Zf 24

CERS, autoritatea europeana de supraveghere macroprudentiala, a emis o averizare oficiala privind riscurile cibernetice sistemice pe care le implica modelele IA de ultima generatie. Initiativa este sprijinita de autoritatile europene de supraveghere microprudentiala si BCE, ce isi intaresc abordarea de monitorizare si control in domeniu.

Con t inutul avertismentului

In data de 7 iulie 2026, Comitetul European de Risc Sistemic (CERS) sit a publicat o avertizare oficiala (datata 25 iunie 2026) privind riscurile cibernetice sistemice ce rezulta din modele IA de frontiera. Avertizarea a fost facuta la scurt timp dupa ce Consiliul General al CERS a calificat riscul cibernetic sistemic ca fiind "sever" in iunie a.c., in crestere fata de nivelul "ridicat" stabilit cu trei luni inainte.

M odelele de IA de frontiera ("frontier AI models - FAIMs") sunt definite in avertismentul CERS drept "modele de IA cu scop general avansate capabile sa afecteze semnificativ operatiunile cibernetice ofensive si defensive". Avertismentul subliniaza ca, potrivit evidentelor curente, FAIMs sunt capabile sa descopere vulnerabilitati, sa genereze instrumente, tehici sau metode care sa exploateze aceste vulnerabilitati ("exploits") si sa execute in mod autonom (n.n. - fara interventie umana) atacuri cibernetice complete cu o viteza, pe o scara si un nivel de acuratete ce depasesc cu mult modelele de IA precedente. Toate acestea reprezinta "o schimbare de paradigma in domeniul cibersecuritatii si un punct de inflexiune in termenii capacitatii IA" siit .

CERS considera recentele evolutii drept o sursa de riscuri sistemice pentru sistemul financiar al Uniunii Europene, "cu potential de a genera efecte adverse semnificative asupra securitatii cibernetice prin descoperirea accelerata de vulnerabilitati, reducerea timpului disponibil pentru raspuns si aparare efectiva, cresterea scarii si nivelului de sofisticare a ciberatacurilor si introducerea de noi dependente si riscuri de concentrare in sistemul financiar". Ceea ce intereseaza CERS, ca autoritate de risc sistemic, nu este manifestarea unei brese de securitate cibernetica la nivelul unei singure banci, ci, data fiind natura inalt digitalizata si interconectata a sistemului financiar, propagarea efectelor adverse ale acesteia catre alte institutii financiare, ducand astfel la afectarea increderii in sistemul financiar. In egala masura, CERS este preocupata de posibila aparitie de incidente simultane la nivel de sistem, caz in care mai multe institutii financiare sunt atacate in acelasi timp sau este atacat un furnizor critic comun de servicii ce tin de tehnologia informatiei si comunicarii (TIC), generand dereglari importante pe piete si retrageri ridicate de depozite.

Fata de cele de mai sus, trebuie insa precizat ca FAIMs pot intari sau slabi securitatea cibernetica , in functie de natura persoanelor ce au acces la acestea, de puterea de calcul de care dispun si de stimulentele economice aflate in joc siiit . In privinta accesului, atat atacantii, cat si aparatorii se folosesc/s-ar putea folosi de modele de IA de ultima generatie sivt . Pe acest fundal, avertismentul CERS arata ca este foarte probabil ca FAIMs sa conduca pe termen lung la intarirea rezilientei cibernetice svt . CERS considera insa, ca pe termen scurt si mediu, FAIMs vor actiona in favoarea atacantilor, permitandu-le sa gaseasca vulnerabilitatile mai rapid, sa creasca viteza, scala si sofisticarea atacurilor cibernetice, in conditiile reducerii costurilor asociate actiunilor lor.

CERS avertizeaza ca este esential sa se obtina asigurarea ca sistemele de plati si decontari, precum si infrastructurile de piata financiara de importanta sistemica vor ramane protejate in fata vulnerabilitatilor ce apar din utilizarea si dezvoltarea FAIMs. Operatorii publici si privati vor trebui sa analizeze si sa actualizeze cu mare atentie cadrele lor de securitate cibernetica pentru a tine cont de astfel de vulnerabilitati. Autoritatile insarcinate cu supravegherea si monitorizarea trebuie sa adopte masuri care sa asigure ca sistemele sunt protejate in mod adecvat. CERS sublinieaza ca eforturile defensive la nivel de entitati individuale vor fi insuficiente. O reactie si o reducere a riscurilor, cu adevarat efective, cer un raspuns coordonat care sa implice toate partile afectate, inclusiv furnizori de IA, furnizori de software, firme de securitate informatica, persoane ce intretin programele open-source, institutiile financiare si autoritatile, atat la nivel national, cat si european.

CERS tine sa mai sublinieze ca gradul actual ridicat de concentrare geografica in afara UE a principalilor furnizori de IA expune tarile acestei grup economic si politic la dependenta strategica si risc geopolitic svit . Aceasta realitate impune sa fie adoptate masuri care sa "faciliteze acces adecvat si proportional pentru Uniune si statele sale membre" la modelele de IA de frontiera recent dezvoltate.

Avertismentul CERS reprezinta inceputul unei actiuni ce se anunta a fi de durata. Autoritatea macroprudentiala europeana a anuntat ca va continua sa monitorizeze utilizarea si dezvoltarea FAIMs, precum si impactul acestora din perspectiva riscului sistemic. Mai mult, Consiliul General va urmari aceste evolutii prin evaluarile sale trimestriale de risc si va intreprinde actiuni adecvate suplimentare in sfera sa de competenta atunci cand va fi necesar.

Reactia Autoritatilor Europene de Supraveghere (AES) sviit

Printr-un comunicat comun (din data de 7 iulie 2026), autoritatile europene de supraveghere microprudentiala au salutat emiterea avertismentului CERS si au exprimat sprijin fata de solicitarile cuprinse in acesta. Totodata, ele au cerut entitatilor financiare sa ia masuri adecvate pentru a-si adapta capacitatile lor de cibersecuritate si au invitat autoritatile de supraveghere nationale sa tina cont de aceste evolutii in activitatea lor.

AES au subliniat ca ele deja lucreaza cu supraveghetorii financiari din cadrul UE pentru a obtine asigurarea ca institutiile supravegheate identifica si reduc proactiv riscurile din domeniul cibersecuritatii in linie cu cerintele DORA (Digital Operations Resilience Act), text legal care stabileste un cadru armonizat pentru reducerea riscurilor TIC in sectorul financiar european. De asemenea, in calitatea lor de monitori ai furnizorilor terti de servicii TIC critice, AES verifica masurile pe care le iau acestia pentru a se adapta situatiei.

AES vor continua sa monitorizeze atent utilizarea si dezvoltarea modelelor de IA de ultima generatie cu capacitati cibernetice si vor evalua impactul potential al acestora asupra sistemului financiar. Pentru a promova o abordare de supraveghere consecventa, bazata pe risc si privind spre viitor in acest domeniu, AES vor lucra cu supraveghetorii nationali pentru a clarifica asteptarile de supraveghere, ce vor fi comunicate entitatilor financiare pentru a asigura conformitatea cu cadrul de reglementare in vigoare.

Scrisoarea Bancii Centrale Europene (BCE)

In ziua emiterii comunicatului CERS, BCE a transmis o scrisoare catre sefii executivi ai bancilor semnificative aflate sub supragherea sa (110 entitati), ce transforma avertismentul autoritatii macroprudentiale in asteptari de supraveghere sviiit la nivel microprudential.

Scrisoarea precizeaza ca principala raspundere in ceea ce priveste raspunsul la riscurile cibernetice in evolutie revine organelor de conducere ale bancilor . Documentul mai arata ca este posibil ca deciziile strategice privind TIC, inclusiv investitiile in domeniu, alocarea resurselor si cadrele de toleranta la risc privind riscurile legate de TIC, sa trebuiasca a fi revizuite. In scrisoare se sublinieaza si ca este important sa se abordeze, fara intarziere, toate aspectele pe linie de TIC identificate cu ocazia actiunilor anterioare de supraveghere (inspectii la fata locului, analize tintite, testul de stress privind rezilienta cibernetica din 2024) si ramase eventual nerezolvate, intrucat acestea ar putea genera riscuri operationale.

In linie cu cerintele stabilite prin Digital Operational Resilience ACT (DORA), ce raman relevante si valide in contextul schimbarilor rapide in peisajul de cibersecuritate, BCE solicita fiecarei institutii semnificative sa intreprinda urmatoarele masuri :

sa evalueze, fara intarziere, impactul cadrului de amenintari in evolutie; sa elaboreze un plan cuprinzator de actiune care sa cuprinda masuri concrete de intarire a controalelor, alocarea de resurse necesare, atribuirea de roluri si responsabilitati clare si definirea termenelor de implementare; sa inainteze planul de actiune catre echipa sa de supraveghere comuna (Joint Supervisory Team - JST sixt ), pana la data de 31 octombrie 2026. Echipele respective vor discuta planurile cu bancile corespunzatoare si vor monitoriza aplicarea acestora. BCE va intreprinde o analiza orizontala a planurilor de actiune primite pentru a identifica trenduri si posibilitati de imbunatatire si va transmite feed-back institutiilor bancare pentru a le sprijini in imbunatatirea rezilientei lor in domeniul TIC.

Planul de actiune se va baza pe stategia privind riscurile cibernetice ale fiecarei banci si va aborda, atat aspecte prioritare, cat si aspecte strategice, pe termen lung. Pe termen scurt , planul va trebui sa se concentreze asupra urmatoarelor aspecte:

sa accelereze gestiunea vulnerabilitatilor si a actualizarilor de securitate pe scara larga; sa intareasca monitorizarea, detectia si capacitatile defensive sprijinite de IA; sa verifice daca managementul riscului cu partile terte este adecvat in situatia curenta, in lumina rolului furnizorilor de servicii TIC in lanturile critice de aprovizionare;

In completarea masurilor pe termen scurt, rezilienta cibernetica si operationala trebuie realizata prin masuri structurale , care sa includa:

intarirea apararii in adancime si a igienei cibernetice, precum si modernizarea infrastructurii prin inlocuirea sau actualizarea tehnologiilor fara suport sau la sfarsitul duratei de viata; imbunatatirea rezilientei operationale prin mecanisme de raspuns si recuperare, inclusiv gestiunea crizei, cat si prin aranjamente de impartire a informatiilor.

Importanta pe care BCE o acorda riscurilor de cibersecuritate generate de modele de IA de frontiera rezulta si din modificarea programului acestei institutii: BCE va amana data limita de depunere a chestionarului anual privind riscul IT din septembrie 2026 in februarie 2027, pentru a permite institutiilor supravegheate sa se concentreze asupra planurilor de actiune. De asemenea, ajustari privind alte activitati de supraveghere (de ex. actiuni de control la fata locului) vor fi luate in considerare de la caz la caz.

Intr-o perspectiva mai indelungata, peisajul de securitate cibernetica va fi modificat de avansurile prevazute in domeniul computerelor cuantice. BCE considera ca desi adoptarea de tehnici criptografice post-cuantice nu este momentan o urgenta, pregatirea trebuie sa inceapa acum. BCE va aborda problema riscului generat de computerele cuantice in privinta metodele traditionale de criptare, la momentul cuvenit, printr-o alta scrisoare