COMISSÃO EUROPEIA Bruxelas, 16.12.2020 COM(2020) 823 final 2020/0359(COD) Proposta de DIRETIVA DO PARLAMENTO EUROPEU E DO CONSELHO relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União e que revoga a Diretiva (UE) 2016/1148 (Texto relevante para efeitos do EEE) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



EXPOSIÇÃO DE MOTIVOS 1.CONTEXTO DA PROPOSTA •Razões e objetivos da proposta A presente proposta faz parte de um pacote de medidas destinadas a melhorar a resiliência e a capacidade de resposta a incidentes no domínio da cibersegurança e da proteção de infraestruturas críticas por parte das entidades públicas e privadas, das autoridades competentes e da União no seu conjunto. É consentânea com as prioridades da Comissão no sentido de preparar a Europa para a era digital e criar uma economia pronta para o futuro e que esteja ao serviço dos cidadãos. A cibersegurança é uma das áreas prioritárias da resposta da Comissão à crise da COVID-19. O pacote inclui uma nova estratégia em matéria de cibersegurança, com o objetivo de reforçar a autonomia estratégia da União para melhorar a sua resiliência e a sua resposta coletiva, bem como para construir uma Internet aberta e global. Por último, o pacote contém uma proposta de diretiva relativa à resiliência de operadores críticos de serviços essenciais, que visa minimizar as ameaças físicas contra tais operadores. A presente proposta tem por base e revoga a Diretiva (UE) 2016/1148 relativa à segurança das redes e da informação (Diretiva SRI), que constitui o primeiro ato legislativo à escala da União sobre cibersegurança e que estabelece medidas jurídicas para melhorar o nível geral de cibersegurança na União. A Diretiva SRI: 1) contribuiu para melhorar as capacidades de cibersegurança a nível nacional, exigindo que os Estados-Membros adotassem estratégias nacionais de cibersegurança e que designassem autoridades competentes neste domínio; 2) reforçou a cooperação entre os Estados-Membros a nível da União, criando vários fóruns para facilitar o intercâmbio de informações estratégicas e operacionais; 3) melhorou a ciber‑resiliência de entidades públicas e privadas em sete setores específicos (energia, transportes, serviços bancários, infraestruturas do mercado financeiro, cuidados de saúde, fornecimento e distribuição de água potável, e infraestruturas digitais) e em três serviços digitais (mercados em linha, motores de pesquisa em linha e serviços de computação em nuvem), exigindo que os Estados-Membros se certifiquem de que os operadores de serviços essenciais e os prestadores de serviços digitais estabelecem requisitos de cibersegurança e notificam incidentes. A proposta moderniza o atual quadro jurídico, tendo em conta a crescente digitalização do mercado interno nos últimos anos e a evolução do cenário de ameaças à cibersegurança. Estes dois desenvolvimentos intensificaram-se desde o início da crise da COVID-19. A proposta aborda igualmente várias deficiências que impediram a Diretiva SRI de concretizar todo o seu potencial. Não obstante ter produzido resultados dignos de nota, a Diretiva SRI, que abriu as portas a uma mudança significativa das mentalidades em relação à abordagem institucional e regulamentar à cibersegurança em muitos Estados-Membros, também revelou claramente as suas limitações. A transformação digital da sociedade (intensificada pela crise da COVID-19) alargou o cenário de ameaças e está a gerar novos desafios que requerem respostas adaptadas e inovadoras. O número de ciberataques continua a aumentar, com ataques cada vez mais sofisticados provenientes de uma grande variedade de fontes dentro e fora da UE. A avaliação da aplicação da Diretiva SRI, realizada para efeitos da avaliação de impacto, identificou as seguintes questões problemáticas: 1) o baixo nível de ciber-resiliência das empresas que operam na UE; 2) as diferenças em termos de resiliência entre Estados‑Membros e setores; 3) o baixo nível de conhecimento situacional comum e a inexistência de mecanismos de resposta conjunta a situações de crise. Por exemplo, alguns dos principais hospitais num Estado-Membro não estão abrangidos pelo âmbito da Diretiva SRI e, como tal, não estão obrigados a aplicar as medidas de segurança nela previstas, ao passo que, noutro Estado-Membro, praticamente todos os prestadores de cuidados de saúde do país estão sujeitos aos requisitos de segurança estabelecidos nessa diretiva. Sendo uma iniciativa lançada no âmbito do programa para a adequação e a eficácia da regulamentação (REFIT), a proposta visa reduzir os encargos regulamentares das autoridades competentes e os custos de conformidade suportados por entidades públicas e privadas. Este objetivo é alcançado, em especial, por via da eliminação da obrigação das autoridades competentes de identificarem operadores de serviços essenciais e de uma maior harmonização dos requisitos de segurança e de notificação, a fim de facilitar a conformidade regulamentar por parte das entidades que prestam serviços transfronteiriços. Simultaneamente, serão também atribuídas novas funções às autoridades competentes, incluindo a supervisão de entidades em setores que até agora não estavam abrangidos pela Diretiva SRI. •Coerência com as disposições existentes da mesma política setorial A presente proposta integra-se num conjunto mais amplo de instrumentos legais existentes e iniciativas programadas a nível da União, que visam aumentar a resiliência das entidades públicas e privadas contra ameaças. No domínio da cibersegurança, importa destacar a Diretiva (UE) 2018/1972 que estabelece o Código Europeu das Comunicações Eletrónicas (cujas disposições relacionadas com a cibersegurança serão substituídas pelas disposições da presente proposta) e a proposta de regulamento relativo à resiliência operacional digital do setor financeiro [COM(2020) 595 final], que será considerado uma lex specialis em relação à presente proposta, após a entrada em vigor de ambos os atos. No domínio da segurança física, a proposta completa a proposta de diretiva relativa à resiliência de entidades críticas, que revê a Diretiva 2008/114/CE relativa à identificação e designação das infraestruturas críticas europeias e à avaliação da necessidade de melhorar a sua proteção (Diretiva ICE), que estabelece um processo à escala da União para identificar e designar infraestruturas críticas europeias e define uma abordagem para melhorar a sua proteção. Em julho de 2020, a Comissão adotou a Estratégia da UE para a União da Segurança, que reconheceu a crescente interconexão e interdependência entre infraestruturas físicas e digitais. Além disso, sublinhou a necessidade de uma abordagem mais coerente e consistente entre a Diretiva ICE e a Diretiva (UE) 2016/1148 relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União. Por conseguinte, a proposta está estreitamente alinhada com a proposta de diretiva relativa à resiliência de entidades críticas, que visa reforçar a resiliência de entidades críticas contra ameaças físicas num grande número de setores. A proposta visa assegurar que as autoridades competentes ao abrigo dos dois atos jurídicos adotam medidas complementares e trocam as informações necessárias sobre ciber-resiliência e resiliência a outros níveis, e que os operadores particularmente críticos nos setores considerados «essenciais» de acordo com a presente proposta estão também sujeitos a obrigações mais gerais destinadas a reforçar a resiliência, com especial incidência nos riscos não relacionados com a cibersegurança. •Coerência com outras políticas da União Tal como referido na Comunicação «Construir o futuro digital da Europa», é crucial que a Europa tire partido de todos os benefícios da era digital e reforce a sua capacidade industrial e de inovação dentro de limites éticos e seguros. A estratégia europeia para os dados define quatro pilares — a proteção de dados, os direitos fundamentais, a segurança e a cibersegurança —, que constituem condições essenciais para uma sociedade capacitada pela utilização dos dados. Numa Resolução de 12 de março de 2019, o Parlamento Europeu instou «[…] a Comissão a ponderar a necessidade de alargar o âmbito de aplicação da Diretiva SRI a novos setores e serviços críticos que não sejam abrangidos por legislação setorial». Nas suas Conclusões de 9 de junho de 2020, o Conselho congratulou-se com «[…] os planos da Comissão que visam garantir regras coerentes para os operadores de mercado e facilitar uma partilha de informações segura, sólida e adequada sobre ameaças e incidentes, nomeadamente através de uma revisão da Diretiva Segurança das Redes e da Informação (Diretiva SRI), a fim de encontrar soluções que melhorem a ciber-resiliência e de dar uma resposta mais eficaz aos ciberataques, em particular no contexto das atividades económicas e societais de caráter essencial, sem deixar de respeitar as competências dos Estados-Membros, incluindo a responsabilidade pela sua segurança nacional». Adicionalmente, o ato jurídico proposto não prejudica a aplicação das regras em matéria de concorrência estabelecidas no Tratado sobre o Funcionamento da União Europeia (TFUE).

Uma vez que uma parte significativa das ameaças à cibersegurança tem origem fora da UE, é necessária uma abordagem coerente à cooperação internacional. A presente diretiva constitui um modelo de referência a promover no contexto da cooperação da UE com países terceiros, especialmente no âmbito da prestação de assistência técnica externa. 2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE •Base jurídica A base jurídica da Diretiva SRI é o artigo 114.º do Tratado sobre o Funcionamento da União Europeia, cujo objetivo consiste no estabelecimento e funcionamento do mercado interno por intermédio do reforço de medidas relativas à aproximação das regras nacionais. Tal como sustentou o Tribunal de Justiça da UE no Acórdão de 8 de junho de 2010 no processo C‑58/08, Vodafone e o., o recurso ao artigo 114.º do TFUE é justificado em caso de divergências entre as regulamentações nacionais que tenham uma influência direta no funcionamento do mercado interno. Do mesmo modo, o Tribunal de Justiça entendeu que, quando um ato baseado no artigo 114.º do TFUE já eliminou todos os obstáculos às trocas comerciais no domínio que harmoniza, o legislador da União não pode ser privado da possibilidade de adaptar esse ato a qualquer alteração de circunstâncias ou a qualquer evolução dos conhecimentos, tendo em conta a missão que lhe incumbe de velar pela proteção dos interesses gerais reconhecidos pelo Tratado. Por último, o Tribunal de Justiça considerou que a expressão «medidas relativas à aproximação» que figura no artigo 114.º do TFUE se destina a conferir, em função do contexto geral e das circunstâncias específicas da matéria a harmonizar, uma margem de apreciação quanto à técnica de aproximação mais adequada para alcançar o resultado pretendido. O ato jurídico proposto eliminaria obstáculos ao mercado interno e melhoraria o seu estabelecimento e funcionamento para entidades essenciais e importantes, nomeadamente: estabelecendo regras claras de aplicação geral sobre o âmbito de aplicação da Diretiva SRI e harmonizando as regras aplicáveis no domínio da gestão dos riscos de cibersegurança e da notificação de incidentes. As disparidades existentes neste domínio, tanto a nível legislativo como de supervisão, assim como a nível nacional e da UE, constituem obstáculos ao mercado interno, uma vez que as entidades que exercem atividades transfronteiriças deparam-se com diferenças e, eventualmente, duplicações dos requisitos regulamentares e/ou da sua aplicação, as quais prejudicam o exercício da liberdade de estabelecimento e de prestação de serviços. As diferenças de regulamentação também afetam negativamente as condições de concorrência no mercado interno quando estão em causa entidades do mesmo tipo em Estados-Membros diferentes. •Subsidiariedade (no caso de competência não exclusiva) A ciber-resiliência não pode ser eficaz em toda a União se for abordada de forma díspar por via de medidas nacionais ou regionais estanques. A Diretiva SRI responde, em parte, a este problema, visto que estabelece um quadro para a segurança das redes e dos sistemas de informação a nível nacional e da União. Porém, a sua transposição e aplicação revelaram também as deficiências e os limites intrínsecos de certas disposições ou abordagens, como o facto de a falta de clareza quanto à definição do âmbito da diretiva dar origem a diferenças significativas em termos de extensão e profundidade da intervenção efetiva da UE a nível dos Estados-Membros. Acresce que, desde o início da crise da COVID-19, a economia europeia está mais dependente do que nunca das redes e dos sistemas de informação e a interligação entre setores e serviços é cada vez maior. Uma intervenção da UE que vá além das atuais medidas previstas na Diretiva SRI justifica-se principalmente pelo: i) crescente caráter transfronteiriço das ameaças e dos desafios relacionados com SRI; ii) potencial da ação da União para melhorar a eficácia e facilitar a coordenação das políticas nacionais; iii) contributo de ações políticas concertadas e colaborativas para uma proteção eficaz dos dados e da privacidade. •Proporcionalidade As regras propostas na presente diretiva não excedem o necessário para atingir os objetivos específicos de forma satisfatória. A harmonização e simplificação previstas das medidas de segurança e das obrigações de notificação estão associadas a pedidos formulados pelos Estados-Membros e pelas empresas no sentido de melhorar o quadro atual. A proposta tem em conta as práticas vigentes nos Estados-Membros. A imposição de requisitos simplificados e coordenados para melhorar o nível de proteção é proporcionada em relação aos riscos cada vez mais elevados que enfrentamos, incluindo aqueles que apresentam um elemento transfronteiriço; esses requisitos são razoáveis e, de um modo geral, correspondem ao interesse das entidades envolvidas em garantir a continuidade e a qualidade dos seus serviços. Os custos associados à garantia de uma cooperação sistemática entre os Estados-Membros seriam baixos em comparação com as perdas e os danos económicos e sociais causados por incidentes de cibersegurança. Além disso, as consultas das partes interessadas realizadas no contexto da avaliação da Diretiva SRI, incluindo os resultados da consulta pública aberta e de inquéritos específicos, revelam apoio à revisão da Diretiva SRI nos moldes supramencionados. •Escolha do instrumento A proposta simplificará as obrigações impostas às empresas e assegurará um nível mais elevado de harmonização das mesmas. Paralelamente, a proposta visa proporcionar aos Estados-Membros a flexibilidade necessária para terem em conta especificidades nacionais (tais como a possibilidade de identificar entidades essenciais ou importantes adicionais, não incluídas no conjunto de base definido no ato jurídico). Consequentemente, o futuro instrumento jurídico deverá ser uma diretiva, uma vez que permite melhorar e direcionar a harmonização, bem como conferir um certo grau de flexibilidade às autoridades competentes. 3.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO •Avaliações ex post/balanços de qualidade da legislação existente A Comissão procedeu a uma avaliação da aplicação da Diretiva SRI, tendo analisado a sua pertinência, coerência, eficácia, eficiência e valor acrescentado da UE. As principais constatações desta análise são: ·O âmbito da Diretiva SRI é demasiado limitado em termos dos setores abrangidos, principalmente devido: i) ao aumento da digitalização nos últimos anos e a um maior grau de interligação, ii) ao facto de já não refletir todos os setores digitalizados que prestam serviços fundamentais à economia e à sociedade como um todo. ·A Diretiva SRI não é suficientemente clara no que respeita ao âmbito dos operadores de serviços essenciais e as suas disposições não definem com clareza suficiente a competência nacional em relação aos prestadores de serviços digitais. Tal criou uma situação em que certos tipos de entidades não foram identificadas em todos os Estados-Membros e, como tal, não estão obrigadas a adotar medidas de segurança e a notificar incidentes. ·A Diretiva SRI concedeu aos Estados-Membros uma ampla margem de apreciação no estabelecimento dos requisitos em matéria de segurança e de notificação de incidentes aplicáveis aos operadores de serviços essenciais (a seguir designados por «OSE»). A avaliação revela que, em alguns casos, os Estados-Membros aplicaram estes requisitos de formas muito díspares, criando encargos adicionais para as empresas que operam em mais do que um Estado-Membro. ·O regime de supervisão e execução coerciva da Diretiva SRI é ineficaz. Por exemplo, os Estados-Membros têm mostrado grande relutância em aplicar sanções às entidades que não estabeleçam requisitos de segurança ou que não notifiquem incidentes. Esta situação pode ter consequências negativas para a ciber-resiliência de entidades individuais.

·Os recursos financeiros e humanos afetados pelos Estados-Membros ao desempenho das suas funções (tais como a identificação ou a supervisão de OSE) e, consequentemente, os níveis de maturidade na gestão de riscos de cibersegurança variam muito. Esta divergência acentua ainda mais as diferenças entre o grau de ciber-resiliência dos Estados-Membros. ·O facto de os Estados-Membros não partilharem sistematicamente informações entre si tem consequências negativas, sobretudo para a eficácia das medidas de cibersegurança e para o nível de conhecimento situacional comum à escala da UE. Tal é igualmente válido para a partilha de informações entre entidades privadas e para a relação entre as estruturas de cooperação a nível da UE e as entidades privadas. •Consultas das partes interessadas A Comissão consultou um vasto leque de partes interessadas. Os Estados-Membros e as partes interessadas foram convidadas a participar na consulta pública aberta e nos inquéritos e nas sessões de trabalho organizadas pela Wavestone, pelo CEPE e pela ICF, que a Comissão contratou para a realização de um estudo de apoio à avaliação da Diretiva SRI. Entre as partes interessadas figuravam autoridades competentes, organismos da União responsáveis por questões de cibersegurança, operadores de serviços essenciais, prestadores de serviços digitais, entidades que prestam serviços não abrangidos pelo âmbito da atual Diretiva SRI, associações comerciais, organizações de consumidores e cidadãos. Além disso, a Comissão tem estado em contacto permanente com as autoridades competentes encarregadas de dar execução à Diretiva SRI. O grupo de coordenação cobriu exaustivamente vários aspetos transversais e setoriais da execução. Por último, durante as visitas realizadas aos países em 2019 e 2020 no âmbito da Diretiva SRI, a Comissão entrevistou 154 entidades públicas e privadas, bem como 117 autoridades competentes. •Recolha e utilização de conhecimentos especializados A Comissão contratou um consórcio constituído pela Wavestone, pelo CEPE e pela ICF para a apoiar na avaliação da Diretiva SRI. Além de ter contactado as partes interessadas diretamente afetadas pela Diretiva SRI por meio de inquéritos específicos e sessões de trabalho, o consórcio contratado consultou igualmente um vasto leque de peritos no domínio da cibersegurança, tais como investigadores e profissionais da indústria de cibersegurança. •Avaliação de impacto A presente proposta é acompanhada por uma avaliação de impacto, que foi apresentada ao Comité de Controlo da Regulamentação (CCR) em 23 de outubro de 2020, tendo recebido um parecer favorável, com observações, em 20 de novembro de 2020. O CCR recomendou que fossem feitas melhorias em algumas áreas, com vista a: 1) refletir melhor o papel das repercussões transfronteiriças na análise do problema; 2) explicar melhor em que se traduziria o sucesso da iniciativa; 3) justificar mais detalhadamente a lista de opções políticas; 4) esclarecer melhor os custos das medidas propostas. A avaliação de impacto foi ajustada para ter em conta estas questões, bem como observações mais pormenorizadas formuladas pelo CCR. Como tal, inclui agora explicações mais detalhadas sobre o papel das repercussões transfronteiriças no domínio da cibersegurança, uma descrição mais clara da forma como o sucesso pode ser aferido, uma explicação mais detalhada da conceção e da lógica subjacente às diferentes opções políticas e às medidas contempladas no âmbito dessas opções, uma explicação mais detalhada dos aspetos analisados em relação ao âmbito setorial da Diretiva SRI e clarificações adicionais em matéria de custos. A Comissão ponderou um conjunto de opções políticas para melhorar o quadro jurídico no domínio da ciber-resiliência e da resposta a incidentes: ·Manutenção do status quo: A Diretiva SRI não seria alterada e não seriam adotadas quaisquer outras medidas de natureza não legislativa para resolver os problemas identificados pela avaliação da referida diretiva. ·Opção 1: Não seriam introduzidas quaisquer alterações a nível legislativo. Em vez disso, a Comissão emitiria recomendações e orientações (nomeadamente em matéria de identificação de operadores de serviços essenciais, requisitos de segurança, procedimentos de notificação de incidentes e supervisão), após consulta do grupo de coordenação, da Agência da UE para a Cibersegurança (ENISA) e, se pertinente, da rede de equipas de resposta a incidentes de segurança informática (CSIRT). ·Opção 2: Esta opção implica a introdução de alterações específicas na Diretiva SRI, incluindo um alargamento do seu âmbito, e muitas outras alterações que teriam por objetivo garantir certas soluções imediatas para os problemas identificados, proporcionando mais clareza e maior harmonização (tais como disposições para harmonizar os limites de identificação). No entanto, a Diretiva SRI alterada manteria os seus principais elementos constituintes, a sua abordagem e a sua fundamentação lógica. ·Opção 3: Este cenário implica alterações sistémicas e estruturais da Diretiva SRI (introduzidas por uma nova diretiva) que visam uma mudança mais profunda da abordagem adotada até agora no sentido de abranger um segmento mais alargado das economias da União, mas com uma supervisão mais direcionada para grandes operadores e operadores fundamentais. Permite igualmente simplificar as obrigações impostas às empresas e assegurar um nível mais elevado de harmonização das mesmas, criar um quadro mais eficaz para os aspetos operacionais, bem como estabelecer uma base clara para reforçar as responsabilidades partilhadas e a responsabilização das várias partes interessadas em relação a medidas de cibersegurança. A avaliação de impacto levou à conclusão de que a opção 3 é a preferida (ou seja, alterações sistémicas e estruturais do quadro para a SRI). Em termos de eficácia, a opção preferida determinaria claramente o âmbito da Diretiva SRI, que seria alargado a um segmento mais representativo das economias e sociedades da UE, e permitiria simplificar os requisitos, bem como definir melhor o quadro de supervisão e execução coerciva com o objetivo de aumentar o nível de conformidade. Implicaria ainda a adoção de medidas destinadas a melhorar as abordagens ao desenvolvimento de políticas a nível dos Estados-Membros e a mudar o respetivo paradigma, bem como a promover novos quadros de gestão dos riscos associados às relações com os fornecedores e uma divulgação coordenada de vulnerabilidades. Paralelamente, a opção política preferida estabeleceria uma base clara para a partilha de responsabilidades e a responsabilização e preveria mecanismos destinados a fomentar a confiança entre os Estados-Membros, tanto a nível das autoridades como da indústria, incentivando a partilha de informações e garantido uma abordagem mais operacional, como a assistência mútua e os mecanismos de análise pelos pares. Esta opção também proporcionaria um quadro para a gestão de crises a nível da UE, com base na rede operacional da UE lançada recentemente, e asseguraria um maior envolvimento da ENISA, no âmbito do seu atual mandato, na formação de uma panorâmica fiel do estado da cibersegurança na União. Em termos de eficiência, embora a opção preferida implique custos adicionais em matéria de conformidade e de execução coerciva para as empresas e os Estados-Membros, conduziria também a sinergias e soluções de compromissos eficientes, sendo os potenciais benefícios de todas as opções políticas analisados para garantir um nível acrescido e consistente de ciber‑resiliência das entidades fundamentais em toda a União, o que acabaria por conduzir a uma redução dos custos, tanto para as empresas como para a sociedade. Esta opção política criaria certos encargos administrativos e custos de conformidade adicionais para as autoridades dos Estados-Membros. Porém, de um modo geral, a médio e a longo prazo, traria igualmente benefícios substanciais graças a uma cooperação acrescida entre os Estados‑Membros, nomeadamente a nível operacional, e incentivaria um reforço global das capacidades de cibersegurança a nível nacional e regional, por via da assistência mútua, do estabelecimento de mecanismos de análise pelos partes e de uma panorâmica mais informada das empresas-chave, bem como de uma maior interação com estas. A opção política preferida asseguraria também, em larga medida, a coerência com outros atos legislativos, iniciativas e medidas políticas, nomeadamente com lex specialis adotada a nível setorial. A resolução do atual problema da insuficiente preparação no domínio da cibersegurança a nível dos Estados-Membros e das empresas e de outras organizações poderia originar ganhos de eficiência e a redução de custos adicionais resultantes de incidentes de cibersegurança. ·Para as entidades essenciais e importantes, o aumento do nível de preparação no domínio da cibersegurança poderia levar à minimização de potenciais perdas de receitas devido a perturbações (incluindo as resultantes de espionagem industrial) e reduzir as elevadas despesas decorrentes de medidas ad hoc de atenuação das ameaças. É provável que tais benefícios compensem os necessários custos de investimento. A redução da fragmentação no mercado interno criaria também condições de concorrência mais equitativas entre os operadores. ·Para os Estados-Membros, poderia reduzir ainda mais o risco de aumento das despesas orçamentais com medidas ad hoc de atenuação das ameaças e de custos adicionais em caso de emergências relacionadas com incidentes de cibersegurança. ·Para os cidadãos, espera-se que a resposta a incidentes de cibersegurança faça diminuir as perdas de rendimento decorrentes de perturbações económicas.

O aumento dos níveis de cibersegurança nos Estados-Membros e a capacidade de as empresas e as autoridades responderem rapidamente a um incidente e atenuarem o seu impacto conduzirá muito provavelmente a um reforço da confiança geral dos cidadãos na economia digital, o que poderá ter um impacto positivo no crescimento e no investimento. O aumento do nível global de cibersegurança é suscetível de conduzir a um aumento da segurança global e ao funcionamento ininterrupto e harmonioso de serviços essenciais, que são de importância crítica para a sociedade. A iniciativa poderá também contribuir para outros impactos sociais, como a redução dos níveis de cibercriminalidade e de terrorismo e o reforço da proteção civil. Quanto mais preparadas estiverem as empresas e outras organizações em matéria de cibersegurança, maiores serão as probabilidades de evitar potenciais perdas financeiras decorrentes de ciberataques e, consequentemente, de evitar despedimentos. O aumento do nível global de cibersegurança poderia ainda contribuir para a prevenção de riscos/danos ambientais em caso de ataque a um serviço essencial, sobretudo nos setores da energia, do fornecimento e distribuição de água e dos transportes. Ao reforçar as capacidades de cibersegurança, a iniciativa poderia conduzir a uma maior utilização de infraestruturas e serviços de TIC de última geração, que são também mais sustentáveis do ponto de vista ambiental, e à substituição de infraestruturas pré-existentes ineficientes e menos seguras. Tal deverá contribuir igualmente para reduzir o número de ciberincidentes dispendiosos, libertando recursos para investimentos sustentáveis. •Adequação da regulamentação e simplificação A proposta prevê a exclusão geral de micro e pequenas entidades do âmbito da Diretiva SRI e a aplicação de um regime de supervisão ex post mais simples a um vasto número de entidades que passam a estar abrangidas pelo âmbito de aplicação revisto (as chamadas «entidades importantes»). Estas medidas visam minimizar e equilibrar os encargos impostos às empresas e às administrações públicas. Adicionalmente, a proposta substitui o complexo sistema de identificação de operadores de serviços essenciais por uma obrigação de aplicação geral e introduz um nível mais elevado de harmonização das obrigações em matéria de segurança e de notificação, o que diminuiria os encargos de conformidade, especialmente para as entidades que prestam serviços transfronteiriços. A proposta minimiza os custos de conformidade para as PME, uma vez que as entidades só são obrigadas a tomar as medidas necessárias para garantir um nível de segurança das redes e dos sistemas de informações consentâneo com os riscos que se colocam. •Direitos fundamentais A UE está empenhada em assegurar elevados níveis de proteção dos direitos fundamentais. Todos os acordos de partilha de informações a título voluntário entre entidades que esta diretiva promove seriam aplicados em ambientes de confiança, no pleno respeito das regras da União em matéria de proteção de dados, especialmente o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho. 4.INCIDÊNCIA ORÇAMENTAL Consultar ficha financeira 5.OUTROS ELEMENTOS •Planos de execução e acompanhamento, avaliação e prestação de informações A proposta inclui um plano geral de acompanhamento e avaliação do impacto nos objetivos específicos, que exige que a Comissão proceda a uma avaliação, pelo menos, [54 meses] após a data de entrada em vigor e que preste informações ao Parlamento Europeu e ao Conselho sobre as suas principais constatações. A avaliação deve ser realizada em conformidade com as Orientações «Legislar Melhor» da Comissão. •Explicação pormenorizada das disposições específicas da proposta A proposta está estruturada em torno de várias políticas setoriais importantes, que estão interligadas e que têm por objetivo aumentar o nível de cibersegurança na União. Objeto e âmbito (artigo 1.º e artigo 2.º) Em particular, a diretiva: a) estabelece a obrigação de os Estados-Membros adotarem uma estratégia nacional de cibersegurança e designarem autoridades nacionais competentes, pontos de contacto únicos e CSIRT; b) dispõe que os Estados-Membros devem impor obrigações de gestão dos riscos de cibersegurança e de notificação às entidades qualificadas como entidades essenciais no anexo I e como entidades importantes no anexo II; c) estabelece que os Estados‑Membros devem impor obrigações em matéria de partilha de informações sobre cibersegurança. A diretiva é aplicável a certas entidades essenciais, públicas ou privadas, que operam nos setores enumerados no anexo I (energia; transportes; serviços bancários; infraestruturas do mercado financeiro; saúde, água potável; águas residuais; infraestruturas digitais; administração pública e espaço) e a certas entidades importantes que operam nos setores enumerados no anexo II (serviços postais e de estafeta; gestão de resíduos; fabrico, produção e distribuição de produtos químicos; produção, transformação e distribuição de produtos alimentares; indústria transformadora e prestadores de serviços digitais). As micro e pequenas entidades, na aceção da Recomendação 2003/361/CE da Comissão, de 6 de maio de 2003, estão excluídas do âmbito da diretiva, exceto os fornecedores de redes de comunicações eletrónicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público, os prestadores de serviços de confiança, os registos de nomes de domínio de topo, a administração pública e certas outras entidades, tais como o único prestador de um serviço num Estado-Membro.

Quadros nacionais de cibersegurança (artigos 5.º a 11.º) Os Estados-Membros devem adotar uma estratégia nacional de cibersegurança que defina objetivos estratégicos e medidas políticas e regulamentares adequadas, com vista a alcançar e a manter um elevado nível de cibersegurança. A diretiva também estabelece um quadro para a divulgação coordenada de vulnerabilidades e exige que os Estados-Membros designem CSIRT para atuarem como intermediários de confiança e facilitarem a interação entre as entidades notificadoras e os fabricantes ou fornecedores de produtos de TIC e os prestadores de serviços de TIC. A ENISA deve criar e manter um registo europeu de vulnerabilidades detetadas. Os Estados-Membros devem estabelecer quadros nacionais de gestão de crises de cibersegurança, nomeadamente designando autoridades nacionais competentes que sejam responsáveis pela gestão de incidentes e crises de cibersegurança em grande escala. Os Estados-Membros devem igualmente designar uma ou várias autoridades nacionais competentes no domínio da cibersegurança para o exercício das funções de supervisão previstas na presente diretiva e um ponto de contacto único nacional em matéria de cibersegurança para desempenhar uma função de ligação com vista a assegurar a cooperação transfronteiriça das autoridades dos Estados-Membros. Devem ainda designar CSIRT. Cooperação (artigos 12.º a 16.º) A diretiva estabelece um grupo de cooperação a fim de apoiar e facilitar a cooperação estratégica e o intercâmbio de informações entre os Estados-Membros e de desenvolver a confiança entre os mesmos. Cria também uma rede de CSIRT que visa contribuir para o desenvolvimento da confiança entre os Estados-Membros e para promover uma cooperação operacional célere e eficaz. É criada uma Rede de Organizações de Coordenação de Cibercrises (UE-CyCLONe) para apoiar a gestão coordenada de incidentes e crises de cibersegurança em grande escala e para assegurar o intercâmbio regular de informações entre os Estados-Membros e as instituições da UE. A ENISA deve elaborar, em cooperação com a Comissão, um relatório bienal sobre o estado da cibersegurança na União. A Comissão deve estabelecer um sistema de análise pelos pares que permita analisar regularmente a eficácia das políticas de cibersegurança dos Estados-Membros. Obrigações de gestão dos riscos de cibersegurança e de notificação (artigos 17.º a 23.º) A diretiva exige que os Estados-Membros imponham aos órgãos de direção de todas as entidades abrangidas pelo seu âmbito a obrigação de aprovarem as medidas de gestão dos riscos de cibersegurança tomadas pelas respetivas entidades e de frequentarem ações de formação específicas no domínio da cibersegurança. Os Estados-Membros devem assegurar que as entidades abrangidas pelo âmbito da diretiva tomem medidas técnicas e organizativas adequadas e proporcionadas para gerir os riscos de cibersegurança que se colocam à segurança das redes e dos sistemas de informação. Devem ainda garantir que as entidades notificam as autoridades nacionais competentes ou as CSIRT de qualquer incidente de cibersegurança que tenha um impacto significativo na prestação do serviço que asseguram. Os registos de domínios de topo e as entidades que prestam serviços de registo de nomes de domínio a esses registos devem recolher e manter dados exatos e completos relativos ao registo de nomes de domínio. Além disso, as referidas entidades devem proporcionar um acesso eficiente a dados relativos ao registo de nomes de domínio aos requerentes legítimos de acesso. Competência e registo (artigos 24.º e 25.º) Em regra, considera-se que as entidades essenciais e importantes estão sob a jurisdição do Estado-Membro onde prestam os seus serviços. No entanto, considera-se que certos tipos de entidades (prestadores de serviços de DNS, registos de nomes de domínio de topo, prestadores de serviços de computação em nuvem, prestadores de serviços de centro de dados e fornecedores de redes de distribuição de conteúdos, bem como certos prestadores de serviços digitais) estão sob a jurisdição do Estado-Membro onde têm o seu estabelecimento principal na União. Pretende-se assim evitar que as referidas entidades estejam sujeitas a uma multiplicidade de requisitos legais, dado que uma proporção extremamente elevada dos serviços que prestam tem caráter transfronteiriço. A ENISA deve criar e manter um registo deste último tipo de entidades. Partilha de informações (artigos 26.º e 27.º) Os Estados-Membros devem estabelecer regras que permitam às entidades partilhar informações relacionadas com cibersegurança no quadro de acordos específicos de partilha de informações sobre cibersegurança, em conformidade com o artigo 101.º do TFUE. Além disso, os Estados-Membros devem permitir que as entidades não abrangidas pelo âmbito da presente diretiva notifiquem, a título voluntário, incidentes significativos, ciberameaças ou quase incidentes. Supervisão e execução coerciva (artigos 28.º a 34.º) As autoridades competentes devem supervisionar as entidades abrangidas pelo âmbito da diretiva, devendo, nomeadamente, garantir que cumprem os requisitos em matéria de segurança e de notificação de incidentes. A diretiva distingue entre um regime de supervisão ex ante para as entidades essenciais e um regime de supervisão ex post para as entidades importantes; este último regime exige que as autoridades competentes intervenham quando disponham de provas ou indícios de que uma entidade importante não cumpre os requisitos em matéria de segurança e de notificação de incidentes.

A diretiva exige igualmente que os Estados-Membros imponham coimas às entidades essenciais e importantes e define coimas máximas. Os Estados-Membros devem cooperar e assistir-se mutuamente, consoante necessário, quando as entidades prestam serviços em mais do que um Estado-Membros ou quando o estabelecimento principal de uma entidade ou o seu representante está localizado num determinado Estado-Membro, mas a sua rede e os seus sistemas de informação estão localizados em um ou vários Estados-Membros diferentes. 2020/0359 (COD) Proposta de DIRETIVA DO PARLAMENTO EUROPEU E DO CONSELHO relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União e que revoga a Diretiva (UE) 2016/1148 (Texto relevante para efeitos do EEE) O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.º, Tendo em conta a proposta da Comissão Europeia, Após transmissão do projeto de ato legislativo aos parlamentos nacionais, Tendo em conta o parecer do Comité Económico e Social Europeu, Tendo em conta o parecer do Comité das Regiões, Deliberando de acordo com o processo legislativo ordinário, Considerando o seguinte: (1)A Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho tinha por objetivo desenvolver as capacidades de cibersegurança em toda a União, atenuar as ameaças às redes e aos sistemas de informação utilizados para prestar serviços essenciais em setores-chave e garantir a continuidade de tais serviços em face de incidentes de cibersegurança, contribuindo assim para o eficaz funcionamento da economia e da sociedade da União. (2)Desde a entrada em vigor da Diretiva (UE) 2016/1148, foram alcançados progressos significativos no sentido de aumentar a resiliência em matéria da cibersegurança da União. A avaliação dessa diretiva revelou que esta funcionou como um catalisador para a abordagem institucional e regulamentar à cibersegurança na União, abrindo as portas a uma mudança significativa das mentalidades. A referida diretiva assegurou a conclusão de quadros nacionais, mediante a definição de estratégias nacionais de cibersegurança, o estabelecimento de capacidades nacionais e a aplicação de medidas regulamentares que abrangem os intervenientes e as infraestruturas essenciais identificadas por cada Estado-Membro. Contribuiu igualmente para a cooperação a nível da União por via da criação do grupo de cooperação e de uma rede de equipas nacionais de resposta a incidentes de segurança informática (a seguir designada por «rede de CSIRT»). Não obstante esses resultados, a avaliação da Diretiva (UE) 2016/1148 revelou deficiências intrínsecas que a impedem de responder de forma eficaz a desafios contemporâneos e emergentes no domínio da cibersegurança. (3)Com a rápida transformação digital e interligação da sociedade, nomeadamente nos intercâmbios transfronteiriços, as redes e os sistemas de informação passaram a ocupar um lugar central na vida quotidiana. Essa evolução originou um alargamento do cenário de ameaças à cibersegurança, criando novos desafios que exigem respostas adaptadas, coordenadas e inovadoras em todos os Estados-Membros. O número, a amplitude, a sofisticação, a frequência e o impacto dos incidentes de cibersegurança estão a aumentar e constituem uma grave ameaça ao funcionamento das redes e dos sistemas de informação. Consequentemente, os ciberincidentes podem impedir o exercício de atividades económicas no mercado interno, gerar perdas financeiras, minar a confiança dos utilizadores e causar graves prejuízos à economia e à sociedade da União. Por conseguinte, a preparação e a eficácia no domínio da cibersegurança nunca foram tão importantes para o bom funcionamento do mercado interno como agora. (4)A base jurídica da Diretiva (UE) 2016/1148 é o artigo 114.º do Tratado sobre o Funcionamento da União Europeia (TFUE), cujo objetivo consiste no estabelecimento e funcionamento do mercado interno por intermédio do reforço de medidas relativas à aproximação das regras nacionais. Os requisitos de cibersegurança impostos às entidades que prestam serviços ou que exercem atividades economicamente importantes variam consideravelmente entre os Estados-Membros em termos do tipo de requisito, do seu grau de pormenor e do método de supervisão. Essas disparidades implicam custos adicionais e criam dificuldades para as empresas que propõem bens ou serviços além-fronteiras. As diferenças ou até mesmo as contradições entre os requisitos impostos por dois Estados-Membros podem afetar substancialmente essas atividades transfronteiriças. Além disso, as eventuais deficiências na conceção ou aplicação de normas de cibersegurança num Estado-Membro terão, provavelmente, repercussões no nível de cibersegurança de outros Estados-Membros, sobretudo em virtude dos intensos intercâmbios transfronteiriços. A avaliação da Diretiva (UE) 2016/1148 revelou grandes divergências na sua aplicação pelos Estados‑Membros, nomeadamente em relação ao seu âmbito, cuja delimitação foi deixada, em larga medida, ao critério dos Estados-Membros. A Diretiva (UE) 2016/1148 também concedeu aos Estados-Membros uma margem de apreciação muito ampla relativamente à aplicação das obrigações nela estabelecidas em matéria de segurança e de notificação de incidentes. Tais obrigações foram, portanto, aplicadas de formas significativamente diferentes a nível nacional. Verificou-se uma divergência semelhante em relação às disposições dessa diretiva em matéria de supervisão e execução coerciva. (5)Todas essas divergências implicam uma fragmentação do mercado interno e são suscetíveis de prejudicar o seu funcionamento, afetando, em especial, a prestação transfronteiriça de serviços e o nível de resiliência em matéria de cibersegurança devido à aplicação de normas diferentes. A presente diretiva visa eliminar essas divergências tão profundas entre os Estados-Membros, em especial estabelecendo regras mínimas relativas ao funcionamento de um quadro regulamentar coordenado, criando mecanismos para uma cooperação eficaz entre as autoridades responsáveis em cada Estado-Membro, atualizando a lista de setores e atividades sujeitas a obrigações em matéria de cibersegurança e prevendo vias de recurso e sanções eficazes que contribuam para a execução efetiva dessas obrigações. Por conseguinte, a Diretiva (UE) 2016/1148 deve ser revogada e substituída pela presente diretiva.

(6)A presente diretiva não afeta a possibilidade de cada Estado-Membro tomar as medidas necessárias para garantir a proteção dos interesses essenciais da sua própria segurança, salvaguardar a ordem e a segurança públicas e permitir a investigação, a deteção e a repressão de infrações penais, em conformidade com o direito da União. Nos termos do artigo 346.º do TFUE, nenhum Estado-Membro é obrigado a fornecer informações cuja divulgação seria contrária aos interesses essenciais da sua segurança pública. São pertinentes neste contexto as regras nacionais e da União relativas à proteção de informações classificadas, os acordos de não divulgação e os acordos de não divulgação informais, tais como o protocolo «sinalização luminosa» (Traffic Light Protocol). (7)Com a revogação da Diretiva (UE) 2016/1148, o âmbito de aplicação por setor deve ser alargado a uma parte mais vasta da economia à luz dos aspetos referidos nos considerandos 4 a 6. Por conseguinte, é necessário alargar os setores abrangidos pela Diretiva (UE) 2016/1148, a fim de assegurar uma cobertura exaustiva dos setores e serviços de importância vital para as atividades económicas e sociais fundamentais no mercado interno. As regras não podem ser diferentes consoante as entidades sejam operadores de serviços essenciais ou prestadores de serviços digitais. Essa diferenciação revelou-se obsoleta, uma vez que não reflete a real importância dos setores ou serviços para as atividades económicas e sociais no mercado interno. (8)Nos termos da Diretiva (UE) 2016/1148, cabia aos Estados-Membros determinar as entidades que cumpriam os critérios de classificação como operadores de serviços essenciais (a seguir designado por «processo de identificação»). A fim de eliminar as profundas divergências entre os Estados-Membros nesse domínio e proporcionar a todas as entidades jurídicas pertinentes segurança jurídica no que respeita aos requisitos de gestão de riscos e às obrigações de notificação, há que estabelecer um critério uniforme para identificar as entidades abrangidas pelo âmbito da presente diretiva. Tal critério deve consistir na aplicação da regra da limitação com base na dimensão da empresa, nos termos da qual todas as médias e grandes empresas, na aceção da Recomendação 2003/361/CE da Comissão, que atuam nos setores ou prestam o tipo de serviços abrangidos pela presente diretiva estão abrangidas pelo seu âmbito. Não deve ser exigido aos Estados-Membros que elaborem uma lista das entidades que cumprem este critério de aplicação geral relacionado com a dimensão. (9)No entanto, as micro ou pequenas entidades que preencham certos critérios que indiciem o desempenho de um papel fundamental para as economias ou sociedades dos Estados-Membros ou para setores ou tipos de serviços específicos devem também estar abrangidas pela presente diretiva. Os Estados-Membros devem ser incumbidos de elaborar uma lista de tais entidades e apresentá-la à Comissão. (10)Em cooperação com o grupo de cooperação, a Comissão pode emitir orientações sobre a aplicação dos critérios relativos às micro e pequenas empresas. (11)Consoante o setor em que atuam ou o tipo de serviço que prestam, as entidades abrangidas pelo âmbito da presente diretiva devem ser classificadas em duas categorias: essenciais e importantes. Essa classificação deve ter em conta o grau de importância do setor ou do tipo de serviço, bem como o nível de dependência de outros setores ou tipos de serviços. Tanto as entidades essenciais como as entidades importantes devem estar sujeitas aos mesmos requisitos de gestão de riscos e obrigações de notificação. Os regimes de supervisão e de sanções aplicáveis a estas duas categorias devem ser diferentes, a fim de garantir um equilíbrio justo entre requisitos e obrigações, por um lado, e os encargos administrativos decorrentes da supervisão do cumprimento, por outro. (12)A legislação e os instrumentos setoriais podem contribuir para assegurar elevados níveis de cibersegurança, tomando simultaneamente em plena consideração as especificidades e complexidades dos setores em causa. Nos casos em que um ato jurídico setorial da União exija que entidades essenciais ou importantes adotem medidas de gestão dos riscos de cibersegurança ou notifiquem incidentes ou ciberameaças significativas com, pelo menos, um efeito equivalente ao das obrigações estabelecidas na presente diretiva, devem aplicar-se essas disposições setoriais, nomeadamente em matéria de supervisão e execução coerciva. A Comissão pode emitir orientações relativas à aplicação da lex specialis. A presente diretiva não obsta à adoção de outros atos setoriais da União relacionados com medidas de gestão dos riscos de cibersegurança e notificação de incidentes. A presente diretiva não prejudica as atuais competências de execução atribuídas à Comissão em vários setores, incluindo transportes e energia. (13)O Regulamento XXXX/XXXX do Parlamento Europeu e do Conselho deve ser considerado um ato jurídico setorial da União para efeitos da presente diretiva no que diz respeito às entidades do setor financeiro. As disposições do Regulamento XXXX/XXXX relativas às medidas de gestão dos riscos no domínio das tecnologias da informação e comunicação (TIC), à gestão de incidentes relacionados com TIC e, em especial, à notificação de incidentes, bem como as relativas a testes de resiliência operacional digital, acordos de partilha de informações e riscos de terceiros no domínio das TIC, devem ser aplicadas em vez das disposições estabelecidas na presente diretiva. Por conseguinte, os Estados-Membros não devem aplicar as disposições da presente diretiva em matéria de obrigações de gestão dos riscos de cibersegurança e de notificação, partilha de informações e supervisão e execução coerciva no respeitante às entidades financeiras abrangidas pelo Regulamento XXXX/XXXX. Ao mesmo tempo, é importante manter uma relação sólida e o intercâmbio de informações com o setor financeiro no âmbito da presente diretiva. Para o efeito, o Regulamento XXXX/XXXX permite que todos os supervisores financeiros, as autoridades europeias de supervisão (AES) do setor financeiro e as autoridades nacionais competentes ao abrigo do Regulamento XXXX/XXXX participem nos debates políticos estratégicos e nos trabalhos técnicos do grupo de cooperação, e que troquem informações e cooperem com os pontos de contacto únicos designados nos termos da presente diretiva e com as CSIRT nacionais. As autoridades competentes ao abrigo do Regulamento XXXX/XXXX também devem transmitir informações pormenorizadas sobre incidentes graves relacionados com as TIC aos pontos de contacto únicos designados nos termos da presente diretiva. Adicionalmente, os Estados-Membros devem continuar a incluir o setor financeiro nas respetivas estratégias de cibersegurança e as CSIRT nacionais podem contemplar o setor financeiro nas suas atividades. (14)Tendo em conta as interligações entre a cibersegurança e a segurança física das entidades, importa assegurar uma abordagem coerente entre a Diretiva (UE) XXX/XXX do Parlamento Europeu e do Conselho e a presente diretiva. Para tal, os Estados-Membros devem assegurar que as entidades críticas e as entidades equivalentes nos termos da Diretiva (UE) XXX/XXX sejam consideradas entidades essenciais no âmbito da presente diretiva. Os Estados-Membros devem ainda garantir que as suas estratégias de cibersegurança prevejam um quadro político para o reforço da cooperação entre a autoridade competente ao abrigo da presente diretiva e a autoridade competente ao abrigo da Diretiva (UE) XXX/XXX no contexto da partilha de informações sobre incidentes e ciberameaças e do exercício de funções de supervisão. As autoridades referidas nas duas diretivas devem cooperar e trocar informações, especialmente no que respeita à identificação de entidades críticas, ciberameaças, riscos de cibersegurança e incidentes que afetem entidades críticas, bem como sobre as medidas de cibersegurança adotadas por entidades críticas. A pedido das autoridades competentes ao abrigo da Diretiva (UE) XXX/XXX, as autoridades competentes ao abrigo da presente diretiva devem poder exercer as suas competências de supervisão e execução coerciva em relação a uma entidade essencial identificada como crítica. Ambas as autoridades devem cooperar e trocar informações para este fim. (15)A proteção e conservação de um sistema de nomes de domínio (DNS) fiável, resiliente e seguro é um fator crucial para manter a integridade da Internet, sendo igualmente essencial para a continuidade e a estabilidade do seu funcionamento, das quais a sociedade e a economia digital dependem. Consequentemente, a presente diretiva deve ser aplicável a todos os prestadores de serviços de DNS ao longo da cadeia de resolução do DNS, incluindo operadores de servidores de nomes da zona raiz, servidores de nomes de domínio de topo, servidores de nomes com autoridade para nomes de domínio e servidores recursivos. (16)Os serviços de computação em nuvem devem abranger serviços que permitam um amplo acesso remoto e a administração a pedido de um conjunto modulável e adaptável de recursos de computação partilháveis e distribuídos. Esses recursos de computação incluem redes, servidores ou outras infraestruturas, sistemas operativos, software, armazenamento, aplicações e serviços. Os modelos de implantação de serviços de computação em nuvem devem incluir soluções de nuvem privada, comunitária, pública e híbrida. Os serviços e os modelos de implantação supramencionados têm o mesmo significado que as condições de serviço e os modelos de implantação definidos na norma ISO/IEC 17788:2014. A possibilidade de o utilizador de serviços de computação em nuvem gerir autónoma e unilateralmente as capacidades de computação, como o tempo de acesso ao servidor ou o armazenamento em rede, sem qualquer interação humana do prestador do serviço de computação em nuvem, pode ser descrita como administração a pedido. O termo «amplo acesso remoto» é utilizado para descrever o facto de as capacidades de computação em nuvem serem disponibilizadas através da rede e acedidas através de mecanismos que promovem a utilização de diferentes plataformas para clientes «magros» (thin client) ou «gordos» (thick/fat client) (nomeadamente telemóveis, tabletes, computadores portáteis, estações de trabalho). O termo «modulável» refere-se a recursos de computação atribuídos de forma flexível pelo prestador de serviços de computação em nuvem, independentemente da localização geográfica dos recursos, a fim de fazer face às flutuações da procura. O termo «conjunto adaptável» é utilizado para descrever os recursos de computação disponibilizados e libertados em função da procura, a fim de aumentar ou diminuir rapidamente os recursos disponíveis, consoante o volume de trabalho. O termo «partilhável» é utilizado para descrever os recursos de computação fornecidos a múltiplos utilizadores que partilham um acesso comum ao serviço, mas cujo processamento é efetuado separadamente para cada utilizador, embora o serviço seja prestado a partir do mesmo equipamento eletrónico. O termo «distribuído» é utilizado para descrever os recursos de computação localizados em diferentes computadores ou dispositivos ligados em rede, que comunicam e se coordenam entre si por via da transmissão de mensagens. (17)Dada a emergência de tecnologias inovadoras e de novos modelos de negócio, espera‑se que surjam novos modelos de serviços e de implantação da computação em nuvem no mercado em resposta à evolução das necessidades dos consumidores. Nesse contexto, os serviços de computação em nuvem poderão ser prestados sob uma forma altamente distribuída, ainda mais próxima do ponto de geração ou recolha dos dados, substituindo assim o modelo tradicional por um modelo altamente distribuído (a denominada «computação periférica»). (18)Os serviços oferecidos por prestadores de serviços de centro de dados nem sempre serão prestados sob a forma de serviço de computação em nuvem. Consequentemente, os centros de dados nem sempre farão parte de uma infraestrutura de computação em nuvem. A fim de gerir todos os riscos que se colocam à segurança das redes e dos sistemas de informação, a presente diretiva deve abranger também os prestadores de serviços de centro de dados que não sejam serviços de computação em nuvem. Para efeitos da presente diretiva, o termo «serviço de centro de dados» deve abranger a prestação de um serviço que englobe estruturas ou grupos de estruturas dedicados ao alojamento centralizado, interligação e operação de equipamento de redes e tecnologias da informação que preste serviços de armazenamento, tratamento e transmissão de dados, juntamente com todas as instalações e infraestruturas de distribuição de energia e controlo ambiental. O termo «serviço de centro de dados» não se aplica aos centros de dados internos das empresas, detidos e geridos para os próprios fins da entidade em causa. (19)Os prestadores de serviços postais, na aceção da Diretiva 97/67/CE do Parlamento Europeu e do Conselho, bem como os prestadores de serviços de correio expresso e estafeta, devem ser abrangidos pela presente diretiva se realizarem, pelo menos, uma das atividades na cadeia de entrega postal, em especial recolha, triagem ou distribuição, incluindo serviços de levantamento. Os serviços de transporte que não sejam prestados em conjunto com uma dessas atividades não devem estar abrangidos pelo âmbito dos serviços postais. (20)Estas crescentes interdependências resultam de uma rede de prestação de serviços com um caráter cada vez mais transfronteiriço e interdependente, que utiliza infraestruturas essenciais em toda a União nos setores da energia, dos transportes, das infraestruturas digitais, da água potável e das águas residuais, da saúde, de certos aspetos da administração pública, bem como no setor do espaço no que se refere à prestação de certos serviços que dependem de infraestruturas terrestres detidas, geridas e operadas por Estados-Membros ou por entidades privadas, não abrangendo, portanto, as infraestruturas detidas, geridas ou operadas pela União ou em seu nome no âmbito dos seus programas espaciais. Em virtude dessas interdependências, qualquer perturbação, mesmo que inicialmente confinada a uma entidade ou a um setor, pode ter repercussões mais vastas e causar impactos negativos generalizados e duradouros na prestação de serviços em todo o mercado interno. A pandemia de COVID-19 revelou a vulnerabilidade das nossas sociedades, cada vez mais interdependentes, perante riscos com baixa probabilidade de ocorrência. (21)Tendo em conta as diferenças nas estruturas governativas nacionais, e a fim de salvaguardar os acordos setoriais já existentes ou os organismos de supervisão e regulação da União, os Estados-Membros devem poder designar mais do que uma autoridade nacional competente para desempenhar as funções associadas à segurança das redes e dos sistemas de informação de entidades essenciais e importantes nos termos da presente diretiva. Os Estados-Membros devem poder atribuir essas funções a uma autoridade existente. (22)A fim de facilitar a cooperação e a comunicação transfronteiriça entre as autoridades e permitir a aplicação eficaz da presente diretiva, é necessário que cada Estado-Membro designe um ponto de contacto único nacional responsável pela coordenação das questões relativas à segurança das redes e dos sistemas de informação e pela cooperação transfronteiriça a nível da União. (23)As autoridades competentes ou as CSIRT devem receber as notificações de incidentes efetuadas pelas entidades de forma eficaz e eficiente. Os pontos de contacto únicos devem ser incumbidos do reencaminhamento das notificações de incidentes para os pontos de contacto únicos de outros Estados-Membros afetados. A fim de garantir a existência de um ponto de entrada único ao nível das autoridades de cada Estado‑Membro, os pontos de contacto únicos devem ser também os destinatários de informações sobre incidentes respeitantes a entidades do setor financeiro fornecidas pelas autoridades competentes ao abrigo do Regulamento XXXX/XXXX, informações essas que deverão poder transmitir, conforme adequado, às autoridades nacionais competentes nesse domínio ou às CSIRT ao abrigo da presente diretiva. (24)Os Estados-Membros devem estar adequadamente equipados, em termos de capacidade técnica e organizativa, para evitar, detetar e atenuar os incidentes e os riscos ligados às redes e aos sistemas de informação, e para os enfrentar. Por conseguinte, devem dispor de CSIRT, também conhecidas por equipas de resposta a emergências informáticas (CERT), que funcionem bem e que preencham os requisitos essenciais para garantir capacidades efetivas e compatíveis para fazer face aos incidentes e aos riscos e para assegurar uma cooperação eficaz a nível da União. No intuito de melhorar a relação de confiança entre as entidades e as CSIRT, nos casos em que a autoridade competente disponha de uma CSIRT, os Estados-Membros devem ponderar a separação funcional entre as funções operacionais desempenhadas pelas CSIRT, especialmente no que respeita à partilha de informações e ao apoio às entidades, e as atividades de supervisão das autoridades competentes. (25)No que respeita a dados pessoais, as CSIRT devem poder facultar, em conformidade com o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, em nome ou a pedido de uma entidade ao abrigo da presente diretiva, uma análise proativa da rede e dos sistemas de segurança utilizados para prestarem os seus serviços. Os Estados-Membros devem procurar garantir que todas as CSIRT setoriais possuam o mesmo nível de capacidades técnicas. Os Estados-Membros poderão solicitar a assistência da Agência da União Europeia para a Cibersegurança (ENISA) no desenvolvimento de CSIRT nacionais.

(26)Tendo em conta a importância da cooperação internacional em matéria de cibersegurança, as CSIRT devem poder participar em redes de cooperação internacional, em complemento da rede de CSIRT criada pela presente diretiva. (27)Nos termos do anexo da Recomendação (UE) 2017/1548 da Comissão, sobre a resposta coordenada a incidentes e crises de cibersegurança em grande escala («plano de ação»), entende-se por incidente em larga escala um incidente com um impacto significativo em, pelo menos, dois Estados-Membros ou que cause perturbações tão extensas que ultrapassem a capacidade de resposta de um Estado-Membro. Consoante a sua causa e o seu impacto, os incidentes em grande escala poderão agravar-se e transformar-se em verdadeiras crises que impeçam o correto funcionamento do mercado interno. Tendo em conta o vasto alcance e, em muitos casos, o caráter transfronteiriço de tais incidentes, é importante que os Estados-Membros e as instituições, organismos e agências competentes da União cooperem a nível técnico, operacional e político para coordenarem eficazmente a resposta em toda a União. (28)Uma vez que a exploração das vulnerabilidades das redes e dos sistemas de informação pode causar perturbações e danos consideráveis, a celeridade na identificação e correção de tais vulnerabilidades é um fator importante na redução dos riscos de cibersegurança. As entidades que desenvolvem esses sistemas devem, por conseguinte, estabelecer procedimentos adequados para fazer face a vulnerabilidades quando estas sejam detetadas. Uma vez que as vulnerabilidades são frequentemente detetadas e notificadas (divulgadas) por terceiros (entidades notificadoras), o fabricante ou fornecedor de produtos ou prestador de serviços de TIC deve adotar igualmente os procedimentos necessários para receber informações sobre vulnerabilidades fornecidas por terceiros. Nesta matéria, as normas internacionais ISO/IEC 30111 e ISO/IEC 29417 fornecem orientações sobre o tratamento de vulnerabilidades e a divulgação de vulnerabilidades, respetivamente. No que respeita à divulgação de vulnerabilidades, a coordenação entre as entidades notificadoras e os fabricantes ou fornecedores de produtos ou prestadores de serviços de TIC assume especial importância. A divulgação coordenada de vulnerabilidades especifica um processo estruturado mediante o qual as vulnerabilidades são notificadas às organizações de uma forma que lhes permite diagnosticar e corrigir as vulnerabilidade antes de serem divulgadas informações pormenorizadas sobre as mesmas a terceiros ou ao público. A divulgação coordenada de vulnerabilidades deve abranger também a coordenação entre a entidade notificadora e a organização no que respeita ao momento da correção e da publicação das vulnerabilidades. (29)Por conseguinte, os Estados-Membros devem tomar medidas para facilitar a divulgação coordenada de vulnerabilidades, definindo uma política nacional nessa matéria. Neste contexto, os Estados-Membros devem designar uma CSIRT que assuma o papel de «coordenadora», agindo como intermediária entre as entidades notificadoras e os fabricantes ou fornecedores de produtos ou prestadores de serviços de TIC, quando necessário. As funções da CSIRT coordenadora devem incluir, em especial, a identificação e o contacto das entidades em causa, a prestação de apoio às entidades notificadoras, a negociação do calendário de divulgação de vulnerabilidades e a gestão da divulgação de vulnerabilidades que afetem várias organizações (divulgação de vulnerabilidades a várias partes). Se as vulnerabilidades afetarem vários fabricantes ou fornecedores de produtos ou prestadores de serviços de TIC estabelecidos em mais do que um Estado-Membro, as CSIRT designadas por cada um dos Estados-Membros afetados devem cooperar no âmbito da rede de CSIRT. (30)O acesso em tempo útil a informações fidedignas sobre vulnerabilidades que afetem produtos e serviços de TIC contribui para melhorar a gestão dos riscos de cibersegurança. Nesse contexto, as fontes de informações públicas sobre vulnerabilidades constituem um instrumento importante não só para as entidades e os seus utilizadores, mas também para as autoridades nacionais competentes e as CSIRT. Por este motivo, a ENISA deve criar um registo de vulnerabilidades no qual as entidades essenciais e importantes e os respetivos fornecedores, bem como as entidades não abrangidas pelo âmbito da presente diretiva, possam, a título voluntário, divulgar vulnerabilidades e fornecer as informações conexas que permitam aos utilizadores tomarem medidas de atenuação adequadas. (31)Embora já existam bases de dados ou registos de vulnerabilidades semelhantes, as entidades responsáveis pelo seu alojamento e manutenção não estão estabelecidas na União. Um registo europeu de vulnerabilidades mantido pela ENISA melhoraria a transparência do processo de publicação antes de a vulnerabilidade ser oficialmente divulgada, bem como a resiliência em casos de perturbação ou interrupção da prestação de serviços semelhantes. A fim de evitar a duplicação de esforços e de assegurar, tanto quanto possível, a complementaridade, é importante que a ENISA explore a possibilidade de celebrar acordos de cooperação estruturados com registos semelhantes em jurisdições de países terceiros. (32)O grupo de cooperação deve elaborar, de dois em dois anos, um programa de trabalho que defina as ações a empreender pelo grupo no sentido de cumprir os seus objetivos e as suas funções. O calendário do primeiro programa adotado ao abrigo da presente diretiva deve estar alinhado com o calendário do último programa adotado ao abrigo da Diretiva (UE) 2016/1148, a fim de evitar potenciais perturbações das atividades do grupo. (33)Ao elaborar documentos de orientação, o grupo de cooperação deve consistentemente: fazer um levantamento das experiências e soluções nacionais, avaliar o impacto dos resultados do trabalho do grupo de coordenação nas abordagens nacionais, discutir os desafios que se colocam à aplicação e formular recomendações específicas a adotar por via de uma melhor aplicação das regras existentes. (34)O grupo de cooperação deve continuar a ser um fórum flexível e estar apto a reagir a alterações das prioridades e desafios políticos ou a novas prioridades e desafios políticos, tendo simultaneamente em conta a disponibilidade de recursos. Deve organizar regularmente reuniões conjuntas com partes interessadas privadas de toda a União para discutir as atividades desenvolvidas pelo grupo e partilhar pontos de vista sobre novos desafios políticos. A fim de reforçar a cooperação a nível da União, o grupo deve equacionar a possibilidade de convidar organismos e agências da União envolvidas na política de cibersegurança, como o Centro Europeu da Cibercriminalidade (EC3), a Agência da União Europeia para a Segurança da Aviação (EASA) e a Agência da União Europeia para o Programa Espacial (EUSPA), a participarem nos seus trabalhos. (35)As autoridades competentes e as CSIRT devem estar habilitadas a participar em programas de intercâmbio de funcionários com outros Estados-Membros, no intuito de reforçar a cooperação. As autoridades competentes devem tomar as medidas necessárias para permitir que os funcionários de outros Estados-Membros participem ativamente nas atividades da autoridade competente de acolhimento. (36)Quando adequado, a União deve celebrar, em conformidade com o artigo 218.º do TFUE, acordos internacionais com países terceiros ou organizações internacionais que permitam e rejam a participação destes em algumas atividades do grupo de cooperação e da rede de CSIRT. Tais acordos devem assegurar uma proteção adequada dos dados. (37)Os Estados-Membros devem contribuir para a criação do quadro de resposta da UE a crises de cibersegurança previsto na Recomendação (UE) 2017/1584 por intermédio das redes de cooperação existentes, nomeadamente a Rede de Organizações de Coordenação de Cibercrises (UE-CyCLONe), a rede de CSIRT e o grupo de cooperação. A UE-CyCLONe e a rede de CSIRT devem cooperar com base em disposições processuais que definam as modalidades dessa cooperação. O regulamento interno da UE-CyCLONe deve especificar as modalidades de funcionamento da rede, incluindo, entre outros aspetos, as funções, os modos de cooperação, as interações com outros intervenientes relevantes e os modelos de partilha de informações, bem como os meios de comunicação. No atinente à gestão de crises a nível da União, as partes responsáveis devem recorrer ao Mecanismo Integrado da UE de Resposta Política a Situações de Crise (IPCR). A Comissão deve utilizar, para este efeito, o processo de alto nível para a coordenação de crises transetoriais do sistema geral de alerta rápido (ARGUS). Se a crise implicar uma dimensão importante a nível externo ou da política comum de segurança e defesa (PCSD), deve ser ativado o mecanismo de resposta a situações de crise (CRM) do Serviço Europeu para a Ação Externa (SEAE). (38)Para efeitos da presente diretiva, entende-se por «risco» a possibilidade de perda ou perturbação causada por um incidente de cibersegurança, a qual deve ser expressa como uma combinação da magnitude de tal perda ou perturbação e da probabilidade de ocorrência do referido incidente. (39)Para efeitos da presente diretiva, entende-se por «quase incidente» um evento que poderia ter causado danos, mas que foi impedido de se materializar plenamente. (40)As medidas de gestão de riscos devem incluir medidas para identificar os riscos de incidentes, para evitar, detetar e tratar os incidentes e para atenuar o seu impacto. A segurança das redes e dos sistemas de informação deve abranger a segurança dos dados armazenados, transmitidos e tratados. (41)Para evitar impor encargos financeiros e administrativos desproporcionados às entidades essenciais e importantes, os requisitos estabelecidos em matéria de gestão dos riscos de cibersegurança devem ser proporcionados em relação ao risco apresentado pelas redes e pelos sistemas de informação em causa, tendo em conta os progressos técnicos mais recentes no que respeita a tais medidas. (42)As entidades essenciais e importantes devem garantir a segurança das redes e dos sistemas de informação que utilizam nas suas atividades. Trata-se principalmente de redes e sistemas de informação privados geridos por pessoal interno especializado em TI ou cuja segurança tenha sido externalizada. Os requisitos em matéria de gestão dos riscos de cibersegurança e de notificação estabelecidos na presente diretiva devem aplicar-se às entidades essenciais e importantes abrangidas, independentemente de a manutenção das suas redes e sistemas de informação ser realizada a nível interno ou externalizada. (43)Tendo em conta a frequência de incidentes em que as entidades foram vítimas de ciberataques e em que intervenientes maliciosos conseguiram pôr em causa a segurança das redes e dos sistemas de informação de uma entidade mediante a exploração de vulnerabilidades que afetam produtos e serviços de terceiros, é particularmente importante gerir os riscos de cibersegurança decorrentes da cadeia de fornecimento de uma entidade e da relação desta com os seus fornecedores. Por conseguinte, as entidades devem avaliar e ter em conta a qualidade global dos produtos e as práticas de cibersegurança dos seus fornecedores e prestadores de serviços, incluindo os respetivos procedimentos de desenvolvimento seguro. (44)Entre os prestadores de serviços, os prestadores de serviços de segurança geridos em domínios como a resposta a incidentes, os testes de penetração, as auditorias de segurança e a consultoria desempenham um papel especialmente importante em termos de apoio aos esforços desenvolvidos pelas entidades para detetar e responder a incidentes. Porém, os próprios prestadores de serviços de segurança geridos têm sido igualmente alvo de ciberataques e, em virtude da sua estreita integração nas atividades dos operadores, colocam um risco especial de cibersegurança. As entidades devem, assim, exercer uma diligência acrescida ao selecionarem um prestador de serviços de segurança geridos. (45)As entidades devem igualmente gerir os riscos de cibersegurança emergentes da sua interação e da sua relação com outras partes interessadas no seio de um ecossistema mais vasto. Mais concretamente, as entidades devem tomar medidas adequadas para garantir que a sua cooperação com instituições académicas e de investigação respeita as suas políticas de cibersegurança e segue boas práticas no tocante ao acesso e à disseminação de informações em condições de segurança, em geral, e à proteção da propriedade intelectual, em particular. Do mesmo modo, dada a importância e o valor dos dados para as atividades das entidades, quando recorrerem a serviços de transformação de dados e de análise de dados prestados por terceiros, as entidades devem tomar todas as medidas de cibersegurança adequadas.

(46)A fim de melhorar a gestão dos principais riscos da cadeia de fornecimento e de ajudar as entidades que atuam em setores abrangidos pela presente diretiva a gerirem adequadamente riscos de cibersegurança relacionados com a cadeia de fornecimento e os fornecedores, o grupo de cooperação, com a participação das autoridades nacionais competentes e em cooperação com a Comissão e a ENISA, deve realizar avaliações setoriais coordenadas dos riscos associados às cadeias de fornecimento, tal como foi já feito para as redes 5G na sequência da Recomendação (UE) 2019/534 sobre a cibersegurança das redes 5G, com o objetivo de identificar, em cada setor, os produtos, sistemas ou serviços de TIC críticos, bem como as vulnerabilidades e ameaças importantes. (47)Dadas as características do setor em causa, as avaliações dos riscos associados às cadeias de fornecimento devem ter em conta tanto fatores técnicos como, quando pertinente, fatores não técnicos, incluindo os definidos na Recomendação (UE) 2019/534, na avaliação coordenada dos riscos de segurança das redes 5G a nível da UE, e no conjunto de instrumentos da UE em matéria de cibersegurança das redes 5G acordado pelo grupo de cooperação. Na identificação das cadeias de fornecimento que devem estar sujeitas a uma avaliação coordenada dos riscos, importa ter em conta os seguintes critérios: i) em que medida as entidades essenciais e importantes utilizam e dependem de produtos, sistemas ou serviços de TIC críticos específicos; ii) a importância de produtos, sistemas ou serviços de TIC críticos específicos para o desempenho de funções críticas ou sensíveis, incluindo o tratamento de dados pessoais; iii) a disponibilidade de produtos, sistemas ou serviços de TIC alternativos; iv) a resiliência da cadeia global de fornecimento de produtos, sistemas ou serviços de TIC face a perturbações; v) no que respeita a produtos, sistemas ou serviços de TIC emergentes, a sua potencial importância futura para as atividades das entidades. (48)A fim de simplificar as obrigações legais impostas aos fornecedores de redes públicas de comunicações eletrónicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público e aos prestadores de serviços de confiança, relacionadas com a segurança das respetivas redes e sistemas de informação, bem como para permitir que essas entidades e as respetivas autoridades competentes beneficiem do quadro jurídico estabelecido pela presente diretiva (incluindo a designação de CSIRT responsáveis pela gestão de riscos e pelo tratamento de incidentes, a participação de organismos e autoridades competentes no trabalho do grupo de cooperação e da rede de CSIRT), as referidas entidades devem estar abrangidas pelo âmbito de aplicação da presente diretiva. Por conseguinte, é necessário revogar as correspondentes disposições do Regulamento (UE) n.º 910/2014 do Parlamento Europeu e do Conselho e da Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho relacionadas com a imposição de obrigações em matéria de segurança e notificação a estes tipos de entidades. As regras em matéria de obrigações de notificação devem ser aplicáveis sem prejuízo das disposições do Regulamento (UE) 2016/679 e da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho. (49)Quando adequado e para evitar perturbações desnecessárias, as orientações nacionais em vigor e a legislação nacional adotada para efeitos de transposição das regras relacionadas com medidas de segurança estabelecidas no artigo 40.º, n.º 1, da Diretiva (UE) 2018/1972, bem como dos requisitos do artigo 40.º, n.º 2, da mesma diretiva respeitantes aos parâmetros utilizados para determinar a importância de um incidente, devem continuar a ser aplicadas pelas autoridades competentes encarregadas da supervisão e execução coerciva para efeitos da presente diretiva. (50)Dada a importância crescente dos serviços de comunicações interpessoais independentes do número, é necessário assegurar que tais serviços também estejam sujeitos a requisitos de segurança adequados, tendo em conta a sua natureza específica e importância económica. Assim, os prestadores de tais serviços devem igualmente garantir um nível de segurança das redes e dos sistemas de informação adequado aos riscos que representam. Dado que, por norma, os prestadores de serviços de comunicações interpessoais independentes do número não exercem um controlo efetivo sobre a transmissão de sinais através das redes, o nível de risco desses serviços poderá considerar-se, sob determinados aspetos, inferior ao dos serviços de comunicações eletrónicas tradicionais. O mesmo é válido para os serviços de comunicações interpessoais que utilizam números e que não exercem um controlo efetivo sobre a transmissão de sinais. (51)O mercado interno depende, mais do que nunca, do funcionamento da Internet. Os serviços de praticamente todas as entidades essenciais e importantes estão dependentes de serviços prestados através da Internet. Para evitar problemas na prestação dos serviços assegurados por entidades essenciais e importantes, é necessário que as redes públicas de comunicações eletrónicas, por exemplo as estruturas de base da Internet ou os cabos submarinos de comunicações, adotem medidas de cibersegurança adequadas e notifiquem incidentes relacionados com as mesmas. (52)Quando adequado, as entidades devem informar os destinatários dos seus serviços sobre ameaças específicas e graves e sobre as medidas que podem tomar para minimizar o risco delas resultantes a que estão expostos. A exigência de informar os referidos destinatários de tais ameaças não deve isentar as entidades da obrigação de, a expensas suas, adotarem medidas adequadas e imediatas para prevenir ou remediar quaisquer ciberameaças e restabelecer o nível normal de segurança do serviço. A prestação dessas informações aos destinatários sobre ameaças à segurança deve ser gratuita. (53)Em especial, os fornecedores de redes públicas de comunicações eletrónicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público devem informar os destinatários dos serviços sobre ameaças específicas e graves em matéria de cibersegurança e sobre as medidas que podem tomar para proteger a segurança das suas comunicações, por exemplo, recorrendo a tipos específicos de software ou tecnologias de cifragem. (54)Para salvaguardar a segurança das redes e serviços de comunicações eletrónicas, a utilização de cifragem, especialmente da cifragem de ponta a ponta, deve ser promovida e, se necessário, deve ser obrigatória para os fornecedores das referidas redes e serviços, em conformidade com os princípios da segurança e da privacidade por defeito e desde a conceção para efeitos do artigo 18.º. A utilização da cifragem de ponta a ponta deve ser conciliada com os poderes que os Estados-Membros detêm para assegurar a proteção dos seus interesses essenciais de segurança e da segurança pública e para permitir a investigação, a deteção e a repressão de infrações penais em conformidade com o direito da União. As soluções de acesso lícito a informações em comunicações cifradas de ponta a ponta devem manter a eficácia da cifragem em termos de proteção da privacidade e da segurança das comunicações, proporcionando simultaneamente uma resposta eficaz à criminalidade. (55)A presente diretiva define uma abordagem em duas etapas à notificação de incidentes, a fim de estabelecer o equilíbrio adequado entre, por um lado, uma notificação célere que ajude a minimizar a potencial propagação de incidentes e permita às entidades procurar apoio e, por outro lado, uma notificação exaustiva que retire ensinamentos valiosos de incidentes individuais e melhore gradualmente a resiliência de empresas individuais e setores inteiros face às ciberameaças. Quando tenham tido conhecimento de um incidente, as entidades devem ser obrigadas a efetuar uma notificação inicial no prazo de 24 horas, seguida pela apresentação de um relatório final, o mais tardar, um mês depois. A notificação inicial deve conter apenas as informações estritamente necessárias para dar conhecimento do incidente às autoridades competentes e para permitir que a entidade procure assistência, caso tal seja necessário. Se for o caso, a referida notificação deve indicar se o incidente foi presumivelmente causado por um ato ilícito ou malicioso. Os Estados-Membros devem garantir que a obrigação de apresentar esta notificação inicial não desvia os recursos da entidade notificadora afetos a atividades relacionadas com o tratamento de incidentes, às quais deve ser atribuída prioridade. Para evitar que as obrigações de notificação de incidentes desviem recursos afetos à resposta a incidentes ou possam prejudicar, de qualquer outra forma, os esforços desenvolvidos pelas entidades nessa matéria, os Estados‑Membros devem igualmente estabelecer que, em casos devidamente justificados e com a concordância das autoridades competentes ou da CSIRT, a entidade em causa poderá não cumprir o prazo de 24 horas para a notificação inicial ou o prazo de um mês para o relatório final. (56)As entidades essenciais e importantes encontram-se frequentemente numa situação em que um determinado incidente, por força das suas características, tem de ser comunicado a várias autoridades em cumprimento de obrigações de notificação estabelecidas em diferentes instrumentos jurídicos. Essas situações criam encargos adicionais, podendo igualmente gerar dúvidas quanto ao formato e aos procedimentos aplicáveis a tais notificações. Por este motivo, e com o objetivo de simplificar a notificação de incidentes de segurança, os Estados-Membros devem estabelecer um ponto de entrada único para todas as notificações exigidas pela presente diretiva e também por outros instrumentos jurídicos da União, como o Regulamento (UE) 2016/679 e a Diretiva 2002/58/CE. A ENISA, em cooperação com o grupo de cooperação, deve criar modelos comuns de notificação por intermédio de orientações destinadas a simplificar e racionalizar a comunicação de informações exigidas pelo direito da União e a reduzir os encargos para as empresas. (57)Os Estados-Membros devem incentivar as entidades essenciais e importantes, com base nas regras de processo penal aplicáveis e em conformidade com o direito da União, a notificar às autoridades policiais competentes os incidentes que se suspeite estarem relacionados com atividades criminosas graves nos termos do direito da União ou do direito nacional. Em determinados casos, e sem prejuízo das regras relativas à proteção de dados pessoais aplicáveis à Europol, é desejável que o Centro Europeu da Cibercriminalidade (EC3) e a ENISA facilitem a coordenação entre as autoridades competentes e as autoridades policiais dos diferentes Estados-Membros. (58)Os dados pessoais ficam amiúde expostos em consequência de incidentes. Neste contexto, as entidades competentes devem cooperar e trocar informações sobre todas as questões pertinentes com as autoridades de proteção de dados e as autoridades de fiscalização nos termos da Diretiva 2002/58/CE. (59)A manutenção de bases de dados fidedignas e completas dos nomes de domínio e dados de registo (os chamados «dados WHOIS») e a concessão de acesso lícito a tais dados é essencial para garantir a segurança, estabilidade e resiliência do DNS, o que, por sua vez, contribui para um elevado nível comum de cibersegurança na União. Quando as operações de tratamento abrangerem dados pessoais, esse tratamento deve cumprir a legislação da União em matéria de proteção de dados. (60)A disponibilização e a concessão atempada do acesso a estes dados às autoridades públicas, incluindo as autoridades competentes para a prevenção, investigação ou repressão de infrações penais ao abrigo do direito da União ou do direito nacional, às CERT, às CSIRT e, no que respeita aos dados dos seus clientes, aos fornecedores de redes e serviços de comunicações eletrónicas e aos fornecedores de tecnologias e serviços de cibersegurança que atuam em nome desses clientes, são fatores essenciais para prevenir e combater abusos do sistema de nomes de domínio, em especial para evitar, detetar e responder a incidentes de cibersegurança. Tal acesso deve respeitar a legislação da União em matéria de proteção de dados, na medida em que diga respeito a dados pessoais. (61)A fim de assegurar a disponibilidade de dados exatos e completos relativos ao registo de nomes de domínio, os registos de domínios de topo e as entidades que prestam serviços de registo de nomes de domínio a esses registos (os chamados agentes de registo) devem recolher dados relativos ao registo de nomes de domínio e garantir a integridade e disponibilidade desses dados. Em especial, os registos de domínios de topo e as entidades que prestam serviços de registo de nomes de domínio a esses registos devem estabelecer políticas e procedimentos para recolher e manter dados de registo exatos e completos, bem como para evitar e corrigir dados de registo incorretos, em conformidade com as regras da União em matéria de proteção de dados. (62)Os registos de domínios de topo e as entidades que prestam serviços de registo de nomes de domínio a esses registos devem disponibilizar ao público dados relativos ao registo de nomes de domínio que não estejam abrangidos pelo âmbito das regras da União em matéria de proteção de dados, como os dados respeitantes a pessoas coletivas. Os registos de domínios de topo e as entidades que prestam serviços de registo de nomes de domínio a esses registos devem igualmente permitir o acesso lícito a dados específicos de registo de nomes de domínio respeitantes a pessoas singulares aos requerentes legítimos de acesso, em conformidade com a legislação da União em matéria de proteção de dados. Os Estados-Membros devem assegurar que os registos de domínios de topo e as entidades que prestam serviços de registo de nomes de domínio a esses registos estejam obrigados a responder, sem demora injustificada, a pedidos de divulgação de dados relativos ao registo de nomes de domínio apresentados por requerentes legítimos de acesso. Estes registos e entidades devem estabelecer políticas e procedimentos com vista à publicação e divulgação de dados de registo, incluindo acordos de nível de serviço, a fim de responder a pedidos de acesso apresentados por requerentes legítimos de acesso. O procedimento de acesso pode também contemplar a utilização de uma interface, de um portal ou de outra ferramenta técnica para disponibilizar um sistema eficiente de pedido e acesso a dados de registo. A fim de promover práticas harmonizadas em todo o mercado interno, a Comissão pode adotar orientações sobre tais procedimentos, sem prejuízo das competências do Comité Europeu para a Proteção de Dados. (63)Todas as entidades essenciais e importantes abrangidas pela presente diretiva devem estar sob a jurisdição do Estado-Membro onde prestam os seus serviços. Se uma entidade prestar serviços em mais do que um Estado-Membro, deve estar sob a jurisdição autónoma e concorrente de cada um desses Estados-Membros. As autoridades competentes desses Estados-Membros devem cooperar, prestar assistência mútua e, se for o caso, realizar ações de supervisão conjuntas. (64)Para ter em conta a natureza transfronteiriça dos serviços e operações dos prestadores de serviços de DNS, dos registos de nomes de domínio de topo, dos fornecedores de redes de distribuição de conteúdos, dos prestadores de serviços de computação em nuvem, dos prestadores de serviços de centro de dados e dos prestadores de serviços digitais, estas entidades devem estar sob a jurisdição de um único Estado-Membro. A competência deve ser atribuída ao Estado-Membro onde a respetiva entidade tem o seu estabelecimento principal na União. O critério do estabelecimento para efeitos da presente diretiva pressupõe o exercício efetivo de uma atividade com base numa instalação estável. A forma jurídica de tal estabelecimento, quer se trate de uma sucursal quer de uma filial com personalidade jurídica, não é fator determinante nesse contexto. O preenchimento deste critério não deve estar associado à presença física das redes e sistemas de informação num determinado local; a presença e utilização desses sistemas não constitui, por si só, um estabelecimento principal e, consequentemente, não é um critério decisivo para determinar o estabelecimento principal. O estabelecimento principal deve ser o local onde as decisões relacionadas com as medidas de gestão dos riscos de cibersegurança são tomadas na União. Em regra, corresponderá ao local onde se situa a administração central das empresas na União. Se as referidas decisões não forem tomadas na União, deve considerar-se que o estabelecimento principal se localiza no Estado-Membro onde a entidade possui o estabelecimento com o maior número de trabalhadores na União. Se os serviços forem prestados por um grupo de empresas, deve considerar-se que o seu estabelecimento principal é o estabelecimento principal da empresa que exerce o controlo. (65)Nos casos em que um prestador de serviços de DNS, um registo de nomes de domínio de topo, um fornecedor de redes de distribuição de conteúdos, um prestador de serviços de computação em nuvem, um prestador de serviços de centro de dados ou um prestador de serviços digitais não estabelecido na União ofereça serviços na União, deve designar um representante. A fim de determinar se tal entidade oferece serviços na União, há que apurar se é evidente a sua intenção de oferecer serviços a pessoas em um ou vários Estados-Membros. O mero facto de estar acessível, na União, um sítio Web da entidade ou de um intermediário ou um endereço eletrónico ou outro tipo de contactos ou de ser utilizada uma língua de uso corrente no país terceiro em que a entidade se encontra estabelecida não é, enquanto tal, suficiente para determinar essa intenção. Contudo, fatores como a utilização de uma língua ou de uma moeda de uso corrente em um ou vários Estados-Membros, com a possibilidade de encomendar serviços nessa outra língua, ou a referência a clientes ou utilizadores na União podem revelar que a entidade tenciona oferecer serviços na União. O representante deve atuar por conta da entidade e deve poder ser contactado pelas autoridades competentes ou pelas CSIRT. O representante deve ser explicitamente designado, por mandato escrito da entidade, para atuar por conta desta última relativamente às obrigações que lhe incumbem por força da presente diretiva, incluindo a notificação de incidentes.

(66)Se, ao abrigo das disposições da presente diretiva, forem trocadas, comunicadas ou de outro modo partilhadas informações consideradas classificadas nos termos do direito nacional ou da União, devem ser aplicadas as correspondentes regras específicas sobre o tratamento de informações classificadas. (67)Dado que as ciberameaças têm vindo a tornar-se mais complexas e sofisticadas, a eficácia das medidas de deteção e prevenção depende, em grande medida, da partilha regular de informações sobre ameaças e vulnerabilidades entre entidades. A partilha de informações contribui para uma maior sensibilização para as ciberameaças, o que, por sua vez, reforça a capacidade das entidades para impedirem que as ameaças se tornem em verdadeiros incidentes e permite que as entidades contenham melhor os efeitos dos incidentes e recuperem de modo mais eficiente. Na ausência de orientações a nível da União, diversos fatores parecem ter impedido a referida partilha de informações, especialmente as dúvidas quanto à compatibilidade com as regras em matéria de concorrência e responsabilidade. (68)Importa incentivar as entidades a tirarem partido, coletivamente, dos seus conhecimentos e experiências práticas individuais a nível estratégico, tático e operacional, com vista a reforçarem as suas capacidades para avaliarem, monitorizarem, se defenderem e darem resposta, de forma adequada, às ciberameaças. Consequentemente, é necessário viabilizar a criação, a nível da União, de mecanismos de partilha de informações a título voluntário. Para tal, os Estados-Membros devem apoiar ativamente e incentivar também entidades pertinentes não abrangidas pelo âmbito da presente diretiva a participarem em tais mecanismos de partilha de informações. Esses mecanismos devem respeitar plenamente as regras da União em matéria de concorrência e de proteção de dados. (69)O tratamento de dados pessoais, na medida estritamente necessária e proporcionada para assegurar a segurança da rede e das informações, por entidades, autoridades públicas, CERT, CSIRT e fornecedores de tecnologias e serviços de segurança deve ser considerado um interesse legítimo do responsável pelo tratamento de dados em causa, tal como referido no Regulamento (UE) 2016/679. Tal deve incluir medidas relacionadas com a prevenção, deteção, análise e resposta a incidentes, medidas de sensibilização relativas a ciberameaças específicas, intercâmbio de informações no contexto da correção e da divulgação coordenada de vulnerabilidades, bem como o intercâmbio voluntário de informações sobre esses incidentes, ciberameaças e vulnerabilidades, indicadores de exposição a riscos, táticas, técnicas e procedimentos, alertas de cibersegurança e ferramentas de configuração. As referidas medidas poderão implicar o tratamento dos seguintes tipos de dados pessoais: endereços IP, localizadores uniformes de recursos (URL), nomes de domínio e endereços de correio eletrónico. (70)A fim de reforçar as ações e os poderes de supervisão que ajudam a assegurar um cumprimento efetivo, a presente diretiva deve estabelecer uma lista mínima de meios e ações de supervisão por meio dos quais as autoridades competentes poderão supervisionar entidades essenciais e importantes. Adicionalmente, a presente diretiva deve distinguir entre o regime de supervisão aplicável a entidades essenciais e a entidades importantes, com vista a garantir um equilíbrio justo das obrigações tanto para as entidades como para as autoridades competentes. Assim, as entidades essenciais devem ficar sujeitas a um regime de supervisão completo (ex ante e ex post), ao passo que as entidades importantes devem ficar sujeitas a um regime de supervisão simplificado, aplicável apenas ex post. Tal significa que as entidades importantes não são obrigadas a documentar sistematicamente o cumprimento dos requisitos em matéria de gestão dos riscos de cibersegurança e que as autoridades competentes devem adotar uma abordagem ex post reativa à supervisão, pelo que não estão sujeitas a uma obrigação geral de supervisionar essas entidades. (71)Para que a execução coerciva seja eficaz, há que estabelecer uma lista mínima de sanções administrativas aplicáveis em caso de incumprimento das obrigações de gestão dos riscos de cibersegurança e de notificação previstas na presente diretiva, definindo um quadro claro e consistente para tais sanções em toda a União. Importa ter em devida conta a natureza, a gravidade e a duração da infração, os danos efetivamente causados ou as perdas efetivamente sofridas, ou potenciais danos ou perdas que poderiam ter sido desencadeados, o caráter doloso ou negligente da infração, as medidas tomadas para prevenir ou atenuar os danos e/ou perdas sofridas, o grau de responsabilidade ou quaisquer infrações anteriores pertinentes, o grau de cooperação com a autoridade competente e qualquer outra circunstância agravante ou atenuante. A imposição de sanções, incluindo coimas, deve estar sujeita a garantias processuais adequadas em conformidade com os princípios gerais do direito da União e da Carta dos Direitos Fundamentais da União Europeia, incluindo o princípio da tutela jurisdicional efetiva e o direito a um processo equitativo. (72)A fim de assegurar a execução coerciva das obrigações estabelecidas na presente diretiva, cada autoridade competente deve ter o poder de impor ou de solicitar a imposição de coimas. (73)Sempre que forem impostas coimas a empresas, estas devem ser entendidas como empresas nos termos dos artigos 101.º e 102.º do TFUE para esse efeito. Sempre que forem impostas coimas a pessoas que não sejam empresas, a autoridade de supervisão deve ter em conta o nível geral de rendimentos no Estado-Membro, bem como a situação económica da pessoa em causa, no momento de estabelecer o montante adequado da coima. Deve caber aos Estados-Membros determinar se as autoridades públicas devem estar sujeitas a coimas, e em que medida. A imposição de uma coima não afeta o exercício de outros poderes pelas autoridades competentes nem a aplicação de outras sanções estabelecidas nas regras nacionais que transpõem a presente diretiva. (74)Os Estados-Membros devem poder definir as normas relativas às sanções penais aplicáveis por infrações às regras nacionais que transpõem a presente diretiva. Contudo, a imposição de sanções penais por infrações às referidas regras nacionais e de sanções ad