EBA, EIOPA en ESMA op 23 september 2026: frontier-AI, quantumcomputing en niet-EU-leveranciers als risico voor banken en verzekeraars. Wat DORA en de AI Act vragen

Wat de Europese toezichthouders op 23 september 2026 publiceerden

EBA, EIOPA en ESMA publiceerden op 23 september 2026 hun gezamenlijke risico-update voor het najaar (JC 2026 29). Het rapport is een samenvatting van de risicobeoordeling die de drie toezichthouders voorleggen aan de Financial Stability Table van het Economisch en Financieel Comité. Het behandelt drie thema's: de afhankelijkheid van de Europese financiële sector van partijen buiten de EU, de samenhang van die afhankelijkheid met cyber- en AI-risico, en private credit. Volgens een enquête van de EBA noemt ongeveer 80 procent van de banken de afhankelijkheid van ICT-dienstverleners buiten de EU/EER de grootste uitdaging. Cloud, software, betalingsverkeer, clearing en kredietbeoordelingen lopen voor een groot deel via ondernemingen buiten de Unie.

Frontier-AI en quantumcomputing als risico voor de financiële sector

De toezichthouders schrijven dat frontier-AI-modellen kwetsbaarheden in IT-systemen met grote snelheid en op grote schaal kunnen vinden en uitbuiten, ook nog onbekende zero-day-lekken. Over quantumcomputing staat er dat een geavanceerde quantumcomputer cryptografie kan ondermijnen die communicatie, transacties, databases en blockchains beveiligt, dat die dreiging zich eerder kan voordoen dan een bruikbare commerciële toepassing, en dat gegevens die vandaag worden onderschept later kunnen worden ontsleuteld. Wie op een klein aantal leveranciers buiten de EU steunt, loopt die risico's via schakels die hij niet zelf beheert. Het artikel legt de verbinding met Herstatt-risico, het afwikkelingsrisico dat zichtbaar werd bij de sluiting van Bankhaus Herstatt op 26 juni 1974: tegenpartijen hadden hun Duitse marken betaald en ontvingen de dollars in New York nooit.

Wat DORA en de AI Act nu al vragen

DORA (Verordening (EU) 2022/2554) geldt sinds 17 januari 2025 en regelt in de artikelen 28 tot en met 31 het beheer van ICT-derdenrisico, concentratierisico, de minimale inhoud van contracten en het Europese toezicht op kritieke ICT-aanbieders. Artikel 6, lid 4, van Gedelegeerde Verordening (EU) 2024/1774 verplicht instellingen om in hun encryptiebeleid op te nemen hoe zij hun cryptografie waar nodig aanpassen op basis van ontwikkelingen in de cryptoanalyse; een vaste overstapdatum voor post-quantumalgoritmen staat er niet in. De AI Act voegt eisen toe aan AI-systemen met een hoog risico (artikel 15) en aan aanbieders van modellen die als model met een systeemrisico zijn geclassificeerd (artikelen 51 en 55), met overgangstermijnen tot 2 augustus 2027 voor modellen die al vóór 2 augustus 2025 in de handel waren. Het artikel eindigt met vijf vragen voor bestuur en inkoop bij een ICT-contract onder DORA, over datalocatie, concentratie, post-quantumcryptografie, AI-componenten en exit, en legt uit waarom dit rapport voor Nederlandse banken, verzekeraars, pensioenfondsen en hun leveranciers een ijkpunt is.

Meer lezen

Quantum governance, AI ActMauritz Kop24 september 2026DORA, AI Act, frontier-AI, quantumcomputing, post-quantumcryptografie, ESMA, EBA, EIOPA, financiële sector, ICT-derdenrisico, cyberbeveiliging, toezicht

De stille verkeersleider: AI-toezicht op quantumfoutcorrectie

Een veiligheidslaag die bijna niemand ziet

In een klassiek seinhuis grepen stangen en sloten fysiek in elkaar voordat een spoorwegsein op groen kon. Twee conflicterende rijwegen konden daardoor niet tegelijk worden vrijgegeven. Quantumfoutcorrectie heeft een verwante functie. Een quantumcomputer meet foutpatronen, waarna een decoder onder hoge tijdsdruk kiest welke correctie nodig is. NVIDIA publiceerde op 13 juli 2026 dat een machine-learningdecoder voor color codes in één specifieke testconfiguratie een logical error rate van circa 1/347,7 van die van Chromobius behaalde, met een gemelde runtimeverbetering van 7,3×. Die cijfers zijn leveranciersresultaten, gebonden aan codeafstand, fysieke foutkans en testopstelling. Toch is de bestuursvraag nu concreet: zodra AI in deze stille veiligheidslus terechtkomt, moeten kopers weten welke versie besliste en onder welke ruisveronderstellingen zij is getest.

De AI Act begint bij de juiste kwalificatie

Een neuraal netwerk in een technische stack valt niet automatisch onder alle regels voor hoog-risico-AI. Beoogd gebruik, marktrol, productvorm en sector bepalen de route. Als de decoder wel als hoog-risicosysteem kwalificeert, sluiten artikelen 9, 12, 15, 17 en 72 van de AI Act opvallend goed aan. Zij verbinden risicobeheer met vooraf bepaalde testdrempels, logging, kwaliteitsbeheer, robuustheid, cyberveiligheid en monitoring gedurende de levenscyclus. Voor AI-toezicht op quantumfoutcorrectie betekent dat dat een recordscore nooit los mag raken van model, hardware, codeafstand, ruisprofiel, latency en foutverdeling. De Cyber Resilience Act, NIS2 en DORA kunnen daarnaast relevant zijn, afhankelijk van product- en sectorscope.

Inkoop moet de veranderlijke component vasthouden

NVIDIA stelt modelgewichten, trainingsrecepten, synthetische-datahulpmiddelen en een trainingspipeline openbaar beschikbaar. Dat helpt onderzoek en reproductie, maar open code levert geen automatische onafhankelijke validatie. Een werkbaar dossier koppelt de prestatieclaim aan code, model, compiler en hardware; bewaart testdata en onzekerheden; legt incidentdrempels en logs vast; verdeelt wijzigingsrecht en hertestkosten; en regelt migratie naar een andere leverancier. Vooral die laatste stap telt. Een decoder kan diep vergroeien met het ruisprofiel en de interfaces van één processorarchitectuur. Quantumdecoder governance vraagt daarom om exporteerbare logs, gedocumenteerde koppelingen en een contractuele plicht om na relevante updates opnieuw te testen. Zo blijft een onzichtbare technische laag leesbaar voor inkoper, auditor en toezichthouder.