FINMA-Richtlinien zur operationellen Resilienz und Risiko-Management

Am 7. Dezember 2022 hat die Eidgenössische Finanzmarktaufsicht (FINMA) das vollständig überarbeitete Rundschreiben 2023/01 „Operationelle Risiken und Resilienz“ veröffentlicht. Diese neuen Regelungen traten am 1. Januar 2024 in Kraft und brachten umfassende Änderungen und Anpassungen an die bisherigen Standards. Im Folgenden werden die wichtigsten Punkte der neuen Vorgaben erläutert.

Hintergrund und Ziele der Überarbeitung

Die Überarbeitung des Rundschreibens ist eine Reaktion auf die zunehmende Komplexität von IT-Systemen, den technologischen Fortschritt und die Zunahme von Cyberangriffen. Ziel ist es, die Widerstandsfähigkeit gegen operationelle Risiken zu stärken und sicherzustellen, dass kritische Funktionen auch in Krisensituationen aufrechterhalten werden können.

Wichtige Punkte der neuen FINMA-Vorgaben

Cyber-Risiko-Management:

Integration von IKT- und Cyberrisiken: Cyberrisiken müssen im Zusammenhang mit Informations- und Kommunikationstechnologierisiken (IKT-Risiken) betrachtet werden.
Meldepflicht: Unternehmen sind verpflichtet, Cyberangriffe gemäss FINMA-Richtlinie 05/2020 zu melden.

Management kritischer Daten:

Datenstrategie: Eine umfassende Datenstrategie ist zu entwickeln und umzusetzen, um die Vertraulichkeit, Integrität und Verfügbarkeit kritischer Daten sicherzustellen.
Erhöhte Sicherheitsmassnahmen: Unternehmen müssen erhöhte Sicherheitsvorkehrungen für den Umgang mit kritischen Daten treffen und diese regelmässig überprüfen und aktualisieren.

Business Continuity Management (BCM):

Identifikation kritischer Prozesse: Unternehmen müssen ihre kritischen Prozesse und die dafür erforderlichen Ressourcen identifizieren.
Notfall- und Wiederherstellungspläne: Erstellung und regelmässige Aktualisierung eines Business Continuity Plans (BCP) und eines Disaster Recovery Plans (DRP).
Regelmässige Tests: Durchführung regelmässiger Tests, wie Planspiele, um die Wirksamkeit der Notfallpläne zu überprüfen.

Operationelle Resilienz:

Definition von Störungstoleranzen: Für jede kritische Funktion müssen Toleranzen für Störungen definiert und vom Verwaltungsrat genehmigt werden.
Massnahmen zur Sicherstellung der Resilienz: Massnahmen zur Sicherstellung der Resilienz müssen ergriffen werden, einschliesslich regelmässiger Tests und Anpassungen an „schwerwiegende, aber plausible“ Szenarien.
Inventar kritischer Funktionen: Ein Inventar kritischer Funktionen ist zu pflegen und zu aktualisieren.

Anforderungen an systemrelevante Banken:

Fortführung kritischer Dienste: Es gibt spezifische Anforderungen zur Fortführung kritischer Dienste während der Abwicklung und Sanierung systemrelevanter Banken.

Fazit:

Die neuen FINMA-Richtlinien stellen sicher, dass die Schweiz besser gegen operationelle Risiken und Cybergefahren gewappnet ist. Durch die Integration moderner Risikomanagementpraktiken und die Betonung der operationellen Resilienz können kritische Funktionen auch in Krisenzeiten aufrechterhalten und somit ihre Stabilität gesichert werden.

Sollten sie noch Hilfe bei der Umsetzung benötigen, sind wir jederzeit für sie da. Melden sie sich über unsere Webseite für einen Termin und unsere Fachexperten werden sie bei der Umsetzung gerne unterstützen.