2021年，歐盟網絡安全環境變得更加不穩定。新冠肺炎疫情使歐盟國家、社會和經濟體加快轉型，社會各領域高速的數字化進程，突顯了網絡安全的重要地位。同時，歐盟的網絡威脅環境也發生了巨大改變，針對網絡的大規模攻擊行動數量大幅增加，勒索軟件攻擊變得更具有針對性，對網上銀行、支付媒介、關鍵基礎設施和新興智能設備目標的攻擊也日益增多。為此，歐盟委員會于 2020 年 12 月 16日發布了《歐盟網絡安全戰略》（EUCSS），試圖通過不斷加強歐盟網絡安全戰略頂層設計，完善快速反擊機制等途徑，以回應這些新的挑戰。

　　一、歐盟面對的主要網絡安全挑戰

　　歐盟網絡安全局（ENISA）在 2021 年 10 月公布的網絡威脅形勢報告（ENISA THREAT LANDSCAPE2021），將勒索軟件、惡意軟件、加密劫持、電子郵件相關威脅、對數據的威脅、對可用性和完整性的威脅、虛假信息/錯誤信息、非惡意威脅和供應鏈攻擊列為歐盟在 2021 年面對的主要網絡安全威脅。在 ENISA 的這份報告中，勒索軟件取代了惡意軟件（2020 年報告中排首位），成為歐盟的首要網絡安全威脅。因此，2021 年的歐盟網絡安全政策在很大程度上受到了這一判斷的影響，集中精力應對以網絡勒索為代表的大規模網絡攻擊事件的威脅。

　　2020 年至 2021 年間發生的多起網絡攻擊表明，發生在歐盟的網絡勒索攻擊和網絡間諜活動越來越普遍，并且它們給整個經濟和社會的所有部門都帶來了越來越大的風險。這些網絡安全事件的規模與過去不同，且造成的影響和損失都是空前的。例如，美國主要信息技術公司太陽風（SolarWinds）于 2020年成為被網絡攻擊的對象。該攻擊造成的危害隨后被其產品傳播到全球客戶，并且持續數月都沒有被發現。這使得黑客可以任意訪問使用 SolarWinds “獵戶座”（Orion）系統的數千家公司和政府機構，其中，包括六個歐盟機構。2021 年 1 月，微軟郵件服務（Microsoft Exchange Server）系統被發現了許多影響全球電子郵件系統的零日漏洞。5 月，愛爾蘭共和國衛生服務執行機構的數據庫遭受了連續性的網絡攻擊，導致數百患者的大量敏感數據被盜，同時，勒索軟件也攻擊并破壞了該國的醫療服務系統，造成嚴重經濟損失。同樣，也是在 5 月，挪威信息技術公司“沃倫”（Volue）的服務器遭遇勒索軟件攻擊，導致挪威國內 200 座城市的供水與水處理設施的應用程序被迫關閉，影響范圍覆蓋挪威約 85% 的居民。

　　雖然這些攻擊造成的損害程度尚不完全明確，但是每起事件都突顯了惡意利用信息和通信技術的情況存在，而且針對現有信息產品、服務、系統和網絡中的漏洞發動的攻擊可能產生嚴重的后果及深遠影響。根據歐盟基金會（EuroFound）在 2020 年的調查數據，整個歐盟在新冠肺炎疫情期間進行遠程工作的員工人數介于 25% 至 65% 之間。根據歐盟刑警組織的一項研究，這大大增加了犯罪分子通過使用勒索軟件、惡意軟件和惡意應用程序從此類網絡犯罪中獲利的比率。此外，根據歐盟委員會發布的《數字時代的網絡安全戰略》（The EU's CybersecurityStrategy for the Digital Decade），五分之三的歐盟用戶在使用在線服務時感到無法保護自己免受網絡威脅，其中三分之一收到了欺詐性電子郵件或電話和八分之一的企業已成為網絡攻擊的受害者。對在線服務的網絡安全缺乏信任是用戶使用此類服務的主要障礙，網絡攻擊的威脅在經濟和社會中引發“連鎖反應”，降低了公眾的信任度。

　　因此，歐盟委員會預計，隨著新冠肺炎疫情促進社會數字化進程的不斷推進，未來，網絡攻擊的頻率會不斷增加，造成的影響也會越來越大，歐盟網絡安全的形勢將日趨復雜。

　　二、歐盟網絡安全政策與行動

　　面對上述網絡安全威脅，歐盟采取了積極的應對措施。在 2020 年 EUCSS 的基礎上，2021 年 3 月，歐盟委員會發布《關于歐盟數字十年網絡安全戰略的結論》（Council Conclusions on the EU's CybersecurityStrategy for the Digital Decade）文件，全面推動歐盟新網絡安全戰略的實施。10 月 7 日，歐盟議會表決通過“歐盟網絡防御能力狀況報告案”（EuropeanParliament Resolution on the State of EU Cyber DefenceCapabilities），呼吁歐盟及其成員國進一步制訂全面網絡安全措施與防御政策，以強化韌性及相互協調。在這一背景下，2021 年歐盟在加強關鍵基礎設施韌性、構建網絡技術主權與領導力、構建網絡聯合行動能力和發展全球開放網絡空間四個領域推動了一系列政策的實施，為歐盟未來網絡安全政策的重大調整拉開了序幕。

　　第一，通過更新網絡安全措施指令增強基礎設施安全與韌性。從近兩年發生的大規模針對網絡基礎設施的攻擊和網絡勒索事件中，歐盟認識到，全球供應鏈和關鍵基礎設施在面對網絡攻擊時非常脆弱。歐盟委員會的相關報告特別指出，那些與新冠肺炎疫情大流行作斗爭的醫院正面臨持續性的網絡攻擊風險。因此，20201 年，歐盟委員會聯合歐盟議會加快立法進程，確保迅速通過新的“歐盟范圍內高度共同的網絡安全措施指令”（Directive on Measuresfor a High Common Level of Cybersecurity across theUnion）提議（該指令非正式地被稱為 NIS 2.0）。該指令最大的特點是擴大了網絡安全責任實體的覆蓋范圍，并增強了行政部門對網絡安全管理的權限。除了傳統網絡安全實體外，新指令還將包括廢水、公共管理和航天公司等部門納入關鍵基礎設施范圍。更為重要的是，它還引入了“重要”實體的概念，將郵政和快遞服務、廢物管理、制造、化學品生產和分銷、食品生產、加工和分銷、制造和數字提供商歸入“重要”實體，與“基本”實體相區分，讓行政部門可以酌情采取更為靈活的監管政策。新的指令擬定了一份基本網絡安全風險管理措施清單，并要求成員國確保基本和重要實體的運營商向計算機安全事件響應小組報告重大網絡事件，而 2016 年的指令對這一問題的要求僅僅是“建議”。新的指令在監督和執行方面更為嚴格，賦予主管當局更多權力。例如，主管當局可以制定對基本和重要實體施加措施的清單，并將行政罰款的最高門檻提高到一千萬歐元或相應重要實體全球年總營業額的百分之二。歐盟理事會希望通過促成這一更加嚴格的網絡安全措施指令，加強對歐盟各關鍵基礎設施的監管，降低他們遭到大規模網絡攻擊的風險。目前，這一新的指令被普遍認為是加強歐盟網絡安全的重要步驟。目前，歐盟議會的立法者們正在修改這一指令的相關文本，預計將在 2022 年下半年定稿并進入表決程序。

　　第二，大幅增加技術投入實現網絡技術主權。新的 EUCSS 特別關注歐盟技術主權的重要性。歐盟國家希望能夠在網絡技術領域形成一套獨立自主且可控的技術研發與應用路線，以保障歐盟國家擁有自身網絡安全的主導權。這些措施主要聚集于以下幾個領域：首先，在網絡安全投資領域，歐盟在“歐盟地平線”（Horizon Europe）和“數字歐盟計劃”（Digital Europe Program）中制定了新的財務工作機制，即通過歐盟網絡安全工業、技術和研究能力中心（European Cybersecurity Industrial, Technology andResearch Competence Centre ）和歐盟能力中心網絡（European network of competence center）兩個機構對這項財務計劃實施管理。預計，在 2021 年至 2027年間，每年將有 45 億歐元的公共和私人投資被引入歐盟網絡安全產業。其次，在網絡安全技術開發領域，歐盟支持人工智能安全運營中心網絡——即歐盟“網絡盾”的建設，并且繼續推動歐盟量子通信基礎設施（European Quantum Communication Infrastructure，EuroQCI）倡議被歐盟各國認可。目前，第一個被“數字歐盟計劃”支持的國家量子通信基礎設施（QCI）網絡和歐盟量子通信基礎設施所需關鍵技術的開發將很快啟動，為歐盟國家掌握量子安全通信技術邁出了重要的一步。最后，在關鍵網絡基礎設施建設過程中，歐盟國家努力發展自有技術方案實現基礎設施的完全可控。歐盟網絡安全戰略要求歐盟擁有自己的域名解析服務（DNS），作為歐盟公民、企業和公共管理機構訪問互聯網的安全開放替代方案，即歐洲域名解析系統（European Domain NameSystem）。在 5G 網絡領域，在歐盟委員會和歐盟網絡安全局的支持下，歐盟在實施 5G 工具箱方面取得了進一步進展，特別是在針對高風險供應商的限制方面，形成了較為統一的政策，并在積極籌備歐盟5G 網絡候選供應商認證計劃。

　　第三，建立聯合網絡單位（ Joint Cyber Unit），以改善歐盟應對大規模安全事件的響應能力，協調歐盟網絡安全行動。2021 年 6 月 23 日，歐盟委員會正式提出建立聯合網絡單位的計劃，以應對越來越多的嚴重網絡安全事件。這項建議的內容涉及聯合網絡單位建設的重要節點、過程方案和具體時間安排等。建議指出，聯合網絡單位是一個平臺，可以確保在歐盟范圍內對大規模網絡安全事件和危機做出協調一致的響應，并且為網絡危機造成的后果提供支持。這一聯合單位的建立將協調歐盟內部各單位的行動，實現信息共享，并及時提供預警。在這一平臺上，歐盟可以提出統一的網絡安全事件和危機計劃，建立快速的歐盟網絡安全響應團隊，實行歐盟國家內部和跨境監視和檢測能力等重要網絡安全舉措。

　　第四，推動網絡安全領域外交合作，擴大歐盟網絡安全議題的全球影響力。歐盟委員會認為，當前的網絡威脅環境正通過開放的互聯網向全球傳導。惡意網絡活動的增加已經嚴重影響信息和通信技術產品及其相關服務的安全性和完整性，并對全球開放的網絡空間以及法治、人權、基本自由和民主價值觀構成直接的威脅。一方面，在網絡安全治理領域，歐盟努力推進網絡空間負責任的國家行為，通過與其他 53 個共同發起方一起制定聯合國層面的推進負責任國家行為行動計劃（PoA）。2021 年，歐盟非常重視開展網絡外交活動，通過網絡安全領域的對話，加強和擴大與第三國、國際和區域組織以及其他利益攸關方的關系。2021 年 10 月，歐盟委員會開始積極推動歐盟自身機構以及歐盟國家的團體和機構能夠更好地協調歐盟外部網絡安全能力建設工作，推動落實歐盟網絡安全戰略中“建立全球開放網絡”的目標。另一方面，在共同打擊網絡犯罪領域，特別是針對愈演愈烈的網絡勒索事件，歐盟對外事務部（EEAS）正在審查《歐盟聯合外交應對惡意網絡活動框架實施指南草案》（The Framework for a JointEU Diplomatic Response to Malicious Cyber ActivitiesIndicates），以幫助開發網絡外交工具箱。2021 年 4月 16 日，歐盟針對惡意網絡活動的影響，特別就“太陽風”（SolarWinds）網絡攻擊事件聲援美國，展示了歐盟與美國在共同打擊網絡犯罪問題上堅定的同盟關系。這一系列網絡外交活動進一步擴大了歐盟在全球網絡安全治理領域的影響力。

　　三、歐盟網絡安全政策的特點

　　從 2021 年歐盟在網絡安全領域的政策與具體行動中可以發現，經歷了新冠肺炎疫情期間多起嚴重網絡安全事件的后，歐盟國家對網絡安全問題的態度發生了重大轉變，大規模網絡安全事件成為迫在眉睫的嚴重風險因素。無論在政策制定、技術投資還是國際合領域，與以往歐盟網絡安全政策相比，當前的歐盟網絡安全政策都發生了顯著的改變。

　　第一，歐盟網絡安全政策焦點由個體層面轉向國家層面，網絡安全政策向更具強制力方向發展。從傳統看，歐盟更注重社會層面的網絡安全問題，在隱私保護、數據安全、打擊大型互聯網企業壟斷方面都投入了巨大的資源與經歷。可以說，從傳統意義上看，歐盟的網絡安全政策側重于保護個體。但是，新的歐盟網絡安全戰略改變了這一取向。面對新的網絡安全威脅環境，歐盟國家將主要精力轉向保護關鍵基礎設施和重要實體。也正是由于這一轉向，歐盟制定的網絡規范變得更為嚴格，更加具有約束力，體現了歐盟加強網絡管理力度的決心。

　　第二，歐盟在網絡安全領域更加強調獨立性。歐盟新網絡安全戰略強調歐盟的技術主權，并在網絡基礎設施建設、技術研發和投資領域積極貫徹這一目標。在新冠肺炎疫情期間，數字化辦公讓歐盟看到了歐盟數字化轉型的現實需求，也進一步增加了歐盟對缺乏網絡核心技術而導致安全風險的擔憂。因此，2021 年，歐盟開啟推動網絡技術和基礎設施獨立性進程，這一趨勢也與當前歐盟試圖在各領域擺脫對美國依賴的趨勢相契合。

　　第三，歐盟網絡安全戰略具有明確的意識形態特征和價值取向。歐盟網絡安全戰略附帶很強的意識形態色彩，歐盟對開放網絡空間的定義，強調了法治、人權、基本自由和民主價值觀，同時，歐盟也強調要和具有共同價值觀的合作伙伴一起推動國際網絡空間治理。同樣，在歐盟的網絡安全定義中，維護網絡空間各項所謂人權標準也被納入網絡安全整體框架。在對網絡安全威脅的闡釋中，歐盟特別強調了對“民主機構進行攻擊”的威脅，進一步將網絡威脅政治化和意識形態化。

　　歐盟在 2021 年的網絡安全政策調整是明顯且卓有成效的，除了維護歐盟所面對的網絡安全現實威脅以外，更反映出歐盟試圖成為未來全球網絡空間治理重要參與者，乃至成為全球網絡安全和數字空間領導者的雄心。

　　四、未來歐盟網絡安全政策發展趨勢

　　從當前歐盟網絡安全戰略的調整分析，歐盟對新興網絡威脅的積極回應，反映出歐盟在數字化轉型背景下對數字主權和網絡安全領導權的渴望。在這一背景下，歐盟未來的網絡安全政策可能會沿著以下兩條路徑發展。

　　一方面，建立更加具有獨立性的網絡安全體系。未來，數字經濟發展更加涉及歐盟的核心利益，遭受新冠肺炎疫情嚴重沖擊的歐盟更加倚重數字轉型引領經濟的復蘇。因此，在網絡安全領域，歐盟未來必然將著重以“數字主權”為抓手，降低對全球網絡技術供應鏈的依賴，同時，通過推進歐盟網絡治理規則、價值觀念的輸出與傳統網絡強國開展競爭，爭奪網絡空間治理的領導權。在這一趨勢下，歐盟必然需要擺脫在網絡安全治理領域對美國在技術、體制上的各種依賴，形成一套獨立自主的網絡安全規范和技術體系。雖然歐盟依然強調網絡安全領域的美歐同盟，但是，從過去以數據主權、隱私保護和反壟斷為由打擊美國網絡巨頭，到計劃在未來實現網絡基礎設施建設、技術規范的獨立自主，都折射出歐盟的這一政策取向。這預示著，未來網絡安全領域的美歐同盟將不會再是一種單向的依賴關系。

　　另一方面，制定日趨嚴格和集權化的網絡安全政策。在新冠肺炎疫情背景下，針對關鍵基礎設施的網絡攻擊變得越來越頻繁，造成的損失也更為嚴重。歐盟制定新的“網絡安全措施指令”，更為嚴格地約束其成員國行為。很多過去的網絡安全建議轉變為硬性規定，顯示出歐盟委員會統一網絡安全治理政策的堅定決心。雖然這一新指令依然還在等待歐盟議會的審批中，但是，歐盟提高自身在網絡安全領域的行政權威，統一成員國網絡安全規范的趨勢已經顯現。未來，歐盟會改革原有松散的管理體制，統一各成員國行動，在網絡安全領域采取更為積極的態度。

　　歐盟正不斷強化網絡技術主權和網絡安全的領導能力。在數字化轉型時代，構建網絡安全領域領導力已經成為歐盟委員會及其他歐盟主要機構的重要目標。在數字化時代的全球網絡安全治理體系中，歐盟將扮演重要的角色。