Europska unija uspostavila je sustav ranog upozoravanja koji bi trebao omogućiti otkrivanje velikog kibernetičkog napada prije nego što se proširi. No, gotovo 20 mjeseci nakon pokretanja, revizori su utvrdili da sustav još uvijek nije u potpunosti stavljen u funkciju.
Bruxelles je za zaštitu Europe od kibernetičkih napada izdvojio 1,4 milijarde eura. Kada se taj novac prosljeđuje trećim stranama, utvrđeno je revizijom, ne postoji neovisna provjera kojom bi se utvrdilo može li dio sredstava završiti kod organizacija koje su izložene utjecaju neprijateljskih država.
Na to, među ostalim, upozorava izvješće koje je ovoga tjedna objavio Europski revizorski sud (ECA) u kojem je istraženo koliko je EU u razdoblju od 2022. do 2025. godine bio učinkovit u otkrivanju i odgovoru na velike kibernetičke incidente.
Za provjeru vlasništva i kontrole nad trećim stranama koje primaju europska sredstva za kibernetičku sigurnost zaduženi su korisnici tih bespovratnih sredstava. Revizori su utvrdili kako tijelo koje nadzire dodjelu novca, Europski centar za kompetencije u području kibernetičke sigurnosti, ne provjerava neovisno njihove procjene.
To otvara prostor za sigurnosne rizike. Osjetljiva infrastruktura, operativni podaci i tehnologije ključne za sigurnost mogli bi tako biti izloženi potencijalno neprijateljskim utjecajima.
Spomenuta sredstva dodjeljuju se u okviru programa Digitalna Europa, glavnog EU programa za financiranje kibernetičke sigurnosti u sklopu proračunskog razdoblja od 2021. do 2027. godine.
Revizija je također pokazala da mreža za rano upozoravanje na velike kibernetičke napade još nije u funkciji.
Dva centra koji bi trebali biti temelj Europskog sustava za kibernetičko upozoravanje, poznata pod nazivima ATHENA i ENSOC, još nemaju potrebne alate za otkrivanje prijetnji i razmjenu informacija. Razlog su, među ostalim, višestruka kašnjenja u postupcima nabave.
Nadalje, još uvijek nisu uspostavljeni sporazumi o suradnji, zajednički sustav klasifikacije ni tehnički standardi potrebni za pokretanje sustava upozoravanja.
“EU je ostvario napredak u izgradnji okvira za suradnju u području kibernetičke sigurnosti, ali on još ne funkcionira onoliko učinkovito koliko bi trebao”, rekao je George-Marius Hyzler, član Europskog revizorskog suda zadužen za ovu reviziju.
Revizori su kao najveću slabost europske kibernetičke obrane izdvojili lošu razmjenu informacija, opisujući je kao “Ahilovu petu cijelog sustava”.
Razmjeri problema postali su jasni prošlog rujna, kada je kibernetički napad ucjenjivačkim softverom na Collins Aerospace, velikog pružatelja tehnoloških rješenja za zrakoplovnu industriju, prisilio zračne luke poput londonskog Heathrowa, berlinskog Brandenburga i aerodroma u Dublinu da dio operacija obavljaju ručno. Posljedice su bili brojni odgođeni i otkazani letovi.
Prema pravilima EU, incident takvih razmjera trebao je biti proglašen značajnim ili velikim kibernetičkim incidentom, što bi pokrenulo obvezu službenog prijavljivanja. No nijedna od pogođenih država nije ga prijavila kao incident bilo koje od te dvije kategorije.
I nije riječ o izoliranom propustu. Nijedna država članica od 2016. godine nije klasificirala nijedan kibernetički incident kao “veliki” – čak ni napade WannaCry i NotPetya, kao ni globalni informatički poremećaj iz 2024. godine izazvan neispravnim ažuriranjem softvera tvrtke CrowdStrike.
Pročitajte još:
Države članice su prošle godine službeno prijavile svega 14 prekograničnih kibernetičkih incidenata, a prijave je poslalo samo sedam zemalja. To je tek djelić od 322 incidenta koji su zahvatili dvije ili više država članica, a koje je ENISA zasebno evidentirala godinu ranije.
Europski sustav za kibernetičko upozoravanje razvija se od 2022. godine, a cilj mu je povezati kibernetičke centre država članica kako bi se prijetnje brže otkrivale i razmjenjivale informacije o napadima. Formalno je uspostavljen u okviru Akta o kibernetičkoj solidarnosti EU, koji je stupio na snagu u veljači 2025.
