- La FINMA publie le communiqué de surveillance 03/2024 avec des enseignements, des précisions sur l’obligation d’annoncer et des indications sur les cyber-exercices basés sur des scénarios.
- Des lacunes importantes dans la gestion des prestataires de services : absence d’inventaires, contrôles lacunaires et intégration insuffisante dans le système de contrôle interne.
- Gouvernance, mesures de protection et plans de récupération insuffisants ; formation et prévention des pertes de données souvent incomplètes.
- Obligations de déclaration précisées : première déclaration 24 heures, déclaration complète 72 heures, les délais en cas d’externalisation s’appliquent à partir du moment où le fournisseur est connu ; exercices basés sur des scénarios prescrits.
Le 7 juin 2024, la FINMA a publié une communication prudentielle 03/2024 sur les cyber-risques publié (entre autres allemand et anglais).
La communication prudentielle de la FINMA “03/2024 – Enseignements tirés de l’activité de surveillance des cyber-risques, précisions sur la communication prudentielle de la FINMA 05/2020 et sur les cyber-exercices basés sur des scénarios” contient
- Enseignements tirés de l’activité de surveillance des cyber-risques de la FINMA, entre autres des “deep dives” auprès des banques ;
- une précision sur la Communiqué de la FINMA sur la surveillance 05/2020 sur la notification obligatoire des cyber-attaques ; et
- Remarques sur les cyber-exercices basés sur des scénarios, conformément à la circulaire Risques opérationnels et résilience.
Enseignements tirés des activités de surveillance des cyber-risques
Dans le cadre de contrôles sur place, notamment auprès de banques (“deep dives”), la FINMA a tenté de répondre à la question de savoir quels facteurs avaient une importance particulière pour le succès des cyberattaques.
Sur Niveau des prestataires de services le tableau est apparemment décevant. Dans l’ensemble, il manque souvent une vision claire des prestataires de services, de l’importance des prestations qu’ils fournissent dans le cadre des activités de l’établissement, des risques liés à l’externalisation ainsi que de la nature et de l’importance des données traitées. L’intégration des contrôles des risques dans le SCI et l’échange entre l’établissement et le prestataire semblent également faire défaut :
- Seuls “très peu” d’établissements échangent avec les principaux prestataires de services après avoir identifié des failles de sécurité, afin qu’ils les comblent.
- Certains prestataires de services ont apparemment été négligents dans la correction des points faibles.
- “Très souvent”, il manque un inventaire complet des prestataires de services, y compris des fonctions critiques ou des données critiques stockées chez le prestataire de services. Le contrôle des prestataires de services était donc lacunaire.
- Il semble que certains établissements ne saisissent pas correctement des sous-contractants importants.
- La classification des données critiques pose également problème – “les instituts concernés n’avaient pour la plupart pas clairement défini” ce qu’étaient pour eux les données critiques.
Aussi pour la Gouvernance la FINMA a constaté des lacunes :
- Les établissements de taille moyenne ne délimitent souvent pas correctement le traitement opérationnel des cyber-risques et l’instance de contrôle indépendante.
- Les menaces potentielles de cyber-risques ne sont souvent pas correctement identifiées et les droits d’accès des collaborateurs sont souvent peu clairs, faute d’un outil d’autorisation centralisé.
- “Un certain nombre” d’établissements n’ont pas intégré explicitement les cyber-risques dans la gestion des risques opérationnels.
- “Certains établissements réglementés” n’ont pas suffisamment défini les cyber-risques et leur appétit pour le risque ou leur tolérance au risque.
Pour les Mesures de protection la FINMA voit les lacunes suivantes, même si la “tendance” est globalement positive :
- Les mesures de protection pour la prévention des pertes de données (DLP) se concentrent trop étroitement sur les CID ou les numéros de cartes de crédit. D’autres données critiques telles que les “données personnelles sensibles”, les secrets commerciaux, la propriété intellectuelle, etc. ne sont souvent pas prises en compte.
- Certains établissements ne testent pas la résilience de leurs processus de sauvegarde et de leurs plans de restauration en cas d’attaque de ransomware, par exemple.
- Dans un “grand nombre” d’instituts, la formation et la sensibilisation dans le domaine cybernétique sont insuffisantes.
Lors de la Détection, réaction et récupération après une cyber-attaque la FINMA voit les modèles suivants :
- Certains établissements ne disposaient pas de plans de réaction suffisants en cas de cyberincident.
- Certains établissements ne surveillent pas leurs technologies de l’information et de la communication en temps utile et de manière systématique.
- Souvent, aucune mesure de récupération spécifique n’était définie après des cyberattaques.
Le tableau que dresse ici la FINMA n’est pas surprenant et ne se limite évidemment pas aux secteurs réglementés. La protection contre les risques ne peut être efficace que si elle prend en compte tous les composants du système, c’est-à-dire si les interfaces avec les services externes sont également prises en compte dans l’évaluation des risques, et si les processus de gestion des risques sont pensés jusqu’au bout. De nombreuses entreprises ont une vision quelque peu insulaire de leur propre domaine, sans prendre suffisamment en compte la coresponsabilité des interfaces et des services achetés. Or, une part importante des cyberattaques passe par les fournisseurs d’accès. Selon des sources publiques, environ 40% des cyber-attaques via la chaîne d’approvisionnement, et plus de 90% de toutes les entreprises seraient concernées par de telles attaques.
Précisions sur la communication prudentielle de la FINMA Obligation de déclarer les cyber-attaques
Le 7 mai 2020, la FINMA a publié son communiqué de surveillance 05/2020 – Obligation de déclarer les cyberattaques publié. Depuis lors, elle a reçu “diverses demandes concernant leur interprétation”, notamment ces derniers temps dans le cadre de la nouvelle circulaire Risques opérationnels et résilience (RS 2023/1). Elle en profite pour apporter des précisions à la communication prudentielle 05/2020, qui doit donc être lue à l’avenir en même temps que la présente communication prudentielle 03/24.
Les précisions portent sur les Obligation de déclarer selon l’art. 29 al. 2 LFINMALa FINMA a concrétisé ces exigences d’une part dans la communication prudentielle 05/2020 pour tous les établissements surveillés et d’autre part dans la RS 2023/1 pour les banques et les entreprises d’investissement. Sur le plan formel, la communication prudentielle 03/24 ne fait référence qu’à l’ancienne communication prudentielle 05/2020 (qui n’a pas été abrogée par la RS 2023/1), mais sur le fond, ses explications s’appliquent naturellement aussi aux obligations parallèles de la RS 2023/1.
La FINMA concrétise ses attentes en matière de surveillance de la manière suivante :
Date limite pour les notifications
La FINMA confirme ici ce qui est connu : dès la découverte d’une cyberattaque, l’établissement doit 24 heures temps pour une première déclaration à la FINMA. Dans ce délai de 24 heures, les établissements doivent envoyer une Évaluation initiale sur la criticité, dans le but d’estimer si la cyberattaque nécessite une déclaration à la FINMA.
La déclaration “proprement dite” doit alors être envoyée dans un délai total de 72 heures via la plateforme d’enquête et de requête (EHP) de la FINMA.
Attentes pour la première déclaration
La FINMA précise que ce qui importe avant tout lors de la première déclaration, c’est le respect des délais. Il n’y a pas d’attentes particulières en ce qui concerne la forme et le contenu, et les déclarations initiales peuvent également être révoquées :
- Le site Première annonce peut se faire de manière informelle, il suffit de le signaler par e‑mail, téléphone, etc. Il s’agit alors, sur la base de l’évaluation initiale, d’évaluer le situation alors connue de l’événement. Il n’est pas nécessaire d’en dire plus à ce stade. Il s’agit ici pour la FINMA de réagir rapidement ; le contenu de la première annonce est secondaire.
- Il se peut bien sûr que les investigations complémentaires révèlent que la première déclaration n’aurait pas été obligatoire. C’est pourquoi les établissements peuvent à tout moment réitérer leur première déclaration. se retirer.
Lorsqu’un établissement est également soumis à l’obligation de déclarer en vertu de la LSI, la déclaration initiale peut également être soumise via le formulaire de déclaration du BACS si l’option de transmission de la déclaration à la FINMA est sélectionnée (sur la base de l’art. 73d E‑ISG). L’établissement doit toutefois veiller à ce que le délai puisse être respecté à cet égard. Le délai entre l’annonce au BACS et la transmission à la FINMA relève donc de la responsabilité de l’établissement. Pour autant que l’on sache, la transmission par le BACS est automatisée et sans filtre, donc probablement immédiate. La déclaration proprement dite doit ensuite continuer à être envoyée via l’EHP.
Attentes pour la déclaration proprement dite
La communication prudentielle 05/2020 exige, pour les notifications de cyberattaques d’une gravité “moyenne” ou supérieure, un rapport final sur les causes, comprenant au moins le rapport d’enquête interne ou externe ou le rapport médico-légal (d’autres exigences figurent dans la Communiqué de surveillance 05/2020). Comme le précise désormais la FINMA, le rapport sur les causes devrait comprendre les points suivants en cas de degré de gravité “élevé” ou “grave” :
- Raison du succès de la cyber-attaque ;
- l’impact de l’attaque sur le respect des exigences prudentielles, le fonctionnement de l’établissement et les clients ;
- des mesures d’atténuation mises en place pour faire face aux conséquences de l’attaque.
Pour les cyberattaques d’un niveau de gravité “grave”, il faut en outre fournir des preuves et des analyses sur le fonctionnement de l’organisation de crise.
Début et calcul du délai
La FINMA confirme ici avant tout sa pratique, connue depuis un certain temps, selon laquelle les délais de déclaration commencent à courir en cas d’externalisation, si le fournisseur d’accès prend connaissance de la cyberattaque. Une externalisation se fait sous la responsabilité des établissements. C’est ce que conclut la FINMA,
que le délai de notification commence à courirDès que l’établissement ou, dans le cas de fonctions externalisées le fournisseur tiersun cyberincident a découvert. Cela garantit également l’égalité de traitement prudentiel des établissements qui n’ont pas externalisé de fonctions.
Cela s’applique en tout cas aux prestataires de fonctions essentielles. Si un prestataire de services n’est pas un partenaire essentiel en matière d’externalisation, l’établissement doit s’assurer qu’il est informé des cyberincidents.
Lors du calcul des délais pour la première déclaration et la déclaration suivante seuls les jours ouvrables bancaires officiels comptent. Une exception s’applique aux attaques présentant un degré de gravité “grave”. Dans ce cas, le délai pour la première déclaration court également en dehors des jours ouvrables bancaires. Il faut sans doute lire la FINMA dans le sens où cela ne s’applique pas au délai pour la déclaration suivante.
Cyber-exercices basés sur des scénarios
La FINMA clarifie certains points concernant les exercices cybernétiques des banques et des entreprises d’investissement basés sur des scénarios. L’étendue et le contenu de ces exercices sont régis par le principe de proportionnalité généralement applicable dans la RS 23/1. Les établissements d’importance systémique doivent également effectuer des exercices d’équipe rouge, et les autres établissements au moins un exercice annuel de type table-top. Les établissements plus petits (catégories de surveillance 4 et 5) peuvent également participer aux exercices du Swiss Financial Sector Cyber Security Centre (Swiss FS-CSC), tant que le potentiel de menace spécifique à l’établissement peut être déterminé à l’aide de l’exercice correspondant du Swiss FS-CSC.
La FINMA se réserve en outre le droit
de faire réaliser de tels exercices cyber basés sur des scénarios de risques de manière sélective dans le cadre de l’audit prudentiel ou d’un audit complémentaire et de les accompagner étroitement.