Οι τράπεζες έμαθαν να φοβούνται τις ουρές στα γκισέ, τη φυγή καταθέσεων, τα κόκκινα δάνεια, τις κεφαλαιακές τρύπες και τα stress tests. Έμαθαν να ζουν με τον SSM, με την Τράπεζα της Ελλάδος, με τους δείκτες CET1, με τους στόχους MREL, με την πειθαρχία των αγορών. Εκεί όπου επί χρόνια μετριόταν η αντοχή μιας τράπεζας ήταν ο ισολογισμός της: κεφάλαια, ρευστότητα, ποιότητα ενεργητικού, προβλέψεις, καταθέσεις.
Όμως το 2026 το τραπεζικό ρίσκο αλλάζει μορφή. Δεν φεύγει από τον ισολογισμό, αλλά μετακινείται βαθύτερα στο λειτουργικό υπόστρωμα του συστήματος. Στα data centers, στα cloud συμβόλαια, στα συστήματα πληρωμών, στους τρίτους παρόχους τεχνολογίας, στα AI μοντέλα, στους αλγορίθμους, στα interfaces, στα APIs και στις αλυσίδες outsourcing που κρατούν όρθια την καθημερινή τραπεζική λειτουργία.
Το νέο bank run δεν χρειάζεται πλέον πανικόβλητους καταθέτες έξω από καταστήματα. Μπορεί να ξεκινήσει από μια βλάβη σε κρίσιμο πάροχο cloud, από κυβερνοεπίθεση σε core banking σύστημα, από κατάρρευση πλατφόρμας πληρωμών, από λάθος σε αυτοματοποιημένο μοντέλο διαχείρισης κινδύνου ή από αδυναμία μιας τράπεζας να αποκαταστήσει κρίσιμες λειτουργίες μέσα σε λίγες ώρες. Με απλά λόγια: το ερώτημα δεν είναι μόνο αν μια τράπεζα έχει κεφάλαια. Είναι αν μπορεί να συνεχίσει να λειτουργεί όταν το ψηφιακό της νευρικό σύστημα δεχθεί πλήγμα.
Από τα κόκκινα δάνεια στο ψηφιακό ρίσκο
Για την Ελλάδα, η μετατόπιση αυτή έχει ιδιαίτερη σημασία. Οι ελληνικές τράπεζες έχουν διανύσει τεράστια απόσταση από την εποχή της τραπεζικής κρίσης. Η Τράπεζα της Ελλάδος, στην Έκθεση Χρηματοπιστωτικής Σταθερότητας του Μαΐου 2026, σημείωσε ότι ο ελληνικός τραπεζικός τομέας έχει ισχυρά θεμελιώδη μεγέθη και ενισχυμένη ανθεκτικότητα, με κέρδη μετά φόρων και διακοπείσες δραστηριότητες 4,7 δισ. ευρώ το 2025, δείκτη CET1 15,3% και δείκτη μη εξυπηρετούμενων δανείων 3,3% τον Δεκέμβριο του 2025, στο χαμηλότερο επίπεδο από την ένταξη της χώρας στο ευρώ.
Αυτή είναι η θετική πλευρά της ιστορίας. Η άλλη είναι ότι όσο καθαρίζει ο ισολογισμός, τόσο μεγαλώνει η ανάγκη για τεχνολογική μετάβαση. Η τραπεζική δεν πωλείται πλέον κυρίως από το κατάστημα. Πωλείται από το κινητό. Δεν λειτουργεί μόνο με υπαλλήλους, αλλά με εφαρμογές. Δεν στηρίζεται μόνο σε τραπεζικά δίκτυα, αλλά σε υποδομές τρίτων. Και δεν ανταγωνίζεται μόνο άλλες τράπεζες, αλλά fintechs, big techs, ψηφιακά πορτοφόλια, πλατφόρμες πληρωμών και αύριο, πιθανότατα, AI agents που θα κάνουν συναλλαγές για λογαριασμό του πελάτη.
Η Eurobank ανακοίνωσε τεχνολογικό επενδυτικό πρόγραμμα έως 1 δισ. ευρώ στο πλαίσιο της στρατηγικής Banking Forward, με επίκεντρο υποδομές, cloud, data, AI και νέες ψηφιακές υπηρεσίες, ενώ σύμφωνα με την ίδια ανακοίνωση το 96% των συναλλαγών της γίνεται πλέον ψηφιακά. Η Πειραιώς, από την πλευρά της, ανακοίνωσε τον Απρίλιο του 2026 τη δημιουργία AI Hub σε συνεργασία με την Accenture και με υποστήριξη της Anthropic, με στόχο την επιτάχυνση της χρήσης τεχνητής νοημοσύνης στον οργανισμό.
Αυτές οι κινήσεις είναι απαραίτητες. Καμία μεγάλη τράπεζα δεν μπορεί να μείνει με αρχιτεκτονικές προηγούμενης δεκαετίας και να ανταγωνιστεί σε πραγματικό χρόνο. Όμως κάθε βήμα ψηφιακής επιτάχυνσης αυξάνει και το μέγεθος του ψηφιακού αποτυπώματος που πρέπει να προστατευθεί. Όσο περισσότερες λειτουργίες περνούν στο cloud, όσο περισσότερα συστήματα συνδέονται με APIs, όσο περισσότερη ανάλυση γίνεται με AI, τόσο μεγαλύτερη γίνεται η επιφάνεια επίθεσης.
Η ΕΚΤ δεν το βλέπει ως τεχνικό πρόβλημα
Η Ευρωπαϊκή Κεντρική Τράπεζα έχει ήδη αλλάξει οπτική. Η κυβερνοασφάλεια και η ψηφιακή ανθεκτικότητα δεν αντιμετωπίζονται πλέον ως θέμα του IT, αλλά ως ζήτημα διοίκησης, εποπτείας και χρηματοπιστωτικής σταθερότητας.
Το πρώτο μεγάλο σήμα ήρθε με το cyber resilience stress test του 2024. Η ΕΚΤ εξέτασε 109 άμεσα εποπτευόμενες τράπεζες για το πώς θα αντιδρούσαν και πώς θα ανέκαμπταν μετά από σοβαρό αλλά εύλογο κυβερνοπεριστατικό. Το σενάριο δεν εξέταζε αν οι τράπεζες μπορούν να αποτρέψουν την επίθεση, αλλά τι γίνεται όταν η επίθεση πετύχει και επηρεάσει τις βάσεις δεδομένων των βασικών συστημάτων τους. Το συμπέρασμα ήταν καθαρό: υπάρχουν πλαίσια απόκρισης και ανάκαμψης, αλλά υπάρχουν και σημαντικά περιθώρια βελτίωσης.
Αυτό είναι κρίσιμο. Η εποπτεία δεν ρωτά πια μόνο “τι firewall έχεις;”. Ρωτά “αν πέσει το βασικό σου σύστημα, πότε επιστρέφεις;”, “ποιος παίρνει την απόφαση;”, “ποια κρίσιμη λειτουργία προηγείται;”, “έχεις δοκιμάσει στην πράξη την ανάκαμψη;”, “μπορείς να δουλέψεις με εναλλακτικό πάροχο;”, “τι συμβαίνει αν το πρόβλημα δεν είναι μόνο δικό σου αλλά χτυπά ταυτόχρονα πολλές τράπεζες;”.
Η διαφορά είναι τεράστια. Στην παλιά εποχή, το τραπεζικό άγχος ήταν κυρίως χρηματοοικονομικό. Στη νέα εποχή είναι λειτουργικό, τεχνολογικό και συστημικό. Μια τράπεζα μπορεί να έχει κεφάλαια, ρευστότητα και ισχυρή κερδοφορία, αλλά να βρεθεί σε κρίση εμπιστοσύνης αν ο πελάτης δεν μπορεί να κάνει πληρωμή, να δει το υπόλοιπό του, να εκτελέσει μισθοδοσία ή να μεταφέρει χρήματα.
Το cloud είναι εργαλείο, όχι μαγικό καταφύγιο
Η μετάβαση στο cloud παρουσιάζεται συχνά ως αυτονόητη πρόοδος. Και σε μεγάλο βαθμό είναι. Προσφέρει ταχύτητα, ευελιξία, δυνατότητα επεξεργασίας τεράστιου όγκου δεδομένων, ευκολότερη ανάπτυξη νέων υπηρεσιών και χαμηλότερη εξάρτηση από παλιά, βαριά και δύσκαμπτα συστήματα.
Αλλά το cloud δεν εξαφανίζει το ρίσκο. Το μεταφέρει, το συμπυκνώνει και το κάνει πιο πολύπλοκο. Εάν πολλές τράπεζες εξαρτώνται από λίγους μεγάλους τεχνολογικούς παρόχους, τότε ένα πρόβλημα σε έναν κρίσιμο πάροχο δεν είναι απλώς πρόβλημα μιας τράπεζας. Μπορεί να γίνει πρόβλημα αγοράς.
Η ΕΚΤ, στον τελικό οδηγό της για το outsourcing σε cloud services που δημοσίευσε τον Ιούλιο του 2025, ανέφερε καθαρά ότι οι τράπεζες βασίζονται σε υπηρεσίες cloud από έναν μικρό αριθμό τρίτων παρόχων και ότι αυτό τις εκθέτει σε κινδύνους, μεταξύ των οποίων IT security και cyber risks, σε περιβάλλον αυξημένων γεωπολιτικών εντάσεων.
Δεν είναι θεωρητική ανησυχία. Η Intesa Sanpaolo ανακοίνωσε στις 2 Ιουλίου 2026 ότι ολοκλήρωσε τη μετάβαση των core IT συστημάτων της σε τεχνολογία Google Cloud, μπαίνοντας σε μια μικρή ομάδα ευρωπαϊκών τραπεζών που κατάφεραν μεγάλη απομάκρυνση από legacy υποδομές. Το ίδιο ρεπορτάζ σημείωνε ότι η αντικατάσταση των mainframes με cloud αποτελεί μεγάλη πρόκληση για τις παραδοσιακές τράπεζες και ότι οι αδυναμίες στα legacy συστήματα αυξάνουν τους λειτουργικούς και κυβερνοκινδύνους.
Άρα το δίλημμα δεν είναι “cloud ή όχι cloud”. Το δίλημμα είναι αν η τράπεζα γνωρίζει πραγματικά τι έχει μεταφέρει, πού βρίσκεται, ποιος το ελέγχει, ποια είναι τα δικαιώματα πρόσβασης, πώς γίνεται η ανάκαμψη, ποιο είναι το exit plan και ποιος λογοδοτεί όταν κάτι πάει στραβά.
Το AI αλλάζει την ταχύτητα της απειλής
Μέχρι πρόσφατα, η τεχνητή νοημοσύνη στις τράπεζες παρουσιαζόταν κυρίως ως εργαλείο αποδοτικότητας: καλύτερη εξυπηρέτηση πελατών, αυτοματοποίηση back office, ανάλυση δεδομένων, προσωποποιημένες προτάσεις, καλύτερη ανίχνευση απάτης, ταχύτερη αξιολόγηση αιτημάτων.
Όλα αυτά ισχύουν. Αλλά υπάρχει και η σκοτεινή πλευρά. Τα προηγμένα AI μοντέλα μπορούν να χρησιμοποιηθούν όχι μόνο από τις τράπεζες αλλά και από τους επιτιθέμενους. Μπορούν να εντοπίζουν αδυναμίες σε κώδικα, να συνδυάζουν μικρά κενά ασφαλείας σε μεγαλύτερη επίθεση, να παράγουν πειστικό phishing, να αυτοματοποιούν αναγνώριση στόχων και να αυξάνουν την ταχύτητα με την οποία μια κυβερνοεπίθεση περνά από το πειραματικό στο επιχειρησιακό επίπεδο.
Η ΕΚΤ έχει ήδη προειδοποιήσει για αυτό. Σύμφωνα με το Reuters, ο Frank Elderson, αντιπρόεδρος του Εποπτικού Συμβουλίου της ΕΚΤ, ανέφερε τον Ιούνιο του 2026 ότι η ταχεία πρόοδος στην AI αυξάνει τον κίνδυνο οι κυβερνοεπιθέσεις να ανακαλύπτουν και να εκμεταλλεύονται γρήγορα ευπάθειες στις τραπεζικές άμυνες. Η ΕΚΤ ετοιμάζει “dear CEO letter” προς τις τράπεζες, ζητώντας πρακτικά μέτρα άμυνας, ενώ ο Elderson υπογράμμισε ότι το θέμα δεν είναι απλώς τεχνικό αλλά στρατηγικό και απαιτεί πολυετή δέσμευση διοίκησης, τεχνογνωσίας και πόρων.
Αυτό είναι το σημείο όπου η συζήτηση σοβαρεύει. Δεν αρκεί μια τράπεζα να αγοράσει εργαλεία AI. Πρέπει να ξέρει ποιος τα χρησιμοποιεί, με ποια δεδομένα, για ποια απόφαση, με ποιο audit trail, με ποια δικαιώματα, με ποια διαδικασία ελέγχου και με ποια δυνατότητα απενεργοποίησης όταν κάτι ξεφεύγει.
Το AI δεν είναι απλώς software. Είναι δύναμη επιτάχυνσης. Μπορεί να επιταχύνει την παραγωγικότητα. Μπορεί όμως να επιταχύνει και το λάθος.
DORA: το τέλος του “τα έχει αναλάβει ο πάροχος”
Η μεγάλη θεσμική απάντηση της Ευρώπης είναι ο DORA, ο Κανονισμός για την Ψηφιακή Επιχειρησιακή Ανθεκτικότητα του χρηματοπιστωτικού τομέα. Η λογική του είναι απλή: οι τράπεζες, οι ασφαλιστικές, οι επενδυτικές εταιρείες και οι λοιποί χρηματοοικονομικοί φορείς δεν μπορούν να αντιμετωπίζουν τα συστήματα πληροφορικής ως παράρτημα της λειτουργίας τους. Είναι η ίδια η λειτουργία τους.
Η Ευρωπαϊκή Αρχή Τραπεζών σημειώνει ότι ο DORA θεσπίζει συνολικό πλαίσιο ψηφιακής επιχειρησιακής ανθεκτικότητας για τις χρηματοοικονομικές οντότητες της ΕΕ και προβλέπει εποπτικό πλαίσιο για κρίσιμους τρίτους παρόχους ICT υπηρεσιών. Η Τράπεζα της Ελλάδος αναφέρει ότι ο Κανονισμός καλύπτει ICT risk management, διαχείριση και αναφορά ICT περιστατικών, δοκιμές ψηφιακής ανθεκτικότητας και διαχείριση κινδύνου από τρίτους παρόχους ICT.
Αυτό πρακτικά σημαίνει ότι η φράση “το έχει ο vendor” τελειώνει. Η τράπεζα μπορεί να αναθέτει λειτουργίες, αλλά δεν μπορεί να αναθέτει την ευθύνη. Αν το σύστημα πέσει, ο πελάτης δεν θα καλέσει τον cloud provider. Θα καλέσει την τράπεζα. Αν χαθούν δεδομένα, δεν θα ζητηθούν εξηγήσεις από το API. Θα ζητηθούν από τη διοίκηση. Αν διακοπεί μια κρίσιμη λειτουργία πληρωμών, το πρόβλημα δεν θα λογιστεί ως “τεχνικό downtime”. Θα είναι ζήτημα εμπιστοσύνης.
Και εδώ βρίσκεται το πραγματικό μήνυμα του DORA: δεν αρκεί να υπάρχουν πολιτικές. Πρέπει να υπάρχουν αποδείξεις. Δοκιμές, σενάρια, αναφορές, logs, εναλλακτικές διαδικασίες, συμβατικές ρήτρες, καταγραφή κρίσιμων λειτουργιών, σχέδια ανάκαμψης και σαφής λογοδοσία.
Τα στοιχεία δείχνουν κλιμάκωση, όχι αποκλιμάκωση
Το περιβάλλον δεν γίνεται πιο ήρεμο. Η EBA ανέφερε ότι στους πρώτους τέσσερις μήνες αναφοράς του 2025 έλαβε πάνω από 1.200 αναφορές ICT περιστατικών, τα οποία αφορούσαν κυρίως IT συστήματα, υπηρεσίες πληρωμών και online banking. Σημείωσε επίσης ότι το 58% των τραπεζών ανέφερε πως είχε υπάρξει θύμα τουλάχιστον μίας κυβερνοεπίθεσης στο δεύτερο εξάμηνο του 2024, από 55% στο πρώτο εξάμηνο.
Αυτά τα νούμερα δείχνουν κάτι απλό: η ψηφιακή τραπεζική δεν είναι απλώς πιο βολική για τον πελάτη. Είναι και πιο εκτεθειμένη σε ένα περιβάλλον όπου οι επιθέσεις γίνονται συχνότερες, πιο αυτοματοποιημένες, πιο σύνθετες και συχνά γεωπολιτικά φορτισμένες.
Για τις ελληνικές τράπεζες, αυτό έχει δύο διαστάσεις. Πρώτον, πρέπει να επενδύσουν για να μείνουν ανταγωνιστικές. Δεύτερον, πρέπει να επενδύσουν για να μείνουν λειτουργικές. Η τεχνολογία δεν είναι πια πολυτέλεια ούτε “ψηφιακό marketing”. Είναι κεφαλαιώδης υποδομή, όπως κάποτε ήταν το δίκτυο καταστημάτων, τα ταμεία, τα μηχανογραφικά κέντρα και τα συστήματα καρτών.
Το νέο ερώτημα για τους επενδυτές
Μέχρι σήμερα, ο επενδυτής που κοιτάζει μια τράπεζα ρωτά: πόσο είναι το NII; Πόσο πέφτουν τα επιτόκια; Τι γίνεται με τις προμήθειες; Πόσα δάνεια δίνει; Πόσο μέρισμα πληρώνει; Πόσο κεφάλαιο έχει; Πόσο MREL έχει εκδώσει; Πόσο χαμηλά είναι τα NPEs;
Από εδώ και πέρα πρέπει να ρωτά και κάτι άλλο: πόσο ανθεκτική είναι ψηφιακά;
Αυτό δεν αποτυπώνεται εύκολα σε ένα απλό τραπεζικό multiple. Δεν μπαίνει καθαρά στο P/TBV. Δεν φαίνεται αμέσως στο RoTE. Δεν εμφανίζεται στις παρουσιάσεις αποτελεσμάτων με την ίδια καθαρότητα που εμφανίζονται τα καθαρά έσοδα από τόκους. Όμως μπορεί να καταστρέψει αξία πολύ γρήγορα.
Ένα μεγάλο περιστατικό κυβερνοασφάλειας ή μια παρατεταμένη αδυναμία βασικών υπηρεσιών μπορεί να προκαλέσει απώλεια εμπιστοσύνης, εποπτική πίεση, πρόστιμα, κόστος αποκατάστασης, δικαστικές διεκδικήσεις, φυγή πελατών και ζημιά στη φήμη. Σε μια τράπεζα, η φήμη δεν είναι επικοινωνιακή λεπτομέρεια. Είναι μέρος της ρευστότητας.
Ο νέος τραπεζικός χάρτης κινδύνων
| Πεδίο κινδύνου | Παλαιό τραπεζικό ερώτημα | Νέο τραπεζικό ερώτημα |
|---|---|---|
| Ρευστότητα | Έχει επαρκείς καταθέσεις; | Μπορεί ο πελάτης να έχει πρόσβαση στα χρήματά του σε κρίση συστημάτων; |
| Κεφάλαια | Έχει ισχυρό CET1; | Έχει κεφάλαιο και οργανωτική ικανότητα να αντέξει μεγάλο operational shock; |
| Outsourcing | Μειώνει το κόστος; | Ποιος ελέγχει τον κρίσιμο τρίτο πάροχο και ποιο είναι το exit plan; |
| Cloud | Αυξάνει την ταχύτητα; | Δημιουργεί συγκέντρωση κινδύνου σε λίγους παρόχους; |
| AI | Βελτιώνει την αποδοτικότητα; | Ποιος ελέγχει το μοντέλο, τα δεδομένα και τις αποφάσεις του; |
| Cybersecurity | Υπάρχει προστασία; | Υπάρχει δοκιμασμένη ανάκαμψη μετά από επιτυχημένη επίθεση; |
| Εποπτεία | Συμμορφώνεται τυπικά; | Μπορεί να αποδείξει επιχειρησιακή ανθεκτικότητα στην πράξη; |
Το συμπέρασμα
Οι τράπεζες μπαίνουν σε μια φάση όπου η τεχνολογία δεν είναι πια βοηθητική λειτουργία. Είναι ο πυρήνας του τραπεζικού μοντέλου. Το κατάστημα μπορεί να κλείνει, η εφαρμογή όμως δεν επιτρέπεται να πέσει. Ο πελάτης μπορεί να μη δει ποτέ τα κεντρικά γραφεία της τράπεζας, αλλά περιμένει το mobile banking να λειτουργεί κάθε λεπτό. Η επιχείρηση μπορεί να μη μιλά με υπάλληλο, αλλά απαιτεί οι πληρωμές, οι μισθοδοσίες και τα όρια χρηματοδότησης να εκτελούνται χωρίς διακοπή.
Αυτό δημιουργεί μια νέα αλήθεια: η τράπεζα του μέλλοντος δεν θα κρίνεται μόνο από τον ισολογισμό της, αλλά και από την ανθεκτικότητα της ψηφιακής της υποδομής. Όχι μόνο από το πόσα κεφάλαια διαθέτει, αλλά από το πόσο γρήγορα ανακάμπτει. Όχι μόνο από το πόσο έξυπνα χρησιμοποιεί την AI, αλλά από το πόσο καλά την ελέγχει. Όχι μόνο από το πόσο γρήγορα περνά στο cloud, αλλά από το αν μπορεί να φύγει από αυτό όταν χρειαστεί.
Οι ελληνικές τράπεζες έχουν αφήσει πίσω τους τη μεγάλη κρίση των κόκκινων δανείων. Αλλά μπαίνουν σε μια νέα εποχή, όπου το μεγαλύτερο ρίσκο μπορεί να μη βρίσκεται στο δανειακό χαρτοφυλάκιο, αλλά στο αθέατο τεχνολογικό υπόγειο που κρατά όρθια όλη την τραπεζική μηχανή.
Το παλιό bank run φαινόταν στην ουρά έξω από το κατάστημα. Το νέο μπορεί να φανεί σε μια λευκή οθόνη εφαρμογής που δεν ανοίγει.
