Keamanan siber dan ketahanan operasional

Digitalisasi memiliki sisi lain: kerentanan. Lembaga keuangan merupakan sasaran utama serangan siber, baik melalui ransomware, phishing, maupun pembobolan pemasok. Pusat keuangan Jenewa, dengan klien-kliennya yang kaya dan para pedagang komoditasnya, merupakan sasaran utama. Melalui surat edarannya tentang risiko operasional, Otoritas Pengawas Pasar Keuangan Swiss (FINMA) mewajibkan lembaga yang diawasi untuk mengelola risiko TI dan melaporkan serangan siber yang serius dalam waktu dua puluh empat jam. Pada tahun 2025, Konfederasi memperkenalkan kewajiban umum untuk melaporkan serangan siber terhadap infrastruktur kritis.¹ Kasus-kasus yang diketahui, beberapa di antaranya menimpa lembaga-lembaga di Swiss berbahasa Prancis, menunjukkan bahwa serangan yang berhasil sering kali menyasar penyedia jasa lembaga, yang keamanannya kurang diawasi secara ketat dibandingkan keamanan lembaga itu sendiri.²

Ketahanan operasional melampaui keamanan siber semata. Ketahanan operasional menyangkut kemampuan lembaga untuk mempertahankan fungsi-fungsi kritisnya dalam hal terjadi gangguan, serangan, kegagalan pemasok, atau bencana. Ketahanan ini mensyaratkan identifikasi fungsi-fungsi tersebut, skenario, pengujian, dan rencana pemulihan. Uni Eropa (UE/EU) telah menetapkan peraturan tentang ketahanan operasional digital, yang berlaku sejak Januari 2025, yang memberlakukan persyaratan terperinci bagi lembaga-lembaga dan penyedia jasa TI kritis mereka. Lembaga-lembaga Jenewa yang termasuk dalam grup Eropa atau melayani klien di UE merasakan dampak tidak langsungnya.³ Selain itu, terpusatnya penyedia layanan cloud dan sistem perbankan pada beberapa perusahaan, yang hampir semuanya berasal dari Amerika, menciptakan ketergantungan yang kini dipandang oleh otoritas Swiss dan Eropa sebagai risiko sistemik.

Perhatian. Alih daya TI kepada penyedia layanan cloud memindahkan pelaksanaannya, tetapi tanggung jawabnya tetap. Lembaga tetap bertanggung jawab kepada kliennya dan kepada FINMA atas kerahasiaan, ketersediaan, dan integritas data, termasuk apabila penyedia berkedudukan di luar negeri dan tunduk pada hukum yang dapat mewajibkannya mengungkapkan data kepada otoritas negaranya sendiri.

Catatan

1. Surat Edaran FINMA 2023/1 “Operational risks and resilience – banks”, yang menggantikan Surat Edaran 2008/21 dan berlaku sejak 1 Januari 2024 (The Governance Law Firm, “Révision de la FINMA : circulaire Risques et résilience opérationnels – banques”, thegovernancelawfirm.com); kewajiban melaporkan serangan siber terhadap infrastruktur kritis kepada Pusat Keamanan Siber Nasional (NCSC) dalam waktu dua puluh empat jam, berdasarkan Undang-Undang Keamanan Informasi dan berlaku sejak 1 April 2025, dengan sanksi sejak 1 Oktober 2025 (NCSC, “L’obligation de signaler les cyberattaques contre des infrastructures critiques entre en vigueur le 1er avril 2025”, bacs.admin.ch). ↩
2. FINMA, dosir “Cyber risks (2024)” dan siaran pers tanggal 7 Juni 2024 mengenai komunikasi pengawasan 03/2024 (finma.ch): peningkatan 30 persen laporan serangan siber yang berhasil atau sebagian berhasil pada tahun 2024 dibandingkan tahun sebelumnya; ransomware (kelompok PLAY, AKIRA, dan Lockbit 3.0), pembobolan e-mail bisnis, gelombang serangan penolakan layanan (denial-of-service), dan serangan rantai pasok, yang terakhir ini mewakili hampir sepertiga insiden yang dilaporkan; lebih dari separuh serangan yang dilaporkan pada 2022-2023 menyangkut layanan yang dialihdayakan; kewajiban pelaporan berdasarkan Pasal 29 ayat (2) Undang-Undang Pengawasan Pasar Keuangan (FINMASA); lebih dari selusin inspeksi lapangan yang dikhususkan untuk risiko siber pada tahun 2023. ↩
3. Peraturan (UE) 2022/2554 tanggal 14 Desember 2022 tentang ketahanan operasional digital untuk sektor keuangan (DORA), berlaku sejak 17 Januari 2025: manajemen risiko TI, pelaporan insiden, pengujian ketahanan, risiko penyedia pihak ketiga; Autorité de contrôle prudentiel et de résolution, “Digital Operational Resilience Act (DORA)”, acpr.banque-france.fr (diakses September 2026). ↩

Hanya untuk informasi umum. Artikel ini bukan merupakan nasihat hukum atau pajak, tidak menggantikan nasihat atas kasus individual, dan tidak menimbulkan hubungan antara advokat dan klien. Artikel ini mencerminkan keadaan hukum per Oktober 2026.