Maskinen som aldrig sover: därför granskar Finansinspektionen bankernas cyberskydd nu

När angriparen aldrig sover

Det finns en romantiserad bild av hackaren — en skicklig människa som sitter i mörkret och metodiskt letar sig igenom system. Den bilden är snabbt på väg att bli ett historiskt relikvieskåp.

Moderna AI-modeller kan i dag självständigt identifiera säkerhetsluckor, formulera övertygande nätfiskemejl och koordinera sammansatta angrepp — allt i en hastighet och skala som ingen människa kan konkurrera med. Det är inte framtidsscenarier från en sci-fi-roman. Det är verifierade forskningsresultat från det senaste året.

Mot den bakgrunden är det inte svårt att förstå varför Finansinspektionen nu, enligt Breakit, inleder en systematisk granskning av hur väl svenska banker, försäkringsbolag och finansiella infrastrukturföretag är förberedda. Finanssektorn är inte vilken bransch som helst — den är samhällskritisk infrastruktur. Ett lyckat angrepp mot en stor svensk bank är inte en IT-incident. Det är en samhällskris.

Hotbilden har förändrats i grunden

Vad som gör detta läge unikt är inte att cyberhot existerar — de har funnits i decennier. Det unika är den kvalitativa förändringen i vad en angripare faktiskt kan åstadkomma. Tidigare krävdes djup teknisk kompetens, tid och resurser för att genomföra ett sofistikerat angrepp. I dag kan välfinansierade aktörer — statsanknutna grupper, organiserad brottslighet eller enskilda individer med tillgång till rätt verktyg — sätta autonoma AI-system i arbete som agerar dygnet runt utan pauser, misstag från trötthet eller mänskliga tveksamheter.

Det innebär att försvaret måste vara lika dynamiskt som anfallet. Statiska skyddsåtgärder, rutinmässiga sårbarhetsskanningar och årsvis uppdaterade riskanalyser räcker helt enkelt inte längre. Finansinspektionens granskning syftar till att kartlägga just detta: hänger de interna skyddsåtgärderna med i utvecklingstakten, eller lever bankerna på gamla meriter och föråldrade skyddsmodeller?

DORA sätter ribban — men räcker den?

Granskningen sker inte i ett vakuum. EU:s regelverk DORA — Digital Operational Resilience Act — trädde i kraft tidigare i år och ställer redan hårdare krav på finansiella företags motståndskraft mot digitala störningar. Det är ett välkommet steg, och ett tydligt tecken på att europeiska tillsynsmyndigheter förstår allvaret.

Men regelefterlevnad och verklig motståndskraft är inte samma sak. Det går att pricka av alla punkter i ett regelverk och ändå ha ett försvar med kritiska svagheter. Finansinspektionens initiativ handlar om att gå under ytan — att undersöka om det faktiska skyddet matchar den faktiska hotbilden, inte bara om pappersarbetet är i ordning.

Det är rätt prioritering. Och den speglar en bredare europeisk rörelse där tillsynsmyndigheter inser att AI inte bara är ett verktyg för effektivisering — det är också en ny vapenkategori.

En kalldusch med konstruktiv potential

Jag är genuint entusiastisk kring vad AI kan göra för produktivitet, innovation och affärsutveckling. Men den entusiasmen måste vara ögonöppen. AI är ett kraftfullt verktyg — och kraftfulla verktyg hamnar i fel händer.

Det glädjande är att granskningen faktiskt äger rum. Det är ett tecken på mognad, inte på panik. Svenska finansaktörer som tar detta på allvar — som inte väntar på myndigheternas slutrapport utan börjar investera i AI-drivet försvar redan nu — positionerar sig inte bara som regelföljare. De positionerar sig som ledare i en ny era av digital motståndskraft.

De som väljer att avvakta riskerar att bli ett prejudikat av ett annat slag — det som citeras i nästa rapport om varför granskningen kom för sent.