PT    PT PT 
PT    PT  COMISSÃO DAS COM UNIDADES EUROPEIAS 
Bruxelas, 30.3.2009 
SEC(2009) 400 
  
DOCUMENTO DE TRABALHO DO S SERVIÇOS DA COMISSÃO 
que acompanha a 
   
COMUNICAÇÃO DA COMISSÃO AO CONSELHO, AO PARLAMENTO 
EUROPEU, AO COMITÉ ECONÓMICO E SOCIAL EUROPEU E AO COMITÉ DAS 
REGIÕES 
 
Protecção das infra-estruturas críticas da informação 
"Proteger a Europa contra os ciberataques e as  perturbações em grande  escala: melhorar a 
preparação, a segurança e a resiliência"  
   
RESUMO DA AVALIAÇÃO DE IMPACTO 
 
{COM(2009) 149} 
{SEC(2009) 399} 
PT 2   PT RESUMO DA AVALIAÇÃO DE IMPACTO  
1. QUAL É O PROBLEMA ? 
O sector das TIC é vital par a economia da União Europeia e para a sociedade 
As tecnologias da informação e das comunicaçõ es (TIC) tornaram-se a espinha dorsal do 
conjunto da economia e da sociedade na União Europeia. O sector das TIC é vital para 
todos os segmentos da sociedade . As empresas dependem do sector das TIC  quer 
directamente para as vendas quer para a eficiênc ia / eficácia dos seus processos internos. As 
TIC também são cada vez mais instrumentais para o funcionamento dos governos e das 
administrações públicas : a adesão aos serviços de governo electrónico a todos  os níveis, ao 
mesmo tempo que garante procedimentos mais ef icientes, torna o sector público fortemente 
dependente das TIC para muitas operações. Por último, mas ne m por isso menos importante,  
os cidadãos dependem cada vez mais dos serv iços da sociedade da informação e utilizam 
cada vez mais as TIC nas suas actividades diárias : para além dos efeitos negativos que uma 
perturbação nas redes electrónicas terá em ta is actividades, são cada vez mais os dados 
pessoais dos cidadãos comunicados e transmiti dos electronicamente. Medidas de protecção 
inadequadas poderão originar a perda de inform ações pessoais sensíveis e criar riscos de 
roubo de identidade ou  de outras fraudes1. O reforço da segurança e da resiliência de tais 
infra-estruturas é, por conseguinte, também  absolutamente vital para a protecção dos 
dados pessoais dos cidadãos e para a garantia do direito à privacidade.  
Os sistemas e serviços TIC são uma infra-estr utura vital em si mesmos, mas são também uma 
plataforma que subjaz a outras infra-estruturas t ecnológicas e sociais críticas. Este facto foi 
reconhecido no Livro Verde da Comissão Eur opeia relativo a um Programa Europeu de 
Protecção das Infra-Estruturas Críti cas (PEPIC), em que o conceito de  infra-estruturas 
críticas  da informação (ICI) abrange todos " os sistemas TIC que são infra-estruturas 
críticas em si mesmos ou que são essenciais par a o funcionamento de infr a-estruturas críticas 
(telecomunicações, computadores/softw are, Internet, satélites, etc.) "2, à semelhança da 
abordagem seguida pela OCDE3.  
Apesar das diferenças terminológicas existentes,  o que é importante é que a noção de ICI 
conduza a uma perspectiva sistémica das polí ticas que visam o funcionamento seguro e 
contínuo dos sistemas, serviços , redes e infra-estruturas TIC  (na designação genérica, "as 
infra-estruturas TIC"), das quais a  Internet é uma componente muito importante , devido à 
sua difusão generalizada e ao proc esso de convergência tecnológica. 
                                                 
1 http://www.times online.co.uk/tol/news/uk/crime/article4211711.ece 
2 COM(2005) 576 final 
3 http://www.oecd.org/dataoecd/1/13/40825404.pdf . 
PT 3   PT O que está em jogo 
A omnipresença das ICI implica que os ef eitos das ciber-perturbações possam ter  
repercussões em toda a sociedade .  
Muitas vezes, os riscos devidos  a ataques humanos, a calamidades naturais ou a falhas 
técnicas não são totalmente compreendi dos e/ou analisados. Consequentemente, a 
sensibilização de todos os interessados é in suficiente para conceber salvaguardas e 
contramedidas adequadas.  
Os ciberataques atingiram um níve l de sofisticação sem precedentes  e são muitas vezes 
perpetrados por indivíduos ou por grupos crimi nosos para fins lucrativos ou por razões 
políticas. Os ciberataques de grande enverga dura que tiveram lugar na Estónia, na 
Lituânia e na Geórgia são exem plos de uma tendência geral.  O número enorme de vírus, 
de vermes e de outros tipos de malware  (software malévolo), a expansão das redes de 
computadores "zombies" e o au mento do correio indesejado ( spam ) confirmam a gravidade 
do problema4. As infra-estruturas TIC são alvo de ataques  constantes e, se Europa não se 
preparar, o impacto dos ataques será muito mais grave.  
A forte dependência de toda a economia/socied ade das infra-estruturas críticas da informação, 
a sua interligação transfronteiras e a relação de interdependência com outras infra-estruturas 
tornam necessário abordar a questão da sua segurança e resiliência numa perspectiva 
sistémica como linha da frente da defesa  contra falhas e ataques, a somar e 
complementarmente a medidas de prevenção, de combate e de repressão de actividades criminosas e terroristas que tenham por alvo estas infra-estruturas.  
Natureza do problema 
Actualmente,  a segurança e a resiliência das ICI s ão questões essencialmente tratadas a 
nível nacional, havendo pouca coordenação a nível pan-europeu. A inexistência de uma 
cooperação transfronteiras sistemática reduz su bstancialmente a eficácia das medidas de 
combate tomadas a nível doméstico. Além disso, o baixo nível de segurança e de 
resiliência das ICI num país pode aumentar  as vulnerabilidades e os riscos noutros 
países.  
Uma vez que as ICI têm uma dimensão planet ária, estão estreitame nte interligadas e 
interdependentes  em relação a outras infra-estruturas, não é possível garantir a sua segurança 
e resiliência  por intermédio de abordagens pur amente nacionais e descoordenadas. Além 
disso,  é percepção comum que as forças de merca do não fornecem incentivos suficientes 
ao sector privado para investir na pr otecção das ICI ao nível que os governos 
normalmente exigem.  
As causas subjacentes ao problema geral  acima descrito são as seguintes: 
• Abordagens díspares, nos Estados-Membros , das políticas públicas em matéria de 
segurança e resiliência das infra-estruturas críticas da informação . As políticas dos 
Estados-Membros nesta matéria apresentam  diferenças. Além disso, o nível de 
competência e de preparação não parece ser homogéneo, como frisa a análise das abordagens nacionais efectua da pela Comissão e confirmada por um relatório da Agência 
Europeia para a Segurança das Redes e da Informação (ENISA)
5; 
                                                 
4 COM(2006) 688 final  
5 http://www.enisa.europa.eu/d oc/pdf/resilience/stock_taki ng_final_report_2008.pdf 
PT 4   PT • Difícil adesão a novos modelos de governação à escala europeia . O reforço da 
segurança e da fiabilidade das ICI coloca desafios peculiares em termos de governação . 
Os governos  são responsáveis  por definir as políticas relativas às ICI, mas o 
envolvimento do sector  privado é essencial  para a sua implementação . As parcerias 
público-privadas  (PPP) emergiram a nível nacional co mo o modelo de referência para 
gerir esta combinação de responsabilidades. No entanto, apesar do consenso geral de que as PPP também seriam desejáveis ao nível eu ropeu, até à data não se materializaram;  
• Capacidade limitada da Europa em term os de alerta rápido e de resposta a 
incidentes . As consultas deixaram perceber as dife renças existentes nos sistemas nacionais 
de alerta rápido e de resposta a incident es. Alguns Estados-Membros não recebem por 
rotina os relatórios dos incidentes de se gurança nas redes (embora alguns operadores 
tenham adoptado informalmente entre si essa prática) e/ou não criaram uma organização 
que centralize esses relatórios. A cooperaçã o e a partilha de informações entre as 
entidades a nível governamental  parecem não estar suficientemente desenvolvidas , 
sendo dificultadas pela falta de mecanismos de partilha e coordenação de confiança, o que, 
por sua vez, exige que todas as equipas nacionais / governamentais de resposta a 
emergências informáticas (CERT – Computer Emergency Response Teams ) estejam a 
funcionar bem, ou seja, que possuam uma base comum em termos de capacidades.  
Além disso, os exercícios e as simulações práticas a nível da UE , elemento fundamental 
para reforçar a seguran ça e a resiliência das ICI,  encontram-se ainda em estado 
embrionário ; 
• Fraca sensibilização para os riscos que ameaçam a segurança e a resiliência da 
Internet . A Internet, por natureza uma infra- estrutura distribuíd a e redundante, tem 
provado até à data ser bastante robusta e resiliente . No entanto, é legítimo  questionar  a 
sua capacidade para continuar a resistir ao número crescente  de perturbações e 
ciberataques, tendo em conta o seu crescimento fenomenal , a sua crescente 
complexidade  e a emergência de novos serviços . 
Nenhum país é uma ilha . O carácter planetário das ICI, e em particular da Internet, exige 
uma abordagem mundial comum  da segurança e da resiliência. É através de uma forte 
coordenação a nível da UE que se pode  produzir um impacto directo a nível 
internacional.   
2. QUAIS OS FUNDAMENTOS PARA UMA ACÇÃO DA UNIÃO EUROPEIA ? 
Uma abordagem puramente nacional para resolv er os problemas acima referidos pode 
não ser suficiente . Dados os efeitos transfronteira s significativos, muitas ameaças à 
segurança das redes e da informação são fonte potencial de externalidades transfronteiras 
negativas que não podem ser combatidas eficazmente a nível nacional, podendo causar perturbações noutros países.  
Uma abordagem integrada à escala da União Europeia para reforçar a segurança e a 
resiliência das ICI complementará devidame nte e trará valor acrescentado europeu aos 
programas nacionais que visam proteger as infra-estruturas críticas da informação  e aos 
planos de cooperação em vigor entre os Esta dos-Membros. Como muitos desafios e questões 
são comuns, uma abordagem comu m beneficiará toda a gente. 
As discussões que se seguiram ao ataque na  Estónia sugerem que os efeitos de eventos 
similares podem ser limitados por  medidas preventivas  – tais como um intercâmbio mais 
estruturado de informações a nível europeu – e por  uma acção coordenada  no momento da 
crise. A Comissão, no respeito integral do  princípio da subsidiariedade , está em posição 
PT 5   PT ideal para coordenar esses esforços, em estre ita cooperação com os Estados-Membros e outras 
organizações internacionais. 
Além disso, as preocupações com a seguran ça nacional, embora desempenhando um papel 
importante na definição das polí ticas e obrigações em matéria de segurança das redes e da 
informação, podem conduzir a uma compartimentação regulamentar e afectar a competitividade da União Europeia no seu todo  e as capacidades de criação de riqueza do 
mercado único europeu. 
Em 2006, a Comissão anunciou
6 a sua intenção de desenvolver, no âmbito do Programa 
Europeu de Protecção das Infra-Estruturas Críticas7 (PEPIC), uma política específica para o 
sector das TIC "com vista a reforçar a segurança e a resistência das redes e sistemas de 
informação".  Este anúncio foi saudado pelo Conselho Europeu em 20078. 
A presente iniciativa terá na de vida conta a dimensão internaci onal, assentando em princípios 
reconhecidos como os princípios do G8 sobr e a protecção das infra-estruturas críticas da 
informação, a Resolução 58/199 da Assembleia Geral das Nações Unidas "Criação de uma 
cultura global de cibersegurança e de protecção das infra-estruturas críticas da informação" e 
a recente Recomendação da OCDE sobre a prot ecção das infra-estruturas críticas da 
informação.  
Por fim, mas não menos importante, a inicia tiva política proposta tem em conta, e não 
duplica, as actividades da NATO em matéria de cibersegurança, ce ntradas nos aspectos 
militares – ou seja, a política comum de  ciberdefesa e as actividades da Cyber Defence 
Management Authority  (CDMA), assim como as contribuições do Cooperative Cyber Defence 
Centre of Excellence  (CCD-COE) da NATO.  
3. QUAIS SÃO OS OBJECTIVOS ?  
O objectivo da presente iniciativa é  melhorar o nível de prepar ação e de resposta em toda 
a Europa  contra os riscos e ameaças descritos, evitando uma abordagem compartimentada 
por parte dos Estados-Membros. A iniciativa cen tra-se na definição de processos comuns 
flexíveis para lidar com as ameaças conhecida s e desconhecidas. As partes interessadas 
pertinentes dos sectores público e privad o devem garantir que sejam instauradas medidas 
adequadas e coerentes de prevenção, det ecção, resposta a emergências e recuperação,  
por forma a atingir  o nível correcto de segurança e resiliência das ICI e garantir a 
continuidade dos serviços . A melhoria da segurança e da  resiliência produzirá igualmente  
efeitos positivos na protecção dos dados pessoais e da privacidade dos cidadãos da União 
Europeia . 
O objectivo geral da presente proposta, que é  garantir a segurança e a resiliência das ICI 
como primeira linha de defesa , pode ser atingido através de quatro objectivos específicos: 
(1) Colmatar as lacunas existentes nas políticas  nacionais em matéria de segurança e de 
resiliência das infra-estrutur as críticas da informação; 
(2) Melhorar a governação europeia no que respe ita à segurança e à resiliência das infra-
estruturas críticas da informação; 
(3) Reforçar a capacidade de resposta operacional da Europa a incidentes; 
                                                 
6 COM(2006) 251. 
7 COM(2006) 786. 
8 Resolução do Conselho 2007/C 68/01. 
PT 6   PT (4) Aumentar a segurança e a resiliência da Internet. 
4. QUAIS SÃO AS OPÇÕES POLÍTICAS ? 
Opção 1:  Manutenção do statu quo  
Não propor uma nova acção não seria uma opção viável . Sem acções horizontais a nível 
da UE, os Estados-Membros continuariam a agir  individualmente ou num quadro bilateral ou 
multilateral limitado. Haveria o  risco associado à evolução das diferentes abordagens 
nacionais,  que poderão ser incompatíveis. Além di sso, a cooperação transfronteiras seria 
circunstancial e eventualmente ineficaz devido à sofisticação e à escala dos ciberataques. 
Atendendo a que, nesse caso, os Estados-Mem bros continuariam a responder a estes 
problemas a ritmos diferentes, as partes interessadas  poderiam coibir-se de investir na 
segurança e na resiliência das infra-estruturas , dado que a multiplicidade de normas e 
obrigações diminuiria a sua competitividade.  A natureza transfronteiras do problema 
acentuaria as diferenças no domínio da segurança,  da resiliência e do grau de preparação em 
toda a Europa. A vulnerabilidade das ICI na Eu ropa manter-se-ia elevada e possivelmente 
aumentaria, apesar dos esforços de cada um.  
Opção 2: Quadro não vinculativo  
A Comissão  forneceria um quadro de coordenação e cooperação , na forma de uma 
comunicação e de um plano de acção que envolver ia os Estados-Membros, o sector privado e 
a sociedade civil. A comunicação poderia ser ap rovada pelo Conselho da União Europeia e o 
Parlamento Europeu poderia também deci dir contribuir pa ra a discussão. 
A iniciativa centrar-se-ia nos objectivos atrás menci onados, propondo especificamente: 
(1) Promover a coerência entre as políticas na cionais no domínio da segurança e da 
resiliência das infra-estruturas críticas da informação através das seguintes 
medidas: 
• identificando exemplos de práticas de  políticas públicas que possam servir de 
modelo, e pontos comuns; 
• criando um fórum europeu em que os Estados-Membros possam partilhar 
informações e boas práticas políticas em matéria de segurança e resiliência das 
ICI. 
(2) Melhorar a governação europeia no que res peita à segurança e à resiliência das 
infra-estruturas críticas da informação, através das seguintes medidas: 
• lançando uma Parceria público-privada europeia para a resiliência  (PPPER)  
para desenvolver a cooperação entre os sectores público e privado, centrada em 
objectivos, requisitos básicos, boas prátic as políticas e medidas em matéria de 
segurança e resiliência.  
(3) Reforçar a capacidade de resposta operacional da Europa a incidentes, através 
das seguintes medidas: 
• criando equipas CERT9 nacionais / governamentais bem "afinadas", enquanto 
componentes essenciais da capacidade nacional em matéria de preparação, 
partilha de informações, coordenação e reacção; 
                                                 
9 Equipas de resposta a emergências informáticas ( Computer Emergency Response Teams ) 
PT 7   PT • acordando num nível mínimo de capacidades e serviços para as CERT nacionais / 
governamentais; 
• promovendo a cooperação europeia entr e as CERT nacionai s / governamentais; 
facilitando o contacto e a cooperação entr e as capacidades nacionais de reacção; 
organizando exercícios pan-europeus e/ou regionais sobre simulações de 
incidentes de grande envergadura; 
• promovendo a definição de planos de conti ngência para responder a incidentes nas 
redes e levar a cabo acções de re cuperação após calamidades; 
• financiando exercícios eur opeus sobre simulações de  incidentes de grande 
envergadura que afectem a segurança das redes; 
• apoiando o desenvolvimento e a implantação de um sistema europeu de partilha 
de informações e de alerta (EISAS) que  chegue de igual forma e com igual 
eficácia aos cidadãos e às PME.  
(4) Aumentar a segurança e a resiliência da Internet , através das seguintes medidas:  
• definindo prioridades da União Europeia pa ra a estabilidade e a resiliência a longo 
prazo da Internet; 
• acordando num conjunto de princípios europeus  e, mais tarde, in ternacionais para 
a segurança e a resiliência da Internet.  
Opção 3: Quadro vinculativo  
A maioria das questões acima menc ionadas seriam abordadas através da adopção de um certo 
número de medidas vinculativas, que poderiam assumir a forma de uma directiva, de um 
regulamento ou de uma decisão, conforme adequado. 
A Comissão poderia propor me didas vinculativas para: 
(1) Definir uma base para a harmon ização das políticas nacionais.  Tais medidas 
podem centrar-se no reforço da segurança e da  resiliência das IC I fora do quadro da 
legislação de mercado já proposta; 
(2) Definir o papel e a responsabilidade das pa rtes interessadas do sector público e 
do privado  em matéria de segurança e de resiliência das ICI; 
(3) Melhorar o grau de preparação operacional,  nomeadamente através de: 
(a) um conjunto mínimo de normas relativ as a funções e serviços de nível 
harmonizado para as CERT nacionais / governamentais; 
(b) um quadro para os planos nacionais de contingência tendo em vista 
desenvolver planos de contingênc ia à escala da União Europeia. 
5. COMPARADAS AS DIFERENTES OPÇÕES , QUAL A CONCLUSÃO ? 
A opção de manutenção do statu quo  não apresenta qualquer vantagem clara  em termos de 
melhoria da segurança da resili ência das ICI na Europa. A escolha é, por conseguinte, entre 
um quadro não vinculativo e um quadro vinc ulativo. Neste momento, a opção do "quadro 
vinculativo" não parece viável, en tre outros pelos seguintes motivos:  
• a realidade política  de estados soberanos, que qualque r política comunitária no domínio 
da segurança das redes e da informação  deve ter devidamente em conta;  
PT 8   PT • a necessidade de ter em conta a responsab ilidade operacional altamente atomizada no 
sector privado;  
• a falta de experiência acumulada nos domínios  da partilha de informações e da cooperação 
em matéria de políticas para as IC I entre os sectores público e privado. 
Além disso, a  fraca qualidade dos dados  actualmente disponíveis sobre incidentes 
relacionados com a segurança - devido às assime trias de informação e às preocupações de 
segurança nacional - destrói a possibilidade de definir medidas regulamentares numa 
perspectiva económica e de polític a pública coerente e coloca o  problema do respeito pelo 
princípio da proporcionalidade , já que é impossível propor acções proporcionadas quando a 
dimensão exacta do problema não é bem compreendida. 
Por último, o calendário de uma abordagem bas eada num quadro vincul ativo, devido ao longo 
processo de adopção, seria incompatível com a n ecessidade, para todas as  partes interessadas, 
de agir rapidamente. 
Em conclusão, a presente avaliação de impacto sugere que, a curto e médio prazos, a opção 
preferível é a opção 2, com lançamento imedia to das acções propostas e, em devido tempo, a 
avaliação dos resultados, incluindo os do debate  público sobre o reforço e a modernização da 
política para a segurança das redes e da info rmação na União Europeia. Estes elementos 
constituirão depois a base para avaliar as neces sidades e as opções no que respeita a eventuais 
futuras medidas vinculativas. 
Poderá então ser possível recomendar acções similares às previstas na opção 3.