Ketahanan operasional dan risiko siber

Surat Edaran FINMA 2023/1

Sistem AI merupakan bagian dari teknologi informasi dan komunikasi (TIK) suatu lembaga, dan kegagalan atau manipulasinya merupakan risiko operasional. Surat Edaran Otoritas Pengawas Pasar Keuangan Swiss (FINMA) 2023/1 “Operational risks and resilience – banks”, yang diterbitkan pada Desember 2022, mulai berlaku pada 1 Januari 2024. Surat edaran ini memasukkan prinsip-prinsip mengenai risiko operasional dan ketahanan operasional yang diterbitkan oleh Komite Basel untuk Pengawasan Perbankan pada Maret 2021. Surat edaran ini memuat bagian-bagian khusus mengenai pengelolaan risiko TIK, risiko siber dan data kritis, dan menggantikan rekomendasi kelangsungan usaha dari Asosiasi Bankir Swiss yang sebelumnya diakui oleh FINMA. Persyaratan mengenai ketahanan operasional tunduk pada masa transisi yang berakhir pada 1 Januari 2026.¹

Ketahanan operasional berarti bahwa bank harus mampu melanjutkan fungsi-fungsi kritisnya di tengah gangguan berat dalam batas toleransi yang ditetapkan. Begitu perangkat AI digunakan dalam proses kritis seperti pemantauan pembayaran atau penerimaan nasabah (onboarding), lembaga harus mampu menjalankan proses tersebut apabila model gagal, menghasilkan hasil yang tidak andal atau menjadi tidak tersedia karena penyedia mengalami gangguan. Dalam praktik, hal ini memerlukan prosedur cadangan, proses manual yang terdokumentasi dan pengujian skenario gangguan. Kategori data kritis yang diperkenalkan oleh surat edaran ini juga membentuk proyek-proyek AI. Pelatihan atau pengoperasian model dengan data kritis mewajibkan lembaga menerapkan pengendalian surat edaran ini mengenai kerahasiaan, integritas dan ketersediaan pada lingkungan AI.

Pelaporan siber kepada FINMA

Risiko siber berkaitan erat dengan hal ini. FINMA mewajibkan lembaga yang diawasi untuk melaporkan serangan siber yang signifikan terhadap fungsi-fungsi kritis berdasarkan Pasal 29 ayat (2) Undang-Undang Pengawasan Pasar Keuangan. Pedoman 05/2020 menetapkan prosedur dua tahap, dengan pemberitahuan awal dalam 24 jam dan laporan lengkap dalam 72 jam. Pedoman 03/2024 merangkum pengamatan FINMA dari pengawasan siber, memperjelas pedoman sebelumnya dan menyerukan latihan siber berbasis skenario. FINMA menggolongkan risiko siber di antara risiko teratas pusat keuangan Swiss.²

AI mengubah lanskap ancaman ke dua arah. Penyerang menggunakan model generatif untuk menghasilkan pesan phishing yang meyakinkan, dokumen palsu dan suara sintetis yang meniru eksekutif atau nasabah. Asosiasi Bankir Swiss mencantumkan deepfake dan komunikasi eksekutif palsu di antara risiko utama AI generatif, sebagaimana dicatat di atas. Lembaga yang menerapkan sistem AI juga menciptakan titik serangan baru, seperti prompt injection terhadap chatbot, peracunan data pelatihan dan pencurian model. Akuisisi perusahaan Zurich Lakera oleh Check Point, yang dibahas di bagian III, menunjukkan bahwa pertahanan sistem AI telah menjadi bidang spesialisasi tersendiri.

Kewajiban pelaporan kepada NCSC bagi infrastruktur kritis

Sejak 1 April 2025, operator infrastruktur kritis diwajibkan oleh Undang-Undang Keamanan Informasi (ISG) yang telah diubah dan Peraturan Keamanan Siber untuk melaporkan serangan siber kepada Pusat Keamanan Siber Nasional (NCSC) dalam waktu 24 jam setelah ditemukan. Kewajiban ini mencakup serangan yang membahayakan berfungsinya infrastruktur, menyebabkan manipulasi atau kebocoran informasi, atau melibatkan pemerasan, ancaman atau paksaan. Laporan awal dapat dilengkapi dalam waktu 14 hari. Sanksi atas kelalaian melapor baru dapat dikenakan setelah masa transisi yang berakhir pada 1 Oktober 2025.³ Dasar hukumnya terdapat dalam Pasal 74a dan seterusnya Undang-Undang Keamanan Informasi.⁴

Undang-Undang Keamanan Informasi memasukkan bank, perusahaan asuransi dan infrastruktur pasar keuangan di antara organisasi-organisasi yang tunduk pada kewajiban pelaporan, di samping pemasok energi, perusahaan transportasi dan administrasi publik.⁵ Bagi lembaga keuangan yang diawasi, hal ini menciptakan dua jalur pelaporan paralel, satu kepada FINMA dan satu kepada NCSC. Meskipun kedua kewajiban tersebut saling tumpang tindih dalam pokok persoalannya, keduanya bertumpu pada dasar hukum yang berbeda dan mengejar tujuan yang berbeda. Pengawas prudensial menilai ketahanan lembaga, sedangkan NCSC membangun gambaran nasional mengenai ancaman. Untuk insiden terkait AI, seperti serangan yang berhasil terhadap chatbot yang melayani nasabah dan mengakibatkan kebocoran data nasabah, lembaga mungkin juga harus memberi tahu Komisaris Federal Perlindungan Data dan Informasi (FDPIC) berdasarkan ketentuan mengenai pelanggaran data dalam Undang-Undang Federal tentang Perlindungan Data (FADP). Dalam kasus demikian, lembaga sekaligus harus menangani persoalan kerahasiaan bank dengan nasabahnya.

Catatan

1. FINMA, “FINMA publishes Circular ‘Operational risks and resilience – banks’”, 13 Desember 2022, https://www.finma.ch/en/news/2022/12/20221213-mm-anh-rs-op-risks/. ↩
2. FINMA, “New cyber supervisory approach and guidance” (dosir risiko siber), https://www.finma.ch/en/documentation/dossier/dossier-cyberrisiken/new-cyber-supervisory-approach-and-guidance/ (diakses September 2026). ↩
3. Pusat Keamanan Siber Nasional, “Obligation to report cyberattacks on critical infrastructure comes into force on 1 April”, https://www.bacs.admin.ch/en/25-mp2-en (diakses September 2026). ↩
4. Pusat Keamanan Siber Nasional, “Legal basis for the reporting obligation”, https://www.bacs.admin.ch/en/legal-basis-for-the-reporting-obligation (diakses September 2026). ↩
5. Célian Hirsch, “Die neue Meldepflicht wird konkreter”, cdbf.ch, 27 Mei 2024, https://cdbf.ch/de/1351/ (“Zu diesen Infrastrukturen gehören insbesondere Banken, Versicherungen, Finanzmarktinfrastrukturen oder auch Cloud-Anbieter (Art. 74b ISG).”); Pusat Keamanan Siber Nasional, “Legal basis for the reporting obligation” (di atas), mengenai pemasok energi, perusahaan transportasi serta administrasi kanton dan komune. ↩

Hanya untuk informasi umum. Artikel ini bukan merupakan nasihat hukum atau pajak, tidak menggantikan nasihat atas kasus individual, dan tidak menimbulkan hubungan antara advokat dan klien. Artikel ini mencerminkan keadaan hukum per Oktober 2026.