Surat Edaran 2023/1: risiko operasional dan ketahanan

Surat Edaran Otoritas Pengawas Pasar Keuangan Swiss (FINMA) 2023/1 “Operational risks and resilience – banks” tanggal 7 Desember 2022 mulai berlaku pada 1 Januari 2024 dan menggantikan Surat Edaran 2008/21 tentang risiko operasional bank. Ketentuan-ketentuannya mengenai ketahanan operasional (operational resilience) harus dilaksanakan dalam masa transisi dua tahun, yaitu paling lambat 1 Januari 2026.¹ Surat edaran tersebut memuat persyaratan tentang pengelolaan risiko teknologi informasi dan komunikasi, risiko siber, data kritis, manajemen kelangsungan usaha, dan ketahanan operasional. Lembaga wajib memisahkan lingkungan pengembangan, pengujian, dan produksi sistem TI mereka serta mengatur manajemen perubahan (nomor margin 47 hingga 60). Lembaga wajib mengidentifikasi ancaman siber, melindungi asetnya, mendeteksi serangan, menanggapi insiden, dan memulihkan diri darinya, serta wajib melaporkan serangan siber yang berhasil dan memengaruhi aset kritis kepada FINMA dalam waktu 24 jam, disusul laporan lengkap dalam waktu 72 jam (nomor margin 61 hingga 70).²

Surat edaran tersebut mendefinisikan data kritis sebagai data yang begitu penting bagi penyediaan layanan atau untuk keperluan regulasi sehingga memerlukan langkah-langkah keamanan yang ditingkatkan (nomor margin 71 hingga 82).³ Data nasabah yang digunakan untuk melatih atau mengoperasikan sistem kecerdasan buatan sering kali merupakan data kritis dalam pengertian ini. Manajemen kelangsungan usaha mensyaratkan sasaran waktu pemulihan (recovery time objective) dan titik pemulihan (recovery point objective), rencana kelangsungan dan pemulihan bencana, serta pengujian berkala (nomor margin 83 hingga 96). Terakhir, konsep ketahanan operasional mewajibkan lembaga mengidentifikasi fungsi-fungsi kritisnya dan menetapkan “toleransi gangguan”, yaitu gangguan maksimum terhadap suatu fungsi kritis yang dapat diterima lembaga dalam skenario yang berat tetapi masuk akal, serta mengujinya secara berkala (nomor margin 97 hingga 114).⁴

Bagi bank di Lugano, persyaratan ketahanan operasional berarti mengidentifikasi fungsi mana, seperti pembayaran, kustodi, dan akses nasabah, yang bersifat kritis, serta memetakan orang, proses, teknologi, informasi, dan penyedia yang menjadi tumpuannya. Apabila suatu sistem kecerdasan buatan telah menjadi bagian dari fungsi kritis, misalnya sistem pemantauan yang tanpanya pembayaran tidak dapat dilepas, lembaga harus merencanakan kemungkinan kegagalannya: beralih ke proses manual, penyedia alternatif, atau layanan yang dikurangi. Dokumentasi solusi cadangan yang disyaratkan FINMA dalam Panduan 08/2024 merupakan penghubung antara kedua perangkat ketentuan tersebut.⁵

Kewajiban pelaporan serangan siber berdasarkan Undang-Undang Keamanan Informasi

Sejak 1 April 2025, operator infrastruktur kritis di Swiss wajib melaporkan serangan siber kepada Pusat Keamanan Siber Nasional, yang pada 2024 menjadi Kantor Federal untuk Keamanan Siber (BACS). Kewajiban ini diperkenalkan melalui perubahan Undang-Undang Keamanan Informasi dan berlaku, antara lain, bagi bank, perusahaan asuransi, dan infrastruktur pasar keuangan. Laporan harus disampaikan dalam waktu 24 jam sejak ditemukannya serangan yang membahayakan berfungsinya infrastruktur, telah menyebabkan manipulasi atau kebocoran informasi, tidak terdeteksi dalam jangka waktu lama, atau terkait dengan pemerasan, ancaman, atau paksaan. Pelanggaran kewajiban pelaporan diancam denda hingga CHF 100.000 sejak 1 Oktober 2025.⁶ Oleh karena itu, lembaga keuangan yang diawasi FINMA harus mengoordinasikan dua jalur pelaporan, yaitu laporan kepada FINMA berdasarkan Surat Edaran 2023/1 dan laporan kepada BACS berdasarkan Undang-Undang Keamanan Informasi. Otoritas federal telah menyediakan formulir pelaporan bersama sehingga satu laporan dapat memenuhi kedua tujuan tersebut.⁷

Catatan

1. Surat Edaran FINMA 2023/1 “Operational risks and resilience – banks” tanggal 7 Desember 2022, https://www.finma.ch/en/~/media/finma/dokumente/dokumentencenter/myfinma/ rundschreiben/finma-rs-2023-01-20221207.pdf?la=en. ↩
2. Surat Edaran FINMA 2023/1 (di atas), nomor margin 47–70. ↩
3. Surat Edaran FINMA 2023/1 (di atas), nomor margin 71–82. ↩
4. Surat Edaran FINMA 2023/1 (di atas), nomor margin 83–114. ↩
5. FINMA, Panduan 08/2024 (di atas), bagian 2.5. ↩
6. Undang-Undang Federal tentang Keamanan Informasi di Konfederasi tanggal 18 Desember 2020 (Undang-Undang Keamanan Informasi, ISA), SR 128, Pasal 74a–74h dan 74e (sanksi), sebagaimana diubah dengan Undang-Undang Federal tanggal 29 September 2023; Peraturan Keamanan Siber tanggal 7 Maret 2025 (CSO), SR 128.51. Berlaku sejak 1 April 2025, sanksi berlaku sejak 1 Oktober 2025. ↩
7. Kantor Federal untuk Keamanan Siber (BACS), informasi tentang kewajiban pelaporan dan formulir pelaporan. ↩

Hanya untuk informasi umum. Artikel ini bukan merupakan nasihat hukum atau pajak, tidak menggantikan nasihat atas kasus individual, dan tidak menimbulkan hubungan antara advokat dan klien. Artikel ini mencerminkan keadaan hukum per Oktober 2026.