BCE cere băncilor un plan împotriva atacurilor potențate de AI, până la 31 octombrie 2026

Pe 7 iulie 2026, Supravegherea Bancară a BCE a trimis CEO-ului fiecărei bănci semnificative o scrisoare — SSM-2026-0301, semnată de Claudia Buch, președinta Consiliului de Supraveghere — cu un termen clar: până la 31 octombrie 2026, băncile trebuie să depună un plan de acțiune împotriva amenințărilor cibernetice potențate de inteligența artificială. Mai jos sunt faptele, luate direct din scrisoarea oficială, fără interpretări.

Ce spune, de fapt, BCE

Motivul e formulat direct: modelele AI pot identifica vulnerabilități și genera exploit-uri funcționale la o viteză fără precedent, comprimând timpul dintre descoperirea unei breșe și exploatarea ei. BCE subliniază că nu e vorba de riscuri complet noi, ci de o amplificare majoră a vitezei și scării la care se materializează — o schimbare de durată a peisajului de amenințări, nu un val trecător legat de un singur instrument. Scrisoarea e aliniată cu avertismentul, la care face trimitere, al Comitetului European pentru Risc Sistemic (ESRB) privind „riscurile cibernetice sistemice generate de modelele AI de frontieră“.

Planul de acțiune

Responsabilitatea revine, în primul rând, organelor de conducere ale băncii — deciziile de investiții ICT, alocarea resurselor și cadrul de toleranță la risc pot avea nevoie de revizuire, iar guvernanța și sistemele de control, de întărit. BCE cere un plan de acțiune cuprinzător, cu măsuri concrete, resurse alocate, roluri clare și termene de implementare, construit peste strategia de risc cibernetic existentă. Planul se depune la echipa comună de supraveghere (JST) până la 31 octombrie 2026.

Nu e o lege nouă: scrisoarea operaționalizează DORA (Regulamentul (UE) 2022/2554) în fața noii amenințări și e orientată pe rezultat, nu o listă prescriptivă de tehnologii.

Ariile de focus, așa cum le enumeră scrisoarea

Pe termen scurt:

• accelerarea managementului vulnerabilităților și al patch-urilor, la scară;
• întărirea monitorizării, detecției și a capabilităților defensive cu AI;
• verificarea că managementul riscului de terți e adecvat situației — furnizorii ICT sunt verigi critice în lanțul de aprovizionare;
• prioritizarea protecției perimetrului și a activelor expuse în internet, inclusiv software terț și componente open-source.

Structural (termen mai lung):

• defense-in-depth și igienă cibernetică, plus modernizarea infrastructurii prin înlocuirea tehnologiilor vechi, nesuportate sau end-of-life;
• reziliență operațională prin mecanisme de răspuns și recuperare, inclusiv managementul crizelor și aranjamente de partajare a informației.

În plus, BCE cere rezolvarea fără întârziere a constatărilor de supraveghere deschise (inspecții, revizuiri țintite, testul de reziliență cibernetică din 2024) și semnalează separat criptografia post-cuantică — adoptarea ei „trebuie să înceapă acum“, cu o scrisoare dedicată ce va urma.

Observă ce nu e în prim-plan: scrisoarea nu ridică nicio tehnologie de autentificare anume la rang de cerință. Controalele de identitate intră, firesc, în „defense-in-depth“ — dar mandatul e despre viteza de patching, detecție, terți și suprafața expusă, nu despre un anumit produs.

Supravegherea și un termen relaxat în schimb

JST-ul va discuta planul cu fiecare bancă și îi va urmări progresul. BCE va face o analiză orizontală a tuturor planurilor depuse, ca să identifice tendințe și să împărtășească concluziile cu sectorul. În schimbul efortului, BCE amână colectarea anuală a Chestionarului de risc IT din septembrie 2026 în februarie 2027 și va ajusta, caz cu caz, alte activități de supraveghere.

Ce înseamnă pentru băncile din România

Scrisoarea se adresează instituțiilor semnificative supravegheate direct de BCE (băncile din zona euro și din statele aflate în cooperare strânsă). Băncile din România sunt supravegheate în principal de BNR, deci nu sunt destinatarele directe ale acestei scrisori. Dar concluzia practică e aceeași, din trei motive:

• DORA se aplică direct în România din 17 ianuarie 2025 — aceleași cerințe de reziliență operațională digitală pe care scrisoarea BCE le operaționalizează sunt deja obligatorii pentru entitățile financiare românești.
• Subsidiarele grupurilor din zona euro sunt cuprinse prin planul de grup al băncii-mamă.
• Amenințarea nu ține cont de granițe. Compresia „vulnerabilitate → exploit“ prin AI lovește la fel, indiferent cine te supraveghează.

Cu alte cuvinte, scrisoarea BCE e cel mai clar model de așteptare a supraveghetorului din UE pe acest subiect — direcția către care merge tot sectorul.

---

Tradus în practică — un plan care rezistă la o revizuire — punctele grele sunt exact cele din scrisoare: cât de repede aplici patch-uri pe activele expuse, dacă vezi un atac în desfășurare și cât de bine îți cunoști terții. Un audit de securitate și un test pe suprafața expusă arată unde ești acum, înainte s-o afle altcineva.

Faptele provin din scrisoarea oficială a Supravegherii Bancare BCE, „Addressing AI-enabled cybersecurity threats“ (SSM-2026-0301, 7 iulie 2026), și din avertismentul ESRB la care aceasta face trimitere. Articolul redă ce spune scrisoarea, fără interpretări comerciale.