Lacunele în schimbul de informații slăbesc răspunsul UE la incidentele cibernetice

– 1,4 miliarde de euro din bugetul UE pentru perioada 2021-2027 merg către securitatea cibernetică
– Rețelele UE facilitează cooperarea între statele membre, dar schimbul limitat de informații le reduce valoarea adăugată
– Sistemul european de alertă în materie de securitate cibernetică nu este încă operațional

Măsurile UE de detectare a incidentelor de securitate cibernetică semnificative și de mare amploare și de răspuns la acestea prezintă verigi slabe, arată un nou raport al Curții de Conturi Europene. Auditorii UE solicită întărirea scutului cibernetic prin: îmbunătățirea schimbului de informații, o mai bună coordonare pentru a evita suprapunerea activităților diferitelor organisme implicate, punerea în funcțiune a sistemului european de alertă în materie de securitate cibernetică, precum și controale de securitate mai riguroase pentru beneficiarii fondurilor UE.

Incidentele de securitate cibernetică pot perturba serviciile publice, întreprinderile, infrastructura critică și piața internă a UE. Statele membre sunt cele cărora le revine responsabilitatea de a răspunde la astfel de incidente, însă UE joacă și ea un rol important, în special în anumite circumstanțe. Mai exact, când incidentele cibernetice cauzează perturbări majore, pierderi financiare semnificative sau prejudicii substanțiale persoanelor sau organizațiilor (incidente semnificative de securitate cibernetică) sau atunci când afectează mai multe state membre și depășesc capacitatea unei singure țări de a răspunde în mod eficace (incidente de securitate cibernetică de mare amploare).

Pentru a face față acestor amenințări, UE investește din ce în ce mai mult în consolidarea scutului cibernetic. În bugetul UE pentru perioada 2021-2027, programul „Europa digitală” este principala sursă de finanțare pentru securitatea cibernetică, domeniu căruia îi sunt alocați 1,4 miliarde de euro.

„UE a făcut progrese în dezvoltarea unui cadru de cooperare în materie de securitate cibernetică, dar acesta nu este încă suficient de eficace”, a declarat domnul George-Marius Hyzler, membrul Curții responsabil de acest audit. „Atunci când se produce un atac cibernetic grav, informațiile furnizate la timp și care permit acțiuni concrete fac diferența. Fără ele, rețelele și mecanismele de cooperare își pierd mare parte din valoarea adăugată.”

În opinia auditorilor, călcâiul lui Ahile al întregului sistem este schimbul insuficient de informații. Planul de acțiune pentru gestionarea crizelor cibernetice, adoptat în 2025, clarifică în mare măsură rolurile și responsabilitățile, stabilind modul în care UE ar trebui să gestioneze crizele majore în acest domeniu. Problema este însă că nu există încă un cadru formal care să reglementeze colaborarea dintre cele două rețele cibernetice ale UE. Această situație îngreunează cooperarea dintre rețeaua CSIRT, care reunește echipele naționale responsabile de gestionarea incidentelor cibernetice, și EU-CyCLONe, rețeaua UE pentru cooperarea în materie de gestionare a crizelor cibernetice.

În plus, unele țări nu au finalizat încă implementarea normelor actualizate ale UE în materie de securitate cibernetică (precum Directiva NIS 2), iar normele naționale de securitate restrâng schimbul anumitor informații. Ce înseamnă asta? Că rețelele UE riscă să detecteze prea târziu amenințările și să nu poată coordona un răspuns eficace.

Auditorii au constatat, de asemenea, o suprapunere între activitățile unora dintre organismele UE responsabile cu monitorizarea amenințărilor cibernetice. Centrul de analiză și de cunoaștere a situației în materie cibernetică, din cadrul Comisiei Europene, a fost înființat în 2022 și se bazează în mare măsură pe prestatori externi de servicii. Activitatea desfășurată de aceștia pentru centru se suprapune parțial cu capacitățile deja existente ale Agenției Uniunii Europene pentru Securitate Cibernetică (ENISA) în materie de monitorizare a amenințărilor și de evaluare a situației cibernetice.

La momentul auditului, sistemul european de alertă în materie de securitate cibernetică nu era încă operațional. Cele două centre examinate de auditori – ATHENA și ENSOC – nu își începuseră activitatea din cauza întârzierilor în achizițiile publice. În plus, încă lipseau acordurile de cooperare necesare, un sistem comun de clasificare și standardele tehnice de care era nevoie pentru ca sistemul să funcționeze.

Auditorii au identificat deficiențe și în controalele efectuate asupra unor organizații care beneficiază de finanțare europeană pentru securitate cibernetică. Aceste controale urmăresc să atenueze riscul de intruziune sau influență din partea țărilor terțe și să împiedice schimbul de informații sensibile în materie de securitate cu autorități din afara UE. Or, deși beneficiarii granturilor sunt responsabili de efectuarea verificărilor privind proprietatea și controlul asupra terților care primesc sprijin financiar, Centrul european de competențe în materie de securitate cibernetică nu verifică modul în care sunt efectuate aceste controale. Consecința? Riscuri de securitate pentru infrastructuri sensibile, date operaționale și tehnologii critice din punctul de vedere al securității.

Peisajul securității cibernetice din UE reunește numeroase organisme publice și private de la nivel regional, național și de la nivelul UE. În același timp, securitatea cibernetică este un element-‍cheie al securității și apărării naționale.

Auditul a evaluat dacă acțiunile UE facilitează în mod eficace detectarea incidentelor de securitate cibernetică semnificative și de mare amploare și răspunsul la acestea. El a acoperit perioada 2022-2025 și a inclus misiuni de audit în Irlanda, Grecia și Italia.