G7 laat financiële autoriteiten oefenen op cyberaanvallen met AI

De G7-ministers van Financiën en centrale bankiers houden oefeningen voor cyberaanvallen met AI, kondigde de Japanse minister van Financiën Satsuki Katayama op 15 oktober 2026 aan, volgens Reuters. De afspraak kwam er na een G7-vergadering in Bangkok, naast de jaarvergadering van het IMF.

Het gaat om oefeningen aan tafel: simulaties waarin autoriteiten een scenario doorlopen zonder echte systemen te verstoren. De G7-financiële autoriteiten ontwikkelen de simulaties zelf. De uitkomst moet bestaande protocollen toetsen en de draaiboeken voor zulke incidenten bijsturen. Een startdatum is niet bekendgemaakt.

De oefeningen worden gehouden door de ministeries van Financiën en de centrale banken van de G7. Private financiële instellingen kunnen meedoen, afhankelijk van de simulatie. De concrete aanvalsscenario’s zijn niet openbaar.

Aanleiding is een waarschuwing van het IMF. Een aanval met AI op een kritieke dienst van een financiële instelling kan het vertrouwen ondermijnen. Een vice-gouverneur van de Bank of England zei dat instellingen “can no longer assume their defences are immune to AI-enabled cyberattacks”. De Bank of England werkt volgens Reuters met banken aan opties voor diepgaand herstel na een cyberaanval.

Wat betekent dit voor Vlaanderen en België?

De G7-oefeningen zelf zijn aangekondigd voor G7-ministeries en -centrale banken. Of een Belgische bank of toezichthouder erbij betrokken raakt, staat nergens in de berichtgeving.

Voor banken in de EU bestaat er al een testplicht. De Europese verordening over digitale operationele weerbaarheid (DORA) geldt sinds 17 januari 2025. Volgens artikel 24 van DORA moeten financiële entiteiten, waaronder kredietinstellingen, een testprogramma hebben. Alleen micro-ondernemingen zijn uitgezonderd. Minstens één keer per jaar moeten passende tests alle ICT-systemen en toepassingen dekken die kritieke of belangrijke functies ondersteunen.

Daarbovenop vraagt artikel 26 geavanceerde tests op basis van dreigingsinformatie (TLPT), minstens om de drie jaar. Dat geldt voor de entiteiten die de bevoegde autoriteit daarvoor aanwijst. De autoriteit kan die frequentie verlagen of verhogen.

Een open vraag is of scenario’s met AI uit de G7-oefeningen later hun weg vinden naar die Europese testpraktijk. Wie bij een Belgische bank aan de weerbaarheid werkt, volgt best wat de G7 publiceert zodra de eerste uitkomsten er zijn.