Циркуляр 2023/1: операционные риски и устойчивость
Циркуляр FINMA 2023/1 «Operational risks and resilience – banks» от 7 декабря 2022 г. вступил в силу 1 января 2024 г. и заменил Циркуляр 2008/21 об операционных рисках банков. Его положения об операционной устойчивости должны были быть реализованы в течение двухлетнего переходного периода, то есть до 1 января 2026 г.1 Циркуляр содержит требования к управлению рисками в сфере информационных и коммуникационных технологий, киберрисками, критически важными данными, к управлению непрерывностью деятельности и операционной устойчивостью. Учреждения должны разделять среды разработки, тестирования и эксплуатации своих ИТ-систем и регулировать управление изменениями (маргинальные номера 47–60). Они должны выявлять киберугрозы, защищать свои активы, обнаруживать атаки, реагировать на инциденты и восстанавливаться после них, а также сообщать FINMA об успешных кибератаках, затрагивающих критически важные активы, в течение 24 часов с последующим представлением полного отчёта в течение 72 часов (маргинальные номера 61–70).2
Циркуляр определяет критически важные данные как данные, значение которых для оказания услуг или для регуляторных целей настолько велико, что они требуют повышенных мер безопасности (маргинальные номера 71–82).3 Клиентские данные, используемые для обучения или работы системы искусственного интеллекта, зачастую будут критически важными данными в этом смысле. Управление непрерывностью деятельности требует установления целевого времени восстановления и целевой точки восстановления, планов обеспечения непрерывности и аварийного восстановления, а также регулярного тестирования (маргинальные номера 83–96). Наконец, концепция операционной устойчивости требует от учреждений выявить свои критически важные функции и определить «допустимые пределы нарушений» (tolerances for disruption) — максимальное нарушение критически важной функции, которое учреждение может допустить при тяжёлых, но правдоподобных сценариях, — и регулярно их тестировать (маргинальные номера 97–114).4
Для банка из Лугано требования к операционной устойчивости означали необходимость определить, какие функции — например, платежи, хранение и доступ клиентов — являются критически важными, и составить карту людей, процессов, технологий, информации и поставщиков, от которых они зависят. Если система искусственного интеллекта стала частью критически важной функции — например, система мониторинга, без которой невозможно провести платежи, — учреждение должно предусмотреть её отказ: переход на ручные процессы, альтернативного поставщика или сокращённый объём услуг. Документирование резервных решений, которого FINMA требует в Руководстве 08/2024, связывает эти два комплекса правил.5
Обязанность сообщать о кибератаках по Закону об информационной безопасности
С 1 апреля 2025 г. операторы критической инфраструктуры в Швейцарии обязаны сообщать о кибератаках в Национальный центр кибербезопасности, который в 2024 г. стал Федеральным ведомством по кибербезопасности (BACS). Эта обязанность была введена поправкой к Закону об информационной безопасности и распространяется, в частности, на банки, страховые компании и инфраструктуры финансового рынка. Сообщения должны направляться в течение 24 часов с момента обнаружения атаки, которая угрожает функционированию инфраструктуры, привела к манипулированию информацией или её утечке, долгое время оставалась необнаруженной или связана с шантажом, угрозами или принуждением. С 1 октября 2025 г. нарушения обязанности сообщать наказываются штрафом в размере до 100 000 швейцарских франков.6 Поэтому финансовые учреждения, поднадзорные FINMA, должны координировать два канала отчётности: сообщение в FINMA в соответствии с Циркуляром 2023/1 и сообщение в BACS в соответствии с Законом об информационной безопасности. Федеральные органы предусмотрели единую форму сообщения, чтобы одно сообщение могло служить обеим целям.7
Примечания
- Циркуляр FINMA 2023/1 «Operational risks and resilience – banks» от 7 декабря 2022 г., https://www.finma.ch/en/~/media/finma/dokumente/dokumentencenter/myfinma/ rundschreiben/finma-rs-2023-01-20221207.pdf?la=en. ↩
- Циркуляр FINMA 2023/1 (см. выше), маргинальные номера 47–70. ↩
- Циркуляр FINMA 2023/1 (см. выше), маргинальные номера 71–82. ↩
- Циркуляр FINMA 2023/1 (см. выше), маргинальные номера 83–114. ↩
- FINMA, Руководство 08/2024 (см. выше), раздел 2.5. ↩
- Федеральный закон об информационной безопасности в Конфедерации от 18 декабря 2020 г. (Закон об информационной безопасности, ISA), SR 128, ст. 74a–74h и 74e (санкции), в редакции Федерального закона от 29 сентября 2023 г.; Ордонанс о кибербезопасности от 7 марта 2025 г. (CSO), SR 128.51. Действует с 1 апреля 2025 г., санкции применяются с 1 октября 2025 г. ↩
- Федеральное ведомство по кибербезопасности (BACS), информация об обязанности сообщать и форма сообщения. ↩
Только для общего ознакомления. Настоящая статья не является юридической или налоговой консультацией, не заменяет консультацию по конкретному делу и не создаёт отношений между адвокатом и клиентом. Она отражает правовое положение по состоянию на октябрь 2026 г.