[pic] | COMISSÃO EUROPEIA |

Bruxelas, 31.3.2011

COM(2011) 163 final

COMUNICAÇÃO DA COMISSÃO AO PARLAMENTO EUROPEU, AO CONSELHO, AO COMITÉ ECONÓMICO E SOCIAL EUROPEU E AO COMITÉ DAS REGIÕES

Protecção das infra-estruturas críticas da informação«Realizações e próximas etapas: para uma cibersegurança mundial»

COMUNICAÇÃO DA COMISSÃO AO PARLAMENTO EUROPEU, AO CONSELHO, AO COMITÉ ECONÓMICO E SOCIAL EUROPEU E AO COMITÉ DAS REGIÕES

Protecção das infra-estruturas críticas da informação «Realizações e próximas etapas: para uma cibersegurança mundial»

INTRODUÇÃO

Em 30 de Março de 2009, a Comissão adoptou uma Comunicação relativa à protecção das infra-estruturas críticas da informação (PICI) - «Proteger a Europa contra os ciberataques e as perturbações em grande escala: melhorar a preparação, a segurança e a resiliência»[1], que apresenta um plano (o «Plano de Acção PICI») destinado a reforçar a segurança e a resiliência das infra-estruturas TIC (tecnologias da informação e das comunicações) vitais. O objectivo era estimular e apoiar o desenvolvimento de capacidades que garantissem um elevado grau de preparação, segurança e resiliência tanto a nível nacional como europeu. Esta abordagem recebeu o amplo apoio do Conselho em 2009[2].

O Plano de Acção PICI assenta em cinco pilares: preparação e prevenção, detecção e resposta, mitigação e recuperação, cooperação internacional e critérios para as infra-estruturas críticas europeias no sector das TIC. Indica o que deve ser feito em cada um desses pilares por parte da Comissão, dos Estados-Membros e/ou da indústria, com o apoio da Agência Europeia para a Segurança das Redes e da Informação (ENISA).

A Agenda Digital para a Europa[3] (ADE), adoptada em Maio de 2010, e as Conclusões do Conselho[4] relativas à mesma sublinharam a visão comum de que a confiança e a segurança são condições prévias fundamentais para a adopção generalizada das TIC e, por conseguinte, para a consecução dos objectivos da dimensão «crescimento inteligente» da estratégia Europa 2020[5]. A ADE destaca a necessidade de todas as partes interessadas se unirem num esforço geral para garantir a segurança e a resiliência das infra-estruturas TIC, concentrando-se na prevenção, na preparação e na sensibilização, e desenvolverem mecanismos eficazes e coordenados para responder às novas formas, cada vez mais sofisticadas, de ciberataques e cibercriminalidade. Esta abordagem garante que as dimensões quer preventiva quer reactiva do desafio sejam devidamente tidas em conta.

Nos últimos meses, foram tomadas as seguintes medidas, anunciadas na Agenda Digital: a Comissão adoptou, em Setembro de 2010, uma proposta de directiva relativa aos ataques contra os sistemas de informação[6], cujo objectivo é reforçar o combate contra a cibercriminalidade através da harmonização do direito penal dos Estados-Membros e da melhoria da cooperação entre as autoridades judiciais e outras autoridades competentes. A directiva proposta inclui igualmente disposições que visam responder às novas formas de ataques informáticos, em particular as " botnets ". Em complemento, a Comissão apresentou paralelamente uma proposta[7] para um novo mandato que lhe permitirá reforçar e modernizar a Agência Europeia para a Segurança das Redes e da Informação (ENISA) tendo em vista incutir confiança nas redes e aumentar a sua segurança. O reforço e modernização da ENISA contribuirão para que a UE, os Estados-Membros e as partes interessadas do sector privado desenvolvam as respectivas capacidades e preparação para prevenirem, detectarem e responderem aos desafios em matéria de cibersegurança.

Por último, a ADE, o programa/plano de acção de Estocolmo[8] e a estratégia de segurança interna da UE em acção (ISS)[9] sublinham o empenho da Comissão em construir um ambiente digital em que cada europeu possa exprimir plenamente o seu potencial económico e social.

A presente Comunicação dá conta dos resultados alcançados desde a adopção do plano de acção PICI, em 2009. Descreve as próximas etapas previstas para cada acção tanto a nível europeu como a nível internacional. Além disso, atenta na dimensão mundial dos desafios e na importância de intensificar a cooperação entre os Estados-Membros e o sector privado aos níveis nacional, europeu e internacional, procurando assim resolver o problema das interdependências a nível mundial.

UM CENÁRIO EM EVOLUÇÃO

A avaliação de impacto que acompanha o plano de acção PICI[10] e um vasto conjunto de análises e relatórios de partes interessadas privadas e públicas destacam não só a dependência social, política e económica da Europa em relação às TIC, mas também o crescimento constante do número, âmbito, sofisticação e impacto potencial das ameaças – sejam elas naturais ou de origem humana.

Surgiram ameaças novas e tecnologicamente mais sofisticadas. A sua dimensão geopolítica global começa a tornar-se progressivamente mais clara. Assistimos a uma tendência para a utilização das TIC na conquista de predomínio político, económico e militar, nomeadamente através das suas capacidades ofensivas. A «ciberguerra» ou o «ciberterrorismo» são por vezes mencionados neste contexto.

Além disso, como ilustram os recentes eventos no sul do Mediterrâneo, alguns regimes estão também dispostos e têm capacidade para privar arbitrariamente os seus cidadãos de acesso ou de introduzirem perturbações nos meios de comunicação baseados nas tecnologias da informação – nomeadamente a Internet e as comunicações móveis – para fins políticos. Essas intervenções domésticas unilaterais podem, por sua vez, ter efeitos graves noutras partes do mundo[11].

Para compreender melhor o conjunto geral destas várias ameaças, é conveniente agrupá-las nas seguintes categorias:

- As que têm por finalidade a exploração , como as «ameaças avançadas persistentes»[12] para fins de espionagem económica e política (por exemplo, GhostNet[13]), o roubo de identidades, os recentes ataques ao sistema de comércio de emissões[14] ou os ataques contra os sistemas TI dos Estados[15];

- As que têm por finalidade introduzir perturbações , como os ataques de Recusa Distribuída de Serviço ou "spamming" gerado via "botnets" (por ex., a rede Conficker de 7 milhões de máquinas e a rede Mariposa, com base em Espanha, de 12,7 milhões de máquinas[16]), a Stuxnet[17] e o corte de meios de comunicação;

- As que têm por finalidade a destruição . Trata-se de um cenário ainda não materializado, mas que não pode ser de todo excluído no futuro, dada a crescente presença das TIC nas infra-estruturas críticas (como as redes eléctricas e os sistemas de abastecimento de água inteligentes)[18].

A UNIÃO EUROPEIA E O CONTEXTO MUNDIAL

Os desafios que se perfilam não são específicos da União Europeia, nem esta tem capacidade para os vencer exclusivamente pelos seus meios. A omnipresença das TIC e da Internet permite uma comunicação, uma coordenação e uma cooperação entre os interessados mais eficazes, eficientes e económicas e tem como resultado um ecossistema de inovação dinâmico em todos os domínios da vida. No entanto, as ameaças podem neste momento ter origem em qualquer parte do mundo e, porque hoje todo o planeta se encontra interconectado, produzir efeitos também em qualquer parte do mundo.

Uma abordagem puramente europeia não é suficiente para fazer face aos desafios que temos pela frente. Embora o objectivo de construir uma abordagem coerente e cooperativa dentro da UE continue a ser importante, é necessário incorporá-lo numa estratégia de coordenação global que convoque os principais parceiros, sejam eles nações ou organizações internacionais relevantes.

Temos de esforçar-nos por promover uma visão global dos riscos inerentes à utilização generalizada e massiva das TIC por todos os segmentos da sociedade. Mais ainda, temos de conceber estratégias para gerir adequada e eficazmente esses riscos, o que significa evitá-los, combatê-los, mitigá-los e reagir caso se materializem. A ADE apela à « cooperação dos actores relevantes […] organizada a nível mundial para ser efectivamente capaz de combater e mitigar as ameaças à segurança» e estabelece o objectivo de « trabalhar com as partes interessadas a nível mundial, nomeadamente para reforçar a gestão mundial dos riscos na esfera digital e física e levar a cabo acções focalizadas, coordenadas a nível internacional, contra a criminalidade informática e os ataques à segurança ».

A APLICAÇÃO DO PLANO DE ACÇÃO PICI: ASPECTOS A SALIENTAR

O relatório completo dos objectivos já alcançados e das próximas etapas do plano de acção PICI é apresentado em anexo. Faz-se em seguida o ponto da situação, destacando os aspectos mais importantes.

Preparação e prevenção

- O Fórum Europeu de Estados-Membros (EFMS) realizou progressos significativos na promoção do debate e da troca de pontos de vista entre as autoridades competentes sobre boas práticas políticas em matéria de segurança e de resiliência das infra-estruturas TIC. Os Estados-Membros reconhecem ser o EFMS uma importante plataforma de debate e de intercâmbio de boas práticas políticas[19] . As suas futuras actividades continuarão a beneficiar do apoio da ENISA e centrar-se-ão na cooperação entre as equipas de resposta a emergências informáticas (CERT) nacionais/governamentais, com vista a definir os incentivos económicos e regulamentares à segurança e à resiliência (no respeito das regras aplicáveis em matéria de concorrência e de auxílios estatais), avaliar o estado da cibersegurança na Europa, promover exercícios pan-europeus e discutir as prioridades da concertação internacional a nível da segurança e da resiliência.

- A Parceria Público-Privada Europeia para a Resiliência (EP3R) foi lançada como quadro de governação à escala europeia para a resiliência das infra-estruturas TIC. O seu objectivo é promover a cooperação entre os sectores público e privado sobre questões estratégicas da política de segurança e de resiliência da UE. A ENISA desempenhou o papel de facilitadora das actividades da parceria e, nos termos da proposta da Comissão de 2010 de modernização da agência, fornecerá um quadro a longo prazo e sustentável para a EP3R. A EP3R servirá igualmente de plataforma para uma concertação internacional em matéria de política pública e em matérias económicas e de mercado relevantes para a segurança e a resiliência, em particular para reforçar a gestão mundial dos riscos das infra-estruturas TIC.

- Para que as CERT nacionais/governamentais funcionem eficazmente e actuem como a componente essencial do dispositivo nacional de preparação, partilha de informações, coordenação e resposta, foram elaborados o conjunto mínimo de capacidades e serviços básicos [20] e as respectivas recomendações políticas [21]. Passa agora a ser possível estabelecer, nessa base e com o apoio da ENISA, uma rede de CERT nacionais/governamentais totalmente operacionais em todos os Estados-Membros até 2012. Essa rede constituirá a espinha dorsal de um sistema europeu de partilha de informações e de alerta (SEPIA ou, na sigla inglesa, EISAS) para os cidadãos e as PME, que será construído até 2013 com recursos e capacidades nacionais.

Detecção e resposta

- A ENISA elaborou um roteiro de alto nível para o desenvolvimento do sistema SEPIA até 2013[22], alicerçado na implementação de serviços básicos ao nível das CERT nacionais/governamentais e de serviços de interoperabilidade, para que os sistemas nacionais de partilha de informações e de alerta sejam integrados no SEPIA. A protecção adequada dos dados pessoais será um dos elementos fundamentais desta actividade.

Mitigação e recuperação

- Até à data, apenas 12 Estados-Membros organizaram exercícios de resposta a incidentes de grande envergadura que afectem a segurança das redes e exercícios de recuperação das mesmas em caso de falha grave[23]. A ENISA elaborou um guia de boas práticas para os exercícios nacionais [24], assim como recomendações políticas para a elaboração das estratégias nacionais[25], destinado a apoiar as acções dos Estados-Membros, que devem ser intensificadas.

- O primeiro exercício pan-europeu sobre incidentes de grande envergadura a nível da segurança das redes (Cyber Europe 2010) realizou-se em 4 de Novembro de 2010 e nele participaram todos os Estados-Membros, dos quais 19 activamente, e ainda a Suíça, a Noruega e a Islândia. Será sem dúvida vantajoso que os futuros exercícios pan-europeus no domínio da cibersegurança disponham de um quadro comum baseado nos planos nacionais de emergência que garanta a articulação dos mesmos, fornecendo assim os mecanismos e procedimentos de base para as comunicações e a cooperação entre os Estados-Membros.

Cooperação internacional

- No contexto do EFMS, foram discutidos e elaborados princípios e orientações europeus para a resiliência e a estabilidade da Internet [26]. A Comissão discutirá e promoverá estes princípios com as partes interessadas relevantes, em particular o sector privado (através da parceria EP3R), bilateralmente com os principais parceiros internacionais, em particular os EUA, e também a nível multilateral. Fá-lo-á, no âmbito das suas competências, em fóruns como o G8, a OCDE, a NATO (nomeadamente com base no seu novo Conceito Estratégico, adoptado em Novembro 2010, e nas actividades do Cooperative Cyber-defense Center of Excellence ), a UIT (no contexto da criação de capacidades no domínio da cibersegurança), a OSCE (por intermédio do seu Fórum para a cooperação em matéria de segurança), a ASEAN, o Meridian[27], etc. O objectivo é transformar estes princípios e orientações num quadro comum que propicie o empenho colectivo internacional em assegurar a resiliência e a estabilidade a longo prazo da Internet.

Critérios para as infra-estruturas críticas europeias no sector das TIC

- A discussão técnica no seio do fórum EFMS conduziu à elaboração de uma primeira versão de critérios específicos para o sector das TIC a aplicar na identificação das infra-estruturas críticas europeias, incidindo mais em particular nas comunicações fixas e móveis e na Internet . A discussão técnica irá prosseguir e acolherá os resultados das consultas ao sector privado, efectuadas a nível nacional e europeu (em sede da parceria EP3R), sobre a primeira versão dos critérios. A Comissão discutirá igualmente com os Estados-Membros os elementos específicos do sector das TIC a considerar na revisão, em 2012, da Directiva relativa à identificação e designação das infra-estruturas críticas europeias e à avaliação da necessidade de melhorar a sua protecção[28].

PRÓXIMAS ETAPAS

A execução do plano de acção PICI apresenta resultados positivos, em particular o reconhecimento de que é necessária uma abordagem cooperativa da segurança das redes e da informação que envolva todas as partes interessadas. Além disso, a execução tem cumprido, nas linhas gerais, os marcos e o calendário estabelecidos em 2009. No entanto, não convém ser demasiado triunfalista, dado que há ainda muito a fazer, quer a nível nacional quer a nível europeu, para que os esforços despendidos sejam um êxito.

É também particularmente importante integrar esses esforços numa estratégia de coordenação mundial, dando-lhes, por conseguinte, uma dimensão internacional, com a colaboração de todas as partes interessadas relevantes, tendo em vista concertar acções com outras regiões, países ou organizações que procuram responder a problemas semelhantes e desenvolver parcerias que permitam partilhar abordagens e actividades conexas e evitar a duplicação de esforços.

Precisamos de promover uma cultura mundial de gestão dos riscos. O objectivo principal deverá ser a promoção de acções coordenadas para impedir, detectar, mitigar a reagir a todos os tipos de perturbações, de origem humana ou naturais, e agir judicialmente contra os autores de cibercrimes. Tal implica a condução de acções bem focalizadas contra as ameaças à segurança e os crimes informáticos.

Para o efeito, a Comissão :

- Promoverá o estabelecimento de princípios para a resiliência e a estabilidade da Internet – Devem ser elaborados princípios internacionais para a resiliência e a estabilidade da Internet com outros países, com as organizações internacionais e, se adequado, com organizações privadas mundiais – utilizando os fóruns e os processos existentes, como os relacionados com o Governo da Internet. Estes princípios devem servir de ferramenta para a formatação das actividades de todas as partes interessadas relacionadas com a estabilidade e a resiliência da Internet. Os princípios e orientações europeus poderão, nesta matéria, servir de base.

- Construirá parcerias estratégicas internacionais – Com base nos esforços em curso em domínios críticos, como a gestão de incidentes informáticos, devem ser construídas parcerias estratégicas, que prevejam, nomeadamente, exercícios e acções de cooperação entre as equipas CERT. O empenho do sector privado cujas actividades tenham dimensão mundial reveste-se de uma importância capital. O Grupo de Trabalho UE-EUA para a cibersegurança e a cibercriminalidade, criado na cimeira UE-EUA de Novembro de 2010, representa um passo importante nessa direcção. O grupo de trabalho concentrará os seus trabalhos na gestão de incidentes informáticos, nas parcerias público-privadas, na sensibilização e na cibercriminalidade. Pode também estudar opções de concertação com outras regiões ou países, nomeadamente os confrontados com problemas semelhantes, com vista a partilhar abordagens e actividades e a evitar a duplicação de esforços, na medida do necessário. Convirá que, em fóruns internacionais, como o G8, se procure estabelecer uma maior concertação e coordenação. No que à Europa diz respeito, será um factor fundamental de sucesso uma boa coordenação entre todas as instituições da UE, os organismos relevantes (em particular a ENISA e a Europol) e os Estados-Membros.

- Promoverá a confiança na informática em nuvem – É essencial intensificar as discussões sobre as melhores estratégias de governo das tecnologias emergentes com impacto mundial, como a chamada «nebulosa computacional». Estas discussões, que poderão incluir outros temas, terão forçosamente de incidir no quadro adequado de governo para a protecção dos dados pessoais. A confiança é essencial para se poder tirar partido destas tecnologias[29].

Sendo a segurança uma responsabilidade partilhada por todos, todos os Estados-Membros têm de garantir que as suas medidas e esforços nacionais contribuam colectivamente para uma abordagem europeia coordenada, destinada a impedir, detectar, mitigar e reagir a todas as espécies de perturbações e de ataques às infra-estruturas informáticas. Nesta matéria, os Estados-Membros devem comprometer-se a :

- Melhorar o estado de preparação da UE, criando, até 2012, uma rede de equipas CERT nacionais/governamentais totalmente operacionais. Na mesma linha, as instituições da UE criarão também uma CERT ao seu nível até 2012. Todos estes esforços deverão tirar partido do conjunto mínimo de capacidades e serviços básicos e das recomendações políticas conexas, elaborados pela ENISA, que continuará a fornecer o seu apoio a estas iniciativas. Esta acção irá também acelerar o desenvolvimento, até 2013, de um sistema europeu de partilha de informações e de alerta (SEPIA) para o grande público.

- Conceber um plano de emergência europeu em caso de incidente informático, até 2012, e organizar exercícios pan-europeus regulares no domínio da cibersegurança. Os exercícios no domínio da cibersegurança são um elemento importante de uma estratégia coerente de planeamento da resposta a emergências e das acções de recuperação em caso de incidentes informáticos tanto ao nível nacional como europeu. Os futuros exercícios pan-europeus no domínio da cibersegurança deverão basear-se num plano de emergência europeu para incidentes informáticos que tire partido e se articule com os planos de emergência nacionais. Tal plano deverá prever os mecanismos e procedimentos de base para as comunicações entre Estados-Membros e, igualmente importante, contribuir para a definição do âmbito e para a organização dos futuros exercícios pan-europeus. A ENISA trabalhará com os Estados-Membros na elaboração desse plano europeu de emergência para incidentes informáticos, que deverá estar pronto até 2012. Nesse mesmo prazo, todos os Estados-Membros deverão elaborar planos nacionais de emergência e prever exercícios de resposta e de recuperação.

- Coordenar os esforços europeus nos fóruns internacionais e discutir o reforço da segurança e da resiliência da Internet. Os Estados-Membros devem cooperar entre si e com a Comissão para promoverem o desenvolvimento de uma abordagem da questão da estabilidade e da resiliência da Internet a nível mundial baseada em princípios ou normas. O objectivo deverá ser promover a prevenção e a preparação a todos os níveis e por parte de todos os interessados, equilibrando assim a actual tendência das discussões para se centrarem nos ângulos militar e/ou nacional da segurança.

CONCLUSÃO

A experiência mostra que as abordagens puramente nacionais ou regionais para responder aos desafios da segurança e da resiliência não são suficientes. A cooperação europeia desenvolveu-se significativamente desde 2009, tendo conseguido resultados encorajadores, em particular o exercício Cyber Europe 2010. No entanto, a Europa deve prosseguir os seus esforços para construir uma abordagem coerente e cooperativa em toda a UE. Uma ENISA modernizada deve intensificar o apoio que presta aos Estados-Membros, às instituições da UE e ao sector privado neste empreendimento de longo prazo.

Para serem coroados de êxito, os esforços europeus têm de ser integrados numa abordagem coordenada a nível mundial. Para isso, a Comissão promoverá as discussões sobre cibersegurança em todas as instâncias internacionais adequadas.

Em 14-15 de Abril de 2011, terá lugar uma Conferência Ministerial dedicada ao tema da protecção das infra-estruturas críticas da informação, organizada pela Presidência Húngara da UE. Será uma oportunidade de ouro para reforçar o compromisso de intensificar a cooperação e coordenação entre os Estados-Membros, tanto a nível europeu como a nível internacional.

ANEXO

O plano de acção PICI: descrição detalhada dos objectivos já alcançados e das próximas etapas

Os resultados das acções conduzidas no contexto do plano de acção PICI cumprem, grosso modo, os marcos e o calendário estabelecidos pela Comissão em 2009. Descrevem-se em seguida as «realizações» e as «próximas etapas» relativamente a todos os pilares. O panorama apresentado tem em conta o facto de algumas acções terem sido mais desenvolvidas na Agenda Digital para a Europa (ADE) e na Estratégia de Segurança Interna em Acção (ISS).

1. Preparação e prevenção

Base comum de capacidades e serviços para uma cooperação pan-europeia

Realizações

- Em 2009, a ENISA, juntamente com a rede de equipas de resposta a emergências informáticas (CERT) da Europa, elaborou e aprovou uma base mínima de capacidades e serviços que as CERT nacionais/governamentais devem possuir para funcionarem eficazmente em apoio da cooperação pan-europeia. Conseguiu-se um consenso quanto à lista de requisitos indispensáveis nos domínios do funcionamento operacional, das capacidades técnicas, do mandato e da cooperação[30].

- Em 2010, a ENISA trabalhou com a rede de equipas CERT da Europa no sentido de transformar os ditos requisitos, de orientação operacional, num conjunto de recomendações políticas[31], para que as CERT nacionais/governamentais funcionem como a componente essencial da capacidade nacional em termos de preparação, partilha de informações, coordenação e resposta.

- Até ao momento, 20 Estados-Membros[32] criaram CERT nacionais/governamentais e quase todos os outros têm planos no mesmo sentido. Como anunciado na Agenda Digital para a Europa e especificado com mais detalhe na ISS, a Comissão propôs a criação, até 2012, de uma CERT para as instituições da UE.

Próximas etapas

- A ENISA continuará a apoiar os Estados-Membros que ainda não criaram CERT nacionais/governamentais que satisfaçam os requisitos básicos acordados, acima mencionados, por forma a garantir o cumprimento do objectivo de ter equipas dessa natureza totalmente operacionais em todos os Estados-Membros no final de 2011. O cumprimento desta etapa abrirá caminho ao estabelecimento, até 2012 , de uma rede de CERT totalmente operacionais a nível nacional, como previsto na Agenda Digital para a Europa.

- A ENISA, com a cooperação das CERT nacionais/governamentais, estudará a possibilidade de alargar as «capacidades básicas» e a melhor forma de o fazer, tendo em vista adaptar a capacidade das CERT para ajudarem os Estados-Membros a garantir a resiliência e a estabilidade das infra-estruturas TIC vitais e para se tornarem a espinha dorsal do sistema europeu de partilha de informações e de alerta (SEPIA) para os cidadãos e as PME, a construir com recursos e capacidades nacionais até 2013 , como anunciado na Comunicação ISS.

Parceria público-privada europeia para a resiliência (EP3R).

Realizações

- A EP3R foi lançada em 2009 enquanto quadro de governação europeu para a resiliência das infra-estruturas TIC, promovendo a cooperação entre os sectores público e privado no que toca aos objectivos de segurança e resiliência, aos requisitos básicos e às boas práticas e medidas políticas. Como declarado na Comunicação sobre a estratégia de segurança interna da UE (ISS), a EP3R irá igualmente « associar-se a parceiros internacionais para reforçar a gestão do risco das redes de TI à escala mundial ». A ENISA tem facilitado as actividades da EP3R.

- Consultaram-se as partes interessadas privadas e públicas para definir os objectivos, princípios e estrutura da EP3R, assim como os incentivos à participação activa das partes interessadas relevantes[33]. Na proposta de modernização da ENISA, foram definidos os domínios prioritários da EP3R[34].

- Paralelamente à concepção da estrutura da EP3R, foram criados, no final de 2010, três grupos de trabalho que irão debruçar-se sobre a) os activos, recursos e funções essenciais para o fornecimento contínuo e seguro de comunicações electrónicas em todos os países; b) os requisitos básicos para a segurança e a resiliência das comunicações electrónicas; c) as necessidades de coordenação e cooperação e os mecanismos de preparação e resposta a perturbações de grande envergadura que afectem as comunicações electrónicas.

- Em 2010, a proposta de modernização da ENISA apresentada pela Comissão ofereceu um quadro de longo prazo e sustentável para a EP3R: propôs que a ENISA apoiasse « a cooperação entre as partes interessadas públicas e privadas a nível da União, através, nomeadamente, da promoção da partilha de informações e da sensibilização, assim como da facilitação dos seus esforços para desenvolverem e adoptarem normas para a gestão dos riscos e para a segurança dos produtos, das redes e dos serviços electrónicos ».

Próximas etapas

- Em 2011, a EP3R continuará a reforçar a cooperação entre as partes interessadas dos sectores público e privado, tendo em vista melhorar a segurança e a resiliência através de medidas e instrumentos inovadores e definir as respectivas responsabilidades. Tirando partido do papel facilitador e de apoio da ENISA, os grupos de trabalho da EP3R irão apresentar os seus primeiros resultados. A futura actividade dirá igualmente respeito aos desafios que se colocam às redes inteligentes em termos de cibersegurança e basear-se-á no trabalho preparatório que está a ser realizado pela Comissão e pela ENISA.

- A EP3R servirá de plataforma para uma concertação a nível mundial sobre as questões de política pública, económicas e de mercado relevantes para a segurança e a resiliência. A Comissão tenciona tirar partido da EP3R para apoiar as actividades do Grupo de Trabalho UE–EUA para a cibersegurança e a cibercriminalidade, tendo em vista proporcionar um ambiente coerente para a cooperação entre os sectores público e privado, no respeito das regras aplicáveis em matéria de concorrência e de auxílios estatais.

- A longo prazo e em conformidade com o novo regulamento ENISA proposto, prevê-se que a EP3R venha a ser uma actividade essencial da ENISA modernizada.

O Fórum Europeu de Estados-Membros (EFMS)

Realizações

- O EFMS foi criado em 2009 para promover o debate e o intercâmbio de boas práticas políticas entre as autoridades públicas relevantes, tendo em vista partilhar objectivos e prioridades políticas em matéria de segurança e resiliência das infra-estruturas TIC, beneficiando directamente do trabalho da ENISA e do apoio por ela fornecido. O EFMS, que se reúne de três em três meses, conta, desde meados de 2010, com o apoio de um portal Web dedicado, gerido pela ENISA.

- O EFMS realizou progressos significativos nos seguintes domínios: a) definição de critérios para identificar as infra-estruturas TIC europeias no contexto da Directiva relativa à identificação e designação das infra-estruturas críticas europeias[35]; b) definição das prioridades, princípios e orientações europeus para a resiliência e a estabilidade da Internet; c) intercâmbio de boas práticas políticas, designadamente em matéria de exercícios de cibersegurança.

- Os Estados-Membros reconhecem ser o EFMS uma importante plataforma de debate e de intercâmbio de boas práticas políticas[36].

Próximas etapas

- Em 2011, o EFMS ultimará a discussão técnica dos critérios TIC para as infra-estruturas críticas europeias e fornecerá as orientações e prioridades a longo prazo dos exercícios pan-europeus de grande escala sobre a segurança das redes e da informação.

- O EFMS participará ainda na discussão das prioridades da concertação internacional em matéria de segurança e resiliência, nomeadamente no respeitante às actividades do Grupo de Trabalho UE-EUA para a cibersegurança e a cibercriminalidade.

- Os domínios prioritários para as futuras actividades do fórum, que se basearão e beneficiarão do apoio directo da ENISA, incluem[37]: a concepção de métodos para a cooperação eficaz entre as CERT nacionais/governamentais; a inclusão dos requisitos mínimos nos contratos públicos para promover a cibersegurança; a definição dos incentivos de natureza económica e regulamentar à tomada de medidas no domínio da segurança e da resiliência (no respeito das regras aplicáveis em matéria de concorrência e de auxílios estatais); a avaliação do estado da cibersegurança na Europa.

- Detecção e resposta

Sistema europeu de partilha de informações e de alerta (SEPIA)

Realizações

- Dois projectos protótipos (FISHAS e NEISAS) financiados pela Comissão estão actualmente a produzir os resultados finais.

- Baseando-se no seu relatório de viabilidade de 2007[38] e na análise de projectos pertinentes a nível nacional e europeu, a ENISA elaborou um roteiro de alto nível para o desenvolvimento do SEPIA até 2013[39].

Próximas etapas

- Em 2011, a ENISA ajudará os Estados-Membros a implementarem o roteiro do SEPIA, definindo os «serviços básicos» de que os Estados-Membros necessitam para estabelecerem os seus próprios sistemas nacionais de partilha de informações e de alerta (SPIA), assentes na capacidade das respectivas CERT nacionais/governamentais.

- Em 2012, a ENISA definirá os «serviços de interoperabilidade» que permitirão a cada SPIA integrar-se funcionalmente no SEPIA. A ENISA também prestará assistência aos Estados-Membros na fase de teste desses serviços aproveitando a integração faseada dos sistemas nacionais.

- Ao longo de 2011-2012, a ENISA envolverá as CERT nacionais/governamentais na integração da função SPIA nos serviços dessas equipas.

- Mitigação e recuperação

Planos nacionais de emergência e exercícios

Realizações

- No final de 2010, 12 Estados-Membros tinham elaborado um plano nacional de emergência e/ou organizado exercícios para responder a incidentes de grande envergadura que afectem a segurança das redes e para as recuperar após falha grave[40].

- Fundando-se nas experiências nacionais e internacionais, a ENISA elaborou um guia de boas práticas para os exercícios nacionais[41], organizou eventos com os Estados-Membros e com equipas CERT de todo o mundo consagrados aos exercícios nacionais e, mais recentemente, emitiu recomendações políticas para a elaboração de estratégias nacionais que atribuam às CERT/CSIRT nacionais/governamentais um papel central na condução dos exercícios e dos testes no âmbito dos planos nacionais de emergência, envolvendo as partes interessadas dos sectores privado e público[42].

Próximas etapas

- A ENISA continuará a apoiar os esforços dos Estados-Membros para elaborarem planos nacionais de emergência e organizarem exercícios periódicos de resposta a incidentes de grande envergadura que afectem a segurança das redes e de recuperação em caso de falha grave, avançando assim no sentido de uma coordenação pan-europeia.

Exercícios pan-europeus de resposta a incidentes de grande envergadura que afectem a segurança das redes

Realizações

- O primeiro exercício pan-europeu sobre incidentes de grande envergadura que afectem a segurança das redes ( Cyber Europe 2010 ) realizou-se em 4 de Novembro de 2010 e nele participaram todos os Estados-Membros, dos quais 19 activamente, e ainda a Suíça, a Noruega e a Islândia. O exercício foi organizado e avaliado[43] pela ENISA e contou com a participação activa, na equipa de planeamento, de oito Estados-Membros e com o apoio tecnológico do Centro Comum de Investigação (CCR).

Próximas etapas

- Em 2011, os Estados-Membros irão discutir o objectivo e âmbito do próximo exercício pan-europeu no domínio da cibersegurança, previsto para 2012. Será considerada a hipótese de uma abordagem faseada, com exercícios mais aprofundados, envolvendo um grupo mais pequeno de Estados-Membros, com a eventual participação de actores internacionais. A ENISA continuará a apoiar este processo.

- A Comissão apoia financeiramente o projecto EuroCybex, que realizará um exercício de simulação no segundo semestre de 2011.

- Os exercícios no domínio da cibersegurança são um elemento importante de uma estratégia coerente de planeamento da resposta a emergências em caso de incidentes no domínio da cibersegurança tanto ao nível nacional como europeu. Por conseguinte, os futuros exercícios pan-europeus deverão basear-se num plano de emergência europeu para incidentes no domínio da cibersegurança que tire partido e se articule com os planos de emergência nacionais. Tal plano deverá fornecer os mecanismos e procedimentos de base para as comunicações entre Estados-Membros e, igualmente importante, um apoio para a definição do âmbito e para a organização dos futuros exercícios pan-europeus. A ENISA trabalhará com os Estados-Membros na elaboração desse plano europeu de emergência, que deverá estar pronto até 2012. Nesse mesmo prazo, todos os Estados-Membros deverão elaborar planos nacionais de emergência e prever exercícios de resposta e recuperação. O EFMS assegurará a coordenação necessária para atingir o resultado desejado.

Cooperação reforçada entre CERT nacionais/governamentais

Realizações

- A cooperação entre as CERT nacionais/governamentais intensificou-se. O trabalho da ENISA sobre as capacidades de base das CERT nacionais/governamentais, os exercícios das CERT e os exercícios nacionais e a gestão de incidentes informáticos serviu de estímulo e de apoio a uma cooperação pan-europeia mais forte entre as CERT nacionais/governamentais.

Próximas etapas

- A ENISA continuará a apoiar a cooperação entre as CERT nacionais/governamentais. Para isso, produzirá, em 2011, uma análise dos requisitos e fornecerá orientações para a criação de um canal adequado e seguro de comunicação com as CERT, incluindo um roteiro para a sua implementação e futuro desenvolvimento. A ENISA analisará também as lacunas operacionais existentes a nível europeu e indicará o modo como a colaboração transnacional entre as CERT e as partes interessadas relevantes pode ser reforçada, em particular para a coordenação da resposta a incidentes.

- Na Agenda Digital para a Europa apela-se aos Estados-Membros para que estabeleçam, até 2012 , a nível nacional, uma rede de CERT totalmente operacional.

- Cooperação internacional

Estabilidade e resiliência da Internet

Realizações

- Com base no trabalho do EFMS, foram elaborados os princípios e as orientações europeus para a resiliência e a estabilidade da Internet[44].

Próximas etapas

- Em 2011, a Comissão: promoverá e discutirá os princípios quer no âmbito da cooperação bilateral com os parceiros internacionais, em particular os Estados Unidos, quer em discussões multilaterais no seio do G8, da OCDE, do Meridian e da UIT, consultará as partes interessadas relevantes, em particular o sector privado, a nível europeu (através da EP3R) e a nível internacional (através do Fórum sobre o Governo da Internet e de outros fóruns apropriados) e promoverá o debate com os principais actores/organizações da Internet.

- Em 2012, os parceiros internacionais serão convidados a participar na conversão dos princípios e orientações num quadro comum para o envolvimento colectivo internacional na questão da resiliência e da estabilidade a longo prazo da Internet.

Exercícios a nível mundial de recuperação e mitigação dos efeitos de incidentes informáticos de grande envergadura

Realizações

- Sete Estados-Membros[45] participaram no exercício americano no domínio da cibersegurança, Cyber Storm III , na qualidade de parceiros internacionais. A Comissão e a ENISA participaram como observadores.

Próximas etapas

- Em 2011, a Comissão elaborará com os Estados Unidos, sob a égide do Grupo de Trabalho UE-EUA sobre cibersegurança e cibercriminalidade, um programa comum e um roteiro tendo em vista a organização de exercícios transcontinentais comuns ou sincronizados no domínio da cibersegurança em 2012/2013. Serão também consideradas modalidades de concertação com outras regiões ou países confrontados com problemas similares, tendo em vista o acerto de abordagens e de actividades.

- Critérios para as infra-estruturas críticas europeias no sector das TIC

Critérios específicos para a identificação das infra-estruturas críticas europeias no sector das TIC

Realizações

- A discussão técnica travada em sede do EFMS sobre os critérios específicos para o sector das TIC resultou numa primeira versão desses critérios para as comunicações fixas e móveis e a Internet.

Próximas etapas

- O EFMS irá prosseguir a discussão técnica sobre os critérios específicos para o sector das TIC, tendo em vista a sua conclusão até ao final de 2011. Paralelamente, estão previstas consultas de alguns Estados-Membros ao sector privado sobre a primeira versão dos critérios para as TIC e também consultas a nível europeu através da EP3R.

- A Comissão discutirá com os Estados-Membros os elementos específicos do sector das TIC a ter em conta para a revisão da Directiva 2008/114/CE, relativa à identificação e designação das infra-estruturas críticas europeias, em 2012.

-

[1] COM(2009) 149.

[2] Resolução do Conselho de 18 de Dezembro de 2009 sobre uma abordagem de colaboração europeia no domínio da segurança das redes e da informação (2009/C 321/01).

[3] COM(2010) 245.

[4] Conclusões do Conselho de 31 de Maio de 2010 relativas à Agenda Digital para a Europa (10130/10).

[5] COM(2010) 2020 e Conclusões do Conselho Europeu de 25/26 de Março de 2010 (EUCO 7/10).

[6] COM(2010) 517 final.

[7] COM(2010) 521.

[8] COM(2010) 171.

[9] COM(2010) 673.

[10] SEC(2009) 399.

[11] Comunicação conjunta sobre uma parceria para a democracia e a prosperidade partilhada com o sul do Mediterrâneo; COM(2011) 200 final de 8.3.2011.

[12] Ou seja, ataques contínuos e coordenados contra organismos governamentais e o sector público. Começa agora a tornar-se um problema para o sector privado (ver o " RSA 2011 cybercrime trends report ").

[13] Ver os relatórios do projecto Information Warfare Monitor : "Tracking GhostNet: investigating a Cyber Espionage Network" (2009) e "Shadows in the Cloud: Investigating Cyber Espionage 2.0" (2010).

[14] Ver Q&A em: http://europa.eu/rapid/pressReleasesAction.do?reference=MEMO/11/34&format=HTML&aged=0&language=EN&guiLanguage=fr.

[15] Por exemplo, os recentes ataques contra o Governo francês.

[16] Ver projecto da OCDE/IFP "Future Global Shocks", "Reducing systemic cyber-security risks", 14 de Janeiro de 2011, em http://www.oecd.org/dataoecd/3/42/46894657.pdf.

[17] Ver http://www.enisa.europa.eu/media/press-releases/stuxnet-analysis

[18] Ver "Global Risks 2011" do Fórum Económico Mundial.

[19] Em resposta ao quinto relatório da Comissão para a União Europeia da Câmara dos Lordes sobre o plano de acção PICI, o Governo do Reino Unido declarou que o EFMS « tem sido um êxito e veio responder à necessidade real dos decisores políticos de terem uma oportunidade para trocarem experiências » .

[20] Ver http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-for-national-governmental-certs.

[21] Ver http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations.

[22] http://www.enisa.europa.eu/act/cert/other-work/eisas_folder/eisas_roadmap.

[23] Fonte: ENISA.

[24] Ver http://www.enisa.europa.eu/act/res/policies/good-practices-1/exercises/national-exercise-good-practice-guide/at_download/fullReport.

[25] Ver http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations.

[26] Ver http://ec.europa.eu/information_society/policy/nis/index_en.htm

[27] O processo Meridian visa dotar os governos de todo o mundo de um meio através do qual possam discutir o modo de cooperar a nível das políticas no que respeita à protecção das infra-estruturas críticas da informação (PICI). Ver http://meridianprocess.org/

[28] Directiva 2008/114/CE do Conselho.

[29] Ver, por exemplo, os relatórios da ENISA " Cloud Computing Information Assurance Framework " (2009), em http://www.enisa.europa.eu/act/rm/files/deliverables/cloud-computing-information-assurance-framework/at_download/fullReport) e " Security and resilience in governmental clouds " (2011), em http://www.enisa.europa.eu/act/rm/emerging-and-future-risk/deliverables/security-and-resilience-in-governmental-clouds/).

[30] Ver http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-for-national-governmental-certs.

[31] Ver http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations.

[32] Fonte ENISA.

[33] Ver http://ec.europa.eu/information_society/policy/nis/strategy/activities/ciip/impl_activities/index_en.htm

[34] COM(2010) 521.

[35] Directiva 2008/114/CE do Conselho.

[36] Em resposta ao quinto relatório da Comissão da Câmara dos Lordes para a União Europeia sobre o plano de acção PICI, o Governo do Reino Unido declarou que o EFMS « tem sido um êxito e veio responder à necessidade real dos decisores políticos de terem uma oportunidade para trocarem experiências » .

[37] COM(2010) 251.

[38] Ver http://www.enisa.europa.eu/act/cert/other-work/files/EISAS_finalreport.pdf

[39] http://www.enisa.europa.eu/act/cert/other-work/eisas_folder/eisas_roadmap

[40] Ver http://www.enisa.europa.eu/act/res/policies/good-practices-1/exercises/national-exercise-good-practice-guide/at_download/fullReport.

[41] Ver http://www.enisa.europa.eu/act/res/policies/good-practices-1/exercises/national-exercise-good-practice-guide/at_download/fullReport.

[42] Ver http://www.enisa.europa.eu/act/cert/support/files/baseline-capabilities-of-national-governmental-certs-policy-recommendations.

[43] Ver http://www.enisa.europa.eu/.

[44] Ver http://ec.europa.eu/information_society/policy/nis/index_en.htm

[45] Alemanha, França, Hungria, Itália, Países Baixos, Reino Unido e Suécia.