Кибербезопасность и операционная устойчивость
У цифровизации есть оборотная сторона — уязвимость. Финансовые учреждения — излюбленные мишени кибератак, будь то программы-вымогатели, фишинг или компрометация поставщиков. Женевский финансовый центр с его состоятельными клиентами и сырьевыми трейдерами — первостепенная цель. Своим циркуляром об операционных рисках FINMA обязывает поднадзорные учреждения управлять ИТ-рисками и сообщать о серьёзных кибератаках в течение двадцати четырёх часов. В 2025 году Конфедерация ввела общую обязанность сообщать о кибератаках на критическую инфраструктуру.1 Известные случаи, некоторые из которых затронули учреждения франкоязычной Швейцарии, показывают, что успешные атаки часто направлены на поставщиков услуг учреждения, за безопасностью которых следили менее пристально, чем за безопасностью самого учреждения.2
Операционная устойчивость шире, чем одна лишь кибербезопасность. Она касается способности учреждения сохранять свои критически важные функции в случае сбоя, атаки, отказа поставщика или катастрофы. Она предполагает определение этих функций, сценарии, тестирование и планы восстановления. Европейский союз принял регламент о цифровой операционной устойчивости, применяемый с января 2025 года, который устанавливает детальные требования к учреждениям и их критически важным поставщикам ИТ-услуг. Женевские учреждения, входящие в европейские группы или обслуживающие клиентов в Союзе, ощущают его косвенное воздействие.3 Кроме того, концентрация поставщиков облачных услуг и банковских систем в руках нескольких компаний, почти исключительно американских, создаёт зависимость, которую швейцарские и европейские органы теперь рассматривают как системный риск.
Предостережение. Передача ИТ на аутсорсинг поставщикам облачных услуг переносит исполнение, но ответственность остаётся. Учреждение по-прежнему отвечает перед клиентами и FINMA за конфиденциальность, доступность и целостность данных, в том числе когда поставщик находится за рубежом и подчиняется законам, которые могут обязать его раскрыть данные органам власти своей страны.
Примечания
- Циркуляр FINMA 2023/1 «Операционные риски и устойчивость — банки», заменивший циркуляр 2008/21 и действующий с 1 января 2024 г. (The Governance Law Firm, «Révision de la FINMA : circulaire Risques et résilience opérationnels – banques», thegovernancelawfirm.com); обязанность сообщать о кибератаках на критическую инфраструктуру в Национальный центр кибербезопасности в течение двадцати четырёх часов на основании Закона об информационной безопасности, действующая с 1 апреля 2025 г., с санкциями с 1 октября 2025 г. (NCSC, «L’obligation de signaler les cyberattaques contre des infrastructures critiques entre en vigueur le 1er avril 2025», bacs.admin.ch). ↩
- FINMA, досье «Cyber risks (2024)» и пресс-релиз от 7 июня 2024 г. о надзорном сообщении 03/2024 (finma.ch): рост числа сообщений об успешных или частично успешных кибератаках на 30 процентов в 2024 г. по сравнению с предыдущим годом; программы-вымогатели (группировки PLAY, AKIRA и Lockbit 3.0), компрометация деловой электронной почты, волны атак типа «отказ в обслуживании» и атаки на цепочки поставок, на которые приходится почти треть зарегистрированных инцидентов; более половины атак, о которых сообщалось в 2022–2023 гг., касались услуг, переданных на аутсорсинг; обязанность сообщать основана на ст. 29 п. 2 FINMASA; в 2023 г. проведено более десятка выездных проверок, посвящённых киберрискам. ↩
- Регламент (ЕС) 2022/2554 от 14 декабря 2022 г. о цифровой операционной устойчивости финансового сектора (DORA), применяется с 17 января 2025 г.: управление ИТ-рисками, сообщение об инцидентах, тестирование устойчивости, риски сторонних поставщиков; Autorité de contrôle prudentiel et de résolution, «Digital Operational Resilience Act (DORA)», acpr.banque-france.fr (дата обращения: сентябрь 2026 г.). ↩
Только для общего ознакомления. Настоящая статья не является юридической или налоговой консультацией, не заменяет консультацию по конкретному делу и не создаёт отношений между адвокатом и клиентом. Она отражает правовое положение по состоянию на октябрь 2026 г.