BCE et intelligence artificielle : le plan d'action exigé des banques face aux attaques accélérées

Analyse · 2 novembre 2026 · par cybercoverinsurance

Le 7 juillet 2026, la supervision bancaire de la BCE a écrit aux directeurs généraux des banques qu'elle supervise directement. Le message est simple : les modèles d'intelligence artificielle les plus avancés trouvent des vulnérabilités et écrivent des exploits fonctionnels bien plus vite qu'avant, et les banques doivent s'adapter. Chaque banque devait remettre un plan d'action à son équipe de supervision avant le 31 octobre 2026. L'échéance vient de passer, et les plans sont désormais sur la table des superviseurs.

Pour qui souscrit le risque cyber, la lettre compte pour deux raisons. La première : la BCE écrit noir sur blanc que le délai entre la découverte d'une vulnérabilité et son exploitation se réduit. C'est un changement de la fréquence attendue des sinistres, pas seulement un sujet de conformité. La seconde : les six domaines que la BCE demande de couvrir sont, presque un par un, les questions d'un bon questionnaire de souscription pour une banque.

En bref

• La lettre est signée par Claudia Buch, présidente du conseil de surveillance prudentielle de la BCE, et adressée aux banques importantes de la zone euro.
• Selon la BCE, les modèles de pointe réduisent le délai entre la découverte et l'exploitation des vulnérabilités : un changement structurel du risque cyber.
• Chaque banque devait remettre avant le 31 octobre 2026 un plan d'action avec mesures, ressources, rôles et délais. L'équipe de supervision suit sa mise en œuvre et la BCE fera une analyse horizontale.
• La responsabilité incombe à l'organe de direction. Les constats ouverts, y compris ceux du test de résistance cyber de 2024, doivent être levés.
• Le même jour, le Comité européen du risque systémique (CERS) a publié un avertissement sur les risques cyber systémiques des modèles de pointe ; en juin, il avait relevé le risque cyber systémique d'« élevé » à « grave ».

Ce que demande la BCE

La menace. La lettre décrit des modèles d'intelligence artificielle capables d'identifier des vulnérabilités et de générer rapidement des exploits fonctionnels, « en comprimant le délai entre la découverte d'une vulnérabilité et son exploitation ». La BCE parle d'un changement structurel, pas d'un pic temporaire (BCE, lettre aux banques).

Le plan d'action. Avant le 31 octobre 2026, chaque banque importante devait envoyer à son équipe de surveillance prudentielle conjointe un plan précisant les mesures de contrôle, les ressources, les rôles et les délais de mise en œuvre. L'équipe de supervision suit les progrès. La BCE analysera les plans de manière horizontale et pourra organiser des ateliers techniques avec les banques (lettre de la BCE ; A&O Shearman).

Qui répond. La responsabilité première incombe à l'organe de direction. Les banques doivent lever les constats déjà formulés par les superviseurs, y compris ceux du test de résistance sur la cyber-résilience de 2024 (lettre de la BCE).

Les six domaines de l'annexe. Le plan doit couvrir :

1. Surface d'attaque et inventaire. Un inventaire complet des systèmes, y compris les composants de tiers et open source.
2. Vulnérabilités et correctifs plus rapides. Des délais de correction accélérés, inscrits aussi dans les contrats et les accords de niveau de service avec les fournisseurs.
3. Surveillance et détection. Des capacités de détection adaptées à la nouvelle vitesse, y compris avec des défenses fondées sur l'intelligence artificielle.
4. Gouvernance, ressources et fournisseurs. Financement, formation et contrôle de la chaîne d'approvisionnement. La banque reste responsable du risque externalisé et doit revoir son appétence au risque, y compris les indicateurs sur les délais de correction.
5. Défense en profondeur. Zero trust, segmentation des réseaux, authentification multifacteur, moindre privilège et remplacement des systèmes obsolètes.
6. Réponse, reprise et partage. Exercices sur des vagues de vulnérabilités zero-day, le ransomware et les interruptions de fournisseurs ou du cloud, et partage d'informations sur les menaces.

Le calendrier de supervision. La BCE reporte l'échéance du questionnaire sur le risque informatique de septembre 2026 à février 2027, pour laisser de la place aux plans. Elle rappelle que les exigences du règlement DORA restent pleinement valables et annonce une lettre distincte sur la cryptographie post-quantique, dont l'adoption « doit commencer maintenant » (lettre de la BCE ; KPMG).

Le tableau systémique : l'avertissement du CERS

Le même 7 juillet, le CERS a publié un avertissement sur les risques cyber systémiques liés aux modèles de pointe. Le CERS qualifie ces modèles de « changement de paradigme pour la cybersécurité ». À long terme, ils devraient renforcer la résilience, mais à court et moyen terme ils donnent un avantage aux attaquants, qui peuvent trouver des vulnérabilités et attaquer plus vite, à plus grande échelle et avec plus de sophistication (CERS, communiqué de presse).

Le CERS signale aussi un risque de concentration : les principaux fournisseurs de modèles de pointe sont en grande partie hors de l'Union, avec une dépendance stratégique et un risque géopolitique. Il demande aux autorités de tenir compte de ces risques dans la supervision et appelle à une réponse coordonnée entre fournisseurs d'intelligence artificielle et de logiciels, sociétés de sécurité, mainteneurs open source, établissements financiers et autorités (Osborne Clarke ; Regulation Tomorrow).

Ce qui change pour qui assure les banques

La fréquence attendue augmente. Si le délai entre la publication d'une vulnérabilité et l'attaque se raccourcit, la fenêtre pendant laquelle une banque est exposée sur un système non corrigé s'élargit en proportion de son retard de correction. Un modèle de tarification fondé sur la fréquence historique des sinistres sous-estime le risque de ceux qui corrigent lentement. Le délai moyen de correction des vulnérabilités critiques devient une variable de prix, pas seulement une question du questionnaire.

Le risque de cumul augmente. Une vague de vulnérabilités zero-day exploitées en parallèle frappe de nombreux assurés au même moment, surtout s'ils utilisent le même logiciel ou le même fournisseur cloud. La BCE demande expressément des exercices sur ce scénario. Pour un portefeuille d'établissements financiers, c'est le scénario de cumul à modéliser : un seul événement, de nombreux sinistres, la même semaine.

Le fournisseur reste le problème de la banque. La BCE répète que la banque reste responsable du risque externalisé et demande des délais de correction inscrits dans les contrats avec les fournisseurs. C'est cohérent avec DORA, qui impose déjà la gestion du risque lié aux prestataires tiers de TIC. Pour le souscripteur, le contrat fournisseur est une preuve documentaire : si les délais de correction n'y figurent pas, le risque d'interruption due au fournisseur est moins maîtrisé.

Le plan est un document à demander. Les banques importantes viennent de produire un document qui décrit, pour les six domaines, mesures, ressources et délais. En demander une synthèse au renouvellement donne au souscripteur une information à jour et déjà validée par la direction de la banque. La comparaison entre le prévu et le réalisé, au renouvellement suivant, mesure la qualité de la gestion.

Les petites banques ne sont pas hors sujet. La lettre ne concerne que les banques importantes, supervisées directement par la BCE. Les banques moins importantes, supervisées par les autorités nationales, ont la même exposition technique mais aucune échéance. Pour un assureur, l'écart de préparation est probablement le plus large précisément dans ce segment.

Ce qu'il faut apporter aux renouvellements

Impact pour les assureursÉlevé

La BCE reconnaît par écrit que l'intelligence artificielle accélère l'exploitation des vulnérabilités et demande aux banques importantes un plan d'action : vitesse de correction, risque fournisseurs et cumul dû aux vagues zero-day deviennent des variables centrales de la souscription.

Au niveau du portefeuille, la lettre invite à traiter le délai de correction comme un facteur de prix et à modéliser un scénario de cumul d'exploitation rapide et simultanée de vulnérabilités dans les logiciels les plus répandus du secteur financier. Pour les banques moins importantes, qui n'ont pas reçu la même demande, les six domaines de la BCE constituent une bonne base de questionnaire.

Sources

• BCE, supervision bancaire – lettre aux établissements importants sur les menaces cyber renforcées par l'intelligence artificielle, 7 juillet 2026
• CERS – communiqué de presse du 7 juillet 2026 sur l'avertissement relatif aux modèles de pointe
• A&O Shearman – la BCE exige des établissements importants qu'ils traitent les menaces cyber liées à l'intelligence artificielle
• KPMG – la BCE demande un plan d'action contre les cyberattaques fondées sur l'intelligence artificielle
• Osborne Clarke – avertissement CERS/2026/3 et ce qu'il signifie pour les établissements financiers
• Regulation Tomorrow – l'avertissement du CERS et la lettre de la BCE