Am 9. Juli 2026 hat die FINMA ihre Aufsichtsmitteilung 05/2026 zum Thema Quantencomputing veröffentlicht. Das ist kein Forschungspapier und keine Zukunftsvision — es ist eine klare Botschaft an alle beaufsichtigten Schweizer Finanzinstitute: Die Zeit des Beobachtens ist vorbei. Wer heute keine Strategie für quantensichere Verschlüsselung entwickelt, läuft morgen in ein Compliance-Problem.

Die FINMA stützt sich dabei auf eine Umfrage, die sie zwischen November 2025 und Januar 2026 bei 60 Banken, Versicherungen, Vermögensverwaltungsgesellschaften und Finanzmarktinfrastrukturen durchgeführt hat. Das Ergebnis ist ernüchternd: Die Risiken sind bekannt — konkrete Massnahmen fehlen fast überall.

Was genau die FINMA festgestellt hat, was sie jetzt fordert und wie Governance-Strukturen und GRC-Software dabei helfen, den Übergang zu meistern — darum geht es in diesem Beitrag.

Das Wichtigste in Kürze

• Die FINMA hat im Juli 2026 ihre Guidance 05/2026 zu Quantencomputing veröffentlicht und erwartet, dass beaufsichtigte Institute das Thema aktiv ins Risikomanagement aufnehmen.
• 72 Prozent der befragten Institute haben noch keine Massnahmen zur quantensicheren Verschlüsselung geplant oder umgesetzt. Nur 8 Prozent verfügen über einen konkreten Migrationsplan.
• Rund zwei Drittel der Institute erwarten, dass ein Quantencomputer innerhalb von zehn Jahren gängige RSA-2048-Verschlüsselung in 24 Stunden knacken kann.
• Das grösste akute Risiko ist das sogenannte „Harvest now, decrypt later“-Angriffsmuster: Daten werden heute abgefangen und später mit Quantencomputern entschlüsselt.
• Die FINMA empfiehlt fünf konkrete Massnahmen: Strategie und Roadmap, Risikoanalyse und Inventar, Schutz kritischer Daten, Krypto-Agilität und Management externer Dienstleister.
• Ein PQC-Migrationsplan soll bis spätestens Mitte 2027 vorliegen.
• GRC-Software ist das strukturelle Werkzeug, um Krypto-Inventar, Risikoanalyse, Drittanbieter-Management und Auditbereitschaft in einem einzigen System abzubilden.

Warum Quantencomputing heute schon ein Compliance-Thema ist

Quantencomputer existieren noch nicht in der Form, die heutige Verschlüsselungsverfahren gefährden könnte. Das ist richtig. Aber dieser Satz ist gefährlicher als er klingt — denn er verführt zum Abwarten.

Die meisten heute eingesetzten Public-Key-Verfahren — darunter RSA, ECDSA und EC-DH — beruhen auf mathematischen Problemen, die klassische Computer nicht in vernünftiger Zeit lösen können. Ein hinreichend leistungsfähiger Quantencomputer hingegen könnte RSA-2048-Verschlüsselung nach aktuellem Forschungsstand innerhalb von Stunden brechen. Rund zwei Drittel der von der FINMA befragten Institute gehen davon aus, dass ein solcher Computer in weniger als zehn Jahren verfügbar sein wird.

Das Problem: Eine Migration auf quantensichere Verschlüsselung dauert Jahre. Sie betrifft sämtliche ICT-Systeme, Anwendungen, Infrastrukturen, digitale Signaturen, Authentifizierungsmechanismen und externe Schnittstellen. Wer damit erst beginnt, wenn der Quantencomputer real ist, hat das Rennen verloren.

Hinzu kommt das Risiko von „Harvest now, decrypt later“-Angriffen. Angreifer fangen bereits heute verschlüsselte Daten ab und speichern sie — in der Erwartung, sie mit künftigen Quantencomputern zu entschlüsseln. Langfristig vertrauliche Daten wie Kundendaten, Vertragsunterlagen, Transaktionshistorien oder Identitätsnachweise sind damit schon heute potenziell kompromittiert — auch wenn niemand das heute bemerkt.

Was die FINMA-Umfrage zeigt: Bewusstsein ohne Handlung

Die Ergebnisse der FINMA-Umfrage sind eindeutig und alarmierend zugleich. Die Risiken sind den befragten Instituten bekannt. Aber das Bewusstsein hat sich in den wenigsten Fällen in konkrete Massnahmen übersetzt.

72 Prozent der befragten Organisationen haben noch gar keine Massnahmen zur Umstellung auf quantensichere Verschlüsselung geplant oder umgesetzt. 28 Prozent haben immerhin einen strategischen Beschluss auf Stufe Geschäftsleitung oder Verwaltungsrat gefasst, 20 Prozent haben zudem ein laufendes Projekt. Aber nur 8 Prozent verfügen über einen konkreten Migrationsplan mit Zielterminen — jene Institute, die in der Regel einen Zeithorizont von vier bis fünf Jahren für die vollständige Migration ansetzen.

43 Prozent der Befragten haben noch gar keine Entscheidung zu einem künftigen Migrationsplan getroffen. Das ist die ernüchternde Bilanz: Je dringlicher das Thema wird, desto klarer wird die Lücke zwischen Risikowahrnehmung und operativer Vorbereitung.

Die FINMA kommentiert das klar: Angesichts der technologischen Fortschritte in der Forschung, der langen Dauer von Migrationsprojekten und der Unsicherheit über den genauen Zeitpunkt der Verfügbarkeit kryptographisch relevanter Quantencomputer besteht jetzt Handlungsbedarf.

Gleichzeitig sehen die Institute in Quantencomputern auch Chancen: insbesondere für die Risiko- und Portfolioanalyse, das Transaktionsmonitoring und den algorithmischen Handel. Allerdings schätzen fast zwei Drittel der Befragten, dass sie Quantencomputer-Anwendungen erst in acht oder mehr Jahren selbst einsetzen werden.

Was die FINMA jetzt konkret fordert: Fünf Empfehlungen

Die FINMA-Guidance 05/2026 enthält fünf konkrete Empfehlungen, die in der internen Risikosteuerung beaufsichtigter Institute Berücksichtigung finden sollen.

1. Strategie und Roadmap

Als erstes erwartet die FINMA eine vom Verwaltungsrat getragene Strategie für den Übergang zu quantensicherer Verschlüsselung. Daraus soll ein konkreter Implementierungsplan mit Meilensteinen und Zielterminen abgeleitet werden — sowohl für die vollständige Migration als auch für kritische Geschäftsprozesse und Daten.

Die FINMA setzt eine klare Frist: Ein PQC-Migrationsplan soll bis spätestens Mitte 2027 vorliegen. Dieser kann Teil einer bestehenden Cybersicherheitsstrategie sein, muss aber eigenständige Zielsetzungen für die Post-Quantum-Migration enthalten.

2. Risikoanalyse und Inventar

Vor jeder Migration steht das Wissen über den Ist-Zustand. Die FINMA empfiehlt eine detaillierte Analyse aller Geschäftsprozesse, um die eingesetzten Verschlüsselungs-, Signatur- und Authentifizierungsverfahren vollständig zu erfassen. Das Ergebnis ist ein umfassendes kryptographisches Inventar — für alle ICT-Systeme, Anwendungen, Infrastrukturen und externe Schnittstellen, unabhängig davon, ob diese intern betrieben, ausgelagert oder als Service bezogen werden.

Dieses Inventar macht sichtbar, welche Algorithmen quantenverwundbar sind und eine Migration erfordern. Es sollte kontinuierlich aktualisiert werden, um jederzeit den tatsächlichen Sicherheitsstand abzubilden.

3. Schutz kritischer Daten

Die FINMA empfiehlt, im Rahmen der Risikoanalyse besondere Aufmerksamkeit auf Daten zu richten, die langfristigen Schutz benötigen. Dabei soll explizit das „Harvest now, decrypt later“-Risiko einbezogen werden. Daten, die schon heute vertraulich bleiben müssen und dies auch in zehn oder zwanzig Jahren noch müssen, sollen prioritär auf Post-Quantum-Algorithmen umgestellt werden.

Da noch keine langjährigen Erfahrungswerte mit PQC-Algorithmen vorliegen, empfehlen viele Fachorganisationen kurz- bis mittelfristig hybride Lösungen: eine Kombination aus klassischem und PQC-Algorithmus, die auch dann Sicherheit bietet, wenn sich einer der beiden Ansätze später als unsicher erweisen sollte.

4. Krypto-Agilität

Krypto-Agilität bezeichnet die Fähigkeit eines ICT-Systems, kryptographische Algorithmen schnell und flexibel auszutauschen, ohne tiefgreifende Änderungen an der Software-Architektur vornehmen zu müssen. Die FINMA empfiehlt, Krypto-Agilität als Anforderung in alle Neubeschaffungen und Entwicklungen von ICT-Systemen aufzunehmen.

Das Ziel: Wenn morgen ein Algorithmus als unsicher gilt, kann er ausgetauscht werden — ohne jahrelange Migrationsprojekte, ohne komplette Systemumbauten. Krypto-Agilität ist damit nicht nur eine technische Eigenschaft, sondern ein Governance-Prinzip für resiliente IT-Infrastrukturen.

5. Externe Dienstleister

Die Verantwortung für ausgelagerte Funktionen bleibt laut FINMA-Rundschreiben 2018/3 immer bei der auslagernden Institution. Das gilt auch für die PQC-Migration: Wenn ein externer Dienstleister die Systeme eines Finanzinstituts betreibt, muss dieser ebenfalls auf quantensichere Kryptographie umstellen.

Die FINMA empfiehlt, Krypto-Agilität als Anforderung in alle neuen Outsourcing-Verträge im Software- und Datenbereich aufzunehmen und bei bestehenden Verträgen so früh wie möglich nachzurüsten. Künftige Risiken — auch solche durch Quantencomputer — können heute bereits vertraglich adressiert werden.

Was das für die Compliance-Praxis bedeutet

Die FINMA-Guidance ist rechtlich keine Pflicht im engeren Sinne — aber sie macht klar, dass die bestehenden technologieneutralen Anforderungen an Governance und Risikomanagement auch Quantenrisiken abdecken. Wer als beaufsichtigtes Institut keine Quantum-Risikoanalyse vorweisen kann, riskiert, bei Aufsichtsgesprächen in Erklärungsnot zu geraten.

Praktisch bedeutet das für Compliance- und Risiko-Teams:

Erstens müssen Quantenrisiken ins bestehende Risikomanagement integriert werden — nicht als eigenständiges Silo, sondern als Teil der Cyber- und operationellen Risiken. Die FINMA hat angekündigt, das Thema in der laufenden Aufsichtstätigkeit stärker zu gewichten.

Zweitens müssen Lieferketten und externe Partner aktiv in die Planung einbezogen werden. 60 Prozent der befragten Institute stehen bereits in Kontakt mit Software-Lieferanten oder planen dies — ein Zeichen, dass die Abhängigkeit von Drittanbietern erkannt ist.

Drittens ist der Zeithorizont für die Governance-Vorbereitung kürzer als für die technische Migration. Ein Verwaltungsratsbeschluss, eine Strategie und ein Inventar können und müssen zügig folgen. Die technische Migration braucht Jahre — die Governance-Grundlagen können in Monaten gelegt werden.

GRC-Software: Das strukturelle Fundament für die PQC-Migration

Alle fünf FINMA-Empfehlungen haben eines gemeinsam: Sie setzen strukturierte, dokumentierte und kontinuierliche Prozesse voraus. Genau das ist es, was ohne technologische Unterstützung kaum zu leisten ist.

Ein kryptographisches Inventar, das alle Systeme, Applikationen und externen Schnittstellen abdeckt und laufend aktualisiert wird, ist ohne ein zentrales System nicht handhabbar. Eine Risikoanalyse, die Quantenverwundbarkeiten bewertet und priorisiert, braucht eine strukturierte Grundlage. Ein Migrationsplan mit Meilensteinen, Verantwortlichkeiten und Fortschrittsüberwachung muss irgendwo sichtbar und steuerbar sein. Und im Aufsichtsgespräch muss alles dokumentiert und abrufbar sein.

GRC-Software schafft genau diese Struktur. Sie ermöglicht ein laufend aktualisiertes Krypto-Inventar als Teil des IT-Asset-Managements, die Integration von Quantenrisiken in das bestehende Risikomanagement-Framework, strukturiertes Drittanbieter-Management inklusive PQC-Anforderungen an Lieferanten, die lückenlose Dokumentation aller Massnahmen und Entscheidungen für Aufsichtsgespräche sowie Dashboards für Verwaltungsrat und Geschäftsleitung, die den Migrationsfortschritt auf einen Blick zeigen.

Besonders relevant: PQC ist kein isoliertes Projekt. Es ist Teil eines breiteren Cyber-Risikomanagements, das auch DORA-Anforderungen, NIS-2-Pflichten und interne Governance-Frameworks umfasst. Wer diese Themen in einem integrierten GRC-System abbildet, nutzt Synergien — und vermeidet den Aufbau paralleler Dokumentations- und Steuerungsstrukturen.

Zazoon: GRC-Software für die Anforderungen von morgen — heute

Bei Zazoon haben wir GRC-Software entwickelt, die komplexe regulatorische Anforderungen in handhabbare, strukturierte Prozesse übersetzt. Für Finanzinstitute, die die FINMA-Guidance zu Quantencomputing umsetzen wollen, bedeutet das: kein neues Projekt-Silo, sondern eine Integration der PQC-Anforderungen in ein bestehendes, zentrales Risikomanagement-System.

Fazit: Nicht das Ob, sondern das Wann

Kryptographisch relevante Quantencomputer existieren noch nicht. Aber die Migration zur quantensicheren Verschlüsselung ist ein Projekt von Jahren — und die FINMA hat klargestellt, dass der Startschuss jetzt fallen muss. Wer bis Mitte 2027 keinen PQC-Migrationsplan vorweisen kann, steht nicht nur regulatorisch unter Druck. Er steht auch technisch unter Druck, weil die Migrationsfenster enger werden, je länger gewartet wird.

Die gute Nachricht: Der erste Schritt ist kein Megaprojekt. Er ist ein strukturierter Prozess — Strategie, Inventar, Risikoanalyse, Drittanbieter-Anforderungen. Das ist genau der Bereich, in dem GRC-Software ihren grössten Nutzen entfaltet. Wer heute die Grundlagen legt, ist morgen nicht der Letzte in der Reihe.

FAQ

Was fordert die FINMA beim Thema Quantencomputing?

Die FINMA erwartet von beaufsichtigten Finanzinstituten, dass sie Quantenrisiken aktiv in ihr bestehendes Risiko- und Governance-Framework integrieren. Dazu gehören insbesondere eine klare Strategie, ein kryptographisches Inventar, eine Risikoanalyse, der Schutz besonders sensibler Daten, Krypto-Agilität und die Einbindung externer Dienstleister.

Bis wann sollte ein PQC-Migrationsplan vorliegen?

Die FINMA empfiehlt, bis spätestens Mitte 2027 einen konkreten Migrationsplan für Post-Quantum Cryptography zu erarbeiten. Dieser sollte Zieltermine, Meilensteine und Prioritäten für kritische Systeme, Prozesse und Daten enthalten.

Was bedeutet „Harvest now, decrypt later“?

Bei diesem Angriffsmuster werden verschlüsselte Daten bereits heute abgefangen und gespeichert. Sobald leistungsfähige Quantencomputer verfügbar sind, könnten diese Daten nachträglich entschlüsselt werden. Besonders kritisch sind deshalb Informationen, die auch in vielen Jahren noch vertraulich bleiben müssen.

Was ist Krypto-Agilität?

Krypto-Agilität beschreibt die Fähigkeit von IT-Systemen, kryptographische Verfahren flexibel und mit möglichst geringem Aufwand auszutauschen. Dadurch können Unternehmen schneller reagieren, wenn bestehende Algorithmen unsicher werden oder neue Standards eingeführt werden.

Warum spielen externe Dienstleister bei der PQC-Migration eine wichtige Rolle?

Viele Finanzinstitute beziehen Software, Infrastruktur und Datenservices von externen Anbietern. Die Verantwortung für ausgelagerte Funktionen bleibt jedoch beim beaufsichtigten Institut. Deshalb müssen auch Lieferanten und Outsourcing-Partner in die PQC-Strategie und die Anforderungen an Krypto-Agilität einbezogen werden.

Welche Rolle spielt GRC-Software bei der Vorbereitung auf Post-Quantum Cryptography?

GRC-Software kann dabei helfen, Quantenrisiken, kryptographische Abhängigkeiten, Drittanbieter, Verantwortlichkeiten und Migrationsmassnahmen zentral zu steuern. Dadurch lassen sich Fortschritt, Risiken und Nachweise strukturiert dokumentieren und gegenüber Management, Audit oder Aufsicht transparent darstellen.

Cyberrisiken gehören zu den bedeutendsten operationellen Risiken im Finanzsektor. Die FINMA macht deutlich, dass sich die Bedrohungslage nicht nur konstant auf hohem Niveau bewegt, sondern weiter verschärft. Angriffe werden professioneller, komplexer und gezielter. Gleichzeitig steigt durch Digitalisierung, Cloud-Nutzung und Outsourcing die strukturelle Angriffsfläche vieler Institute.

Cyberrisiko ist damit längst kein reines IT-Thema mehr. Es betrifft Governance, Risikomanagement, interne Kontrollsysteme und strategische Entscheidungsprozesse. Die FINMA erwartet von beaufsichtigten Instituten einen integrierten, risikobasierten und steuerbaren Umgang mit Cyberbedrohungen.

Das wichtigste in Kürze

• Cyberrisiken zählen zu den zentralen operationellen Risiken im Finanzmarkt.
• Die Angriffsfläche wächst durch Vernetzung, Cloud-Lösungen und Drittanbieter.
• Cyberrisiken müssen fest in Governance und Risikomanagement integriert sein.
• Outsourcing und Third-Party-Abhängigkeiten sind wesentliche Risikotreiber.
• Institute müssen Cybervorfälle zeitnah melden.
• Szenariobasierte Übungen und Wiederherstellungstests sind essenziell.
• Cyberresilienz bedeutet Schutz, Erkennung, Reaktion und Wiederherstellung.

Cyberrisiken als strategisches Thema

Die FINMA stellt klar: Cyberrisiken sind nicht isoliert zu betrachten, sondern als integraler Bestandteil des operationellen Risikomanagements. Technische Sicherheitsmassnahmen allein reichen nicht aus. Entscheidend ist eine ganzheitliche Steuerung entlang folgender Dimensionen:

• Prävention
• Detektion
• Reaktion
• Wiederherstellung

Diese vier Elemente müssen organisatorisch verankert, dokumentiert und regelmässig getestet werden.

Cyberangriffe erfolgen zunehmend gezielt und oft unter Einbezug externer Dienstleister oder Schwachstellen in ausgelagerten Prozessen. Die zunehmende Vernetzung zwischen Finanzinstituten, IT-Dienstleistern und Plattformanbietern verstärkt systemische Risiken.

Governance: Verantwortung auf oberster Ebene

Ein zentrales Anliegen der FINMA ist die klare Verankerung von Cyberrisiken in der Governance-Struktur. Das bedeutet:

• Verwaltungsrat und Geschäftsleitung tragen die Verantwortung für die strategische Steuerung von Cyberrisiken.
• Cyberrisiken müssen Bestandteil der Risikostrategie sein.
• Reporting an die oberste Führungsebene muss strukturiert und risikoorientiert erfolgen.
• Risikotoleranzen müssen definiert sein.

Cyber darf nicht als technisches Spezialthema delegiert werden. Es ist ein Führungs- und Aufsichtsthema.

Outsourcing und Drittparteien als Risikofaktor

Ein erheblicher Teil gemeldeter Cybervorfälle steht im Zusammenhang mit externen Dienstleistern. Cloud-Anbieter, IT-Provider, Softwaredienstleister oder ausgelagerte Supportfunktionen erweitern die Risikolandschaft erheblich.

Die FINMA erwartet daher:

• ein vollständiges Inventar aller kritischen Dienstleister
• eine klare Klassifikation ausgelagerter Funktionen
• vertraglich geregelte Sicherheitsanforderungen
• Überwachungsmechanismen und Kontrollrechte
• Einbindung von Drittparteien in Notfall- und Krisenübungen

Ohne transparente Steuerung von Outsourcing-Risiken entsteht eine strukturelle Schwachstelle.

Detektion und Reaktionsfähigkeit

Viele Institute verfügen über technische Monitoring-Systeme. Die Herausforderung liegt jedoch häufig in der organisatorischen Koordination.

Wichtige Fragen sind:

• Wer entscheidet im Ernstfall?
• Wie schnell werden Eskalationen ausgelöst?
• Welche Kommunikationswege sind definiert?
• Wie werden regulatorische Meldepflichten erfüllt?

Die FINMA verlangt klar definierte Prozesse zur Identifikation, Analyse und Bewältigung von Cybervorfällen. Dabei geht es nicht nur um IT-Sicherheit, sondern um institutionelle Krisenfähigkeit.

Wiederherstellung und Resilienz

Ein oft unterschätzter Aspekt ist die Wiederherstellungsfähigkeit. Cyberresilienz bedeutet, auch im Schadensfall handlungsfähig zu bleiben.

Dazu gehören:

• getestete Backup-Strategien
• realistische Wiederanlaufpläne
• regelmässige Notfallübungen
• simulationsbasierte Tests unter praxisnahen Bedingungen

Papierbasierte Notfallpläne genügen nicht. Entscheidend ist die tatsächliche Funktionsfähigkeit im Krisenfall.

Meldepflichten und Transparenz

Cybervorfälle müssen innerhalb definierter Fristen an die Aufsicht gemeldet werden. Diese Meldepflicht dient nicht nur der regulatorischen Transparenz, sondern auch der übergeordneten Stabilität des Finanzsystems.

Institute benötigen daher klare interne Prozesse, um:

• Vorfälle korrekt zu klassifizieren
• Meldepflichten rechtzeitig zu erfüllen
• Informationen konsistent aufzubereiten

Fehlende Klarheit in der internen Struktur kann hier zu erheblichen Verzögerungen führen.

Fazit

Die FINMA macht deutlich: Cyberrisiken sind ein strategisches Kernthema für Finanzinstitute. Sie betreffen nicht nur IT-Abteilungen, sondern Governance, Risikomanagement, interne Kontrollen und Führungsgremien.

Ein wirksames Cyberrisikomanagement zeichnet sich durch folgende Merkmale aus:

• klare Verantwortlichkeiten
• integrierte Governance-Strukturen
• systematische Drittparteisteuerung
• leistungsfähige Detektions- und Reaktionsmechanismen
• getestete Wiederherstellungsprozesse

Cyberresilienz ist kein statischer Zustand, sondern ein kontinuierlicher Entwicklungsprozess. Institute, die Cyberrisiken aktiv steuern und in ihre Gesamtstrategie integrieren, stärken nicht nur ihre regulatorische Konformität, sondern auch ihre langfristige Stabilität.

FAQ

Was versteht die FINMA unter Cyberrisiken?
Cyberrisiken sind operationelle Risiken, die sich aus Cyberangriffen, technischen Schwachstellen, Drittanbieter-Abhängigkeiten und organisatorischen Mängeln ergeben.

Warum ist Cyberrisiko ein Governance-Thema?
Weil es strategische Entscheidungen, Risikotoleranzen, Berichterstattung und Verantwortlichkeiten auf oberster Ebene betrifft.

Welche Rolle spielen Drittanbieter?
Externe Dienstleister erweitern die Angriffsfläche erheblich und müssen daher aktiv in Risikoanalysen, Vertragsgestaltung und Notfallplanung eingebunden werden.

Was bedeutet Cyberresilienz konkret?
Die Fähigkeit, Angriffe zu verhindern, frühzeitig zu erkennen, wirksam zu reagieren und den Geschäftsbetrieb schnell wiederherzustellen.

Wie sollten sich Institute vorbereiten?
Durch integrierte Governance-Strukturen, klare Eskalationsprozesse, regelmässige Übungen, getestete Notfallpläne und eine unternehmensweite Risikokultur.

Die FINMA hat ihren Risikomonitor 2025 veröffentlicht und damit ein klares Bild der Risikolandschaft im Schweizer Finanzsektor gezeichnet. Banken, Versicherer, Vermögensverwalter und andere Finanzinstitute sehen sich im kommenden Drei-Jahres-Horizont mit einer Vielzahl makroökonomischer, technologischer und regulatorischer Risiken konfrontiert. Der Bericht zeigt deutlich, dass klassische Risiken wie Hypotheken und Kreditexpositionen weiterhin relevant sind, während neue Themen wie Cyberangriffe, IKT-Abhängigkeiten und komplexe Dienstleisterketten stark an Bedeutung gewinnen.

Der Risikomonitor macht klar: Unternehmen müssen ihre Governance-, Risiko- und Compliance-Strukturen weiterentwickeln, um in einem zunehmend instabilen Umfeld widerstandsfähig zu bleiben.

Das Wichtigste in Kürze

• Der Risikomonitor 2025 identifiziert neun zentrale Risiken, die für die Schweizer Finanzbranche in den nächsten Jahren besonders kritisch sind.
• Besonders hervorgehoben werden Immobilien- und Hypothekenrisiken, Kredit- und Marktrisiken, Cyber- und IKT-Risiken, Geldwäschereirisiken sowie Gefahren aus Auslagerungen.
• Viele der Risiken bleiben hoch oder nehmen weiter zu.
• Die FINMA formuliert klare Erwartungen an Institute, insbesondere im Hinblick auf Risikokultur, technische Sicherheit, Überwachung, Auslagerungskontrollen und Krisenmanagement.

Warum der Risikomonitor 2025 so relevant ist

Der Schweizer Finanzplatz ist stark international vernetzt, digitalisiert und in Bereichen wie Hypothekenkrediten hoch exponiert. Durch geopolitische Spannungen, hohe Zinsen, technologische Abhängigkeiten und neue Marktmodelle wächst der Druck auf Finanzinstitute, Risiken konsequent zu identifizieren, zu bewerten und zu steuern.

Der FINMA-Risikomonitor dient dabei als Frühwarnsystem. Er zeigt, wo sich Schwachstellen entwickeln, wo systemische Gefahren bestehen und bei welchen Themen die Aufsicht künftig strenger hinschauen wird. Für GRC-Verantwortliche bietet der Bericht eine klare Orientierung, welche Themen höchste Priorität haben.

Die zentralen Risiken im Überblick

Im Risikomonitor 2025 werden mehrere Risikokategorien ausführlich beschrieben. Die wichtigsten davon sind:

Immobilien- und Hypothekenrisiken

Die Immobilienmärkte sind weiterhin angespannt, Nachfrage und Preise auf einem erhöhten Niveau. Gleichzeitig steigen Zinsen und Belehnungsquoten, während Haushalte hohe Verschuldungsgrade aufweisen. Banken und Versicherer müssen sicherstellen, dass ihre Kreditvergabestandards robust sind und dass Stresstests realistisch durchgeführt werden.

Kredit- und Marktrisiken

Volatile Märkte, geopolitische Unsicherheiten und mögliche Abwertungen bei Kreditnehmern belasten Finanzinstitute zusätzlich. Der Risikomonitor betont die Bedeutung eines risikobasierten Kreditmanagements, ausreichender Wertberichtigungen und einer engen Überwachung von Konzentrationen.

Geldwäscherei- und Sanktionsrisiken

Durch internationale Geschäftsmodelle, neue digitale Produkte und Kryptowährungen entstehen erhöhte Risiken. Institute müssen kundenbezogene Risiken besser einschätzen, Monitoring-Systeme weiterentwickeln und Meldeprozesse konsequent einhalten. Eine starke Risikokultur und ausreichende Ressourcen im Compliance-Bereich sind entscheidend.

Cyber- und IKT-Risiken

Digitale Abhängigkeiten haben stark zugenommen. Angriffe auf Finanzinfrastrukturen, Ausfälle bei IT-Dienstleistern oder Schwachstellen in Drittprodukten können gravierende Folgen haben. Die FINMA erwartet stabile Systeme, belastbare Notfallpläne und ein strenges Monitoring von Schwachstellen.

Outsourcing- und Dienstleisterrisiken

Viele Institute haben zentrale Funktionen ausgelagert. Das reduziert Kosten, erhöht aber Verwundbarkeit. Der Risikomonitor fordert eine klare Steuerung der Dienstleister, transparente Verträge, Kontrollrecht für Institute und die Fähigkeit, kritische Dienstleistungen auch bei Störungen weiterzuführen.

Liquiditäts- und Refinanzierungsrisiken

Auch wenn die Liquiditätssituation stabil erscheint, können Marktspannungen schnell zu Engpässen führen. Institute sollen definierte Frühwarnindikatoren nutzen, Szenarien simulieren und sicherstellen, dass sie im Stressfall handlungsfähig bleiben.

Was GRC-Verantwortliche jetzt tun sollten

Der Risikomonitor sendet eine deutliche Botschaft: Gute Governance, stabiles Risikomanagement und konsequente Compliance sind die Grundlage für Widerstandskraft. Konkret sollten Institute:

• ihre Risikoanalysen aktualisieren und mit den FINMA-Risikofeldern abgleichen
• eine klare Risikokultur etablieren, in der alle Mitarbeitenden Verantwortung übernehmen
• Szenarioanalysen und Stresstests regelmässig durchführen
• Cyber- und IKT-Resilienz stärken, inklusive Notfall- und Wiederanlaufplänen
• Auslagerungen vollständig inventarisieren und kritisch überwachen
• Geldwäscherei-Prozesse, KYC-Standards und Monitoring-Systeme neu bewerten
• Reporting- und Eskalationswege klar definieren
• die technische Infrastruktur modernisieren, um Risiken frühzeitig zu erkennen

Fazit

Der FINMA-Risikomonitor 2025 zeigt deutlich: Die Risikolage bleibt angespannt, und viele Herausforderungen nehmen eher zu als ab. Für die Schweizer Finanzbranche bedeutet das, dass Governance, Risiko- und Compliance-Strukturen noch stärker in den Mittelpunkt rücken müssen.
Nur Institute, die Risiken konsequent steuern, ihre Prozesse modernisieren und eine lebendige Risikokultur schaffen, werden langfristig robust bleiben.

FAQ

Was ist der FINMA-Risikomonitor?
Ein jährlich veröffentlichter Bericht, der die wichtigsten Risiken für den Schweizer Finanzmarkt identifiziert und Erwartungen der Aufsicht formuliert.

Welche Risiken stehen 2025 im Fokus?
Immobilien- und Hypothekenrisiken, Kreditrisiken, Marktrisiken, Cyber- und IKT-Risiken, Geldwäscherei, Outsourcing sowie Liquiditätsrisiken.

Warum betont die FINMA Cyberrisiken so stark?
Weil Cyberangriffe und IT-Ausfälle in ihrer Häufigkeit und Wirkung stark zunehmen und sehr schnelle, weitreichende Schäden verursachen können.

Was bedeutet Risikokultur?
Eine Haltung im Unternehmen, bei der jede Person Risiken aktiv erkennt, offen anspricht und verantwortungsvoll handelt – nicht nur die Compliance-Abteilung.

Was sollten Finanzinstitute jetzt tun?
Risiken neu bewerten, Governance und Monitoring verstärken, technische Resilienz erhöhen, Dienstleister kontrollieren und Prozesse für Geldwäscherei- und Cyberthemen professionalisieren.

Die Schweiz reagiert auf steigende Bedrohungen im Cyberraum. Am 20. August 2025 hat der Bundesrat beschlossen, dass eine Gesetzgebung zur Cyberresilienz digitaler Produkte erarbeitet wird. Dabei soll das Bundesamt für Cybersicherheit (BACS) gemeinsam mit dem Bundesamt für Kommunikation (BAKOM) und dem Staatssekretariat für Wirtschaft (SECO) bis Herbst 2026 eine Vorlage zur Vernehmlassung ausarbeiten. Ziel ist, Sicherheitsanforderungen für Produkte mit digitalen Elementen verbindlich festzulegen und die Marktüberwachung solcher Produkte zu verbessern.

Das Wichtigste in Kürze

• Der Bundesrat will die Cyberresilienz digitaler Produkte gesetzlich verankern
• BACS, BAKOM und SECO sollen bis Herbst 2026 eine Vernehmlassungsvorlage erarbeiten
• Sicherheitspflichten beim Entwickeln und Inverkehrbringen digitaler Produkte sollen definiert werden, inklusive Import- und Vertriebsverbot unsicherer Geräte
• Marktüberwachung soll gestärkt werden, damit Sicherheitslücken früh erkannt und schnell geschlossen werden können
• Die Schweiz orientiert sich teilweise an EU-Regulierungen wie dem Cyber Resilience Act und der NIS-2 Richtlinie

Warum ist das Thema wichtig?

Digitale Produkte durchdringen nahezu alle Lebensbereiche – Smart Devices, IoT, Software und Hardware mit vernetzten Komponenten. Wenn Sicherheitslücken in solchen Produkten bestehen, kann dies zu erheblichen Schäden für Nutzer, Unternehmen und kritische Infrastrukturen führen. Bis heute hat die Schweiz kaum verbindliche Regeln zur Cyberresilienz von digitalen Produkten. Mit der neuen Gesetzesinitiative wird diese Lücke geschlossen.

Was soll die neue Gesetzgebung regeln?

Die Vorlage wird voraussichtlich folgende Punkte enthalten:

• Sicherheitsanforderungen bei Entwicklung und Inverkehrbringen von digitalen Produkten
• Marktüberwachung, damit unsichere Produkte nicht auf den Markt gelangen oder importiert werden dürfen
• Mindestanforderungen an Updates, Patches, Sicherheitstests und Offenlegung von Schwachstellen
• Durchsetzungsmechanismen und Sanktionen bei Nichteinhaltung der Regeln

Vergleich zu EU-Initiativen

Wie könnte die Schweiz profitieren und welche Herausforderungen bestehen?

Potentielle Vorteile

• Höheres Sicherheitsniveau für Nutzer und Konsumenten
• Mehr Vertrauen in digitale Produkte und Anbieter
• Rechtssicherheit für Hersteller und Importeure
• Reduzierung von Kosten durch präventive Sicherheitsmaßnahmen

Herausforderungen

• Zu enge Anforderungen könnten Innovationen hemmen
• Kleine Hersteller könnten an Umsetzungskosten scheitern
• Marktüberwachung und Sanktionen erfordern zusätzliche Ressourcen
• Internationale Harmonisierung in Lieferketten muss berücksichtigt werden

Fazit

Das geplante Schweizer Gesetz zur Cyberresilienz digitaler Produkte markiert einen wichtigen Schritt hin zu moderner Sicherheitspolitik. Es schließt eine bestehende Regelungslücke, schafft verbindliche Sicherheitsanforderungen und orientiert sich an bewährten EU-Initiativen. Für Unternehmen ist jetzt der richtige Zeitpunkt, sich proaktiv mit Compliance, Governance und Risiko auseinanderzusetzen, um späteren Anpassungsdruck zu vermeiden.

FAQ

Was versteht man unter Cyberresilienz digitaler Produkte?
Die Fähigkeit von Hardware und Software mit digitalen Komponenten, sicher zu sein, Angriffe abzuwehren und Sicherheitslücken schnell zu beheben.

Warum plant der Bundesrat dieses Gesetz?
Weil es bisher keine verbindlichen Regeln in der Schweiz gibt, obwohl die Bedrohungslage durch unsichere digitale Produkte steigt.

Wann soll die Gesetzesvorlage vorliegen?
Bis Herbst 2026 soll die Vorlage zur Vernehmlassung bereitstehen.

Welche Anforderungen könnten gelten?
Sicherheitsanforderungen bei Entwicklung und Inverkehrbringen, verpflichtende Updates, Offenlegung von Schwachstellen sowie Importverbote unsicherer Geräte.

Gibt es Parallelen zu EU-Gesetzen?
Ja, viele Elemente ähneln dem Cyber Resilience Act und der NIS-2 Richtlinie, die ebenfalls Mindestanforderungen, Meldepflichten und Marktüberwachungsmaßnahmen enthalten.

Was sollten Unternehmen jetzt tun?
Frühzeitig Produktportfolios prüfen, Sicherheitsprozesse implementieren, Governance-Strukturen anpassen und sich mit den EU-Standards vertraut machen.

1. Warum geopolitische Risiken für Schweizer Banken so relevant sind

Geopolitische Risiken haben sich in den letzten Jahren zu einer entscheidenden Einflussgröße für den Finanzsektor entwickelt. Ob Konflikte wie Russland–Ukraine, Spannungen in Ostasien oder mögliche Veränderungen der US-Geldpolitik – all diese Faktoren bergen für Schweizer Banken weitreichende Folgen. Traditionell sind Schweizer Finanzinstitute als „sicherer Hafen“ bekannt. Doch angesichts neuer Risikofelder wie Sanktionen, Deglobalisierung und technologischer Disruption (z. B. durch generative KI) geraten selbst die stabilsten Strukturen in Bewegung.
Die Studie von zeb und der Swiss Bankers Association (SBA) zeigt, dass bankenstrategische Entscheidungen heute viel stärker geopolitische Entwicklungen berücksichtigen müssen, um die Langzeitstabilität und Wettbewerbsfähigkeit zu erhalten.

2. Übersicht über die 34 identifizierten geopolitischen Risikofaktoren

Im Rahmen der Untersuchung wurden 34 geopolitische Risikofaktoren analysiert. Diese umfassen unter anderem:

• Internationale Konflikte: Russland–Ukraine, China–Taiwan, USA–China, Nahost-Konflikte.
• Deglobalisierung und neue Weltordnung: Tendenz zu Friendshoring und vermehrten Handelsbarrieren.
• Schweiz-spezifische Aspekte: Frage der Neutralität und steigender Druck in Bezug auf Sanktionen.
• Technologische Entwicklungen: Auswirkungen von (generativer) KI, digitale Innovation, Regulierung.
• Weltwirtschaftliche Veränderungen: Mögliche US-Schuldenkrise, Volatilität der Rohstoffpreise, Konkurrenz durch asiatische Steuerparadiese.

In der Studie werden diese Faktoren hinsichtlich ihrer Vernetzung (Netzwerkanalyse) und Relevanz (z. B. zentrale Risikofaktoren wie Sanktionspolitik) für die Schweizer Bankenwelt bewertet.

3. Zentrale Risikofaktoren: Sanktionen als Schlüsselfaktor

Einer der am stärksten hervorgehobenen Risikofaktoren ist das Thema Sanktionen. Während die Schweiz traditionell eine neutralitätsgeprägte Politik verfolgt, steigt der Druck, sich internationalen Sanktionen anzuschließen. Diese Entwicklung hat Auswirkungen auf:

• Compliance-Anforderungen: Komplexere Prüfprozesse und strengere Kontrollen führen zu höheren Kosten.
• Reputationsrisiken: Ein falscher Umgang mit Sanktionen kann das Vertrauen internationaler Kunden schädigen.
• Wettbewerbsfähigkeit: Eine zu strenge oder zu lasche Sanktionspolitik kann sowohl den Marktzugang als auch die Wahrnehmung der Schweizer Banken beeinträchtigen.

Laut Studie ist „Positionierung gegenüber Sanktionen“ der zentralste Risikofaktor für Schweizer Banken und muss dringend in die strategische Planung einfließen.

4. Einfluss auf die verschiedenen Banksegmente

Die Studie differenziert nach sechs Kernsegmenten der Schweizer Bankenwelt und untersucht die potenziellen Einflüsse auf Risiko, Erlöse und Kosten:

1. Large Corporate Banking – International
   • Hohes Risiko durch internationale Konflikte und Sanktionen, da Großkunden in Krisenregionen tätig sein können.
   • Kostensteigerungen durch komplexere Compliance-Anforderungen.
   • Erlöspotenzial kann leiden, wenn globale Investitionsströme zurückgehen oder sich verlagern.
2. Corporate/SME Banking – National
   • Geringeres Auslandsengagement, doch auch hier können Sanktionsregeln kleine und mittlere Unternehmen (KMU) treffen.
   • Die Studie zeigt einen moderaten Effekt auf Erlöse und Kosten, jedoch steigendes Risikobewusstsein.
3. National Wealth Management
   • Gemäß der Experteneinschätzung tendenziell begünstigt, da in unsicheren Zeiten immer noch viele Vermögende auf den „sicheren Hafen Schweiz“ setzen.
   • Kosten bleiben überschaubar, Erlöse profitieren vom steigenden Sicherheitsbedürfnis internationaler Kapitalgeber.
4. International Wealth Management
   • Gemischte Effekte: Internationale Spannungen können einerseits Fluchtgelder anziehen, andererseits den Zugang zu wichtigen Wachstumsmärkten erschweren.
   • Compliance-Kosten und Sanktionsthemen spielen hier eine besonders große Rolle.
5. Asset Management
   • Höheres Risiko durch globale Kapitalflüsse und volatiles Marktumfeld.
   • Kosten für Risikomanagement und Regulierung nehmen zu; die Erlöse könnten unter Margendruck leiden.
6. Retail Banking
   • Primär auf den inländischen Markt ausgerichtet.
   • Laut Studie in puncto Risiko eher stabil und Erlösentwicklung solide, kann jedoch langfristig von wirtschaftlicher Gesamtlage betroffen sein.

5. Historische und prädiktive Analysen: Widerstandsfähigkeit, aber keine Garantie

Die Studie belegt, dass der Schweizer Bankensektor historisch als äußerst resilient gilt. Selbst bei steigenden Unsicherheitsindikatoren – gemessen am World Uncertainty Index (WUI) – blieb die Eigenkapitalrendite (RoE) der Schweizer Banken über Jahre stabil.
Wichtiger Hinweis: Diese Widerstandsfähigkeit ergibt sich aus der starken Schweizer Wirtschaftsstruktur, dem hohen Maß an Professionalität im Bankensektor und der internationalen Reputation. Für die Zukunft ist diese Stabilität aber keinesfalls garantiert, da neue Faktoren wie die rasante technologische Entwicklung (z. B. KI) und geopolitische Verschiebungen (Mehr-Polarisierung statt Bipolarität) zunehmend komplexere Risikolandschaften schaffen.

6. Chancen und Herausforderungen für Schweizer Banken

Obwohl zahlreiche Risiken erkennbar sind, hebt die Studie auch positive Perspektiven hervor:

• „Safe Haven“-Vorteil: In Krisenzeiten profitieren Schweizer Banken durch ihre Stabilität und ihr Image im internationalen Vergleich.
• Wachstum durch Technologie: (Generative) KI und andere digitale Innovationen ermöglichen effizientere Abläufe, Kostensenkung und neue Geschäftsmodelle.
• Diversifizierung: Durch einen global ausgerichteten Kundenstamm können Schweizer Banken unterschiedliche Märkte erschließen und Schwankungen ausgleichen.

Herausforderungen liegen in der Bewältigung der steigenden regulatorischen Auflagen und in der proaktiven Anpassung an sich verändernde geopolitische Rahmenbedingungen.

7. Handlungsempfehlungen für Finanzinstitute

Die Studie formuliert klare Empfehlungen, damit Schweizer Banken ihre führende Rolle behaupten können:

1. Proaktive Sanktionspolitik: Enge Zusammenarbeit mit Behörden und internationalen Gremien, um frühzeitig Klarheit zu schaffen und Integrität zu wahren.
2. Geopolitisches Risikomanagement: Aufbau eines strukturierten Frameworks zur kontinuierlichen Beobachtung geopolitischer Entwicklungen und Durchführung von Szenarioanalysen.
3. Kompetitivität durch Technologie: Verstärkte Investitionen in KI und Digitalisierung sowie in qualifiziertes Personal (Skill Development), um Wettbewerbsvorteile zu sichern.
4. Kommunikationsstrategie: Transparentes Auftreten gegenüber Öffentlichkeit und Kunden, um das Vertrauen in die Schweizer Finanzinstitute auch bei kontroversen politischen Entscheidungen zu erhalten.
5. Stärkung der Neutralität: Klare Positionierung gegenüber internationalen Konflikten, ohne die eigentlichen Werte des Schweizer Finanzplatzes zu gefährden.

8. Fazit: Stabilität durch Weitblick und Anpassungsfähigkeit

Die umfassende Studie „The Impact of Geopolitical Risks on Swiss Banking“ macht deutlich, dass Schweizer Banken zwar in besonderem Maße von internationalen Krisen profitieren können, aber zugleich gezwungen sind, proaktiv auf geopolitische Entwicklungen zu reagieren. Insbesondere das Thema Sanktionen erweist sich als zentraler Dreh- und Angelpunkt, der langfristig über Wettbewerbsfähigkeit, Reputation und regulatorische Sicherheit entscheidet.
Trotz bestehender Risiken ist die Gesamtperspektive laut der Analyse positiv: Der Schweizer Bankensektor bleibt im globalen Vergleich weiterhin ein vertrauenswürdiger „Safe Haven“. Um diese Rolle auch in Zukunft zu erhalten, ist jedoch eine kontinuierliche Anpassung an die geopolitische Risikolandschaft unerlässlich – sei es durch stärkere Innovationskraft, einen verfeinerten regulatorischen Kompass oder eine intensivere Kommunikation mit allen Stakeholdern.

Was ist die Mosambik-Affäre?

Die sogenannte Mosambik-Affäre der Credit Suisse ist einer der gravierendsten Finanzskandale der letzten Jahre. Im Zentrum stehen verdeckte Kredite in Milliardenhöhe, dubiose Offshore-Geschäfte und weitreichende Korruptionsvorwürfe. Dieser Skandal zeigt eindrucksvoll, wie mangelnde Compliance und Governance-Strukturen nicht nur Banken in den Abgrund reißen können, sondern auch verheerende wirtschaftliche und politische Folgen für ein ganzes Land haben.

Der Skandal im Detail: Verdeckte Kredite und undurchsichtige Finanzierungen

Zwischen 2013 und 2016 arrangierte die Credit Suisse gemeinsam mit anderen Finanzinstitutionen Kredite in Höhe von rund 2 Milliarden US-Dollar für Mosambik. Diese Gelder sollten offiziell in maritime Sicherheitsprojekte und die Entwicklung der Thunfischfangindustrie investiert werden. Allerdings wurden große Teile der Kreditmittel zweckentfremdet oder verschwanden gänzlich in undurchsichtigen Kanälen.

Das Brisante: Die Kredite wurden nicht im mosambikanischen Staatshaushalt verbucht und waren somit geheim. Wichtige Institutionen wie das Parlament, der Internationale Währungsfonds (IWF) und andere Geberstaaten wurden bewusst nicht informiert. Als diese „versteckten Schulden“ öffentlich wurden, brach das Vertrauen in die Regierung Mosambiks zusammen, und das Land rutschte in eine schwere Schuldenkrise.

Compliance-Versagen auf mehreren Ebenen

Die Mosambik-Affäre zeigt gravierende Schwächen in den Compliance-Strukturen der Credit Suisse. Die zentralen Compliance-Versäumnisse im Überblick:

• Mangelhafte Due Diligence: Die Prüfung der Kreditnehmer und der tatsächlichen Kreditverwendung war unzureichend. Politisch exponierte Personen (PEPs) waren involviert, ohne dass angemessene Risikobewertungen durchgeführt wurden.
• Unzureichendes Risikomanagement: Trotz offensichtlicher Risiken wurden die Kreditverträge genehmigt. Interne Warnsignale wurden ignoriert oder nicht systematisch verfolgt.
• Versagen der internen Kontrollsysteme: Interne Kontrollmechanismen, die Transaktionen auf Legalität und Transparenz prüfen sollten, griffen nicht oder wurden umgangen.
• Interessenskonflikte und fehlende Unabhängigkeit: Compliance-Abteilungen hatten offenbar nicht genügend Unabhängigkeit von den kommerziellen Bereichen der Bank, was zu einer Kultur des Wegsehens führte.

Konsequenzen für die Credit Suisse

Die Credit Suisse wurde von mehreren Regulierungsbehörden mit Geldstrafen belegt und musste Vergleiche in Millionenhöhe zahlen. Zudem wurde der Ruf der Bank massiv beschädigt. Der Skandal war ein wesentlicher Baustein für die Erosion des Vertrauens in das Management der Bank, was letztlich auch zur späteren Übernahme durch die UBS beitrug.

Wie gutes GRC solche Skandale verhindern kann

Governance, Risk & Compliance (GRC) ist kein bürokratisches Anhängsel, sondern ein integraler Bestandteil moderner Unternehmensführung. Ein effektives GRC-System hätte viele der Probleme in der Mosambik-Affäre verhindern können. Wichtige Erfolgsfaktoren sind:

• Starke Governance-Strukturen: Ein klar definiertes Kontrollumfeld, in dem Verantwortlichkeiten transparent geregelt sind, verhindert Machtmissbrauch und Intransparenz.
• Risikobasierte Compliance-Programme: Die Einbettung von Risikoanalysen in Entscheidungsprozesse sorgt dafür, dass Geschäfte mit hohen Reputations- oder Finanzrisiken frühzeitig erkannt werden.
• Unabhängige und gestärkte Compliance-Funktion: Compliance-Abteilungen müssen unabhängig agieren können und direkten Zugang zum Vorstand haben.
• Transparente Berichts- und Kommunikationswege: Interne und externe Stakeholder müssen über kritische Geschäftsvorgänge informiert sein. Whistleblower-Systeme sollten geschützt und aktiv gefördert werden.
• Kontinuierliche Schulung und Awareness-Programme: Mitarbeitende müssen regelmäßig zu Ethik, Integrität und regulatorischen Anforderungen geschult werden.

Fazit: Lehren aus der Mosambik-Affäre ziehen

Die Mosambik-Affäre der Credit Suisse ist ein mahnendes Beispiel für die verheerenden Folgen von mangelnder Compliance und schwacher Governance. Sie zeigt, wie wichtig es ist, GRC nicht als Pflichtübung, sondern als strategischen Erfolgsfaktor zu verstehen. Nur durch robuste Strukturen, transparente Prozesse und eine echte Kultur der Integrität lassen sich solche Skandale in Zukunft verhindern.

Ein funktionierendes GRC-System schützt nicht nur vor regulatorischen Strafen – es schützt das Unternehmen vor sich selbst.

Am 18. Juni 2023 hat die Mehrheit der Schweizer Stimmbürgerinnen und Stimmbürger der Klima- und Innovationsvorlage (Bundesgesetz über die Ziele des Klimaschutzes, der Innovation und der Stärkung der Energieversorgungssicherheit (KIG)) zugestimmt. Es ist ein bemerkenswerter Meilenstein für die Schweiz, denn es verlangt, dass die Schweiz bis zum Jahr 2050 klimaneutral wird.

Auswirkungen des Klimawandels in der Schweiz

Schmelzende Gletscher, Trockenheit, weniger Schnee, Überschwemmungen und andere damit zusammenhängende Ereignisse haben der Schweiz in den letzten Jahren die größten Sorgen bereitet, was ihre Anfälligkeit für die Klimakrise betrifft. Eine Studie zeigt, dass die Durchschnittstemperatur in der Schweiz in den letzten 150 Jahren um 2,5° C gestiegen ist, doppelt so stark wie im weltweiten Durchschnitt. Es wird davon ausgegangen, dass diese Gesetzgebung der Schweiz helfen wird, diese Herausforderungen zu bewältigen.

Die wichtigsten Schwerpunkte dieser Gesetzgebung sind die Verringerung der Treibhausgasemissionen und der Einsatz von Technologien mit negativen Emissionen, die Anpassung an und der Schutz vor den Auswirkungen des Klimawandels sowie die Lenkung der Finanzströme in Richtung emissionsarme und klimaschonende Technologien.

Rückzug des Rhonegletschers in der Schweiz von 1850 bis 2010 (VAW-ETHZ, 2010)

Das Klimagesetz

Mit dem Ziel, die Schweiz bis 2050 zu einem klimaneutralen Land zu machen, verpflichtet das Gesetz den Bund, dafür zu sorgen, dass die Treibhausgasemissionen bis 2040 um mindestens 75 Prozent gegenüber 1990 gesenkt werden. Der Bund und die Kantone sind zudem verpflichtet, alle notwendigen Schritte zu unternehmen und mit gutem Beispiel voranzugehen, um bis 2040 eine Netto-Null-Emission zu erreichen. Für verschiedene Sektoren wie den Gebäude-, den Verkehrs- und den Industriesektor wurden in dieser Gesetzgebung ebenfalls Benchmarks für die Reduktion der Treibhausgasemissionen festgelegt. Der Gebäudesektor, der Verkehrssektor und der Industriesektor müssen bis zum Jahr 2040 eine Mindestreduktion der Treibhausgasemissionen um 82 Prozent, 57 Prozent bzw. 50 Prozent sicherstellen, während der Gebäude- und der Verkehrssektor verpflichtet sind, die Treibhausgasemissionen bis 2050 um 100 Prozent zu senken, und der Industriesektor die Treibhausgasemissionen bis 2050 um 90 Prozent reduzieren muss.

Auch der Schweizer Finanzsektor wird durch dieses Gesetz verpflichtet, einen wirksamen Beitrag zu einer emissionsarmen und klimaresistenten Entwicklung zu leisten, indem er Maßnahmen zur Verringerung der Klimaauswirkungen nationaler und internationaler Finanzströme ergreift und sich stärker auf eine klimafreundliche Ausrichtung der Finanzströme konzentriert.

Die Erwähnung der Förderung neuer Technologien und Verfahren in der Gesetzgebung kommt zur rechten Zeit. Dies wird den Unternehmen helfen, die Bedeutung der Entscheidung für verschiedene Technologien und/oder technologische Dienstleistungen zu verstehen, um bis 2050 Netto-Null-Emissionen zu erreichen.

Mit einem tiefen Verständnis für die Bedeutung und Schwere des neuen Klima- und Innovationsgesetzes bieten wir unsere Software mit einer Reihe von ESG-Funktionen an. Wir sind fest davon überzeugt, dass diese Funktionen Unternehmen dabei helfen werden, die Ziele dieses bahnbrechenden Gesetzes erfolgreich zu erreichen.