A Circular 2023/1: riscos operacionais e resiliência

A Circular 2023/1 “Operational risks and resilience – banks” da Autoridade Suíça de Supervisão do Mercado Financeiro (FINMA), de 7 de dezembro de 2022, entrou em vigor em 1º de janeiro de 2024 e substituiu a Circular 2008/21 sobre os riscos operacionais dos bancos. Suas disposições sobre resiliência operacional tiveram de ser implementadas em um período de transição de dois anos, isto é, até 1º de janeiro de 2026.¹ A circular contém requisitos sobre a gestão dos riscos de tecnologia da informação e comunicação, os riscos cibernéticos, os dados críticos, a gestão da continuidade de negócios e a resiliência operacional. As instituições devem separar os ambientes de desenvolvimento, de teste e de produção de seus sistemas de TI e regular a gestão de mudanças (notas marginais 47 a 60). Devem identificar ameaças cibernéticas, proteger seus ativos, detectar ataques, responder a incidentes e recuperar-se deles, e devem comunicar à FINMA, no prazo de 24 horas, os ataques cibernéticos bem-sucedidos que afetem ativos críticos, seguidos de um relatório completo no prazo de 72 horas (notas marginais 61 a 70).²

A circular define como dados críticos aqueles cuja importância para a prestação de serviços ou para fins regulatórios é tão grande que exigem medidas de segurança reforçadas (notas marginais 71 a 82).³ Os dados de clientes utilizados para treinar ou operar um sistema de inteligência artificial serão, com frequência, dados críticos nesse sentido. A gestão da continuidade de negócios exige objetivos de tempo e de ponto de recuperação, planos de continuidade e de recuperação de desastres e testes regulares (notas marginais 83 a 96). Por fim, o conceito de resiliência operacional exige que as instituições identifiquem suas funções críticas, definam “tolerâncias à interrupção”, isto é, a interrupção máxima de uma função crítica que a instituição pode aceitar em cenários graves, mas plausíveis, e as testem regularmente (notas marginais 97 a 114).⁴

Para um banco de Lugano, os requisitos de resiliência operacional significaram identificar quais funções, como pagamentos, custódia e acesso dos clientes, são críticas, e mapear as pessoas, os processos, a tecnologia, as informações e os fornecedores de que dependem. Quando um sistema de inteligência artificial passa a integrar uma função crítica, por exemplo um sistema de monitoramento sem o qual os pagamentos não podem ser liberados, a instituição deve planejar-se para sua falha: um retorno a processos manuais, um fornecedor alternativo ou um serviço reduzido. A documentação das soluções de contingência que a FINMA exige na Comunicação 08/2024 é o elo entre os dois conjuntos de regras.⁵

O dever de comunicar ataques cibernéticos nos termos da Lei sobre a Segurança da Informação

Desde 1º de abril de 2025, os operadores de infraestruturas críticas na Suíça são obrigados a comunicar ataques cibernéticos ao Centro Nacional de Cibersegurança, que em 2024 se tornou o Escritório Federal de Cibersegurança (BACS). A obrigação foi introduzida por uma alteração da Lei sobre a Segurança da Informação e aplica-se, entre outros, a bancos, seguradoras e infraestruturas do mercado financeiro. As comunicações devem ser feitas no prazo de 24 horas a contar da descoberta de um ataque que ponha em risco o funcionamento da infraestrutura, tenha levado à manipulação ou ao vazamento de informações, tenha permanecido não detectado por um longo período ou esteja associado a chantagem, ameaças ou coação. Desde 1º de outubro de 2025, as violações do dever de comunicação são puníveis com multas de até CHF 100.000.⁶ As instituições financeiras supervisionadas pela FINMA devem, portanto, coordenar dois canais de comunicação: a comunicação à FINMA nos termos da Circular 2023/1 e a comunicação ao BACS nos termos da Lei sobre a Segurança da Informação. As autoridades federais previram um formulário comum, de modo que uma única comunicação possa servir a ambos os fins.⁷

Notas

1. Circular FINMA 2023/1 “Operational risks and resilience – banks”, de 7 de dezembro de 2022, https://www.finma.ch/en/~/media/finma/dokumente/dokumentencenter/myfinma/ rundschreiben/finma-rs-2023-01-20221207.pdf?la=en. ↩
2. Circular FINMA 2023/1 (acima), notas marginais 47–70. ↩
3. Circular FINMA 2023/1 (acima), notas marginais 71–82. ↩
4. Circular FINMA 2023/1 (acima), notas marginais 83–114. ↩
5. FINMA, Comunicação 08/2024 (acima), seção 2.5. ↩
6. Lei Federal sobre a Segurança da Informação na Confederação, de 18 de dezembro de 2020 (Lei sobre a Segurança da Informação, ISA), SR 128, arts. 74a–74h e 74e (sanções), conforme alterada pela Lei Federal de 29 de setembro de 2023; Portaria sobre a Cibersegurança, de 7 de março de 2025 (CSO), SR 128.51. Em vigor desde 1º de abril de 2025, com sanções aplicáveis a partir de 1º de outubro de 2025. ↩
7. Escritório Federal de Cibersegurança (BACS), informações sobre o dever de comunicação e o formulário de comunicação. ↩

Apenas para fins de informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise de um caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro de 2026.