ECB-toezichthouder Elderson: AI-cyberaanvallen veranderen het dreigingslandschap voor banken

Frank Elderson, vicevoorzitter van de raad van toezicht van de ECB, noemde de opkomst van steeds geavanceerdere AI-cyberaanvallen op 30 september 2026 “a gamechanger in the threat landscape”. Hij sprak in Bali op een panel van de 24e internationale conferentie van bankentoezichthouders (ICBS), onder de titel “Supervisory risk appetite, efficiency and effectiveness”. Volgens de ECB-toezichthouder nemen de snelheid, de schaal en de toegankelijkheid van geavanceerde cybercapaciteiten snel toe.

Dat is een korte passage in een speech die in de eerste plaats over iets anders gaat: hoe het toezicht zelf efficiënter en doeltreffender wordt. Toch is de combinatie van beide het interessante aan de tekst. Dezelfde toezichthouder die AI als bedreiging beschrijft, zegt ook dat AI het toezicht versnelt.

Wat het toezicht zelf verbeterd zegt te hebben

Elderson somt een reeks verbeteringen op die de ECB-toezichthouder naar eigen zeggen heeft doorgevoerd. Het aantal datapunten in de stresstests is met ongeveer 55% teruggebracht. De doorlooptijd van geschiktheidsbeoordelingen (fit-and-proper) is korter geworden “through digitalisation and AI-enabled tools”. En de goedkeuringstermijnen voor kapitaalgerelateerde beslissingen zijn teruggebracht van enkele maanden tot minder dan zes dagen. De speech schrijft die laatste twee cijfers niet toe aan AI: alleen bij de geschiktheidsbeoordelingen noemt Elderson AI-ondersteunde instrumenten uitdrukkelijk.

Het is de tweede keer in korte tijd dat de ECB zich publiek over AI uitspreekt. Op 22 september 2026 hield Claudia Buch een speech over digitale innovatie, die we eerder samenvatten in ECB-toezichthouder Buch over AI en menselijk oordeel. Waar Buch het over het gebruik van AI door banken had, plaatst Elderson AI aan beide kanten van het toezicht: als risico dat banken moeten afdekken en als werktuig van de toezichthouder.

Wat betekent dit voor banken in België?

De passage over cyberaanvallen bevat geen verplichting en geen deadline, dus er valt uit deze speech geen nieuwe regel af te leiden. Wat ze wel geeft, is een signaal over de aandachtspunten van het Europese bankentoezicht: wie als bank onder ECB-toezicht valt, doet er goed aan AI-gestuurde aanvallen mee te nemen in de eigen oefeningen rond cyberweerbaarheid, omdat de toezichthouder de dreiging zelf een gamechanger noemt.

De vraag die elke bank zich kan stellen is of haar eigen dreigingsmodel nog klopt als snelheid, schaal en toegankelijkheid van aanvallen toenemen, zoals Elderson stelt. En omgekeerd: als het toezicht zijn eigen processen met AI-instrumenten versnelt, is het redelijk te verwachten dat toezichthouders ook vragen hoe banken die instrumenten zelf inzetten en beheersen. Dat laatste is een redenering, geen aangekondigd beleid.