COMUNICAÇÃO CONJUNTA AO PARLAMENTO EUROPEU E AO CONSELHO

Relatório sobre a aplicação da Estratégia de Cibersegurança da UE para a Década Digital

I.A ciber-resiliência, a capacidade operacional e a abertura são hoje mais importantes do que nunca

A cibersegurança é indispensável para a implantação de tecnologias mais inteligentes e ecológicas num mundo pós-pandemia. De modo geral, é imprescindível para a segurança da UE e constitui um dos pilares da União da Segurança. O desenvolvimento social, político e económico exige soberania tecnológica e um ciberespaço mundial, aberto e seguro, assente no Estado de direito e no respeito pelos direitos humanos e pelas liberdades fundamentais. Esta foi a premissa central da Comunicação conjunta da Comissão e do alto representante da União para os Negócios Estrangeiros e a Política de Segurança intitulada «Estratégia de Cibersegurança da UE para a Década Digital», adotada em 16 de dezembro de 2020. Todas as entidades críticas são potenciais alvos de ciberataques. A evolução registada nos últimos seis meses justificou a necessidade de a estratégia se centrar na intensificação das reformas regulamentares, no investimento e na resposta operacional coletiva.

Os recentes ciberataques demonstraram, em particular, que as operações de programas de sequestro e ciberespionagem estão cada vez mais generalizadas e pressupõem um risco crescente para todos os setores da economia e da sociedade em geral. A dimensão dos incidentes é extraordinária: centenas de milhares de servidores foram afetados pelos ataques ao Microsoft Exchange; 18 000 organizações foram potencialmente afetadas pela campanha contra a plataforma Orion da SolarWinds; o ataque ao serviço de saúde irlandês com recurso a programas de sequestro resultou no roubo de dados sensíveis de centenas de doentes e na perturbação dos serviços médicos; o ciberataque ao sistema de faturação da Colonial Pipeline provocou uma situação de emergência, devido à paralisação do fornecimento de combustível, e permitiu o roubo massivo de dados; e as operações do maior fornecedor mundial de carne de bovino foram interrompidas. Embora se desconheça ao certo qual a extensão total dos danos, cada incidente destaca as consequências potencialmente graves da exploração mal-intencionada das vulnerabilidades dos produtos, serviços, sistemas e redes das tecnologias da informação e comunicação. É expectável que o impacto e a frequência destes ciberataques aumentem e comprometam a nossa segurança.

Por conseguinte, é essencial que a União Europeia acelere os progressos realizados em todas as frentes – legislativa, operacional, diplomática e relacionada com os investimentos – conforme previsto na estratégia. A proposta de diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União («Diretiva SRI 2»), a proposta de diretiva relativa à resiliência das entidades críticas e as propostas de regulamento e de diretiva relativos à resiliência operacional digital deverão ser adotadas o mais rapidamente possível. Neste contexto, é essencial adotar uma abordagem ambiciosa, nomeadamente no que diz respeito às cadeias de abastecimento, tendo em conta que, nos ciberataques mais recentes, as vulnerabilidades identificadas procediam dos fornecedores de software, e tomar medidas que garantam a resiliência das administrações públicas e a rápida notificação de incidentes. A necessidade de criar uma rede de centros de operações de segurança para a deteção precoce de sinais de ciberataques tornou-se mais premente do que nunca, tal como a necessidade de desenvolver uma resposta credível, eficaz e coletiva da UE a incidentes graves, incluindo a nível operacional, através da Ciberunidade Conjunta. Tendo em conta o aumento do número de ciberataques perpetrados por intervenientes estatais ou patrocinados por Estados, importa continuar a promover o comportamento responsável dos Estados a nível das Nações Unidas e através de ciberdiálogos e de intercâmbios estruturados com organizações regionais, incluindo a União Africana, o Fórum Regional da ASEAN, a Organização dos Estados Americanos (OEA) e a Organização para a Segurança e a Cooperação na Europa (OSCE), empreendendo paralelamente uma ação diplomática eficaz para prevenir, desincentivar, dissuadir e responder a comportamentos maliciosos no ciberespaço. A cooperação com países terceiros que partilham as mesmas ideias e as prioridades da agenda transatlântica revestir-se-á de particular importância. Em particular, será conveniente continuar a explorar a cooperação UE-EUA no que respeita a aspetos específicos de cibersegurança, tais como a partilha de informações e o combate aos programas de sequestro.

II.Panorâmica dos primeiros seis meses de aplicação

Algumas ações estratégicas estão já bastante avançadas.

II.1 Resiliência, soberania tecnológica e liderança

Em todo o mundo, as cadeias de abastecimento e as infraestruturas críticas, incluindo os hospitais que lutam contra a pandemia de COVID-19, correm atualmente um risco constante de sofrer ciberataques. A Comissão está a apoiar os colegisladores com vista a garantir a rápida adoção da proposta de reforma da Diretiva SRI, que irá, em particular, alargar a cobertura do setor da saúde, incluindo os laboratórios de investigação e o fabrico de medicamentos e dispositivos médicos críticos, e abrangerá novas atividades do setor da energia, como a produção de hidrogénio, os sistemas de aquecimento urbano, a produção de eletricidade e a armazenagem central de petróleo.

O Regulamento que cria o Centro de Competências em Cibersegurança e a Rede de Centros Nacionais de Coordenação foi adotado em 20 de maio de 2021. Permitirá congregar recursos da UE, dos Estados-Membros e da indústria para melhorar e reforçar as capacidades tecnológicas e industriais no domínio da cibersegurança, aumentando a autonomia estratégica aberta da UE e oferecendo a possibilidade de consolidar parte das atividades relacionadas com a cibersegurança financiadas no âmbito do Horizonte Europa, do Programa Europa Digital e do Mecanismo de Recuperação e Resiliência, com fluxos de financiamento que poderão atingir, no total, 4,5 mil milhões de EUR ao longo dos próximos seis anos. Tal apoiará o desenvolvimento, até 2023, de um escudo de cibersegurança da UE para a deteção precoce de ciberataques, composto por uma rede de centros de operações de segurança, que poderão ser públicos ou privados e que mobilizarão ferramentas baseadas na inteligência artificial. Vários Estados-Membros incluíram a criação desses centros nacionais nos respetivos planos de recuperação e resiliência. A Comissão complementará estes esforços afetando fundos do Programa Europa Digital e apoiará a sua ligação faseada. Os programas financeiros apoiarão igualmente a iniciativa EuroQCI, que visa construir uma infraestrutura de comunicação quântica segura que abranja todo o território da UE, incluindo os territórios ultramarinos, utilizando a melhor combinação de tecnologias terrestres e espaciais e uma rubrica orçamental específica para reforçar a ciber-resiliência no setor da saúde.

Garantir a cibersegurança das redes 5G é um processo contínuo que acompanhará a implantação gradual destas redes e a aplicação do conjunto de instrumentos da UE para as 5G. A maioria dos Estados‑Membros já dispõe – ou disporá em breve – de quadros para impor restrições adequadas aos fornecedores de 5G. Os requisitos aplicáveis aos operadores de redes móveis estão a ser reforçados mediante a transposição do Código das Comunicações Eletrónicas e a Agência da UE para a Cibersegurança (ENISA) está a preparar uma proposta de sistema de certificação da cibersegurança da UE para as redes 5G. Atentando nos novos desenvolvimentos e tendências da cadeia de abastecimento 5G, as autoridades dos Estados-Membros decidiram lançar uma análise exaustiva das implicações para a segurança das soluções tecnológicas de rede abertas, desagregadas e interoperáveis («Open RAN») no âmbito do conjunto de instrumentos da UE. Os resultados deste trabalho contribuirão para a abordagem concertada da UE em matéria de segurança das redes 5G.

É necessário envidar mais esforços, nomeadamente através do Plano de Ação da UE para a Educação Digital, para fazer face à enorme escassez de competências, que deverá traduzir-se em quase dois milhões de postos de cibersegurança por preencher a nível mundial até 2022, dos quais 350 000 só na Europa, e numa grave sub-representação das mulheres, que constituem apenas 11 % da mão de obra no domínio da cibersegurança a nível mundial, percentagem que, na Europa, é ainda inferior (7 %). Entre as iniciativas políticas em curso, contam-se ainda os trabalhos preparatórios de futuras iniciativas para a segurança da Internet das coisas e, no que respeita às normas aplicáveis à Internet, o desenvolvimento de um serviço de resolução de nomes de domínio sem fins lucrativos («DNS4EU»).

II.2 Criação de capacidade operacional para prevenir, dissuadir e responder

Com o aumento do número de ataques estatais e patrocinados por Estados, bem como de ataques criminosos a redes e sistemas de informação, e com a crescente dependência de bases de dados sensíveis, a UE precisa que as cibercomunidades estejam mais interligadas. Estas devem responder de forma coerente aos aspetos civis, penais, diplomáticos e de defesa dos ciberataques em grande escala que muitos setores económicos sensíveis têm vindo a sofrer nos últimos tempos. Por conseguinte, é necessário que todas as comunidades envidem esforços para completar as quatro etapas descritas na Recomendação da Comissão relativa à criação de uma Ciberunidade Conjunta, adotada ao mesmo tempo que o presente relatório, enquanto mecanismo de reforço da coordenação e de preenchimento das lacunas na resposta da UE às ciberameaças. No âmbito da luta contra a cibercriminalidade, foi alcançado um acordo político sobre a regulamentação temporária contra o abuso sexual de crianças na Internet, que será em breve adotada, e a nova Estratégia da Comissão para Lutar contra a Criminalidade Organizada centra-se na necessidade de dotar as autoridades policiais das ferramentas digitais de que necessitam. A Comissão adotou ainda, em fevereiro de 2020, o Plano de Ação sobre as Sinergias entre as Indústrias Civis, da Defesa e do Espaço, que identifica um novo projeto emblemático para a criação de um sistema global de conectividade segura baseado no espaço da UE. Este visa «[permitir] o acesso à conectividade de alta velocidade a todos os cidadãos europeus e [proporcionar] um sistema de conectividade resiliente que permitirá à Europa manter-se ligada, independentemente do que aconteça».

Do ponto de vista internacional, em consonância com a ambição definida no âmbito das orientações estratégicas, o alto representante está atualmente a preparar a revisão do Quadro Estratégico para a Ciberdefesa, que deverá ser apresentado aos Estados-Membros no segundo semestre de 2021. O alto representante trabalhou no sentido de melhorar a capacidade da UE para prevenir, desincentivar, dissuadir e responder a ciberatividades maliciosas, nomeadamente através do reforço da cooperação internacional. Em 17 de maio de 2021, o Serviço Europeu para a Ação Externa (SEAE), em cooperação com a Presidência portuguesa e o Instituto de Estudos de Segurança da União Europeia (IESUE), organizou um debate com base em cenários com os Estados-Membros da UE e os parceiros internacionais, a fim de melhorar a compreensão mútua das respetivas abordagens diplomáticas para prevenir, desincentivar, dissuadir e responder a ciberatividades maliciosas e de identificar oportunidades para consolidar a cooperação internacional para esse efeito. Com vista a continuar a reforçar o conjunto de instrumentos de ciberdiplomacia da UE, o SEAE está a coligir os ensinamentos retirados e pode rever as orientações de execução do quadro para uma resposta diplomática conjunta da UE às ciberatividades maliciosas.

Conforme anunciado na Estratégia de Cibersegurança da UE para a Década Digital, a Comissão está a lançar um estudo para desenvolver instrumentos de sensibilização destinados a melhorar a preparação e a resiliência das empresas da UE contra o roubo de propriedade intelectual com recurso a meios informáticos. A Comissão também intensificou as ações de execução relacionadas com a Diretiva 2013/40/UE relativa a ataques contra os sistemas de informação, iniciando procedimentos por infração adicionais contra vários Estados-Membros em junho de 2021. A Comissão ponderará a adoção de novas medidas, se necessário. Também será fundamental melhorar a disponibilidade de competências em cibersegurança na mão de obra da UE. O Centro de Competências em Cibersegurança realizará ações-chave nesta matéria, com o objetivo de melhorar os conhecimentos e as capacidades, bem como de incentivar o desenvolvimento de competências interdisciplinares no domínio da cibersegurança.

II.3 Promoção de um ciberespaço mundial e aberto

O cenário de ameaças é constituído por tensões geopolíticas relativamente à Internet mundial e aberta e relativamente ao controlo das tecnologias em toda a cadeia de abastecimento. As restrições da Internet e impostas à sua utilização, bem como o aumento das ciberatividades maliciosas e das que afetam a segurança e a integridade dos produtos e serviços das tecnologias da informação e comunicação, constituem uma ameaça para um ciberespaço mundial e aberto, o Estado de direito, os direitos humanos, as liberdades fundamentais e os valores democráticos. O alto representante, juntamente com os Estados‑Membros, está, por conseguinte, a trabalhar no sentido de promover um comportamento responsável dos Estados no ciberespaço, nomeadamente através da criação de um programa de ação para fomentar o comportamento responsável dos Estados a nível das Nações Unidas, juntamente com 53 outros copatrocinadores, com base na recomendação do relatório de consenso, de 12 de março de 2021, do grupo de trabalho aberto das Nações Unidas sobre a evolução no domínio da informação e das telecomunicações no contexto da segurança internacional. A UE está a envidar esforços para consolidar e alargar as relações com países terceiros, organizações internacionais e regionais, bem como com a comunidade multilateral, através de ciberdiálogos, conforme estabelecido na estratégia, mediante a criação de uma rede de ciberdiplomacia da UE. Além disso, está a ser criado um comité de reforço das cibercapacidades da UE, que permitirá às instituições, organismos e agências da UE coordenar melhor as iniciativas de reforço das cibercapacidades externas da UE e cooperar nesta matéria de forma mais eficaz.