Sicherheitsanforderungen bei Schweizer Zahlungsdiensten prüfen

Was «Sicherheitsanforderungen prüfen» bei Zahlungsdiensten konkret heisst

Erfassen Sie zuerst, welche Personendaten der Zahlungsdienst bearbeitet und welche Stellen daran beteiligt sind. Dazu gehören die Datenbearbeitung und die für den Dienst verantwortlichen Stellen.

Gehen Sie in vier Schritten vor: Rechtsgrundlage und zuständige Aufsicht klären, Schutzmassnahmen erfragen, Belege zu Umsetzung und Prüfung verlangen und das Ergebnis festhalten.

Eine allgemeine Zusicherung wie «höchste Sicherheitsstandards» belegt keine Umsetzung. Prüfen Sie konkrete Massnahmen, Tests und Kontrollen anhand von Unterlagen.

Wer die Vorgaben in der Schweiz durchsetzt

Die FINMA beaufsichtigt Banken und Wertpapierhäuser prudenziell und risikoorientiert. Zu ihrem regulatorischen Rahmen gehören insbesondere das Finanzmarktaufsichtsgesetz (FINMAG), das Bankengesetz (BankG), das Finanzinstitutsgesetz (FINIG) und die dazugehörigen Ausführungsbestimmungen.

Nicht jede Tätigkeit untersteht derselben Bewilligungs- und Aufsichtsform: Die FINMA beschreibt ein Spektrum von umfassender laufender Überwachung bis zu einer Registrierung ohne laufende Überwachung. In bestimmten Fällen ist der Anschluss an eine Selbstregulierungsorganisation erforderlich.

Suchen Sie den Namen des Anbieters in der FINMA-Datenbank für bewilligte Institute, Personen und Produkte. Zu den dort aufgeführten Kategorien gehören unter anderem «Banken und Wertpapierhäuser» sowie «Bewilligte Personen nach Art. 1b BankG (Fintech-Bewilligung)». Prüfen Sie, welche Kategorie und Bewilligung beim konkreten Anbieter angezeigt wird.

Lassen Sie sich vom Anbieter schriftlich nennen, auf welcher gesetzlichen Grundlage er tätig ist und welche Aufsicht für seine konkrete Tätigkeit zuständig ist. Bei einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko ist der EDÖB zu informieren.

Zuständige Aufsichtsbehörden in der Schweiz für Zahlungsdienste

Technische und organisatorische Massnahmen der Datensicherheit

Das Datenschutzgesetz (DSG, SR 235.1) gilt seit dem 1. September 2023. Für die Datensicherheit gehören das DSG und die Datenschutzverordnung (DSV, SR 235.11) zur massgebenden Schweizer Grundlage.

Fragen Sie nach der Einschätzung des Schutzbedarfs der Personendaten und danach, wie sich diese in den Schutzmassnahmen niederschlägt. Die Beschreibung sollte zum jeweiligen Verarbeitungsvorgang des Zahlungsdienstes passen.

Prüfen Sie konkrete technische und organisatorische Massnahmen: Zugriffsbeschränkungen, Verschlüsselung, Protokollierung, Zuständigkeiten sowie die Erkennung und Behebung von Störungen.

Nach Art. 24 DSG ist der EDÖB bei einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko so rasch als möglich zu informieren. Das DSG sieht dafür keine 72-Stunden-Frist vor; prüfen Sie deshalb den internen Melde- und Eskalationsprozess.

Umgesetzt, getestet, geprüft: der Massstab für Sicherheitsnachweise

Fragen Sie für jede Massnahme: Ist sie umgesetzt, wurde sie getestet und wurde das Ergebnis geprüft? Halten Sie fest, welche Unterlage die Antwort belegt und wer die Prüfung vorgenommen hat.

Verlangen Sie eine dokumentierte Beschreibung der Bearbeitung und der Schutzmassnahmen. Als Belege eignen sich beispielsweise Berechtigungs- und Protokollierungsunterlagen, Audit-Ergebnisse und Testresultate zu Verschlüsselung, Zugriffskontrollen und Incident-Response-Prozessen.

Die EU-Zahlungsdiensterichtlinie PSD2 verlangt von Zahlungsdienstleistern Nachweise, dass Sicherheitsmassnahmen umgesetzt, getestet und geprüft wurden. Das ist ein EU-Prüfmassstab, nicht die Schweizer Rechtsgrundlage; für Schweizer Dienste sind DSG und DSV der Ausgangspunkt.

SEPA-Regelwerk und der Marktzutritt dritter Zahlungsdienstleister

Das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» behandelt unter anderem das Management operationeller Risiken, IKT- und Cyberrisiken, Risiken kritischer Daten sowie Business Continuity Management. Es trat am 1. Januar 2024 in Kraft.

Das Rundschreiben ist auf Banken ausgerichtet. Klären Sie deshalb zuerst, ob der Zahlungsdienstleister eine beaufsichtigte Bank ist und ob die Vorgaben für seine Tätigkeit gelten.

Für eine betroffene Bank können Sie nach Risiko- und Kontrollbeurteilungen, der genehmigten Risikotoleranz und Nachweisen regelmässiger Überprüfungen fragen. Die Geschäftsleitung muss operationelle Risiken identifizieren, beurteilen, begrenzen und überwachen sowie die Wirksamkeit des Risikomanagements regelmässig überprüfen.

Liechtenstein, EWR und die Schweizer Praxis sauber trennen

Halten Sie für den Anbieter und den geprüften Zahlungsdienst die angegebene Rechtsgrundlage, die zuständige Aufsicht und einen allfälligen FINMA-Registereintrag fest. Notieren Sie auch, welche Schutzmassnahmen geprüft wurden und welche Belege dafür vorliegen.

Dokumentieren Sie offene Fragen und vereinbaren Sie, wer sie bis wann beantwortet. So bleibt nachvollziehbar, welche Anforderungen geprüft und welche Nachweise noch verlangt wurden.