ECB geeft banken in de eurozone vier maanden om AI-risico's tegen te gaan

De Europese Centrale Bank heeft banken in de eurozone vier maanden gegeven om plannen te ontwikkelen die gericht zijn op het tegengaan van door kunstmatige intelligentie (AI) aangedreven cyberdreigingen die het vertrouwen in het financiële systeem kunnen ondermijnen en betalingsnetwerken kunnen ontwrichten.

De richtlijn, uitgegeven op dinsdag, weerspiegelt de groeiende bezorgdheid onder Europese toezichthouders over de toenemende cybercapaciteiten van geavanceerde AI-modellen.

Volgens de ECB hebben de ontwikkelingen in AI een stadium bereikt waarin sommige modellen zo krachtig zijn geworden dat de toegang ertoe is beperkt. De centrale bank merkte op dat deze beperking momenteel niet geldt voor banken in de eurozone.

ECB benadrukt risico's voor ICT-systemen van banken

In een brief aan de bestuurders van banken waarschuwde de ECB dat de vooruitgang in AI aanzienlijke gevolgen kan hebben voor de veiligheid en veerkracht van de technologische infrastructuur van de bankensector.

"Deze ontwikkelingen kunnen potentieel ingrijpende gevolgen hebben voor de vertrouwelijkheid, integriteit en veerkracht van de informatie- en communicatietechnologiesystemen van banken," aldus de ECB in de brief.

De centrale bank verzocht banken prioriteit te geven aan de bescherming van via internet toegankelijke systemen en andere technologische activa die meer blootstaan aan cyberrisico's.

Ze vroeg banken ook de beveiliging van software van derden en open-sourcecomponenten te versterken, het verhelpen van geïdentificeerde kwetsbaarheden te versnellen en de monitoringsmogelijkheden te verbeteren.

Voorbij directe beveiligingsmaatregelen riep de ECB banken op hun verouderde technologische infrastructuur te moderniseren en de algehele cyberhygiëne te verbeteren.

De bankentoezichthouder riep banken ook op de kaders voor crisisbeheersing, herstelregelingen en mechanismen voor informatie-uitwisseling te versterken om de paraatheid voor mogelijke cyberincidenten te verbeteren.

Banken hebben tot 31 oktober om hun cybersecurityactieplannen bij de ECB in te dienen.

Om instellingen te helpen zich op deze prioriteiten te concentreren, zei de centrale bank dat zij een aparte IT-enquête heeft uitgesteld.

De ECB gaf verder aan dat zij geplande inspecties en andere toezichtactiviteiten kan aanpassen om middelen vrij te maken voor de nieuwe cybersecurity-initiatieven.

ESRB waarschuwt voor systemische financiële risico's

Naast de mededeling van de ECB publiceerde de European Systemic Risk Board (ESRB) een waarschuwing waarin de bredere risico's voor de financiële stabiliteit door grootschalige cyberincidenten werden benadrukt.

De ESRB stelde dat wijdverspreide cyberstoringen het publieke vertrouwen in financiële instellingen kunnen verzwakken en in ernstige gevallen een run op bedrijven of zelfs landen kunnen veroorzaken die als minder cyberweerbaar worden beschouwd.

"De ESRB beschouwt deze ontwikkelingen als een bron van systemische risico's voor het financiële systeem," aldus het orgaan.

Cyberincidenten kunnen zich over de financiële sector verspreiden

Om de potentiële impact te verduidelijken schetste de ESRB verschillende scenario's met door AI aangedreven cyberdreigingen.

Deze liepen uiteen van een geleidelijke erosie van het vertrouwen in kleinere banken tot door staten gesteunde spionagecampagnes en gecoördineerde aanvallen gericht op betalings-, clearing- en afwikkelingssystemen.

Het orgaan waarschuwde ook dat desinformatiecampagnes de effecten van dergelijke incidenten kunnen versterken door de onzekerheid te vergroten en het publieke vertrouwen te ondermijnen.

De ESRB merkte verder op dat cyberincidenten zich snel kunnen verspreiden via gedeelde technologieproviders en veelgebruikte software in de financiële sector, waardoor het risico op wijdverspreide verstoringen toeneemt.

De nieuwste richtlijn van de ECB en de waarschuwing van de ESRB benadrukken de toenemende focus van toezichthouders op het versterken van cyberweerbaarheid nu de vooruitgang in AI het cybersecuritylandschap blijft hervormen.

Nu banken geconfronteerd worden met een deadline van 31 oktober, proberen Europese autoriteiten ervoor te zorgen dat financiële instellingen beter voorbereid zijn om te reageren op steeds geavanceerdere cyberdreigingen, terwijl ze het vertrouwen in het financiële systeem waarborgen.