網絡安全與運營韌性
數碼化有其另一面：脆弱性。金融機構是網絡攻擊的首選目標，無論是勒索軟件、網絡釣魚，還是通過入侵供應商實施的攻擊。日內瓦金融中心擁有富裕客戶和大宗商品貿易商，是首要目標之一。瑞士金融市場監管局（FINMA）通過其關於運營風險的通函，要求受監管機構管理IT風險，並在二十四小時內報告嚴重的網絡攻擊。2025年，聯邦針對關鍵基礎設施遭受的網絡攻擊引入了一般性報告義務。1已知案例（其中數起涉及瑞士法語區的機構）表明，成功的攻擊往往針對機構的服務提供商，而這些提供商的安全受到的監控不如機構本身嚴密。2
運營韌性不僅限於網絡安全。它關係到機構在發生故障、攻擊、供應商失靈或災難時維持其關鍵職能的能力，其前提是識別這些職能、設定情景、進行測試並制定恢復計劃。歐盟（EU）已通過一部關於數字運營韌性的法規，自2025年1月起適用，對機構及其關鍵IT服務提供商施加了詳細要求。隸屬於歐洲集團或為歐盟境內客戶提供服務的日內瓦機構感受到了其間接影響。3此外，雲服務和銀行系統提供商集中於少數幾家公司，且幾乎全部為美國公司，由此形成的依賴如今已被瑞士和歐洲當局視為一種系統性風險。
注意。將IT外包給雲服務提供商轉移的是執行，但責任仍然保留。機構仍須就數據的保密性、可用性和完整性對其客戶和FINMA負責，包括提供商設立於境外並受可能要求其向本國當局披露數據的法律約束的情形。
註釋
- FINMA第2023/1號通函“Operational risks and resilience – banks”，取代第2008/21號通函，自2024年1月1日起施行（The Governance Law Firm，“Révision de la FINMA : circulaire Risques et résilience opérationnels – banques”，thegovernancelawfirm.com）；關鍵基礎設施遭受網絡攻擊後須在二十四小時內向國家網絡安全中心（NCSC）報告的義務，以《資訊安全法》為依據，自2025年4月1日起施行，自2025年10月1日起適用處罰（NCSC，“L’obligation de signaler les cyberattaques contre des infrastructures critiques entre en vigueur le 1er avril 2025”，bacs.admin.ch）。↩
- FINMA，專題“Cyber risks (2024)”以及2024年6月7日關於第03/2024號監管通告的新聞稿（finma.ch）：2024年報告的成功或部分成功的網絡攻擊較上年增加30%；勒索軟件（PLAY、AKIRA和Lockbit 3.0團伙）、商業電郵入侵、成波的拒絕服務攻擊以及供應鏈攻擊，後者約佔所報告事件的三分之一；2022—2023年報告的攻擊中，半數以上涉及外包服務；報告義務以《瑞士金融市場監管法》第29條第2款（FINMASA）為依據；2023年開展了十餘次專門針對網絡風險的現場檢查。↩
- 2022年12月14日關於金融業數字運營韌性的第2022/2554號（歐盟）條例（《數字運營韌性法》，DORA），自2025年1月17日起適用：IT風險管理、事件報告、韌性測試、第三方提供商風險；Autorité de contrôle prudentiel et de résolution，“Digital Operational Resilience Act (DORA)”，acpr.banque-france.fr（2026年9月訪問）。↩
僅供一般參考。本文不構成法律或稅務意見，不能替代針對個案的諮詢，亦不建立律師與客戶之間的委託關係。本文反映截至 十月 2026 的法律狀況。