CERS, autoritatea europeană de supraveghere macroprudenţială, a emis o averizare oficială privind riscurile cibernetice sistemice  pe care le implică modelele IA de ultimă generaţie. Iniţiativa este sprijinită de autorităţile europene de supraveghere microprudenţială şi BCE, ce îşi întăresc abordarea de monitorizare şi control în domeniu.  

Conţinutul avertismentului

În data de 7 iulie 2026, Comitetul European de Risc Sistemic (CERS)şiţ a publicat o avertizare oficială  (datată 25 iunie 2026) privind riscurile cibernetice sistemice ce rezultă din modele IA de frontieră.

Avertizarea  a fost făcută la scurt timp după ce Consiliul General al CERS a calificat riscul cibernetic sistemic ca fiind “sever”  în iunie a.c.,  în creştere faţă de nivelul “ridicat” stabilit cu trei luni înainte.

Modelele de IA de frontiera (“frontier AI models – FAIMs”) sunt definite în avertismentul CERS drept “modele de IA cu scop general avansate capabile să afecteze semnificativ operaţiunile cibernetice ofensive şi defensive”. Avertismentul subliniază că, potrivit evidenţelor curente, FAIMs sunt capabile să descopere  vulnerabilităţi, să genereze instrumente, tehici sau metode care să exploateze aceste vulnerabilităţi (“exploits”) şi să execute în mod autonom (n.n. – fără intervenţie umană)  atacuri cibernetice complete cu o viteză, pe o scară şi un nivel de acurateţe ce depăşesc cu mult modelele de IA precedente.  Toate acestea reprezintă “o schimbare de paradigmă în domeniul cibersecurităţii şi un punct de inflexiune în termenii capacităţii IA”şiiţ.

CERS consideră recentele evoluţii drept o sursă de riscuri sistemice pentru sistemul financiar al Uniunii Europene, “cu potenţial de a genera efecte adverse semnificative asupra securităţii cibernetice prin descoperirea accelerată de vulnerabilităţi, reducerea timpului disponibil pentru răspuns şi apărare efectivă, creşterea scării şi nivelului de  sofisticare a ciberatacurilor şi introducerea de noi dependenţe şi riscuri de concentrare în sistemul financiar”. Ceea ce interesează CERS,  ca autoritate de risc sistemic, nu este  manifestarea unei breşe de securitate  cibernetică la nivelul unei singure bănci, ci, dată fiind natura înalt digitalizată şi interconectată a sistemului financiar, propagarea efectelor adverse ale acesteia către alte instituţii financiare, ducând astfel la afectarea încrederii în sistemul financiar. În egală măsură, CERS este  preocupată de posibila apariţie de incidente simultane la nivel de sistem, caz în care mai multe instituţii financiare sunt atacate în acelaşi timp sau este atacat un furnizor critic  comun  de servicii ce ţin de tehnologia informaţiei şi comunicării (TIC), generând dereglari importante pe  pieţe şi retrageri ridicate de depozite.

Faţă de cele de mai sus, trebuie însă precizat că FAIMs pot întări sau slăbi securitatea cibernetică, în funcţie de natura persoanelor ce au acces la acestea, de puterea de calcul de care dispun şi de stimulentele economice aflate în jocşiiiţ. În privinţa accesului, atât atacanţii, cât şi apărătorii se folosesc/s-ar putea folosi de modele de IA de ultimă generaţieşivţ. Pe acest fundal, avertismentul CERS arată că este foarte probabil ca FAIMs să conducă pe termen lung la întărirea rezilienţei ciberneticeşvţ.  CERS considera însă, ca pe termen scurt şi mediu, FAIMs vor acţiona în favoarea atacanţilor, permitându-le să găsească vulnerabilităţile mai rapid, să crească viteza, scala şi sofisticarea atacurilor cibernetice, în condiţiile reducerii costurilor asociate acţiunilor lor.

CERS avertizează că este esenţial să se obţină asigurarea că sistemele de plăţi şi decontări, precum şi infrastructurile de piaţă financiară de importanţă sistemică vor rămâne protejate în faţa vulnerabilităţilor ce apar din utilizarea şi  dezvoltarea FAIMs.  Operatorii publici şi privaţi vor trebui să analizeze şi să actualizeze cu mare atenţie cadrele lor de securitate cibernetică pentru a ţine cont de astfel de vulnerabilităţi. Autorităţile însărcinate cu supravegherea şi monitorizarea trebuie să adopte măsuri care să asigure că sistemele sunt protejate în mod adecvat. CERS subliniează că eforturile defensive la nivel de entităţi individuale vor fi insuficiente. O reacţie şi o reducere a riscurilor, cu adevărat efective, cer un răspuns coordonat care să implice toate părţile afectate, inclusiv furnizori de IA, furnizori de software, firme de securitate informatică, persoane ce întreţin programele open-source, instituţiile financiare şi autorităţile, atât la nivel naţional, cât şi european.

CERS ţine să mai sublinieze că gradul actual ridicat de concentrare geografică în afara UE a principalilor furnizori de IA expune ţările acestei grup economic şi politic la dependenţă strategică şi risc geopoliticşviţ. Această realitate impune să fie adoptate măsuri care să “faciliteze acces adecvat şi proporţional pentru Uniune şi statele sale membre” la modelele de IA de frontieră recent dezvoltate.

Avertismentul CERS reprezintă începutul unei acţiuni ce se anunţă a fi de durată. Autoritatea macroprudenţială europeană a anunţat că va continua să monitorizeze  utilizarea şi dezvoltarea FAIMs, precum şi impactul acestora din perspectiva riscului sistemic. Mai mult, Consiliul General va urmări aceste evoluţii prin evaluările sale trimestriale de risc şi va întreprinde acţiuni adecvate suplimentare în sfera sa de competenţă atunci când va fi necesar.

Reacţia Autorităţilor Europene de Supraveghere (AES)şviiţ

Printr-un comunicat comun (din data de 7 iulie 2026), autorităţile europene de supraveghere microprudenţială au salutat emiterea avertismentului CERS şi au exprimat sprijin faţă de solicitările cuprinse în acesta. Totodată, ele au cerut entităţilor financiare să ia măsuri adecvate pentru a-şi adapta capacităţile lor de cibersecuritate şi au invitat autorităţile de supraveghere naţionale să ţină cont de aceste evoluţii în activitatea lor.

AES au subliniat că ele deja lucrează cu supraveghetorii financiari din cadrul UE pentru a obţine asigurarea că instituţiile supravegheate identifică şi reduc proactiv  riscurile din domeniul cibersecurităţii în linie cu cerinţele DORA (Digital Operations Resilience Act), text legal care stabileşte un cadru armonizat pentru reducerea riscurilor TIC în sectorul financiar european.  De asemenea, în calitatea lor de monitori ai furnizorilor terţi de  servicii TIC critice, AES verifică măsurile pe care le iau aceştia pentru a se adapta situaţiei.

AES vor continua să monitorizeze atent utilizarea şi dezvoltarea modelelor de IA de ultimă generaţie cu capacităţi cibernetice şi vor evalua impactul potenţial al  acestora asupra sistemului financiar. Pentru a promova o abordare de supraveghere consecventă, bazată pe risc şi privind spre viitor în acest domeniu, AES vor lucra cu supraveghetorii naţionali pentru a clarifica asteptările de supraveghere, ce vor fi comunicate entităţilor financiare pentru a asigura conformitatea cu cadrul de reglementare în vigoare.

Scrisoarea Băncii Centrale Europene (BCE)

În ziua emiterii comunicatului CERS, BCE a transmis o scrisoare către şefii executivi ai băncilor semnificative aflate sub supragherea sa (110 entităţi), ce transformă avertismentul autorităţii macroprudenţiale în asteptări  de supraveghereşviiiţ la nivel microprudenţial.

Scrisoarea precizează că principala răspundere în ceea ce priveşte răspunsul la riscurile cibernetice în evoluţie revine organelor de conducere ale băncilor.  Documentul mai arată că este posibil ca deciziile strategice privind TIC, inclusiv investiţiile în domeniu, alocarea resurselor şi cadrele de toleranţă la risc privind riscurile legate de  TIC,  să trebuiască a fi revizuite. În scrisoare se subliniează şi că este important să se abordeze, fără întârziere, toate aspectele pe linie de TIC  identificate  cu ocazia acţiunilor anterioare  de supraveghere (inspecţii la faţa locului, analize ţintite, testul de stress privind rezilienţa cibernetică din 2024) şi rămase eventual nerezolvate, întrucât acestea ar putea genera riscuri operaţionale.

În linie cu cerinţele stabilite prin Digital Operational Resilience ACT (DORA), ce rămân relevante şi valide în contextul schimbărilor rapide în peisajul de cibersecuritate, BCE solicită fiecărei instituţii semnificative să întreprindă următoarele măsuri:

• să evalueze, fără întârziere, impactul cadrului de ameninţări în evoluţie;
• să elaboreze un plan cuprinzător de acţiune care sa cuprinda măsuri concrete de întărire a controalelor, alocarea de resurse necesare, atribuirea de roluri şi responsabilităţi clare şi definirea termenelor de implementare;
• să înainteze planul de acţiune către echipa sa de supraveghere comună (Joint Supervisory Team – JSTşixţ), până la data de 31 octombrie 2026.  Echipele respective vor discuta planurile cu băncile corespunzătoare şi vor monitoriza aplicarea acestora.  BCE va întreprinde o analiză orizontală a planurilor de acţiune primite  pentru a identifica trenduri şi posibilităţi de îmbunătăţire şi va transmite feed-back instituţiilor bancare  pentru a le sprijini în îmbunatăţirea rezilienţei lor în domeniul TIC.

Planul de acţiune se va baza pe stategia privind riscurile cibernetice ale fiecărei bănci şi va aborda, atât aspecte prioritare, cât şi aspecte strategice,  pe termen lung. Pe termen scurt, planul va trebui să se concentreze asupra următoarelor aspecte:

• să accelereze gestiunea vulnerabilităţilor şi a actualizărilor de securitate pe scară largă;
• să întărească monitorizarea, detecţia şi capacităţile defensive sprijinite de IA;
• să verifice dacă managementul riscului cu părţile terţe este adecvat în situaţia curentă, în lumina rolului furnizorilor de servicii TIC în lanţurile critice de aprovizionare;

În completarea măsurilor pe termen scurt, rezilienţa cibernetică şi operaţională trebuie realizată prin măsuri structurale, care să includă:

• întărirea apărării în adâncime şi a igienei cibernetice, precum şi modernizarea infrastructurii prin înlocuirea sau actualizarea tehnologiilor fără suport sau la sfârşitul duratei de viaţă;
• îmbunătăţirea rezilienţei operaţionale prin mecanisme de răspuns şi recuperare, inclusiv gestiunea crizei, cât şi prin aranjamente de împărţire a informaţiilor.

Importanţa pe care BCE o acordă riscurilor de cibersecuritate generate de modele de IA de frontieră rezultă şi din modificarea programului acestei instituţii: BCE va amâna data limită de depunere a chestionarului anual privind riscul IT din septembrie 2026 în februarie 2027, pentru a permite instituţiilor supravegheate să se concentreze asupra planurilor de acţiune.  De asemenea, ajustări privind alte activităţi de supraveghere (de ex. acţiuni de control la faţa locului) vor fi luate în considerare de la caz la caz.

Într-o perspectivă mai îndelungată, peisajul de securitate cibernetică va fi modificat de avansurile prevăzute în domeniul computerelor cuantice.  BCE consideră că deşi adoptarea de tehnici criptografice post-cuantice nu este momentan o urgenţă, pregătirea trebuie să înceapă acum. BCE va aborda problema riscului generat de computerele cuantice în privinţa  metodele tradiţionale de criptare, la momentul cuvenit,  printr-o altă scrisoare