ルガーノの提供者とイタリアの銀行：DORAの射程
オペレーショナル・レジリエンスに関する規律は、ルガーノにとって国境を越える側面を有している。ティチーノの一部の企業は、イタリアの銀行および金融機関にITサービス、ソフトウェアまたはデータ処理を提供している。2025年1月17日以降、これらの顧客は欧州連合のデジタル・オペレーショナル・レジリエンス法（DORA）の適用を受けている。同法は、域内の金融事業体に対し、ICTの第三者リスクを管理し、ICTサービス提供者との契約に特定の条項を盛り込み、すべての契約上の取決めに関する情報の登録簿を保持することを求めている。1 したがって、イタリアの銀行にICTサービスを提供するルガーノの提供者は、自らは同規則の適用を受けないにもかかわらず、DORAに準拠したサービス水準、セキュリティ、監査、解約および出口戦略に関する契約条件を受け入れるよう求められることになる。提供者が連合レベルで重要なICT第三者サービス提供者に指定された場合には、域内に子会社を設立しなければならない。この指定は大規模な提供者に限られるが、契約上の要件は連合の金融事業体のあらゆる提供者に及ぶ。
スイス金融市場監督機構（FINMA）のアウトソーシングおよびレジリエンスに関する通達、スイスのサイバー攻撃報告義務、ならびにDORAの組合せは、技術を利用し、または提供するルガーノのあらゆる機関に対して、密度の高い一連の要件を生み出している。それはまた市場をも生み出している。これらの規律が求める文書化、テストおよび契約作業は、コンプライアンス・コンサルタント、法律事務所、監査法人およびITセキュリティ企業によって行われており、そのいくつかはティチーノに拠点を置き、国境の両側の顧客にサービスを提供している。
要点。第三者が供給する人工知能は、重要な機能を支える場合には、アウトソーシングに関するFINMA通達2018/3の適用を受ける。2024年1月1日に施行されたFINMA通達2023/1は、ICTリスクおよびサイバー・リスク、重要データ、事業継続ならびにオペレーショナル・レジリエンスに関する要件を加えており、レジリエンスについては2026年1月1日が期限とされた。2025年4月1日以降、銀行その他の重要インフラは、情報セキュリティ法に基づき24時間以内にサイバー攻撃を報告しなければならない。イタリアの銀行にサービスを提供するルガーノの提供者は、EUのDORAの契約上の要件を満たさなければならない。
注
- 金融部門のデジタル・オペレーショナル・レジリエンスに関する2022年12月14日の欧州議会および理事会の規則（EU）2022/2554（DORA）、OJ L 333, 27.12.2022, p. 1、2025年1月17日から適用（公布データおよび日付はhttps://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng で確認済み）。 ↩
本記事は一般的な情報提供のみを目的としています。法律上または税務上の助言を構成するものではなく、個別案件に関する助言に代わるものでもなく、弁護士と依頼者との間に委任関係を生じさせるものでもありません。本記事は2026年10月時点の法的状況を反映しています。