ЕС создал систему раннего предупреждения, чтобы выявлять крупные кибератаки ещё до их распространения. Спустя примерно 20 месяцев аудиторы выяснили, что она до сих пор не запущена в полном объёме.
Брюссель выделил 1,4 млрд евро на защиту Европы от кибератак. Однако аудиторы установили, что при передаче этих средств третьим сторонам никто независимо не проверяет, не достаются ли они организациям, подверженным влиянию недружественных государств.
РЕКЛАМА
РЕКЛАМА
На это указывает доклад (источник на английском языке), опубликованный в понедельник Европейской счетной палатой (ECA), в котором оценивается, насколько эффективно ЕС выявляет и отражает крупные инциденты в сфере кибербезопасности в период с 2022 по 2025 годы.
Получатели грантов сами отвечают за проверку структуры собственности и контроля над любыми третьими сторонами, получающими финансирование ЕС на кибербезопасность. Но Европейский центр компетенций в области кибербезопасности, орган, который курирует эти гранты, по данным аудиторов, не перепроверяет такие оценки.
В результате чувствительная инфраструктура, эксплуатационные данные и критически важные для безопасности технологии могут оказаться под угрозой.
Средства выделены по программе «Цифровая Европа», основному инструменту расходов ЕС на кибербезопасность в рамках бюджета на 2021–2027 годы.
Система оповещения всё ещё буксует
Аудит также показал, что сеть раннего предупреждения о масштабных кибератаках в ЕС до сих пор не введена в полноценную эксплуатацию.
Два узла, которые должны стать опорой Европейской системы кибероповещения, ATHENA и ENSOC, по‑прежнему не располагают необходимыми инструментами для выявления угроз и обмена информацией из‑за повторяющихся задержек закупок.
По словам аудиторов, по‑прежнему отсутствуют соглашения о сотрудничестве, единая система классификации и технические стандарты, необходимые для запуска системы оповещения.
«ЕС продвинулся в создании рамок сотрудничества в области кибербезопасности, но они пока не работают столь эффективно, как должны», — заявил член ЕСП, курирующий аудит, Джордж-Мариус Хизлер.
«Когда происходит серьёзный киберинцидент, жизненно важно иметь своевременную и пригодную к действию информацию. Без неё сети и механизмы теряют значительную часть своей добавленной стоимости».
Обмен информацией как «ахиллесова пята»
Аудиторы назвали недостаточный обмен информацией ключевой слабостью киберзащиты ЕС, охарактеризовав его как «ахиллесову пяту всей системы».
Масштаб проблемы проявился в прошлом сентябре, когда атака вымогателей на Collins Aerospace, крупного поставщика авиационных технологий, вынудила такие аэропорты, как лондонский Хитроу, Брюссель, Берлин-Бранденбург и Дублин, перейти на ручное управление, что привело к массовым задержкам и отменам рейсов.
Согласно правилам самого ЕС, инцидент такого масштаба должен был быть признан значительным или крупномасштабным и вызвать формальное уведомление. Ни одно из затронутых государств этого не сделало.
Это не единичный случай. Ни одно государство-член с 2016 года не классифицировало ни один инцидент в области кибербезопасности как «крупномасштабный» — даже эпидемии вредоносных программ WannaCry и NotPetya или глобальный сбой ИТ-систем, вызванный неисправным обновлением CrowdStrike в 2024 году.
В результате процедура ЕС по эскалации кризиса при крупных кибератаках ни разу не была задействована в полном объёме.
В 2025 году государства-члены формально сообщили лишь о 14 трансграничных инцидентах, причём уведомления поступили всего из семи стран, тогда как ENISA годом ранее зафиксировала отдельно 322 инцидента, затронувших как минимум два государства-члена.
Пробелы в системе
Принятая в 2025 году «Кибердорожная карта» (Cyber Blueprint) в целом проясняет роли и зоны ответственности во время крупных кризисов в области кибербезопасности.
Однако, как говорится в отчёте, до сих пор формально не определено, как должны взаимодействовать две ключевые киберсети ЕС. Это затрудняет координацию между сетью CSIRTs, объединяющей национальные команды реагирования на инциденты, и EU-CyCLONe, сетью кризисного сотрудничества на уровне ЕС.
Все, кроме двух, государств-членов пропустили срок транспонирования обновлённых правил ЕС по кибербезопасности, включая директиву NIS 2.
По словам аудиторов, совокупность этих пробелов означает, что сетям ЕС будет трудно своевременно выявлять угрозы и организовывать эффективный совместный ответ.
Пересекающиеся полномочия
В отчёте также указано на дублирование функций между структурами ЕС, отвечающими за мониторинг киберугроз.
Созданный в 2022 году и во многом опирающийся на внешних подрядчиков центр ситуационного анализа киберугроз Еврокомиссии, как выяснилось, занимается работой, пересекающейся с деятельностью агентства ЕС по кибербезопасности ENISA, которое уже отслеживает угрозы и формирует общую картину ситуации в союзе.
Среди рекомендаций аудиторов — наладить обмен информацией между сетями ЕС, чётко прописать взаимодействие органов с пересекающимися полномочиями, встроить систему оповещения в более широкий ландшафт кибербезопасности через понятные соглашения о сотрудничестве и стандарты совместимости, а также усилить проверки получателей финансирования с точки зрения безопасности.
Основная ответственность за реагирование на киберинциденты лежит на отдельных государствах-членах, однако ЕС играет важную роль, когда происшествия вызывают серьёзные перебои, значительные финансовые потери или одновременно затрагивают несколько стран, выходя за рамки возможностей одного государства.
Система оповещения была создана в феврале 2025 года в рамках акта о киберсолидарности ЕС (EU Cyber Solidarity Act) как единая сеть для мониторинга в реальном времени, раннего выявления угроз и обмена разведданными о крупномасштабных кибератаках против Европы.
В начале этого года Еврокомиссия представила новый пакет инициатив в сфере кибербезопасности, предусматривающий пересмотр акта о кибербезопасности, включая жёсткую, основанную на оценке рисков систему безопасности цепочек поставок, которая должна предотвратить доступ стран с высоким уровнем риска к критической инфраструктуре ЕС.
Пакет также предполагает резкое увеличение бюджета ENISA и пересмотр действующих законов ЕС и национального законодательства, чтобы упростить администрирование и внедрение общеевропейских правил кибербезопасности.
С сентября этого года в соответствии с актом о киберустойчивости производители аппаратного и программного обеспечения обязаны в течение 24 часов сообщать о любой эксплуатируемой уязвимости или серьёзном инциденте безопасности национальным CSIRTs и через Единую платформу отчётности ENISA, при этом за серьёзные нарушения предусмотрены штрафы до 15 млн евро или 2,5 % мирового оборота.