REGULACIÓN
BCE e inteligencia artificial: el plan de acción exigido a los bancos frente a los ataques acelerados
Con la carta del 7 de julio de 2026, la Supervisión Bancaria del BCE pidió a los bancos significativos un plan de acción frente a las amenazas cyber potenciadas por la inteligencia artificial, con entrega antes del 31 de octubre. La JERS elevó el riesgo cyber sistémico a «grave». Una lectura desde la suscripción: qué pide el BCE, qué cambia para las pólizas cyber de las entidades financieras y qué preguntas llevar a las renovaciones.
Análisis · 2 de noviembre de 2026 · por cybercoverinsurance
El 7 de julio de 2026 la Supervisión Bancaria del BCE escribió a los consejeros delegados de los bancos que supervisa directamente. El mensaje es sencillo: los modelos de inteligencia artificial más avanzados encuentran vulnerabilidades y escriben exploits funcionales mucho más rápido que antes, y los bancos deben adaptarse. Cada banco debía entregar un plan de acción a su equipo de supervisión antes del 31 de octubre de 2026. El plazo acaba de vencer y los planes están ahora sobre la mesa de los supervisores.
Para quien suscribe riesgo cyber la carta importa por dos motivos. El primero: el BCE afirma por escrito que el tiempo entre el descubrimiento de una vulnerabilidad y su explotación se está reduciendo. Es un cambio en la frecuencia esperada de siniestros, no solo un tema de cumplimiento. El segundo: los seis ámbitos que el BCE pide cubrir son, casi uno por uno, las preguntas de un buen cuestionario de suscripción para un banco.
En síntesis
- La carta está firmada por Claudia Buch, presidenta del Consejo de Supervisión del BCE, y dirigida a los bancos significativos de la zona del euro.
- Según el BCE, los modelos de frontera reducen el tiempo entre descubrimiento y explotación de vulnerabilidades: un cambio estructural del riesgo cyber.
- Cada banco debía entregar antes del 31 de octubre de 2026 un plan de acción con medidas, recursos, funciones y plazos. El equipo de supervisión sigue su aplicación y el BCE hará un análisis horizontal.
- La responsabilidad es del órgano de administración. Las deficiencias abiertas, incluidas las de la prueba de resistencia cyber de 2024, deben cerrarse.
- El mismo día la Junta Europea de Riesgo Sistémico (JERS) publicó una advertencia sobre los riesgos cyber sistémicos de los modelos de frontera, y en junio había elevado el riesgo cyber sistémico de «elevado» a «grave».
Qué pide el BCE
La amenaza. La carta describe modelos de inteligencia artificial capaces de identificar vulnerabilidades y generar exploits funcionales en poco tiempo, «comprimiendo los plazos entre el descubrimiento de una vulnerabilidad y su explotación». El BCE habla de un cambio estructural, no de un pico temporal (BCE, carta a los bancos).
El plan de acción. Antes del 31 de octubre de 2026 cada banco significativo debía enviar a su equipo conjunto de supervisión un plan con las medidas de control, los recursos, las funciones y los plazos de aplicación. El equipo de supervisión sigue los avances. El BCE hará un análisis horizontal de los planes y podrá organizar reuniones técnicas con los bancos (carta del BCE; A&O Shearman).
Quién responde. La responsabilidad principal es del órgano de administración. Los bancos deben cerrar las deficiencias ya señaladas por los supervisores, incluidas las de la prueba de resistencia sobre la resiliencia cyber de 2024 (carta del BCE).
Los seis ámbitos del anexo. El plan debe cubrir:
- Superficie de ataque e inventario. Un inventario completo de los sistemas, incluidos los componentes de terceros y de código abierto.
- Vulnerabilidades y parches más rápidos. Plazos de corrección acelerados, recogidos también en los contratos y en los acuerdos de nivel de servicio con los proveedores.
- Supervisión y detección. Capacidades de detección adecuadas a la nueva velocidad, también con defensas basadas en inteligencia artificial.
- Gobernanza, recursos y proveedores. Financiación, formación y verificación de la cadena de suministro. El banco sigue siendo responsable del riesgo externalizado y debe revisar su apetito de riesgo, incluidos los indicadores sobre plazos de parcheo.
- Defensa en profundidad. Confianza cero, segmentación de redes, autenticación multifactor, privilegios mínimos y sustitución de los sistemas obsoletos.
- Respuesta, recuperación e intercambio. Ejercicios sobre oleadas de vulnerabilidades de día cero, ransomware e interrupciones de proveedores o de la nube, e intercambio de información sobre amenazas.
El calendario de la supervisión. El BCE traslada el plazo del cuestionario sobre riesgo informático de septiembre de 2026 a febrero de 2027, para dejar espacio a los planes. Recuerda que los requisitos del reglamento DORA siguen plenamente vigentes y anuncia una carta separada sobre criptografía poscuántica, cuya adopción «debe empezar ya» (carta del BCE; KPMG).
El cuadro sistémico: la advertencia de la JERS
El mismo 7 de julio la JERS publicó una advertencia sobre los riesgos cyber sistémicos vinculados a los modelos de frontera. La JERS define estos modelos como «un cambio de paradigma para la ciberseguridad». A largo plazo deberían reforzar la resiliencia, pero a corto y medio plazo dan ventaja a los atacantes, que pueden encontrar vulnerabilidades y atacar más rápido, a mayor escala y con más sofisticación (JERS, nota de prensa).
La JERS señala también un riesgo de concentración: los principales proveedores de modelos de frontera están en gran parte fuera de la Unión, con una dependencia estratégica y un riesgo geopolítico. Pide a las autoridades que tengan en cuenta estos riesgos en la supervisión y una respuesta coordinada entre proveedores de inteligencia artificial y de software, empresas de seguridad, mantenedores de código abierto, entidades financieras y autoridades (Osborne Clarke; Regulation Tomorrow).
Qué cambia para quien asegura a los bancos
La frecuencia esperada sube. Si el tiempo entre la publicación de una vulnerabilidad y el ataque se acorta, la ventana en la que un banco está expuesto en un sistema sin corregir se amplía en proporción a su retraso en los parches. Un modelo de tarificación basado en la frecuencia histórica de siniestros infravalora el riesgo de quien corrige despacio. El tiempo medio de parcheo de las vulnerabilidades críticas se convierte en una variable de precio, no solo en una pregunta del cuestionario.
El riesgo de cúmulo crece. Una oleada de vulnerabilidades de día cero explotadas en paralelo golpea a muchos asegurados al mismo tiempo, sobre todo si usan el mismo software o el mismo proveedor de nube. El BCE pide expresamente ejercicios sobre este escenario. Para una cartera de entidades financieras es el escenario de cúmulo que hay que modelizar: un único evento, muchos siniestros, en la misma semana.
El proveedor sigue siendo un problema del banco. El BCE repite que el banco sigue siendo responsable del riesgo externalizado y pide plazos de parcheo escritos en los contratos con los proveedores. Es coherente con DORA, que ya exige la gestión del riesgo de terceros TIC. Para quien suscribe, el contrato con el proveedor es una prueba documental: si faltan los plazos de corrección, el riesgo de interrupción por proveedor está menos controlado.
El plan es un documento que hay que pedir. Los bancos significativos acaban de elaborar un documento que describe, para los seis ámbitos, medidas, recursos y plazos. Pedir un resumen en la renovación da al suscriptor una información actualizada y ya validada por la alta dirección del banco. La comparación entre lo previsto y lo realizado, en la renovación siguiente, mide la calidad de la gestión.
Los bancos más pequeños no quedan fuera del tema. La carta afecta solo a los bancos significativos, supervisados directamente por el BCE. Los bancos menos significativos, supervisados por las autoridades nacionales, tienen la misma exposición técnica pero ningún plazo. Para un asegurador, es probable que la brecha de preparación sea mayor precisamente en este segmento.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
El BCE reconoce por escrito que la inteligencia artificial acelera la explotación de vulnerabilidades y pide a los bancos significativos un plan de acción: velocidad de parcheo, riesgo de proveedores y cúmulo por oleadas de día cero se convierten en variables centrales de la suscripción.
En el plano de la cartera, la carta sugiere tratar el tiempo de parcheo como factor de precio y modelizar un escenario de cúmulo por explotación rápida y simultánea de vulnerabilidades en el software más difundido en el sector financiero. Para los bancos menos significativos, que no han recibido la misma solicitud, conviene usar los seis ámbitos del BCE como base del cuestionario.
Fuentes
- BCE, Supervisión Bancaria – carta a los bancos significativos sobre las amenazas cyber potenciadas por la inteligencia artificial, 7 de julio de 2026
- JERS – nota de prensa del 7 de julio de 2026 sobre la advertencia relativa a los modelos de frontera
- A&O Shearman – el BCE exige a los bancos significativos abordar las amenazas cyber de la inteligencia artificial
- KPMG – el BCE pide un plan de acción contra los ciberataques impulsados por la inteligencia artificial
- Osborne Clarke – advertencia JERS/2026/3 y qué significa para las entidades financieras
- Regulation Tomorrow – la advertencia de la JERS y la carta del BCE