22 lipca 2026 roku UKNF opublikował Rekomendacje dla podmiotów rynku finansowego dotyczące wpływu modeli Frontier AI na cyberbezpieczeństwo – z czym to się wiąże dla banków spółdzielczych?
Już 2 sierpnia 2026 roku rozpoczną swoje stosowanie przepisy unijnego rozporządzenia ws. sztucznej inteligencji. Od tej daty na bankach będą spoczywały nowe obowiązki (o czym pisaliśmy w poprzednich naszych publikacjach).
Choć sztuczna inteligencja jest narzędziem ułatwiającym pracę i ją doskonale optymalizuje, to nie można tracić z pola widzenia ryzyk jakie za sobą niesie jej nieodpowiedzialne stosowanie. Jak wynika z komunikatu UKNF, potrzeba wydania Rekomendacji wynika ze znaczącego zwiększenia intensywności i skali wykorzystania Frontier AI (zaawansowane modele sztucznej inteligencji) przez cyberprzestępców, co powinno prowadzić do przeprowadzenia ponownej oceny strategicznych założeń związanych z zarządzaniem ryzykiem ICT w instytucjach z sektora finansowego, w tym obejmujących inwestycje w ICT, alokacje zasobów oraz ramy tolerancji ryzyka związanego z ICT.
UKNF wskazuje, że rozwój najbardziej zaawansowanych modeli sztucznej inteligencji (Frontier AI) istotnie zwiększa ryzyka cybernetyczne w sektorze finansowym, przyspieszając identyfikację podatności, automatyzując działania ofensywne i skracając czas od wykrycia podatności do ataku. ESRB i CSIRT KNF potwierdzają, że Frontier AI może trwale zmienić charakter cyberzagrożeń i wymaga dostosowania procesów zarządzania ryzykiem ICT oraz odpornością operacyjną.
UKNF oczekuje podjęcia niezbędnych działań, o których mowa powyżej, a adekwatność i efektywność wdrożonych rozwiązań będzie przedmiotem weryfikacji zarówno w ramach nadzoru bieżącego, jak i podczas czynności kontrolnych prowadzonych przez UKNF.
Kluczowe zagrożenia i ryzyka dla banków
Dokument podkreśla ryzyko istotnego wzrostu liczby wykrywanych podatności, skrócenia czasu na ich analizę i usunięcie oraz konieczności podejmowania decyzji w warunkach zwiększonej niepewności i presji czasowej. Frontier AI może służyć do zaawansowanych ataków (m.in. phishing generowany przez AI, deepfake) oraz tworzenia nowych wektorów ataku, a zagrożenia dotyczą zarówno infrastruktury na styku z Internetem, jak i oprogramowania podmiotów trzecich oraz komponentów open source.
Wymogi rozporządzenia DORA w kontekście AI
UKNF wskazuje, że realizacja obowiązków z rozporządzenia DORA musi uwzględniać zagrożenia związane z AI w procesach zarządzania ryzykiem ICT. Nadzorca wprost w Rekomendacji wskazuje, że bank powinien:
- uwzględniać zagrożenia związane z AI w procesach zarządzania ryzykiem związanym z ICT (art. 6-15 rozporządzenia DORA), w tym: aktualizować analizy ryzyka o nowe scenariusze wykorzystania AI przez cyberprzestępców, dostosować środki ochrony i monitorowania do ewoluujących technik ataków opartych na AI, szkolić pracowników w zakresie rozpoznawania zagrożeń takich, jak phishing generowany przez AI czy deepfake;
- uwzględniać scenariusze ataków z użyciem AI w testach odporności cyfrowej (art. 24-27 rozporządzenia DORA);
- oceniać, czy dostawcy usług ICT posiadają odpowiednie mechanizmy zarządzania ryzykiem związanym z AI (art. 28-30 rozporządzenia DORA);
- analizować incydenty z udziałem AI i wykorzystywać wnioski z tych analiz do
- doskonalić zabezpieczenia (art. 13 rozporządzenia DORA);
- dokonać przeglądu i dostosowania procesów zarządzania ryzykiem ICT, w szczególności zarządzania podatnościami, zarządzania zmianą, ryzykiem dostawców ICT oraz utrzymaniem odporności operacyjnej.
KNF rekomenduje także zmianę podejścia do procesu zarządzania ryzykiem ICT. Proces zarządzania podatnościami ma opierać się na rzeczywistym poziomie ryzyka, nie tylko na wskaźnikach takich jak CVSS, z wykorzystaniem informacji Threat Intelligence, danych o aktywnym wykorzystywaniu podatności, wpływie na funkcje krytyczne oraz zależnościach między aktywami, procesami i dostawcami. Rekomendowane są działania krótkoterminowe (przyspieszenie identyfikacji i obsługi podatności, usprawnienie monitoringu i dowodów działania regulacji, weryfikacja zarządzania ryzykiem stron trzecich, zwiększenie ochrony zasobów dostępnych z sieci publicznych) oraz środki strukturalne (secure‑by‑design/default, wzmocnienie ochrony wielowarstwowej, ograniczanie powierzchni ataku, przygotowanie planów reagowania, ograniczenie uzależnienia od pojedynczego dostawcy ICT/AI).
Współpraca z CSIRT KNF
UKNF rekomenduje aktywne korzystanie ze wsparcia CSIRT KNF, który monitoruje rozwój Frontier AI, analizuje związane z nią zagrożenia i podatności oraz publikuje ostrzeżenia, komunikaty i rekomendacje wspierające ocenę ryzyka. Współpraca powinna obejmować nie tylko korzystanie z publikacji, ale również bieżącą wymianę informacji o zagrożeniach, podatnościach, incydentach i technikach ataków oraz udział w inicjatywach podnoszących dojrzałość cyberbezpieczeństwa sektora. Ma to sprzyjać szybszej identyfikacji zagrożeń sektorowych, lepszej koordynacji działań i wypracowywaniu wspólnych mechanizmów ograniczania ryzyka.
Rola zarządu i oczekiwania nadzoru
UKNF podkreśla, że ryzyko cybernetyczne jest fundamentalnym ryzykiem biznesowym, a zarządy banków muszą aktywnie oceniać wpływ rozwoju Frontier AI na profil ryzyka organizacji oraz zapewniać odpowiednie zasoby do utrzymania odporności operacyjnej w warunkach dynamicznego wzrostu podatności i incydentów. Organ nadzoru oczekuje podjęcia niezbędnych działań opisanych w rekomendacjach i zapowiada weryfikację adekwatności oraz efektywności wdrożonych rozwiązań w nadzorze bieżącym i podczas czynności kontrolnych.
KNF potwierdza, że działania podejmowane przez KNF powinny być podjęte z zachowaniem zasady proporcjonalności, o której mowa w art. 4 DORA oraz powinny uwzględniać indywidualną sytuację podmiotu finansowego.
Link do Rekomendacji UKNF: https://www.knf.gov.pl/aktualnosci?articleId=99168&p_id=18
