Az EU létrehozott egy korai előrejelző rendszert, hogy a következő nagy kibertámadást még terjedése előtt észlelje. Tizennyolc hónappal később az ellenőrök megállapították, hogy a rendszert máig nem kapcsolták be.
Brüsszel 1,4 milliárd eurót különített el Európa kibertámadások elleni védelmére. Az uniós intézmény saját ellenőrei szerint ugyanakkor senki sem vizsgálja kellő alapossággal, hogy a pénz nem jut-e el olyan szervezetekhez, amelyek ellenséges államok befolyásának lehetnek kitéve.
HIRDETÉS
HIRDETÉS
A figyelmeztetés az Európai Számvevőszék (ECA) hétfőn közzétett jelentéséből (forrás: angol) származik, amely azt vizsgálta, mennyire hatékonyan észleli és kezeli az EU a nagyobb kiberbiztonsági incidenseket 2022 és 2025 között.
A támogatások kedvezményezettjei felelősek annak felméréséért, hogy az EU-s kiberbiztonsági forrásokhoz jutó bármely harmadik fél tulajdonlása és ellenőrzése milyen hátteret mutat. A támogatásokat felügyelő Európai Kiberbiztonsági Kompetenciaközpont azonban ezeket az értékeléseket maga nem ellenőrzi – állapították meg a számvevők.
Ennek következtében érzékeny infrastruktúrák, működési adatok és biztonságkritikus technológiák válhatnak sebezhetővé.
A finanszírozás a Digitális Európa program keretébe tartozik, amely a 2021–2027-es uniós költségvetésben a kiberbiztonsági kiadások fő csatornája.
Még mindig nem működő riasztórendszer
Az ellenőrzés azt is feltárta, hogy az EU súlyos kibertámadásokra szolgáló korai előrejelző hálózata még nem üzemel.
A rendszer két központi eleme, az ATHENA és az ENSOC, beszerzési késedelmek miatt még nem kezdte meg a munkáját.
Hiányoztak továbbá azok az együttműködési megállapodások, a közös osztályozási rendszer és a technikai szabványok is, amelyek nélkül a riasztórendszer nem indítható el – közölték a számvevők.
„Az EU előrelépést ért el a kiberbiztonsági együttműködési keretrendszer kiépítésében, de az még nem működik olyan hatékonyan, ahogyan kellene” – mondta George-Marius Hyzler, az ellenőrzésért felelős ECA-tag.
„Egy súlyos kibertámadás esetén létfontosságú a gyorsan felhasználható, érdemi információ. Enélkül a hálózatok és mechanizmusok jelentős részben elveszítik hozzáadott értéküket.”
Az információmegosztás mint „Achilles-sarok”
A számvevők a gyenge információmegosztást az EU kiberbiztonsági védelmének fő gyenge pontjaként azonosították, és „az egész rendszer Achilles-sarkának” nevezték.
A 2025-ben elfogadott Cyber Blueprint nagyrészt tisztázza a szerepeket és felelősségeket egy nagyobb kiberbiztonsági válság idején.
A jelentés szerint azonban továbbra sincs formálisan rögzítve, hogy az EU két fő kiberhálózata miként működik együtt. Ez megnehezíti az együttműködést a nemzeti incidenskezelő csapatokat tömörítő CSIRTs-hálózat és az uniós válságegyeztető hálózat, az EU-CyCLONe között.
Egyes tagállamok még mindig csak átültetik az uniós, frissített kiberbiztonsági szabályokat, köztük a NIS 2 irányelvet, miközben néhány ország nemzetbiztonsági jogszabályai korlátozzák, hogy egyáltalán milyen információkat lehet megosztani.
A számvevők szerint ezek a hiányosságok együtt azt eredményezik, hogy az uniós hálózatok nehezen észlelik időben a fenyegetéseket, és nehezebben tudnak összehangolt, hatékony választ adni.
Átfedő hatáskörök
A jelentés azokra az átfedésekre is rámutatott, amelyek az uniós kiberfenyegetések monitorozásával megbízott szervezetek között fennállnak.
A 2022-ben létrehozott, és nagyrészt külső szolgáltatókra támaszkodó Európai Bizottság kiberhelyzet-központjának tevékenysége részben átfedi az Európai Unió Kiberbiztonsági Ügynöksége (ENISA) feladatait, amely már most is figyeli a fenyegetéseket és helyzetképet alakít ki az egész unióban.
A számvevők javaslatai között szerepel az információmegosztás javítása az uniós hálózatok között, az átfedő hatáskörű szervezetek együttműködési módjának egyértelművé tétele, a riasztórendszer bevezetésének felgyorsítása, valamint a támogatási források címzettjeinek szigorúbb biztonsági átvilágítása.
A kiberbiztonsági incidensekre adott válaszok elsődleges felelőssége az egyes tagállamokat terheli, de az EU is fontos szerepet játszik, ha az események súlyos zavarokat okoznak, jelentős pénzügyi veszteséggel járnak, vagy egyszerre több országot érintenek, az egyes államok képességeit meghaladó mértékben.
A riasztórendszert az EU Kiber-szolidaritási jogszabálya hozta létre 2025 februárjában, hogy egységes hálózatként szolgáljon az Európa ellen irányuló nagyszabású kibertámadások valós idejű nyomon követésére, korai felismerésére és a határokon átnyúló hírszerzési információk megosztására.
Az Európai Bizottság az év elején új kiberbiztonsági csomagot terjesztett elő a Cybersecurity Act felülvizsgálatára. Ennek része egy szigorú, kockázatalapú ellátásilánc-biztonsági keret, amely megakadályozná, hogy magas kockázatúnak minősített harmadik országok hozzáférjenek kritikus uniós infrastruktúrákhoz.
A csomag jelentős mértékben növelné az ENISA költségvetését, és módosítaná a meglévő uniós és nemzeti jogszabályokat, hogy egyszerűbbé váljon az egész Unióra kiterjedő kiberbiztonsági szabályok végrehajtása és adminisztrációja.
Az idei szeptembertől a Cyber Resilience Act értelmében a hardver- és szoftvergyártóknak 24 órán belül jelenteniük kell minden kihasznált sebezhetőséget vagy súlyos biztonsági incidenst a nemzeti CSIRTs csapatoknak és az ENISA Egységes Bejelentési Platformjának. A komoly jogsértésekért akár 15 millió eurós vagy a globális árbevétel 2,5 százalékát elérő bírság is kiszabható.