Die FINMA-Aufsichtsmitteilung 05/2026 gibt Schweizer Instituten fünf PQC-Empfehlungen und genau ein Datum: eine Roadmap bis Mitte 2027. Die FAQ der ANSSI liefert die datierten europäischen Anker (2027 für die Produkt-Qualifizierung, 2030 für die Beschaffung), an denen sich ein Migrationsplan auf Plausibilität prüfen lässt.
Die FINMA-Aufsichtsmitteilung 05/2026 gibt Schweizer Instituten fünf PQC-Empfehlungen und genau ein Datum: eine Roadmap bis Mitte 2027. Die FAQ der ANSSI liefert die datierten europäischen Anker (2027 für die Produkt-Qualifizierung, 2030 für die Beschaffung), an denen sich ein Migrationsplan auf Plausibilität prüfen lässt.
Zwischen November 2025 und Januar 2026 befragte die FINMA 60 bewilligte Banken, Versicherungsunternehmen, Verwalter von Kollektivvermögen und Finanzmarktinfrastrukturen zu Quantum Computing. 72 % gaben an, noch keine Massnahmen zu quantensicherer Verschlüsselung geplant oder getroffen zu haben. Nur 8 % verfügen über eine konkrete Roadmap. Am 9. Juli 2026 antwortete die FINMA mit der Aufsichtsmitteilung 05/2026 «Quantum Computing»: eine neunseitige Aufsichtsmitteilung, deren einziges konkretes Datum – in Abschnitt 3.1 des PDFs – auf der News-Seite, die sie ankündigte, nirgends auftaucht.
Abschnitt 3 der Mitteilung trägt die Substanz: fünf Empfehlungs-Unterabschnitte, adressiert an die Beaufsichtigten. Die FINMA rahmt sie in aller Deutlichkeit als Empfehlungen:
«Die folgenden Empfehlungen stützen sich auf die Aufsichtstätigkeit der FINMA. Die FINMA bringt sie den betroffenen Beaufsichtigten zur Kenntnis und empfiehlt deren Berücksichtigung im internen Risikomanagement.»
Die News-Seite verdichtet das zu einer Liste mit sechs Punkten (Strategie und Roadmap, Risikoanalyse, kryptografisches Inventar, Schutz vor «harvest now, decrypt later», externe Dienstleister, Kryptoagilität). Das PDF organisiert denselben Inhalt in fünf Unterabschnitten: Risikoanalyse und Inventar sind in 3.2 zusammengeführt, und «harvest now, decrypt later» steckt in 3.3 Kritische Daten. Wo die beiden Texte auseinandergehen, zitiere ich das PDF.
Die fünf, in Kürze:
Wie verbindlich ist das alles? Die Einschätzung des PDFs selbst: «Aus ihrer Aufsichtstätigkeit leitet die FINMA ab, dass eine Weiterentwicklung des Risikomanagements für viele Institute sinnvoll wäre, um die laufende Erfüllung der Vorgaben zu operationellen Risiken und Resilienz abzusichern.» (Die News-Seite formuliert denselben Punkt härter: «Um die Vorgaben zu operationellen Risiken und Resilienz weiterhin zu erfüllen, sieht die FINMA Handlungsbedarf im Risikomanagement zahlreicher Institute.») Der stärkste Satz in der Mitteilung selbst – die FINMA «erwartet», dass «sich die Beaufsichtigten mit diesen Risiken rechtzeitig auseinandersetzen und ihre Governance und ihr Risikomanagement entsprechend ausrichten» – trägt kein Datum.
Ein einziges Datum steht im Dokument, und zwar in Abschnitt 3.1:
«Die FINMA legt die Erarbeitung einer PQC-Roadmap bis spätestens Mitte 2027 nahe.»
Zwei Dinge daran sind leicht misszuverstehen. Erstens: Es ist eine Empfehlung, eingebettet in die oben zitierte Rahmung des internen Risikomanagements. Zweitens: Datiert wird ein Dokument – was bis Mitte 2027 existieren soll, ist die Roadmap. Zieldaten für die Migration selbst bleiben jedem Institut überlassen, und auf allen neun Seiten erscheint keinerlei Compliance-Frist.
Die News-Seite lässt das Datum Mitte 2027 vollständig weg. Wer nur die Medienmitteilung liest, verpasst die einzige datierte Erwartung, die die FINMA zu Papier gebracht hat.
Zum weiteren Vorgehen sagt die Mitteilung, die FINMA werde «die Entwicklungen im Bereich QC aktiv weiterverfolgen» und das Thema «verstärkt» in ihre laufende Aufsichtstätigkeit aufnehmen. Ob ein datierter Nachfolgetext kommt, weiss ich nicht, und die Mitteilung sagt es nicht.
Die nächstgelegene europäische Behörde mit mehr Daten auf Papier ist Frankreichs ANSSI mit ihrer FAQ zur PQC. Der Satz, der am weitesten gereist ist:
« L'ANSSI vise la mise en place d'obligations PQC pour l'entrée en qualification de produits à partir de 2027. »(«Die ANSSI strebt an, ab 2027 PQC-Pflichten für den Eintritt von Produkten in die Qualifizierung einzuführen.»)
Wer das Datum übernehmen will, sollte zuerst den Geltungsbereich lesen. Der Satz steht in dem FAQ-Zweig, der mit « Pour les développeurs de produits de sécurité » beginnt – für Entwickler von Sicherheitsprodukten. « Vise » ist ein Ziel, und « entrée en qualification » meint den Eintritt in das Qualifizierungsverfahren der ANSSI, Teil des Systems Visa de sécurité. Die Pflicht würde, sobald sie in Kraft ist, Anbieter binden, die Sicherheitsprodukte in die französische Qualifizierung bringen. Für ein Schweizer Finanzinstitut legt sie nichts fest.
Die ANSSI benennt die Grenzen ihres eigenen Instruments ausdrücklich. Die FAQ listet den heute regulierten Perimeter auf: verteidigungsklassifizierte Daten und Diffusion Restreinte, vitale Informationssysteme (SAIV) sowie Produkt-Zertifizierungen/-Qualifizierungen (Visas de sécurité). Dann hält sie fest: « Les préconisations de l'ANSSI sur la PQC (y compris sur l'hybridation) n'ont pas à ce jour de caractère d'obligation réglementaire. » («Die Empfehlungen der ANSSI zur PQC, einschliesslich zur Hybridisierung, haben bis heute keinen Charakter einer regulatorischen Verpflichtung.»)
Die englischsprachige Presse hat das verdichtet. Bruce Schneiers Beitrag vom 6. Juli lief unter der Überschrift «France to Stop Certifying Non-Quantum-Safe Encryption» und zitierte einen Reuters-Bericht, wonach die ANSSI ab 2027 keine Sicherheitsprodukte mehr zertifizieren werde, denen quantenresistente Verschlüsselung fehlt. Aus einem erklärten Ziel («vise») wurde ein beschlossener Stopp, und aus der Qualifizierung – einem spezifischen ANSSI-Verfahren, das von der Zertifizierung zu unterscheiden ist – wurde pauschal «certifying». Qualifizierung und Zertifizierung sind verschiedene Verfahren, und der 2027-Satz der FAQ nennt die Qualifizierung.
Es bleibt eine Koinzidenz, die auffallen darf: FINMAs Roadmap-Empfehlung und ANSSIs Qualifizierungsziel landen beide im Jahr 2027. Es sind verschiedene Instrumente: eine aufsichtsrechtliche Empfehlung, einen Plan zu haben, und eine Regel für den Qualifizierungseintritt von Produktanbietern. Keines von beiden ist eine Migrationsfrist.
Drei FAQ-Positionen reisen gut über die Grenze, weil sie aus Beschaffungszyklen und Datenlebensdauern argumentieren statt aus dem französischen Regulierungsperimeter.
Die Beschaffungslinie 2030.
« L'ANSSI indique qu'il ne sera pas raisonnable d'acheter des produits qui n'intègrent pas de la PQC après 2030. »(«Die ANSSI erklärt, dass es nach 2030 nicht mehr vernünftig sein wird, Produkte zu kaufen, die keine PQC integrieren.»)
Die FAQ platziert diesen Satz direkt nach der Feststellung, dass für Organisationen ausserhalb des regulierten Perimeters gilt: « il n'existe pas d'obligation réglementaire ». Es ist ein Rat, der sich genau an Leserinnen und Leser ohne französische Verpflichtung richtet – und genau das macht ihn entlehnbar. Die Good-Practice-Liste wiederholt ihn trocken: « Ne plus acheter des produits n'intégrant pas de PQC à partir de 2030 » («ab 2030 keine Produkte mehr kaufen, die keine PQC integrieren»).
Mit dem Inventar jetzt beginnen.
« L'ANSSI conseille aux organisations publiques et privées de démarrer dès à présent un premier travail d'inventaire, afin d'obtenir une bonne visibilité de ses usages de la cryptographie. »(«Die ANSSI rät öffentlichen und privaten Organisationen, ab sofort eine erste Inventarisierung zu starten, um gute Sichtbarkeit über die eigene Verwendung von Kryptografie zu gewinnen.»)
Die FAQ ergänzt ein konkretes Inventarkriterium: zu erfassen sind « les données dont la confidentialité et/ou l'authenticité doivent être garanties après 2030 » – die Daten, deren Vertraulichkeit und/oder Authentizität nach 2030 noch gewährleistet sein müssen. Das ist die operationalisierte Version von FINMAs Sorge um «harvest now, decrypt later»: ein Datum, an dem sich jeder Datenbestand testen lässt, statt eines vagen «langfristig».
Als rein illustrativer Einstieg ist ein Text-Sweep über die eigenen Repositories die billigste erste Sichtbarkeit, die zu haben ist:
# Warum diese Suchbegriffe: Die FINMA-Aufsichtsmitteilung nennt die# quantum-anfälligen Familien («Bspw. RSA, ECDSA, EdDSA, DH, EC-DH»).grep -rEn 'RSA|ECDSA|EdDSA|ECDH|EC-DH' src/ config/
Ein solcher Sweep kratzt nur an Code und Konfiguration; das Inventar, das die FINMA beschreibt, umfasst auch TLS-Endpunkte, VPNs, gespeicherte Daten, Schlüsselmanagement und Authentifizierung, intern wie ausgelagert.
Hybridisierung.
« L'ANSSI insiste sur la nécessité de l'hybridation partout où une protection contre la menace quantique est nécessaire, à la fois à court et à moyen terme. »(«Die ANSSI besteht auf der Notwendigkeit der Hybridisierung überall dort, wo Schutz gegen die Quantenbedrohung erforderlich ist, kurz- wie mittelfristig.»)
Innerhalb des französischen regulierten Perimeters geht die ANSSI weiter: « l'hybridation est obligatoire » – dort ist Hybridisierung obligatorisch. Die FINMA ist im selben Punkt merklich weicher: Sie berichtet, dass verschiedene Organisationen «in der kurzen bis mittleren Frist eine hybride Lösung gegenüber reinen PQC-Algorithmen» empfehlen, und überlässt die Entscheidung der internen Risikoanalyse des Instituts. Die Lücke zwischen «obligatoire» und «verschiedene Organisationen empfehlen» ist real; ein Plan sollte die FINMA nicht als Quelle dafür zitieren, dass hybride Verfahren vorgeschrieben seien – sie schreibt sie nicht vor.
Hier ist die Zuordnung, die ich verwenden würde: jede FINMA-Empfehlung neben dem datierten ANSSI-Anker, an dem sich ein Plan testen lässt.
| FINMA-Aufsichtsmitteilung 05/2026 | ANSSI-Anker (FAQ PQC) | Was die Paarung prüft |
|---|---|---|
| 3.1 Strategie und Roadmap | Keiner nötig; die FINMA liefert ihr eigenes Datum: Roadmap «bis spätestens Mitte 2027» | Existiert eine vom Oberleitungsorgan verabschiedete Strategie, und liegt die Roadmap vor Mitte 2027 auf Papier, mit institutseigenen Migrations-Zieldaten? |
| 3.2 Risikoanalyse und Inventar | « démarrer dès à présent » – das Inventar jetzt starten | Ist das Inventar gestartet, wird es laufend aktualisiert, und erfasst es Algorithmen plus Schutzdauern der Daten? |
| 3.3 Kritische Daten («harvest now, decrypt later») | Daten, deren Vertraulichkeit/Authentizität « après 2030 » gewährleistet sein muss | Ist jeder Datenbestand damit markiert, wie lange er geschützt bleiben muss, und ist alles, was über 2030 hinausreicht, für PQC priorisiert? |
| 3.4 Kryptoagilität | Hybridisierungsposition (obligatorisch nur im französischen regulierten Perimeter) plus Rat zum Erneuerungszyklus | Verlangen Beschaffungs- und Entwicklungsvorgaben austauschbare Algorithmen, und ist der Hybrid-Entscheid in der Risikoanalyse dokumentiert? |
| 3.5 Externe Dienstleister | « Ne plus acheter des produits n'intégrant pas de PQC à partir de 2030 » | Verlangen neue Outsourcing-Verträge schon jetzt Kryptoagilität, und behandelt die Beschaffung Produkte ohne PQC nach 2030 als unvernünftig? |
Die Erneuerungszyklus-Paarung in Zeile 4 ist enger, als sie aussieht: Die ANSSI sagt, PQC « doivent être pris en compte dans le cycle de renouvellement des systèmes d'information » (muss im Erneuerungszyklus der Informationssysteme berücksichtigt werden), und FINMAs Abschnitt 3.5 hält unabhängig davon fest, es sei «meist sinnvoll, diese in reguläre Release-Zyklen zu integrieren».
Und hier bricht das Mapping, ehrlicherweise. Eine in das interne Risikomanagement eingebettete aufsichtsrechtliche Empfehlung und ein Produkt-Qualifizierungsregime sind verschiedene Instrumente; die Zeilen dieser Tabelle paaren Argumentationen, niemals Verpflichtungen. Die Hybridisierungspositionen unterscheiden sich in ihrer Stärke, wie oben behandelt. Und zur wichtigsten Zahl von allen – dem Datum, zu dem die eigenen Systeme tatsächlich migriert sind – schweigen beide Quellen mit Absicht: Die FINMA überlässt es jedem Institut, eigene Zieldaten festzulegen, und ANSSIs datierte Positionen sind, in ihren eigenen Worten, bis heute ohne regulatorische Verpflichtung. Die Tabelle prüft die Annahmen eines Plans; die Frist liefern kann sie nicht.
FINMAs Aufsichtsmitteilung gibt Schweizer Instituten das Was und genau ein datiertes Wann: eine Roadmap auf Papier bis Mitte 2027. ANSSIs FAQ liefert die einzigen anderen datierten europäischen Anker, an denen sich diese Roadmap testen lässt – vorausgesetzt, das Qualifizierungsziel 2027 und eine Compliance-Frist verschwimmen nie ineinander.
devguard hilft Teams, Risikoanalysen und Kontrollinventare (einschliesslich eines kryptografischen Inventars) aktuell zu halten, während sich Systeme ändern: devguard.ch.
Start free, bring your frameworks, and keep the evidence attached as the work ships — no setup friction, no audit-week fire drill.
Start free, bring your frameworks, and keep the evidence attached as the work ships — no setup friction, no audit-week fire drill.