EBA, EIOPA en ESMA: AI-aanvallen kunnen claims van verzekeraars doen oplopen

De drie Europese toezichthouders voor banken, verzekeraars en de effectenmarkten — EBA, EIOPA en ESMA, samen de ESAs — waarschuwden op 23 september 2026 in hun gezamenlijk najaarsrapport voor drie risico’s voor de EU-financiële sector: de afhankelijkheid van dienstverleners buiten de EU, cyberdreigingen die door AI krachtiger worden, en de snelle groei van private kredietverlening. Het rapport zelf blijft geruststellend over de sector als geheel: banken, verzekeraars en beleggingsfondsen tonen volgens de ESAs sterke fundamentals, ook al zetten geopolitieke spanningen, cyberdreigingen, natuurrampen en technologische ontwikkelingen druk op de vooruitzichten.

Over AI schrijven de toezichthouders letterlijk dat de snelle ontwikkeling van geavanceerde AI-systemen cyberaanvallen krachtiger en moeilijker beheersbaar kan maken, waardoor kwaadwillenden kwetsbaarheden sneller dan ooit kunnen opsporen en uitbuiten. Voor de verzekeringssector trekken de ESAs die dreiging door naar een concreet gevolg: in een context van ernstige geopolitieke instabiliteit kan een grotere frequentie en ernst van georkestreerde, AI-gedreven cyberaanvallen de claims en het opeenstapelingsrisico voor verzekeraars doen toenemen, al kunnen uitsluitingsclausules de impact op de sector beperken. De ESAs roepen financiële instellingen op tot proactieve monitoring en beheer van de risico’s rond externe afhankelijkheden, private kredietverlening en AI.

Het rapport komt er ruim zeven weken nadat EBA, EIOPA en ESMA banken en verzekeraars al gezamenlijk opriepen om hun governance rond de cyberrisico’s van zogeheten frontier-AI-modellen te versterken. Het najaarsrapport herhaalt die zorg, maar voegt er de link met private kredietverlening en, voor het eerst expliciet, de gevolgen voor de verzekeringssector aan toe.

Wat betekent dit voor banken in België?

EBA, EIOPA en ESMA werken voor hun toezicht samen met de nationale toezichthouders van de lidstaten. In België oefent de Nationale Bank van België (NBB) dat toezicht uit op banken — voor de grootste instellingen samen met de Europese Centrale Bank — en sinds 1 april 2011 ook op verzekeraars; de FSMA houdt op haar beurt toezicht op de beheervennootschappen van beleggingsfondsen. Een Belgische bank, verzekeraar of fondsbeheerder valt dus niet rechtstreeks onder dit rapport, maar wel onder het toezicht van de instellingen die het mee ondertekenden.

Concreet sluit de waarschuwing aan bij een verplichting die er al is: onder DORA, van toepassing sinds 17 januari 2025, moeten banken en verzekeraars in de EU hun kritieke ICT-dienstverleners in kaart brengen en testen tegen ernstige maar plausibele scenario’s — inclusief de afhankelijkheid van dienstverleners buiten de EU die de ESAs nu apart benoemen. Voor een Belgische verzekeraar voegt het rapport daar een nieuw element aan toe: AI-gedreven cyberaanvallen zijn niet langer alleen een IT-risico voor de eigen organisatie, maar kunnen via claims van getroffen klanten ook een verzekeringstechnisch risico worden. We schreven eerder al over de AI-cyberwaarschuwing van de BIS voor de banksector; dit rapport trekt diezelfde zorg nu ook door naar de verzekeringskant van diezelfde instellingen.