Cibersegurança e resiliência operacional
A digitalização tem uma contrapartida: a vulnerabilidade. As instituições financeiras são os alvos preferidos de ataques cibernéticos, seja por ransomware, phishing ou comprometimento de fornecedores. O centro financeiro de Genebra, com seus clientes abastados e seus traders de commodities, é um alvo privilegiado. Por meio de sua circular sobre riscos operacionais, a Autoridade Suíça de Supervisão do Mercado Financeiro (FINMA) exige que as instituições supervisionadas administrem os riscos de tecnologia da informação e comuniquem os ataques cibernéticos graves em vinte e quatro horas. Em 2025, a Confederação introduziu uma obrigação geral de comunicar ataques cibernéticos contra infraestruturas críticas.1 Os casos conhecidos, vários dos quais afetaram instituições da Suíça francófona, mostram que os ataques bem-sucedidos visam muitas vezes os prestadores de serviços da instituição, cuja segurança era monitorada com menos rigor do que a da própria instituição.2
A resiliência operacional vai além da mera cibersegurança. Diz respeito à capacidade de uma instituição de manter suas funções críticas em caso de pane, ataque, falha de um fornecedor ou catástrofe. Pressupõe a identificação dessas funções, cenários, testes e planos de recuperação. A União Europeia (UE) adotou um regulamento sobre a resiliência operacional digital, aplicável desde janeiro de 2025, que impõe requisitos detalhados às instituições e a seus prestadores críticos de serviços de tecnologia da informação. As instituições de Genebra que pertencem a grupos europeus ou atendem clientes na UE sentem seus efeitos indiretos.3 A concentração dos fornecedores de serviços em nuvem e de sistemas bancários em algumas poucas empresas, quase todas norte-americanas, cria além disso uma dependência que as autoridades suíças e europeias consideram hoje um risco sistêmico.
Atenção. A terceirização da informática para fornecedores de serviços em nuvem transfere a execução, mas a responsabilidade permanece. A instituição continua responsável perante seus clientes e perante a FINMA pela confidencialidade, disponibilidade e integridade dos dados, inclusive quando o fornecedor está estabelecido no exterior e sujeito a leis que podem obrigá-lo a revelar dados às autoridades de seu próprio país.
Notas
- Circular FINMA 2023/1 “Riscos e resiliência operacionais – bancos”, que substitui a Circular 2008/21 e está em vigor desde 1º de janeiro de 2024 (The Governance Law Firm, “Révision de la FINMA : circulaire Risques et résilience opérationnels – banques”, thegovernancelawfirm.com); obrigação de comunicar ataques cibernéticos contra infraestruturas críticas ao Centro Nacional de Cibersegurança (NCSC) em vinte e quatro horas, com base na Lei Federal sobre a Segurança da Informação e em vigor desde 1º de abril de 2025, com sanções a partir de 1º de outubro de 2025 (NCSC, “L’obligation de signaler les cyberattaques contre des infrastructures critiques entre en vigueur le 1er avril 2025”, bacs.admin.ch). ↩
- FINMA, dossiê “Cyber risks (2024)” e comunicado de imprensa de 7 de junho de 2024 sobre a comunicação de supervisão 03/2024 (finma.ch): aumento de 30% das comunicações de ataques cibernéticos bem-sucedidos ou parcialmente bem-sucedidos em 2024 em relação ao ano anterior; ransomware (grupos PLAY, AKIRA e Lockbit 3.0), comprometimento de e-mail corporativo, ondas de ataques de negação de serviço e ataques à cadeia de suprimentos, estes últimos representando quase um terço dos incidentes comunicados; mais da metade dos ataques comunicados em 2022-2023 dizia respeito a serviços terceirizados; obrigação de comunicação com base no art. 29, al. 2, da Lei Federal sobre a Autoridade Federal de Supervisão dos Mercados Financeiros (LFINMA/FINMASA); mais de uma dezena de inspeções in loco dedicadas ao risco cibernético em 2023. ↩
- Regulamento (UE) 2022/2554, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro (DORA), aplicável desde 17 de janeiro de 2025: gestão dos riscos de tecnologia da informação, comunicação de incidentes, testes de resiliência, riscos de prestadores terceiros; Autorité de contrôle prudentiel et de résolution, “Digital Operational Resilience Act (DORA)”, acpr.banque-france.fr (acesso em setembro de 2026). ↩
Apenas para fins de informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise de um caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro de 2026.