Trage data-uitwisseling verzwakt EU-aanpak van grote cyberattacks
De Europese Unie schiet tekort bij het opsporen van en reageren op grootschalige cyberincidenten. Hoewel de EU uit de begroting voor 2021 tot 2027 zo'n 1,4 miljard euro aan cyberbeveiliging heeft toegewezen via het programma Digitaal Europa, vermindert de beperkte informatie-uitwisseling tussen lidstaten de toegevoegde waarde van het samenwerkingssysteem. Dat concludeert de Europese Rekenkamer in een nieuw kritisch rapport.
Volgens de auditors vormt gebrekkige informatie-uitwisseling de achilleshiel van de Europese cyberverdediging. Nationale veiligheidswetten beperken vaak het delen van gevoelige data, terwijl de formele samenwerking tussen sleutelnetwerken zoals het CSIRT-netwerk en de crisagente EU-CyCLONe nog altijd niet goed is vastgelegd. Hierdoor verliezen Europese netwerken hun waarde op het moment dat snelle en doeltreffende actie vereist is bij een grote cybercrisis.
Dubbel werk en vertraging bij waarschuwingssysteem
Naast de gebrekkige informatievoorziening ziet de Rekenkamer ook sprake van dubbel werk en vertragingen in de infrastructuur. Zo overlappen de werkzaamheden van het in 2022 opgerichte cybersituatiecentrum van de Europese Commissie deels met de monitoringscapaciteiten van het Europese cyberagentschap ENISA.
Bovendien is het geplande Europese waarschuwingssysteem voor cyberbeveiliging nog steeds niet operationeel. Twee belangrijke operationele hubs, ATHENA en ENSOC, hebben flinke vertraging opgelopen door trage aanbestedingsprocedures. Ook ontbreken er nog altijd noodzakelijke samenwerkingsovereenkomsten, een gemeenschappelijk classificatiesysteem en heldere technische normen.
Veiligheidsrisico's bij EU-subsidies
Tot slot uiten de auditors hun zorgen over de controle op organisaties die Europese subsidies ontvangen voor cyberbeveiliging. Begunstigden moeten momenteel zelf beoordelen of de door hen ingeschakelde derde partijen onder invloed staan van landen van buiten de EU. Het Europees kenniscentrum voor cyberbeveiliging controleert deze eigen beoordelingen vervolgens niet. Dit brengt volgens de Europese Rekenkamer directe veiligheidsrisico's met zich mee voor kritieke infrastructuur en gevoelige technologieën binnen de Europese Unie.
Meer over Security
Over Witold Kepinski
