Parecer do Comité Económico e Social Europeu sobre a "Proposta de regulamento do Parlamento Europeu e do Conselho que cria a Agência Europeia para a Segurança das Redes e da Informação"

(COM(2003) 63 final - 2003/0032 (COD))

(2003/C 220/07)

Em 3 de Março de 2003, o Conselho decidiu, nos termos dos artigos 95.o e 156.o do Tratado CE, consultar o Comité Económico e Social Europeu sobre a proposta supramencionada.

A Secção Especializada dos Transportes, Energia, Infra-estrutura e Sociedade da Informação, incumbida da preparação dos correspondentes trabalhos, emitiu parecer em 5 de Junho de 2003, sendo relator Göran Lagerholm.

Na 400.a reunião plenária de 18 e 19 de Junho de 2003 (sessão de 18 de Junho), o Comité Económico e Social Europeu adoptou por 71 votos a favor e 1 abstenção, o seguinte parecer.

1. Introdução

1.1. Os sistemas informáticos são cruciais para toda a economia, não só para a maioria dos sectores comerciais, mas também para o sector público, a universidade e estabelecimentos de ensino em geral e para os particulares. O mau funcionamento de tais sistemas atinge toda a gente: cidadãos, empresas e administrações públicas.

1.2. A Comunidade só tem a ganhar com uma maior coordenação entre os Estados-Membros de modo a atingirem, todos eles, um nível de segurança suficientemente elevado. É esse o objectivo da Comunicação da Comissão relativa à segurança das redes e da informação, de Junho de 2001(1).

1.3. A segurança tornou-se, por conseguinte, uma questão para a qual os utilizadores esperam resposta e, por conseguinte, também um desafio-chave para os políticos. Os governos vêem aumentar a sua responsabilidade para com a sociedade e intensificam os seus esforços para aumentar a segurança no seu território. Os Estados-Membros encontram-se, porém, em fases diferentes do seu trabalho e o foco das atenções varia. Não existe uma cooperação transfronteiras sistemática em matéria de segurança das redes e da informação entre os Estados-Membros, apesar de as questões de segurança não poderem ser preocupação exclusiva de um país. Não existe um mecanismo que garanta respostas eficazes às ameaças à segurança. A implementação do quadro jurídico apresenta diferenças. A falta de interoperabilidade impede a utilização correcta dos produtos de segurança.

1.4. A Agência proposta facilitará a aplicação das medidas comunitárias relacionadas com a segurança das redes e da informação e ajudará a garantir a interoperabilidade das funções de segurança da informação nas redes e nos sistemas informáticos, contribuindo assim para o funcionamento do mercado interno.

1.5. A Agência terá funções consultivas e de coordenação:

- contribuirá para estabelecer uma ampla cooperação entre os diferentes intervenientes no domínio da segurança da informação;

- optará por uma abordagem coordenada da segurança da informação através do apoio fornecido aos Estados-Membros;

- exercerá uma função de apoio na identificação das necessidades de normalização;

- dará apoio aos contactos da Comunidade com as partes envolvidas dos países terceiros.

1.6. É necessário que a Comissão possa atribuir tarefas suplementares à Agência, de modo a que esta possa acompanhar a evolução tecnológica e social actual.

1.7. Propõe-se que a Agência fique operacional em 1 de Janeiro de 2004 e que funcione durante 5 anos. A Agência continuará a funcionar ou não após este período consoante o resultado da avaliação das suas actividades.

2. Observações na generalidade

2.1. Por diversas vezes e em pareceres distintos, o CESE manifestou o seu apoio a todas as iniciativas destinadas a promover a sociedade da informação, por exemplo, o plano de acção eEurope - segurança das redes e da informação(2), a luta contra a cibercriminalidade(3), o necessário desenvolvimento de uma sociedade do conhecimento sem discriminação(4) e sobre o direito de acesso à Internet com segurança em termos de protecção dos dados pessoais das transacções comerciais e dos serviços informáticos(5).

2.2. Tal como a Comissão, o CESE considera que o funcionamento seguro das redes e dos sistemas de informação é uma preocupação central. O mau funcionamento das redes e dos sistemas informáticos atinge toda a gente: cidadãos, empresas e administrações públicas. Na perspectiva actual, a segurança das redes e da informação consiste em garantir a disponibilidade de serviços e dados, evitar as perturbações e a intercepção não autorizada das comunicações, confirmar que os dados enviados, recebidos ou armazenados estão completos e inalterados, proteger os sistemas informáticos contra o acesso não autorizado e contra ataques, etc. Os utilizadores devem poder confiar nas novas técnicas sejam elas utilizadas nas empresas, nos estabelecimentos de ensino ou em casa de cada um. Os requisitos de segurança alterar-se-ão à medida que as redes e os sistemas informáticos forem evoluindo e a informática se for tornando mais omnipresente na Europa e no mundo. O Comité vê por bem salientar, neste contexto, a importância de adaptar os requisitos de segurança colocados pela sociedade e incluir neles novos comportamentos dos utilizadores em consequência da rápida evolução tecnológica. De qualquer modo, a utilização crescente de Internet móvel e de novos sistemas de rádio e comunicações colocam novas exigências à segurança, à cifragem, ao acesso, etc.

2.3. A confiança dos utilizadores na técnica de informação e o crédito que lhes merece a sociedade da informação e a infra-estrutura subjacente são premissas essenciais para transformar a Europa, até 2010, na economia mais competitiva e dinâmica do mundo. O alcance dos objectivos estabelecidos pelo plano de acção eEurope, no que se refere à utilização dos serviços da sociedade da informação, bem como as transacções comerciais electrónicas, os serviços de saúde electrónicos, a administração electrónica, os mercados electrónicos, etc., pressupõe um acesso mais fácil a uma infra-estrutura mais segura e a máxima confiança dos utilizadores em relação às tecnologias da informação.

2.4. Conforme constata a Comissão, o estádio de desenvolvimento de acções em matéria de segurança varia entre os Estados-Membros, o que se deve provavelmente ao facto de a utilização dos serviços electrónicos ser mais comum nuns países do que noutros. Para a plena realização da sociedade da informação na Comunidade, é necessário adoptar medidas comuns, normas comuns, critérios comuns de certificação e buscar soluções comuns ao nível da segurança. Esta necessidade fundamental é sentida pelos particulares, pelas empresas, pela universidade e pela administração pública em todo o território comunitário. Não se pode continuar a encarar os problemas de segurança como exclusivos de um ou outro país. É justamente por este facto que o CESE concorda com a Comissão quando propõe a criação de uma Agência Europeia para a Segurança das Redes e da Informação.

2.5. Outro aspecto a focar é a cooperação europeia para fazer frente às ameaças contra a sociedade da informação que relevam da política de segurança e que exigem a colaboração entre as autoridades responsáveis pela aplicação da lei dos Estados-Membros. Importa distinguir entre as ameaças dirigidas contra os Estados nacionais e subversivas para a colectividade e as ameaças contra os cidadãos da Comunidade e a utilização por estes de serviços da sociedade da informação para fins pessoais. As primeiras não poderiam ser tratadas eficazmente ao nível regional e requerem exclusivamente formas globais de cooperação. O Comité, consciente da evidência destas ameaças, partilha da opinião da Comissão segundo a qual a Agência não deverá incumbir-se de questões que, normalmente, competem às entidades de segurança, defesa e judiciais dos Estados-Membros. Contudo, numa próxima avaliação das actividades da Agência, convinha averiguar se esta restrição tem consequências negativas para o seu trabalho e ainda se tem sentido fazer uma demarcação concreta entre a segurança nacional e a segurança funcional da informação.

2.6. O CESE aproveita para salientar a conveniência de dar início o mais brevemente possível às actividades da Agência. É essencial que nenhum impedimento prático, por exemplo, em virtude de uma longa ponderação acerca da localização, adie a sua entrada em funcionamento prevista, o mais tardar, para 1 de Janeiro de 2004.

3. Observações na especialidade

3.1. O CESE tem para si que o objectivo da Agência deve ter maior alcance do que lhe é dado na respectiva secção da proposta. Para além de criar uma compreensão comum das questões relativas à segurança da informação ou de apoiar as medidas comunitárias no âmbito da segurança das redes e da informação, a Agência deverá ter também por missão contribuir para a disseminação nos Estados-Membros dos conhecimentos e das experiências neste domínio. Será assim mais fácil evitar o surgimento de um "fosso digital" na Comunidade. A Comunidade e os Estados-Membros também terão, deste modo, mais possibilidades para resolver os problemas relacionados com a segurança das redes e da informação e para granjear a confiança e a aceitação dos utilizadores em relação às tecnologias da informação, à sociedade da informação e à infra-estrutura que lhe é subjacente.

3.2. Fazendo eco das palavras da Comissão, a estrutura organizativa deverá facilitar o envolvimento das diversas partes interessadas nos trabalhos da Agência, o que é extremamente importante por visar tanto grupos de utilizadores do sector e da universidade, como particulares e outros. É óbvio que essa estrutura deve acolher igualmente os representantes dos prestadores de serviços. Nesta linha de pensamento, o Comité dá o seu aval à proposta de permitir a presença no conselho de administração da Agência dos representantes dos interesses dos consumidores e do sector. Em contrapartida, o Comité não vê qualquer sentido em privar estes representantes do exercício do direito de voto, tanto mais que, segundo a proposta, são designados pelo Conselho. No atinente à experiência e à utilização dos serviços da sociedade da informação e do conhecimento de mercado, o sector, os investigadores e os consumidores ocupam geralmente uma posição mais avançada do que os representantes da administração pública.

3.3. O CESE apoia, em linhas gerais, a proposta com respeito às actividades da Agência conforme descritas no ponto 3.5. Desejaria, contudo, aduzir as considerações seguintes.

3.3.1. No que se refere ao programa de trabalho da Agência, o Comité considera que a Agência deve dispor de recursos suficientes não só para exercer as tarefas que lhe são destinadas pelo programa de trabalho mas também para tratar dos problemas de segurança inesperados e de interesse imediato, ou seja, recursos para poder fazer face igualmente a incidentes imprevistos. O programa de trabalho não poderá, por conseguinte, significar que os trabalhos com carácter de longo prazo impeçam a Agência de resolver questões de segurança ou de confiança com interesse imediato mas não previstas.

3.3.2. Quanto ao problema de determinar a quem cabe a faculdade de apresentar à Agência pedidos de pareceres, o CESE é de opinião que as organizações centrais do sector e dos consumidores dos Estados-Membros deveriam ter igualmente esta possibilidade.

3.3.3. O Comité presume que os representantes dos utilizadores das organizações do sector e dos consumidores também serão associados aos grupos de trabalho constituídos pela Agência e terão a possibilidade de influir directamente nas actividades de normalização e de certificação, por exemplo. Para ser possível à Agência cumprir cabalmente a sua missão nestes domínios, é indispensável a participação activa da indústria.

3.4. No atinente às disposições financeiras, é, no entender do Comité, essencial referir expressamente e assegurar que jamais se fará depender as actividades e a situação financeira da Agência de eventuais contribuições dos países terceiros que participem no trabalho da Agência.

3.5. O Comité partilha da tese da Comissão de que é conveniente, logo a partir de três anos, proceder a uma avaliação para determinar se as disposições institucionais propostas são as mais apropriadas para lidar com as questões de segurança das redes e da informação e com a confiança e a aceitação dos utilizadores das tecnologias da informação, da sociedade da informação e da sua infra-estrutura.

3.6. Por último, no tocante à sede da Agência, o CESE considera que, para além dos critérios definidos pela Comissão, é essencial escolher uma localização que lhe permita funcionar num ambiente apresentando as seguintes características:

- a existência de uma estrutura bem concebida com uma capacidade de transmissão elevada;

- um conjunto de serviços públicos electrónicos bem desenvolvidos;

- a integração das transacções comerciais electrónicas como parte integrante da indústria e um universo de utilizadores constituído, no sentido lato, por pessoas que utilizam habitualmente as tecnologias de informação.

Deste modo, a Agência poderia funcionar no âmbito de uma sociedade da informação desenvolvida, bem como observar e detectar os riscos e as ameaças que poderá ulteriormente analisar, avaliar e divulgar. A função da Agência seria ainda mais valiosa se ficasse atenta aos problemas com que se debatem os cidadãos individuais e as empresas de menores dimensões na sociedade da informação. Com efeito, pode-se partir do princípio de que estes grupos de utilizadores são os que têm mais dificuldades em fazer valer os seus interesses nesta cooperação interestatal. A localização da Agência segundo os parâmetros acima indicados poderia ser determinante para dispor dos meios necessários para realizar eficazmente as suas tarefas.

Bruxelas, 18 de Junho de 2003.

O Presidente

do Comité Económico e Social Europeu

Roger Briesch

(1) COM(2001) 298 final.

(2) Pareceres do Comité Económico e Social sobre a "Comunicação da Comissão ao Conselho, Parlamento Europeu, Comité Económico e Social e Comité das Regiões - Segurança das redes e da informação: Proposta de abordagem de uma política europeia" (JO C 48 de 21.2.2002, p. 33-41) e sobre a "Proposta de decisão do Conselho que adopta um programa plurianual (2003-2005) de acompanhamento do eEurope, difusão das boas práticas e reforço da segurança das redes e da informação" (Modinis) COM(2002) 425 final - 2002/0187 (CNS) (JO C 291 E de 26.11.2002 p. 243-249).

(3) Parecer do Comité Económico e Social sobre a "Comunicação da Comissão ao Conselho, ao Parlamento Europeu, ao Comité Económico e Social e ao Comité das Regiões - Criar uma Sociedade da Informação mais segura reforçando a segurança das infra-estruturas de informação e lutando contra a cibercriminalidade" (JO C 311 de 7.11.2001, p. 12-19).

(4) Parecer do Comité Económico e Social sobre a "Informação do sector público: Um recurso fundamental para a Europa - Livro Verde sobre a informação do sector público na sociedade da informação" (JO C 169 de 16.6.1999, p. 30-34).

(5) Parecer do Comité Económico e Social sobre a "Proposta de directiva do Parlamento Europeu e do Conselho relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das comunicações electrónicas" (JO C 123 de 25.4.2001, p. 53-54).