Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO

1.Introdução

Em 2020, o número de incidentes significativos que afetaram as instituições, órgãos e organismos da União envolvendo ameaças persistentes avançadas (APA) aumentou. Esse aumento refletiu-se igualmente no número de imagens forenses que o CERT-UE analisou em 2020, que triplicou em comparação com 2019, ao passo que o número de incidentes significativos mais do que decuplicou desde 2018.

No entanto, as capacidades de cibersegurança e as despesas com a segurança informática das instituições, órgãos e organismos da União são, nalguns aspetos, notoriamente desiguais, resultando num amplo espetro de níveis de maturidade da cibersegurança dessas instituições, órgãos e organismos. Além disso, a análise do panorama das ameaças e as estatísticas relativas a incidentes de segurança informática demonstram que a exposição das instituições, órgãos e organismos da União a ameaças cibernéticas só se irá intensificar.

2.Objetivos

As deficiências identificadas conduzem, em última análise, a um nível insuficiente de ciber-resiliência nas instituições, órgãos e organismos da União, à fragmentação dos recursos em matéria de segurança informática e a desequilíbrios nas posturas de segurança informática.

O ato legislativo teria como objetivo estabelecer medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União, promovendo a maturidade em matéria de cibersegurança e garantindo que acompanha a aceleração da digitalização das instituições, órgãos e organismos da União.

3.Um Conselho Interinstitucional para a Cibersegurança e um quadro para a cibersegurança

A proposta de um Conselho Interinstitucional para a Cibersegurança e de um quadro de cibersegurança introduzirá medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União, permitindo a harmonização em torno de um quadro que faça face às ameaças de cibersegurança de todas as instituições, órgãos e organismos da União, e instituirá o acompanhamento e a obrigação de reportar a um Conselho Interinstitucional para a Cibersegurança.

A proposta moderniza a missão e as atribuições do CERT-UE, atendendo à diferente e intensificada digitalização das instituições, órgãos e organismos da União nos últimos anos, bem como à evolução do panorama das ameaças à cibersegurança.

Não há impacto direto nem consequências orçamentais para os Estados-Membros ou os cidadãos da UE.

O regulamento tem por base o artigo 298.º do Tratado sobre o Funcionamento da União Europeia, que determina que, no desempenho das suas atribuições, as instituições, órgãos e organismos da União se apoiam numa administração europeia aberta, eficaz e independente.

A proposta baseia-se na Estratégia da UE para a União da Segurança [COM(2020) 605 final] e na Estratégia de cibersegurança da UE para a década digital [JOIN(2020) 18 final].

4.Conclusão

Um Conselho Interinstitucional para a Cibersegurança e um quadro de cibersegurança permitirão alcançar a maior parte dos objetivos pretendidos de forma relativamente eficaz e coerente com as outras políticas da União, com o mais amplo apoio das partes interessadas. A solução selecionada é a opção mais viável tendo em conta os limites jurídicos prevalecentes que circunscrevem a nossa ação. Além disso, a adoção de uma abordagem de modelo único para todos os casos não responderia à atual heterogeneidade, em termos de maturidade, das instituições, órgãos e organismos da União, nem às disparidades com que se deparam em matéria de risco tecnológico e de complexidade.