FINMA 2023/01 und DORA, von der Aufsichtspflicht zum prüffähigen Nachweis
Mit dem FINMA-Rundschreiben 2023/01 ist operationelle Resilienz für beaufsichtigte Institute eine Aufsichtspflicht. Parallel wirkt DORA aus der EU, für Schweizer Institute meist indirekt über EU-Niederlassungen oder Verträge mit EU-regulierten Gegenparteien. Wir klären, was direkt und was indirekt gilt, schliessen die Lücken und führen den Nachweis so, dass er einer Prüfung standhält.
Recht + Security + KI aus einer HandDE · FR · ENunabhängig, kein eigenes SOC-Geschäft
Operationelle Resilienz ist eine Aufsichtspflicht geworden
Das FINMA-Rundschreiben 2023/01 zu operationellen Risiken und Resilienz gilt für beaufsichtigte Institute, DORA wirkt zusätzlich aus der EU. Was tatsächlich gilt und in welcher Tiefe, prüfen wir je Institut im Einzelfall.
Das FINMA-Rundschreiben 2023/01 zu operationellen Risiken und Resilienz bei Banken erfasst FINMA-beaufsichtigte Institute, in der Praxis Banken, Versicherer, Wertpapierhäuser und beaufsichtigte FinTechs. Es ist in Kraft. Im Kern erwartet die Aufsicht, dass Sie Ihre kritischen Funktionen kennen, eine vertretbare Toleranz für deren Unterbrechung festlegen und nachweisen, dass Sie diese Funktionen auch unter Belastung innerhalb der Toleranz aufrechterhalten oder wiederherstellen können. Operationelle Resilienz ist damit kein IT-Thema am Rand, sondern eine Pflicht auf Stufe Geschäftsleitung und Verwaltungsrat.
Aus der EU kommt DORA hinzu, die Verordnung über die digitale operationale Resilienz im Finanzsektor. Sie gilt in der EU seit dem 17. Januar 2025 und ruht auf fünf Säulen: ICT-Risikomanagement, Behandlung und Meldung ICT-bezogener Vorfälle, Testen der digitalen operationalen Resilienz bis hin zu bedrohungsgeleiteten Penetrationstests, Management von Risiken durch ICT-Drittparteien sowie Informationsaustausch über Cyberbedrohungen. Für Schweizer Institute gilt DORA in der Regel nicht direkt. Sie wirkt indirekt, etwa wenn Sie eine Niederlassung oder Tochter in der EU haben oder wenn Sie als ICT-Dienstleister für EU-regulierte Finanzunternehmen tätig sind und deren DORA-Pflichten über Verträge auf Sie zurückfallen.
Ob DORA Sie direkt oder indirekt betrifft, lässt sich nicht pauschal beantworten. Es hängt von Ihrer Konzernstruktur, Ihren EU-Berührungspunkten und Ihren Verträgen ab. Diese Abgrenzung prüfen wir je Institut im Einzelfall, bevor wir über Massnahmen sprechen. So bauen Sie nur das auf, was tatsächlich verlangt ist, und können es gegenüber Prüfern begründen.
Kritische Funktionen identifizieren und eine vertretbare Toleranz für deren Unterbrechung festlegen, dokumentiert und vom Verwaltungsrat getragen
Business-Continuity-Management und ICT-Continuity, die die kritischen Funktionen innerhalb der Toleranz halten
ICT- und Cyber-Risikomanagement mit klaren Rollen, Schutzmassnahmen und Überwachung
Bei DORA-Geltung die fünf Säulen abbilden: ICT-Risikomanagement, Vorfallmeldung, Resilienz-Testing, ICT-Drittparteien-Management und Informationsaustausch
Geltungsbereich von DORA direkt gegen indirekt je Institut bestimmen und im Einzelfall prüfen
So machen wir FINMA und DORA prüffähig
Wir starten mit der Frage, die alles steuert: Sind Sie überhaupt im DORA-Geltungsbereich, und wenn ja direkt oder indirekt? Darauf bauen wir ein Gap-Assessment, ein Mapping der kritischen Funktionen und eine Roadmap, deren Nachweise wir in der Priverion-Plattform pflegen.
Zuerst führen wir ein Applicability-Assessment durch. Wir prüfen Ihre Konzernstruktur, Ihre EU-Niederlassungen und Töchter, Ihre Verträge mit EU-regulierten Finanzunternehmen und Ihre Rolle als möglicher ICT-Dienstleister. Daraus ergibt sich, ob DORA Sie direkt oder indirekt betrifft und welche Pflichten daraus über Verträge auf Sie zukommen. Diese Einordnung halten wir begründet fest, damit Sie sie gegenüber der Aufsicht und gegenüber Gegenparteien belegen können.
Darauf folgt das FINMA/DORA-Gap-Assessment. Wir messen Ihren Ist-Zustand gegen die Erwartungen aus dem Rundschreiben 2023/01 und, soweit anwendbar, gegen die fünf DORA-Säulen. Das Ergebnis ist eine priorisierte Lückenliste mit Bewertung, kein Rohbefund. Parallel mappen wir Ihre kritischen und wichtigen Funktionen auf die unterstützenden Prozesse, Systeme und ICT-Drittparteien, denn ohne dieses Mapping lässt sich eine Unterbrechungstoleranz weder festlegen noch nachweisen.
Auf dieser Grundlage richten wir die Governance und die Dokumentation ein. Wir klären Rollen und Verantwortlichkeiten zwischen Geschäftsleitung, Verwaltungsrat und Fachfunktionen, formulieren die Resilienz- und ICT-Risikorichtlinien aus und sorgen dafür, dass Beschlüsse, Toleranzen und Tests dokumentiert sind. Verzeichnisse, Register und Massnahmen pflegen wir in der Priverion-Plattform, sodass der Nachweis gepflegt und exportierbar an einem Ort liegt, statt verstreut in Tabellen.
Zum Abschluss erhalten Sie eine priorisierte Roadmap mit klaren Verantwortlichkeiten und realistischen Zeitachsen. Operative Bausteine wie 24/7-Überwachung, gemanagte Incident Response oder fortgeschrittenes bedrohungsgeleitetes Red Teaming betreiben wir nicht selbst. Wo solche Bausteine gefordert sind, koordinieren wir sie mit spezialisierten Partnern, während Recht, Governance, Readiness sowie Pentests und Schwachstellenscans bei uns liegen.
Warum SIDD für FINMA und DORA
Resilienz im Finanzsektor verbindet Aufsichtsrecht, ICT-Sicherheit und zunehmend KI in einem Dossier. Genau diese Kombination decken wir aus einer Hand ab, unabhängig und mehrsprachig.
Recht, Security und KI aus einer Hand
Die aufsichtsrechtliche Auslegung von FINMA 2023/01 und DORA führen promovierte Juristinnen und Juristen, das ICT-Risiko und die Tests ein eigenes Technik-Team unter einem ISO-27001-Lead-Auditor. So tragen rechtliche Einordnung und technische Massnahmen dieselbe Logik.
Prüffähige Nachweise im Tooling
Register der kritischen Funktionen, ICT-Drittparteien, Massnahmen und Beschlüsse pflegen wir in der Priverion-Plattform. Fragt die Aufsicht oder die interne Revision nach, liegt der Nachweis gepflegt und exportierbar bereit, statt verstreut in Tabellen.
Festpreis-Einstieg
Sie starten mit einem fixpreisigen FINMA/DORA-Applicability & Gap-Assessment mit board-tauglichem Ergebnisbericht und priorisierter Roadmap. Danach entscheiden Sie über ein laufendes Advisory-Mandat, ohne sich vorab zu binden.
Wir kennen unsere Grenzen
Wir sind ein rechtlich geführter Governance-, Compliance-, Readiness- und Test-Partner. 24/7-Monitoring, gemanagte Incident Response und fortgeschrittenes Red Teaming koordinieren wir mit spezialisierten Partnern. Pentests und Schwachstellenscans führen wir selbst durch. Das hält unsere Beratung unabhängig.
KI-Governance-Tiefe
Setzen Sie KI in Kredit, Betrugserkennung oder Kundenprozessen ein, ordnen wir die Pflichten aus dem EU AI Act und den FINMA-Erwartungen für Ihre Modelle ein. Mit drei dedizierten KI-Services verbinden wir Resilienz und KI-Governance in einem Dossier.
Mehrsprachig & unabhängig
Wir beraten in Deutsch, Französisch und Englisch, passend für Institute in der Deutschschweiz, der Romandie und mit EU-Berührung. Da wir kein eigenes SOC verkaufen, bleiben unsere Empfehlungen unabhängig und auf Ihre Prüffähigkeit ausgerichtet.
Zwei Wege zu prüffähiger Resilienz
FINMA/DORA-Applicability & Gap-Assessment
Festpreis
Der fixpreisige Einstieg: Wir klären den Geltungsbereich, messen die Lücken und liefern eine priorisierte Roadmap mit board-tauglichem Bericht.
Applicability-Assessment: Sind Sie im DORA-Geltungsbereich, direkt oder indirekt, je Institut begründet
Gap-Assessment gegen FINMA 2023/01 und, soweit anwendbar, die fünf DORA-Säulen, mit Bewertung
Mapping der kritischen und wichtigen Funktionen auf Prozesse, Systeme und ICT-Drittparteien
Priorisierte Roadmap mit Verantwortlichkeiten und Zeitachsen, board-tauglicher Ergebnisbericht
Anlage der Register und Nachweise in der Priverion-Plattform
Der laufende Betrieb: jemand, der die Resilienz-Governance pflegt, die Register aktuell hält und Sie bei Prüfungen und regulatorischen Änderungen begleitet.
Laufende Pflege der Resilienz- und ICT-Risiko-Governance und der Dokumentation
Aktualisierung der Register kritischer Funktionen und ICT-Drittparteien in der Priverion-Plattform
Begleitung bei FINMA-Prüfungen, interner Revision und Anfragen von Gegenparteien
Beobachtung regulatorischer Entwicklungen bei FINMA und DORA, mit Einordnung im Einzelfall
Ansprechpartner für Geschäftsleitung und Verwaltungsrat in DE, FR oder EN
LexCMD
Unser Werkzeug: LexCommand
Warum wir mit LexCommand arbeiten, unserer eigenen Schweizer Rechts-KI
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
01
Souverän in der Schweiz
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
02
Kein Zitat, kein Anspruch
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
03
Vom Aufwand zum Urteil
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
04
Drei Disziplinen, ein Bild
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für Ihre FINMA/DORA-Standortbestimmung: LexCommand ordnet Ihre kritischen Funktionen den exakten Pflichten aus FINMA-RS 2023/01 und den fünf DORA-Säulen zu, mit Fundstelle je Anforderung, und macht die direkte und indirekte Anwendbarkeit für Ihr Institut nachvollziehbar belegt.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Häufige Fragen
Gilt DORA für uns als Schweizer Institut überhaupt?
Für Schweizer Institute gilt DORA in der Regel nicht direkt. Es kann Sie indirekt erreichen, etwa über eine Niederlassung oder Tochter in der EU oder über Verträge mit EU-regulierten Finanzunternehmen, deren DORA-Pflichten auf Sie zurückfallen. Ob bei Ihnen ein direkter oder indirekter Bezug besteht, hängt von Konzernstruktur und Verträgen ab. Wir prüfen das je Institut im Einzelfall und halten die Einordnung begründet fest.
Ab wann müssen wir das umgesetzt haben?
Das FINMA-Rundschreiben 2023/01 ist in Kraft und gilt für beaufsichtigte Institute. DORA gilt in der EU seit dem 17. Januar 2025. Welche konkreten Zeitachsen für Sie massgeblich sind, hängt von Ihrem Geltungsbereich und Ihren Verträgen ab und kann sich mit der Aufsichtspraxis verschieben. Wir verankern die für Sie geltenden Termine im Mandat und prüfen sie im Einzelfall.
Ist DORA in der Schweiz verpflichtend?
DORA ist EU-Recht und in der Schweiz nicht als solches in Kraft. Verpflichtend wird es für Schweizer Institute meist mittelbar, über EU-Niederlassungen, EU-Töchter oder vertragliche Pflichten gegenüber EU-regulierten Finanzunternehmen. Verbindlich in Kraft ist dagegen das FINMA-Rundschreiben 2023/01 zur operationellen Resilienz für beaufsichtigte Institute. Wir trennen klar, was Sie aus Schweizer Aufsichtsrecht und was Sie aus EU-Bezug heraus erfüllen müssen.
Wie hängt das mit ISO 27001 zusammen?
Ein ISO-27001-ISMS liefert einen grossen Teil der ICT- und Cyber-Grundlagen, die FINMA und DORA erwarten, etwa Risikomanagement, Massnahmen und Überwachung. Es deckt aber nicht alles ab. Resilienz-spezifische Themen wie kritische Funktionen, Unterbrechungstoleranzen, Resilienz-Testing und das ICT-Drittparteien-Management gehen darüber hinaus. Wir nutzen ein vorhandenes ISMS als Fundament und ergänzen die aufsichtsrechtlichen Anforderungen, statt parallele Strukturen aufzubauen. Die ISO-Zertifizierung selbst stellt eine akkreditierte Zertifizierungsstelle aus, wir beraten und bereiten vor.
Arbeiten Sie auf Französisch und Englisch?
Ja. Wir beraten durchgängig in Deutsch, Französisch und Englisch und erstellen die Dokumentation in der von Ihnen benötigten Sprache, relevant für Institute in der Deutschschweiz, der Romandie und mit EU-Berührung. Berichte für Geschäftsleitung und Verwaltungsrat liefern wir in der Arbeitssprache Ihres Gremiums.
Passende nächste Schritte
FINMA und DORA hängen eng mit ICT-Risikomanagement, dem Management Ihrer ICT-Drittparteien und der Meldung schwerer Vorfälle zusammen:
Wir klären Ihren DORA-Geltungsbereich, messen die Lücken gegen FINMA 2023/01 und liefern eine priorisierte Roadmap mit board-tauglichem Bericht, deren Nachweise in der Priverion-Plattform liegen.
