text: EGT L 1, 3.1.1994, s. 3, ELI: http://data.europa.eu/eli/agree_internation/1994/1/oj.

text: EUT L 331, 15.12.2010, s. 1, ELI: http://data.europa.eu/eli/reg/2010/1092/oj.

text: EUT L 176, 27.6.2013, s. 338, ELI: http://data.europa.eu/eli/dir/2013/36/oj.

text: EUT C 58, 24.2.2011, s. 4.

text: av den 15 december 2015 om bedömningen av gränsöverskridande effekter och frivillig ömsesidighet för makrotillsynsåtgärder (EUT C 97, 12.3.2016, s. 9).

text: Europaparlamentets och rådets förordning (EG) nr 1893/2006 av den 20 december 2006

text: om fastställande av den statistiska näringsgrensindelningen Nace rev. 2 och om ändring av

text: rådets förordning (EEG) nr 3037/90

text: och vissa EG-förordningar om särskilda statistikområden (EUT L 393, 30.12.2006, s. 1, ELI: http://data.europa.eu/eli/reg/2006/1893/oj).

text: rådets förordning (EEG) nr 3037/90

title: Europeiska systemrisknämndens rekommendation av den 24 april 2026 om ändring av rekommendation ESRB/2015/2 om bedömningen av gränsöverskridande effekter och frivillig ömsesidighet för makrotillsynsåtgärder (ESRB/2026/2)

text: EUROPEISKA SYSTEMRISKNÄMNDENS STYRELSE HAR ANTAGIT DENNA REKOMMENDATION

text: med beaktande av fördraget om Europeiska unionens funktionssätt,

text: med beaktande av avtalet om Europeiska ekonomiska samarbetsområdet, särskilt bilaga IX,

text: med beaktande av

text: Europaparlamentets och rådets förordning (EU) nr 1092/2010 av den 24 november 2010

text: om makrotillsyn av det finansiella systemet på EU-nivå och om inrättande av en europeisk systemrisknämnd, särskilt artiklarna

text: och

text: med beaktande av

text: Europaparlamentets och rådets direktiv (EU) 2013/36 av den 26 juni 2013

text: om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag, om ändring av direktiv

text: och om upphävande av direktiv

text: och

text: , särskilt avsnitt I i kapitel 4 i avdelning VII,

text: , och

text: Den 20 mars 2026 informerade Österrikes finansmarknadsmyndighet (FMA), i egenskap av utsedd myndighet i enlighet med

text: artikel 133.9 i direktiv 2013/36/EU

text: , Europeiska systemrisknämnden (ESRB) om att den avser att ändra nivån på den sektorbaserade systemriskbufferten (sSyRB) för alla relevanta exponeringar mot icke-finansiella företag belägna i Österrike som bedriver bygg- eller fastighetsverksamhet enligt den statistiska näringsgrensindelningen som framgår av

text: med undantag för bostadsföreningar där vinstintresset är begränsat. Åtgärden kommer att genomföras i två steg, en initial ökning av sSyRB på 2 procent av de relevanta riskvägda exponeringarna, med verkan från och med den 1 juli 2026 t.o.m. den 30 juni 2027, följt av en ökning till 3,5 procent med verkan fr.o.m. den 1 juli 2027.

text: I meddelandet från Österrikes finansmarknadsmyndighet ombads ESRB även att rekommendera ömsesidighet vad gäller den sektorbaserade systemriskbufferten på konsoliderad nivå, undergruppsnivå och individuell nivå, i enlighet med

text: artikel 134.5 i direktiv 2013/36/EU

text: och i linje med de nivåer som tillämpas i Österrike.

text: I rekommendation

text: rekommenderas att den relevanta myndigheten som aktiverar en makrotillsynsåtgärd, när den lämnar an ansökan om ömsesidighet till ESRB, ska föreslå ett maximalt tröskelvärde under vilket en individuell finansiell tjänsteleverantörs exponering mot den identifierade makrotillsynsrisken – i den jurisdiktion där den aktiverande myndigheten tillämpar makrotillsynsåtgärden i fråga – ej anses väsentlig. ESRB får vid behov rekommendera ett annat tröskelvärde. Tröskelvärdet för ömsesidighet för den sektorbaserade systemriskbufferten (sSyRB) uppgår till ett institutspecifikt värde om 100 miljoner euro som bör tillämpas på konsoliderad nivå, undergruppsnivå och individuell nivå.

text: En ömsesidig tillämpning av kapitalkrav för makrotillsyn som aktiveras av myndigheter i andra medlemsstater, på konsoliderad nivå, undergruppsnivå och individuell nivå, oavsett om de berörda exponeringarna innehas genom dotterföretag eller filialer, eller till följd av direkt gränsöverskridande utlåning, begränsar läckage och regelarbitrage, tacklar systemrisker och främjar därmed makrotillsynens övergripande effektivitet. Detta uppnås genom att säkerställa att ökade risker hanteras inte bara i den medlemsstat som har infört en sektorbaserad systemriskbuffert (sSyRB) utan även i andra medlemsstater där bankgrupper är exponerade för dessa ökade risker. Ett erkännande bör därför också syfta till att säkerställa att bankgrupper som är exponerade för sådana systemrisker är tillräckligt motståndskraftiga. Därför bör kapitalkrav för makrotillsyn som härrör från ett beslut om att erkänna andra medlemsstaters makrotillsynsåtgärder i allmänhet tillämpas både på konsoliderad nivå, undergruppsnivå och individuell nivå.

text: För att erkänna det österrikiska sSyRB-värdet enligt finansmarknadsmyndighetens begäran får de relevanta behöriga och/eller utsedda myndigheterna i andra medlemsstater fastställa ett sSyRB-värde i enlighet med artiklarna

text: och

text: i direktiv 2013/36/EU.

text: Rekommendation

text: bör därför ändras i enlighet med detta.

text: HÄRIGENOM REKOMMENDERAS FÖLJANDE.

text: BILAGA

text: Bilagan till rekommendation

text: ska ändras på följande sätt:

text: 1. Åtgärden som avser Österrike ska ersättas med följande: – En sektorbaserad systemriskbuffert på 1 procent för alla relevanta exponeringar mot icke-finansiella företag belägna i Österrike som bedriver bygg- eller fastighetsverksamhet enligt unionens statistiska näringsgrensindelning (NACE) som framgår av förordning

text: (EG) nr 1893/2006

text: , med undantag för exponeringar mot bostadsföreningar där vinstintresset är begränsat, t.o.m. den 1 juli 2027. – En sektorbaserad systemriskbuffert på 2 procent för alla relevanta exponeringar mot icke-finansiella företag belägna i Österrike som bedriver bygg- eller fastighetsverksamhet enligt unionens statistiska näringsgrensindelning (NACE) som framgår av förordning

text: (EG) nr 1893/2006

text: , med undantag för exponeringar mot bostadsföreningar där vinstintresset är begränsat, fr.o.m. den 1 juli 2026 t.o.m. den 30 juni 2027. – En sektorbaserad systemriskbuffert på 3,5 procent för alla relevanta exponeringar mot icke-finansiella företag belägna i Österrike som bedriver bygg- eller fastighetsverksamhet enligt unionens statistiska näringsgrensindelning (NACE) som framgår av förordning

text: (EG) nr 1893/2006

text: , med undantag för exponeringar mot bostadsföreningar där vinstintresset är begränsat, fr.o.m. den 1 juli 2027.

text: 2. Under Österrike ska punkt 1 i avsnittet med rubriken I. Beskrivning av åtgärden ersättas med följande: 1. Den österrikiska åtgärden, tillämpad i enlighet med

text: artikel 133 i direktiv 2013/36/EU

text: , fastställer en sektorbaserad systemriskbuffert på 3,5 procent – som tillämpas gradvis i enlighet med avsnitt 1, delrekommendation C.1 – för alla relevanta exponeringar gentemot icke-finansiella företag belägna i Österrike som bedriver bygg- eller fastighetsverksamhet enligt unionens statistiska näringsgrensindelningen (NACE) som framgår av kommissionens delegerade förordning

text: (EG) nr 1893/2006

text: , med undantag för bostadsföreningar där vinstintresset är begränsat.

text: 3. Under Österrike ska punkterna 2 och 3 i avsnittet med rubriken II. Ömsesidighet ersättas med följande: 2. Det rekommenderas att de relevanta myndigheterna antar åtgärder som motsvarar de österrikiska avseende alla relevanta exponeringar belägna i Österrike i enlighet med

text: artikel 134.1 i direktiv 2013/36/EU

text: , både på konsoliderad nivå, undergruppsnivå och individuell nivå. De bör tillämpa åtgärden på alla relevanta exponeringar mot icke-finansiella företag som bedriver verksamhet inom följande näringsgrenar: byggande av bostadshus och andra byggnader under NACE-kod F 41, specialiserad bygg- och anläggningsverksamhet under NACE-kod F 43 samt fastighetsverksamhet under NACE-kod M 68, med undantag för exponeringar mot bostadsföreningar där vinstintresset är begränsat. 3. Om samma makrotillsynsåtgärd inte kan antas enligt den nationella lagstiftningen, i enlighet med delrekommendation C.2, rekommenderas de relevanta myndigheterna, efter samråd med ESRB, tillämpa en sådan makrotillsynsåtgärd i enlighet med sin nationella lagstiftning som bäst motsvarar den åtgärd som beskrivs ovan, inklusive antagandet av tillsynsåtgärder och utövandet av tillsynsbefogenheter enligt avdelning VII, kapitel 2, avsnitt IV i direktiv

text: . För genomförandet av jämförbara åtgärder gäller den normala övergångsperioden på tre månader efter offentliggörandet av rekommendation

text: i Europeiska unionens officiella tidning.

text: 4. Under Österrike, i avsnittet med rubriken III Relevant tröskelvärde ska följande punkt 6 ska läggas till: 6. Även om uppgifter för att avgöra om de relevanta exponeringarna överskrider tröskelvärdet inte finns direkt tillgängliga i unionens harmoniserade rapporteringsmallar (som omfattar exponeringar mot sektorn kommersiella fastigheter tillsammans med andra exponeringar som omfattas av samma Nace-koder), uppmuntras myndigheter att som ett första referensvärde beakta alla exponeringar mot österrikiska företag som klassificeras enligt Nace-koderna F och M som ingår i harmoniserade rapporteringsmallar för finansiell rapportering. Om detta värde ligger över tröskelvärdet för ett institut, bör man använda alternativa datakällor och/eller kontakta instituten med exponeringar över det första referensvärdet, för att bedöma om det finns anledning att vidta motsvarande åtgärder.

text: Europeiska unionens officiella tidning

text: REKOMMENDATIONER

text: Europeiska systemrisknämnden


text: EGT L 1, 3.1.1994, s. 3, ELI: http://data.europa.eu/eli/agree_internation/1994/1/oj.

text: EUT L 331, 15.12.2010, s. 1, ELI: http://data.europa.eu/eli/reg/2010/1092/oj.

text: EUT C 58, 24.2.2011, s. 4.

text: Brevet till de betydande instituten finns på ECB:s webbplats www.bankingsupervision.europa.eu.

text: Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022

text: om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna

text: (EG) nr 1060/2009

text: (EU) nr 648/2012

text: (EU) nr 600/2014

text: (EU) nr 909/2014

text: och

text: (EU) 2016/1011

text: (EUT L 333, 27.12.2022, s. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

text: Europaparlamentets och rådets förordning (EU) 2024/1689 av den 13 juni 2024

text: om harmoniserade regler för artificiell intelligens och om ändring av förordningarna

text: (EG) nr 300/2008

text: (EU) nr 167/2013

text: (EU) nr 168/2013

text: (EU) 2018/858

text: (EU) 2018/1139

text: och

text: (EU) 2019/2144

text: samt direktiven

text: (EU) 2016/797

text: och

text: (EU) 2020/1828

text: (förordning om artificiell intelligens) ( EUT L, 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj).

text: Europaparlamentets och rådets förordning (EU) 2024/2847 av den 23 oktober 2024

text: om övergripande cybersäkerhetskrav för produkter med digitala element och om ändring av förordningarna

text: (EU) nr 168/2013

text: och

text: (EU) 2019/1020

text: och

text: direktiv (EU) 2020/1828

text: (cyberresiliensförordningen) ( EUT L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

text: Europeiska systemrisknämndens rekommendation av den 2 december 2021 om ett europeisk ramverk för relevanta myndigheters samordning av åtgärder mot systemiska cyberincidenter (

text: ) (EUT C 134, 25.3.2022, s. 1).

text: Finns på ESRB:s webbplats www.esrb.europa.eu.

text: Se Systemic cyber risk, ESRB, februari 2020, finns på ESRB:s webbplats www.esrb.europa.eu.

text: T.ex. threat intelligence-based ethical red teaming (TIBER), threat-led penetration testing (TLPT), advanced red teaming (ART) and cyber resilience stress testing (CyRST).

text: Rådets förordning

text: (EU) 2019/796

text: av den 17 maj 2019 om restriktiva åtgärder mot cyberattacker som hotar unionen eller dess medlemsstater (EUT L 129 I, 17.5.2019, s. 1, ELI: http://data.europa.eu/eli/reg/2019/796/oj).

publisher: Europeiska systemrisknämnden

sprak: sv

title: EUROPEISKA SYSTEMRISKNÄMNDENS VARNING av den 25 juni 2026 om systemiska cyberrisker som utgår från de mest avancerade modellerna för artificiell intelligens (ESRB/2026/3)

text: EUROPEISKA SYSTEMRISKNÄMNDENS STYRELSE HAR ANTAGIT DENNA VARNING

type: stycke

text: med beaktande av fördraget om Europeiska unionens funktionssätt,

text: med beaktande av avtalet om Europeiska ekonomiska samarbetsområdet, särskilt bilaga IX,

text: med beaktande av

text: Europaparlamentets och rådets förordning (EU) nr 1092/2010 av den 24 november 2010

text: om makrotillsyn av det finansiella systemet på EU-nivå och om inrättande av en europeisk systemrisknämnd, särskilt

text: artikel 3.2 c

text: samt artiklarna

text: och

text: med beaktande av Europeiska systemrisknämndens beslut

text: av den 20 januari 2011 om arbetsordningen för Europeiska systemrisknämnden, särskilt artiklarna

text: och

text: , och

text: Ledande leverantörer av artificiell intelligens (AI) har utvecklat avancerade AI-modeller (s.k. Frontier AI-modeller, FAIM), som har hög kapacitet på området cybersäkerhet och kan utföra helt automatiserade cyberattacker mot komplexa system, bl.a. genom att upptäcka sårbarheter och utveckla och missbruka sårbarhetsattacker, vilket har grundläggande konsekvenser för cyberhotbilden.

text: FAIM är betydligt bättre än tidigare AI-modeller när det gäller att hitta sätt att utföra cyberattacker på, och överträffar tidigare modeller i fråga om kostnad, hastighet och precision, och kan nu utmana ledande mänskliga experter.

text: FAIM har potentialen att hota de system som ligger till grund för den informations- och kommunikationsteknik (IKT) som den finansiella infrastrukturen är beroende av, vilket ökar sannolikheten för ännu mer allvarligliga cyberincidenter med systemeffekter.

text: FAIM har visat sin förmåga att upptäcka sårbarheter och skapa sårbarhetsattacker, vilket exponerar stora operativsystem och programvara som används i nästan alla organisationers IKT-miljöer för risken för cyberattacker.

text: Historiskt sett har upptäckten av sådana sårbarheter varit sällsynta och ofta gjorts av forskare inom området datasäkerhet, vilket har möjliggjort riktade insatser för att säkra system. I dessa fall får programvarutillverkare ofta en standardiserad tidsram – vanligtvis 90 dagar – för att åtgärda sårbarheten innan den offentliggörs. FAIM kommer dock sannolikt att öka antalet sårbarheter som upptäckts.

text: Nuvarande uppdateringsmetoder i det finansiella systemet är främst reaktiva och bygger på regelbundna uppdateringar och ad hoc-åtgärder för att hantera sårbarheter som upptäckts. Denna strategi fungerar i en hotmiljö där man har tillräckligt med tid för att upptäckten av sårbarheter ska kunna hanteras. Med när antalet sårbarheter som upptäcks ökar, kan nuvarande praxis bli otillräcklig för att upprätthålla den operativa motståndskraften.

text: Denna volymökning medför att de nuvarande uppdateringsprocesserna kan överbelastas, eftersom de prioriterar avhjälpande åtgärder utifrån en riskbedömning och kräver att man testar uppdateringar innan dessa genomförs för att säkerställa operativ stabilitet. Om alltför många kritiska sårbarheter upptäcks inom kort tid så att antalet nödvändiga uppdateringar ökar avsevärt, kan finansinstitut behöva välja mellan att antingen acceptera betydande cyberrisker eller sänka kraven på testning av uppdateringar av programvara vilket då kan medföra en ökad risk för operativa incidenter och driftsavbrott.

text: Utformningen av sårbarhetsattacker i syfte att missbruka dessa skapades tidigare till stor del manuellt och tog dagar eller veckor för mänskliga experter, medan det nu kan göras av FAIM på några minuter eller timmar. Detta medför att defensiva tidsbuffertar krymper, som behövs för att upprätthålla kontinuiteten i kritiska och viktiga funktioner medan underhållsarbete utförs.

text: När kritiska sårbarheter som sprids i syfte att missbruka dessa tas fram av AI, och de defensiva tidsbuffertarna krymper, ökar risken för enskilda kritiska eller viktiga funktioner och institutioner kraftigt. Om sådana risker uppstår samtidigt hos dessa funktioner och institut kan detta medföra en permanent ökning av systematiska cyberrisker för vilka det för närvarande inte finns något effektivt ramverk med motåtgärder. På grund av den starka sammanlänkningen av unionens finanssektor, samt även mellan den sektorn och andra sektorer och jurisdiktioner, utgör denna situation en systemrisk som kan skapa instabilitet i systemet.

text: Dessutom utvecklas FAIM för närvarande bara av ett litet antal AI-leverantörer, varav flera har uttryckt oro över att kommande FAIM-modeller kan vara för kraftfulla för obegränsad allmän tillgång.

text: AI används redan av kriminella aktörer för att öka cyberattackernas effekt. Det är sannolikt att sådana aktörer så småningom, antingen genom läckor, stöld, oberoende utveckling eller öppen åtkomst, kommer att få tillgång till AI-modeller med en kapacitet som är jämförbar med den som för närvarande används i kontrollerade defensiva miljöer.

text: Även om FAIM avsevärt kan öka den offensiva kapaciteten och sannolikheten för sofistikerade cyberattacker, kommer de också att stärka den defensiva kapaciteten, särskilt när det gäller upptäckten av sårbarheter, korrelering av data och korrigerande åtgärder från enskilda institutioners sida. På kort till medellång sikt kommer dock den offensiva kapacitetens ökade hastighet, omfattning och kvalitet sannolikt att uppväga fördelarna.

text: Den snabba utvecklingen av FAIM gör det nödvändigt att utan dröjsmål ta itu med de identifierade riskerna för den finansiella stabiliteten för att förhindra att de materialiseras eller åtminstone mildra deras potentiella effekter. För att säkerställa finansiell stabilitet på unionens finansmarknader bör alla medlemmar i Europeiska systemrisknämnden (ESRB) beakta vilka konsekvenser FAIM kan få för finansinstitutens operativa kapacitet och motståndskraft inom ramen för deras makrotillsynsåtgärder och mikrotillsynspolitiska åtgärder. Detta påverkar inte de penningpolitiska mandaten för centralbankerna i unionen. Som ett exempel, och bland andra myndigheters pågående initiativ, har ECB, i sin roll som banktillsynsmyndighet, uppmanat betydande institut att utan dröjsmål bedöma effekterna av den föränderliga hotbilden och att senast den 31 oktober 2026 ta fram en omfattande handlingsplan med konkreta åtgärder för att komma till rätta med dessa risker.

text: I takt med att AI-tekniken blir alltmer spridd är det viktigt att se till att all kritisk infrastruktur, särskilt finansinstituten, är redo att hantera cyberattacker som styrs av FAIM och att i god tid vidta lämpliga förberedelser. Sådana defensiva insatser från enskilda enheter kan dock vara otillräckliga. Effektiva insatser och riskreducering kräver en samordnad respons som omfattar alla berörda parter, inbegripet AI-leverantörer, programvaruleverantörer, säkerhetsföretag, underhållare av öppen källkod, finansinstitut samt myndigheter på både nationell nivå och unionsnivå.

text: När ovanstående frågor diskuteras är det viktigt att beakta unionens relevanta rättsliga och politiska ramar, särskilt

text: samt Europeiska systemrisknämndens rekommendation (

text: Förordning

text: (EU) 2022/2554

text: tillhandahåller en övergripande ram för finansiella institut för att identifiera, hantera, övervaka och minska IKT-risker, inbegripet risker som härrör från cyberattacker. Med tanke på finanssektorns sammanlänkning och dess beroende av IKT-system och tredjepartsleverantörer av tjänster kan en framgångsrik cyberattack som påverkar ett eller flera finansinstitut eller deras kritiska tjänsteleverantörer få betydande systemeffekter. De finansiella tillsynsmyndigheterna bör på lämpligt sätt prioritera tillsynsverksamhet på detta område, med beaktande av de potentiella effekterna som sådana cyberattacker kan få för det finansiella systemets stabilitet, integritet och tillförlitlighet samt den operativa och finansiella skadan samt skadan för konsumenterna som kan bli följden.

text: Genom förordning

text: (EU) 2024/1689

text: fastställs harmoniserade regler för utsläppande på marknaden, ibruktagande och användning av AI-system och AI-modeller för allmänna ändamål i unionen, inbegripet, under vissa omständigheter, system och modeller som tillhandahålls av AI-leverantörer som är etablerade i tredjeländer om de data som produceras av AI-systemet används i unionen, eller om en AI-modell integreras i ett system som släpps ut på unionsmarknaden. I denna förordning föreskrivs också särskilda regler, inbegripet ett striktare regelverk, för modeller som klassificeras som AI-modeller för allmänna ändamål med systemrisk.

text: Genom förordning

text: (EU) 2024/2847

text: införs obligatoriska cybersäkerhetskrav för tillverkare som omfattar planering, utformning, utveckling och underhåll av maskinvaru- och programvaruprodukter med digitala element som släpps ut på unionsmarknaden. Det uppställer också krav på att tillverkarna hanterar sårbarheter under sina produkters livscykel. När förordningen börjar tillämpas fullt ut i december 2027 måste finansiella enheter som släpper ut sådana produkter på unionsmarknaden också säkerställa att sådana produkter uppfyller dessa krav.

text: I rekommendation

text: rekommenderades att de europeiska tillsynsmyndigheterna, gemensamt genom den gemensamma kommittén och tillsammans med Europeiska centralbanken (ECB), ESRB och relevanta nationella myndigheter, bör förbereda en effektiv samordnad reaktion på unionsnivå i händelse av en gränsöverskridande större cyberincident eller därmed sammanhängande hot som kan ha systemiska konsekvenser för unionens finanssektor. Detta resulterade i inrättande av en europeisk ram för samordning av systemiska cyberincidenter (EU-SCICF), som utgör en värdefull och operativ plattform för informationsutbyte och samordning mellan finansmyndigheter.

text: Mot denna bakgrund antar ESRB härmed en varning av allmän karaktär som är inriktad på de betydande risker för den finansiella stabiliteten som kan bli följden av utvecklingen av FAIM. Varningen beaktar det analytiska arbetet i ESRB:s not Addressing Frontier AI Models with cyber capabilities from a financial stability perspective, som offentliggjordes i juni 2026.

text: HÄRIGENOM KONSTATERAS FÖLJANDE.

type: rubrik

text: Europeiska unionens officiella tidning

text: I Resolutioner, rekommendationer och yttranden

text: REKOMMENDATIONER

text: Europeiska systemrisknämnden

type: vagledning

utgivare: esrb