Cloud-Dienste in regulierten Branchen: FINMA, EPDG und Datenschutz

Cloud als Basisinfrastruktur: warum regulierte Branchen genauer hinschauen

Cloud Computing ist nach der NIST-Definition, auf die sich die Schweizerische Bankiervereinigung (SBVg) stützt, ein Modell der Datenverarbeitung. Bei Bedarf wird über ein Netz auf einen geteilten Pool konfigurierbarer Rechnerressourcen zugegriffen – jederzeit und überall. Dazu zählen Netze, Server, Speichersysteme, Anwendungen und Dienste.

Diese Ressourcen lassen sich schnell und mit minimalem Verwaltungsaufwand bereitstellen. Dafür ist nur geringe Interaktion mit dem Serviceprovider nötig. Genutzt wird das Modell in drei Varianten: Infrastructure as a Service (IaaS), Platform as a Service (PaaS) und Software as a Service (SaaS). Bei der Bereitstellung wird zwischen Private Cloud, Community Cloud, Public Cloud und Hybrid Cloud unterschieden.

Für die SBVg ist die Nutzung von Cloud-Technologien ein kritischer Erfolgsfaktor für die Schweiz und ihren Finanzplatz. Ohne klares Verständnis der rechtlichen und regulatorischen Anforderungen und der damit verbundenen Risiken lässt sich diese Technologie auch in der Finanzbranche nicht sicher einsetzen.

Regulatorik ist damit kein Anhang an ein fertig geplantes Cloud-Vorhaben, sondern Teil der Architektur- und Anbieterentscheidung. Nutzungsmodell (IaaS, PaaS, SaaS) und Bereitstellungsvariante (Private, Community, Public, Hybrid) bestimmen mit, welche Pflichten greifen. Sie bestimmen auch, welche technischen und organisatorischen Massnahmen umzusetzen sind.

Die drei Bereiche stützen sich auf je eigene Instrumente. Im Finanzsektor sind das Bankengesetz mit dem Berufsgeheimnis, das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» und der Cloud-Leitfaden der Schweizerischen Bankiervereinigung (SBVg). Im Gesundheitswesen sind das EPDG, die EPDV, die EPDV-EDI und das DSG benannt. Für öffentliche Stellen ist das DSG der Rahmen.

Die Adressaten unterscheiden sich: Im Finanzsektor sind es Banken und Wertpapierhäuser, im Gesundheitswesen Leistungserbringer sowie Gemeinschaften und Stammgemeinschaften, im öffentlichen Bereich die öffentlichen Stellen selbst. Im Finanzsektor beaufsichtigt die FINMA, im EPD begleitet das BAG das Verfahren als Schema-Eigner.

Zusammengefasst: Im Finanzsektor gelten Bankengesetz, FINMA-Rundschreiben 2023/1 und der SBVg-Cloud-Leitfaden; Aufsicht: FINMA. Im Gesundheitswesen gelten EPDG, EPDV, EPDV-EDI und DSG; Aufsicht: BAG als Schema-Eigner, Zertifizierung durch die von der SAS akkreditierte KPMG. Für öffentliche Stellen gilt das DSG; die Pflichten umfassen Verantwortlichkeit, Bearbeitungsgrundlage und den Umgang mit automatisierten Einzelentscheidungen.

Im Finanzsektor angekommen – aber auf unterschiedlichen Wegen

Im Bankensektor sind die Erwartungen konkret. Nach Darstellung der SBVg verkürzen Banken mit der Migration von Infrastruktur und Prozesse in eine Cloud die Zeit bis zur Marktreife innovativer Produkte und Dienstleistungen deutlich. Damit steigern sie ihre Wettbewerbsfähigkeit.

Neue Technologien wie künstliche Intelligenz sind in der Cloud ohne grosse Investitionen in eigene Hardware und Software nutzbar. Der Zugang zu einem grossen Datenpool und entsprechender Rechenleistung ermöglicht die Analyse grosser Datenmengen in Echtzeit. In Entwicklung und Testing neuer Applikationen und Systeme ergeben sich deutliche Effizienzgewinne.

Die Praxis ist uneinheitlicher. Nach Einschätzung der Hochschule Luzern hat die vollständige Migration noch «Early Adopter»-Charakter. Unter anderem regulatorische Unsicherheiten und technische Herausforderungen stehen dem entgegen. Einheitliche Standards für den optimalen Weg in die Cloud existieren noch nicht; der Weg dorthin ist meist hybrid.

Belastbare Verbreitungszahlen fehlen. Wie viele und welche Schweizer Banken bereits teilweise oder vollständig in der Cloud operieren, lässt sich laut HSLU nicht mit Statistiken aufzeigen. Der Eindruck, dass sich immer mehr Institute dafür entscheiden, stützt sich auf Branchenbeobachtung, nicht auf eine Erhebung.

Verbindliche Bezugspunkte für Institute sind der Cloud-Leitfaden der SBVg und das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken». Das Rundschreiben definiert in Randziffer 14 ff. die kritischen Funktionen. Der Leitfaden bietet rechtliche und organisatorische Orientierung und Auslegungshilfe.

Ein zweiter Weg betrifft die Rechtsordnung. Schweizer Banken müssen eine Cloudlösung implementieren, die spezifisch auf die Schweizer Bedürfnisse eingeht – eine «Swiss Cloud». Damit lässt sich der US-amerikanische CLOUD-Act umgehen.

Was die Aufsicht in den Blick nimmt: Konzentration und Kontrollverlust

Die FINMA hält im am 17.11.2025 veröffentlichten Risikomonitor 2025 fest: Cloud-Dienste und Software-as-a-Service-Modelle werden zunehmend genutzt. Das führt zu stärkerer Abhängigkeit von wenigen zentralen IKT-Dienstleistern.

Aus dieser Konzentration ergeben sich laut FINMA nicht nur systemische Risiken für den schweizerischen Finanzplatz im Fall eines Unterbruchs oder unbefugten Zugriffs. Insbesondere entstehen auch operationelle Risiken für das einzelne Institut – etwa durch die Auslagerung kritischer Funktionen an Drittanbieter, Zwischenfälle bei Drittparteien oder Risiken entlang der Lieferkette.

Verschärft wird dies durch den Umfang der Auslagerung. Wesentliche Geschäftsfunktionen von Finanzinstituten werden in bedeutendem Umfang an Dritte ausgelagert. Bei Banken sind darunter oft auch kritische Funktionen (zur Definition verweist die Praxis auf das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken», Rz. 14 ff.). Die Folge sind eine starke Abhängigkeit des Instituts von diesen Dienstleistern bei hoher Leistungserwartung sowie ein zunehmender Kontrollverlust.

Als Aufsichtsinstrument nennt der Risikomonitor 2025 die Erhebung eines Inventars wesentlicher Auslagerungen. So soll die Konzentration auf wenige Dienstleister erkannt werden. Darauf aufbauend sollen Aufsichtshandlungen abgestützt werden.

Für Institute heisst das: Auslagerungen müssen einzeln erfasst, zugeordnet und in ihrer Kritikalität beurteilbar sein. Eine aggregierte Sicht auf Anbieter und Funktionen ist Voraussetzung, um das eigene Konzentrationsrisiko zu erkennen.

Berufsgeheimnis, Datenschutz, Resilienz: die Pflichten konkretisieren

Der Umzug in die Cloud ändert die Pflichtenlage nicht. Nach der Position der SBVg müssen Banken auch in der Cloud insbesondere das Berufsgeheimnis gemäss Bankengesetz einhalten. Sie müssen datenschutzrechtliche Vorschriften berücksichtigen, Datensicherheit und Resilienz gewährleisten sowie Abhängigkeiten von einzelnen Cloud-Anbietern aktiv steuern, um allfällige Kontrollverluste zu vermeiden.

Diese vier Punkte sind keine abstrakten Leitlinien, sondern Prüffelder mit konkreten Folgen für Vertragsgestaltung, Zugriffsregelung, Verschlüsselung, Ausfallszenarien und Exit-Fähigkeit.

Als Hilfsmittel steht Banken und Wertpapierhäusern der Cloud-Leitfaden der Schweizerischen Bankiervereinigung zur Verfügung. Er bietet rechtliche und organisatorische Orientierung und Auslegungshilfe für den Umgang mit Cloud-Dienstleistungen.

Der Leitfaden zeigt umsetzbare Lösungsansätze, um die geltenden rechtlichen und regulatorischen Anforderungen mit angemessenen technischen und organisatorischen Massnahmen zu konkretisieren und zu operationalisieren. Er beantwortet damit nicht die Frage, ob ausgelagert werden darf, sondern wie die Anforderungen im konkreten Vorhaben nachweisbar umgesetzt werden.

Aufsichtsrechtlich flankiert wird dies durch das FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken». Es definiert unter anderem den Begriff der kritischen Funktionen (Rz. 14 ff.) und ist Bezugspunkt für die Beurteilung, welche ausgelagerten Tätigkeiten verstärkte Anforderungen auslösen.

In der Praxis ist deshalb vor der Anbieterwahl zu klären: Welche Funktionen gelten als kritisch? Welche Daten und Zugriffsrechte liegen beim Dienstleister?

Weiter ist zu klären: Wie wird die Verfügbarkeit bei Ausfall oder Wechsel des Anbieters sichergestellt? Wer im Institut trägt die Verantwortung für die Steuerung der Abhängigkeit?

Über die Branchen hinaus: Datenschutz und Autonomie als gemeinsamer Nenner

Viele Fragen, die im Bankensektor aufsichtsrechtlich aufgeladen sind, stellen sich in der Gesundheitsversorgung und der öffentlichen Verwaltung in gleicher Struktur – nur mit anderem Rechtsrahmen. Das Datenschutzgesetz bildet die Klammer.

Wer Cloud-Dienste für öffentliche Stellen oder für Leistungserbringer im Gesundheitswesen prüft, muss klären, ob Entscheide automatisiert erfolgen. Zu klären ist auch, wer als Verantwortlicher auftritt und auf welcher Grundlage Daten bearbeitet werden.

Für das Gesundheitswesen bildet das Bundesgesetz über das elektronische Patientendossier (EPDG) den rechtlichen Rahmen. Es ist seit dem 15. April 2017 in Kraft. Es regelt die Eröffnung eines EPD, die Zugriffsrechte der Gesundheitsfachpersonen und den Zugriff in medizinischen Notfallsituationen. Ebenso regelt es die Identifikation von Patientinnen, Patienten und Gesundheitsfachpersonen, den Aufbau von Gemeinschaften und Stammgemeinschaften sowie die Finanzhilfe des Bundes.

Das Ausführungsrecht zum EPDG besteht aus zwei Bundesratsverordnungen und einer Departementsverordnung. Die Bundesratsverordnung über das elektronische Patientendossier (EPDV) regelt zentrale Umsetzungsaspekte: Erstellung und Zugang zum EPD, Vergabe und Verwaltung der Patientenidentifikationsnummer, Zertifizierung von Gemeinschaften und Stammgemeinschaften, Anforderungen an Identifikationsmittel und deren Herausgeber sowie die Abfragedienste. Neun Anhänge führen Metadaten, Austauschformate und Integrationsprofile.

Die Anhänge benennen die Pflichten einzeln: Anhang 1 den Aufbau der Patientenidentifikationsnummer, Anhang 3 die Metadaten für den interoperablen und sicheren Datenaustausch, Anhang 4 die Austauschformate wie Impfdossier und Medikationsinformationen. Anhang 5 regelt Integrationsprofile für den gemeinschaftsübergreifenden Datenaustausch, auch über IHE. Anhang 6 verpflichtet zertifizierte Gemeinschaften zur Datenlieferung an das BAG zur Evaluation nach Art. 18 EPDG.

Weitere Anhänge betreffen das Verfahren: Anhang 7 die Mindestanforderungen an das Zertifizierungspersonal, Anhang 8 die technischen und organisatorischen Anforderungen an Identifikationsmittel und deren Herausgeber, Anhang 9 die Metadaten für den Abfragedienst zu Gesundheitseinrichtungen und Fachpersonen nach Art. 41 EPDV.

Jeder EPD-Anbieter wird geprüft, zertifiziert und regelmässig kontrolliert. Nur zertifizierte Anbieter dürfen das offizielle Zertifizierungszeichen verwenden. Zusammen bilden sie den «EPD-Vertrauensraum».

Das BAG begleitet den Prozess als Schema-Eigner. Die Zertifizierung führte die von der Schweizerischen Akkreditierungsstelle SAS akkreditierte KPMG durch. Anhang 2 der EPDV-EDI enthält über 400 Zertifizierungskriterien.

Datenschutzrechtlich unterliegt das EPD dem Datenschutzgesetz (DSG), dem EPDG und den kantonalen Gesetzen. Stammgemeinschaften, die ihre Dienstleistungen auch Personen mit ausländischer Staatsangehörigkeit anbieten, unterliegen zusätzlich der DSGVO. Ein Factsheet hält die datenschutzrechtliche Zuständigkeit fest.

Die EPDV-EDI legt die technischen und organisatorischen Voraussetzungen der Zertifizierung fest. Dazu gehören die Überprüfung der Identität, der beruflichen Qualifikationen, des Zugangs zu Dokumenten sowie der Sicherheitsmassnahmen.

Für Praxen und Leistungserbringer ist das revidierte Datenschutzgesetz (nDSG) seit September 2023 vollständig in Kraft. Gesundheitsdaten gelten darin ausdrücklich als besonders schützenswert. Technische und organisatorische Massnahmen sind nachweisbar umzusetzen, nicht nur anzukündigen. Die Vorgaben des EPD zur Integration und Protokollierung sind bis 2027 umzusetzen.

Für Praxissoftware bilden das revidierte DSG und das EPDG die zentrale Basis. Ärztinnen und Ärzte sowie Therapeutinnen und Therapeuten tragen die volle Verantwortung für die korrekte Verarbeitung von Gesundheitsdaten. Nur Lösungen, die gesetzlichen und branchenspezifischen IT-Standards entsprechen, schützen vor Risiken.

Das BAG und eHealth Suisse stellen Umsetzungshilfen und Factsheets bereit. Dazu gehören das Factsheet «Das elektronische Patientendossier und die datenschutzrechtliche Zuständigkeit» und das Factsheet «Top 10 Sicherheitsmassnahmen». Die Umsetzungshilfe «Datenschutz und Datensicherheit im EPD» beschreibt, wie Gemeinschaften die Anforderungen des DSG, des EPDG und der EPDV-EDI umsetzen.

Der Bundesrat beschloss am 27. September 2024 eine Totalrevision des EPDG. Am 5. November 2025 verabschiedete er das neue Bundesgesetz über das elektronische Gesundheitsdossier (EGDG) sowie die Botschaft zuhanden des Parlaments. Seit dem 1. Oktober 2024 ist die Verordnung über die Finanzhilfen für das elektronische Patientendossier (EPDFV) in Kraft. BAG und eHealth Suisse sammeln im Rahmen der Jahresrevisionen Anregungen zum Ausführungsrecht.

Für öffentliche Stellen ist das DSG der Rahmen. Vor der Anbieterwahl sind Verantwortlichkeit, Bearbeitungsgrundlage und der Umgang mit automatisierten Einzelentscheidungen zu klären; im EPD kommen die kantonalen Gesetze hinzu.

Als roter Faden dient die Autonomie der betroffenen Person – in der Medizin ebenso wie im Arbeitsverhältnis, wo digitale Bearbeitungsformen die Privatsphäre der Beschäftigten berühren.

Daraus lassen sich branchenübergreifende Prüffragen ableiten, die vor jedem Cloud-Vorhaben zu beantworten sind. Welche Datenkategorien werden bearbeitet und wie sensibel sind sie? Treffen die Systeme automatisierte Einzelentscheidungen mit Wirkung auf Personen?

Können Betroffene ihre Rechte (Auskunft, Berichtigung, Widerspruch) faktisch ausüben, wenn die Bearbeitung bei einem Dienstleister liegt? Bleibt die fachliche Entscheidungshoheit dort, wo sie rechtlich hingehört?

Erst wenn diese Punkte geklärt sind, ist die Wahl zwischen Public, Private oder Hybrid Cloud eine belastbare Entscheidung.

Benannte Grundlagen bleiben: im Gesundheitswesen das EPDG, die EPDV, die EPDV-EDI, das DSG, die kantonalen Gesetze und bei Auslandbezug die DSGVO. Für öffentliche Stellen ist das DSG der Rahmen; das revidierte DSG (nDSG) ist seit September 2023 vollständig in Kraft.

Fazit: Cloud-Kompetenz ist Governance-Kompetenz

Die Anforderungen erledigen sich nicht mit einem einmaligen Entscheid für einen Anbieter oder ein Bereitstellungsmodell. Die SBVg hält fest, dass Banken ihre Cloud-Strategie und -Architektur kontinuierlich an die sich wandelnden Bedingungen der Aussenwelt und an ihre eigenen Bedürfnisse anpassen müssen. Dasselbe gilt für regulierte Organisationen ausserhalb des Finanzsektors, die ihre Datenbearbeitung laufend überprüfen müssen.

Für das Gesundheitswesen bedeutet das: Die Zertifizierung der EPD-Anbieter wird in regelmässigen Abständen erneuert. Die EPDV-EDI verlangt die Prüfung von Identität, beruflicher Qualifikation und Dokumentzugriff. Für öffentliche Stellen bleiben die datenschutzrechtlichen Vorgaben der Bezugspunkt.

Wiederkehrend sind drei Punkte. Abhängigkeiten aktiv steuern statt nur vertraglich festhalten – mit einem Inventar wesentlicher Auslagerungen und einer aggregierten Sicht auf die Dienstleister, wie sie der FINMA-Risikomonitor 2025 als Aufsichtsfokus beschreibt.

Resilienz gewährleisten – Datensicherheit, Verfügbarkeit und Kontrollverlust sind betriebliche, nicht nur juristische Grössen. Recht und Aufsicht mitdenken – Berufsgeheimnis, Datenschutz und die Rechte der Betroffenen bestimmen, welche Massnahmen technisch und organisatorisch nachzuweisen sind. Cloud-Kompetenz ist damit in erster Linie die Fähigkeit, diese drei Punkte dauerhaft zu bewirtschaften.