第2023/1号通函：运营风险与韧性
瑞士金融市场监管局（FINMA）2022年12月7日第2023/1号通函《操作风险与韧性——银行》（“Operational risks and resilience – banks”）于2024年1月1日生效，取代了关于银行操作风险的第2008/21号通函。其中关于运营韧性的规定须在两年过渡期内实施，即在2026年1月1日之前完成。1 该通函载有关于信息和通信技术（ICT）风险管理、网络风险、关键数据、业务连续性管理和运营韧性的要求。机构必须将其IT系统的开发、测试和生产环境分离，并对变更管理加以规范（边码47至60）。机构必须识别网络威胁、保护其资产、发现攻击、应对事件并从中恢复；对于影响关键资产的成功网络攻击，必须在24小时内向FINMA报告，并在72小时内提交完整报告（边码61至70）。2
该通函将关键数据定义为对提供服务或监管目的极为重要、因而需要加强安全措施的数据（边码71至82）。3 用于训练或运行人工智能系统的客户数据往往属于此意义上的关键数据。业务连续性管理要求设定恢复时间目标和恢复点目标，制定连续性计划和灾难恢复计划，并定期进行测试（边码83至96）。最后，运营韧性的概念要求机构识别其关键职能，并界定“中断容忍度”，即在严重但合理的情景下机构所能接受的关键职能最大中断程度，并定期加以测试（边码97至114）。4
对卢加诺的银行而言，运营韧性要求意味着需要识别哪些职能（例如支付、托管和客户访问）属于关键职能，并梳理这些职能所依赖的人员、流程、技术、信息和提供商。如果某个人工智能系统已成为关键职能的一部分，例如一个缺之则无法放行支付的监控系统，机构就必须为其失效预作规划：退回人工流程、采用替代提供商或提供缩减的服务。FINMA在第08/2024号指引中要求对备用方案进行记录，这正是连接两套规则的纽带。5
《信息安全法》规定的网络攻击报告义务
自2025年4月1日起，瑞士关键基础设施的运营者须向国家网络安全中心报告网络攻击；该中心已于2024年改组为联邦网络安全办公室（BACS）。这项义务通过修订《信息安全法》（ISA）而引入，适用对象包括银行、保险公司和金融市场基础设施等。如果攻击危及基础设施的运行、导致信息被篡改或外泄、长期未被发现，或与勒索、威胁或胁迫相关，则须在发现攻击后24小时内报告。自2025年10月1日起，违反报告义务可被处以最高10万瑞士法郎的罚款。6 因此，受FINMA监管的金融机构必须协调两条报告渠道：根据第2023/1号通函向FINMA报告，以及根据《信息安全法》向BACS报告。联邦当局已提供统一的报告表格，使一份报告即可同时满足两方面的要求。7
注释
- FINMA第2023/1号通函“Operational risks and resilience – banks”，2022年12月7日，https://www.finma.ch/en/~/media/finma/dokumente/dokumentencenter/myfinma/ rundschreiben/finma-rs-2023-01-20221207.pdf?la=en。 ↩
- FINMA第2023/1号通函（同上），边码47–70。 ↩
- FINMA第2023/1号通函（同上），边码71–82。 ↩
- FINMA第2023/1号通函（同上），边码83–114。 ↩
- FINMA，第08/2024号指引（同上），第2.5节。 ↩
- 2020年12月18日《联邦信息安全法》（Information Security Act，ISA），SR 128，第74a–74h条及第74e条（处罚），经2023年9月29日联邦法律修订；2025年3月7日《网络安全条例》（CSO），SR 128.51。自2025年4月1日起生效，处罚自2025年10月1日起适用。 ↩
- 联邦网络安全办公室（BACS），关于报告义务及报告表格的信息。 ↩
仅供一般参考。本文不构成法律或税务意见，不能替代针对个案的咨询，亦不建立律师与客户之间的委托关系。本文反映截至 十月 2026 的法律状况。