Curtea de Conturi Europeană a publicat un raport care semnalează existența unor fisuri majore în sistemul de apărare cibernetică al Uniunii Europene. Deși UE a investit în rețele și mecanisme de protecție, experții constată că sistemul funcționează doar parțial din cauza circulației dificile a informațiilor critice între statele membre. Raportul evidențiază faptul că atacurile cibernetice sunt subraportate, iar sistemul de alertă european nu este încă operațional, ceea ce poate întârzia detectarea unor amenințări grave.
O problemă centrală identificată de auditori este discrepanța dintre numărul de incidente raportate oficial și realitatea de pe teren. În 2024, statele membre au raportat către ENISA un total de 1.276 de incidente, însă, prin analiza surselor deschise, ENISA a identificat aproximativ 4.800 de atacuri. Această diferență semnificativă indică o subraportare masivă. Mai mult, incidentele transfrontaliere sunt tratate inadecvat; în 2025 au fost raportate doar 14 astfel de cazuri de către șapte state, deși raportul ENISA din 2024 identifica 322 de incidente care vizau două sau mai multe țări.
Lipsa unui limbaj comun și a unor proceduri de escaladare clare afectează răspunsul coordonat al Europei. Auditorii menționează că nicio entitate nu a clasificat oficial niciodată un atac drept „incident de mare amploare”, nici măcar evenimente precum WannaCry sau pana provocată de CrowdStrike în iulie 2024. Din acest motiv, procedura de coordonare prin EU-CyCLONe nu a fost niciodată activată integral. Un exemplu relevant este atacul ransomware asupra Collins Aerospace din septembrie 2025, care a afectat aeroporturi precum Heathrow sau Berlin Brandenburg, dar nu a fost tratat oficial ca incident transfrontalier.
Implementarea directivei NIS 2 este un alt punct critic, având un impact major asupra rezilienței europene. Această directă ar trebui să extindă numărul de entități obligate să raporteze incidente de la 15.500 la peste 110.000 de organizații. Totuși, termenul limită de transpunere în legislația națională a fost octombrie 2024, iar până acum doar două state membre au respectat această dată. Această întârziere lasă numeroase entități fără obligația juridică de a comunica atacurile, în timp ce datele agregate ajung la ENISA prea târziu pentru a opri atacurile în desfășurare.
Monitorizarea fondurilor europene alocate securității cibernetice prezintă, de asemenea, deficiențe grave. Din bugetul de 8,1 miliarde de euro pentru perioada 2021-2027, utilizarea celor 1,4 miliarde de euro alocate programului „Europa digitală” este marcată de rezultate nesatisfăcătoare. Din cele 11 proiecte analizate de ECA, trei au primit evaluări nesatisfăcătoare, iar patru au înregistrat întârzieri considerabile. Auditorii au observat că indicatorii de performanță folosiți sunt adesea imposibil de măsurat, iar unele proiecte au furnizat informații inexacte privind rezultatele efectiv obținute.
Securitatea cibernetică a Uniunii Europene este influențată și de reglementările naționale care pot restricționa accesul la date. Atunci când un stat consideră că informațiile despre un atac asupra unei infrastructuri critice sunt clasificate, acesta nu este obligat să le transmită partenerilor europeni. Această lipsă de transparență, combinată cu absența unei platforme de colectare a datelor în timp real, fragmentează capacitatea de apărare a întregului continent în fața agresorilor care lovesc simultan mai multe țări.
