Die Schweiz hat kein einziges PQC-Gesetz. NCSC-Technologiebriefs fordern Handeln jetzt; FINMA-Aufsichtsmitteilung 05/2026 erwartet eine vorstandsseitige Roadmap bis Mitte 2027, mit Inventar, Crypto-Agility und Harvest-now-decrypt-later-Priorisierung.
Die Schweiz hat kein Post-Quanten-Kryptografie-Gesetz verabschiedet und keinen nationalen Kalender 2028/2031/2035 im Stil des britischen NCSC oder der deutschen BSI TR-02102 veröffentlicht. Diese Abwesenheit ist kein Freifahrtschein. Das Nationale Zentrum für Cybersicherheit (NCSC) hat Organisationen mitgeteilt, dass Handeln bei PQC erforderlich ist, und für von der FINMA beaufsichtigte Finanzinstitute ist die Erwartung jetzt konkret: eine vom Vorstand genehmigte Migrations-Roadmap bis Mitte 2027, aufgebaut auf einem kryptografischen Inventar, einer Risikoanalyse langlebiger Daten und Crypto-Agility im Outsourcing.
Dieser Leitfaden deckt ab, was NCSC und FINMA tatsächlich gesagt haben, wer im Anwendungsbereich sitzt, welche Daten zählen und die ersten Schritte, die Leitlinien in ein Programm verwandeln: Inventar, HSM/KMS-Bereitschaft und hybrider PQC-Einsatz. Für den FINMA-Landepfad speziell siehe auch unseren FINMA-05/2026-Use-Case.
Im November 2024 veröffentlichte das NCSC eine Einschätzung, wonach Handeln bei Post-Quanten-Kryptografie erforderlich ist. Im Dezember 2025 folgte ein Technologiebrief zu Quantencomputern und PQC. Die praktische Botschaft des Briefs ist über beide Dokumente hinweg konsistent:
Das NCSC verweist auf die NIST-standardisierten Algorithmen (ML-KEM / FIPS 203, ML-DSA / FIPS 204, SLH-DSA / FIPS 205) als technisches Ziel, das die bundesweite Schweizer Beobachtungsarbeit bereits verfolgt. Es erfindet keine parallele Schweizer Algorithmussuite.
Am 9. Juli 2026 veröffentlichte die FINMA die Aufsichtsmitteilung 05/2026 zum Quantencomputing. Die Mitteilung berichtet über eine Umfrage bei 60 beaufsichtigten Instituten (November 2025 bis Januar 2026) und setzt dann aufsichtliche Erwartungen.
Umfrageergebnisse, die die FINMA veröffentlicht hat:
Die von der FINMA empfohlenen Maßnahmen sind konkret genug, um dagegen zu planen:
Die FINMA rahmt dies in bestehende operationelle Risiko- und Resilienzanforderungen. Sie erfindet keine neue Lizenzbedingung aus dem Nichts; sie sagt Instituten, dass diese bestehenden Pflichten bereits zukunftsgerichtetes Kryptografie-Risikomanagement verlangen.
Separat passt das Bundesamt für Informatik und Telekommunikation (BIT / FOITT) Parameter der Swiss Government PKI an und signalisiert die Vorbereitung auf Post-Quanten-Kryptografie bei staatlichen Zertifikatsklassen. Wenn Sie in die Swiss Government PKI ausstellen oder sich darauf stützen, behandeln Sie die Migrationsarbeit des BIT als Abhängigkeit Ihrer eigenen Zertifikats- und Signatur-Roadmap, auch wenn die FINMA Sie nicht beaufsichtigt.
| Regime | Wen es bindet | Was es bei PQC verlangt |
|---|---|---|
| FINMA-Aufsichtsmitteilung 05/2026 | Von der FINMA beaufsichtigte Finanzinstitute (Banken, Versicherer und andere beaufsichtigte Einrichtungen in der Umfragepopulation und im weiteren Beaufsichtigungskreis) | Vorstandsseitige Strategie, Inventar, Risikoanalyse, Roadmap Mitte 2027, Crypto-Agility im Outsourcing |
| NCSC-Technologiebriefs | Breites Publikum: Unternehmen und Betreiber mit schutzbedürftigen Informationen | Inventar und Migrationsplanung starten; langlebige vertrauliche Daten priorisieren; Anbieter zu PQC-Plänen drängen |
| Revidiertes DSG (nDSG) | Verantwortliche und Auftragsverarbeiter personenbezogener Daten nach schweizerischem Datenschutzrecht | Angemessene technische und organisatorische Maßnahmen; Verschlüsselung bleibt eine risikoproportionale Kontrolle, kein benanntes PQC-Mandat |
| Bundesverwaltung / BIT-PKI | Bundessysteme und Parteien, die Swiss Government PKI nutzen | FOITT/BIT-Zertifikats- und Algorithmusmigration für staatliche Vertrauensdienste folgen |
| Kritische Infrastrukturen / NCS-Monitoring | Betreiber unter der Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken | NCSC- und Cyber-Defence-Campus-Monitoring; kein separates veröffentlichtes nationales PQC-Abschlussgesetz zum Zeitpunkt dieser Fassung |
Die meisten Schweizer Banken und Versicherer sitzen zugleich in der FINMA- und der DSG-Zeile. Technologieanbieter dieser Institute erben Crypto-Agility-Erwartungen über Outsourcing-Klauseln, auch wenn die FINMA den Anbieter nicht direkt beaufsichtigt.
| Bis | Meilenstein | Quelle |
|---|---|---|
| Jetzt | Kryptografisches Inventar, Harvest-now-decrypt-later-Priorisierung, Anbieterengagement | NCSC-Briefs (2024/2025) |
| Mitte 2027 | Vom Vorstand genehmigte PQC-Roadmap mit Meilensteinen und Prioritäten | FINMA-Aufsichtsmitteilung 05/2026 |
| Institutsdefiniert | Zieldaten für kritische Prozessmigration und Vollmigration | FINMA erwartet, dass Sie diese in der Roadmap setzen; sie veröffentlicht keinen einzigen nationalen Cutover 2030/2035 für alle Schweizer Systeme |
| An NIST / Peers angeglichen | Hybrides dann PQC-only Deployment gemäß FIPS 203/204/205 | Technische Richtung NCSC; keine nur-schweizerische Algorithmusliste |
Die Schweiz ist strenger als viele Rechtsordnungen beim kurzfristigen Governance-Artefakt (Roadmap bis Mitte 2027) und lockerer bei einem einzigen nationalen technischen Sunset-Datum. Lesen Sie das fehlende 2031-Schlüsselvereinbarungs-Sunset nicht als Erlaubnis, Discovery zu verzögern. Die FINMA-Umfrage behandelte fehlende Roadmaps bereits als operationelle Risikolücke.
Zum Vergleich: Das deutsche BSI nennt technische Daten 2030/2031/2035; der britische NCSC nennt Programmmeilensteine 2028/2031/2035; der US-Bundespfad nennt HVA-Schlüssel-Establishment bis 2030. Eine Schweizer FINMA-Roadmap, die diese Peer-Kalender für grenzüberschreitende Systeme ignoriert, altert schlecht.
Die FINMA ist explizit: Die Risikoanalyse von Geschäftsprozessen soll ein umfassendes Inventar der genutzten kryptografischen Methoden erzeugen und aktuell halten. Decken Sie mindestens ab:
Markieren Sie, welche Algorithmen quantenanfällig sind und welche Datensätze mehrjährige Vertraulichkeit brauchen. Diese Markierung macht aus dem Inventar einen priorisierten Migrationsplan statt einer Tabelle. Ein CBOM ist das dauerhafte Format; siehe unseren CBOM-Leitfaden.
Die FINMA listet Schlüsselmanagement im Inventarumfang aus gutem Grund. Eine Roadmap, die TLS-Cipher-Suites ändert, aber neue Schlüsseltypen in Ihren HSMs nicht neu ausstellen oder schützen kann, stockt am ersten kritischen Prozess.
Weder NCSC noch FINMA verlangen eine schweizspezifische Hybridkonstruktion. Beide verweisen auf dieselben NIST-Standards, die die übrige regulierte Welt übernimmt. Hybrid klassisch-plus-ML-KEM auf Transitpfaden mit hoher Exposition ist das praktische erste Deployment-Muster:
Nutzen Sie dieselben Implementierungspfade wie in unseren F5- und FortiGate-Leitfäden. Dokumentieren Sie den hybriden Schritt als Übergang, mit einem Pfad zum Ablegen der klassischen Hälfte, sobald Ihr Risikokomitee PQC-only für diesen Kanal akzeptiert. Die FINMA-Umfrage selbst behandelte Crypto-Agility bereits als zentralen Erfolgsfaktor; ein hybrides Deployment, das Sie weder rückgängig machen noch vorantreiben können, ist unvollständig.
Die FINMA-Roadmap Mitte 2027 beginnt mit einem Inventar, das Sie pflegen können, nicht mit einer einmaligen Workshop-Folie. DuoKeys CBOM-Erzeugung und Quantum Risk Score erzeugen die kontinuierlich aktualisierte kryptografische Haltung, die die FINMA beschreibt, einschließlich outgesourcter und Multi-Cloud-Bestände. Details stehen im CBOM-Leitfaden und im FINMA-05/2026-Use-Case.
Hybrides Deployment auf Edge-TLS und IPsec mappt auf dieselben MCP-gestützten F5- und FortiGate-Workflows wie in anderen Rechtsordnungen. Schlüsselkontrolle, die beim Institut bleiben muss, ein wiederkehrendes Schweizer Geheimhaltungs- und Outsourcing-Thema, mappt auf DuoKeys kundengehaltenes Schlüssel- und MPC-Vault-Modell statt Migration allein in der Shared-Responsibility-Matrix eines Cloud-Anbieters zu belassen.
Q: Ist die FINMA-Aufsichtsmitteilung 05/2026 verbindliches Recht?
Es ist eine Aufsichtskommunikation, kein Bundesgesetz. Die FINMA hat sie als Artikulation dessen veröffentlicht, was bestehende Erwartungen an operationelles Risiko und Resilienz für quantenbezogene Cyberrisiken bereits verlangen. Beaufsichtigte Institute, die Mitte 2027 ohne Roadmap ankommen, sollten erwarten, dass diese Lücke im Aufsichtsdialog auftaucht.
Q: Schreibt die Schweiz spezifische PQC-Algorithmen vor?
Nicht in einer schweizerisch benannten Suite. NCSC-Material verweist auf NIST FIPS 203/204/205. Planen Sie gegen diese Standards, sofern und bis ein schweizerischer Bundesstandard etwas anderes sagt.
Q: Wir sind keine Bank. Gilt davon etwas?
NCSC-Leitlinien gelten weiterhin als nationale Cyber-Empfehlung. Das DSG verlangt weiterhin angemessene Sicherheit für Personendaten. Wenn Sie kritischer Technologieanbieter von FINMA-beaufsichtigten Instituten sind, erwarten Sie Crypto-Agility und Migrationsnachweise in Verträgen, auch ohne direkte FINMA-Aufsicht.
Q: Wie vergleicht sich das mit UK- oder deutschen Zeitplänen?
Die Schweiz ist früher beim Governance-Artefakt (Roadmap bis Mitte 2027) und weniger präskriptiv bei einem einzigen nationalen technischen Sunset. Nutzen Sie Peer-Zeitpläne (UK, Deutschland, US), um technische Meilensteine in Ihrer FINMA-Roadmap zu setzen, damit grenzüberschreitende Systeme nicht zweimal geplant werden.
Schweizer PQC-Regulierung ist leitliniengeführt, nicht gesetzesgeführt, und das reicht, um für Finanzinstitute eine echte Frist zu schaffen: eine vorstandsseitige Roadmap bis Mitte 2027, getragen von einem lebenden kryptografischen Inventar, Harvest-now-decrypt-later-Risikoanalyse und crypto-agilem Outsourcing. Das NCSC hat der breiteren Wirtschaft bereits gesagt, dieselbe Inventararbeit zu starten. Bauen Sie das Inventar, weisen Sie nach, dass Ihre Schlüsselspeicher Algorithmen wechseln können, und deployen Sie hybrides PQC auf den Transitpfaden, die bereits langlebige vertrauliche Daten tragen.
Geschrieben von
Nagib Aouini
Verwandte Ressourcen
Sagen Sie uns, wo Kontrolle heute schwierig ist. Wir helfen Ihnen, den nächsten praktischen Schritt zu finden.
