欧州のサイバー警報網に13カ国、最初の２拠点は運用前

Summary

欧州会計検査院が2022～2025年を対象に調べた時、13のEU加盟国がATHENAとENSOCという最初の越境サイバー拠点に参加していた。二つの拠点は運用前で、新たな欧州サイバーセキュリティ警報システムも機能していなかった。
二段階の制限付き調達の第一段階はENSOCが2024年５月、ATHENAが同年７月に始まった。候補企業への選定通知は2025年４月。ENSOCの一部案件は同年８月に第二段階へ進んだが、監査時に契約済みの案件はなかった。
装置の調達に加え、各国のCSIRTとEU-CyCLONeへ情報を渡す協定、共通の事象分類、相互運用の基準が必要になる。次に確認すべき証拠は、各拠点の運用受け入れ日と、国境を越えて警報が届いた試験記録だ。

参加届は警報を送らない

欧州会計検査院の特別報告書が扱う構想は実務的だ。一国が見つけた侵害の兆候を、被害が広がる前に他国が利用できる形で伝える。欧州サイバーセキュリティ警報システムは、国別・越境の拠点をつなぎ、脅威の発見、分析、対応を速めるためにつくられた。監査時には13加盟国が最初の二拠点に名を連ねていた。それでも、当直の担当者が使える共通の警報経路は完成していなかった。

ATHENAとENSOCは2024年１月に事業を始めた。これは補助金を受けた共同事業の開始であって、運用開始日ではない。拠点の設立・運営費と、先進的な検知・共有装置の共同調達は別の流れだった。機密性の高い仕様を応募者全員に渡さない制限付き二段階方式には理由がある。ただ、その仕様を最終決定できなければ、選ばれた企業にも入札を求められない。

ENSOCの第一段階は2024年５月に、ATHENAは７月に始まった。企業の応募期間は一カ月。選定結果が届いたのは2025年４月だった。次の段階に必要な技術仕様を、拠点の加盟者と欧州サイバーセキュリティ能力センター、ECCCがなお詰めていた。ENSOCの一部案件が第二段階に進んだのは2025年８月で、ATHENAは当時2026年初めを予定していた。監査の時点で、どの案件にも締結済み契約はなかった。

補助金契約の延長は遅れを数字にした。ATHENAは15カ月、ENSOCは18カ月の調達遅延を反映した。検査院は、二つの越境拠点が運用上停止状態にあり、新しい警報システムも機能していないと記した。この月数は事業の遅れであり、特定の攻撃への対応時間ではない。後に状態が変わったかを知るには、機器の受け入れ日と、実際に警報を送受信した試験記録が要る。

機器が届いても、言葉が通じなければ遅い

欧州には既に各国のコンピューターセキュリティ事象対応チーム、そのCSIRTsネットワーク、大規模な危機を結ぶEU-CyCLONeがある。2025年のCyber Blueprintは多くの責任分担を整理した。しかしCSIRTsからEU-CyCLONeへ何をいつ上げるか、どの深刻度を使うか、同じ「事象」をどう表現するかという手続きは正式に定まっていなかった。検査院が訪問したアイルランド、ギリシャ、イタリアの当局はいずれも共通分類の欠落に言及した。

新拠点は脅威、脆弱性、侵害の兆候を共有する別の経路を加える。信頼できる小さな輪の中で情報を速く動かせる半面、既存のCSIRTと役割が重なれば、誰が受信を確認するかが曖昧になる。検査院は、拠点とCSIRTの情報共有業務の境界が不明瞭で、拠点同士の協力・交換手順も合意されていないと指摘した。法律が「遅滞なく共有せよ」と求めても、通信項目や受け手の責任は自動では生まれない。

国家安全保障上、全ての情報を国外に渡せるわけではない。その制限は現実だ。だからこそ、何を隠し、何を共有し、どの深刻度なら誰が受け取るかを事前に決める必要がある。真夜中の担当者が各機関の権限解釈を電話で確認している間にも、攻撃者は別のネットワークに移る。

ECCCの公式入札ページには、ATHENAのプラットフォーム基盤とENSOCのスペイン側ホスティング基盤の案件が残り、参加申請期限は2026年９月と示されている。これは監査対象期間後も調達が動いていた証拠だが、警報システム全体の運用合格証ではない。公募、落札、設置、越境送信の成功は、それぞれ違う日付を持つはずだ。