ACTUALIZARE BCE verifică apărarea băncilor împotriva atacurilor cibernetice amplificate de AI, estimând expuneri de 62 miliarde euro în sector
Banca Centrală Europeană evaluează planurile de apărare ale băncilor împotriva atacurilor cibernetice amplificate de inteligența artificială, după termenul de transmitere din 31 octombrie, potrivit 2eu.brussels și a contribuției publicate pentru reuniunea Eurogrupului din 9 noiembrie 2026. Riscul privește un sector în care peste 90% dintre băncile supravegheate direct de BCE folosesc AI, iar 85% utilizează AI generativă, potrivit datelor prezentate de Claudia Buch la 22 septembrie și reluate în documentul din noiembrie. Separat, BCE estimează expunerile directe de creditare către firme asociate dezvoltării AI la aproximativ 62 de miliarde de euro și urmărește legăturile dintre riscurile tehnologice și cele financiare.
Utilizarea AI nu se limitează la aplicații de conversație sau la redactarea documentelor. Băncile folosesc asemenea tehnologii pentru detectarea fraudelor, prevenirea criminalității cibernetice, evaluarea creditelor, analiza documentelor, relația cu clienții și automatizarea operațiunilor. Potrivit datelor prezentate în septembrie, 64% dintre instituțiile supravegheate utilizează AI pentru prevenirea fraudelor și a infracțiunilor cibernetice. Automatizarea poate reduce costurile și poate accelera procesarea informațiilor, dar depinde de calitatea datelor, de controlul sistemelor și de capacitatea personalului de a verifica rezultatele. Modelele AI avansate, denumite frontier AI, pot însă accelera și atacurile. BCE arată că ele identifică vulnerabilități software și produc metode funcționale de exploatare cu o viteză fără precedent.
Scrisoarea din iulie descrie o amplificare a vitezei și a dimensiunii unor riscuri existente, prin scurtarea intervalului dintre descoperirea unei vulnerabilități și folosirea ei împotriva unei instituții. Pentru o bancă, această accelerare schimbă modul în care trebuie organizată securitatea informatică. Procedurile tradiționale, care presupun perioade lungi între identificarea problemelor și instalarea actualizărilor de protecție, pot deveni insuficiente. Sistemele de plăți, aplicațiile accesibile pe internet, interfețele folosite de clienți și infrastructura administrată de furnizori externi pot fi expuse unor atacuri mai rapide și mai complexe. O defecțiune importantă poate afecta accesul la conturi, executarea plăților sau disponibilitatea unor servicii esențiale, chiar dacă banca nu are probleme imediate de capital.
Prin scrisoarea adresată directorilor băncilor semnificative la 7 iulie, Claudia Buch a cerut planuri de acțiune cu măsuri concrete, resurse, responsabilități și termene de implementare. Prioritățile imediate sunt corectarea mai rapidă a vulnerabilităților, îmbunătățirea monitorizării și a capacităților defensive și verificarea furnizorilor IT. O atenție specială revine sistemelor accesibile din exterior, infrastructurilor cloud și componentelor software terțe, inclusiv celor open-source. AI poate fi folosită și defensiv, pentru identificarea problemelor și gestionarea unor volume mai mari de alerte. BCE precizează însă că utilizarea unor asemenea instrumente trebuie precedată de evaluarea beneficiilor și riscurilor și însoțită de validare, control uman și garanții adecvate.
Anexa scrisorii oferă exemple de măsuri pe care băncile le pot lua în considerare: modernizarea infrastructurii vechi, segmentarea rețelelor, autentificarea cu mai mulți factori, limitarea drepturilor de acces și testarea sistemelor de rezervă și recuperare. Sunt avute în vedere exerciții cu atacuri rapide și de mare amploare, ransomware, compromiterea lanțurilor de aprovizionare și întreruperi ale serviciilor cloud. Exemplele trebuie adaptate riscurilor instituției; anexa nu transformă fiecare opțiune tehnică într-o obligație nouă identică pentru toate băncile. Responsabilitatea pentru aceste măsuri revine conducerii băncilor, nu numai departamentelor IT. Scrisoarea din iulie cere evaluarea resurselor financiare, a personalului, a sistemelor de control și a nivelului de risc pe care instituția este dispusă să îl accepte. În cazul unor vulnerabilități semnificative, conducerea trebuie să stabilească priorități și termene de remediere. BCE urmărește astfel ca securitatea cibernetică să fie tratată drept o componentă a strategiei și a continuității afacerii bancare.
Dependența de furnizorii externi ocupă un loc distinct în evaluare. Băncile utilizează servicii cloud, programe specializate, centre de procesare a datelor și soluții de securitate dezvoltate de alte companii. Acest model poate reduce costurile și poate facilita adoptarea tehnologiilor noi, dar poate crea dependențe comune pentru mai multe instituții. Dacă un furnizor critic este afectat de o vulnerabilitate sau de o întrerupere, consecințele pot depăși o singură bancă. Din acest motiv, BCE solicită verificarea capacității furnizorilor de a identifica și corecta rapid problemele, inclusiv prin obligațiile contractuale. Cadrul juridic este deja stabilit prin Regulamentul privind reziliența operațională digitală a sectorului financiar, cunoscut drept DORA, aplicabil din 17 ianuarie 2025. Acesta acoperă gestionarea riscurilor IT, raportarea incidentelor majore, testarea rezilienței și relațiile cu furnizorii terți de tehnologie. Solicitarea BCE se înscrie în aceste responsabilități existente; documentul prezentat Eurogrupului este o evaluare de supraveghere, fără să adopte un regulament nou. Planurile trebuiau transmise echipelor comune de supraveghere până la 31 octombrie. BCE afirmă că le evaluează acum pentru a identifica domeniile care necesită îmbunătățiri și pentru a transmite sectorului observații și exemple de bune practici. Echipele vor discuta măsurile cu băncile și vor urmări implementarea. Pentru a permite concentrarea resurselor asupra acestor priorități, termenul chestionarului anual de risc IT a fost mutat din septembrie 2026 în februarie 2027.
Banca Centrală Europeană (BCE) evaluează planurile de apărare ale băncilor împotriva atacurilor cibernetice amplificate de inteligența artificială, după termenul de transmitere fixat pe 31 octombrie. Instituția confirmă această etapă în contribuția publicată pentru reuniunea Eurogrupului din 9 noiembrie 2026, semnată de Claudia Buch, președinta Consiliului de supraveghere.
Riscul vizat este unul sectorial, dat fiind că peste 90% dintre băncile supravegheate direct de BCE folosesc AI, iar 85% utilizează AI generativă. Aceste procente, prezentate de Claudia Buch în septembrie, descriu nivelul de adopție al tehnologiei, nu rezultatele verificării conformității cu cerințele de securitate. Utilizarea AI nu se limitează la aplicații conversationalе; băncile o folosește pentru detectarea fraudelor (64% dintre instituții), prevenirea criminalității cibernetice, evaluarea creditelor și automatizarea operațiunilor.
BCE avertizează că modelele avansate de frontier AI pot accelera și atacurile, identificând vulnerabilități software și producând metode de exploatare cu o viteză fără precedent. Scrisoarea din iulie descrie o amplificare a vitezei și a dimensiunii unor riscuri existente, prin scurtarea intervalului dintre descoperirea unei vulnerabilități și folosirea ei împotriva unei instituții. Procedurile tradiționale, care presupun perioade lungi între identificarea problemelor și instalarea actualizărilor, pot deveni insuficiente.
Prin scrisoarea adresată directorilor băncilor semnificative la 7 iulie, Claudia Buch a cerut planuri de acțiune cu măsuri concrete, resurse, responsabilități și termene. Prioritățile imediate sunt corectarea mai rapidă a vulnerabilităților, îmbunătățirea monitorizării și verificarea furnizorilor IT. O atenție specială revine sistemelor accesibile din exterior, infrastructurilor cloud și componentelor software terțe. Planurile trebuiau transmise echipelor de supraveghere până la 31 octombrie, iar BCE afirmă că le evaluează acum pentru a identifica domeniile care necesită îmbunătățiri.
Contribuția estimează expunerile directe de creditare către firme asociate dezvoltării AI la aproximativ 62 de miliarde de euro în trimestrul al doilea 2026, reprezentând 1,2% din expunerile corporative angajate ale băncilor din zona euro. Cifra măsoară expuneri de creditare, nu pierderi sau credite neperformante, și exclude anumite centre de date și finanțările indirecte. BCE apreciază că băncile joacă un rol relativ redus în finanțarea directă a companiilor AI, dar monitorizează riscul de transmitere a dificultăților prin creditul privat și alți intermediari nebancari.
BCE consideră sectorul bancar solid financiar, cu active totale de 34.449,39 miliarde euro și o rată CET1 de 16,62% pentru toate instituțiile din supraveghere în trimestrul al doilea 2026. Totuși, supraveghetorul menține atenția asupra dependenței de furnizorii externi și a capacității de a continua operațiunile esențiale în cazul unor întreruperi. Evaluarea se înscrie în cadrul obligațiilor DORA (Regulamentul privind reziliența operațională digitală), aplicabil din ianuarie 2025. Pentru a permite concentrarea resurselor, termenul chestionarului anual de risc IT a fost mutat în februarie 2027.
Pentru România, obligațiile europene și sfera supravegherii directe trebuie distinse. România nu participă la Mecanismul unic de supraveghere, iar băncile de pe piața românească nu sunt destinarii direcți ai scrisorii BCE, deși DORA se aplică instituțiilor financiare românești. Comitetul Unic de Rezoluție (SRB) avertizează că atacurile cibernetice pot amenința continuitatea serviciilor bancare chiar și în absența problemelor de capital, insistând pe completarea uniunii bancare și armonizarea cadrelor naționale.