Le 7 juillet 2026, la Banque centrale européenne (BCE) a écrit aux dirigeants des établissements financiers qu'elle supervise directement pour leur demander un plan d'action contre les cyberattaques rendues possibles par les modèles d'IA de pointe. Cette lettre fait suite à une alerte du Comité européen du risque systémique (CERS/ESRB), soutenue par les trois autorités européennes de supervision (EBA, ESMA, EIOPA). Échéance fixée : le 31 octobre 2026, pour transmettre un plan d'action à son équipe de supervision conjointe (Joint Supervisory Team).
Une alerte à trois niveaux en l'espace d'un mois
Entre fin juin et fin juillet 2026, les autorités européennes ont construit, texte après texte, une chaîne d'alerte cohérente sur un même risque : la capacité des modèles d'IA de pointe (« frontier AI models ») à découvrir des vulnérabilités, générer des exploits fonctionnels et mener des cyberattaques de bout en bout à une vitesse et une échelle inédites.
- 25 juin 2026 : le Conseil général du CERS adopte l'avertissement ESRB/2026/3, qui relève le risque cyber systémique de « élevé » (évaluation de mars 2026) à « sévère ».
- 7 juillet 2026 : le CERS publie cet avertissement ; le même jour, la BCE adresse sa lettre de supervision aux dirigeants des établissements importants.
- 31 juillet 2026 : les trois autorités européennes de supervision (EBA, ESMA, EIOPA) publient une déclaration conjointe (JC 2026 25) apportant leur soutien à l'avertissement du CERS et appelant l'ensemble des entités financières, pas seulement les banques d'importance systémique, à adapter leurs capacités de cybersécurité.
Cette convergence en un mois — organe de risque systémique, superviseurs sectoriels, superviseur bancaire direct — signale que le sujet dépasse la seule vigilance technique : il s'installe dans l'agenda prudentiel du second semestre 2026.
Ce que dit concrètement l'avertissement du CERS
Le CERS constate que les modèles d'IA récents ont considérablement renforcé leur capacité à identifier et exploiter des vulnérabilités à forte sévérité dans des délais très courts — au point de réduire de façon significative le temps qui sépare la découverte d'une faille de son exploitation effective. Pour le CERS, il s'agit d'un changement de paradigme dans le domaine de la cybersécurité, susceptible de fragiliser la résilience opérationnelle des entités financières si les dispositifs de défense ne s'adaptent pas au même rythme que la menace.
La BCE transforme l'alerte en obligation de résultat pour les grands établissements
La lettre du 7 juillet 2026 (référencée SSM-2026-0301), signée par Claudia Buch, présidente du Conseil de surveillance prudentielle, est adressée aux dirigeants des quelque 110 établissements considérés comme importants au sens du Mécanisme de surveillance unique (MSU). Elle est explicite sur un point : il ne s'agit pas d'un nouveau corpus de règles. Le cadre de référence reste le règlement DORA (règlement (UE) 2022/2554) — l'IA amplifie la vitesse et l'ampleur de risques déjà couverts, elle n'en crée pas de nouvelle catégorie juridique.
Ce que la BCE demande est en revanche très concret : chaque établissement important doit transmettre à son équipe de supervision conjointe, au plus tard le 31 octobre 2026, un plan d'action porté au niveau du conseil d'administration, avec des responsables nommés, des ressources allouées et un calendrier de mise en œuvre.
Les six axes attendus dans le plan d'action
La lettre de supervision structure les attentes autour de six axes que les établissements doivent couvrir :
- Protéger la surface d'attaque — cartographie et réduction des points d'exposition.
- Accélérer la gestion des vulnérabilités et des correctifs — réduire le délai entre détection et remédiation.
- Renforcer la surveillance, la détection et la défense assistée par IA — utiliser l'IA défensivement, pas seulement subir son usage offensif.
- Renforcer la gouvernance, le financement, la formation et l'assurance de la chaîne d'approvisionnement — y compris les prestataires tiers critiques.
- Consolider la défense en profondeur tout en modernisant l'infrastructure — ne pas se limiter à des correctifs ponctuels sur des systèmes hérités.
- Améliorer la résilience opérationnelle et le partage d'information — coopération intersectorielle sur les incidents.
En contrepartie de cette charge de travail supplémentaire, la BCE a annoncé le report de son questionnaire annuel sur le risque informatique (IT Risk Questionnaire), initialement prévu en septembre 2026, à février 2027 — une manière de dégager de la capacité chez les établissements pour se concentrer sur ce plan d'action.
Ce que cela signifie pour les fonctions conformité, risque et RSSI
Pour un établissement important sous supervision directe de la BCE, le sujet est déjà un chantier à ouvrir maintenant : entre le 14 août et le 31 octobre 2026, il reste un peu plus de deux mois pour produire un document porté au niveau du conseil, ce qui suppose un arbitrage interne rapide entre RSSI, direction des risques, direction de la conformité et direction générale.
Pour les établissements non directement supervisés par la BCE (moins significatifs, ou hors zone euro), la déclaration conjointe des ESAs du 31 juillet 2026 élargit informellement l'attente à l'ensemble du secteur : la lettre BCE fixe un standard de place que les superviseurs nationaux — via l'ACPR en France notamment — sont susceptibles de reprendre à leur compte dans le cadre du dialogue prudentiel courant, sans qu'un texte équivalent leur soit à ce stade formellement adressé.
La lettre BCE ne crée aucune obligation juridique nouvelle : elle est un acte de supervision qui s'appuie sur DORA. Mais l'absence de plan d'action documenté au 31 octobre 2026 sera un point d'attention factuel dans le dialogue avec l'équipe de supervision conjointe — à traiter comme une échéance opérationnelle réelle, pas comme une simple recommandation.
- Banque centrale européenne — Supervision bancaire, lettre aux dirigeants des établissements importants « AI-enabled cybersecurity threats » (SSM-2026-0301), 7 juillet 2026.
- Comité européen du risque systémique (CERS/ESRB), avertissement ESRB/2026/3 « Frontier AI models could strain cyber resilience in the financial system », adopté le 25 juin 2026, publié le 7 juillet 2026.
- Autorité bancaire européenne (EBA), au nom des ESAs (EBA, ESMA, EIOPA), déclaration conjointe JC 2026 25 « The ESAs support ESRB warning on systemic cyber risks from frontier AI models », 31 juillet 2026.
- Règlement (UE) 2022/2554 (DORA) — cadre juridique de référence cité par la BCE, consultable sur eur-lex.europa.eu.
Sources consultées le 14 août 2026.
Recevez nos prochaines publications par email — France-Europe et/ou Zone UEMOA.