Του Νίκου Κωτσικόπουλου
Συγκεκριμένα σχέδια δράσης έως τις 31 Οκτωβρίου ζήτησε η ΕΚΤ από τις μεγάλες συστημικές τράπεζες, καθώς το Ευρωπαϊκό Συμβούλιο Συστημικού Κινδύνου αναβάθμισε τον συστημικό κίνδυνο από κυβερνοεπιθέσεις, ως “σοβαρό”.
Έτσι, σε αυστηρότερη φάση περνά η εποπτεία της κυβερνοασφάλειας των ευρωπαϊκών τραπεζών, καθώς οι Αρχές ζητούν πλέον συγκεκριμένες παρεμβάσεις, χρονοδιαγράμματα και δεσμευμένους πόρους. Η ΕΚΤ ζήτησε από τα σημαντικά πιστωτικά ιδρύματα που εποπτεύει, να καταθέσουν έως τις 31 Οκτωβρίου 2026 ολοκληρωμένο σχέδιο δράσης για την αντιμετώπιση των απειλών που ενισχύονται από την τεχνητή νοημοσύνη.
Η ΕΚΤ καλεί τις τράπεζες να επανεξετάσουν τις επενδύσεις τους στα πληροφοριακά συστήματα, τη στελέχωση, την κατανομή των πόρων και τα όρια κινδύνου που είναι διατεθειμένες να αναλάβουν. Τα σχέδια που θα υποβληθούν πρέπει να περιγράφουν συγκεκριμένα μέτρα, να ορίζουν τους υπευθύνους για την εφαρμογή τους και να συνοδεύονται από σαφές χρονοδιάγραμμα. Παράλληλα, οι τράπεζες πρέπει να κλείσουν χωρίς καθυστέρηση τις αδυναμίες που έχουν ήδη εντοπιστεί σε επιτόπιους ελέγχους, στοχευμένες έρευνες και στην προηγούμενη άσκηση αντοχής της ΕΚΤ.
Στις άμεσες προτεραιότητες περιλαμβάνονται η ταχύτερη ανίχνευση και διόρθωση αδυναμιών στα συστήματα, η ενίσχυση της παρακολούθησης ύποπτων κινήσεων και η καλύτερη προστασία των εφαρμογών και των υποδομών που είναι συνδεδεμένες με το διαδίκτυο. Ιδιαίτερο βάρος δίνεται στους εξωτερικούς προμηθευτές τεχνολογίας, στα υπολογιστικά νέφη, στα προγράμματα ανοικτού κώδικα και στις συνδέσεις με τρίτες εταιρείες, καθώς ένα πρόβλημα σε έναν κοινό πάροχο μπορεί να επηρεάσει ταυτόχρονα πολλές τράπεζες.
Η ανησυχία των Αρχών συνδέεται με τις δυνατότητες των πιο προηγμένων μοντέλων τεχνητής νοημοσύνης. Σύμφωνα με το Ευρωπαϊκό Συμβούλιο Συστημικού Κινδύνου, μπορούν να εντοπίζουν αδυναμίες σε λογισμικό, να προκαλούν παραβιάσεις και να εκτελούν επιθέσεις πολύ ταχύτερα και σε μεγαλύτερη κλίμακα από τα προηγούμενα εργαλεία.
Βραχυπρόθεσμα, η εξέλιξη αυτή εκτιμάται ότι ευνοεί περισσότερο τους επιτιθέμενους, επειδή περιορίζει δραστικά τον χρόνο που διαθέτουν οι τράπεζες για να διορθώσουν ένα κενό ασφαλείας. Το Συμβούλιο επισημαίνει επίσης την εξάρτηση της Ευρώπης από λίγους μεγάλους παρόχους τεχνητής νοημοσύνης και υπολογιστικού νέφους, οι περισσότεροι από τους οποίους βρίσκονται εκτός Ευρωπαϊκής Ένωσης.
Τα πρώτα συγκεντρωτικά στοιχεία εφαρμογής του ευρωπαϊκού κανονισμού για την ψηφιακή επιχειρησιακή ανθεκτικότητα, του DORA, δείχνουν το εύρος του προβλήματος. Το 2025 δηλώθηκαν στην Ευρωπαϊκή Ένωση 3.383 σοβαρά περιστατικά που συνδέονταν με πληροφοριακά συστήματα, με τα περισσότερα να καταγράφονται στις τράπεζες και στις πληρωμές.
Περίπου ένα στα τρία είχε επιπτώσεις σε περισσότερες από μία χώρες. Μόνο το 10% συνδεόταν άμεσα με κυβερνοεπίθεση, καθώς οι βλάβες συστημάτων και εξωτερικά γεγονότα παρέμειναν οι βασικές αιτίες. Ωστόσο, οι ευρωπαϊκές εποπτικές Αρχές προειδοποιούν ότι η διάδοση ισχυρότερων εργαλείων τεχνητής νοημοσύνης απαιτεί ακόμη υψηλότερα επίπεδα προστασίας.
Η ΕΚΤ είχε ήδη εντάξει την τεχνολογική και επιχειρησιακή ανθεκτικότητα στις βασικές εποπτικές προτεραιότητες για την περίοδο 2026-2028. Οι κίνδυνοι από τα πληροφοριακά συστήματα εξακολουθούν να λαμβάνουν από τις χαμηλότερες αξιολογήσεις στους εποπτικούς ελέγχους, ενώ τα σημαντικά περιστατικά κυβερνοασφάλειας έχουν διπλασιαστεί τα τελευταία χρόνια.
Για τις περισσότερο ευάλωτες τράπεζες προγραμματίζονται δύο κύκλοι επιτόπιων ελέγχων, δοκιμές διείσδυσης με βάση πραγματικές απειλές, έλεγχοι της εξάρτησης από μεγάλους παρόχους υπολογιστικού νέφους και ειδική εξέταση του τρόπου με τον οποίο πραγματοποιούνται αλλαγές στα πληροφοριακά συστήματα.
