サイバーセキュリティとオペレーショナル・レジリエンス
デジタル化には裏面がある。脆弱性である。金融機関は、ランサムウェア、フィッシングまたは供給業者の侵害によるサイバー攻撃の格好の標的である。富裕な顧客とコモディティ取引業者を擁するジュネーブ金融センターは、第一級の標的である。スイス金融市場監督機構（FINMA）は、オペレーショナル・リスクに関する通達により、監督対象機関にITリスクの管理と、重大なサイバー攻撃の24時間以内の報告を求めている。2025年、連邦は重要インフラに対するサイバー攻撃についての一般的な報告義務を導入した。1既知の事案は、その一部がスイスのフランス語圏の機関に影響を及ぼしたものであるが、成功した攻撃が、機関自身よりもセキュリティの監視が緩やかであった機関のサービス提供者を標的とすることが多いことを示している。2
オペレーショナル・レジリエンスは、サイバーセキュリティだけにとどまらない。それは、障害、攻撃、供給業者の破綻または災害の際に、機関がその重要な機能を維持する能力に関わるものである。それは、それらの機能の特定、シナリオ、テストおよび復旧計画を前提とする。欧州連合（EU）は、2025年1月から適用されているデジタル・オペレーショナル・レジリエンスに関する規則を採択し、機関とその重要なITサービス提供者に詳細な要件を課している。欧州のグループに属し、またはEU域内の顧客にサービスを提供するジュネーブの機関は、その間接的な影響を受けている。3さらに、クラウド・サービスおよび銀行システムの提供者が、そのほぼすべてが米国企業である少数の会社に集中していることは依存を生み出しており、スイスおよび欧州の当局は現在これをシステミック・リスクとみなしている。
注意。 ITをクラウド・サービス提供者に外部委託することで移転されるのは業務の遂行であり、責任は残る。機関は、提供者が外国に所在し、自国の当局へのデータ開示を求め得る法律に服する場合を含め、データの機密性、可用性および完全性について、顧客およびFINMAに対して引き続き責任を負う。
注
- FINMA通達2023/1 “Operational risks and resilience – banks”。通達2008/21に代わるもので、2024年1月1日から施行されている（The Governance Law Firm, “Révision de la FINMA : circulaire Risques et résilience opérationnels – banques”, thegovernancelawfirm.com）。情報セキュリティ法に基づき、重要インフラに対するサイバー攻撃を24時間以内に国家サイバーセキュリティ・センター（NCSC）に報告する義務が2025年4月1日から施行され、2025年10月1日から制裁が科される（NCSC, “L’obligation de signaler les cyberattaques contre des infrastructures critiques entre en vigueur le 1er avril 2025”, bacs.admin.ch）。 ↩
- FINMA, 特集 “Cyber risks (2024)” および監督通知03/2024に関する2024年6月7日付プレスリリース（finma.ch）：2024年には、成功または部分的に成功したサイバー攻撃の報告が前年比で30%増加した。ランサムウェア（PLAY、AKIRAおよびLockbit 3.0の各グループ）、ビジネスメール詐欺、サービス妨害攻撃の波、サプライチェーン攻撃があり、後者は報告されたインシデントの約3分の1を占める。2022～2023年に報告された攻撃の半数超が外部委託サービスに関わるものであった。報告義務は金融市場監督法（FINMASA）第29条第2項に基づく。2023年にはサイバー・リスクに関する10件を超える立入検査が行われた。 ↩
- 金融部門のデジタル・オペレーショナル・レジリエンスに関する2022年12月14日の規則（EU）2022/2554（DORA）。2025年1月17日から適用されている。ITリスク管理、インシデント報告、レジリエンス・テスト、第三者提供者のリスクを対象とする。Autorité de contrôle prudentiel et de résolution, “Digital Operational Resilience Act (DORA)”, acpr.banque-france.fr（2026年9月閲覧）。 ↩
本記事は一般的な情報提供のみを目的としています。法律上または税務上の助言を構成するものではなく、個別案件に関する助言に代わるものでもなく、弁護士と依頼者との間に委任関係を生じさせるものでもありません。本記事は2026年10月時点の法的状況を反映しています。