Het Financieel Stabiliteitscomité (FSC) waarschuwt dat moderne AI‑modellen de urgentie voor cyberweerbaarheid in Nederland vergroten. Het comité, waarin De Nederlandsche Bank (DNB), de Autoriteit Financiële Markten (AFM) en het Ministerie van Financiën samenwerken, ziet dat criminelen AI inzetten voor slimmere aanvallen. Na zijn jongste vergadering roept het FSC financiële instellingen op om sneller te voldoen aan Europese regels als DORA, NIS2 en de AI‑verordening. De reden: AI verlaagt de drempel voor aanvallers en vergroot het risico op ontwrichting van vitale financiële diensten.
AI versnelt cyberdreigingen
Generatieve AI, zoals grote taalmodellen die tekst of code maken, helpt criminelen geloofwaardige phishing en deepfakes te produceren. Aanvallen worden persoonlijker, sneller en moeilijker te herkennen. Ook kunnen modellen kwetsbaarheden in software opsporen en misbruiken met minder technische kennis.
De aanvalsketen verandert daardoor zichtbaar. Waar voorheen taal- en stijlfouten alarmsignalen waren, imiteren berichten nu perfect een huisstijl en tone of voice. Spraakklonen maken telefonische fraude geloofwaardig, waardoor tweefactorauthenticatie via stem niet langer volstaat.
Organisaties vergroten onbedoeld hun risico als medewerkers AI‑hulpen onveilig gebruiken. Gevoelige gegevens kunnen via prompts weglekken naar externe diensten. Het FSC benadrukt daarom strengere richtlijnen, logging en technische blokkades rond het gebruik van AI‑tools binnen bedrijfsprocessen.
Financiële sector extra kwetsbaar
Banken, verzekeraars en marktinfrastructuren verwerken zeer gevoelige data en zijn sterk digitaal verweven. Storingen of aanvallen hebben snel systeemimpact, bijvoorbeeld op betalingen en beurshandel. Door de inzet van AI neemt de kans toe op simultane, geautomatiseerde aanvallen langs meerdere kanalen.
De afhankelijkheid van grote cloudleveranciers vergroot bovendien concentratierisico’s. Een incident bij één partij kan vele instellingen tegelijk raken. Het FSC wijst op het belang van scenario‑tests, zoals TIBER‑NL‑oefeningen, om ketenrisico’s realistisch door te lichten.
Derde partijen vormen een structureel aandachtspunt. Leveranciers van AI‑functionaliteit, datafeeds en model‑hosting vallen steeds vaker in de kern van kritieke processen. Contractueel afdwingen van beveiliging, auditrechten, datalocatie en exit‑plannen wordt daarmee onmisbaar.
DORA en NIS2 komen dichterbij
De Europese Digital Operational Resilience Act (DORA) verplicht financiële instellingen tot aantoonbaar sterk ICT‑risicobeheer. Dat omvat onder meer incidentmelding, weerbaarheidstesten, governance en strengere eisen aan derde partijen. Toezichthouders krijgen extra middelen om ook kritieke ICT‑dienstverleners te controleren.
De NIS2‑richtlijn breidt cybersecurity‑eisen uit naar meer sectoren en leveranciers. In Nederland wordt NIS2 omgezet in nationale wetgeving, met bestuursrechtelijke verantwoordelijkheid en boetes bij tekortschietende beveiliging. Dit raakt ook financiële ketenpartners die voorheen buiten strenge regels vielen.
Het FSC dringt aan op tijdige voorbereiding, omdat de implementatie veel afdelingen raakt: IT, risk, legal en bestuur. Rapportage‑stromen, classificaties van incidenten en leveranciersdossiers moeten op orde komen. Ook is afstemming nodig met sectorale en Europese autoriteiten over meldpaden en formats.
Vanaf 17 januari 2025 geldt DORA in de hele EU; NIS2 wordt nationaal omgezet en breidt de zorgplichten voor cybersecurity uit.
AI Act en AVG als anker
De Europese AI‑verordening (AI Act) werkt gefaseerd in en stelt eisen aan hoog‑risico‑toepassingen, zoals kredietbeoordeling en fraudedetectie. Dat betekent onder meer risicobeheer, datakwaliteit, uitlegbaarheid en menselijk toezicht. Voor generatieve systemen komen transparantie‑plichten en beperkingen bij misbruikrisico’s.
Wie AI traint of inzet met klantdata, blijft gebonden aan de AVG. Dataminimalisatie, versleuteling en een Data Protection Impact Assessment (DPIA) zijn vaak verplicht. Ook moeten instellingen vastleggen welke gegevens naar welke AI‑dienst gaan, met heldere bewaartermijnen en doelen.
Het gebruik van externe AI‑API’s vraagt extra zorg. Instellingen moeten voorkomen dat persoonsgegevens of vertrouwelijke modellen ongewild worden hergebruikt voor training. Contracten over Europese datalokatie, logging, modelretentie en beveiligingsaudits zijn daarbij sleutelvoorwaarden.
Wat instellingen nu moeten doen
Begin met een AI‑specifieke dreigingsanalyse: welke processen zijn kwetsbaar voor deepfakes, geavanceerde phishing of modelmanipulatie. Versterk verificatie waar stem, beeld of tekst gebruikt wordt, bijvoorbeeld met terugbelprocedures en out‑of‑band‑checks. Train medewerkers op herkenning van AI‑misleiding en veilige omgang met prompts en data.
Bouw verdedigende AI zorgvuldig in, met menselijk toezicht en duidelijke grenzen. Test systemen tegen prompt‑injecties en datalek via output, en monitor modelgedrag continu. Leg beslislogica en uitzonderingen vast, zodat incidentonderzoek snel en toetsbaar is.
Regel governance en rapportage vroegtijdig. Wijs een verantwoordelijk bestuurslid aan voor digitale weerbaarheid, inventariseer kritieke leveranciers en oefen crisisplannen. Sluit aan bij informatie‑uitwisseling, zoals ISAC’s via het Nationaal Cyber Security Centrum, om dreigingsinformatie snel te delen.
Toezicht en Europese samenhang
Toezichthouders in Nederland en de EU intensiveren op het moment van schrijven hun aandacht voor digitale weerbaarheid. DNB en de AFM zullen onder DORA strakker sturen op testen, incidentmelding en derde‑partijrisico’s. Voor kritieke cloud‑ en AI‑dienstverleners komt aanvullende Europese toezichtcoördinatie.
Door de samenloop van DORA, NIS2, de AI‑verordening en de AVG ontstaat één samenhangend kader. Dat vraagt om integrale uitvoering: dezelfde inventarisaties, controls en audits moeten meerdere eisen afdekken. Wie nu standaarden en tooling harmoniseert, voorkomt dubbel werk en versnelt compliance.
Het FSC ziet AI als zowel hulpmiddel als risico. Instellingen die veiligheid “by design” toepassen, profiteren van snellere detectie en herstel. Zonder versnelling in cyberweerbaarheid groeit echter het systeemrisico voor de Nederlandse financiële sector.