루가노의 제공자와 이탈리아 은행: DORA의 적용 범위
운영 복원력에 관한 규정은 루가노에 국경을 넘는 차원을 지닌다. 일부 티치노주(칸톤) 기업은 이탈리아의 은행과 금융기관에 IT 서비스, 소프트웨어 또는 데이터 처리를 제공한다. 2025년 1월 17일부터 이들 고객에게는 유럽연합(EU)의 「디지털 운영 복원력법」(DORA)이 적용되고 있다. 이 법은 EU 역내 금융기관에 ICT 제3자 리스크를 관리하고, ICT 서비스 제공자와의 계약에 특정 조항을 포함하며, 모든 계약상 약정에 관한 정보 등록부를 유지할 것을 요구한다.1 따라서 이탈리아 은행에 ICT 서비스를 제공하는 루가노의 제공자는, 스스로는 이 규정의 적용을 받지 않더라도, 서비스 수준, 보안, 감사, 해지 및 출구 전략에 관하여 DORA를 따르는 계약 조건을 수용하도록 요구받게 된다. 제공자가 EU 차원에서 핵심 ICT 제3자 서비스 제공자로 지정된다면 EU 역내에 자회사를 설립해야 할 것이다. 이 지정은 대형 제공자에 한정되지만, 계약상 요건은 EU 금융기관의 모든 제공자에게 미친다.
FINMA의 아웃소싱 회람과 복원력 회람, 스위스의 사이버 공격 보고의무, 그리고 DORA가 결합하여, 기술을 사용하거나 제공하는 모든 루가노 기관에 촘촘한 요건 체계를 형성한다. 이는 동시에 하나의 시장을 만들어 낸다. 이들 규정이 요구하는 문서화, 테스트 및 계약 업무는 컴플라이언스 컨설턴트, 법률사무소, 감사법인 및 IT 보안기업이 수행하며, 그중 다수는 티치노주에 기반을 두고 국경 양쪽의 고객에게 서비스를 제공한다.
요점. 제3자가 공급하는 인공지능이 중요한 기능을 지원하는 경우, 스위스 금융시장감독청(FINMA)의 아웃소싱에 관한 회람 2018/3이 적용된다. 2024년 1월 1일부터 시행된 FINMA 회람 2023/1은 ICT 및 사이버 리스크, 핵심 데이터, 업무연속성 및 운영 복원력에 관한 요건을 추가하며, 복원력에 관하여는 2026년 1월 1일을 기한으로 한다. 2025년 4월 1일부터 은행 및 기타 핵심 기반시설은 「정보보안법」(ISA)에 따라 사이버 공격을 24시간 이내에 보고해야 한다. 이탈리아 은행에 서비스를 제공하는 루가노의 제공자는 EU DORA의 계약상 요건을 충족해야 한다.
주석
- Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector (DORA), OJ L 333, 27.12.2022, p. 1, 2025년 1월 17일부터 적용(공포 정보 및 일자는 https://eur-lex.europa.eu/eli/reg/2022/2554/oj/eng에서 확인). ↩
일반적인 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문에 해당하지 않으며, 개별 사안에 대한 자문을 대체하지 않고, 변호사와 의뢰인 간의 위임 관계를 성립시키지 않습니다. 이 글은 2026년 10월 기준의 법적 상황을 반영합니다.