FINMA-RS 2023/1 · Übergangsfristen seit 1. Januar 2026 abgelaufen
Unterbrechungstoleranz heisst: Sie legen fest, wie lange es ohne geht.
Das Rundschreiben verlangt, kritische Funktionen zu bestimmen, ihre Toleranz gegenüber Unterbrechungen zu definieren und die dafür nötigen Ressourcen zu kennen – Dienstleister eingeschlossen.
Das totalrevidierte Rundschreiben zu operationellen Risiken und Resilienz gilt seit dem 1. Januar 2024. Die Übergangsfristen sind ausgelaufen: Inventaranforderungen seit Anfang 2025, die operationelle Resilienz seit Anfang 2026. Adressiert sind Banken und sinngemäss Wertpapierhäuser; für Versicherer und Vermögensverwalter bestehen parallele Vorgaben.
Fünf Bausteine greifen ineinander: das Management operationeller Risiken, IKT- und Cyber-Risiken, Risiken aus Auslagerungen, Risiken kritischer Daten und die operationelle Resilienz mit Unterbrechungstoleranzen. Der Lieferantenbezug steckt nicht nur im Auslagerungsteil – eine kritische Funktion ohne die Ressourcen ihrer Dienstleister ist nicht beschrieben.
Wer betroffen ist
- Banken und Wertpapierhäuser unter Schweizer Aufsicht.
- Versicherer und Vermögensverwalter über die jeweils parallelen Rundschreiben.
- IT-, Rechenzentrums- und Verarbeitungsdienstleister dieser Institute – über Vertrag und Prüfrechte.
- Konzerninterne Dienstleister, deren Ausfall eine kritische Funktion trifft.
Was verlangt wird
- Kritische Funktionen
- Bestimmen, welche Funktionen kritisch sind, und die zugehörigen Prozesse und Ressourcen benennen.
- Unterbrechungstoleranz
- Für jede kritische Funktion festlegen, wie lange ein Unterbruch tragbar ist.
- Inventar
- Operationelle Risiken einheitlich kategorisieren und inventarisieren.
- Auslagerungen
- Risiken aus Auslagerungen risikoorientiert und periodisch überwachen.
- Kritische Daten
- Bestände identifizieren und schützen, auch wenn sie bei Dienstleistern liegen.
- Verantwortung
- Oberleitungsorgan genehmigt die Risikotoleranz, die Geschäftsleitung setzt um.
Wie SCRM das abbildet
Dienstleister an der Funktion
Welcher Anbieter stützt welche kritische Funktion – die Verbindung, ohne die keine Toleranz begründbar ist.
Wiederkehrende Überwachung
Periodische Beurteilungen mit Ergebnis und Datum statt anlassbezogener Prüfung.
Datenstandorte und Prüfrechte
Als geprüfte Felder mit Ablauf, nicht als Vertragsanhang im Laufwerk.
Bericht für die Aufsichtsprüfung
Ein Auszug, der zeigt, was wann beurteilt wurde – die Prüfgesellschaft fragt genau danach.
Häufige Fragen
Wie verhält sich das zum Auslagerungsrundschreiben?
Sie ergänzen einander. Das Auslagerungsrundschreiben regelt, wie eine Auslagerung eingegangen und gesteuert wird; das Resilienzrundschreiben fragt, ob die gestützte Funktion einen Unterbruch aushält.
Wir sind Dienstleister eines Instituts. Was kommt auf uns zu?
Angaben zu Verfügbarkeit, Wiederanlaufzeiten, Unterauftragnehmern und Datenstandorten – und Prüfrechte für Institut, Prüfgesellschaft und Aufsicht.
Was ist der Unterschied zu DORA?
Inhaltlich verwandt, rechtlich getrennt. Wer beide Räume bedient, führt am besten ein Verzeichnis, dessen Felder beide Regime abdecken.
Stand: Juli 2026. Massgeblich sind die jeweils geltenden Rundschreiben der FINMA. Keine Rechtsberatung.