ECB ger euroområdets banker fyra månader att hantera AI‑risker

Den Europeiska centralbanken har gett euroområdets banker fyra månader att ta fram planer för att motverka artificiellt intelligens (AI)-drivna cyberhot som kan undergräva förtroendet för det finansiella systemet och störa betalningsnätverk.

Direktivet, som utfärdades på tisdagen, speglar en växande oro bland europeiska tillsynsmyndigheter över avancerade AI-modellers ökade cyberkapabiliteter.

Enligt ECB har utvecklingen inom AI nått en nivå där vissa modeller blivit så kraftfulla att tillgången till dem begränsats. Centralbanken konstaterade att denna begränsning för närvarande inte omfattar euroområdets banker.

ECB framhäver risker för bankernas IKT‑system

I ett brev riktat till bankernas vd:ar varnade ECB för att framsteg inom AI kan få betydande konsekvenser för säkerheten och resiliensen i bankernas tekniska infrastruktur.

"Dessa utvecklingar kan få genomgripande konsekvenser för konfidentialitet, integritet och resiliens i bankernas informations- och kommunikationstekniksystem (IKT-system)," skrev ECB i brevet.

Centralbanken instruerade långivare att prioritera skyddet av system som är öppna mot internet och andra tekniska tillgångar som är mer utsatta för cyberrisker.

Den bad också bankerna stärka säkerheten i tredjepartsprogramvara och komponenter med öppen källkod, skynda på åtgärder för identifierade sårbarheter och förbättra övervakningsmöjligheterna.

Utöver omedelbara säkerhetsåtgärder uppmanade ECB bankerna att modernisera åldrande teknikinfrastruktur och förbättra den övergripande cyberhygienen.

Tillsynsorganet uppmanade även långivarna att stärka krishanteringsramverk, återhämtningsarrangemang och mekanismer för informationsdelning för att förbättra beredskapen vid potentiella cyberincidenter.

Bankerna har till October 31 på sig att lämna in sina handlingsplaner för cybersäkerhet till ECB.

För att hjälpa institutionerna att fokusera på dessa prioriteringar meddelade centralbanken att den har skjutit upp en separat IT‑undersökning.

Den indikerade också att den kan justera planerade inspektioner och andra tillsynsaktiviteter för att frigöra resurser till de nya cybersäkerhetsinitiativen.

ESRB varnar för systemrisker för finanssektorn

Samtidigt publicerade European Systemic Risk Board (ESRB) en varning som lyfter fram de bredare finansiella stabilitetsrisker som storskaliga cyberincidenter kan innebära.

ESRB menade att omfattande cyberstörningar kan försvaga allmänhetens förtroende för finansiella institutioner och i allvarliga fall utlösa massuttag från företag eller till och med urholka förtroendet för länder som uppfattas ha svagare cyberresiliens.

"ESRB anser att dessa utvecklingar utgör en källa till systemiska risker för det finansiella systemet," uttalade nämnden.

Cyberincidenter kan spridas över hela finanssektorn

För att illustrera den potentiella påverkan skisserade ESRB flera möjliga scenarier som involverar AI‑drivna cyberhot.

Dessa sträckte sig från en gradvis erosion av förtroendet för mindre banker till statsstödda spionagekampanjer och koordinerade attacker mot betalnings-, clearing‑ och avvecklingssystem.

Nämnden varnade också för att desinformationskampanjer kan förstärka effekterna av sådana incidenter genom att öka osäkerheten och undergräva allmänhetens förtroende.

ESRB noterade vidare att cyberincidenter snabbt kan spridas via gemensamma teknikleverantörer och vanligt förekommande programvara inom finanssektorn, vilket ökar risken för omfattande driftstörningar.

ECB:s senaste direktiv och ESRB:s varning understryker tillsynsmyndigheternas ökade fokus på att stärka cyberresiliensen i takt med att AI‑framsteg fortsätter att förändra cybersäkerhetslandskapet.

Med bankerna inför en deadline den October 31 försöker europeiska myndigheter säkerställa att finansinstituten blir bättre rustade att hantera allt mer sofistikerade cyberhot samtidigt som de skyddar förtroendet för det finansiella systemet.