Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO

Dado que a digitalização e interligação da economia e da sociedade têm um alcance mundial, a dimensão dos problemas vai muito para lá do território de um único Estado-Membro, o que, por conseguinte, exige intervenção a nível da União. No contexto atual e ponderando os cenários futuros, constata-se que as ações individuais dos Estados-Membros e uma abordagem fragmentada à cibersegurança, sobretudo à sua forte dimensão transfronteiriça, não conseguem aumentar a ciber-resiliência coletiva da União.

3.Aumentar as capacidades a nível da UE para complementar a ação dos Estados-Membros, designadamente no caso de cibercrises transfronteiriças.

1.Melhorar as capacidades e o estado de preparação dos Estados-Membros e das empresas, nomeadamente no tocante às infraestruturas críticas.

As tecnologias digitais e a Internet são a espinha dorsal da economia e sociedade da UE. Os setores económicos críticos, tais como os transportes, a energia, a saúde ou as finanças tornaram-se cada vez mais dependentes das redes e sistemas de informação para realizarem as suas atividades principais. A Internet das coisas liga objetos e pessoas por intermédio de redes de comunicação. Esta nova realidade cria oportunidades sem precedentes, mas também vulnerabilidades. De facto, os ciberincidentes estão a proliferar. A sua complexidade, frequência e a «superfície» do seu impacto, desde o acesso a serviços essenciais aos processos democráticos, deverão aumentar ainda mais.

Do lado da indústria, esta solução para a certificação é apoiada pelas empresas que já estão sujeitas a requisitos de certificação e que beneficiariam de um mecanismo a nível da UE assente no reconhecimento mútuo de certificados. É também apoiada pelas PME, que seriam as mais afetadas se já tiverem, ou se tivessem, de iniciar diferentes processos de certificação em diversos Estados-Membros. Alguns Estados-Membros, sobretudo aqueles com menores recursos, e alguns representantes da indústria e das instituições da UE manifestaram opiniões favoráveis também em relação à opção 3 para a ENISA.

Concretamente, existe um consenso relativamente à necessidade de ter (no mínimo) uma agência da UE com um mandato permanente e que funcione corretamente, que esteja dotada de recursos adequados e mandatada para enfrentar os desafios de cibersegurança presentes e futuros. Existe também um amplo acordo entre as partes interessadas sobre a criação de um quadro europeu modulável e voluntário.

A grande maioria das partes interessadas de todas as categorias (Estados-Membros, indústria, instituições da UE, comunidade de investigação) que participaram nas consultas parece saudar a opção preferida, sendo a favor do reforço da ENISA e da criação de um quadro europeu de certificação da segurança das TIC.

Opção 3 — Agência da UE para a Cibersegurança com capacidades operacionais plenas. Esta opção implica reformar a ENISA, juntando três funções principais: 1. Uma função política/consultiva; 2. Um centro de informação e conhecimentos especializados; 3. Uma equipa de resposta a emergências informáticas (CERT). Esta opção implicaria, em grande medida, a mesma mudança do âmbito de aplicação do mandato decorrente da opção 2. No entanto, seriam acrescentadas atribuições adicionais no domínio da resposta a incidentes e gestão de crises, para que a Agência cobrisse todo o ciclo da cibersegurança e lidasse com a prevenção, deteção e resposta a ciberincidentes.

Opção 2 — «ENISA reformada». Esta opção teria por base o mandato atual da ENISA com vista a adotar mudanças seletivas que tivessem em conta a evolução do cenário da cibersegurança. A Agência obteria um mandato permanente, baseado nos seguintes elementos fundamentais: apoio ao desenvolvimento e à execução de políticas da UE; reforço das capacidades; conhecimentos e informação; atribuições relacionadas com o mercado; investigação e inovação; cooperação operacional e gestão dos riscos.

Opção 1 — Expiração do mandato da ENISA (extinção da ENISA). Esta opção levaria à extinção da ENISA no fim do seu mandato (junho de 2020) e, eventualmente, a uma redistribuição de competências/atividades a nível da UE e/ou nacional.

Quais são os benefícios da opção preferida (se existir uma; caso contrário, quais os custos das principais opções)?

De acordo com a opção preferida, a UE teria uma agência concentrada em prestar apoio aos Estados-Membros, às instituições da UE e às empresas em domínios nos quais proporcionaria o maior valor acrescentado. Os mesmos abrangem: o apoio à execução da Diretiva SRI; o desenvolvimento e execução de políticas; o conhecimento, a informação e a sensibilização; a investigação; a cooperação operacional e as crises; o mercado. A ENISA apoiaria, nomeadamente, a política da UE no domínio da certificação da segurança das TIC, assegurando a manutenção administrativa e a gestão técnica de um quadro europeu de certificação da segurança das TIC. Esse quadro criaria eficazmente um conjunto de regras sobre a governação da certificação da segurança das TIC na UE, o que promoveria um sistema de reconhecimento mútuo de certificados emitidos nos Estados-Membros. A solução, que combina estas duas opções, é considerada a mais eficaz para que a UE consiga alcançar os objetivos identificados: aumentar as capacidades, o estado de preparação, a cooperação, a sensibilização, e a transparência em matéria de cibersegurança, e evitar a fragmentação do mercado. Esta opção é também a mais coerente com as prioridades políticas, dado que está enraizada na Estratégia para a Cibersegurança e em políticas conexas (por exemplo, a Diretiva SRI), e na Estratégia para o Mercado Único Digital. Além disso, esta opção alcançaria os objetivos mediante uma utilização razoável de recursos.

Quais são os custos da opção preferida (se existir uma; caso contrário, quais os custos das principais opções)?

Apesar de receber novas funções, uma «ENISA reformada» continuaria a ser uma organização ágil. A contribuição financeira necessária do orçamento da UE seria superior à atual, mas ainda assim bastante inferior à de outras agências que também operam em áreas cruciais.

A criação de um quadro europeu de certificação da segurança das TIC não implicaria custos adicionais e iniciais para a indústria (incluindo as PME). Pelo contrário, geraria economias significativas para as empresas que já certificam os seus produtos ou que estão dispostas a realizar uma certificação da segurança, com efeitos benéficos na sua competitividade a nível mundial. Por outro lado, envolveria algumas autorizações orçamentais para assegurar a manutenção do quadro, que seria sobretudo fornecida pelo modelo da «ENISA reformada», no que diz respeito às funções técnicas e de secretariado.

Haverá impactos significativos nos orçamentos e administrações nacionais?

Não. Os custos associados ao reforço da ENISA serão maioritariamente suportados pelo orçamento da UE, embora os Estados-Membros continuem a poder prestar contribuições financeiras a título voluntário à Agência. No tocante à certificação, o principal impacto nos orçamentos e administrações nacionais resultaria da instituição de uma autoridade de certificação, quando apropriado.

Haverá outros impactos significativos?

Não.

Proporcionalidade?

A opção preferida inclui medidas equilibradas, todas consideradas necessárias para alcançar os objetivos em causa, sem impor encargos excessivos às partes interessadas. Nesta perspetiva, considera-se que a iniciativa cumpre o princípio da proporcionalidade.

D.Seguimento

Quando será reexaminada a medida proposta?

Propõe-se que a primeira avaliação ocorra cinco anos após a entrada em vigor do instrumento jurídico. Posteriormente, a Comissão comunicará ao Parlamento Europeu e ao Conselho a sua avaliação, acompanhada, quando pertinente, de uma proposta de revisão. São necessárias avaliações posteriores, que devem realizar-se de cinco em cinco anos.