EU's cyberskjold på over en milliard euro er aldrig blevet testet ordentligt

Den Europæiske Revisionsret slår alarm: EU har brugt over en milliard euro på cyberforsvar, men ingen har kontrolleret, om det faktisk virker.

EU brugte milliarder — men glemte at tjekke om det virkede

Den Europæiske Revisionsret har offentliggjort en knusende kritik af EU's cybersikkerhedsindsats. Konklusionen er enkel og ubehagelig: EU har investeret over en milliard euro i et fælles cyberforsvar, men har aldrig gennemført systematiske tests af, om systemerne rent faktisk kan modstå et angreb.

Det er ikke en teknisk detalje. Det er et grundlæggende kontrolsvigt i en tid, hvor statslige hackere, ransomware-grupper og sabotageangreb mod kritisk infrastruktur er hverdagskost i Europa.

De vigtigste pointer:

EU's cybersikkerhedsagentur ENISA og de tilhørende EU-programmer har modtaget over en milliard euro — uden at pengene er blevet fulgt op af systematisk evaluering af effekt.
Revisionsretten konkluderer, at det ikke er muligt at vurdere, om investeringerne faktisk har gjort Europa mere sikkert.
EU mangler fælles standarder for, hvad "god cybersikkerhed" egentlig er — og dermed mangler man et måleredskab.
Danmark og de øvrige medlemslande er med i det system, og kritikken rammer dermed også dansk sikkerhed.

Baggrund

Cybersikkerhed har stået højt på EU's dagsorden siden mindst 2016, hvor den første NIS-direktiv (direktiv om net- og informationssikkerhed) trådte i kraft. Siden er ambitionerne vokset markant. Med NIS2-direktivet, Cybersecurity Act og oprettelsen af CERT-EU (EU's eget computerberedskabshold) har unionen bygget en stadig mere kompleks sikkerhedsarkitektur.

Centralt i denne arkitektur sidder ENISA — Den Europæiske Unions Agentur for Cybersikkerhed. Agenturet har til opgave at støtte medlemslandene, koordinere beredskab og udvikle certificeringsstandarder for IT-produkter og -tjenester. ENISA fik i 2019 et permanent mandat og flere ressourcer via Cybersecurity Act.

Parallelt hermed har EU investeret i konkrete infrastrukturprojekter, øvelser og kapacitetsopbygning på tværs af medlemslandene. Kommunikationsinfrastruktur, kritiske netværk og offentlige institutioner har alle modtaget midler og opmærksomhed under EU's cyberpolitik.

Revisionsretten — EU's uafhængige revisionsorgan, der kontrollerer om EU's midler bruges lovligt og fornuftigt — har nu kigget nærmere på, om alt dette faktisk virker.

Hvad sker der

Revisionsrettens rapport er en formel revision af EU's cybersikkerhedsindsats. Revisionsretten er ikke et politisk organ og har ikke beføjelse til at tvinge ændringer igennem, men dens rapporter er officielle og politisk tungtvejende — særligt fordi de oftest leder til høringer i Europa-Parlamentet og krav om svar fra Kommissionen.

Kernen i kritikken er, at EU ikke har etableret de nødvendige mekanismer til at måle, om indsatsen virker. Man har brugt pengene. Man har bygget strukturerne. Men man har ikke defineret klare succeskriterier, og man har ikke testet om systemerne kan holde til virkeligheden.

Det svarer lidt til at købe en brandslukningsmaskine, hænge den op på væggen — og aldrig tjekke om slangen er tilsluttet.

Europa-Kommissionens egen evaluering af ENISA og den europæiske certificeringsramme (ECCF) peger i samme retning: Det er svært at måle effekten af ENISA's arbejde, og certificeringsrammen er fortsat undervejs i sin implementering. Evalueringen anerkender, at ENISA har opbygget kompetencer og spiller en vigtig koordinerende rolle, men den er også ærlig om, at det konkrete sikkerhedsudbytte er vanskeligt at dokumentere.

En separat rapport om cybersikkerheden i EU's kommunikationsinfrastruktur — udgivet i samarbejde mellem medlemslandene, Kommissionen og ENISA — viser, at der er store forskelle på, hvor langt de enkelte lande er kommet i at beskytte deres kritiske netværk. Rapporten dokumenterer fremskridt på papiret, men kan ikke dokumentere reel modstandsdygtighed, fordi de fælles teststandarder mangler.

De centrale spørgsmål

Hvad har man egentlig købt for en milliard euro?

Det er det grundlæggende spørgsmål, Revisionsretten stiller — og ikke kan besvare, fordi EU selv ikke har sørget for at dokumentere det. Det handler ikke om, at pengene er forsvundet eller brugt ulovligt. Det handler om, at man ikke ved, om de har købt sikkerhed.

Hvem har ansvaret for at teste systemerne?

EU's cybersikkerhedsarkitektur er bygget på en delt ansvarsmodel: ENISA koordinerer og rådgiver, mens de enkelte medlemslande selv implementerer og forsvarer deres infrastruktur. Det er principielt fornuftigt, men det skaber også et ansvarstomt rum, når ingen har det overordnede ansvar for at verificere, at helheden fungerer.

Er certificeringen værdiløs?

En central del af EU's cyberstrategi er certificering af IT-produkter og -tjenester via ECCF — den europæiske cybersikkerhedscertificeringsramme. Idéen er, at virksomheder og myndigheder kan købe produkter med et EU-mærke og vide, at de lever op til bestemte sikkerhedsstandarder. Men evalueringen af ENISA viser, at certificeringsrammen endnu ikke er fuldt implementeret, og at der er usikkerhed om, hvilke krav der præcist stilles på de forskellige niveauer. Det svækker troværdigheden af hele systemet.

Hvad betyder det for Danmark?

Danmark er fuldt ud med i EU's cybersikkerhedssamarbejde. Danske myndigheder, virksomheder og infrastrukturudbydere er underlagt NIS2-direktivet og er en del af det fælles europæiske beredskab. Hvis det europæiske system ikke er testet og dokumenteret, gælder det for den del, Danmark læner sig op ad. Det er ikke et abstrakt problem — Danmarks kritiske infrastruktur, herunder energiforsyning, sundhedssystemer og digitale offentlige tjenester, er i stigende grad forbundet med europæiske netværk og afhængig af fælles beredskabskapacitet.

Analyse

Revisionsrettens kritik er ikke ny i sin grundform. Det er en klassisk forvaltningskritik: man har bygget et system, men glemt at designe det, så det kan evalueres. Det sker i alle store offentlige institutioner, og EU er ingen undtagelse.

Det særlige ved cybersikkerhedsområdet er, at konsekvenserne af systemfejl er asymmetriske og potentielt katastrofale. En bro der er dårligt vedligeholdt, falder gradvist i forfald — det er synligt. Et cybersikkerhedssystem der aldrig er testet, kan se perfekt ud i årevis og så kollapse på det værst tænkelige tidspunkt: under et koordineret angreb.

Europa har i de seneste år oplevet, hvad det vil sige, når kritisk infrastruktur rammes. Angreb mod ukrainsk elnet, hackerangreb mod hospitaler i Frankrig og Tyskland, og sabotageangreb mod kommunikationskabler i Østersøen har alle vist, at truslen er reel og til tider statssponsoreret. I den kontekst er spørgsmålet om, hvorvidt EU's cyberskjold faktisk virker, ikke akademisk — det er eksistentielt.

Strukturproblemet er politisk, ikke teknisk

Man kan hævde, at ENISA blot mangler ressourcer eller beføjelser. Det er delvist rigtigt. Men den dybere forklaring er politisk: EU-landene er ikke enige om, hvor meget suverænitet de er villige til at afgive på cybersikkerhedsområdet. Cyberforsvar er tæt forbundet med national efterretningsvirksomhed, militær kapacitet og kritisk infrastruktur — alle områder, hvor medlemslandene traditionelt vogter jaloux over deres selvstændighed.

Det betyder, at ENISA har et koordinerende mandat, men ikke et kontrollerende. Agenturet kan anbefale, vejlede og evaluere — men det kan ikke tvinge en medlemsstat til at åbne sine systemer for test. Det kan ikke pålægge Frankrig eller Polen at deltage i en fælles penetrationstest (en kontrolleret hackertest af systemerne) af deres kritiske infrastruktur.

Revisionsretten peger på dette strukturelle problem uden at løse det — det kan den ikke, da det kræver politisk vilje i Rådet og Parlamentet.

Certificeringen er et ufærdigt projekt

Den europæiske certificeringsramme er et godt eksempel på EU's tendens til at annoncere ambitiøse systemer, inden de er færdige. ECCF blev vedtaget med Cybersecurity Act i 2019 og skulle give virksomheder og offentlige myndigheder mulighed for at købe certificerede produkter med garanti for et bestemt sikkerhedsniveau. Men evalueringen af ENISA viser, at implementeringen er forsinket, og at der fortsat er uklarhed om, hvad de enkelte certificeringsniveauer præcist indebærer.

Det er et problem, der rækker langt ud over EU's egne institutioner. Danske virksomheder og myndigheder, der vælger produkter baseret på europæiske certificeringsstandarder, kan ikke være sikre på, at standarden er, hvad den giver sig ud for at være. Det underminerer tilliden til hele systemet.

Er en milliard euro spildt?

Det ville være urimeligt at konkludere, at pengene er spildt. ENISA har opbygget kompetencer. NIS2-direktivet har skabt bindende krav til sikkerhed i kritiske sektorer på tværs af EU. Øvelserne under det europæiske cyberberedskab har sandsynligvis styrket koordineringen. Men "sandsynligvis" er et svagt fundament for europæisk sikkerhedspolitik.

Revisionsrettens pointe er netop, at vi ikke ved om pengene var spildt eller ej — og det i sig selv er et problem. En reel evaluering kræver, at man på forhånd definerer succeskriterier. Det har man ikke gjort systematisk, og dermed kan man ikke afgøre, om man har fået valuta for pengene.

Hvad bør ske nu?

Revisionsretten anbefaler typisk konkrete handlinger i sine rapporter. Baseret på kritikkens karakter peger den åbenlyst i retning af tre ting: for det første, at EU definerer klare og målbare standarder for, hvad cybersikkerhed på europæisk niveau skal indebære. For det andet, at ENISA gives beføjelse eller ressourcer til at foretage reel kontrol — ikke blot rådgivende evalueringer. For det tredje, at certificeringsrammen færdiggøres og implementeres konsekvent.

Det er lette anbefalinger at formulere. De er sværere at gennemføre i en union af 27 lande med meget forskellige sikkerhedskulturer, kapaciteter og politiske prioriteter.

Konklusion

EU har bygget et imponerende papirforsvar mod cybertrusler. Lovgivning, agentur, certificering, øvelser og koordineringsmekanismer er alle på plads. Men Revisionsretten dokumenterer, at fundamentet er usikkert: ingen ved med sikkerhed, om systemet virker, fordi det aldrig er blevet testet systematisk, og fordi man aldrig fastlagde klare mål for, hvad succes egentlig ser ud som.

Det er et alvorligt problem i en tid, hvor Europas fjender aktivt udnytter svagheder i digital infrastruktur. At bruge over en milliard euro og ikke kunne dokumentere effekten er ikke bare en forvaltningsfejl — det er en sikkerhedsrisiko.

For Danmark betyder det, at man bør stille skarpe spørgsmål til, hvad den europæiske cybersikkerhedsarkitektur reelt leverer, og sikre at dansk beredskab ikke er afhængigt af systemer, der aldrig er stresstet under realistiske forhold. Kritikken fra Revisionsretten bør behandles som et alarmkald — ikke som endnu en EU-rapport der lægges i en skuffe.