Summary

  • Treze Estados-membros tinham aderido aos dois primeiros centros transfronteiriços, ATHENA e ENSOC, quando o Tribunal de Contas Europeu examinou o período de 2022 a 2025. Ambos estavam sem operação e o novo Sistema Europeu de Alerta de Cibersegurança ainda não funcionava.
  • A primeira fase das compras abriu em maio de 2024 para ENSOC e julho para ATHENA. Os fornecedores selecionados receberam a notícia em abril de 2025. Parte dos lotes de ENSOC avançou em agosto, mas nenhum lote tinha contrato assinado no corte da auditoria.
  • Mesmo com os equipamentos, o alerta depende de regras de cooperação, classificação comum dos incidentes e padrões de interoperabilidade entre os centros, os CSIRTs nacionais e a EU-CyCLONe. A próxima prova é uma aceitação operacional datada, acompanhada de um teste de envio e confirmação de uma mensagem entre redes.

O clube foi formado antes da central funcionar

O Sistema Europeu de Alerta de Cibersegurança nasceu para unir capacidades de detecção, análise e resposta. A ameaça avistada em um país pode interessar ao vizinho em minutos; um centro transfronteiriço deveria transformar esse avistamento em informação utilizável. Treze Estados-membros optaram pelas duas primeiras plataformas, ATHENA e ENSOC. Adesão demonstra vontade de cooperar. A auditoria perguntou pela capacidade de operar e encontrou as plataformas ainda à espera dos instrumentos essenciais.

Os dois consórcios começaram seus trabalhos em janeiro de 2024. Receberam subsídios para implantação e funcionamento, enquanto as ferramentas avançadas de detecção e compartilhamento dependeriam de uma contratação conjunta. O processo tinha duas fases restritas para limitar a exposição de especificações sensíveis. Esse cuidado protege a segurança. Também cria uma obrigação de governo: concluir as especificações a tempo de permitir que os fornecedores escolhidos apresentem ofertas.

A primeira fase de ENSOC foi aberta em maio de 2024; a de ATHENA, em julho. Interessados tiveram um mês para se candidatar. O aviso de seleção chegou apenas em abril de 2025. Na etapa seguinte, os membros dos centros e o Centro Europeu de Competência em Cibersegurança, ECCC, ainda acertavam os requisitos técnicos. Alguns lotes de ENSOC entraram na segunda fase em agosto de 2025; para ATHENA, ela estava prevista para o começo de 2026. No momento examinado pelo tribunal, nenhum lote havia resultado em contrato assinado.

Os termos dos subsídios foram prorrogados para acomodar quinze meses de atraso em ATHENA e dezoito em ENSOC. Sem instrumentos para detectar ameaças e trocar dados, os centros permaneciam suspensos na prática, e o sistema europeu de alerta não tinha começado a funcionar. Esses meses medem atraso do programa; não são a duração de uma resposta a ataque. Uma data de aceitação das instalações e uma mensagem de teste entregue do outro lado da fronteira mostrariam quando o serviço passou a existir.

Uma palavra diferente pode desviar uma crise

A UE já tinha equipes nacionais de resposta a incidentes, a rede dos CSIRTs e a EU-CyCLONe para a ligação em grandes crises. O Cyber Blueprint de 2025 esclareceu boa parte dos papéis. Continuava indefinido o procedimento pelo qual um CSIRT avisaria a EU-CyCLONe sobre uma possível crise de grande escala. Também faltava uma classificação comum para gravidade e conceitos básicos como ameaça, incidente e impacto. Autoridades nos três países visitados pelos auditores — Irlanda, Grécia e Itália — apontaram essa falha de vocabulário.

ATHENA e ENSOC acrescentariam mais um caminho para compartilhar ameaças, vulnerabilidades e indicadores de comprometimento. Um grupo de confiança pode acelerar a circulação desses sinais. Pode igualmente criar uma segunda fila se ninguém definir a fronteira com os CSIRTs nem quem acusa o recebimento. A auditoria encontrou sobreposição de funções e ausência de procedimentos acordados para cooperação entre os novos centros e as redes existentes. A obrigação de compartilhar sem demora precisa virar campos compatíveis, limiares de escalação e destinatários nomeados.

A segurança nacional impõe limites reais à divulgação. O limite, porém, torna a regra de passagem mais valiosa: o que se pode enviar, a quem, quando e com que confirmação. Um texto legal não acompanha sozinho um alerta às três da manhã. Uma taxonomia compartilhada tampouco pode ser improvisada enquanto dois centros tentam dar nomes diferentes ao mesmo evento.

A página oficial de licitações do ECCC ainda apresenta chamadas para a infraestrutura da plataforma ATHENA e para o local de hospedagem do ENSOC na Espanha, com prazos de participação em setembro de 2026. Ela mostra compras em andamento depois do período examinado pelos auditores. Não traz o registro de aceitação operacional do sistema inteiro. Publicar um edital, assinar um contrato, instalar um equipamento e demonstrar um alerta entre países são quatro atos distintos.

A pergunta de quem está de plantão

O relatório especial saiu em setembro de 2026 e cobriu 2022 a 2025. Nesse intervalo, os CSIRTs, a EU-CyCLONe e prestadores pré-contratados de resposta continuavam a oferecer outras capacidades. O achado é sobre a nova camada prometida pelo sistema de alerta, que ainda não operava na data auditada.

Um responsável por incidentes precisa saber qual rota está viva hoje, quem classifica o sinal, quem o recebe e quem confirma a escalação. O organograma informa nomes e competências. Um exercício observado mostra se a mensagem atravessa a fronteira antes de perder valor. Esse é o documento que interessa quando o alarme, enfim, for declarado pronto.

Fontes: Tribunal de Contas Europeu, Relatório Especial 19/2026; licitações oficiais do ECCC.