사이버보안과 운영 복원력

디지털화에는 그 이면, 즉 취약성이 따른다. 금융기관은 랜섬웨어, 피싱 또는 공급업체 침해 등 사이버 공격의 주요 표적이다. 부유층 고객과 원자재 트레이더를 거느린 제네바 금융 중심지는 핵심 표적이다. 스위스 금융시장감독청(FINMA)은 운영 위험에 관한 회람을 통해 감독 대상 기관에 IT 위험을 관리하고 중대한 사이버 공격을 24시간 이내에 보고할 것을 요구한다. 2025년 연방은 핵심 기반시설에 대한 사이버 공격의 일반적 보고 의무를 도입하였다.¹ 알려진 사례들은, 그중 다수가 프랑스어권 스위스의 기관에 피해를 입혔는데, 성공한 공격이 흔히 기관의 서비스 제공업체를 겨냥한다는 점을 보여 준다. 이러한 제공업체의 보안은 기관 자체의 보안보다 덜 면밀하게 감시되었다.²

운영 복원력은 사이버 보안에 그치지 않는다. 이는 장애, 공격, 공급업체의 부도 또는 재해가 발생한 경우에도 기관이 핵심 기능을 유지할 수 있는 능력에 관한 것이다. 이를 위해서는 그러한 기능의 식별, 시나리오, 테스트와 복구 계획이 전제되어야 한다. 유럽연합(EU)은 디지털 운영 복원력에 관한 규정을 채택하였으며, 이 규정은 2025년 1월부터 적용되어 금융기관과 그 핵심 IT 서비스 제공업체에 상세한 요건을 부과한다. 유럽 그룹에 속하거나 EU 내 고객에게 서비스를 제공하는 제네바의 기관들은 그 간접적 영향을 받는다.³ 나아가 클라우드 서비스 및 은행 시스템 제공업체가 거의 모두 미국 기업인 소수의 회사에 집중되어 있다는 사실은 의존성을 낳으며, 스위스와 유럽 당국은 이제 이를 시스템 위험으로 간주한다.

주의. IT를 클라우드 서비스 제공업체에 외주화하면 업무 수행은 이전되지만 책임은 남는다. 제공업체가 외국에 설립되어 있고 자국 당국에 데이터를 공개하도록 요구할 수 있는 법률의 적용을 받는 경우에도, 기관은 데이터의 기밀성, 가용성 및 무결성에 대하여 고객과 FINMA에 계속 책임을 진다.

주석

1. FINMA 회람 2023/1 “Operational risks and resilience – banks”. 이 회람은 회람 2008/21을 대체하며 2024년 1월 1일부터 시행 중이다(The Governance Law Firm, “Révision de la FINMA : circulaire Risques et résilience opérationnels – banques”, thegovernancelawfirm.com). 핵심 기반시설에 대한 사이버 공격을 24시간 이내에 국가사이버보안센터(NCSC)에 보고할 의무는 「정보보안법」에 근거하며 2025년 4월 1일부터 시행 중이고, 2025년 10월 1일부터 제재가 적용된다(NCSC, “L’obligation de signaler les cyberattaques contre des infrastructures critiques entre en vigueur le 1er avril 2025”, bacs.admin.ch). ↩
2. FINMA, “Cyber risks (2024)” 자료 및 감독 통지 03/2024에 관한 2024년 6월 7일 보도자료(finma.ch): 2024년 성공했거나 부분적으로 성공한 사이버 공격의 보고가 전년 대비 30% 증가하였다. 랜섬웨어(PLAY, AKIRA, Lockbit 3.0 그룹), 비즈니스 이메일 침해, 연속적인 서비스 거부 공격과 공급망 공격이 있었으며, 공급망 공격은 보고된 사고의 거의 3분의 1을 차지하였다. 2022-2023년에 보고된 공격의 절반 이상이 외주화된 서비스와 관련되었다. 보고 의무는 「금융시장감독법」 제29조 제2항(FINMASA)에 근거한다. 2023년에는 사이버 위험에 관한 현장 검사가 12회 이상 실시되었다. ↩
3. 금융 부문의 디지털 운영 복원력에 관한 2022년 12월 14일 규정(EU) 2022/2554(DORA), 2025년 1월 17일부터 적용: IT 위험관리, 사고 보고, 복원력 테스트, 제3자 제공업체 위험; Autorité de contrôle prudentiel et de résolution, “Digital Operational Resilience Act (DORA)”, acpr.banque-france.fr (2026년 9월 확인). ↩

일반적인 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문에 해당하지 않으며, 개별 사안에 대한 자문을 대체하지 않고, 변호사와 의뢰인 간의 위임 관계를 성립시키지 않습니다. 이 글은 2026년 10월 기준의 법적 상황을 반영합니다.