Resiliência operacional e risco cibernético

A Circular FINMA 2023/1

Os sistemas de IA fazem parte da tecnologia da informação e comunicação (TIC) de uma instituição, e sua falha ou manipulação constitui risco operacional. A Circular 2023/1 “Operational risks and resilience – banks” da Autoridade Suíça de Supervisão do Mercado Financeiro (FINMA), publicada em dezembro de 2022, entrou em vigor em 1º de janeiro de 2024. Ela incorpora os princípios sobre risco operacional e resiliência operacional publicados pelo Comitê de Basileia de Supervisão Bancária em março de 2021. A circular contém seções específicas sobre a gestão dos riscos de TIC, dos riscos cibernéticos e dos dados críticos, e substituiu as recomendações sobre continuidade de negócios da Associação Suíça de Banqueiros que a FINMA reconhecia anteriormente. Os requisitos de resiliência operacional estavam sujeitos a um período de transição que terminou em 1º de janeiro de 2026.¹

Resiliência operacional significa que um banco deve ser capaz de manter suas funções críticas durante perturbações graves, dentro de uma tolerância definida. Uma vez que ferramentas de IA sejam utilizadas em processos críticos, como o monitoramento de pagamentos ou a admissão de clientes, a instituição deve ser capaz de operar esses processos se o modelo falhar, produzir resultados não confiáveis ou ficar indisponível porque um fornecedor sofreu uma interrupção. Na prática, isso exige procedimentos de contingência, processos manuais documentados e testes de cenários de perturbação. A categoria de dados críticos introduzida pela circular também molda os projetos de IA. Treinar ou operar um modelo com dados críticos exige que a instituição aplique ao ambiente de IA os controles da circular sobre confidencialidade, integridade e disponibilidade.

A comunicação de incidentes cibernéticos à FINMA

O risco cibernético está estreitamente relacionado. A FINMA exige que as instituições supervisionadas comuniquem ataques cibernéticos significativos contra funções críticas, nos termos do art. 29, al. 2, da Lei Federal sobre a Supervisão do Mercado Financeiro (FINMASA). As Orientações 05/2020 estabeleceram um procedimento em duas etapas, com uma notificação inicial no prazo de 24 horas e um relatório completo no prazo de 72 horas. As Orientações 03/2024 resumiram as observações da FINMA na supervisão cibernética, esclareceram as orientações anteriores e exigiram exercícios cibernéticos baseados em cenários. A FINMA inclui os riscos cibernéticos entre os principais riscos do centro financeiro suíço.²

A IA altera o cenário de ameaças em duas direções. Os atacantes utilizam modelos generativos para produzir mensagens de phishing convincentes, documentos falsificados e vozes sintéticas que imitam executivos ou clientes. A Associação Suíça de Banqueiros inclui os deepfakes e as falsas comunicações de executivos entre os principais riscos da IA generativa, como mencionado acima. As instituições que implantam sistemas de IA também criam novos pontos de ataque, como a injeção de prompts contra chatbots, o envenenamento de dados de treinamento e o furto de modelos. A aquisição da empresa zuriquense Lakera pela Check Point, discutida na seção III, mostra que a defesa dos sistemas de IA se tornou um campo de especialização por si só.

A obrigação de comunicação ao NCSC para infraestruturas críticas

Desde 1º de abril de 2025, os operadores de infraestruturas críticas são obrigados, pela Lei sobre a Segurança da Informação alterada e pela Portaria sobre a Cibersegurança, a comunicar ataques cibernéticos ao Centro Nacional de Cibersegurança (NCSC) no prazo de 24 horas a contar de sua descoberta. A obrigação abrange os ataques que comprometam o funcionamento da infraestrutura, levem à manipulação ou ao vazamento de informações ou envolvam chantagem, ameaça ou coação. Uma comunicação inicial pode ser completada no prazo de 14 dias. As sanções por falta de comunicação só puderam ser aplicadas após um período de transição que terminou em 1º de outubro de 2025.³ A base legal encontra-se nos arts. 74a e seguintes da Lei sobre a Segurança da Informação.⁴

A Lei sobre a Segurança da Informação inclui bancos, seguradoras e infraestruturas do mercado financeiro entre as organizações sujeitas ao dever de comunicação, ao lado de fornecedores de energia, empresas de transporte e administrações públicas.⁵ Para as instituições financeiras supervisionadas, isso cria duas linhas paralelas de comunicação, uma para a FINMA e outra para o NCSC. Embora os dois deveres se sobreponham quanto ao objeto, assentam em bases legais diferentes e perseguem finalidades diferentes. O supervisor prudencial avalia a resiliência da instituição, enquanto o NCSC constrói um panorama nacional da ameaça. Em incidentes relacionados à IA, como um ataque bem-sucedido contra um chatbot voltado ao cliente que leve ao vazamento de dados de clientes, a instituição pode ter de notificar também o Encarregado Federal da Proteção de Dados e da Transparência (EFPD/FDPIC) nos termos das disposições sobre violação da segurança de dados da Lei Federal sobre a Proteção de Dados (LPD/FADP). Nesse caso, a instituição teria de tratar ao mesmo tempo da questão do sigilo bancário com seus clientes.

Notas

1. FINMA, “FINMA publishes Circular ‘Operational risks and resilience – banks’”, 13 de dezembro de 2022, https://www.finma.ch/en/news/2022/12/20221213-mm-anh-rs-op-risks/. ↩
2. FINMA, “New cyber supervisory approach and guidance” (dossiê sobre riscos cibernéticos), https://www.finma.ch/en/documentation/dossier/dossier-cyberrisiken/new-cyber-supervisory-approach-and-guidance/ (acesso em setembro de 2026). ↩
3. Centro Nacional de Cibersegurança, “Obligation to report cyberattacks on critical infrastructure comes into force on 1 April”, https://www.bacs.admin.ch/en/25-mp2-en (acesso em setembro de 2026). ↩
4. Centro Nacional de Cibersegurança, “Legal basis for the reporting obligation”, https://www.bacs.admin.ch/en/legal-basis-for-the-reporting-obligation (acesso em setembro de 2026). ↩
5. Célian Hirsch, “Die neue Meldepflicht wird konkreter”, cdbf.ch, 27 de maio de 2024, https://cdbf.ch/de/1351/ (“Zu diesen Infrastrukturen gehören insbesondere Banken, Versicherungen, Finanzmarktinfrastrukturen oder auch Cloud-Anbieter (Art. 74b ISG).”); Centro Nacional de Cibersegurança, “Legal basis for the reporting obligation” (acima), sobre fornecedores de energia, empresas de transporte e administrações cantonais e comunais. ↩

Apenas para fins de informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise de um caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro de 2026.