Basel Committee herziet de risicocategorieën voor operationeel verlies wegens cyberaanvallen en AI

Het Basel Committee heeft op 28 en 29 september 2026 in Indonesië besloten te onderzoeken of de bestaande indeling van operationele verliezen nog volstaat, met aandacht voor cyberrisico en AI. Dat staat in het persbericht van de BIS van 1 oktober 2026. Het Comité wordt voorgezeten door Erik Thedéen, gouverneur van de Sveriges Riksbank.

Wat het Comité besliste

Het Comité sprak over de snelle ontwikkeling van AI sinds zijn vergadering van mei 2026. Volgens het persbericht groeit de financiële voetafdruk van AI, met meer hefboomfinanciering (leverage) en meer onderling verweven financiering. Het Comité schrijft dat frontier-AI, de meest geavanceerde modellen, financiële diensten efficiënter en vernieuwender kan maken. Tegelijk kan ze volgens het Comité operationele zwakheden vergroten, waaronder cyberaanvallen en gelijklopende afhankelijkheden.

Voor het gebruik van AI in kritieke financiële functies zijn volgens het persbericht zorgvuldig bestuur, sterk risicobeheer en blijvende aandacht van de toezichthouders nodig.

Het concrete besluit is kleiner dan die algemene vaststelling: het Comité wil nagaan of de huidige categorieën voor verliesgebeurtenissen in zijn kader voor operationeel risico nog volstaan en passend zijn. Die herziening richt zich op cyberrisico en AI-ontwikkelingen. Daarnaast blijft het Comité AI volgen en bespreekt het wat het voor het toezicht betekent.

Wat er verder op tafel lag

Het Comité keurde ook een definitieve standaard goed voor machineleesbare Pillar 3-publicaties, die volgens het persbericht rond het einde van het jaar wordt verwacht. De meeste banken publiceren die gegevens nu enkel in pdf, wat vergelijken en samenvoegen moeilijk maakt. Verder werkt het Comité aan een update over zijn standaard voor cryptoblootstellingen, die tegen het einde van het jaar volgt.

Het is een vergadering met een brede agenda, en AI is er één punt van. Toch is het opvallend dat een toezichthoudersorgaan van dit niveau AI en cyberrisico niet alleen bespreekt, maar ook meteen koppelt aan de manier waarop operationele verliezen worden ingedeeld. Een indeling bepaalt immers wat banken als aparte categorie kunnen bijhouden en vergelijken.

Wat betekent dit voor banken in België?

Het persbericht bevat geen nieuwe verplichting en geen deadline: het Comité kondigt een herziening aan, geen nieuwe regel. Wat banken nu kunnen doen, is vooral een vraag stellen aan zichzelf. Wie operationele incidenten intern indeelt, kan nagaan of een cyberaanval met AI-ondersteuning of een storing bij een AI-toepassing in kritieke functies daar een duidelijke plaats heeft, of dat zulke gebeurtenissen nu onder een algemene noemer verdwijnen.

Dat is een redenering, geen vaststelling over hoe Belgische banken hun gegevens vandaag indelen. Wat de herziening uiteindelijk oplevert, en hoe ze in Europese regels terechtkomt, staat nog niet vast. Over wat de ECB-toezichthouder Elderson over AI-cyberaanvallen zei, schreven we eerder in dit stuk.