何が起きたか
2026年7月7日、欧州中央銀行(ECB)の銀行監督部門は、監督委員会議長Claudia Buch署名の書簡を、ユーロ圏の全重要銀行に送付し、2026年10月31日までにAI対応のサイバーセキュリティ脅威に対抗するための具体的なアクションプランの提出を要求した。書簡では、Anthropic's Claude Mythosなどの最先端モデルが決済を混乱させ、金融安定性を損なう可能性があることを指摘している。ECBは銀行がこの優先事項に注力できるよう、年間IT Risk Questionnaireを2026年9月から2027年2月に延期している。短期的な優先事項には、脆弱性/パッチ管理の加速、AI対応の防御的監視の強化、および第三者のICTリスク管理の検証が含まれる。
なぜ重要か
これは、ユーロ圏の最高銀行規制当局から、直接監督下にあるすべての重要機関(SIs)に対する拘束力のある監督指令であり、以前の自主的なサイバーセキュリティ態勢を、厳格な期限を伴う必須のアクションプラン要件に転換するものである。これは、最先端のAIサイバー能力を銀行レベルのシステミック・コンプライアンス義務として扱う主要中央銀行の初めてのケースの一つである。
必要な対応
ユーロ圏の重要銀行は、2026年10月31日までにECBに対し、AI対応のサイバー脅威に対応する包括的なアクションプランの策定・提出が必要であり、周辺/インターネット向けアセット保護および第三者リスク管理を優先すべきである。