通達2023/1：オペレーショナル・リスクとレジリエンス
2022年12月7日のスイス金融市場監督機構（FINMA）通達2023/1「Operational risks and resilience – banks」は、2024年1月1日に施行され、銀行のオペレーショナル・リスクに関する通達2008/21に取って代わった。そのオペレーショナル・レジリエンスに関する規定は、2年間の経過期間内、すなわち2026年1月1日までに実施されなければならなかった。1 同通達は、情報通信技術（ICT）リスク、サイバー・リスク、重要データ、事業継続管理およびオペレーショナル・レジリエンスの管理に関する要件を定めている。機関は、そのITシステムについて開発環境、テスト環境および本番環境を分離し、変更管理を規律しなければならない（欄外番号47から60）。機関は、サイバー脅威を特定し、その資産を保護し、攻撃を検知し、インシデントに対応してそこから復旧しなければならず、重要な資産に影響を及ぼすサイバー攻撃が成功した場合には、24時間以内にFINMAに報告し、72時間以内に完全な報告を行わなければならない（欄外番号61から70）。2
同通達は、重要データを、サービスの提供または規制目的にとってその重要性が非常に大きく、強化されたセキュリティ措置を要するデータと定義している（欄外番号71から82）。3 人工知能システムの訓練または運用に用いられる顧客データは、多くの場合この意味での重要データとなる。事業継続管理は、目標復旧時間および目標復旧時点、事業継続計画および災害復旧計画、ならびに定期的なテストを要求する（欄外番号83から96）。最後に、オペレーショナル・レジリエンスの概念は、機関に対し、その重要な機能を特定し、「中断の許容度」、すなわち深刻だが起こりうるシナリオの下で機関が受け入れることのできる重要な機能の中断の最大限度を定め、これを定期的にテストすることを求めている（欄外番号97から114）。4
ルガーノの銀行にとって、オペレーショナル・レジリエンスの要件は、決済、カストディおよび顧客のアクセスなど、どの機能が重要であるかを特定し、それらが依存する人員、プロセス、技術、情報および提供者を整理することを意味した。人工知能システムが重要な機能の一部となっている場合、例えばそれなしには支払を実行できない監視システムである場合には、機関はその障害に備えなければならない。すなわち、手作業のプロセスへの切替え、代替の提供者、または縮小したサービスである。FINMAがガイダンス08/2024で求める代替策の文書化は、二つの規律の連結点である。5
情報セキュリティ法に基づくサイバー攻撃の報告義務
2025年4月1日以降、スイスの重要インフラの運営者は、2024年に連邦サイバーセキュリティ庁（BACS）となった国家サイバーセキュリティ・センターにサイバー攻撃を報告することを義務付けられている。この義務は情報セキュリティ法の改正により導入され、とりわけ銀行、保険会社および金融市場インフラに適用される。報告は、インフラの機能を危険にさらし、情報の改ざんもしくは流出をもたらし、長期間にわたり検知されず、または恐喝、脅迫もしくは強要を伴う攻撃の発見から24時間以内に行わなければならない。報告義務の違反は、2025年10月1日以降、10万スイスフラン以下の罰金の対象となっている。6 したがって、FINMAの監督を受ける金融機関は、通達2023/1に基づくFINMAへの報告と情報セキュリティ法に基づくBACSへの報告という二つの報告経路を調整しなければならない。連邦当局は、一つの報告で両方の目的を満たすことができるよう、共通の報告様式を用意している。7
注
- 2022年12月7日のFINMA通達2023/1「Operational risks and resilience – banks」、https://www.finma.ch/en/~/media/finma/dokumente/dokumentencenter/myfinma/ rundschreiben/finma-rs-2023-01-20221207.pdf?la=en。 ↩
- FINMA通達2023/1（前掲）、欄外番号47から70。 ↩
- FINMA通達2023/1（前掲）、欄外番号71から82。 ↩
- FINMA通達2023/1（前掲）、欄外番号83から114。 ↩
- FINMA、ガイダンス08/2024（前掲）、第2.5節。 ↩
- 2020年12月18日の連邦における情報セキュリティに関する連邦法（情報セキュリティ法（ISA））、SR 128、第74a条から第74h条および第74e条（制裁）、2023年9月29日の連邦法による改正後のもの。2025年3月7日のサイバーセキュリティ令（CSO）、SR 128.51。2025年4月1日施行、制裁は2025年10月1日から適用。 ↩
- 連邦サイバーセキュリティ庁（BACS）、報告義務および報告様式に関する情報。 ↩
本記事は一般的な情報提供のみを目的としています。法律上または税務上の助言を構成するものではなく、個別案件に関する助言に代わるものでもなく、弁護士と依頼者との間に委任関係を生じさせるものでもありません。本記事は2026年10月時点の法的状況を反映しています。