ROBERT ZOVKO
ENKontakt

Schweiz · Finanzinstitute

Quantensicherheitund KI-Governancefür Finanzinstitute

Zwei Fristen laufen: Bis Mitte 2027 erwartet die FINMA von beaufsichtigten Instituten eine von der Geschäftsleitung verabschiedete PQC-Roadmap. Für KI-Anwendungen erwartet sie ein Inventar, eine Risikoklassifizierung und für wesentliche Anwendungen eine unabhängige Prüfung getrennt von der Entwicklung. Ich erhebe den Ist-Zustand, liefere die Entscheidungsgrundlage und setze die ersten Komponenten um, auf Ihrer Infrastruktur, mit Datenhaltung nach Schweizer Recht.

Erstgespräch anfragen

Feld

  • 01

    Künstliche Intelligenz

    Modelle · Daten · Governance

  • 02

    Blockchain & Identität

    Verträge · Nachweise · Integration

  • 03

    Quantum Security

    PQC · Schlüssel · Übergang

Nächster Schritt: Bestandsaufnahme

ML-KEM/Kyber/ML-DSA/Dilithium/Retrieval-Augmented Generation/Fine-Tuning/Solidity/Zero-Knowledge/Verifiable Credentials/Hardware Security Module/Multi-Party Computation/NIST PQC/ISO/IEC 27001/Open Source/

Einordnung

Warum jetzt

Die Aufsicht hat den Zeitrahmen gesetzt. Wer wartet, verliert die Wahlfreiheit über Reihenfolge und Budget.

  1. 01

    Die FINMA hat im Juli 2026 nachgezählt. In der Aufsichtsmitteilung 05/2026 hält sie fest: Von 60 befragten Banken, Versicherern, Vermögensverwaltern und Finanzmarktinfrastrukturen hatten 72 Prozent noch keine Massnahmen zur Quantensicherheit geplant oder umgesetzt, und nur 8 Prozent verfügten über eine konkrete Roadmap. Die FINMA empfiehlt eine von der Geschäftsleitung verabschiedete Roadmap bis spätestens Mitte 2027. Institute, die bereits planen, rechnen mit vier bis fünf Jahren bis zur Quantensicherheit kritischer Systeme.

  2. 02

    Aufbewahrung schlägt Quantum-Timing. Geschäftsbücher und Belege müssen in der Schweiz zehn Jahre aufbewahrt werden, GwG-Abklärungen ebenso. Daten, die heute verschlüsselt abgelegt werden, müssen also länger geheim bleiben als der Angreifer auf einen Quantencomputer wartet. Die FINMA nennt dieses Risiko ausdrücklich: harvest now, decrypt later.

  3. 03

    Bei KI fragt die Aufsicht nicht nach dem Modell, sondern nach der Governance. Die FINMA Guidance 08/2024 erwartet ein Inventar der KI-Anwendungen, eine einheitliche Risikoklassifizierung, Tests und laufende Überwachung, Dokumentation, Erklärbarkeit und für wesentliche Anwendungen eine unabhängige Prüfung, getrennt von der Entwicklung. Rund die Hälfte der von der FINMA befragten Institute setzt KI bereits ein, im Schnitt fünf Anwendungen im Betrieb und neun in Entwicklung.

Leistungen

Zwei Fristen, ein Vorgehen: erst prüfen, dann bauen.

01

KI-Governance, die einer Prüfung standhält

Die FINMA Guidance 08/2024 erwartet ein Inventar aller KI-Anwendungen, eine einheitliche Risikoklassifizierung, Tests und laufende Überwachung, Dokumentation und Erklärbarkeit. Für wesentliche Anwendungen kommt eine unabhängige Prüfung hinzu, getrennt von der Entwicklung. Hier setze ich an: Bestandsaufnahme, Bewertung, und für die Anwendungen mit Auflagen ein Prüfverfahren, das auch eine Prüfgesellschaft nachvollziehen kann.

  • KI-Inventar und Risikoklassifizierung
  • Modell- und Datenqualität, Stabilität, Verzerrung
  • Erklärbarkeit gegenüber Kunde und Aufsicht
  • Unabhängige Prüfung getrennt von der Entwicklung
  • Assistenten und Automatisierung auf eigenen Daten
Mehr zur KI-Governance

Was am Ende bleibt

  • 01Ein Inventar, das einer Prüfung standhält
  • 02Ein Prüfbericht mit Feststellungen und Massnahmen, nicht nur eine Meinung
  • 03Klare Regeln, wer welche Daten sieht und wer Ergebnisse freigibt

02

Quantum Security: Roadmap bis Mitte 2027

Die FINMA erwartet in der Aufsichtsmitteilung 05/2026 eine von der Geschäftsleitung verabschiedete Strategie mit Meilensteinen und Zielterminen, eine Krypto-Bestandsaufnahme über alle Systeme hinweg (eigene, ausgelagerte und bezogene), eine Risikoanalyse mit Fokus auf langfristig zu schützende Daten und kryptografische Agilität als Anforderung an neue Systeme und Beschaffungen. Ich liefere den Befund, den Fahrplan und die ersten umgesetzten Komponenten.

  • Krypto-Inventar über alle ICT-Systeme, auch ausgelagerte
  • Risikoanalyse inklusive harvest now, decrypt later
  • Roadmap mit Meilensteinen für die Geschäftsleitung
  • Hybridbetrieb und Umstellung auf ML-KEM (FIPS 203) und ML-DSA (FIPS 204)
  • Falcon-1024 (FN-DSA, NIST-Entwurf zu FIPS 206), nativ auf Algorand
  • Krypto-Agilität als Anforderung an Beschaffung und Verträge
Mehr zur Post-Quanten-Migration

Was am Ende bleibt

  • 01Eine Roadmap mit Zielterminen, die die Geschäftsleitung verabschieden kann
  • 02Ein Inventar, das aktuell bleibt, statt eine Momentaufnahme
  • 03Nachweis für die Prüfgesellschaft, was bereits quantensicher ist

03

Digitale Werte und verteilte Register

Verteilte Register gehören ins Krypto-Inventar. Die FINMA zählt neue Technologien wie Distributed Ledger Technology ausdrücklich dazu. Laufen Ansprüche, Register oder Zahlungen über eine Kette, braucht es Schlüsselverwaltung, einen Prüfpfad und Freigaben durch Personen statt automatischer Auslösung. Und eine ehrliche Antwort auf die Frage, ob eine Datenbank dasselbe geleistet hätte.

  • Abklärung, ob ein verteiltes Register das Problem löst
  • Verträge für Ansprüche, Register und Zahlungsflüsse
  • Schlüsselverwaltung und Freigabeprozesse
  • Prüfung auf Angriffsflächen vor dem Produktivgang
  • Anbindung an Bestandsysteme

Was am Ende bleibt

  • 01Ein Konzept, das Geschäftslogik, Rechte und Haftung sauber trennt
  • 02Verträge und Nachweise, die sich vor der Inbetriebnahme prüfen lassen
  • 03Eine Integration, die Ihre Buchhaltung und Ihr ERP nicht ersetzt

Vorgehen

Vier Etappen, keine Überraschungen.

Jede Etappe endet mit einem Ergebnis, das Sie sehen und weitergeben können. Der Umfang wird vor der ersten Zeile Code vereinbart.

  1. 01

    Zuhören & Sichtung

    Ein Gespräch mit den Personen, die später damit arbeiten. Dazu die bestehenden Systeme, Daten und Verträge.

  2. 02

    Bewertung & Fahrplan

    Eine ehrliche Einschätzung: Was lohnt sich, was nicht, was ist riskant. Als Entscheidungsgrundlage für die Geschäftsleitung.

  3. 03

    Umsetzung in Etappen

    Kurze Etappen mit etwas Lauffähigem am Ende jeder Etappe. Offene Standards, dokumentierter Code, Übergaberecht bei Ihnen.

  4. 04

    Betrieb & Übergabe

    Betriebsanleitung, Schulung des Teams und eine klare Ansprechperson für die ersten Monate oder die vollständige Übernahme.

Über mich

Seit 1999 im Finanzbereich, 27 Jahre. Strukturierung, Regulierung und Technik, zuletzt fast ausschliesslich die Frage, wie sich beide Seiten zusammenbringen lassen.

Für die eigenen Unternehmen entstehen eine quantensichere Finanzplattform, eine Tokenisierungsplattform, eine Versicherungsplattform und eine Zahlungsplattform: Konzept, Anforderungen und Entscheidungsgrundlagen, die Umsetzung mit dem Entwicklungsteam von Fidentus Core in Sofia.

Was ich berate, baue ich selbst. Ein Krypto-Inventar für ein Institut ist dieselbe Arbeit, die ich für die eigene Plattform gemacht habe, nur mit Ihrer Aufsicht, Ihren Fristen und Ihren Systemen. Ich kenne beide Seiten: die Anforderung aus dem Aufsichtsdokument und den Aufwand in der Umsetzung.

Die Beratung läuft über ein eigenständiges Schweizer Einzelunternehmen. Sie ist nicht Teil der Fidentus Group; die Gruppe handelt über eigene, je Land rechtlich eigenständige und teils beaufsichtigte Gesellschaften.

  • 01

    Seit 1999 im Finanzbereich

  • 02

    27 Jahre Strukturierung, Regulierung und Technik

  • 03

    Eigene Plattformen: Quantensicherheit, Tokenisierung, Versicherung, Zahlungen

Zielgruppe

Für wen

Die Arbeit richtet sich an Institute und an die Firmen, die sie beliefern.

  1. 01

    Institute

    Privatbanken, Regional- und Kantonalbanken, Auslandsbanken mit Schweizer Sitz. Vermögensverwalter und Family Offices mit FINMA-Bewilligung. Versicherer und Rückversicherer. Fondsleitungen und Verwalter kollektiver Kapitalanlagen. Zahlungsdienstleister und Finanzmarktinfrastrukturen.

  2. 02

    Zulieferer und Prüfgesellschaften

    Softwarehäuser, Core-Banking-Anbieter und IT-Dienstleister, die Institute beliefern. Die FINMA verlangt von den Instituten, die PQC-Reife ihrer Dienstleister zu prüfen und Vertragsklauseln sowie Exit-Strategien zu verankern. Wer als Lieferant diese Fragen nicht beantworten kann, wird in der Lieferantenbewertung zum Risiko. 60 Prozent der befragten Institute sind deswegen bereits mit ihren Softwarelieferanten in Kontakt. Dazu kommen Revisions- und Prüfgesellschaften, die die Einhaltung der Aufsichtserwartungen prüfen.

  3. 03

    Aufstellung

    Bewertung, Prüfung und Projektleitung leiste ich aus Thalwil. Für die Umsetzung steht das Entwicklungsteam von Fidentus Core in Sofia zur Verfügung, der Technologiegesellschaft der Fidentus Group. Vertragsbeziehung und Ansprechpartner bleiben in der Schweiz. Wo Daten verarbeitet werden, steht vor dem Projektstart schriftlich fest und wird auf Wunsch auf Infrastruktur in der Schweiz oder im EWR beschränkt.

    Robert Zovko ist ein eigenständiges Einzelunternehmen und nicht Teil der Fidentus Group. Die Fidentus Group handelt über separate, je Land rechtlich eigenständige und teils beaufsichtigte Gesellschaften. Technologiegesellschaft: fidentus.tech

Haltung

Worauf Sie sich verlassen können.

Kein Rahmenvertrag, kein Beraterteam, das sich selbst erklärt: Sie sprechen mit der Person, die auch baut.

  • I

    Schweizer Datenhaltung

    Storage, Vertragsbeziehungen und Weisungsrechte nach Schweizer Recht. Wo Daten liegen, steht im Konzept, nicht im Kleingedruckten.

  • II

    Offene Standards statt Anbieterbindung

    Ich arbeite mit Werkzeugen, die Sie wechseln können: offene Formate, dokumentierte Schnittstellen, Quellcode, der bei Ihnen bleibt.

  • III

    Klare Sprache für die Leitung

    Technik, die sich einem Gremium erklären lässt. Jede Empfehlung kommt mit Nutzen, Risiko und dem, was sie kostet.

  • IV

    Was ich nicht mache

    Keine öffentlichen Stellen und keine Vergabeverfahren. Kein Handel mit Kryptowährungen, keine Token-Ausgaben, keine Vermögensverwaltung. Zahlungs- und Versicherungsdienstleistungen werden nicht angeboten; die Plattformen der eigenen Unternehmen sind nicht Teil des Beratungsangebots. Keine Rechts-, Steuer- oder Anlageberatung. Dafür braucht es die jeweilige Fachperson.

Wissen

Wissen

Kurz gefasst, was Institute zu Quantensicherheit und KI-Governance wissen müssen, mit den Fristen und Quellen.

Post-Quanten-Migration nach FINMA 05/2026

Was in eine PQC-Roadmap gehört: Krypto-Inventar über alle Systeme, Risikoanalyse, Krypto-Agilität und Lieferantenprüfung. Mit den Fristen aus der Aufsichtsmitteilung.

Zur Post-Quanten-Migration

KI-Governance nach FINMA 08/2024

KI-Inventar, Risikoklassifizierung, Tests und die unabhängige Prüfung getrennt von der Entwicklung: was die Aufsicht von KI-Anwendungen erwartet.

Zur KI-Governance

Reifegrad-Check in fünf Minuten

Zwölf Fragen zu Quantensicherheit und KI-Governance nach den Erwartungen der FINMA. Ergebnis sofort, ohne Datenspeicherung.

Zum Reifegrad-Check

Antworten

Häufige Fragen

Ja. Der Einstieg ist bewusst klein gehalten: erst das Krypto-Inventar, dann die Reihenfolge, dann die Umsetzung in Abschnitten. Jeder Abschnitt endet mit etwas, das Sie in Betrieb nehmen oder Ihrer Prüfgesellschaft vorlegen können. Sie brauchen dafür kein eigenes Projektteam.

Kontakt

Erst mal zuhören.

Im ersten Gespräch klären wir Ausgangslage, Ziel und Risiken. Sie erhalten eine ehrliche Einschätzung und erfahren, ob ich der Richtige für Ihr Vorhaben bin.

Worum geht es

Ihre Angaben werden ausschliesslich zur Beantwortung Ihrer Anfrage verwendet.

Antwort in der Regel innert eines Werktags.