欧洲网络安全警报已有13国参与，首批两座枢纽仍未运行

Summary

欧洲审计院审查2022至2025年的建设情况时，13个欧盟成员国已选择参加ATHENA和ENSOC两座首批跨境网络安全枢纽。两座枢纽均未投入运行，新的欧洲网络安全警报系统也尚未发挥作用。
ENSOC和ATHENA的两阶段限制性采购分别于2024年5月和7月启动首阶段；入围供应商直到2025年4月才获通知。ENSOC部分标段于同年8月进入第二阶段，但审计时没有任何标段签约。采购延误使ATHENA资助协议延长15个月，ENSOC延长18个月。
设备之外，还缺少枢纽与各国事件响应团队、EU-CyCLONe之间的合作程序、共同事件分类和互操作标准。下一份真正改变判断的记录，应是两座枢纽带日期的运行验收及一次跨网络警报交接测试。

名单先写好了，工具还在采购

欧洲网络安全警报系统要解决一个现实问题：恶意活动在不同国家的系统间移动，第一处看见迹象的人必须让其他地方及时看懂。欧盟提出由各国和跨境网络安全枢纽组成的自愿网络，集中交换威胁、漏洞和入侵指标。审计时，首批两座跨境枢纽已有13个成员国加入。这个数字说明参与意愿，却不能替值班人员完成一次传输。

ATHENA和ENSOC于2024年1月启动项目工作。它们拿到了用于设立和运营的补助，先进威胁检测工具则须走另一条联合采购路线。限制性两阶段程序可以防止敏感技术细节过早扩散，有明确的安全理由。问题出在采购各方迟迟无法交给入围者一份能报价的技术规格。保密设计保护的是规格；规格本身没有写完，保护就变成了等待。

ENSOC于2024年5月开启首阶段，ATHENA于7月跟进。申请窗口只有一个月，入围通知却到2025年4月才发出。枢纽成员和欧洲网络安全能力中心ECCC当时仍在确定第二阶段所需的技术要求。ENSOC的部分标段直到2025年8月才进入下一阶段；ATHENA当时计划在2026年初进入。审计截点上，所有标段都还没有签订合同。没有这些工具，枢纽既难以形成共同检测能力，也无法作为预定的警报交换节点运行。

后果写在资助协议里：ATHENA因采购延误延长15个月，ENSOC延长18个月。审计院认定两座枢纽在运行层面处于停顿，整个新警报系统尚未起作用。这里的数字是项目延误，不是遭攻击后的响应时间。审计也没有记录某次具体攻击因这段延误而漏报。判断何时翻篇，需要工具验收日期和可复核的跨境警报测试，而不是又一张参加国名单。

两套设备还得说同一种“严重”

买到设备也只是第一步。欧盟已有国家计算机安全事件响应团队及其CSIRTs网络，还有负责大规模网络危机联络的EU-CyCLONe。2025年的网络危机蓝图梳理了许多职责，但CSIRTs何时把事件升级给EU-CyCLONe、何种等级算跨国大事、各方如何用同一组词描述威胁，仍缺正式程序。审计人员访问的爱尔兰、希腊和意大利，相关部门都指出共同分类不足。

新枢纽会在既有网络旁再增加一条消息通道。可信的小范围共享可能让预警更快；边界不清也可能让一条信息在两套机构之间来回转发，却没有人确认接收。审计发现枢纽与国家响应团队在威胁与漏洞共享方面职责重叠，而枢纽之间的合作和信息交换程序尚未谈妥。所谓“及时共享”要落地，至少要有字段、级别、接收方和回执。

国家安全限制解释了某些信息不能随意跨境流通。正因为有限制，哪些细节能分享、谁有权看、多久必须确认，就更需要提前谈清。一个法律上的合作义务无法自动生成机器可读的严重程度，也不能在凌晨三点替值班官员决定拨给谁。

ECCC公开招标页仍列着ATHENA平台基础设施和ENSOC西班牙托管场地的采购，参加申请截止日期写在2026年9月。这表明审计取证期之后相关采购仍在推进。招标页没有给出整个系统的运行验收记录。发标、签约、装好工具、把一次警报确实送到邻国，是四种不同的状态；把其中任何一种当成最终交付，都会掩盖后面的空白。