Stan na kwiecien 2026. W ankietach wsrod zarzadow polskich bankow pierwsze miejsce na liscie zmartwien nie nalezy juz ani do geopolityki, ani do polityki pienieznej. Dominuje jedno: cyberryzyko, rozumiane szeroko - od ataku na infrastrukture IT, przez oszustwa z deepfake'ami, po presje regulacyjna zwiazana z rozporzadzeniem DORA.

Co tak naprawde spedza sen bankowcom?

Ryzyko operacyjne zwiazane z technologia wyprzedza dzis wszystkie klasyczne kategorie ryzyk. Wynika to z cyklicznych publikacji Zwiazku Bankow Polskich oraz raportow KPMG i EY dotyczacych sektora. Wojny i stopy procentowe to ryzyka cykliczne - bank wie jak nimi zarzadzac, ma modele, historyczne dane i procedury. Atak z uzyciem zmanipulowanego glosu na zarzad spolki-klienta albo masowy phishing pisany przez LLM? Tu nie ma gotowej odpowiedzi.

Powiedzmy sobie szczerze - banki nie boja sie kolejnej podwyzki stop. Boja sie jednego scenariusza: poranku, w ktorym krytyczny system placowy lezy przez szesc godzin, a klienci wyjsciem z aplikacji komunikuja to na X.

Klucz:

Cyberryzyko wyprzedzilo ryzyka makroekonomiczne, bo zmienia sie szybciej niz jakikolwiek model zarzadzania ryzykiem.

DORA - regim, ktory zmienil zasady gry

Od 17 stycznia 2025 roku sektor finansowy UE dziala pod rozporzadzeniem DORA (2022/2554). To nie jest miekka dyrektywa - DORA twardo wymaga testowania odpornosci (TLPT), raportowania incydentow do KNF w krotkich terminach, nadzoru nad kluczowymi dostawcami IT (w tym chmura) oraz ciaglosci dzialania w scenariuszu awarii krytycznej.

Kary sa realne i mocno biora w przychodach, a nie w symbolicznych mandatach. Dla duzego banku potencjalna sankcja to liczba o kilku zerach.

AI w rekach oszustow - problem, ktorego piec lat temu nie bylo

„Na wnuczka" i „na policjanta" to dzis preludium. Nowa generacja scamow uzywa:

  • klonowanych glosow czlonkow rodziny (audio deepfake po 3-5 sekundach probki)
  • sfabrykowanych wideo z prezesami spolek (business email compromise 2.0)
  • botow phishingowych pisanych przez LLM-y, w poprawnej polszczyznie, nie do wykrycia starymi filtrami

„Skala oszustw z elementami AI rosnie szybciej niz zdolnosc sektora do reagowania" - taki obraz wylania sie z cyklicznych raportow CERT Polska oraz komunikatow ZBP z 2025 roku.

Pamietaj:

Bank nigdy nie zadzwoni z prosba o podanie hasla, kodu BLIK ani o zainstalowanie zdalnej pomocy. Kropka.

Co to znaczy dla klienta?

Konkretnie trzy rzeczy. Po pierwsze - banki beda inwestowac w bezpieczenstwo jak nigdy wczesniej, co oznacza wyzsze prowizje albo drozsze uslugi podstawowe. Po drugie - autoryzacje transakcji stana sie bardziej uciazliwe (wiecej BLIK, biometria, silne uwierzytelnianie dla drobniejszych operacji). Po trzecie - i to najbardziej niebezpieczne - odpowiedzialnosc za oszustwo coraz czesciej bedzie spadala na klienta, jesli ten „swiadomie" autoryzowal przelew.

Moim zdaniem to ostatni punkt to cichy game-changer. Banki chronia sie DORA, procedurami, ubezpieczeniami. Klient ma zdrowy rozsadek i ewentualnie Rzecznika Finansowego. Roznica sil jest zauwazalna.