회람 2023/1: 운영위험과 복원력
2022년 12월 7일 스위스 금융시장감독청(FINMA) 회람 2023/1 “Operational risks and resilience – banks”는 2024년 1월 1일에 시행되어 은행의 운영리스크에 관한 회람 2008/21을 대체하였다. 운영 복원력에 관한 규정은 2년의 경과기간 내에, 즉 2026년 1월 1일까지 이행되어야 했다.1 이 회람은 정보통신기술 리스크, 사이버 리스크, 핵심 데이터, 업무연속성 관리 및 운영 복원력의 관리에 관한 요건을 담고 있다. 기관은 IT 시스템의 개발·테스트·운영 환경을 분리하고 변경 관리를 규율해야 한다(난외번호 47–60). 기관은 사이버 위협을 식별하고, 자산을 보호하며, 공격을 탐지하고, 사고에 대응하여 이로부터 복구해야 한다. 또한 핵심 자산에 영향을 미치는 성공한 사이버 공격은 24시간 이내에 FINMA에 보고하고, 이어 72시간 이내에 완전한 보고서를 제출해야 한다(난외번호 61–70).2
이 회람은 핵심 데이터를 서비스 제공이나 규제 목적상 그 중요성이 매우 커서 강화된 보안 조치가 필요한 데이터로 정의한다(난외번호 71–82).3 인공지능 시스템의 학습이나 운영에 사용되는 고객 데이터는 많은 경우 이러한 의미의 핵심 데이터에 해당할 것이다. 업무연속성 관리에는 복구 목표 시간과 복구 목표 시점, 연속성 계획 및 재해복구 계획, 그리고 정기적인 테스트가 필요하다(난외번호 83–96). 끝으로, 운영 복원력의 개념은 기관이 핵심 기능을 식별하고 “중단 허용 한도”, 즉 심각하지만 발생 가능한 시나리오에서 기관이 감수할 수 있는 핵심 기능의 최대 중단 정도를 정하며, 이를 정기적으로 테스트할 것을 요구한다(난외번호 97–114).4
루가노의 은행에 운영 복원력 요건은 지급결제, 보관, 고객 접근과 같은 기능 중 어떤 것이 핵심 기능인지 식별하고, 이들 기능이 의존하는 인력, 프로세스, 기술, 정보 및 제공자를 파악하는 것을 의미하였다. 인공지능 시스템이 핵심 기능의 일부가 된 경우, 예컨대 그것 없이는 지급을 실행할 수 없는 모니터링 시스템의 경우, 기관은 그 장애에 대비해야 한다. 수작업 프로세스로의 전환, 대체 제공자 또는 축소된 서비스가 그 방안이다. FINMA가 지침 08/2024에서 요구하는 대체 방안의 문서화는 두 규범 체계를 잇는 연결고리이다.5
「정보보안법」상 사이버 공격 보고의무
2025년 4월 1일부터 스위스의 핵심 기반시설 운영자는 사이버 공격을 국가사이버보안센터에 보고해야 하며, 이 센터는 2024년에 연방 사이버보안청(BACS)이 되었다. 이 의무는 「정보보안법」(ISA) 개정으로 도입되었으며, 특히 은행, 보험회사 및 금융시장 인프라에 적용된다. 기반시설의 기능을 위태롭게 하거나, 정보의 조작이나 유출을 초래하였거나, 장기간 탐지되지 않았거나, 협박·위협·강요와 관련된 공격은 발견 후 24시간 이내에 보고해야 한다. 보고의무 위반은 2025년 10월 1일부터 최고 10만 스위스 프랑의 벌금에 처해진다.6 따라서 FINMA의 감독을 받는 금융기관은 회람 2023/1에 따른 FINMA 보고와 「정보보안법」에 따른 BACS 보고라는 두 보고 경로를 조율해야 한다. 연방 당국은 하나의 보고로 두 목적을 모두 충족할 수 있도록 공통 보고 양식을 마련하였다.7
주석
- FINMA 회람 2023/1 “Operational risks and resilience – banks”(2022년 12월 7일), https://www.finma.ch/en/~/media/finma/dokumente/dokumentencenter/myfinma/ rundschreiben/finma-rs-2023-01-20221207.pdf?la=en. ↩
- FINMA 회람 2023/1(앞의 주), 난외번호 47–70. ↩
- FINMA 회람 2023/1(앞의 주), 난외번호 71–82. ↩
- FINMA 회람 2023/1(앞의 주), 난외번호 83–114. ↩
- FINMA, 지침 08/2024(앞의 주), 제2.5절. ↩
- 2020년 12월 18일 「연방 정보보안법」(Information Security Act, ISA), SR 128, 제74a조–제74h조 및 제74e조(제재), 2023년 9월 29일 연방법에 의한 개정 포함; 2025년 3월 7일 「사이버보안 시행령」(CSO), SR 128.51. 2025년 4월 1일부터 시행, 제재는 2025년 10월 1일부터 적용. ↩
- 연방 사이버보안청(BACS), 보고의무 및 보고 양식에 관한 안내. ↩
일반적인 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문에 해당하지 않으며, 개별 사안에 대한 자문을 대체하지 않고, 변호사와 의뢰인 간의 위임 관계를 성립시키지 않습니다. 이 글은 2026년 10월 기준의 법적 상황을 반영합니다.