Erläuternder Bericht

Erläuterungsbericht zur Finanzmarktinfrastrukturverordnung

Absatz 2 ist den Artikeln 15 Absatz 2 und 16 Absatz 2 BankV sowie 22 Absatz 1 BEHV nachgebildet.

Artikel 14 Geschäftskontinuität

Absatz 1 hält jene Punkte fest, die in der vom Gesetz verlangten Strategie mindestens zu regeln sind. Verlangt wird ein unternehmensweiter Ansatz, um den Geschäftsbetrieb und die Geschäftsprozesse der Finanzmarktinfrastruktur bei Eintreten von Schadenereignissen und Krisen aufrechterhalten oder zeitgerecht wiederherstellen zu können (vgl. Art. 32b Abs. 1 NBV).

Dazu sind gemäss Absatz 2 relevante Bedrohungen und potenzielle Schadenereignisse sowie deren Auswirkungen auf den Geschäftsbetrieb zu definieren, Wiederherstellungsziele festzulegen und die erforderlichen (Ersatz-)Ressourcen zu bestimmen. Bedrohungen können sich bspw. für Handelsplätze aufgrund von Störungen im Handelssystem ergeben (vgl.

Art. 30 und 45 FinfraG), etwa bei fehlgeleiteten Handelsalgorithmen.

Im Einklang mit den PFMI (Principle 17, Key Cons. 6) verlangt Absatz 3 auf operativer Ebene namentlich Pläne zur Geschäftskontinuität, zu denen regelmässig Tests durchzuführen sind (Abs. 1 Bst. c; vgl. auch Art. 32b Abs. 4 und 5 NBV). Die Anforderungen orientieren sich an den Empfehlungen der Schweizerischen Bankiervereinigung (SBVg) für das Business Continuity Management (BCM) vom 29. August 2013²⁵.

Gemäss Absatz 4 sind die Strategie und die Pläne zur Geschäftskontinuität in Fortführung von Artikel 22a Absatz 3 NBV vom Organ für die Oberleitung, Aufsicht und Kontrolle genehmigen zu lassen.

Artikel 15 Informationstechnische Systeme

Die Vorgaben zur Geschäftskontinuität (Art. 13 FinfraG und Art. 14 FinfraV) sind auch hinsichtlich der informationstechnischen Systeme anwendbar. So sind etwa entsprechende Bedrohungen und potenzielle Schadenereignisse zu identifizieren, zu analysieren und zu bewerten und es ist ein sicherer und kontinuierlicher Betrieb der Einrichtungen der Informationsverarbeitung zu gewährleisten (vgl. auch Art. 32a Abs. 3 Bst. a und c NBV). Darüber hinaus formuliert Absatz 1 von Artikel 15 FinfraV spezifische Anforderungen an die informationstechnischen Systeme, insbesondere mit Blick auf die Informationssicherheit. Dazu treten namentlich die Bestimmungen des DSG²⁶.

Absatz 2 verlangt von Finanzmarktinfrastrukturen, dass sie über mindestens zwei Rechenzentren in geeigneter Entfernung voneinander verfügen (vgl. auch Art. 32c NBV). Der Bezug von Rechenzentrumsdienstleistungen eines Drittanbieters ist möglich, die Finanzmarktinfrastruktur sollte in diesem Fall jedoch die damit allfällig verbundenen zusätzlichen Risiken evaluieren und gegebenenfalls angemessene risikomindernde Massnahmen treffen. Zudem finden in einem solchen Fall die Vorgaben von Artikel 11 FinfraG sowie Artikel 11 und 12 FinfraV zur Auslagerung Anwendung.

Artikel 16 Auslandgeschäft

Aus dem geltenden Recht übernommen werden Artikel 18 Absatz 5 BEHV und Artikel 20 BankV. Die einzureichenden Informationen sollen sicherstellen, dass betroffene Finanzmarktinfrastrukturen über eine angemessene Organisation und ausreichende Finanzmittel verfügen, um die geplante Geschäftstätigkeit im Ausland zu betreiben. Die Meldepflichten beziehen sich insbesondere auf ein angemessenes Risikomanagement im Sinne von Artikel 9.