BoE bespreekt herstel vanaf schone systemen met banken

Herstel vanaf onafhankelijke systemen staat centraal in gesprekken die de Bank of England met banken voert; Sarah Breeden noemt AI-gedreven cyberaanvallen een systeemrisico voor financiële infrastructuur, meldt Reuters.

Als een bank haar productieomgeving niet meer kan vertrouwen, raakt uitval meteen betalingen, klanttoegang en diensten waar Nederlandse bedrijven van afhankelijk zijn. De ECB vraagt significante instellingen onder haar toezicht al om hun voorbereiding op AI-cyberdreiging te versterken. De Britse bespreking maakt de herstelvraag concreet: kunnen kernservices draaien vanuit een volledig zelfstandige omgeving?

AI-cyberrisico krijgt een herstelvraag

Breeden, onderdirecteur van de Bank of England voor financiële stabiliteit, sprak donderdag 15 oktober op de jaarbijeenkomst van het Institute of International Finance in Bangkok. Zij waarschuwde dat geavanceerdere AI-modellen het risico op grotere en complexere cyberaanvallen verhogen. Volgens haar moeten banken ook herstelopties overwegen voor het moment waarop een aanvaller toch binnenkomt.

Die zorg past in een risico dat de BoE al langer volgt. In haar stabiliteitsrapport van juli meldde de centrale bank dat 82 procent van de deelnemers aan haar risicovragenlijst cyberaanvallen tot de vijf grootste risico’s voor het Britse financiële stelsel rekende. Voor 26 procent was cyberrisico het grootste risico. De antwoorden waren verzameld vóór de nieuwste frontiermodellen verschenen. De BoE schrijft dat zulke modellen kwetsbaarheden sneller en op grotere schaal kunnen vinden en misbruiken. Tests van het AI Security Institute bevatten geen actieve verdedigers en bewijzen dus geen zelfstandige, betrouwbare en onopgemerkte aanvallen op goed verdedigde systemen. De juli-meting van cyberrisico naast AI-marktconcentratie en kapitaallussen laat zien dat de bank AI langs meerdere financiële stabiliteitsrisico’s bekijkt.

De Financial Stability Board publiceerde op dezelfde dag twaalf aanbevolen praktijken voor AI-gebruik in de financiële sector, met aandacht voor governance door bestuur en directie en cyber- en ICT-scenario’s. Het FSB moedigt instellingen aan de praktijken te overwegen, maar schrijft geen specifieke herstelarchitectuur voor. De twaalf AI-praktijken voor financiële instellingen behandelen daarmee een bredere beheeragenda dan de herstelopties waar Breeden over spreekt.

Een herstelpad staat los van productie

Reuters beschrijft bare-metal-systemen als voorzieningen die volledig losstaan van de gewone IT-opstelling van een bank en kunnen inschakelen wanneer primaire systemen zijn gecompromitteerd. Breeden zei dat banken moeten bepalen welke herstelopties nodig zijn voor kernservices en die keten van begin tot eind door het financiële systeem moeten bekijken.

Voor een bankbestuur betekent dat een toets op de hele herstart. Welke klant- en transactiegegevens moeten beschikbaar zijn om betalingen te hervatten? Welke identiteitssystemen, beheertoegang en software zijn nodig om een kernservice weer op te bouwen? Kunnen bank en leveranciers dat uitvoeren als de gewone beheeromgeving niet te vertrouwen is? Dit zijn voorbereidingsvragen die uit de bespreking volgen, geen nieuwe norm die de BoE publiceerde.

De Britse sector oefende onlangs al een ander type uitval. Op 8 oktober namen 38 grote en systeemrelevante banken en marktinfrastructuurpartijen deel aan SIMEX26, een oefening rond een wereldwijde storing bij clouddiensten. De BoE verwacht dat deelnemers maatregelen nemen om hun weerbaarheid en reactie op zware operationele en cyberincidenten te versterken. De bekendgemaakte oefening richtte zich op clouduitval; de publicatie zegt niet dat deelnemers AI-aanvallen of bare-metal-herstel hebben getest.

De Europese planning heeft een eigen deadline

Op 7 juli vroeg de Europese Centrale Bank significante instellingen onder haar toezicht om AI-gedreven cyberdreigingen te beoordelen en uiterlijk 31 oktober een actieplan in te dienen. Dat plan moet maatregelen, middelen, verantwoordelijkheden en uitvoeringstermijnen bevatten. De brief noemt sneller kwetsbaarhedenbeheer, betere detectie, defensieve AI, controle op ICT-leveranciers en structurele verbeteringen aan reactie en herstel.

De deadline geldt voor significante instellingen, niet voor alle ondernemingen. Andere Nederlandse bedrijven zijn wel afhankelijk van bankdiensten voor betalingen, toegang tot geld en financiële gegevens. Ook software- en clouddienstverleners kunnen via contracten en leverancierscontroles met herstelplannen van banken te maken krijgen. De BoE-bespreking verandert de Nederlandse regels niet; de ECB-brief maakt de bestaande vraag naar aantoonbare cyberweerbaarheid concreet.

De technische uitkomst blijft open

Reuters meldde ook dat Britse toezichthouders grote banken al eerder aanmoedigden bare-metal-herstelplannen te onderzoeken. De nieuwe informatie is dat Breeden zegt dat de centrale bank met banken aan diepere herstelopties werkt en de route voor kernservices over het financiële systeem heen wil bekijken. Het bericht noemt geen deelnemende banken, ontwerpkeuzes, testresultaten, hersteldoelen of nieuwe bindende deadline.

De berichtgeving noemt daarnaast zorgen over AI-agenten die bankbeveiligingen kunnen omzeilen. Breeden zei ook dat de BoE banken bevraagt over quantumrisico’s voor versleuteling en de resultaten wil gebruiken voor een systeembreed plan. Dat is een aparte beveiligingsvraag: de berichtgeving beschrijft inventarisatie en vervolgplanning, geen vastgesteld moment waarop encryptie breekt.

De ECB-deadline van 31 oktober is de eerstvolgende concrete stap in Europa. De openbare bronnen laten nog open welke kernservices na een compromittering zelfstandig kunnen worden hersteld, hoe banken dat met leveranciers oefenen en welke hersteltijd haalbaar is. Die uitvoeringsvragen bepalen hoe lang een storing doorwerkt bij bedrijven die van financiële infrastructuur afhankelijk zijn.