第2023/1號通函：運營風險與韌性
瑞士金融市場監管局（FINMA）2022年12月7日第2023/1號通函《操作風險與韌性——銀行》（“Operational risks and resilience – banks”）於2024年1月1日生效，取代了關於銀行操作風險的第2008/21號通函。其中關於運營韌性的規定須在兩年過渡期內實施，即在2026年1月1日之前完成。1 該通函載有關於資訊和通信技術（ICT）風險管理、網絡風險、關鍵數據、業務連續性管理和運營韌性的要求。機構必須將其IT系統的開發、測試和生產環境分離，並對變更管理加以規範（邊碼47至60）。機構必須識別網絡威脅、保護其資產、發現攻擊、應對事件並從中恢復；對於影響關鍵資產的成功網絡攻擊，必須在24小時內向FINMA報告，並在72小時內提交完整報告（邊碼61至70）。2
該通函將關鍵數據定義為對提供服務或監管目的極為重要、因而需要加強安全措施的數據（邊碼71至82）。3 用於訓練或運行人工智能系統的客戶數據往往屬於此意義上的關鍵數據。業務連續性管理要求設定恢復時間目標和恢復點目標，制定連續性計劃和災難恢復計劃，並定期進行測試（邊碼83至96）。最後，運營韌性的概念要求機構識別其關鍵職能，並界定“中斷容忍度”，即在嚴重但合理的情景下機構所能接受的關鍵職能最大中斷程度，並定期加以測試（邊碼97至114）。4
對盧加諾的銀行而言，運營韌性要求意味著需要識別哪些職能（例如支付、託管和客戶訪問）屬於關鍵職能，並梳理這些職能所依賴的人員、流程、技術、資訊和提供商。如果某個人工智能系統已成為關鍵職能的一部分，例如一個缺之則無法放行支付的監控系統，機構就必須為其失效預作規劃：退回人工流程、採用替代提供商或提供縮減的服務。FINMA在第08/2024號指引中要求對備用方案進行記錄，這正是連接兩套規則的紐帶。5
《資訊安全法》規定的網絡攻擊報告義務
自2025年4月1日起，瑞士關鍵基礎設施的運營者須向國家網絡安全中心報告網絡攻擊；該中心已於2024年改組為聯邦網絡安全辦公室（BACS）。這項義務通過修訂《資訊安全法》（ISA）而引入，適用對象包括銀行、保險公司和金融市場基礎設施等。如果攻擊危及基礎設施的運行、導致資訊被篡改或外洩、長期未被發現，或與勒索、威脅或脅迫相關，則須在發現攻擊後24小時內報告。自2025年10月1日起，違反報告義務可被處以最高10萬瑞士法郎的罰款。6 因此，受FINMA監管的金融機構必須協調兩條報告渠道：根據第2023/1號通函向FINMA報告，以及根據《資訊安全法》向BACS報告。聯邦當局已提供統一的報告表格，使一份報告即可同時滿足兩方面的要求。7
註釋
- FINMA第2023/1號通函“Operational risks and resilience – banks”，2022年12月7日，https://www.finma.ch/en/~/media/finma/dokumente/dokumentencenter/myfinma/ rundschreiben/finma-rs-2023-01-20221207.pdf?la=en。 ↩
- FINMA第2023/1號通函（同上），邊碼47–70。 ↩
- FINMA第2023/1號通函（同上），邊碼71–82。 ↩
- FINMA第2023/1號通函（同上），邊碼83–114。 ↩
- FINMA，第08/2024號指引（同上），第2.5節。 ↩
- 2020年12月18日《聯邦資訊安全法》（Information Security Act，ISA），SR 128，第74a–74h條及第74e條（處罰），經2023年9月29日聯邦法律修訂；2025年3月7日《網絡安全條例》（CSO），SR 128.51。自2025年4月1日起生效，處罰自2025年10月1日起適用。 ↩
- 聯邦網絡安全辦公室（BACS），關於報告義務及報告表格的資訊。 ↩
僅供一般參考。本文不構成法律或稅務意見，不能替代針對個案的諮詢，亦不建立律師與客戶之間的委託關係。本文反映截至 十月 2026 的法律狀況。