Was FINMA und NCSC von Schweizer Banken zur Post-Quanten-Kryptografie erwarten: PQC-Roadmap bis Mitte 2027, Inventar, Crypto-Agility, erste Schritte.
Die Schweiz hat kein Post-Quanten-Kryptografie-Gesetz verabschiedet und keinen nationalen Kalender 2028/2031/2035 im Stil des britischen NCSC oder der deutschen BSI TR-02102 veröffentlicht. Diese Abwesenheit ist kein Freifahrtschein. Das Nationale Zentrum für Cybersicherheit (NCSC) hat Organisationen mitgeteilt, dass Handeln bei PQC erforderlich ist, und für Banken und andere von der FINMA beaufsichtigte Finanzinstitute ist die Erwartung jetzt konkret: eine PQC-Roadmap bis spätestens Mitte 2027, abgeleitet aus einer vom Verwaltungsrat verabschiedeten Strategie und aufgebaut auf einem kryptografischen Inventar, einer Risikoanalyse langlebiger Daten und Crypto-Agility im Outsourcing.
Dieser Leitfaden deckt ab, was NCSC und FINMA tatsächlich gesagt haben, wer im Anwendungsbereich sitzt, welche Daten zählen und die ersten Schritte, die Leitlinien in ein Programm verwandeln: Inventar, HSM/KMS-Bereitschaft und hybrider PQC-Einsatz. Eine abschnittsweise Analyse des FINMA-Texts mit Umfragezahlen und Arbeitsplan für Banken finden Sie in unserem FINMA-05/2026-Deep-Dive (Englisch), die Produktsicht im FINMA-05/2026-Use-Case.
Kurz gesagt: Für Banken in der Schweiz ist Post-Quanten-Kryptografie keine Zukunftsfrage mehr. Die FINMA-Aufsichtsmitteilung 05/2026 zum Quantencomputing («Quantum Computing») erwartet eine Strategie des Verwaltungsrats, ein kryptografisches Inventar, Schutz langlebiger Daten vor «Harvest now, decrypt later», Crypto-Agility und eine PQC-Roadmap bis Mitte 2027. Sie stützt sich dabei auf die bestehenden Anforderungen an operationelle Risiken und Resilienz.
Im November 2024 veröffentlichte das NCSC eine Einschätzung, wonach Handeln bei Post-Quanten-Kryptografie erforderlich ist. Im Dezember 2025 folgte ein Technologiebrief zu Quantencomputern und PQC. Die praktische Botschaft des Briefs ist über beide Dokumente hinweg konsistent:
Das NCSC verweist auf die NIST-standardisierten Algorithmen (ML-KEM / FIPS 203, ML-DSA / FIPS 204, SLH-DSA / FIPS 205) als technisches Ziel, das die bundesweite Schweizer Beobachtungsarbeit bereits verfolgt. Es erfindet keine parallele Schweizer Algorithmussuite.
Am 9. Juli 2026 veröffentlichte die FINMA die Aufsichtsmitteilung 05/2026 zum Quantencomputing. Die Mitteilung berichtet über eine Umfrage bei 60 beaufsichtigten Instituten (November 2025 bis Januar 2026) und setzt dann aufsichtliche Erwartungen.
Umfrageergebnisse, die die FINMA veröffentlicht hat:
Die von der FINMA empfohlenen Maßnahmen sind konkret genug, um dagegen zu planen:
Die FINMA rahmt dies in bestehende operationelle Risiko- und Resilienzanforderungen. Sie schafft keine neue Bewilligungsvoraussetzung; sie sagt Instituten, dass diese bestehenden Pflichten bereits zukunftsgerichtetes Kryptografie-Risikomanagement verlangen.
Separat passt das Bundesamt für Informatik und Telekommunikation (BIT / FOITT) Parameter der Swiss Government PKI an und signalisiert die Vorbereitung auf Post-Quanten-Kryptografie bei staatlichen Zertifikatsklassen. Wenn Sie in die Swiss Government PKI ausstellen oder sich darauf stützen, behandeln Sie die Migrationsarbeit des BIT als Abhängigkeit Ihrer eigenen Zertifikats- und Signatur-Roadmap, auch wenn die FINMA Sie nicht beaufsichtigt.
| Regime | Wen es bindet | Was es bei PQC verlangt |
|---|---|---|
| FINMA-Aufsichtsmitteilung 05/2026 | Von der FINMA beaufsichtigte Finanzinstitute (Banken, Versicherer und andere beaufsichtigte Einrichtungen in der Umfragepopulation und im weiteren Beaufsichtigungskreis) | Vom Verwaltungsrat verabschiedete Strategie, Inventar, Risikoanalyse, Roadmap Mitte 2027, Crypto-Agility im Outsourcing |
| NCSC-Technologiebriefs | Breites Publikum: Unternehmen und Betreiber mit schutzbedürftigen Informationen | Inventar und Migrationsplanung starten; langlebige vertrauliche Daten priorisieren; Anbieter zu PQC-Plänen drängen |
| Revidiertes DSG (nDSG) | Verantwortliche und Auftragsverarbeiter personenbezogener Daten nach schweizerischem Datenschutzrecht | Angemessene technische und organisatorische Maßnahmen; Verschlüsselung bleibt eine risikoproportionale Kontrolle, kein benanntes PQC-Mandat |
| Bundesverwaltung / BIT-PKI | Bundessysteme und Parteien, die Swiss Government PKI nutzen | FOITT/BIT-Zertifikats- und Algorithmusmigration für staatliche Vertrauensdienste folgen |
| Kritische Infrastrukturen / NCS-Monitoring | Betreiber unter der Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken | NCSC- und Cyber-Defence-Campus-Monitoring; kein separates veröffentlichtes nationales PQC-Abschlussgesetz zum Zeitpunkt dieser Fassung |
Die meisten Schweizer Banken und Versicherer sitzen zugleich in der FINMA- und der DSG-Zeile. Technologieanbieter dieser Institute erben Crypto-Agility-Erwartungen über Outsourcing-Klauseln, auch wenn die FINMA den Anbieter nicht direkt beaufsichtigt.
| Bis | Meilenstein | Quelle |
|---|---|---|
| Jetzt | Kryptografisches Inventar, Harvest-now-decrypt-later-Priorisierung, Anbieterengagement | NCSC-Briefs (2024/2025) |
| Mitte 2027 | PQC-Roadmap mit Meilensteinen und Prioritäten, abgeleitet aus einer vom Verwaltungsrat verabschiedeten Strategie | FINMA-Aufsichtsmitteilung 05/2026 |
| Institutsdefiniert | Zieldaten für kritische Prozessmigration und Vollmigration | FINMA erwartet, dass Sie diese in der Roadmap setzen; sie veröffentlicht keinen einzigen nationalen Cutover 2030/2035 für alle Schweizer Systeme |
| An NIST / Peers angeglichen | Hybrides dann PQC-only Deployment gemäß FIPS 203/204/205 | Technische Richtung NCSC; keine nur-schweizerische Algorithmusliste |
Die Schweiz ist strenger als viele Rechtsordnungen beim kurzfristigen Governance-Artefakt (Roadmap bis Mitte 2027) und lockerer bei einem einzigen nationalen technischen Sunset-Datum. Lesen Sie das fehlende 2031-Schlüsselvereinbarungs-Sunset nicht als Erlaubnis, Discovery zu verzögern. Die FINMA verankert das Thema in den bestehenden Anforderungen an operationelle Risiken und Resilienz und will ihm in der laufenden Aufsicht mehr Gewicht geben.
Zum Vergleich: Das deutsche BSI nennt technische Daten 2030/2031/2035; der britische NCSC nennt Programmmeilensteine 2028/2031/2035; der US-Bundespfad nennt HVA-Schlüssel-Establishment bis 2030. Eine Schweizer FINMA-Roadmap, die diese Peer-Kalender für grenzüberschreitende Systeme ignoriert, altert schlecht.
Die FINMA ist explizit: Die Risikoanalyse von Geschäftsprozessen soll ein umfassendes Inventar der genutzten kryptografischen Methoden erzeugen und aktuell halten. Decken Sie mindestens ab:
Markieren Sie, welche Algorithmen quantenanfällig sind und welche Datensätze mehrjährige Vertraulichkeit brauchen. Diese Markierung macht aus dem Inventar einen priorisierten Migrationsplan statt einer Tabelle. Ein CBOM ist das dauerhafte Format; siehe unseren CBOM-Leitfaden.
Die FINMA listet Schlüsselmanagement im Inventarumfang aus gutem Grund. Eine Roadmap, die TLS-Cipher-Suites ändert, aber neue Schlüsseltypen in Ihren HSMs nicht neu ausstellen oder schützen kann, stockt am ersten kritischen Prozess.
Weder NCSC noch FINMA verlangen eine schweizspezifische Hybridkonstruktion. Beide verweisen auf dieselben NIST-Standards, die die übrige regulierte Welt übernimmt. Hybrid klassisch-plus-ML-KEM auf Transitpfaden mit hoher Exposition ist das praktische erste Deployment-Muster:
Nutzen Sie dieselben Implementierungspfade wie in unseren F5- und FortiGate-Leitfäden. Dokumentieren Sie den hybriden Schritt als Übergang, mit einem Pfad zum Ablegen der klassischen Hälfte, sobald Ihr Risikokomitee PQC-only für diesen Kanal akzeptiert. Die FINMA-Umfrage selbst behandelte Crypto-Agility bereits als zentralen Erfolgsfaktor; ein hybrides Deployment, das Sie weder rückgängig machen noch vorantreiben können, ist unvollständig.
Die FINMA-Roadmap Mitte 2027 beginnt mit einem Inventar, das Sie pflegen können, nicht mit einer einmaligen Workshop-Folie. Der kostenlose Quantum Risk Score liefert eine externe Ausgangslage, aber nur für Ihre öffentlich sichtbare Domain-Oberfläche. DuoKey CPM pflegt das kontinuierlich aktualisierte Inventar, das die FINMA beschreibt, als CycloneDX-CBOM aus der Discovery über Quellcode, Infrastructure as Code, Dateisysteme, TLS-Endpunkte, SSH und Cloud-KMS. Details stehen im Leitfaden zum kryptografischen Inventar, im CBOM-Leitfaden und im FINMA-05/2026-Use-Case.
Hybrides Deployment auf Edge-TLS und IPsec mappt auf dieselben MCP-gestützten F5- und FortiGate-Workflows wie in anderen Rechtsordnungen. Schlüsselkontrolle, die beim Institut bleiben muss, ein wiederkehrendes Schweizer Geheimhaltungs- und Outsourcing-Thema, mappt auf DuoKeys kundengehaltenes Schlüssel- und MPC-Vault-Modell statt Migration allein in der Shared-Responsibility-Matrix eines Cloud-Anbieters zu belassen.
Q: Was verlangt die FINMA zum Quantencomputing?
Mit der Aufsichtsmitteilung 05/2026 vom 9. Juli 2026 erwartet die FINMA von Banken und anderen beaufsichtigten Instituten eine vom Verwaltungsrat verabschiedete Strategie, ein kryptografisches Inventar, den Schutz langlebiger Daten vor «Harvest now, decrypt later», Crypto-Agility auch im Outsourcing und eine PQC-Roadmap bis spätestens Mitte 2027. Grundlage ist eine Umfrage bei 60 beaufsichtigten Instituten.
Q: Ist die FINMA-Aufsichtsmitteilung 05/2026 verbindliches Recht?
Nein. Eine Aufsichtsmitteilung ist weder Rundschreiben noch Bundesgesetz; die FINMA hält fest, dass ihre Aufsichtsmitteilungen keine Rechtswirkung haben. Die FINMA hat sie als Artikulation dessen veröffentlicht, was bestehende Erwartungen an operationelles Risiko und Resilienz für quantenbezogene Cyberrisiken bereits verlangen. Beaufsichtigte Institute, die Mitte 2027 ohne Roadmap ankommen, sollten erwarten, dass diese Lücke im Aufsichtsdialog auftaucht.
Q: Was muss eine Bank in der Schweiz bis Mitte 2027 vorlegen?
Eine PQC-Roadmap mit Meilensteinen, Prioritäten und eigenen Zieldaten für die Migration kritischer Geschäftsprozesse und die vollständige Migration. Grundlage sind eine vom Verwaltungsrat verabschiedete Strategie (eigenständig oder Teil der Cyber-Strategie) und ein kryptografisches Inventar. Ein Enddatum für die Migration gibt die FINMA nicht vor.
Q: Schreibt die Schweiz spezifische PQC-Algorithmen vor?
Nicht in einer schweizerisch benannten Suite. NCSC-Material verweist auf NIST FIPS 203/204/205. Planen Sie gegen diese Standards, sofern und bis ein schweizerischer Bundesstandard etwas anderes sagt.
Q: Wir sind keine Bank. Gilt davon etwas?
NCSC-Leitlinien gelten weiterhin als nationale Cyber-Empfehlung. Das DSG verlangt weiterhin angemessene Sicherheit für Personendaten. Wenn Sie kritischer Technologieanbieter von FINMA-beaufsichtigten Instituten sind, erwarten Sie Crypto-Agility und Migrationsnachweise in Verträgen, auch ohne direkte FINMA-Aufsicht.
Q: Wie vergleicht sich das mit UK- oder deutschen Zeitplänen?
Die Schweiz ist früher beim Governance-Artefakt (Roadmap bis Mitte 2027) und weniger präskriptiv bei einem einzigen nationalen technischen Sunset. Nutzen Sie Peer-Zeitpläne (UK, Deutschland, US), um technische Meilensteine in Ihrer FINMA-Roadmap zu setzen, damit grenzüberschreitende Systeme nicht zweimal geplant werden.
Schweizer PQC-Regulierung ist leitliniengeführt, nicht gesetzesgeführt, und das reicht, um für Banken und andere Finanzinstitute eine echte Frist zu schaffen: eine PQC-Roadmap bis Mitte 2027, getragen von einem lebenden kryptografischen Inventar, Harvest-now-decrypt-later-Risikoanalyse und crypto-agilem Outsourcing. Das NCSC hat der breiteren Wirtschaft bereits gesagt, dieselbe Inventararbeit zu starten. Bauen Sie das Inventar, weisen Sie nach, dass Ihre Schlüsselspeicher Algorithmen wechseln können, und deployen Sie hybrides PQC auf den Transitpfaden, die bereits langlebige vertrauliche Daten tragen.
Geschrieben von
Nagib Aouini
Verwandte Ressourcen
Sagen Sie uns, wo Kontrolle heute schwierig ist. Wir helfen Ihnen, den nächsten praktischen Schritt zu finden.
