COMISSÃO EUROPEIA Bruxelas, 28.10.2019 COM(2019) 546 final RELATÓRIO DA COMISSÃO AO PARLAMENTO EUROPEU E AO CONSELHO que avaliar a coerência das abordagens adotadas pelos Estados-Membros na identificação dos operadores de serviços essenciais de acordo com o artigo 23.º, n.º 1, da Diretiva 2016/1148/UE relativa à segurança das redes e sistemas de informação





1.Introdução A Diretiva (UE) 2016/1148 relativa a medidas destinadas a alcançar um elevado nível comum de segurança das redes e dos sistemas de informação na União (Diretiva SRI) é o primeiro instrumento do mercado interno que tem por objetivo melhorar a resiliência da UE contra os riscos de cibersegurança. Com base no artigo 114.º do Tratado sobre o Funcionamento da União Europeia, a Diretiva visa assegurar a continuidade dos serviços que permitem o bom funcionamento da economia e da sociedade na União. Para o efeito, a Diretiva introduz medidas concretas destinadas a reforçar as capacidades em matéria de cibersegurança em toda a UE e a atenuar as ameaças crescentes às redes e aos sistemas de informação utilizados para a prestação de serviços essenciais em setores-chave. Na sequência da sua entrada em vigor em agosto de 2016, os Estados-Membros deviam adotar até 9 de maio de 2018 as medidas nacionais necessárias para dar cumprimento às disposições da Diretiva SRI. A Diretiva promove uma cultura de gestão dos riscos entre empresas ou outras entidades que prestam serviços essenciais, as quais são definidas, nos termos do artigo 5.º, como «operadores de serviços essenciais» (OSE). Os operadores abrangidos pelo âmbito de aplicação da Diretiva devem tomar medidas técnicas e organizativas adequadas e proporcionadas para gerir os riscos de segurança das suas redes e sistemas de informação, bem como para notificar incidentes graves às autoridades competentes. Os colegisladores delegaram a execução da Diretiva SRI nos Estados-Membros, os quais devem definir os serviços essenciais e identificar os operadores de serviços essenciais nos seus territórios. Por conseguinte, o artigo 5.º, n.º 7, da Diretiva estabelece que os Estados-Membros devem comunicar à Comissão os resultados dessa identificação. A fim de permitir a elaboração de um relatório coordenado, tanto a Comissão como o Grupo de Cooperação instituído pela Diretiva forneceram orientações aos Estados-Membros sobre o processo de identificação. Nos termos do artigo 23.º, n.º 1, o presente relatório avalia a coerência das abordagens adotadas pelos Estados-Membros na identificação dos operadores de serviços essenciais. Tendo em conta a estreita ligação entre a coerência na identificação dos operadores de serviços essenciais e o risco de fragmentação no mercado interno neste domínio, o presente relatório contribuirá igualmente para uma avaliação mais ampla da Diretiva SRI, conforme estipulado no artigo 23.º, n.º 2, que prevê a avaliação periódica do funcionamento geral da Diretiva e a avaliação da lista dos setores e subsetores sujeitos à identificação de operadores de serviços essenciais, bem como os tipos de serviços digitais abrangidos pela Diretiva. O primeiro desses relatórios deve ser apresentado até 9 de maio de 2021. 1.1Objetivo do relatório Devido ao seu importante papel na economia e na sociedade no seu conjunto, os operadores de serviços essenciais devem demonstrar um nível particularmente elevado de resiliência face a ciberincidentes. Quanto a este aspeto, uma abordagem coerente dos Estados-Membros na identificação dos operadores de serviços essenciais é importante por várias razões: 1.Reduzir os riscos relacionados com as dependências transfronteiriças: A não identificação, de forma coerente, de operadores importantes que prestam serviços transfronteiriços pode dar origem a um nível heterogéneo de ciber-resiliência entre os diferentes Estados-Membros, aumentando assim o risco de um incidente transfronteiriço poder danificar infraestruturas críticas ou causar a morte de cidadãos. Por exemplo, os operadores de transporte de energia ou os registos de domínios de topo, que fazem ambos parte da lista de tipos de entidades constantes no anexo II, são entidades que tiram o máximo partido do mercado interno prestando serviços transfronteiriços aos consumidores e às empresas. Por conseguinte, uma identificação coerente desses operadores em toda a União poderia contribuir para prevenir a propagação de ciberameaças em todo o mercado interno. 2.Manter condições de concorrência equitativas no mercado interno: A Diretiva SRI determina que os Estados-Membros devem impor aos operadores de serviços essenciais requisitos de segurança e procedimentos de notificação de incidentes. Uma vez que a Diretiva segue uma abordagem de harmonização mínima relativamente aos operadores de serviços essenciais, os Estados-Membros são livres de impor a estes operadores requisitos mais rigorosos do que os previstos na Diretiva. Embora reforcem a resiliência dos Estados-Membros, essas medidas podem gerar custos regulamentares adicionais para os operadores em causa. Por conseguinte, é importante que os operadores que prestam serviços similares de relevância similar sejam sujeitos ao mesmo tratamento regulamentar. 3.Reduzir o risco de interpretações divergentes da Diretiva: A Diretiva foi concebida de forma a dotar os Estados-Membros de uma margem de manobra na seleção das entidades relevantes a fim de ter em conta especificidades nacionais. No entanto, esta abordagem aumenta o risco de uma aplicação divergente das disposições da Diretiva e pode eventualmente dar azo a incoerências entre as medidas adotadas pelos Estados-Membros. Este aspeto é especialmente importante para as empresas que operam em vários países e que, por conseguinte, têm de cumprir os requisitos regulamentares de mais do que um Estado-Membro. 4.Desenvolver uma visão de conjunto quanto ao nível de ciber-resiliência em toda a UE: Os operadores de serviços essenciais estão sujeitos a supervisão que visa verificar a execução efetiva das políticas de segurança, bem como a notificação de incidentes significativos. A supervisão favorece o reforço da cooperação entre o setor público e o setor privado, conduzindo ao desenvolvimento de uma partilha de conhecimentos sobre a preparação em matéria de cibersegurança no interior de um Estado-Membro. Graças ao Grupo de Cooperação, a partilha de experiências nacionais, nomeadamente de informações sobre os incidentes notificados, pode ser agregada a nível da UE e contribuir para uma avaliação mais exata das principais ameaças e necessidades. No entanto, para ser eficaz, esse exercício de partilha de informações deve basear-se num entendimento comum quanto às entidades que devem ser identificadas como operadores de serviços essenciais. 1.2Procedimento de identificação nos termos da Diretiva SRI A Diretiva SRI apresenta, no seu anexo II, uma lista de sete setores e respetivos subsetores e tipos de entidades relevantes para o processo de identificação ( Quadro 1 ). O artigo 5.º, n.º 3, estabelece que os Estados-Membros devem elaborar uma lista de serviços essenciais para esses setores, subsetores e tipos de entidades. A abordagem de harmonização mínima da Diretiva permite aos Estados-Membros irem além do âmbito de aplicação do anexo II e procederem à identificação em setores e subsetores adicionais.

Setores Subsetores 1. Energia a) Eletricidade b) Petróleo c) Gás 2. Transportes a) Transporte aéreo b) Transporte ferroviário c) Transporte marítimo e por vias navegáveis interiores d) Transporte rodoviário 3. Setor bancário 4. Infraestruturas do mercado financeiro 5. Setor da saúde 6. Fornecimento e distribuição de água potável 7. Infraestruturas digitais O artigo 5.º, n.º 2, estabelece três critérios a utilizar pelos Estados-Membros para a identificação dos operadores de serviços essenciais: 1.A entidade em questão precisa de prestar um serviço que seja essencial para a manutenção de atividades societais e/ou económicas cruciais. Para o efeito, as autoridades nacionais competentes têm de consultar as suas listas de serviços essenciais previamente estabelecidas. 2.O serviço prestado tem de depender das redes e dos sistemas de informação. 3.Um incidente tem de ter efeitos perturbadores importantes na prestação do serviço relevante. O artigo 6.º especifica que a importância de um incidente deve ser avaliada com base em fatores transetoriais e, quando adequado, em fatores setoriais específicos. Além disso, o artigo 5.º, n.º 4, da Diretiva estabelece que os Estados-Membros devem consultar-se se verificarem que um potencial operador de serviços essenciais está a prestar serviços em mais do que um Estado-Membro. Este procedimento obrigatório tem por objetivo ajudar os Estados-Membros a avaliar o potencial impacto de um ciberincidente que afete as entidades que operam além-fronteiras, bem como servir de salvaguarda para as empresas afetadas pelo procedimento em diferentes Estados-Membros. 1.3Metodologia do relatório Os resultados do relatório baseiam-se numa avaliação efetuada entre novembro de 2018 e setembro de 2019. Muitos Estados-Membros não tinham comunicado atempadamente à Comissão as informações necessárias para a elaboração do presente relatório. Por conseguinte, a adoção do relatório teve de ser adiada para depois de 9 de maio de 2019, que era a data de adoção prevista no artigo 23.º, n.º 1, da Diretiva SRI. Os dados foram recolhidos através de múltiplos canais: informações apresentadas pelos Estados-Membros a partir de um modelo normalizado elaborado pela ENISA, de entrevistas normalizadas com autoridades nacionais selecionadas e de reuniões do Grupo de Cooperação, incluindo um seminário dedicado ao assunto, realizado em 19 de março de 2019. Com base nas informações recolhidas, o relatório avalia o grau de coerência entre as abordagens dos Estados-Membros em matéria de identificação, mediante: 1.A comparação das diferentes metodologias de identificação escolhidas pelas autoridades nacionais; 2.A análise das listas de serviços essenciais e dos limiares escolhidos pelos Estados-Membros; 3.A análise do número de operadores de serviços essenciais em cada Estado-Membro. O relatório avalia igualmente a forma como foram aplicadas as disposições da Diretiva relativas ao processo de consulta transfronteiriço (artigo 5.º, n.º 4,) e ao princípio da lex specialis (artigo 1.º, n.º 7). O relatório apresenta uma análise factual do processo de identificação realizado pelos Estados-Membros, bem como conclusões preliminares e questões em aberto para uma reflexão mais aprofundada. 1.4Disponibilidade dos dados As disposições da Diretiva SRI estabelecem que os Estados-Membros devem fornecer à Comissão apenas um conjunto limitado de dados. Por exemplo, as autoridades nacionais não são obrigadas a apresentar o nome dos operadores identificados, o que torna difícil para os serviços da Comissão comparar os resultados do processo de identificação em termos da exaustividade da lista e do impacto em empresas da mesma dimensão e pertencentes ao mesmo setor. Nos termos do artigo 5.º, n.º 7, todos os Estados-Membros deveriam ter apresentado as informações necessárias para o presente relatório o mais tardar em 9 de novembro de 2018. No entanto, apenas 15 países apresentaram dados substanciais até essa data (ver quadro em anexo na secção 4.1). Apesar das repetidas insistências da Comissão, as lacunas nos dados continuaram a ser significativas. Por conseguinte, em 26 de julho de 2019, a Comissão enviou cartas de notificação para cumprir a 6 Estados-Membros, convidando-os a apresentar os dados em falta no prazo de dois meses.

À data da publicação do presente relatório, 23 Estados-Membros tinham apresentado todos os dados exigidos nos termos do artigo 5.º, n.º 7: Alemanha, Bulgária, Chéquia, Chipre, Croácia, Dinamarca, Eslováquia, Espanha, Estónia, Finlândia, França, Grécia, Irlanda, Itália, Letónia, Lituânia, Luxemburgo, Malta, Países Baixos, Polónia, Portugal, Reino Unido e Suécia. Os outros 5 Estados-Membros (Áustria, Bélgica, Eslovénia, Hungria e Roménia) apenas forneceram dados parciais sobre a identificação dos fornecedores de serviços essenciais nacionais, uma vez que não conseguiram concluir o seu processo de identificação a tempo para os seus dados serem incluídos no presente relatório.



2.Identificação dos operadores de serviços essenciais nos Estados-Membros A Diretiva SRI estabelece um quadro para a identificação de operadores de serviços essenciais que dá aos Estados-Membros uma margem de manobra para terem em conta as especificidades nacionais. Em consequência, os Estados-Membros desenvolveram uma grande variedade de práticas de identificação. 2.1Metodologias utilizadas pelos Estados-Membros Os Estados-Membros elaboraram diferentes metodologias para identificar os operadores, tirando plenamente partido da flexibilidade prevista na Diretiva SRI. Um dos elementos que influenciaram as metodologias nacionais foi a existência prévia de um quadro, como a Diretiva 2008/114/CE do Conselho relativa às infraestruturas críticas, ou de outras disposições nacionais sobre «operadores de importância vital». Nesses casos, os Estados-Membros utilizaram a sua experiência anterior como ponto de referência e integraram nas metodologias existentes especificidades relacionadas com a Diretiva SRI. As diferenças entre as metodologias nacionais inscrevem-se nas seguintes categorias principais: serviços essenciais, utilização de limiares, grau de centralização, autoridades responsáveis pela identificação e avaliação da dependência das redes e dos sistemas de informação. Devido à sua importância para a avaliação da coerência na identificação dos operadores de serviços essenciais, a análise dos serviços essenciais e dos limiares foi efetuada em secções separadas. Os outros critérios são abordados na presente secção. Grau de centralização A maioria dos Estados-Membros optou por delegar em autoridades setoriais (ministérios, agências, etc.) uma parte do processo de decisão no que se refere a vários elementos do processo de identificação. O grau de descentralização varia consoante o caso, com a maioria dos Estados-Membros a nomear uma autoridade única encarregada de fornecer orientações às autoridades setoriais e de consolidar a informação. No entanto, alguns países optaram por manter o processo de identificação nas mãos de uma única autoridade. Há também casos com um grau extremamente elevado de descentralização, em que as autoridades setoriais são responsáveis pela elaboração das suas próprias metodologias. Muitos Estados-Membros ponderaram cuidadosamente os diferentes aspetos do quadro institucional da identificação dos operadores de serviços essenciais. Um dos aspetos citados pelas autoridades como um dos méritos da identificação centralizada foi a prevenção de conflitos de interesses: aparentemente, os operadores têm maior relutância em divulgar informações relevantes a reguladores setoriais, uma vez que receiam que essas informações possam também ser utilizadas para outros fins regulamentares. Por outro lado, as abordagens descentralizadas parecem promover o diálogo entre as autoridades competentes em matéria de SRI (de cibersegurança e setoriais), ajudando-as a identificar melhor as implicações das dependências transetoriais. Além disso, as autoridades setoriais têm normalmente uma melhor compreensão dos setores do que as autoridades centrais. Procedimento de identificação (descendente versus ascendente) Pode ser estabelecida uma outra distinção importante entre os Estados-Membros em que as autoridades públicas executam o processo de identificação (identificação descendente) e os Estados-Membros em que os operadores de mercado são chamados a verificar, por si próprios, se cumprem os requisitos de operadores de serviços essenciais (a chamada identificação ascendente ou autoidentificação). A fim de garantir a eficácia desta abordagem, os Estados-Membros devem fixar coimas suficientemente elevadas para dissuadir os operadores de não se manifestarem, conforme previsto no artigo 21.º da Diretiva SRI. Na maioria dos casos, o processo de identificação é descendente. No entanto, na prática, as autoridades baseiam-se em parte em determinados elementos de autoavaliação, como os questionários a que os potenciais operadores de serviços essenciais devem responder. Se as regras e os limiares que regem a identificação dos operadores de serviços essenciais forem explícitos e transparentes, a identificação descendente e a identificação ascendente deveriam produzir resultados semelhantes. Por conseguinte, a escolha de uma abordagem em relação à outra não deveria, em princípio, ter qualquer impacto na coerência.



Avaliação da dependência em relação às redes Tal como explicado na secção 1.2, o artigo 5.º, n.º 2, alínea b), estabelece que os Estados-Membros devem avaliar a dependência de um operador em relação aos sistemas de rede e de informação como parte do processo de identificação dos operadores de serviços essenciais. Ao aplicarem esses critérios, muitos Estados-Membros consideram a dependência em relação às redes e aos sistemas de informação como um dado adquirido na economia digital de hoje. No entanto, algumas autoridades optaram por práticas mais elaboradas, por exemplo, realizando avaliações pormenorizadas ou convidando os operadores a autoavaliar o seu grau de dependência. 2.2Identificação dos serviços O considerando 23 da Diretiva SRI menciona explicitamente as listas de serviços essenciais a utilizar na «avaliação das práticas de regulação de cada Estado-Membro com vista a assegurar a coerência global». Uma vez que as listas de serviços essenciais elaboradas pelos Estados-Membros servem de base para a identificação dos operadores, as diferenças entre os serviços identificados poderiam dar azo a uma identificação incoerente dos operadores nos diferentes Estados-Membros, especialmente se os serviços específicos prestados em todos os países só forem identificados por alguns Estados-Membros.

O número de serviços identificados pelos Estados-Membros como abrangidos pelo anexo II da Diretiva SRI e que foram comunicados à Comissão varia consideravelmente entre Estados-Membros (os números relativos a todos os Estados-Membros podem ser consultados no anexo da secção 4.2). Com uma média de 35 serviços por Estado-Membro, o número de serviços identificados varia entre 12 e 87, conforme indicado na Figura 1 . Embora os Estados-Membros de maior dimensão tendam a identificar um número ligeiramente superior de serviços do que os Estados-Membros de menor dimensão, não parece existir uma forte correlação entre a dimensão dos Estados-Membros e o número de serviços identificados. Tal é de esperar, uma vez que, na prática, os consumidores e as empresas têm normalmente acesso aos mesmos tipos de serviços em todos os Estados-Membros, independentemente da dimensão do país. O número de serviços identificados varia não só segundo os Estados-Membros, mas também quando se analisa mais pormenorizadamente os setores e subsetores. Por exemplo, no setor bancário, o número de serviços identificados varia entre 1 e 21. Tal como apresentado na Figura 2 , a gama de serviços identificados varia significativamente entre países na maior parte dos setores e subsetores. Em certa medida, os valores apresentados em Figura 2 refletem diferentes abordagens metodológicas entre países. Por exemplo, alguns Estados-Membros optaram por uma abordagem mais granular do que outros no que diz respeito à identificação dos serviços, o que conduz a um maior número de serviços nesses Estados-Membros. Todavia, os dados que a Comissão recebeu dos Estados-Membros revelam claramente que as diferenças nos valores são também o resultado de incoerências nas abordagens escolhidas pelos Estados-Membros, conforme demonstrado pelos exemplos dos subsetores da eletricidade e do transporte ferroviário: Estónia (a abordagem menos granular) Portugal Dinamarca Bulgária (a abordagem mais granular) Fornecimento de energia elétrica Operadores de redes de distribuição Distribuição de eletricidade Distribuição de energia elétrica Assegurar o funcionamento e a manutenção de um sistema de distribuição de energia elétrica Operador da rede de transporte Transporte de eletricidade Transporte de energia elétrica Exploração, manutenção e desenvolvimento de uma rede de transporte de eletricidade (lacuna de coerência) Produção de eletricidade Produção de eletricidade (lacuna de coerência) (lacuna de coerência) Mercado da eletricidade O Quadro 2 compara algumas das formas como os Estados-Membros identificaram serviços essenciais no subsetor da eletricidade. Alguns países (como a Estónia) optaram por um título muito geral que permite identificar basicamente qualquer operador que considerem essencial no subsetor da eletricidade. Outros países (como a Bulgária, Dinamarca e Portugal) optaram por uma abordagem muito mais granular. Por exemplo, a Bulgária elaborou uma lista extremamente pormenorizada de serviços, que inclui mesmo um serviço não abrangido pelo anexo II (mercados da eletricidade). No entanto, a Dinamarca e Portugal seguiram uma abordagem granular, optando por não incluir determinados serviços que outros Estados-Membros incluíram. Tal pode dar origem a condições de concorrência diferentes entre os operadores de serviços essenciais no mercado interno. As lacunas de coerência, como as identificadas no Quadro 2 , são o resultado de aplicações nacionais diferentes da Diretiva SRI e, no caso de setores não abrangidos pelo anexo II (como os mercados da eletricidade), uma consequência da sua abordagem de harmonização mínima. Por conseguinte, as lacunas de coerência não implicam que os Estados-Membros que não identificaram um determinado serviço não tenham necessariamente aplicado corretamente as disposições da Diretiva. O Quadro 3 apresenta as abordagens escolhidas por quatro países em relação ao subsetor do transporte ferroviário. Embora França tenha elaborado uma lista muito pormenorizada e exaustiva de serviços essenciais para o funcionamento do transporte ferroviário, os outros três países selecionaram apenas um pequeno subconjunto desses serviços. No caso da Polónia, não é inteiramente claro quais são os serviços abrangidos pelas categorias «transporte ferroviário de mercadorias» e «transporte ferroviário de passageiros». As suas designações são de tal modo gerais que poderiam igualmente incluir alguns dos serviços identificados pela França, como «o controlo e a gestão do tráfego ferroviário». É de assinalar que a Comissão não dispõe de meios para aprofundar esses casos: a Diretiva SRI não exige que as autoridades nacionais divulguem informações mais pormenorizadas. Finlândia França Irlanda Polónia Gestão da infraestrutura pública Manutenção de infraestruturas Gestores de infraestruturas (lacuna de coerência) (lacuna de coerência) Manutenção do material circulante (lacuna de coerência) (lacuna de coerência) Serviços de gestão do tráfego Controlo e gestão do tráfego ferroviário (lacuna de coerência) Preparação dos horários dos comboios (lacuna de coerência) Mercadorias e materiais perigosos Empresas ferroviárias Transporte ferroviário de mercadorias (lacuna de coerência) Transporte de passageiros Transporte ferroviário de passageiros (lacuna de coerência) Metropolitanos, elétricos e outros serviços de metropolitano ligeiro (incluindo serviços subterrâneos) (lacuna de coerência) (lacuna de coerência) Serviços ferroviários (lacuna de coerência) (lacuna de coerência) Os Estados-Membros incluídos no Quadro 2 e no Quadro 3 foram escolhidos para fins unicamente ilustrativos e pelo facto de as suas abordagens metodológicas permitirem uma comparação fácil. A maioria dos outros Estados-Membros escolheu serviços similares e, por conseguinte, apresentam «lacunas de coerência» similares. De facto, verificam-se «lacunas de coerência», como as dos subsetores da eletricidade e do transporte ferroviário, em todos os Estados-Membros e setores enumerados no anexo II da Diretiva. A maior parte destas incoerências decorre de serviços identificados em apenas alguns, mas não em todos os Estados-Membros. As listas completas de serviços nos subsetores da eletricidade e do transporte ferroviário relativas a todos os Estados-Membros podem ser consultadas no anexo do presente relatório.

2.3Limiares Embora a maioria dos Estados-Membros aplique efetivamente limiares para identificar os operadores de serviços essenciais, o papel que esses limiares desempenham varia consoante o país. No que se refere aos limiares transetoriais, é possível definir limiares com base: ·num único fator quantitativo (por exemplo, o número de utilizadores que dependem de um serviço) para determinar se uma entidade deve ser considerada um operador de serviços essenciais num determinado serviço, ·num conjunto mais vasto de fatores quantitativos (por exemplo, o número de utilizadores que dependem de um serviço, mais a quota de mercado), ·numa combinação de fatores quantitativos e de fatores qualitativos. Além disso, a Diretiva permite que os Estados-Membros apliquem limiares setoriais, para além dos limiares transetoriais. Tal confere às autoridades nacionais uma maior liberdade no processo de identificação, a fim de ter em conta as especificidades nacionais e setoriais. Ao mesmo tempo, gera uma combinação muito complexa de limiares, que podem ter um impacto negativo na coerência global da identificação dos operadores de serviços essenciais. Apresenta-se um exemplo desta diversidade de abordagens no Quadro 4 . Este exemplo revela que os limiares escolhidos pelos Estados-Membros no setor das infraestruturas digitais não só variam em termos quantitativos (por exemplo, na Alemanha os prestadores de serviços do sistema de nomes de domínios (DNS) são identificados como operadores de serviços essenciais se gerirem pelo menos 250 000 domínios, enquanto a Polónia estabeleceu um limiar de apenas 100 000 domínios), como também em termos qualitativos (por exemplo, o «número de sistemas autónomos conectados» versus a «quota de mercado»). A coerência dos limiares quantitativos escolhidos não garante, por si só, a plena coerência entre as abordagens nacionais. Dado que, em alguns Estados-Membros, os limiares são apenas um dos critérios utilizados para identificar os operadores de serviços essenciais, os resultados do processo de identificação poderiam ainda ser muito diferentes, mesmo com limiares semelhantes. Por exemplo, alguns Estados-Membros utilizam sistemas de pontuação complexos com vários fatores integrados numa fórmula única. Estes fatores podem incluir, por exemplo, a dependência de uma entidade em relação às redes e aos sistemas de informação ou alguns dos fatores referidos no artigo 6.º, n.º 1, da Diretiva SRI. Além disso, alguns Estados-Membros não utilizam quaisquer limiares ou utilizam limiares apenas na fase preliminar da avaliação. Estas considerações são válidas não só para o setor das infraestruturas digitais, mas também para todos os setores incluídos no anexo II. A fixação do limiar adequado pode ser difícil, especialmente quando se trata de setores caracterizados pela existência de um grande número de pequenos operadores. Um exemplo dessa diversidade é o grande número de instalações de cuidados de saúde de pequena dimensão (por exemplo, clínicas ou serviços médicos de emergência), que prestam um serviço essencial a um número relativamente pequeno de utilizadores, mas cuja indisponibilidade, causada por um incidente de cibersegurança, pode provocar a morte de doentes. Outro problema surge quando o funcionamento das cadeias de abastecimento depende de serviços prestados por operadores que são pequenos elos, mas não obstante essenciais, da cadeia (por exemplo, em setores como a logística). Um Estado-Membro está a estudar a possibilidade de utilizar critérios relacionados com a importância ou com o caráter crítico do serviço prestado como uma potencial solução para este problema.



País Pontos de troca de tráfego (IXP) Prestadores de DNS Registos de domínios de topo Utilização de limiares predominantemente setoriais AT sistemas autónomos conectados > 100 Resolvedores de DNS: 88 000 utilizadores; Autor. DNS: 50 000 domínios 50 000 domínios DE sistemas autónomos conectados > 300 Resolvedores de DNS: 100 000 utilizadores; Autor. DNS: 250 000 domínios (serviço não identificado) DK volume médio de dados diários > 200 Gbit/s Resolvedores de DNS: 100 000 utilizadores; Autor. DNS: 100 000 domínios 500 000 domínios EE (serviço não identificado) (serviço não identificado) Registo TLD do país FI (serviço não identificado) (serviço não identificado) Registo TLD do país e de uma região FR (sem limiar oficial) (sem limiar oficial) (sem limiar oficial) HR membros conectados > 15 Serviço DNS para o TLD do país Registo TLD do país IE (limiar desconhecido) Resolvedores de DNS: 100 m pesquisas/24h; Autor. DNS: 50 000 domínios Registo TLD do país MT 25 % da quota de mercado Resolvedores de DNS: 78 000 pedidos/dia; Autor. DNS: 7 800 domínios 750 000 pedidos/dia PL sistemas autónomos conectados ≥ 100 Autor. DNS: 100 000 domínios Registos TLD para, pelo menos, 100 000 assinantes SE (serviço não identificado) Resolvedores de DNS: 100 000 utilizadores; Autor. DNS: 25 000 domínios 250 000 domínios SK Sistema autónomo (AS) que liga pelo menos dois outros AS com 2 Gbps Resolvedores de DNS: 3 m pesquisas/24h; Autor. DNS: > 1 000 domínios Registo TLD UK quota de mercado > 50%, ouinterconectividade com rotas globais da Internet ≥ 50% Resolvedores de DNS: 2 000 000 clientes/dia; Autor. DNS: 250 000 domínios Registos TLD ≥ 2 mil milhões de pesquisas/dia Utilização de limiares transetoriais CY 50 000 utilizadores, ou5 % dos assinantes do mercado 50 000 utilizadores, ou5 % dos assinantes do mercado 50 000 utilizadores, ou5 % dos assinantes do mercado LT habitantes > 145 000 habitantes > 145 000 habitantes > 145 000 LU 100 % de quota de mercado 13 500 contratos 100 % de quota de mercado 2.4Número de operadores identificados As listas de serviços essenciais e os limiares são os fatores determinantes mais importantes para uma identificação coerente dos operadores de serviços essenciais. As secções anteriores demonstraram que, em ambos os casos, os Estados-Membros aplicaram as disposições da Diretiva SRI de várias formas, sugerindo que tal pode suscitar um problema de coerência no que respeita à identificação dos operadores de serviços essenciais. Nesta secção compara-se o número de operadores identificados nos setores e subsetores do anexo II nos Estados-Membros. O número total de operadores de serviços essenciais comunicados à Comissão pelos Estados‑Membros varia entre 20 e 10 897, com uma média de 633 operadores de serviços essenciais por Estado-Membro (os números relativos a todos os Estados-Membros são apresentados na secção 4.2 do anexo do presente relatório). De um modo geral, verifica-se uma relação positiva clara entre a dimensão de um país e o número de operadores identificados. Contudo, tal não constitui uma explicação suficiente para a existência de grandes diferenças nos valores comunicados pelos Estados-Membros. A fim de ter em conta a relação entre a dimensão e a população, a Figura 3 compara o número de operadores de serviços essenciais identificados nos Estados-Membros por 100 000 habitantes. Sugere que as abordagens adotadas pelos Estados-Membros para identificar os operadores produziram resultados muito diferentes. Um estudo mais aprofundado dos setores e subsetores revela diferenças significativas entre os Estados-Membros no que respeita aos valores identificados em todos os setores abrangidos pelo anexo II ( Figura 4 ). Por exemplo, no setor da energia, os valores variam entre 0,3 operadores e 29 operadores por 1 000 000 habitantes. Os números no setor bancário variam entre 0,07 operadores e 51 operadores por 1 000 000 habitantes (não tendo em conta os Estados-Membros que não identificaram nenhum operador de serviços essenciais nesse setor).

2.5Aplicação da Diretiva a outros setores para além dos incluídos no anexo II Um estudo dos dados apresentados revela que 11 dos 28 Estados-Membros identificaram serviços essenciais em setores não abrangidos pelo anexo II da Diretiva. Destes 11 Estados-Membros, 7 identificaram um total de 157 operadores de serviços essenciais que prestam serviços não abrangidos pelos tipos de entidades enumerados no anexo II. Setores adicionais Exemplos de entidades Número de Estados-Membros Infraestruturas de informação Centros de dados, parques de servidores 5 Serviços financeiros (entidades não enumeradas no anexo II) Companhias de seguros e de resseguros 4 Serviços das entidades governamentais Serviços eletrónicos para os cidadãos 4 Calor Produtores e fornecedores de calor 3 Águas residuais Instalações de recolha e tratamento 3 Logística Serviços postais 2 Setor alimentar Produtores, plataformas de negociação 2 Ambiente Eliminação de resíduos perigosos 2 Serviços de segurança nacional/emergência 112, gestão de crises 2 Indústria química Fornecedores e produtores de substâncias 2 Serviços sociais Entidades responsáveis pelas prestações sociais 1 Educação Autoridades responsáveis pelos exames nacionais 1 Serviços de restauração coletiva Gestão da distribuição 1 Água Estruturas hidráulicas 1 As infraestruturas de informação (identificadas por cinco Estados-Membros), os serviços financeiros prestados por entidades não enumeradas no anexo II (identificados por quatro Estados-Membros) e os serviços da administração pública (identificados por quatro Estados‑Membros) são as categorias mais populares ( Quadro 5 ). Tendo em conta quão essencial é a ciber-resiliência para o funcionamento da economia e da sociedade no seu conjunto, alguns Estados-Membros decidiram aproveitar a oportunidade para abranger outros setores para além dos enumerados no anexo II. O facto de alguns Estados-Membros terem optado por aplicar a Diretiva SRI a outros setores dá azo a interrogar-se se o atual âmbito de aplicação do anexo II é adequado para atingir o objetivo de proteção de todos os operadores na União que são de importância crítica para a sociedade e a economia. 2.6Processo de consulta transfronteiriço O artigo 5.º, n.º 4, da Diretiva SRI estabelece que os Estados-Membros devem proceder a consultas recíprocas antes de tomarem uma decisão final relativa à identificação dos operadores que prestam serviços em mais do que um Estado-Membro. O Grupo de Cooperação emitiu um documento de referência em julho de 2018, a fim de ajudar os Estados-Membros a procederem a consultas transfronteiriças adequadas. Com base nas informações recebidas, apenas um número muito reduzido de autoridades nacionais optou por contactar os seus homólogos de outros Estados-Membros e apenas dois Estados-Membros contactaram outros Estados-Membros de uma forma abrangente. Além disso, apenas alguns Estados-Membros indicaram ter contactado outras autoridades de uma forma menos sistemática. Apesar da grande importância dos serviços transfronteiriços no mercado interno, a maioria dos Estados-Membros que contactaram outros Estados-Membros fizeram-no apenas para um número muito limitado de operadores. Apesar da utilização limitada do procedimento pelos Estados-Membros, muitas autoridades nacionais manifestaram interesse no processo de consulta transfronteiriço e consideram-no um elemento importante do quadro de identificação SRI. De facto, vários Estados-Membros manifestaram a sua preocupação de que, sem uma consulta transfronteiriça eficaz, os operadores podem ser obrigados a ter em conta uma multiplicidade de requisitos regulamentares diferentes ou encontrar-se em desvantagem face a operadores de serviços essenciais no mercado que estejam sujeitos a uma regulamentação menos rigorosa. Em conjunto com as autoridades nacionais, a Comissão identificou várias razões pelas quais o processo de consulta ainda não está a ser utilizado como previsto: ·Muitos Estados-Membros demoraram mais tempo do que o previsto a identificar os seus operadores de serviços essenciais. Por conseguinte, os primeiros países a terminarem a identificação não puderam consultar esses países.

·A falta de canais seguros para a transferência de informações: alguns Estados-Membros mostraram-se relutantes em comunicar com os seus homólogos, considerando os nomes dos operadores como informações classificadas. ·O número considerável de dependências transfronteiriças existentes, que implicou a necessidade de contactar um número significativo de Estados-Membros em causa, especialmente no caso de operadores pan-europeus. ·A inexistência de um entendimento comum sobre os objetivos e o âmbito do exercício de consulta transfronteiriça: embora alguns Estados-Membros considerem que se trata apenas de um instrumento para se informarem mutuamente sobre a identificação dos operadores de serviços essenciais com impacto transfronteiriço, outros consideram que a sua finalidade é o alinhamento de limiares e de requisitos regulamentares. O considerando 24 da Diretiva sugere que se trata sobretudo de um procedimento de avaliação conjunta do caráter crítico de um operador para efeitos do processo de identificação. ·Verifica-se um outro problema quando um Estado-Membro é contactado por dois outros Estados-Membros relativamente ao mesmo operador. Nesse caso, o Estado-Membro em causa pode não ter condições para alinhar as suas regras com as dos dois Estados-Membros ao mesmo tempo. Para o efeito, o considerando 24 prevê debates multilaterais. É importante que os Estados-Membros recorram a esta possibilidade para assegurar a coerência. 2.7Consideração do princípio da lex specialis no processo de identificação A Comissão detetou um certo nível de incoerência entre os Estados-Membros no que diz respeito à aplicação do princípio da lex specialis. Esta situação conduziu a uma aplicação heterogénea da Diretiva, resultando, por um lado, na identificação de operadores de serviços essenciais quando são aplicáveis regras setoriais específicas e, por outro, numa identificação insuficiente de operadores de serviços essenciais em alguns setores enumerados no anexo II. O artigo 1.º, n.º 3, estipula que a Diretiva SRI não é aplicável às empresas sujeitas aos requisitos da Diretiva-Quadro Telecomunicações. No entanto, alguns Estados-Membros parecem ter identificado os operadores de serviços essenciais que prestam serviços que efetivamente devem ser regulamentados ao abrigo da Diretiva-Quadro Telecomunicações, como o acesso à Internet e os serviços de telefonia. Além disso, nos termos do artigo 1.º, n.º 7, as disposições da Diretiva SRI sobre os requisitos de segurança e a notificação de incidentes não se aplicam aos operadores já regulamentados por atos jurídicos setoriais da União que estabelecem obrigações de efeito pelo menos equivalente. Embora a maioria dos Estados-Membros tenha identificado os operadores de serviços essenciais nos setores bancário e dos mercados financeiros, alguns Estados-Membros não identificaram os operadores de serviços essenciais, alegando que os operadores prestam serviços regulados por leges speciales. A Comissão ainda está a reunir informações pormenorizadas sobre a aplicação do princípio da lex specialis nos termos da Diretiva SRI. Está atualmente a proceder a controlos aprofundados da legislação nacional e a visitas aos países, a fim de avaliar o atual nível de transposição e aplicação, nomeadamente no que diz respeito às disposições da lex specialis. Nessa base, a Comissão tenciona continuar a debater o princípio da lex specialis no âmbito do Grupo de Cooperação, com vista a obter um melhor alinhamento entre os Estados-Membros.

3.Conclusões O presente relatório avalia as abordagens escolhidas pelos Estados-Membros para identificar os operadores de serviços essenciais (OSE) nos termos da Diretiva SRI. O seu objetivo é avaliar o nível de coerência entre as práticas dos Estados-Membros, tendo em conta o possível impacto do atual quadro no funcionamento do mercado interno e na gestão dos riscos associados à ciberdependência. A análise efetuada revela que a Diretiva SRI tem servido de catalisador em muitos Estados-Membros, abrindo a via para uma verdadeira mudança no panorama institucional e regulamentar no que diz respeito à cibersegurança. Além disso, a obrigação de identificação dos operadores de serviços essenciais desencadeou uma avaliação exaustiva dos riscos associados a operadores que desenvolvem atividades de importância crítica e a redes e sistemas de informação modernos em quase todos os Estados-Membros. Tal pode ser considerado um sucesso para a União no seu conjunto, em consonância com os objetivos da Diretiva. Para efeitos do presente relatório, a Comissão examinou as metodologias de identificação nacionais, os serviços que as autoridades nacionais consideram essenciais, os limiares de identificação e o número de operadores de serviços essenciais identificados nos vários setores abrangidos pela Diretiva: ·Os Estados-Membros desenvolveram uma série de metodologias no que respeita à abordagem global de identificação de operadores de serviços essenciais (secção 2.1), mas também no que se refere à definição de serviços essenciais e à fixação de limiares. Tal pode ter um impacto negativo na aplicação coerente das disposições da SRI em toda a União, com possíveis consequências para o bom funcionamento do mercado interno e para a gestão eficaz das ciberdependências. ·Além disso, aparentemente os Estados-Membros têm interpretações divergentes quanto ao que constitui um serviço essencial nos termos da Diretiva SRI, aplicando níveis diferentes de granularidade (ver a secção 2.2). Tal dificulta a comparação das listas de serviços essenciais. Além disso, o âmbito da Diretiva corre o risco de ser fragmentado, estando alguns operadores expostos a regulamentação adicional (por terem sido identificados pelo respetivo Estado-Membro), enquanto outros, que prestam serviços similares, continuam excluídos (por não terem sido identificados). A fim de resolver estas incoerências, a realização de trabalhos suplementares baseados na experiência dos Estados-Membros poderá conduzir a um maior alinhamento da lista de serviços essenciais. ·Além disso, o relatório também detetou incoerências significativas na forma como os limiares são aplicados pelos Estados-Membros (secção 2.3). Um maior alinhamento dos limiares a nível da UE poderá contribuir para atenuar este problema. Esses trabalhos poderão ser realizados, por exemplo, através de fluxos de trabalho setoriais no âmbito do Grupo de Cooperação, tendo em conta as especificidades nacionais, como os requisitos especiais dos Estados-Membros de pequena dimensão. ·O facto de alguns países terem recorrido à possibilidade de identificar serviços essenciais em setores ou subsetores adicionais para além dos abrangidos pelo anexo II salienta que há outros setores potencialmente vulneráveis a ciberincidentes além dos contemplados pela Diretiva SRI (secção 2.5). A identificação de operadores de serviços essenciais em setores como as infraestruturas de informação, os serviços financeiros não abrangidos pelas entidades enumeradas no anexo II e a administração pública pode melhorar a ciber-resiliência das organizações nesses setores. No entanto, se apenas um subconjunto de Estados-Membros identificar operadores de serviços essenciais nesses setores, tal poderá ter consequências negativas para o mercado interno e para a igualdade das condições de concorrência que essa identificação se destina justamente a garantir. As numerosas metodologias e melhores práticas desenvolvidas pelas autoridades nacionais são especialmente valiosas e devem ser tidas em conta no futuro, por exemplo nos trabalhos do Grupo de Cooperação e no processo de identificação contínua de operadores de serviços essenciais por parte dos Estados-Membros. No entanto, o atual nível de diversidade pode ter um impacto negativo na prossecução dos objetivos da Diretiva.

A título preliminar, a Comissão conclui que, embora a Diretiva SRI tenha desencadeado um processo crucial de intensificação e melhoria das práticas de gestão dos riscos dos operadores em setores críticos, a identificação de operadores de serviços essenciais encontra-se consideravelmente fragmentada na União. Tal deve-se, em parte, à forma como a Diretiva foi concebida e, em parte, às diferentes metodologias de aplicação utilizadas pelos Estados-Membros. Os Estados-Membros devem procurar aplicar as disposições da Diretiva SRI de uma forma tão coerente quanto possível, utilizando plenamente os documentos de orientação elaborados pela Comissão e pelo Grupo de Cooperação. A Comissão identificou assim várias ações nacionais que poderão ajudar a atenuar os problemas assinalados no presente relatório: ·Muitos Estados-Membros não concluíram o processo de identificação dos operadores de serviços essenciais nos prazos fixados na Diretiva. Além disso, à data da publicação do presente relatório, 23 Estados-Membros tinham apresentado todos os dados exigidos nos termos do artigo 5.º, n.º 7. Outros 5 Estados-Membros apresentaram informações parciais. A Comissão insta as autoridades nacionais responsáveis pela identificação a concluírem o processo o mais rapidamente possível e a transmitirem as informações necessárias à Comissão logo que possível. ·As autoridades competentes devem rever regularmente as suas listas de serviços essenciais e assegurar que todos os serviços essenciais existentes sejam identificados de modo a reduzir o número de «lacunas de coerência» sobre serviços essenciais em todo o mercado interno. ·Os Estados-Membros devem cooperar mais ativamente entre si, com vista a alinharem os limiares, sempre que possível e em especial nos setores com uma forte dimensão transfronteiriça, como os transportes ou a energia. Tal pode ser realizado recorrendo ao processo de consulta transfronteiriço previsto no artigo 5.º, n.º 4, da Diretiva SRI, mas também mediante uma melhor utilização das estruturas existentes do Grupo de Cooperação. ·As autoridades nacionais devem consultar-se mutuamente a fim de assegurar que os operadores transfronteiriços estejam sujeitos a requisitos semelhantes de segurança e de comunicação de incidentes no mercado interno. Além disso, os Estados-Membros devem contactar esses operadores para recolherem mais informações sobre as divergências regulamentares. O reforço da ciber-resiliência não deve ser feito à custa de uma fragmentação regulamentar. Sempre que necessário, os Estados-Membros devem também participar em debates multilaterais, conforme previsto no considerando 24 da Diretiva SRI. Para além das ações nacionais, há várias medidas que poderão ser tomadas a nível da União e que resultarão numa maior coerência. A Comissão lançará debates com vista a melhorar o panorama heterogéneo e, por vezes, fragmentado da identificação. Algumas das potenciais medidas são: · O papel do Grupo de Cooperação SRI deve ser reforçado a fim de promover um entendimento comum sobre o modo de proceder a uma aplicação mais coerente da Diretiva. Para o efeito, a Comissão irá propor que o fluxo de trabalho atual dedicado à identificação de operadores de serviços essenciais proceda rapidamente à revisão das suas orientações para enfrentar melhor as incoerências existentes. O Grupo de Cooperação deve também explorar a criação de fluxos de trabalho setoriais adicionais, com vista a melhorar a coerência entre os Estados-Membros, bem como utilizar um instrumento de comunicação adaptado para reforçar a colaboração no seio do grupo. ·Apenas um número muito reduzido de Estados-Membros utiliza atualmente o processo de consulta transfronteiriço para a identificação dos operadores que prestam serviços essenciais em mais do que um Estado-Membro. A fim de reforçar o intercâmbio de informações, o Grupo de Cooperação deve rever o seu documento de referência sobre as modalidades do processo de consulta em casos com impacto transfronteiriço e chegar a acordo sobre uma interpretação coerente do âmbito, dos objetivos e dos procedimentos desse exercício. Ao mesmo tempo, a Comissão irá estudar formas de implementar um intercâmbio seguro de informações entre as autoridades competentes. ·Parece existir um certo grau de incoerência na aplicação das disposições da Diretiva em matéria de lex specialis entre os Estados-Membros. Por conseguinte, a Comissão recorrerá às estruturas do Grupo de Cooperação para debater os casos em que pode não ser correto aplicar o princípio da lex specialis. As medidas adotadas a nível da União devem garantir um quadro coerente, tendo em conta tanto as atividades setoriais que preveem requisitos específicos ou requisitos mais rigorosos em matéria de cibersegurança, como outra legislação europeia.



4.Anexos 4.1Panorâmica dos dados disponíveis por Estado-Membro Estado-Membro Data de apresentação Lista de serviços Número de OSE Limiares AT Apresentação tardia Comunicados EM FALTA Comunicados BE Apresentação tardia Comunicados EM FALTA EM FALTA BG Apresentação tardia Comunicados Comunicados Comunicados CY Dentro do prazo Comunicados Comunicados Comunicados CZ Apresentação tardia Comunicados Comunicados Comunicados DE Dentro do prazo Comunicados Comunicados Comunicados DK Dentro do prazo Comunicados Comunicados Comunicados EE Dentro do prazo Comunicados Comunicados Comunicados EL Apresentação tardia Comunicados Comunicados Comunicados ES Dentro do prazo Comunicados Comunicados Comunicados FI Dentro do prazo Comunicados Comunicados Comunicados FR Dentro do prazo Comunicados Comunicados Sem limiares oficiais HR Dentro do prazo Comunicados Comunicados Comunicados HU Dentro do prazo Comunicados, em parte Comunicados, em parte Comunicados, em parte IE Apresentação tardia Comunicados Comunicados Comunicados IT Apresentação tardia Comunicados Comunicados Comunicados LT Dentro do prazo Comunicados Comunicados Comunicados LU Apresentação tardia Comunicados Comunicados Comunicados LV Apresentação tardia Comunicados Comunicados Comunicados MT Apresentação tardia Comunicados Comunicados Comunicados NL Apresentação tardia Comunicados Comunicados Comunicados PL Dentro do prazo Comunicados Comunicados Comunicados PT Dentro do prazo Comunicados Comunicados Comunicados RO Apresentação tardia Comunicados Comunicados, em parte EM FALTA SE Dentro do prazo Comunicados Comunicados Comunicados SI Apresentação tardia Comunicados EM FALTA Comunicados SK Dentro do prazo Comunicados Comunicados Comunicados UK Dentro do prazo Comunicados Comunicados Comunicados 4.2Número de serviços e de OSE identificados por Estado-Membro Estado-Membro OSE identificados Serviços enumerados no anexo II Serviços adicionais AT 0 46 0 BE 0 31 0 BG 185 30 3 CY 20 29 17 CZ 50 31 12 DE 573 15 12 DK 128 39 0 EE 137 18 6 EL 67 30 0 ES 132 55 18 FI 10 897 20 0 FR 127 70 20 HR 85 49 2 HU 42 12 0 IE 64 26 0 IT 553 37 0 LT 22 37 0 LU 49 21 0 LV 66 18 0 MT 36 29 2 NL 42 12 0 PL 142 87 0 PT 1250 26 0 RO 86 77 0 SE 326 27 0 SI 0 34 2 SK 273 28 7 UK 470 34 0 4.3Serviços identificados por Estado-Membro no subsetor da eletricidade