De Europese Centrale Bank (ECB) gaat ruim honderd Europese banken onderwerpen aan een zogeheten stresstest. De ECB wil op deze manier testen in hoeverre een cyberaanval de dagelijkse gang van zaken verstoort en hoe snel banken in staat zijn om van zo’n aanval te herstellen. De nationale toezichthouders bespreken de uitkomsten van de test met de banken tijdens het reguliere toezichtproces.
De ECB kondigt de Cyber Resilience Stress Test aan in een persbericht.
ECB wil weten hoe Europese banken omgaan met cyberaanvallen
Het doel van de oefening is niet om te kijken of Europese banken in staat zijn om een cyberaanval af te slaan. In plaats daarvan kijkt de ECB in hoeverre banken in staat zijn om adequaat op een aanval door hackers te reageren en ervan te herstellen. In totaal nemen 109 banken deel aan de stresstest. Een kwart van de deelnemers (28 banken) ondergaan een uitgebreide beoordeling. Zij krijgen aanvullende informatie over hoe ze met de cyberaanval zijn omgegaan.
“In het stresstestscenario slaagt de cyberaanval erin de dagelijkse bedrijfsvoering van de bank te verstoren. Banken testen dan hun reactie- en herstelmaatregelen, waaronder het activeren van noodprocedures en noodplannen en het herstellen van de normale bedrijfsvoering. Toezichthouders zullen vervolgens beoordelen in hoeverre banken een dergelijk scenario aankunnen”, zo schrijft de ECB in een persverklaring die vandaag naar buiten is gebracht.
Wanneer de stresstesten plaatsvinden, laat de Europese Centrale Bank in het midden. Wel laat de instantie weten dat de belangrijkste bevindingen in de zomer van 2024 openbaar worden gemaakt.
Banken vaker doelwit van hackers
Aanleiding voor de stresstest is dat banken en andere Europese instanties steeds vaker het doelwit zijn van hackers. De Europese Rekenkamer berekende dat het aantal cyberaanvallen bij Europese instellingen tussen 2018 en 2021 meer dan vertienvoudigde. Door de coronacrisis en het feit dat we steeds vaker vanuit thuis of hybride werken, is het aantal potentiële toegangspunten voor aanvallers -ook wel de aanvalsoppervlakte genoemd- fors toegenomen.
Tevens constateerde de Rekenkamer dat Europese instanties geen gezamenlijke aanpak hadden om een vuist te vormen tegen hackers en cybercriminelen. Doordat de ene instantie minder zorg en aandacht aan cybersecurity besteedt, kan dat problemen opleveren voor de ander. Dat komt omdat de instellingen nauw met elkaar samenwerken. De zwakste schakel vormt dan een bedreiging voor de rest van de keten.
Tot slot zag de Rekenkamer dat instanties niet altijd tijdig informatie over kwetsbaarheden en dreigingsgevaar aan elkaar doorgeven. Daardoor loopt de gehele financiële keten het risico om slachtoffer te worden van hackers.
ECB voerde al eerder stresstests uit bij Europese banken
Het is niet de eerste stresstest die de ECB in de EU uitvoert. Om de twee jaar wordt er EU-brede oefening gehouden om de veerkracht van Europese banken te toetsen. De ECB voert de test uit, de European Banking Authority (EBA) coördineert de boel.
Onderzoekers kijken niet altijd naar de digitale weerbaarheid van banken. In het verleden zijn er analyses uitgevoerd op het renterisico in de bankenportefeuilles (2017), het liquiditeitsrisico (2019) en de gevoeligheid van banken voor klimaatrisico’s (2022). De ECB kondigde de huidige stresstest in maart 2023 aan.
