Summary

  • На момент аудита за 2022–2025 годы 13 стран ЕС присоединились к двум первым трансграничным киберцентрам ATHENA и ENSOC. Оба оставались неработающими; новая Европейская система кибероповещения ещё не действовала.
  • Первый этап закрытых двухступенчатых закупок стартовал для ENSOC в мае 2024 года, для ATHENA — в июле. Отобранных поставщиков известили только в апреле 2025-го. Часть лотов ENSOC перешла ко второму этапу в августе, но на проверенную дату ни по одному лоту не был подписан контракт.
  • Помимо техники, центрам нужны соглашения о взаимодействии, общая классификация инцидентов и совместимые форматы обмена с национальными группами CSIRT и EU-CyCLONe. Следующее доказательство готовности — датированный акт ввода каждого центра и проверка доставки предупреждения между сетями.

Тринадцать подписей, ни одного работающего узла

Европейская система кибероповещения должна превращать сигнал, замеченный в одной стране, в своевременное предупреждение для других. Для этого ЕС создаёт добровольную сеть национальных и трансграничных центров обнаружения и обмена. К первым двум присоединились 13 государств-членов. Политическое согласие поместилось в одну строку отчёта. Практический вопрос длиннее: кто увидит тревожный индикатор, кому его пошлёт и как узнает, что сообщение не осталось в чужой очереди?

Проекты ATHENA и ENSOC начали работу в январе 2024 года. Гранты покрывали создание и деятельность центров. Современные средства обнаружения и обмена должны были появиться через отдельную совместную закупку. Ограниченная двухступенчатая процедура защищает чувствительные технические требования: подробности открываются только прошедшим предварительный отбор. Такая защита разумна. Она не заменяет завершённого технического задания, без которого отобранные компании не могут подать предложения.

ENSOC открыл первую ступень в мае 2024 года, ATHENA — в июле. Претендентам дали месяц на заявки. Результат отбора им сообщили лишь в апреле 2025-го. Участники центров и Европейский центр компетенций по кибербезопасности, ECCC, продолжали согласовывать требования для следующего этапа. Некоторые лоты ENSOC достигли его в августе 2025 года; начало второго этапа ATHENA тогда намечали на начало 2026-го. На дату, зафиксированную аудиторами, подписанных контрактов по лотам не было.

Задержку внесли и в грантовые соглашения: срок ATHENA продлили с учётом 15 месяцев, ENSOC — 18 месяцев отставания закупок. Счётная палата признала два центра остановленными в операционном смысле, а новую систему оповещения — ещё не работающей. Эти месяцы описывают ход проекта, а не длительность реакции на конкретную атаку. Чтобы установить, когда положение изменилось, нужны дата приёмки оснащения и протокол пробного предупреждения, дошедшего до адресата.

Словарь инцидентов — тоже часть инфраструктуры

В Европе уже действовали национальные группы реагирования, их сеть CSIRTs и EU-CyCLONe для связи во время крупных киберкризисов. Cyber Blueprint 2025 года прояснил многие роли. Формальная процедура между CSIRTs и EU-CyCLONe оставалась открытой: какое наблюдение требует эскалации, что означает «крупный» инцидент, какие поля позволяют двум системам распознать одно событие одинаково? Власти Ирландии, Греции и Италии указали аудиторам на отсутствие общей классификации.

Новые центры добавят канал для сведений об угрозах, уязвимостях и признаках компрометации. В доверенном кругу он способен ускорить обмен. При неясном разграничении с CSIRT он способен создать ещё одну точку, где каждый считает, что предупреждение принял сосед. Аудиторы обнаружили пересечение функций центров с национальными группами и отсутствие согласованных процедур обмена. Законодательное требование делиться информацией без неоправданной задержки не создаёт автоматически получателя, порог срочности и квитанцию о доставке.

Ограничения национальной безопасности действительно мешают передавать за рубеж некоторые подробности. Поэтому правила надо формулировать точнее: какие данные можно передать, кому, в каком формате и кто отвечает за подтверждение. В разгар инцидента поздно выяснять по телефону, одинаковый ли смысл два ведомства вкладывают в слово «значительный».

На официальной странице закупок ECCC по-прежнему перечислены конкурсы на инфраструктуру платформы ATHENA и испанского хостинг-узла ENSOC со сроками подачи заявок в сентябре 2026 года. Страница показывает работу над закупками после проверенного периода. Она не предъявляет общего акта ввода системы. Объявленный конкурс, заключённый договор, установленное оборудование и доставленное через границу предупреждение — четыре разных события.

Что услышит соседняя страна в ночь атаки

Специальный доклад опубликован в сентябре 2026 года и рассматривает 2022–2025 годы. Действующие CSIRTs, EU-CyCLONe и заранее нанятые службы реагирования в тот период выполняли другие функции. Предмет этого дела — дополнительный общеевропейский слой оповещения, который ещё не стал доступной услугой к моменту проверки.

Представим дежурного, который видит серьёзный признак атаки и должен предупредить соседей. Кто определит степень опасности? Кому уйдёт сигнал? Кто подтвердит получение и кто поднимет вопрос на кризисный уровень? Ответом должен стать протокол испытания с датой, отправителем, получателем и временем подтверждения. Организационная схема даёт названия учреждений. Только такой протокол покажет, что тревога прошла путь между ними.

Источники: Европейская счётная палата, специальный доклад 19/2026; официальные закупки ECCC.