운영 복원력과 사이버 리스크
스위스 금융시장감독청(FINMA) 회람 2023/1
AI 시스템은 금융기관의 정보통신기술(ICT)의 일부이며, 그 장애나 조작은 운영위험에 해당한다. 2022년 12월에 공표된 스위스 금융시장감독청(FINMA) 회람 2023/1 “Operational risks and resilience – banks”는 2024년 1월 1일 시행되었다. 이 회람은 바젤은행감독위원회가 2021년 3월에 공표한 운영위험 및 운영 회복력에 관한 원칙을 반영하고 있다. 회람에는 ICT 위험, 사이버 위험 및 핵심 데이터의 관리에 관한 별도의 장이 마련되어 있으며, FINMA가 종전에 승인하였던 스위스은행협회의 업무연속성 권고를 대체하였다. 운영 회복력에 관한 요건에는 경과기간이 적용되었고, 이 경과기간은 2026년 1월 1일 종료되었다.1
운영 회복력이란 은행이 심각한 장애 상황에서도 정해진 허용 범위 내에서 핵심 기능을 계속 수행할 수 있어야 한다는 것을 의미한다. 지급 모니터링이나 고객 온보딩과 같은 핵심 프로세스에 AI 도구가 사용되면, 금융기관은 모델이 작동하지 않거나 신뢰할 수 없는 결과를 내거나 제공업체의 장애로 이용할 수 없게 되는 경우에도 해당 프로세스를 운영할 수 있어야 한다. 실무적으로 이는 대체 절차, 문서화된 수작업 프로세스 및 장애 시나리오 테스트를 요구한다. 회람이 도입한 핵심 데이터라는 범주 역시 AI 프로젝트에 영향을 미친다. 핵심 데이터로 모델을 학습시키거나 운영하는 경우, 금융기관은 기밀성, 무결성 및 가용성에 관한 회람상의 통제를 AI 환경에도 적용하여야 한다.
FINMA에 대한 사이버 보고
사이버 위험은 이와 밀접하게 연결되어 있다. FINMA는 「금융시장감독법」(FINMASA) 제29조 제2항에 따라 피감독 금융기관에 대하여 핵심 기능에 대한 중대한 사이버 공격을 보고하도록 요구한다. 감독 지침 05/2020은 2단계 절차를 마련하였는데, 24시간 이내의 최초 통지와 72시간 이내의 완전한 보고가 그것이다. 감독 지침 03/2024는 사이버 감독에서 FINMA가 관찰한 사항을 정리하고 종전 지침을 명확히 하였으며, 시나리오 기반의 사이버 훈련을 요구하였다. FINMA는 사이버 위험을 스위스 금융 중심지의 주요 위험 가운데 하나로 꼽는다.2
AI는 위협 환경을 두 방향으로 변화시킨다. 공격자는 생성형 모델을 이용하여 그럴듯한 피싱 메시지, 위조 문서, 그리고 경영진이나 고객을 흉내 내는 합성 음성을 만들어 낸다. 앞서 언급한 바와 같이 스위스은행협회는 딥페이크와 경영진을 사칭한 허위 연락을 생성형 AI의 주요 위험으로 열거하고 있다. AI 시스템을 도입하는 금융기관 역시 새로운 공격 지점을 만들어 낸다. 챗봇에 대한 프롬프트 인젝션, 학습 데이터 오염, 모델 탈취 등이 그 예이다. 제III절에서 다룬 Check Point의 취리히 기업 Lakera 인수는 AI 시스템의 방어가 그 자체로 하나의 전문 분야가 되었음을 보여 준다.
핵심 기반시설에 대한 NCSC 보고의무
2025년 4월 1일부터 핵심 기반시설 운영자는 개정 「정보보안법」(ISG) 및 「사이버보안 시행령」에 따라 사이버 공격을 발견한 때로부터 24시간 이내에 국가사이버보안센터(NCSC)에 보고하여야 한다. 이 의무는 기반시설의 기능을 위태롭게 하거나, 정보의 조작 또는 유출로 이어지거나, 협박·위협·강요를 수반하는 공격을 대상으로 한다. 최초 보고는 14일 이내에 보완할 수 있다. 보고 불이행에 대한 제재는 2025년 10월 1일에 종료된 경과기간 이후에야 부과될 수 있었다.3 법적 근거는 「정보보안법」 제74a조 이하에 있다.4
「정보보안법」은 에너지 공급업체, 운송회사 및 공공행정기관과 함께 은행, 보험회사 및 금융시장 인프라를 보고의무가 적용되는 기관에 포함시키고 있다.5 따라서 피감독 금융기관에는 FINMA에 대한 보고와 NCSC에 대한 보고라는 두 개의 병렬적인 보고 경로가 생긴다. 두 의무는 그 대상에서 중첩되지만, 서로 다른 법적 근거에 기초하며 서로 다른 목적을 추구한다. 건전성 감독기관은 금융기관의 회복력을 평가하는 반면, NCSC는 국가 차원의 위협 현황을 파악한다. 예를 들어 고객 대면 챗봇에 대한 공격이 성공하여 고객 데이터가 유출되는 것과 같은 AI 관련 사고의 경우, 금융기관은 「연방 데이터보호법」(FADP)의 정보유출 관련 규정에 따라 연방 데이터보호·정보위원(FDPIC)에게도 통지하여야 할 수 있다. 그러한 경우 금융기관은 동시에 고객과의 관계에서 은행 비밀유지 문제도 다루어야 할 것이다.
주석
- FINMA, “FINMA publishes Circular ‘Operational risks and resilience – banks’”, 2022년 12월 13일, https://www.finma.ch/en/news/2022/12/20221213-mm-anh-rs-op-risks/. ↩
- FINMA, “New cyber supervisory approach and guidance”(사이버 위험 자료집), https://www.finma.ch/en/documentation/dossier/dossier-cyberrisiken/new-cyber-supervisory-approach-and-guidance/ (2026년 9월 확인). ↩
- 국가사이버보안센터, “Obligation to report cyberattacks on critical infrastructure comes into force on 1 April”, https://www.bacs.admin.ch/en/25-mp2-en (2026년 9월 확인). ↩
- 국가사이버보안센터, “Legal basis for the reporting obligation”, https://www.bacs.admin.ch/en/legal-basis-for-the-reporting-obligation (2026년 9월 확인). ↩
- Célian Hirsch, “Die neue Meldepflicht wird konkreter”, cdbf.ch, 2024년 5월 27일, https://cdbf.ch/de/1351/ (“Zu diesen Infrastrukturen gehören insbesondere Banken, Versicherungen, Finanzmarktinfrastrukturen oder auch Cloud-Anbieter (Art. 74b ISG).”); 에너지 공급업체, 운송회사 및 주(칸톤)·기초자치단체(게마인데) 행정기관에 관하여는 국가사이버보안센터, “Legal basis for the reporting obligation”(앞의 주). ↩
일반적인 정보 제공만을 목적으로 합니다. 이 글은 법률 또는 세무 자문에 해당하지 않으며, 개별 사안에 대한 자문을 대체하지 않고, 변호사와 의뢰인 간의 위임 관계를 성립시키지 않습니다. 이 글은 2026년 10월 기준의 법적 상황을 반영합니다.