EU Akcijski plan za kibernetičku sigurnost i AI: Komisija koordinira obranu bez novih zakona

Europska komisija danas, 7. srpnja 2026., objavila je Akcijski plan za kibernetičku sigurnost i umjetnu inteligenciju — dokument koji po prvi put pod jednim strateškim krovom adresira dvostruku ulogu AI u digitalnoj sigurnosti: kao vektor napada i kao obrambeni alat. Uz puni tekst Akcijskog plana, objavljen je i prateći Factsheet s pregledom ključnih mjera.

Dvostruki izazov: AI kao oružje i kao obrambeni alat

Središnja premisa Akcijskog plana jest da isti napredni AI modeli koji mogu osnažiti kibernetičku obranu istovremeno mijenjaju prirodu prijetnji s kojima se ta obrana suočava.

Konkretno, Plan adresira tri načina na koja AI može biti zloupotrijebljen kao napadačko oruđe:

Automatsko lociranje ranjivosti — AI može skenirati softverske sustave i mrežnu infrastrukturu mnogo brže nego manualnim metodama, identificirajući iskoristive slabosti u razmjeru koji nije bio izvediv bez automatizacije.

Skaliranje napada — uz AI podršku, napadači mogu simultano ciljati mnogo veći broj žrtava istim resursima, što mijenja ekonomiku kibernetičke kriminalnosti u korist napadača.

Ubrzavanje odgovora na incidente na strani napadača — skraćuje se prozor između otkrivanja ranjivosti i njezine eksploatacije, ostavljajući obrambenim timovima manje vremena za reakciju.

Na drugu stranu, AI otvara i značajne obrambene mogućnosti: automatska detekcija anomalija u mreži, prediktivna identifikacija ranjivosti prije eksploatacije i brže orkestriranje odgovora na incidente. Akcijski plan cilj je iskoristiti obrambeni potencijal, dok paralelno ograničava napadački.

Zašto je ovaj plan potreban upravo sada?

Izvršna potpredsjednica Europske komisije Henna Virkkunen, zadužena za Tech Sovereignty, Security and Democracy, izravno je naglasila hitnost situacije: „AI mijenja značenje kibernetičke sigurnosti. I moramo držati korak.”

Virkkunen je u kratkom mandatu pokrenula više inicijativa usmjerenih na smanjenje tehnološke ovisnosti EU o ne-europskim dobavljačima. Njezina direktna uključenost u ovaj plan signal je da Komisija kibernetičku sigurnost AI ne tretira samo kao regulatorno nego i kao stratešku prioritetu digitalne suverenosti Europe.

Kontekst je bitan: u 2025. i 2026. godini zabilježen je niz kibernapada na europsku kritičnu infrastrukturu u kojima su napadači koristili AI alate za ubrzanje faze izviđanja i razvoj prilagođenih eksploita. Plan, stoga, nije odgovor na teorijske scenarije nego na konkretne prijetnje koje su već materijalizirane.

Koordinacija kroz postojeći pravni okvir EU

Ključni strateški izbor koji Plan donosi jest da Komisija ne uvodi nove zakonodavne mehanizme nego gradi na EU regulativi koju je razvijala posljednjih nekoliko godina:

AI Act — regulira visokorizične AI sustave, uključujući one koji se primjenjuju u kritičnoj infrastrukturi; Plan pojašnjava primjenu postojećih zahtjeva na kibernetičke scenarije.

NIS2 Direktiva — širi obveze kibernetičke sigurnosti na širi krug operatora esencijalnih i važnih usluga; Plan koordinira provedbu s AI-specifičnim prijetnjama na umu.

Cyber Solidarity Act — osnažuje kapacitete za detekciju i koordiniranu reakciju na kibernapade na razini EU; Plan ga koristi kao operativnu osnovu za brze odgovore na AI-vođene incidente.

Ovaj je pristup svjesna odluka: novi zakoni zahtijevaju godine zakonodavnog postupka i nacionalne transpozicije, dok hitnost AI kiberprijetnji traži brže djelovanje unutar već uspostavljenih mehanizama.

Tri stupa koordinacije: države, industrija i EU agencije

Plan identificira tri grupe dionika čiju koordinaciju treba postići pod jednim strateškim okvirom:

Države članice — svih 27 zemalja EU razvija vlastite kapacitete za kibernetičku sigurnost, ali razina zrelosti i resursa uvelike varira. Plan predviđa mehanizme za strukturirano dijeljenje obavještajnih podataka o AI-vezanim prijetnjama i verificiranih obrambenih praksi između nacionalnih tijela.

Industrija — tehnološka poduzeća, posebno developeri AI modela i operatori kritične infrastrukture, ključni su partneri jer imaju najbržu vidljivost u nove AI napadačke tehnike i najizravniji interes u obrambenim rješenjima.

EU agencije — ENISA (Agencija EU za kibernetičku sigurnost) ima centralnu ulogu u analizi prijetnji i koordinaciji odgovora; Plan predviđa pojačanu operativnu ulogu ENISA-e za AI-specifične kiberrizike.

Dokumenti i sljedeći koraci

Komisija je uz priopćenje za tisak 7. srpnja objavila dva dokumenta: puni tekst Akcijskog plana i Factsheet s pregledom mjera za širu javnost. Oba su dostupna na digital-strategy.ec.europa.eu.

Za razliku od direktiva i uredbi koje prolaze kompleksni zakonodavni postupak, Akcijski plan je instrument politike koji Komisija može provoditi direktno — kroz distribuciju fondova, koordinacijske mehanizme i operativne smjernice EU agencijama. To ga čini instrumentom s kratkim vremenom od usvajanja do primjene.

EU je ovim planom napravila korak koji mnoge globalne vlade još razmatraju: eksplicitno svrstavanje AI i kibernetičke sigurnosti pod isti strateški krov, uz jasno prihvaćanje da su prijetnja i obrana u AI eri nerazdvojno isprepletene i da niti jedna ne može biti adresirana bez istovremenog bavljenja drugom.