الاتحاد الأوروبي أنفق مليارات على درع لمواجهة الهجمات السيبرانية دون التحقق من فعاليته

خصصت بروكسل مليارًا وأربعمئة مليون يورو للدفاع عن أوروبا في مواجهة الهجمات الإلكترونية. لكن مدققيها اكتشفوا أنه عندما يُحوَّل هذا التمويل إلى جهات ثالثة، لا يقوم أي طرف مستقل بالتحقق مما إذا كان يمكن أن يصل إلى مؤسسات معرضة لتأثير دول معادية.

اعلان

اعلان

وتأتي هذه التحذيرات في تقرير (المصدر باللغة الإنجليزية) نشر يوم الإثنين من جانب "ديوان المحاسبة الأوروبي" (ECA)، والذي درس مدى قدرة الاتحاد الأوروبي على كشف الحوادث الكبرى في مجال الأمن السيبراني والتعامل معها بين عامي 2022 و2025.

المستفيدون من المنح مسؤولون عن تقييم ملكية وسيطرة أي جهات ثالثة تتلقى تمويلا أوروبيا للأمن السيبراني. غير أن مركز "الكفاءة في الأمن السيبراني" التابع للاتحاد، وهو الهيئة المشرفة على هذه المنح، لا يتحقق بنفسه من تلك التقييمات، وفقا لما خلص إليه المراجعون.

وبالتالي يمكن أن تصبح البنى التحتية الحساسة والبيانات التشغيلية والتقنيات الحيوية للأمن عرضة لمخاطر جسيمة.

ويندرج هذا التمويل ضمن برنامج "أوروبا الرقمية"، وهو القناة الرئيسية لإنفاق الاتحاد الأوروبي على الأمن السيبراني في إطار موازنته للفترة بين عامي 2021 و2027.

نظام إنذار ما زال متأخرا

وخلص التدقيق أيضا إلى أن شبكة الإنذار المبكر الأوروبية الخاصة بالهجمات الإلكترونية الكبرى لم تصبح عملية بعد.

ويفتقر مركزان يفترض أن يشكلا الركيزة الأساسية لنظام التنبيه الأوروبي في مجال الأمن السيبراني، المعروف باسم "ATHENA" و"ENSOC"، إلى الأدوات اللازمة لرصد التهديدات وتبادل المعلومات، بعدما تعرضت عمليات الشراء للتأجيل مرارا.

كما أشارت هيئة التدقيق إلى أن اتفاقات التعاون، ونظام التصنيف الموحد، والمعايير التقنية اللازمة لتشغيل نظام الإنذار لا تزال غائبة.

"حقق الاتحاد الأوروبي تقدما في بناء إطار للتعاون في مجال الأمن السيبراني، لكنه لا يعمل بعد بالفعالية المطلوبة"، على حد قول جورج-ماريوس هيزلر، عضو "ديوان المحاسبة الأوروبي" المسؤول عن هذا التدقيق.

"عندما يقع حادث سيبراني خطير، تصبح المعلومات المتاحة في الوقت المناسب والقابلة للاستخدام أمرا أساسيا. من دونها تفقد الشبكات والآليات جزءا كبيرا من قيمتها المضافة".

تقاسم المعلومات باعتباره "كعب أخيل" للنظام

وحدد المدققون ضعف تقاسم المعلومات باعتباره نقطة الضعف الرئيسة في منظومة الدفاع السيبراني للاتحاد الأوروبي، ووصفوه بأنه "كعب أخيل" للنظام بأكمله.

وكشف حجم المشكلة في سبتمبر الماضي، عندما أدى هجوم بفدية استهدف شركة "Collins Aerospace"، وهي مزود رئيسي لتكنولوجيا الطيران، إلى اضطرار مطارات من بينها لندن هيثرو وبروكسل وبرلين براندنبورغ ودبلن إلى العودة إلى التشغيل اليدوي، ما تسبب في تأخيرات واسعة وإلغاء العديد من الرحلات.

وبموجب قواعد الاتحاد الأوروبي نفسها، كان ينبغي تصنيف حادث بتلك الدرجة من الخطورة على أنه "حادث كبير" أو "واسع النطاق"، ما يستوجب إخطارا رسميا، غير أن أيا من الدول المتضررة لم يبلغ عنه بهذا الشكل.

ولا يعد ذلك حالة معزولة؛ فلم تصنف أي دولة عضو حادثا سيبرانيا واحدا على أنه "واسع النطاق" منذ عام 2016، بما في ذلك هجمات "WannaCry" و"NotPetya" أو الانقطاع العالمي في خدمات تكنولوجيا المعلومات الذي تسبب فيه خلل في تحديث شركة "CrowdStrike" عام 2024.

ونتيجة لذلك، لم يتم تفعيل آلية تصعيد الأزمات الخاصة بالهجمات الإلكترونية الكبرى في الاتحاد الأوروبي ولو مرة واحدة بشكل كامل.

فقد أبلغت الدول الأعضاء رسميا عن 14 حادثا عابرا للحدود فقط في عام 2025، قدمتها سبع دول لا غير، أي جزء يسير من بين 322 حادثا أثّر في دولتين عضوين أو أكثر كانت وكالة الاتحاد الأوروبي للأمن السيبراني "ENISA" قد حددتها بشكل مستقل في العام السابق.

ثغرات في المنظومة

ويشير التقرير إلى أن مخطط "Cyber Blueprint" الذي اعتُمد في عام 2025، حدد إلى حد بعيد الأدوار والمسؤوليات خلال الأزمات الكبرى في مجال الأمن السيبراني.

غير أن طريقة عمل شبكتي الأمن السيبراني الرئيسيتين في الاتحاد الأوروبي معا لم تُعرَّف رسميا بعد، ما أعاق التعاون بين شبكة "CSIRTs" التي تجمع فرق الاستجابة للحوادث على المستوى الوطني، وشبكة "EU-CyCLONe" الخاصة بتنسيق إدارة الأزمات على مستوى الاتحاد.

كما أن جميع الدول الأعضاء تقريبا أخفقت في احترام المهلة القانونية لنقل قواعد الأمن السيبراني المحدثة في تشريعاتها الوطنية، بما فيها توجيه "NIS 2"، إذ التزمت بها دولتان فقط.

وبحسب المدققين، فإن هذه الثغرات مجتمعة تعني أن شبكات الاتحاد الأوروبي قد تواجه صعوبة في كشف التهديدات في وقت مبكر وفي تنظيم رد مشترك فعال.

تداخل في الصلاحيات

وأبرز التقرير أيضا وجود تكرار في المهام بين هيئات الاتحاد الأوروبي المكلفة برصد التهديدات السيبرانية.

فقد تبيّن أن مركز الوضع السيبراني التابع للمفوضية الأوروبية، الذي أنشئ عام 2022 ويعتمد إلى حد كبير على مزودين خارجيين، يقوم بأعمال تتداخل مع مهام وكالة الاتحاد الأوروبي للأمن السيبراني "ENISA"، التي ترصد بالفعل التهديدات وتبني صورة للوضع عبر دول الاتحاد.

وتشمل توصيات المدققين تحسين تبادل المعلومات بين الشبكات الأوروبية، وتوضيح آليات التنسيق بين الهيئات ذات الصلاحيات المتداخلة، ودمج نظام الإنذار في المشهد الأوسع للأمن السيبراني عبر اتفاقات تعاون واضحة ومعايير لضمان قابلية الأنظمة للتشغيل البيني، فضلا عن تشديد إجراءات الفحص الأمني للمستفيدين من التمويل.

وتظل المسؤولية الأساسية عن التعامل مع الحوادث السيبرانية على عاتق الدول الأعضاء منفردة، غير أن للاتحاد الأوروبي دورا مهما عندما تتسبب الهجمات في اضطرابات كبرى أو خسائر مالية كبيرة أو تمس عددا من الدول في الوقت نفسه، بدرجة تتجاوز قدرة أي دولة واحدة على الاستجابة بمفردها.

وقد أُنشئ نظام الإنذار بموجب قانون "Cyber Solidarity Act" الذي اعتمد في فبراير 2025، ليكون شبكة موحدة للتنبيه الفوري ورصد التهديدات مبكرا وتبادل المعلومات الاستخباراتية عبر الحدود بشأن الهجمات السيبرانية واسعة النطاق ضد أوروبا.

وفي وقت سابق من هذا العام، اقترحت المفوضية الأوروبية حزمة تشريعية جديدة للأمن السيبراني من أجل مراجعة قانون "Cybersecurity Act"، تتضمن إطارا صارما لأمن سلاسل التوريد يقوم على تقييم المخاطر بهدف منع دول ثالثة عالية الخطورة من الوصول إلى البنى التحتية الحيوية في الاتحاد.

وتقترح الحزمة أيضا زيادة كبيرة في ميزانية وكالة "ENISA" ومراجعة القوانين الأوروبية والوطنية القائمة لتبسيط إدارة وتنفيذ قواعد الأمن السيبراني المطبقة على مستوى الاتحاد.

وابتداء من سبتمبر الجاري، يلزم قانون "Cyber Resilience Act" مصنعي الأجهزة والبرمجيات بالإبلاغ عن أي ثغرة تم استغلالها أو حادث أمني جسيم خلال 24 ساعة إلى فرق "CSIRTs" الوطنية ومنصة الإبلاغ الموحدة التابعة لـ"ENISA"، مع إمكانية فرض غرامات تصل إلى 15 مليون يورو أو 2,5٪ من حجم المبيعات العالمي في حال المخالفات الخطيرة.