbieter vertraglich verankert werden sollten.
Fazit: Quantum Readiness wird Teil guter Corporate Governance
Mit der Guidance 05/2026 macht die FINMA deutlich, dass Quantencomputer nicht länger ausschliesslich ein Forschungsthema sind. Aus Sicht der Finanzmarktaufsicht gehören die damit verbundenen Cyberrisiken bereits heute zu einem angemessenen Governance- und Risikomanagement. Finanzinstitute sollten die verbleibende Zeit nutzen, um ihre kryptographischen Verfahren zu inventarisieren, langfristig schutzbedürftige Daten zu identifizieren und eine belastbare Migrationsstrategie zu entwickeln. Die frühzeitige Vorbereitung dient dabei nicht nur der IT-Sicherheit, sondern dürfte zunehmend auch zu einem Massstab für die aufsichtsrechtliche Beurteilung der operationellen Resilienz werden.