De Autoriteit Financiële Markten (AFM) waarschuwt dat AI-aanvallen sneller en slimmer worden. Nederlandse partijen in de financiële sector moeten hun digitale weerbaarheid verhogen. Het gaat om dreigingen als deepfakes, geautomatiseerde phishing en misbruik van generatieve modellen. Europese regels, zoals de AI-verordening, DORA en NIS2, vergroten de druk om tijdig te handelen en hebben gevolgen voor bedrijven én overheid, inclusief de “Europese AI-verordening gevolgen overheid”.
AI versnelt cyberaanvallen
Aanvallers gebruiken kunstmatige intelligentie om overtuigende berichten en stemmen te maken. Een generatief model kan in minuten phishingcampagnes, valse websites en deepfakes produceren. Daardoor stijgt het aantal pogingen en daalt de kwaliteit van signalen die verdedigers herkennen. De reactietijd wordt korter en fouten zijn duurder.
AI helpt criminelen ook met automatisering. Algoritmen speuren internet en codeopslag af naar zwakke plekken. Ze schrijven snel aangepaste malware en passen aanvallen aan per doelwit. Zo ontstaat schaal en snelheid die traditionele beveiliging onder druk zet.
Voor financiële markten speelt nog iets extra’s. Nepnieuws en gemanipuleerde content kunnen koersen beïnvloeden. Bots verspreiden berichten in seconden, terwijl detectiesystemen vaak later reageren. Dat raakt direct aan marktintegriteit, waar AFM op toeziet.
AI‑aanval: een digitale aanval waarbij systemen of data worden misbruikt met hulp van algoritmen die teksten, beelden, code of beslissingen genereren of versnellen.
Weerbaarheid moet mee opschalen
Weerbaarheid betekent sneller zien, sneller reageren en sneller herstellen. Organisaties hebben 24/7 monitoring nodig met duidelijke drempels en escalatiepaden. Ook bestuur en auditcommissie moeten dit onderwerp vast op de agenda zetten. Zonder eigenaarschap op topniveau blijft uitvoering versnipperd.
AI kan verdedigers helpen met anomaliedetectie en patroonherkenning. Denk aan modellen die afwijkend netwerkverkeer of ongewoon gebruikersgedrag zien. Maar deze systemen kunnen ook vals alarm geven. Daarom horen menselijk oordeel, goed getrainde data en periodieke evaluaties erbij.
Basismaatregelen blijven onmisbaar. Multifactor-authenticatie, segmentatie, tijdig patchen en offline back-ups beperken schade. Oefen daarnaast met crisisscenario’s, zoals een grootschalige phishinggolf met deepfake-audio. Zo weet iedereen wie beslist en wie communiceert in het eerste uur.
AI-verordening verandert verplichtingen
Europese regels dwingen tot actie en geven houvast. De Digital Operational Resilience Act (DORA) legt voor financiële instellingen eisen op voor ICT‑risico’s, testen en uitbesteding. Op het moment van schrijven geldt DORA vanaf 17 januari 2025. Leveranciers van cruciale ICT‑diensten vallen ook onder extra toezicht.
De NIS2‑richtlijn vergroot beveiligings- en meldplichten voor essentiële en belangrijke entiteiten. Dat raakt ook delen van de financiële keten en toeleveranciers. Lidstaten, waaronder Nederland, zetten NIS2 om in nationale wetgeving. Verwacht strengere eisen aan logging, incidentmelding en continuïteit.
De Europese AI‑verordening (AI Act) introduceert risicoklassen en verplichtingen voor hoge‑risico‑toepassingen, zoals sommige krediet- of fraudemodellen. Ook komen transparantie‑eisen voor generatieve systemen. Op het moment van schrijven treden verplichtingen gefaseerd in werking vanaf 2025 en 2026. Organisaties moeten nu al inventariseren welke systemen straks onder de act vallen.
De AVG blijft van kracht bij detectie en training van verdedigingsmodellen. Dataminimalisatie, doelbinding en versleuteling zijn verplicht. Loggen en delen van dreigingsinformatie kan, maar met een rechtmatige grondslag en passende waarborgen. Dit geldt ook voor samenwerking met externe monitoringsdiensten.
Specifieke risico’s voor financiën
Deepfake‑stemmen en video’s vergroten de kans op CEO‑fraude en betaaloplichting. Een kort telefoontje met een nagemaakte stem kan al genoeg zijn om druk te zetten. Extra verificatie en vier‑ogen‑principes zijn nodig, zeker bij urgente of afwijkende verzoeken. Medewerkers moeten dit herkennen en melden.
Synthetische identiteiten en vervalste documenten bedreigen klantacceptatie en KYC‑processen. AI‑tools maken zeer realistische pasfoto’s en loonstroken. Banken en beleggingsplatforms hebben sterkere verificatie en documentcontrole nodig. Combineer meerdere bronnen en werk met risicoscores die uitlegbaar zijn.
Marktmisbruik krijgt een nieuw gezicht. AI kan berichten voor pump‑and‑dump sneller en overtuigender verspreiden. Sociale‑media‑monitoring en markttoezicht moeten daarom patronen herkennen die door bots zijn aangestuurd. AFM en marktpartijen zullen signalering en meldprocessen verder moeten aanscherpen.
Uitbesteding en concentratierisico nemen toe, bijvoorbeeld bij cloud- en modelleveranciers. Een storing of kwetsbaarheid bij één partij kan veel instellingen tegelijk raken. Contracten moeten duidelijke beveiligingseisen en auditrechten bevatten. Test tijdig of alternatief scenario’s uitvoerbaar zijn.
Praktische stappen voor vandaag
Begin met een actueel overzicht van kritieke processen, data en afhankelijkheden. Leg vast waar AI in de keten zit, intern en bij leveranciers. Koppel hieraan duidelijke risico‑eigenaren. Zonder dit overzicht blijven maatregelen ad‑hoc.
Voer modelrisicobeheer in voor zowel eigen als ingekochte AI‑systemen. Documenteer doel, data‑herkomst en prestaties. Test met red teaming en tegenvoorbeelden om zwakke plekken te vinden. Zorg dat uitkomsten uitlegbaar zijn voor controle en toezicht.
Stel inkoop- en uitbestedingseisen bij, passend aan DORA en NIS2. Leg incidentmeldingen, penetratietests, logging en exit‑plannen contractueel vast. Vraag om transparantie over onderaannemers en ontwikkelpraktijken. Evalueer minimaal jaarlijks op basis van actuele dreigingen.
Investeer in mensen en samenwerking. Train personeel op deepfakes en AI‑phishing, met realistische simulaties. Deel dreigingsinformatie via sectorale verbanden en meld ernstige incidenten snel bij de juiste instanties. Oefen samen met ketenpartners en betrek AFM en andere autoriteiten waar nodig.