Premalo izmenjave informacij o kibernetskih nevarnostih

Ukrepi EU pri odkrivanju pomembnih kibernetskih incidentov in kibernetskih incidentov velikih razsežnosti ter pri odzivanju nanje so pomanjkljivi, ugotavlja Evropsko računsko sodišče v svojem najnovejšem poročilu. Kibernetski incidenti lahko povzročijo motnje v podjetjih, javnih storitvah, kritični infrastrukturi in na notranjem trgu EU. Za odzivanje na te incidente so odgovorne predvsem države članice, vendar ima pomembno vlogo tudi EU.

Eksponentna rast spletnih napadov: napadalci prek vaših kamer opazujejo vaš dom

To velja zlasti, kadar taki incidenti povzročijo večje motnje, znatne finančne izgube ali znatno škodo osebam ali organizacijam (pomembni kibernetski incidenti) ali kadar prizadenejo več držav članic in presegajo zmogljivost posamezne države za uspešno odzivanje nanje (kibernetski incidenti velikih razsežnosti), navajajo revizorji.

Zato revizorji EU pozivajo k izboljšanju načina izmenjave informacij, boljšemu usklajevanju zaradi preprečevanja podvajanja dela med različnimi sodelujočimi organi, vzpostavitvi in delovanju evropskega sistema za opozarjanje na področju kibernetske varnosti ter strožjim varnostnim pregledom upravičencev do sredstev EU.

Ahilova peta nezadostna izmenjava informacij

Da bi se EU spoprijela s temi nevarnostmi, vse več vlaga v krepitev kibernetske varnosti. Glavni vir njenega financiranja v okviru proračuna EU za obdobje 2021–2027 je program Digitalna Evropa z 1,4 milijarde evrov dodeljenih sredstev. »EU je dosegla napredek pri vzpostavitvi okvira za sodelovanje na področju kibernetske varnosti, vendar ta še ne deluje tako uspešno, kot bi moral,« je dejal George-Marius Hyzler, član Evropskega računskega sodišča, pristojen za to revizijo.

»V primeru resnega kibernetskega incidenta so nujne pravočasne in uporabne informacije. Brez njih omrežja in mehanizmi izgubijo velik del svoje dodane vrednosti.«

Po mnenju revizorjev je ahilova peta celotnega sistema nezadostna izmenjava informacij. »V kibernetskem načrtu, ki je bil sprejet leta 2025, so vloge in pristojnosti pretežno pojasnjene, saj je določeno, kako naj EU obvladuje večje krize na področju kibernetske varnosti. Vendar način sodelovanja med obema kibernetskima mrežama EU še vedno ni formalno opredeljen.

To ovira sodelovanje med mrežo skupin CSIRT, ki združuje nacionalne skupine za kibernetske incidente, in mrežo EU-CyCLONe, ki je mreža EU za sodelovanje v kibernetskih krizah,« navajajo.

In kot še dodajajo revizorji, poleg tega nekatere države še vedno izvajajo posodobljena pravila EU o kibernetski varnosti (kot je direktiva NIS 2), čeprav je z zakoni o nacionalni varnosti omejeno, katere informacije se lahko izmenjujejo. To pomeni, da imajo mreže EU morda težave pri zgodnjem odkrivanju nevarnosti in usklajevanju uspešnega odziva.

Varnostna tveganja

Revizorji so ugotovili tudi prekrivanje med nekaterimi organi EU, pristojnimi za spremljanje kibernetskih nevarnosti. Center evropske komisije za kibernetske razmere je bil ustanovljen leta 2022 in ga v veliki meri podpirajo zunanji ponudniki. Z delom, ki ga opravljajo zanj, se delno podvaja obstoječa zmogljivost Agencije Evropske unije za kibernetsko varnost (Enisa) za spremljanje nevarnosti in razvoj situacijskega zavedanja.

V času revizije evropski sistem za opozarjanje na področju kibernetske varnosti še ni deloval. Dve vozlišči, ki so ju preučili revizorji, Athena in Ensoc, zaradi zamud pri javnem naročanju še nista začeli delovati. Poleg tega še vedno ni bilo potrebnih sporazumov o sodelovanju, skupnega klasifikacijskega sistema in tehničnih standardov, ki so potrebni za delovanje sistema.

Revizorji so ugotovili tudi slabosti pri načinu preverjanja nekaterih organizacij, ki so prejele sredstva EU za kibernetsko varnost. »Namen teh pregledov je zmanjšati tveganje nepooblaščenega dostopa ali vpliva tretjih držav in preprečiti izmenjavo občutljivih varnostnih informacij z organi teh držav.

Za oceno lastništva in nadzora tretjih oseb, ki prejmejo finančno podporo, so sicer odgovorni upravičenci do nepovratnih sredstev, vendar Evropski kompetenčni center za kibernetsko varnost teh ocen ne preverja. Zato je mogoče, da so občutljiva infrastruktura, operativni podatki in tehnologije, kritične za varnost, izpostavljeni varnostnim tveganjem.«

Kot je še zapisano v poročilu, okolje kibernetske varnosti v EU vključuje številne javne in zasebne subjekte na regionalni in nacionalni ravni ter ravni EU. Kibernetska varnost je tudi eden ključnih elementov nacionalne varnosti in obrambe.

Pri reviziji je Evropsko računsko sodišče ocenilo, ali ukrepi EU uspešno prispevajo k lažjemu odkrivanju pomembnih kibernetskih incidentov in kibernetskih incidentov velikih razsežnosti ter odzivanju nanje. Revizija je zajemala obdobje 2022–2025 in je vključevala revizijske obiske na Irskem, v Grčiji in Italiji.