欧盟网络安全与AI行动计划依托哪些法律框架？

该计划建立在涵盖AI与网络安全的现行欧盟法规之上——包括《AI法案》、NIS2指令和《网络团结法》——而非引入新的立法机制。

谁来协调行动计划的实施？

该计划在欧洲委员会主导的统一战略框架下，协调全部**27个**欧盟成员国以及行业和ENISA等欧盟机构共同参与。

同样的AI模型既可辅助防御——通过自动检测异常和加速事件响应——也可被用于自动化攻击、定位漏洞和扩大威胁规模。该计划在同一战略文件中应对了这两个层面。

欧洲委员会今日发布了欧盟网络安全与AI联合行动计划，该计划建立在现行欧盟法律框架之上，协调成员国与行业力量，同时将AI视为攻击载体与防御工具加以应对。

欧洲委员会于2026年7月7日今日发布了欧盟网络安全与人工智能行动计划 — 这份文件首次将AI在数字安全中的双重角色纳入同一战略框架：既作为攻击载体，也作为防御工具。与行动计划全文同步发布的，还有一份附带关键措施概述的说明材料（Factsheet）。

行动计划的核心前提是：同样的先进AI模型，既能强化网络防御，同时也在改变防御所面临的威胁性质。

具体而言，该计划着眼于AI可被滥用为攻击手段的三种方式：

自动定位漏洞 — AI能够以远超人工方法的速度扫描软件系统和网络基础设施，在自动化之前无法实现的规模上识别可利用的弱点。

规模化攻击 — 借助AI，攻击者可以用相同的资源同时瞄准更多受害者，从而从根本上改变网络犯罪的经济逻辑，使其向攻击方倾斜。

加速攻击端的事件响应 — 漏洞发现与被利用之间的窗口期大幅缩短，给防御团队留下的反应时间更少。

另一方面，AI也开辟了重要的防御可能：网络异常自动检测、漏洞被利用前的预测性识别，以及更快速的事件响应编排。行动计划旨在发挥防御潜力，同时遏制其攻击性应用。

欧洲委员会负责科技主权、安全与民主的执行副主席海纳·维尔库宁直接强调了形势的紧迫性：“AI正在改变网络安全的含义。我们必须跟上步伐。”

维尔库宁在短暂的任期内已推动多项旨在减少欧盟对非欧洲供应商技术依赖的举措。她直接参与这一计划，表明委员会将AI网络安全不仅视为监管议题，更视为欧洲数字主权的战略优先事项。

背景至关重要：2025年和2026年间，多起针对欧洲关键基础设施的网络攻击被记录在案，攻击者使用AI工具加速侦察阶段并开发定制化漏洞利用程序。因此，该计划并非回应理论场景，而是针对已然成真的具体威胁。

该计划做出的关键战略选择是：委员会不引入新的立法机制，而是建立在近年来发展起来的欧盟监管体系之上：

《AI法案》 — 规范高风险AI系统，包括应用于关键基础设施的系统；该计划明确了现行要求在网络安全场景中的适用方式。

NIS2指令 — 将网络安全义务扩展至更广泛的基本和重要服务运营商；该计划在兼顾AI特定威胁的前提下协调实施工作。

《网络团结法》 — 强化欧盟层面的网络攻击检测和协调响应能力；该计划将其作为应对AI驱动事件的快速响应操作基础。

这一方式是有意为之的决定：新立法需要数年的立法程序和各国转化，而AI网络威胁的紧迫性要求在已有机制框架内更快速地采取行动。

该计划确定了三类利益相关方，需在统一战略框架下实现协调：

成员国 — 全部27个欧盟国家均在发展各自的网络安全能力，但成熟度和资源差异悬殊。该计划预设了在国家机构之间就AI相关威胁和经验证的防御实践进行结构性信息共享的机制。

行业 — 科技企业，尤其是AI模型开发者和关键基础设施运营商，是不可或缺的合作伙伴，因为他们对新型AI攻击技术具有最快速的可见性，并对防御解决方案拥有最直接的利益驱动。

欧盟机构 — ENISA（欧盟网络安全局）在威胁分析和响应协调中扮演核心角色；该计划预设ENISA在AI特定网络安全风险方面承担更强化的操作职能。

委员会于7月7日随新闻发布会同步发布了两份文件：行动计划全文和面向公众的关键措施概述（Factsheet）。两份文件均可在digital-strategy.ec.europa.eu上获取。

与需要经历复杂立法程序的指令和法规不同，行动计划是委员会可直接推进实施的政策工具——通过资金分配、协调机制和向欧盟机构发布操作指南。这使其成为从采纳到落地时间最短的工具之一。

欧盟通过这一计划迈出了许多全球政府仍在考量的一步：将AI与网络安全明确纳入同一战略屋顶，并清醒认识到在AI时代，威胁与防御已密不可分地交织在一起，任何一方都无法在不同时应对另一方的情况下单独处理。