盧加諾服務商與意大利銀行：DORA的適用範圍

下載PDF（2頁）

運營韌性規則對盧加諾而言具有跨境維度。部分提契諾州企業向意大利的銀行和金融機構提供IT服務、軟件或數據處理服務。自2025年1月17日起，這些客戶須遵守歐盟（EU）《數字運營韌性法案》（DORA）。該法案要求歐盟境內的金融實體管理其資訊和通信技術（ICT）第三方風險，在與ICT服務提供商的合同中納入特定條款，並就所有合同安排保存資訊登記冊。¹ 因此，向意大利銀行提供ICT服務的盧加諾提供商將被要求接受依循DORA的合同條款，內容涉及服務水平、安全、審計、終止和退出策略，儘管其本身並不受該法規約束。如果某提供商在歐盟層面被認定為關鍵ICT第三方服務提供商，則必須在歐盟境內設立子公司。這一認定僅適用於大型提供商，但合同要求覆蓋歐盟金融實體的每一家提供商。

瑞士金融市場監管局（FINMA）的外包通函和韌性通函、瑞士的網絡攻擊報告義務以及DORA相結合，為每一家使用或提供技術的盧加諾機構構成了一套嚴密的要求。與此同時，這也創造了一個市場：這些規則所要求的文檔、測試和合同工作由合規顧問、律師事務所、審計公司和IT安全公司承擔，其中數家總部設在提契諾州，為邊境兩側的客戶提供服務。

要點。第三方提供的人工智能在支持重要職能時，受FINMA關於外包的第2018/3號通函約束。自2024年1月1日起生效的FINMA第2023/1號通函，增加了關於ICT和網絡風險、關鍵數據、業務連續性和運營韌性的要求，其中韌性要求的截止日期為2026年1月1日。自2025年4月1日起，銀行和其他關鍵基礎設施須根據《資訊安全法》在24小時內報告網絡攻擊。為意大利銀行提供服務的盧加諾提供商必須滿足歐盟DORA的合同要求。

註釋

1. Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector（DORA），OJ L 333，2022年12月27日，第1頁，自2025年1月17日起適用（公佈資訊和日期經 https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng 核實）。 ↩

僅供一般參考。本文不構成法律或稅務意見，不能替代針對個案的諮詢，亦不建立律師與客戶之間的委託關係。本文反映截至 十月 2026 的法律狀況。