G7 spreekt tabletop-oefeningen af tegen AI-cyberaanvallen

G7-financeministers spreken gezamenlijke oefeningen af tegen cyberaanvallen met frontier-AI, een term voor de meest geavanceerde modellen, meldt Reuters op basis van uitspraken van de Japanse minister Satsuki Katayama in Bangkok.

Als een cyberincident betalingen of rekeningtoegang bij een bank verstoort, raakt dat ook de facturatie en dagelijkse cashflow van Nederlandse bedrijven. Volgens het IMF kunnen zulke incidenten kritieke financiële diensten ontregelen; in meer dan 70 procent van de gemelde gevallen dit jaar hadden softwareleveranciers nauwelijks tijd om kwetsbaarheden te patchen vóór misbruik. De G7 wil bestaande draaiboeken oefenen en bijwerken. Commerciële financiële instellingen kunnen mogelijk deelnemen, afhankelijk van het scenario. Het akkoord maakt geen nieuwe Nederlandse complianceplicht.

De ministers spreken een oefening af

De G7-financeministers en centrale-bankpresidenten kwamen op 15 oktober in Bangkok bijeen tijdens de jaarvergadering van het IMF en de Wereldbank. Het Franse ministerie van Economie en Financiën bevestigt dat de G7 de impact van frontier-AI op financiële cyberrisico’s en gezamenlijke voorbereiding besprak. Het communiqué noemt geen oefening of planning.

Katayama zei na de bijeenkomst dat plaatsvervangers het voorstel voor tabletop-oefeningen hadden besproken en dat de ministers het hadden goedgekeurd. Een Japanse ambtenaar van Financiën vertelde Reuters dat de financiële autoriteiten van de G7 de simulaties gaan ontwikkelen. Ze moeten testen hoe deelnemers reageren op een AI-cyberaanval, bestaande protocollen beoordelen en verbeteringen aan handboeken opleveren. Private financiële instellingen kunnen worden betrokken, afhankelijk van de aard van het scenario.

De G7 heeft daarmee een gezamenlijke oefening in het vooruitzicht gesteld, maar een datum, deelnemerslijst of uitgewerkt scenario is nog niet bekendgemaakt.

Een oefening raakt ook leveranciers

Een tabletop-oefening laat deelnemers een verzonnen incident stap voor stap bespreken, zonder een aanval uit te voeren op operationele systemen. In de uitleg van Techzine gaat het om het oefenen van herkenning, besluitvorming en herstel zonder productiesystemen te verstoren. De test zit dus vooral in de overdracht tussen mensen en organisaties: wie herkent het incident, wie beslist over maatregelen en wie brengt een dienst weer op gang?

Voor Nederlandse ICT-leveranciers van banken kan zo’n scenario concreet worden als hun dienst onderdeel is van de oefening. Dan kan blijken of de bank weet wie ze moet bellen, of een leverancier snel genoeg kan reageren en welke route beschikbaar blijft wanneer een systeem wordt afgesloten. Dat is een gevolg dat uit de beschreven opzet kan voortkomen, geen deelnameplicht die de G7 heeft aangekondigd.

De IMF-statistiek zegt niet dat de gemelde gevallen door frontier-AI zijn veroorzaakt. Voor een gezamenlijke oefening blijft de vraag of bank en leverancier dezelfde ernst inschatten en een afgesproken volgorde van handelen volgen.

De FSB en ECB zetten eigen stappen

Op 15 oktober publiceerde de Financial Stability Board twaalf aanbevolen praktijken voor AI-gebruik in financiële instellingen. De FSB noemt AI-cyber- en ICT-scenario’s in tests en oefeningen, plus beheersing van risico’s bij externe AI-leveranciers. De instellingen worden aangemoedigd de praktijken te gebruiken naar hun eigen risico en omvang. De publicatie is een aanbeveling, geen nieuwe Nederlandse wet. De twaalf FSB-praktijken voor bestuur, risicobeheer en controle op leveranciers plaatsen de oefening in een bredere agenda voor AI-governance bij banken.

Ook de Bank of England werkt aan een andere kant van dezelfde weerbaarheidsvraag. Op 15 oktober zei onderdirecteur Sarah Breeden dat de centrale bank met banken herstel vanaf systemen buiten de gewone bank-IT bespreekt, waaronder bare-metal-systemen. Reuters beschrijft hoe die bare-metal-herstelopties kritieke diensten moeten laten terugkomen als de primaire systemen zijn gecompromitteerd. De G7-oefening gaat over de gezamenlijke reactie; de Britse bespreking legt meer nadruk op herstel na een inbraak.

Voor significante banken onder Europees toezicht geldt daarnaast een concrete termijn. De ECB vraagt hen uiterlijk 31 oktober een AI-cyberactieplan in te dienen met maatregelen, middelen, verantwoordelijkheden en uitvoeringstermijnen. Die ECB-deadline voor het cyberactieplan van significante banken staat los van de G7-oefening. De Europese opdracht komt voort uit bestaand toezicht binnen DORA; de G7 maakte geen vergelijkbare deadline bekend.

De uitkomst moet nog blijken

De publieke bronnen noemen nog geen datum, scenario, deelnemerslijst, rol voor leveranciers of manier waarop resultaten bekend worden. De doelen zijn duidelijker dan de uitvoering: bestaande protocollen toetsen en handboeken verbeteren. Welke onderdelen veranderen en of private instellingen daadwerkelijk aanschuiven, blijft open.

Voor Nederlandse bedrijven verandert er vandaag geen compliance-eis. Banken en leveranciers kunnen wel rekening houden met de mogelijkheid dat hun afspraken over melding, toegang, herstel en dienstverlening in zo’n oefening aan bod komen. De betekenis wordt pas concreet wanneer de G7 bekendmaakt wie meedoet, welk scenario wordt getest en welke draaiboeken daarna veranderen.