Krize, kterou nikdo nevyhlásí

V září 2025 zasáhl útok ransomwaru, tedy vyděračského programu, který zašifruje data, firmu Collins Aerospace, velkého dodavatele technologií pro letectví. Útok mířil na její software pro odbavování cestujících. Velká evropská letiště se musela vrátit k ručnímu odbavování, lety se zpožďovaly a rušily. Nejhůř to zasáhlo London Heathrow, Brusel, Berlín Brandenburg a Dublin.

Zvláštní zpráva Evropského účetního dvora č. 19/2026, zveřejněná 21. září 2026, zjistila, že žádný členský stát incident neoznačil za významný ani rozsáhlý přeshraniční. Proto ani jeden zasažený stát neinformoval Agenturu EU pro kybernetickou bezpečnost (ENISA) ani ostatní státy. Síť národních týmů pro reakci na incidenty (síť CSIRT) neupozornila ani síť pro řešení kybernetických krizí EU-CyCLONe. Koordinované řešení na úrovni EU se tak vůbec nekonalo.

Myslím si, že evropská koordinace tu neselhala v tom smyslu, že by nefungovala. Nikdo ji nespustil. A nespustil ji proto, že nepadlo jedno rozhodnutí - označit incident za závažný.

Deset let bez jediné velké krize

Podle předpisů Evropské unie je kybernetický incident „rozsáhlý“, když překročí schopnost členského státu na něj reagovat nebo výrazně zasáhne alespoň dva členské státy. Od roku 2016 však žádný členský stát žádný takový incident nezařadil do této kategorie. Evropský účetní dvůr to uvádí ve své zprávě 19/2026. Postup eskalace v síti EU-CyCLONe, která je určena pro rozsáhlé incidenty, tak ještě nikdy nebyl plně spuštěn.

Rozsáhlé nebyly ani incidenty, které způsobily celosvětové výpadky a velké škody. Účetní dvůr jmenuje tři: prvním je WannaCry z roku 2017, vyděračský útok, který napadl přes 200 000 počítačů ve více než 150 zemích. Dalším příkladem je NotPetya z roku 2017, škodlivý program určený k trvalému smazání dat, který byl zaměřen hlavně na Ukrajinu, ale rozšířil se po celém světě. Posledním případem je celosvětový výpadek IT v červenci 2024, který způsobil vadná aktualizace softwaru bezpečnostní firmy CrowdStrike a který vyřadil miliony počítačů.

Myslím si, že kategorie, kterou za deset let nikdo ani jednou nepoužil, nepopisuje skutečnost. Buď se za tuto dobu nic velkého nestalo, což vyvracejí právě tyto tři případy, nebo je zařadit něco do té kategorie těžší než události samotné.

Statistika měří ochotu hlásit

Členské státy Evropské unie hlásily významné incidenty s přeshraničním dopadem v poměrně malém počtu. V roce 2022 byla tři, v roce 2023 žádné, v roce 2024 dvě a v roce 2025 čtrnáct, která podalo sedm států. Pro srovnání: agentura ENISA pomocí veřejně dostupných zdrojů zjistila, že v roce 2024 bylo celkem 322 incidentů, které postihly dva nebo více členských států. Nejde o úplně stejnou kategorii, Účetní dvůr ale toto srovnání sám uvádí jako doklad, že hlášení neodpovídají skutečnému rozsahu útoků. Myslím si, že rozdíl mezi těmito čísly neukazuje, kolik se toho stalo, ale jak často se někdo rozhodl incident nahlásit.

Problémem je, že v Evropské unii neexistuje centralizovaná platforma, která by přijímala hlášení incidentů v reálném čase a dokázala je spojovat do celkového obrazu. Síť CSIRT existuje od roku 2016 a síť EU-CyCLONe má formální postavení od roku 2023, přesto se dodnes nedohodly na společné stupnici závažnosti incidentů ani na společném významu pojmů jako „hrozba“, „incident“ nebo „dopad“. Podle Účetního dvora tak zůstává prostor pro výklad, kdy je incident významný nebo rozsáhlý. Chybějící společné názvosloví zmínily úřady všech tří států, které auditoři navštívili.

Považuji za klíčový problém to, že si každý stát rozhoduje sám, zda incident považuje za závažný. Úředník nebo úřad, který incident vyhlásí, nese okamžitě náklady: spustí práci svých kolegů, převezme odpovědnost a riskuje, že se spletl. Kdo ho nevyhlásí, nemá v tu chvíli žádné ztráty, ale cena přijde později a rozptýlí se. Bez společných pravidel se rozhodnutí přiklání k tomu, které vyžaduje nejméně jednání. Nikdo přitom nemusí být nedbalý, ale systém takové chování podporuje.