Το Ελεγκτικό Συνέδριο της ΕΕ προειδοποιεί για κενά πληροφόρησης στην κυβερνοασφάλεια

Τα μέτρα της ΕΕ για τον εντοπισμό και την αντιμετώπιση σημαντικών και μεγάλης κλίμακας περιστατικών κυβερνοασφάλειας παρουσιάζουν ελλείψεις, καθώς η περιορισμένη ανταλλαγή πληροφοριών και οι καθυστερήσεις στην υλοποίηση περιορίζουν την αποτελεσματικότητα του πλαισίου συνεργασίας.

Αυτό προκύπτει από την ειδική έκθεση 19/2026 που δημοσίευσε σήμερα το Ευρωπαϊκό Ελεγκτικό Συνέδριο (ΕΕΣ), το οποίο καταλήγει ότι το πλαίσιο σημειώνει πρόοδο αλλά είναι μόνο εν μέρει αποτελεσματικό.

…ανταπόκριση από τις Βρυξέλλες: Γιώργος Συριόπουλος…

Ο έλεγχος κάλυψε την περίοδο από το 2022 έως το 2025 και περιέλαβε αποστολές σε τρία κράτη μέλη, την Ιρλανδία, την Ελλάδα και την Ιταλία. Εξετάστηκαν τα δίκτυα και οι μηχανισμοί της ΕΕ, καθώς και δράσεις που χρηματοδοτούνται από το πρόγραμμα «Ψηφιακή Ευρώπη», το οποίο διαθέτει για την κυβερνοασφάλεια 1,4 δισ. ευρώ, από συνολικό προϋπολογισμό 8,1 δισ. ευρώ για την περίοδο 2021 έως 2027.

Ο Τζορτζ-Μάριους Χίζλερ (Μάλτα), μέλος του ΕΕΣ που ήταν αρμόδιος για τον έλεγχο, δήλωσε πως η ΕΕ έχει σημειώσει πρόοδο στην οικοδόμηση πλαισίου συνεργασίας, το οποίο ωστόσο δεν λειτουργεί ακόμη όσο αποτελεσματικά θα έπρεπε. Όπως ανέφερε, «σε περίπτωση εκδήλωσης σοβαρού κυβερνοπεριστατικού, είναι απαραίτητη η έγκαιρη και αξιοποιήσιμη πληροφόρηση», χωρίς την οποία τα δίκτυα και οι μηχανισμοί χάνουν μεγάλο μέρος της προστιθέμενης αξίας τους.

Περιορισμένη ανταλλαγή πληροφοριών

Κατά το ΕΕΣ, η αχίλλειος πτέρνα του συστήματος είναι η ανεπαρκής ανταλλαγή πληροφοριών. Τα κράτη μέλη είχαν προθεσμία έως τον Οκτώβριο του 2024 για να μεταφέρουν στο εθνικό τους δίκαιο την οδηγία NIS 2, αλλά μόνο δύο την τήρησαν. Όσο διαρκεί η καθυστέρηση, οι οντότητες που εμπίπτουν στην οδηγία δεν δεσμεύονται νομικά να αναφέρουν σχετικά περιστατικά, ενώ, σύμφωνα με εκτίμηση της Επιτροπής, το πεδίο εφαρμογής της καλύπτει περισσότερες από 110.000 οντότητες, έναντι 15.500 της προηγούμενης οδηγίας NIS. Επιπλέον, η εθνική νομοθεσία για την ασφάλεια περιορίζει τις πληροφορίες που μπορούν να ανταλλάσσονται.

Τα στοιχεία που παραθέτει το ΕΕΣ δείχνουν πιθανή υποαναφορά. Το 2025 αναφέρθηκαν μόλις 14 σημαντικά διασυνοριακά περιστατικά από επτά κράτη μέλη, δύο το 2024 και κανένα το 2023. Συγκριτικά, στην έκθεσή του για το τοπίο των απειλών του 2024 ο ENISA είχε εντοπίσει 322 περιστατικά που στόχευαν ειδικά δύο ή περισσότερα κράτη μέλη.

Από το 2016 κανένα κράτος μέλος δεν έχει χαρακτηρίσει περιστατικό ως μεγάλης κλίμακας, ούτε καν περιστατικά με παγκόσμιες διακοπές λειτουργίας, όπως τα WannaCry και NotPetya το 2017 ή η μαζική βλάβη που συνδέθηκε με την CrowdStrike τον Ιούλιο του 2024. Ως εκ τούτου, η διαδικασία κλιμάκωσης του EU-CyCLONe, του ευρωπαϊκού δικτύου για τη συνεργασία στις κρίσεις στον κυβερνοχώρο, δεν έχει ενεργοποιηθεί ποτέ πλήρως.

Ως ενδεικτικό παράδειγμα το ΕΕΣ αναφέρει την επίθεση του Σεπτεμβρίου του 2025 κατά της Collins Aerospace, η οποία προκάλεσε καθυστερήσεις και ματαιώσεις πτήσεων σε μεγάλα ευρωπαϊκά αεροδρόμια, με πιο σοβαρή διατάραξη στο Χίθροου του Λονδίνου, στις Βρυξέλλες, στο Βραδεμβούργο του Βερολίνου και στο Δουβλίνο.

Κανένα κράτος μέλος δεν χειρίστηκε το περιστατικό ως σημαντικό ή ως διασυνοριακό μεγάλης κλίμακας, με αποτέλεσμα να μην υπάρξει επίσημη κοινοποίηση στον ENISA ή στα άλλα κράτη μέλη. Το δίκτυο CSIRT, στο οποίο συμμετέχουν οι εθνικές ομάδες αντιμετώπισης περιστατικών, δεν ενημέρωσε το EU-CyCLONe, το οποίο δεν μπόρεσε έτσι να στηρίξει τον συντονισμό.

Παρότι το σχέδιο στρατηγικής για τον κυβερνοχώρο, που ενέκρινε το Συμβούλιο το 2025, αποσαφηνίζει σε μεγάλο βαθμό τους ρόλους και τις αρμοδιότητες, το ΕΕΣ επισημαίνει ότι το δίκτυο CSIRT και το EU-CyCLONe δεν έχουν ακόμη επισημοποιήσει τους όρους της μεταξύ τους συνεργασίας ούτε τα κριτήρια βάσει των οποίων ένα περιστατικό θα χαρακτηρίζεται δυνητικά μεγάλης κλίμακας.

Λείπει επίσης κοινή ταξινομία, κάτι που ανέφεραν οι αρχές και των τριών κρατών μελών που επισκέφθηκε το κλιμάκιο ελέγχου. Το δίκτυο CSIRT αριθμεί πλέον 42 ομάδες και περισσότερους από 700 συμμετέχοντες, γεγονός που δυσχεραίνει την οικοδόμηση εμπιστοσύνης.

Σύστημα προειδοποίησης που δεν λειτουργεί ακόμη

Κατά τον χρόνο του ελέγχου, το ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια δεν είχε τεθεί σε λειτουργία. Οι δύο διασυνοριακοί κόμβοι που εξετάστηκαν, ο ATHENA και ο ENSOC, δεν είχαν αρχίσει να λειτουργούν λόγω καθυστερήσεων στις διαδικασίες σύναψης συμβάσεων. Οι επιτυχόντες υποψήφιοι της πρώτης φάσης ενημερώθηκαν τον Απρίλιο του 2025, σχεδόν ένα έτος μετά την έναρξη της διαδικασίας, ενώ 18 μήνες μετά την έναρξή της δεν είχε υπογραφεί σύμβαση για καμία από τις παρτίδες.

Για τον λόγο αυτό παρατάθηκε η διάρκεια των επιχορηγήσεων κατά 15 μήνες για τον ATHENA και κατά 18 μήνες για τον ENSOC. Εξακολουθούν επίσης να λείπουν οι αναγκαίες συμφωνίες συνεργασίας, το κοινό σύστημα ταξινόμησης και τα τεχνικά πρότυπα διαλειτουργικότητας.

Χώρες που συμμετέχουν στο ευρωπαϊκό σύστημα προειδοποίησης για την κυβερνοασφάλεια (Γράφημα 5 της ειδικής έκθεσης 19/2026)

Πηγή δεδομένων: Ευρωπαϊκό Ελεγκτικό Συνέδριο. Απόδοση: ERTnews.

Μέσω των δύο κόμβων συμμετέχουν στο σύστημα 13 κράτη μέλη, ενώ ένας τρίτος κόμβος, ο NBCC, έχει λάβει χρηματοδότηση για να συσταθεί εντός του 2026. Το δίκτυο αριθμεί συνολικά 20 χώρες, δηλαδή 18 κράτη μέλη, την Ισλανδία και τη Νορβηγία. Η Ελλάδα συμμετέχει στον κόμβο ATHENA, μαζί με τη Βουλγαρία, το Βέλγιο, την Κύπρο και τη Μάλτα, όπως φαίνεται στον χάρτη του ΕΕΣ.

Στην Ελλάδα, το έργο EL-SOC, που αποσκοπεί στη δημιουργία ενοποιημένου εθνικού κέντρου επιχειρήσεων ασφάλειας και υλοποιείται από τον Ιανουάριο του 2024 έως τον Δεκέμβριο του 2026, παρουσιάζει καθυστερήσεις στην προμήθεια υλισμικού και υπηρεσιών. Ο συντονιστής του έργου τις απέδωσε, μεταξύ άλλων, σε ζητήματα εξασφάλισης εθνικής συγχρηματοδότησης και στην περιορισμένη διαθεσιμότητα προσωπικού στον τομέα των δημόσιων συμβάσεων, όπως καταγράφει το ΕΕΣ.

Ως παράδειγμα έργου με απτά αποτελέσματα για τις μικρές και μεσαίες επιχειρήσεις το ΕΕΣ αναφέρει το ελληνικό έργο GR-SME-SOC, το οποίο υλοποιεί κοινοπραξία πέντε ελληνικών οργανισμών και προβλέπει δωρεάν υπηρεσίες κυβερνοασφάλειας σε 120 επιχειρήσεις για ένα έτος.

Εφεδρεία της ΕΕ και κέντρο κυβερνοκατάστασης

Για την εφεδρεία της ΕΕ στον τομέα της κυβερνοασφάλειας, που θεσπίστηκε με την πράξη για την αλληλεγγύη στον κυβερνοχώρο και διαθέτει προϋπολογισμό 36 εκατ. ευρώ για την περίοδο 2025 έως 2027, το ΕΕΣ κρίνει ότι η χρήση προσυμβεβλημένων παρόχων επιτρέπει την ταχεία ανάπτυξη υπηρεσιών αντιμετώπισης περιστατικών. Επισημαίνει όμως τον κίνδυνο να χρησιμοποιηθεί κυρίως για ετοιμότητα και όχι για απόκριση, όπως δείχνει η εμπειρία της προγενέστερης δράσης του ENISA.

Έως το 2023 το 84% των δαπανών της δράσης, συνολικού ύψους 11,3 εκατ. ευρώ, αφορούσε την ετοιμότητα. Από τα 27 κράτη μέλη που καλύπτονταν, τα 16 επέλεξαν να διαθέτουν δεξαμενή ικανοτήτων για την αντιμετώπιση περιστατικών, αλλά μόνο τέσσερα χρησιμοποίησαν τέτοιες υπηρεσίες, αξιοποιώντας 156 από τις 1 376 διαθέσιμες ανθρωποημέρες, δηλαδή το 11%. Το ΕΕΣ σημειώνει ακόμη ότι ο προϋπολογισμός κατανέμεται ισομερώς μεταξύ των κρατών μελών, χωρίς να λαμβάνονται υπόψη οι ειδικές ανάγκες του καθενός.

Δράση για τη στήριξη της κυβερνοασφάλειας του ENISA μέχρι το 2023 (Γράφημα 4 της ειδικής έκθεσης 19/2026)

Πηγή δεδομένων: Ευρωπαϊκό Ελεγκτικό Συνέδριο, βάσει στοιχείων του ENISA. Απόδοση: ERTnews.

Το ΕΕΣ διαπιστώνει επίσης αλληλεπικαλύψεις ανάμεσα στο κέντρο κυβερνοκατάστασης της Επιτροπής, που δημιουργήθηκε το 2022 και υποστηρίζεται σε μεγάλο βαθμό από εξωτερικούς παρόχους, και στην υφιστάμενη ικανότητα του ENISA για την παρακολούθηση των απειλών. Οι συμβάσεις με τους παρόχους, αξίας σχεδόν 18 εκατ. ευρώ για τέσσερα έτη, λήγουν τον Δεκέμβριο του 2026 και, κατά τον χρόνο του ελέγχου, η Επιτροπή δεν είχε σχέδιο για τη συνέχεια, γεγονός που καθιστά επισφαλή τη λειτουργία του κέντρου μετά το 2026.

Έλεγχοι στους δικαιούχους ενωσιακών πόρων

Αδυναμίες εντόπισε το ΕΕΣ και στους ελέγχους των οργανισμών που λαμβάνουν ενωσιακή χρηματοδότηση για την κυβερνοασφάλεια. Οι έλεγχοι αυτοί αποσκοπούν στον μετριασμό του κινδύνου παρείσφρησης ή επιρροής κρατών εκτός ΕΕ και στην αποτροπή της ανταλλαγής ευαίσθητων πληροφοριών ασφάλειας με αρχές τρίτων χωρών.

Στην περίπτωση της χρηματοδοτικής στήριξης προς τρίτους, η αξιολόγηση του ιδιοκτησιακού καθεστώτος και του ελέγχου ανήκει στους δικαιούχους των έργων, ενώ το Ευρωπαϊκό Κέντρο Αρμοδιότητας για Θέματα Κυβερνοασφάλειας δεν επαληθεύει τις αξιολογήσεις αυτές.

Κατά το ΕΕΣ, ευαίσθητες υποδομές, επιχειρησιακά δεδομένα και κρίσιμες για την ασφάλεια τεχνολογίες θα μπορούσαν έτσι να εκτεθούν σε κινδύνους. Το ΕΕΣ διαπιστώνει, τέλος, ότι σχεδόν κανένα από τα έργα του δείγματος δεν ακολούθησε τις οδηγίες για τον καθορισμό ορόσημων και παραδοτέων και ότι τα δεδομένα επιδόσεων του προγράμματος δεν αντικατοπτρίζουν με ακρίβεια τα αποτελέσματα.

Οι συστάσεις

Το ΕΕΣ διατυπώνει πέντε συστάσεις προς την Επιτροπή, τον ENISA και το Ευρωπαϊκό Κέντρο Αρμοδιότητας, με ημερομηνίες-στόχους από το 2026 έως το 2028.

Ζητά, μεταξύ άλλων, ανάλυση των περιορισμών εθνικής ασφάλειας που εμποδίζουν την ανταλλαγή πληροφοριών, διασφάλιση ότι το ενιαίο σημείο εισόδου για την αναφορά περιστατικών, που προτείνεται στη δέσμη μέτρων Omnibus για τον ψηφιακό τομέα, μπορεί να εντοπίζει διασυνοριακά περιστατικά, και δυνατότητα αναφοράς συμβάντων στον ENISA σε πραγματικό χρόνο έως το 2028.

Επίσης, ζητά εξορθολογισμό των ικανοτήτων επίγνωσης της κατάστασης έως το 2027, ενσωμάτωση του ευρωπαϊκού συστήματος προειδοποίησης στο τοπίο της κυβερνοασφάλειας της ΕΕ έως το 2028, διεξοδικότερη αξιολόγηση του ιδιοκτησιακού καθεστώτος των δικαιούχων και ισχυρότερο πλαίσιο παρακολούθησης των επιδόσεων.

Οι απαντήσεις της Επιτροπής, του Ευρωπαϊκού Κέντρου Αρμοδιότητας και του ENISA παρατίθενται στον ιστότοπο του ΕΕΣ, όπου είναι διαθέσιμη η έκθεση.