Ficha de síntese

Análise de impacto sobre a segurança da informação nas instituições, órgãos e organismos da União

A. Contexto político

A Agenda Estratégica do Conselho Europeu para 2019-2024 insta as instituições a protegerem as redes de informação e comunicação da UE e os seus processos de tomada de decisão contra atividades maliciosas de todos os tipos, incluindo ciberameaças e ameaças híbridas. Por conseguinte, o Conselho dos Assuntos Gerais de dezembro de 2019 concluiu que as instituições e organismos da UE devem desenvolver e aplicar um conjunto abrangente de medidas para garantir a segurança da sua informação. Em julho de 2020, a Comissão adotou a sua Estratégia da UE para a União da Segurança, na qual se comprometeu a complementar os esforços nacionais no domínio da segurança. No âmbito desta estratégia, a Comissão propôs a criação de um conjunto mínimo de regras em matéria de segurança da informação e cibersegurança em todas as instituições e organismos da União.

B. Natureza do problema

Os principais problemas são os seguintes: i) diferença significativa entre o nível de segurança das instituições e organismos da União em função das suas regras internas de segurança da informação e ii) falta de coordenação entre as instituições e organismos da União no desempenho das suas funções de segurança. Atualmente, as diferentes instituições e organismos da União têm as suas próprias regras em matéria de segurança da informação, ou não as adotaram. A fragmentação do quadro jurídico aplicável conduziu a diferentes categorias de informações não classificadas, marcações e instruções de tratamento em todos os domínios. No que diz respeito às informações classificadas da UE, a interoperabilidade dos sistemas pertinentes continua a ser limitada, impedindo uma transferência sem descontinuidades de informações entre instituições e organismos e com os Estados-Membros. Esta situação aumenta os riscos de os atacantes aproveitarem uma falha de segurança no elo mais fraco para atacar outras instituições ou organismos.

C. Quais são os resultados esperados?

O objetivo geral da iniciativa é criar regras de segurança da informação para todas as instituições e organismos da União, com vista a assegurar uma proteção reforçada e coerente contra a evolução das ameaças à sua informação. Este objetivo geral traduz-se em quatro objetivos específicos: ·Estabelecer categorias harmonizadas e exaustivas de informações ·Identificar lacunas de segurança e aplicar as medidas necessárias ·Estabelecer uma cooperação estreita em matéria de segurança da informação entre as instituições e organismos da União ·Modernizar as políticas de segurança da informação, tendo em conta a transformação digital e o teletrabalho

D. Quais são as perspetivas dos vários intervenientes?

As partes interessadas consultadas (instituições e organismos da União, autoridades nacionais de segurança dos Estados-Membros e peritos em investigação do JRC) concordaram com a necessidade de estabelecer normas comuns de segurança da informação para todas as instituições e organismos da União, com destaque para os seguintes pontos: ·Há que ter em conta a diversidade e o ambiente empresarial de cada instituição e organismo da União e permitir uma solução local; ·A maioria das instituições e organismos está disposta a cooperar com os seus homólogos em organismos comuns para efeitos de segurança da informação, mas não a delegar os seus poderes de decisão; ·O projeto de regulamento deve ser elaborado tendo em conta o acordo intergovernamental dos Estados-Membros sobre a proteção de informações classificadas.

E. Qual é o impacto da proposta?

Benefícios

Ao criar uma base de referência para as regras de segurança da informação em todas as instituições e organismos da União, o projeto de regulamento aumentará os níveis globais de segurança da informação, reduzindo simultaneamente as atuais discrepâncias. Deve também contribuir para eliminar potenciais elos fracos, protegendo simultaneamente as informações partilhadas no seio da administração europeia. Do ponto de vista da eficiência, o projeto de regulamento deve conduzir a ganhos decorrentes do desempenho coordenado de tarefas comuns de segurança da informação (por exemplo, autorizações, acreditação de sistemas de comunicação e informação) e da criação de organismos de governação comuns (por exemplo, o Grupo de Coordenação Interinstitucional, os subgrupos técnicos).

Impacto económico

Para as instituições e organismos da União, espera-se que os esforços necessários para aplicar a nova legislação sejam compensados pelos ganhos de eficiência, enquanto os custos adicionais podem ser cobertos ao abrigo dos atuais programas de melhoria da segurança da informação de cada organização. A longo prazo, beneficiarão da abordagem coerente face à constante evolução das ameaças à segurança da informação. A Comissão Europeia deve assegurar o secretariado permanente do Grupo de Coordenação Interinstitucional e afetar recursos humanos para esta tarefa (um funcionário AD e um funcionário AST). Não se preveem impactos económicos a nível das administrações dos Estados-Membros e do setor privado.

F. Acompanhamento

Quando será reexaminada a política?