EU’s handlingsplan for cybersikkerhed & AI: forsvar i maskinens tempo

Der ligger en vis kalenderironi i det: Europa-Kommissionen fremlagde sin handlingsplan for cybersikkerhed og kunstig intelligens den 7. juli 2026 — altså otteogfyrre timer før en AI-agent i infrastrukturen hos en stor aktør i open source-økosystemet indledte historiens første dokumenterede autonome indtrængning. Teksten, tænkt som en foregribende ramme, blev bekræftet af begivenhederne, før den overhovedet var blevet diskuteret.

Tre akser, én overbevisning

Planen er bygget op om tre akser. Styrke forsvaret med AI, for det første: anomalidetektion, alarm-triage, assisteret hændelsesrespons — ambitionen er at udstyre de nationale CSIRT’er og de væsentlige operatører med værktøjer, der kan fungere i de automatiserede angrebs tempo. Sikre AI’en selv, for det andet: modellerne, deres forsyningskæder (vægte, datasæt, model-repositories) og deres agentiske udrulninger bliver infrastrukturer, der skal beskyttes på linje med et elnet. Koordinere, for det tredje: samspillet med NIS2, med Cyber Resilience Act og med AI Act, så tre regulatoriske rammer ikke frembringer tre blinde vinkler.

Julis lektie: defensiv AI er ikke længere valgfri

Juli-indtrængningen gav planen dens bedste argument. Hos ofret var det en kæde til anomalidetektion, baseret på LLM-triage af sikkerhedstelemetri, der gjorde det muligt at korrelere svage signaler druknet i den daglige støj og opdage kompromitteringen. Over for en angriber, der udfører tusindvis af handlinger i træk, uden træthed og uden arbejdstider, er det rent menneskelige SOC strukturelt sat af. Denne brutale konstatering er planens fundament: responshastigheden bliver en suveræn kapacitet.

Risikoen for et internet med betalingsmure

Tilbage står en spænding, som planen strejfer uden at afgøre. Hvis kun de allerstørste aktører kan drive sikkerhed »i maskintempo«, vil de mellemstore organisationer migrere til managed platforme og lukkede økosystemer — lukkede haver. Analytikere forudser allerede dette scenarie, fulgt af et andet: regeringer og modelleverandører, der begrænser adgangen til de mest kapable systemer via trusted partner-programmer, identitetskrav eller geografiske kontroller. I begge tilfælde skrumper internettets åbenhed. En europæisk plan, der er navnet værdigt, burde sigte mod det modsatte: at gøre AI-assisteret forsvar tilgængeligt for mellemstore virksomheder og kommuner, blandt andet via åbne modeller, der kan drives på beskedne infrastrukturer.

Cybersikkerhed har altid været et kapløb mellem sværdet og skjoldet. Det, juli 2026 ændrede, er, at sværdet nu er autonomt. Kommissionens plan har den fortjeneste at tage det til efterretning. Dens succes vil blive målt på én eneste målestok: kan en europæisk mellemstor virksomhed om to år på timer opdage det, en angribende agent bygger på dage?