Het Financiële Stabiliteitscomité (FSC) slaat alarm over cyberdreiging door kunstmatige intelligentie. Het overlegorgaan van De Nederlandsche Bank, de Autoriteit Financiële Markten en het ministerie van Financiën ziet dat AI‑modellen aanvallen sneller en slimmer maken. In Nederland en Europa groeit zo de druk om de digitale weerbaarheid van de financiële sector te verhogen. De waarschuwing volgt na de meest recente vergadering van het comité, dat risico’s voor de financiële stabiliteit bespreekt.
AI vergroot cyberrisico’s snel
AI‑modellen helpen criminelen met het automatiseren van phishing, het schrijven van schadelijke code en het maken van geloofwaardige deepfakes. Daardoor gaan aanvallen sneller en vallen ze lastiger te herkennen. Tegelijk gebruiken banken en verzekeraars meer algoritmen in hun processen, wat het digitale aanvalsoppervlak vergroot.
De combinatie van slimmere aanvallen en meer digitale afhankelijkheid verhoogt de kans op verstoringen. Een aanval op betalingsverkeer of waarde‑uitwisseling kan snel overslaan naar andere partijen. Dat raakt niet alleen bedrijven, maar ook consumenten en mkb.
Defensieve inzet van AI kan wel helpen, zoals snellere detectie van afwijkend verkeer. Toch blijft de balans precair, omdat ook aanvallers profiteren van dezelfde technologie. Dat maakt extra investeringen in basisbeveiliging en crisisvoorbereiding urgent.
“Cyberweerbaarheid is het vermogen om digitale aanvallen te weerstaan, te ontdekken en er snel van te herstellen.”
Financiële sector moet versnellen
Binnen de sector zijn sterke standaarden nodig voor toegangsbeheer, monitoring en segmentatie van netwerken. Dit geldt ook voor omgevingen waar AI‑systemen draaien en waar gevoelige data worden gebruikt. Regelmatige tests van detectie‑ en responscapaciteit blijven noodzakelijk.
Instituten doen er goed aan om AI‑toepassingen te voorzien van duidelijke eigenaarschap, logging en menselijk toezicht. Modeluitvoer moet gecontroleerd worden op fouten en misbruik. Ook training van personeel tegen gerichte phishing en deepfakes hoort bij de basis.
Voor betaal- en handelsinfrastructuur is continuïteit het sleutelwoord. Redundantie, noodprocedures en geo‑spreiding van systemen beperken keteneffecten. Oefenen met realistische scenario’s verkort hersteltijden bij incidenten.
DORA en AI-verordening sturen aanpak
In de EU geldt op het moment van schrijven de Digital Operational Resilience Act (DORA). Deze wet verplicht financiële instellingen tot strakker ICT‑risicobeheer, verplichte melding van grote incidenten en periodieke testen. Ook leveranciers van cruciale ICT‑diensten vallen er deels onder.
De Europese AI‑verordening (AI Act) treedt gefaseerd in werking op het moment van schrijven. Algoritmen voor bijvoorbeeld kredietbeoordeling of fraudedetectie kunnen in een hoge risicoklasse vallen. Dat vraagt om documentatie, datakwaliteit, menselijk toezicht en duidelijke governance.
De AVG blijft gelden voor alle gegevensverwerking met AI. Dataminimalisatie, versleuteling en duidelijk doelgebruik zijn verplicht. Organisaties moeten kunnen uitleggen hoe data door modellen worden gebruikt en beschermd.
Ketenrisico door leveranciers groeit
Veel instellingen gebruiken clouddiensten en externe AI‑API’s. Dat vergroot afhankelijkheid en concentratierisico bij enkele grote aanbieders. Uitval of misbruik bij één partij kan daardoor brede impact hebben.
Contracten moeten duidelijke beveiligingseisen, auditrechten en exit‑strategieën bevatten. Versleuteling, sleutelbeheer en scheiding van klantdata zijn randvoorwaardelijk. Onder DORA is toezicht op kritieke IT‑dienstverleners aangescherpt.
Bij grensoverschrijdende dataoverdracht gelden AVG‑regels en passende waarborgen. Instellingen moeten weten waar data staan en wie toegang heeft. Continu monitoren van leveranciers blijft nodig, ook na de inkoopfase.
Praktische stappen voor Nederland
Nederlandse organisaties kunnen aansluiten bij sectorale informatie‑deling over dreigingen, zoals via het NCSC en het Digital Trust Center. Snelle uitwisseling van indicatoren helpt aanvallen eerder stoppen. Ook gezamenlijke oefeningen verkleinen faalkansen in de keten.
Stevige basismaatregelen blijven het meest effectief: multi‑factor authenticatie, tijdige patching en principe van minimale rechten. Voor AI‑systemen horen daar bij: toegangsbeperking tot trainingsdata, robuuste logging en misbruikdetectie. Heldere procedures voor het uitschakelen van kwetsbare modellen beperken schade.
Bestuurders moeten expliciet eigenaar zijn van cyber- en AI‑risico’s. Rapportages aan de raad en toezichthouders moeten techniek vertalen naar bedrijfsimpact. Dit versnelt besluitvorming bij incidenten en investeringen.
Toezicht en melding intensiveren
Onder DORA gelden striktere termijnen en formats voor incidentmelding. In Nederland houden De Nederlandsche Bank en de Autoriteit Financiële Markten hierop toezicht, op het moment van schrijven. Vroege melding maakt sectorbrede maatregelen mogelijk.
Meer datagedreven toezicht vraagt ook om betere eigen registraties van incidenten en near misses. Eenduidige classificatie en forensische vastlegging versnellen analyse. Dat ondersteunt zowel interne leren‑van‑fouten als externe verplichtingen.
De inzet van AI in toezicht en opsporing groeit eveneens. Transparantie over gebruikte modellen en waarborgen tegen bias blijven nodig. Zo blijven innovatie en financiële stabiliteit in balans.