Κυβερνοασφάλεια στην ΕΕ: Σημαντικά κενά στην ανταλλαγή πληροφοριών - Μόλις 14 διασυνοριακά περιστατικά δηλώθηκαν το 2025

«Τρύπα» στην ευρωπαϊκή ασπίδα απέναντι στις κυβερνοεπιθέσεις αποτελούν τα σημαντικά κενά που εντοπίζονται στην ανταλλαγή πληροφοριών μεταξύ των κρατών μελών καθώς όπως σημειώνει σε ειδική έκθεσή του το Ευρωπαϊκό Ελεγκτικό Συνέδριο, παρά τη δημιουργία μηχανισμών συνεργασίας και τη χρηματοδότηση δράσεων κυβερνοασφάλειας, η εικόνα που έχουν οι ευρωπαϊκές αρχές ακόμα και για σοβαρά περιστατικά παραμένει αποσπασματική.

Χαρακτηριστικό της κατάστασης είναι ότι μόλις 14 σημαντικά διασυνοριακά περιστατικά δηλώθηκαν το 2025, τη στιγμή που Οργανισμός της ΕΕ για την Κυβερνοσφάλεια (ENISA) είχε καταγράψει από ανοιχτές πηγές εκατοντάδες περιστατικά που επηρέαζαν περισσότερες από μία χώρες. Επιπλέον εδώ και δέκα χρόνια, από το 2016 κανένα κράτος μέλος δεν έχει χαρακτηρίσει περιστατικό ως «μεγάλης κλίμακας».

Η έκθεση του Ελεγκτικού Συνεδρίου, που αφορά την περίοδο 2022 - 2025 και περιλάμβανε, μεταξύ άλλων, επισκέψεις στην Ελλάδα, την Ιρλανδία και την Ιταλία, καταλήγει ότι οι δράσεις της ΕΕ διευκολύνουν μόνο εν μέρει τον εντοπισμό και την αντιμετώπιση σημαντικών και μεγάλης κλίμακας περιστατικών κυβερνοασφάλειας με την πληροφόρηση να «σκοντάφτει» συχνά σε ευαίσθητες και διαβαθμισμένες πληροφορίες.

Το βασικό πρόβλημα που διαπίστωσαν οι ελεγκτές είναι η περιορισμένη ανταλλαγή πληροφοριών καθώς βάσει των στοιχείων που αναφέρουν το 2025 τα κράτη μέλη δήλωσαν μόλις 14 σημαντικά διασυνοριακά περιστατικά, τα οποία προήλθαν από επτά κράτη, το 2024 είχαν δηλωθεί δύο, ενώ το 2023 κανένα.

Συνολικά, το 2024 τα κράτη μέλη ανέφεραν στον ENISA 1.276 περιστατικά, ενώ για την περίοδο Ιουνίου 2024 - Ιουνίου 2025 ο οργανισμός εντόπισε περίπου 4.800 περιστατικά μέσω πληροφοριών ανοικτής πηγής.

Χαρακτηριστικό παράδειγμα της υπο-αναφοράς αποτελεί η κυβερνοεπίθεση που έγινε τον Σεπτέμβριο του 2025 στην Collins Aerospace, εταιρεία τεχνολογίας στον τομέα των αερομεταφορών και προκάλεσε προβλήματα στο λογισμικό επεξεργασίας επιβατών επηρεάζοντας μεγάλα ευρωπαϊκά αεροδρόμια.

Το Heathrow, οι Βρυξέλλες, το Brandenburg του Βερολίνου και το Δουβλίνο αναγκάστηκαν να καταφύγουν σε μη αυτοματοποιημένες διαδικασίες, προκαλώντας καθυστερήσεις και ακυρώσεις πτήσεων. Ωστόσο παρά τον διασυνοριακό αντίκτυπο, κανένα από τα επηρεαζόμενα κράτη μέλη δεν χειρίστηκε επισήμως το περιστατικό ως σημαντικό ή μεγάλης κλίμακας. Ως εκ τούτου δεν υπήρξε επίσημη κοινοποίηση στον ENISA ή στα υπόλοιπα κράτη μέλη, ενώ το δίκτυο CSIRT δεν ενημέρωσε το EU-CyCLONe.

Η μη εφαρμογή της οδηγίας NIS 2 είναι κατά τους Ευρωπαίους ελεγκτές μια από τις βασικές αιτίες του προβλήματος. Τα κράτη μέλη είχαν προθεσμία έως τον Οκτώβριο του 2024 για να μεταφέρουν την οδηγία στο εθνικό τους δίκαιο, αλλά σύμφωνα με τον έλεγχο, μόνο δύο τήρησαν την προθεσμία.

Η NIS 2 διευρύνει σημαντικά τον αριθμό των οργανισμών που υπόκεινται σε υποχρεώσεις κυβερνοασφάλειας και αναφοράς περιστατικών. Η Ευρωπαϊκή Επιτροπή είχε εκτιμήσει ότι από περίπου 15.500 οντότητες που καλύπτονταν από την προηγούμενη οδηγία NIS, το νέο πλαίσιο θα κάλυπτε περισσότερες από 110.000. Όσο όμως καθυστερεί η εφαρμογή της οδηγίας σε εθνικό επίπεδο, οργανισμοί που θα έπρεπε να έχουν υποχρέωση αναφοράς δεν δεσμεύονται από το αντίστοιχο εθνικό νομικό πλαίσιο.

Την ίδια στιγμή η Ευρώπη φαίνεται πως διαθέτει πολλούς μηχανισμούς για την αντιμετώπιση κυβερνοπεριστατικών, αλλά χωρίς πλήρη συντονισμό μεταξύ τους. Συγκεκριμένα, το δίκτυο CSIRT αποτελεί το τεχνικό επίπεδο συνεργασίας των εθνικών ομάδων αντιμετώπισης περιστατικών. Το EU-CyCLONe λειτουργεί ως σύνδεσμος ανάμεσα στο τεχνικό και το επιχειρησιακό/πολιτικό επίπεδο κατά τη διαχείριση μεγάλων κυβερνοκρίσεων.

Ωστόσο παρά την πρόοδο, το Ελεγκτικό Συνέδριο διαπίστωσε ότι οι διαδικασίες συνεργασίας μεταξύ CSIRT και EU-CyCLONe δεν έχουν ακόμη τυποποιηθεί πλήρως. Επιπλέον δεν υπάρχει κοινή ταξινομία για βασικούς όρους και επίπεδα σοβαρότητας με αποτέλεσμα να δημιουργείται περιθώριο διαφορετικών ερμηνειών ως προς το πότε ένα περιστατικό είναι «σημαντικό» ή «μεγάλης κλίμακας».

Παράλληλα, το 2022 η Ευρωπαϊκή Επιτροπή δημιούργησε κέντρο κυβερνοκατάστασης, με στόχο να βελτιώσει την εικόνα της για τις κυβερνοαπειλές και να στηρίζει τη διαχείριση κρίσεων. Η λειτουργία του βασίζεται σε σημαντικό βαθμό σε εξωτερικούς παρόχους με τις σχετικές συμβάσεις να ανέρχονται σε σχεδόν 18 εκατ. ευρώ για τέσσερα χρόνια.

Οι ελεγκτές διαπίστωσαν ότι μέρος της δουλειάς των εξωτερικών παρόχων επικαλύπτεται με δυνατότητες που ήδη διαθέτει ο ENISA. Η σύμβαση λήγει τον Δεκέμβριο του 2026 και, κατά τον χρόνο του ελέγχου, δεν υπήρχε ολοκληρωμένο σχέδιο για τη μελλοντική λειτουργία του κέντρου.

Οι συστάσεις του Ελεγκτικού Συνεδρίου

Το Ελεγκτικό Συνέδριο ζητά από την Επιτροπή και τους αρμόδιους ευρωπαϊκούς φορείς να προχωρήσουν σε συγκεκριμένες αλλαγές.

Μεταξύ άλλων προτείνει:

• ενίσχυση της ανταλλαγής πληροφοριών μεταξύ των κρατών μελών,

• δυνατότητα αναφοράς περιστατικών στον ENISA σε πραγματικό χρόνο,

• καλύτερο συντονισμό μεταξύ Επιτροπής και ENISA,

• κοινά πρότυπα διαλειτουργικότητας για τα ευρωπαϊκά δίκτυα,

• αυστηρότερους ελέγχους για τις οντότητες που λαμβάνουν χρηματοδότηση,

• αξιόπιστο σύστημα μέτρησης και επαλήθευσης των αποτελεσμάτων των έργων.

Οι προθεσμίες που θέτει το Ελεγκτικό Συνέδριο για τις περισσότερες από τις συστάσεις εκτείνονται έως το 2027 και το 2028.

Διαβάστε ακόμη

«Μικρά, ανθισμένα νησιά»: Η πόλη που μετατρέπει τα παρτέρια των δρόμων σε μικρούς βιότοπους

Τις γαλάζιες «αρρυθμίες» θέλει να ρυθμίσει η κυβέρνηση: Οι τοποθετήσεις που άναψαν φωτιά και η επιχείρηση... ήρεμα νερά

Έκρηξη στην Πλάκα: Ανασύρθηκε νεκρή γυναίκα από τα συντρίμμια - Μεγαλώνει η αγωνία για τους πέντε αγνοούμενους

Πυροβολισμοί στον Άγιο Παντελεήμονα: Τραυμάτισαν 10χρονο κορίτσι - Κάλυκες και σπασμένα τζάμια