Čo sa stalo. Európsky dvor audítorov (ECA) zverejnil v pondelok správu o tom, ako EÚ deteguje a rieši veľké kybernetické incidenty v rokoch 2022 až 2025. Výsledok: systém, ktorý mal Európu varovať pred šíriacim sa kybernetickým útokom skôr, než napácha škody, stále nie je zapnutý.
Brusel na obranu proti kybernetickým útokom vyčlenil 1,4 miliardy eur. Podľa vlastných audítorov únie však nikto poriadne nekontroluje, či tieto peniaze náhodou nekončia u organizácií vystavených vplyvu nepriateľských štátov.
Dve chýbajúce piliere. Európsky systém kybernetického varovania mal stáť na dvoch centrách — ATHENA a ENSOC. Ani jedno z nich zatiaľ nezačalo fungovať, dôvodom sú meškania vo verejnom obstarávaní. Chýbajú aj dohody o spolupráci, spoločný klasifikačný systém a technické štandardy potrebné na to, aby varovný systém vôbec začal bežať.
„EÚ dosiahla pokrok pri budovaní rámca kybernetickej spolupráce, no ten ešte nefunguje tak efektívne, ako by mal. Keď nastane vážny kybernetický incident, kľúčové sú včasné a použiteľné informácie. Bez nich siete a mechanizmy strácajú väčšinu svojej pridanej hodnoty,“ uviedol člen ECA zodpovedný za audit George-Marius Hyzler.
Kontrola príjemcov grantov chýba. Za overenie vlastníctva a kontroly tretích strán, ktoré dostávajú peniaze z programu Digital Europe na kybernetickú bezpečnosť, sú zodpovední samotní príjemcovia grantov. Európske centrum kompetencií pre kybernetickú bezpečnosť, ktoré má tieto granty dohliadať, si však tieto posúdenia sám neoveruje. Dôsledok je, že citlivá infraštruktúra, prevádzkové dáta či bezpečnostne kritické technológie môžu byť vystavené rizikám bez toho, aby si to niekto všimol.
Achillova päta: zdieľanie informácií. Audítori označili slabé zdieľanie informácií medzi členskými štátmi za „achillovu pätu celého systému“. Kybernetický plán prijatý v roku 2025 síce ujasnil úlohy a zodpovednosti počas veľkých kybernetických kríz, no vzájomná spolupráca dvoch hlavných kybernetických sietí EÚ — siete CSIRT, ktorá spája národné tímy reakcie na incidenty, a krízovej siete EU-CyCLONe — stále nie je formálne definovaná. Niektoré členské štáty navyše ešte len prepisujú aktualizované pravidlá kybernetickej bezpečnosti EÚ (smernicu NIS 2) do národnej legislatívy, pričom národné bezpečnostné zákony v časti krajín obmedzujú, aké informácie sa vôbec smú zdieľať.
Audítori tiež upozornili na prekrývanie kompetencií medzi bruselskými inštitúciami — situačné centrum Európskej komisie pre kybernetickú bezpečnosť, zriadené v roku 2022, robí prácu, ktorá sa čiastočne prekrýva s Agentúrou EÚ pre kybernetickú bezpečnosť (ENISA).
Čo to znamená pre Slovensko. Zodpovednosť za riešenie kybernetických incidentov leží predovšetkým na jednotlivých členských štátoch — teda aj na Slovensku. EÚ má zasiahnuť vtedy, keď incident spôsobí veľké škody, výrazné finančné straty alebo zasiahne viacero krajín naraz, teda presahuje možnosti jedného štátu. Ak celoeurópsky varovný systém nefunguje, slovenské inštitúcie sa pri veľkom cezhraničnom útoku nemôžu spoľahnúť na rýchle a koordinované varovanie z Bruselu. Systém kybernetickej solidarity EÚ vznikol vo februári 2025 práve preto, aby fungoval ako jednotná varovná sieť — audit ukazuje, že táto sieť je zatiaľ len na papieri. Zdroj: Euronews