COMISSÃO EUROPEIA Bruxelas, 4.10.2017 COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo à ENISA, a «Agência da União Europeia para a Cibersegurança», e à certificação da cibersegurança das tecnologias da informação e comunicação, e que revoga o Regulamento (UE) n.º 526/2013 («Regulamento Cibersegurança») (Texto relevante para efeitos do EEE) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



EXPOSIÇÃO DE MOTIVOS 1.CONTEXTO DA PROPOSTA •Justificação e objetivos da proposta A União Europeia adotou uma série de medidas para aumentar a resiliência e melhorar a sua preparação em termos de cibersegurança. A primeira Estratégia da UE para a Cibersegurança, adotada em 2013, define objetivos estratégicos e ações concretas para se alcançar resiliência, reduzir a cibercriminalidade, desenvolver a política e as capacidades de ciberdefesa, desenvolver recursos industriais e tecnológicos e estabelecer uma política internacional coerente em matéria de ciberespaço para a UE. Nesse contexto, registaram-se desde então desenvolvimentos importantes, incluindo, em especial, o segundo mandato da Agência da União Europeia para a Segurança das Redes e da Informação (ENISA) e a adoção da Diretiva relativa à segurança das redes e da informação («Diretiva SRI»), que constituem a base da presente proposta. Além disso, em 2016, a Comissão Europeia adotou uma comunicação intitulada «Reforçar o sistema de ciberresiliência da Europa e promover uma indústria de cibersegurança competitiva e inovadora», na qual foram anunciadas mais medidas para criar cooperação e intercâmbio de informações e conhecimentos e para aumentar a resiliência e a preparação da UE, tendo também em conta a possibilidade de incidentes em grande escala e uma eventual crise pan-europeia de cibersegurança. Neste contexto, a Comissão anunciou que iria apresentar a avaliação e revisão do Regulamento (UE) n.º 526/2013 do Parlamento Europeu e do Conselho relativo à ENISA e que revoga o Regulamento (CE) n.º 460/2004 («Regulamento ENISA»). O processo de avaliação poderia conduzir a uma eventual reforma da Agência e a uma melhoria das suas capacidades para apoiar os Estados-Membros de forma sustentável. Por conseguinte, conferir-lhe-ia um papel mais operacional e central na consecução da resiliência a nível da cibersegurança e reconheceria, no seu novo mandato, as novas responsabilidades da Agência nos termos da Diretiva SRI. A Diretiva SRI constitui um primeiro passo essencial com vista a promover uma cultura de gestão dos riscos, introduzindo requisitos de segurança como obrigações jurídicas para os principais agentes económicos, nomeadamente operadores que prestam serviços essenciais (operadores de serviços essenciais — OSE) e fornecedores de alguns serviços digitais cruciais (prestadores de serviços digitais — PSD). Com os requisitos de segurança a serem encarados como essenciais para salvaguardar os benefícios da digitalização em curso da sociedade e atendendo à rápida proliferação dos dispositivos conectados (a Internet das coisas — IdC), a comunicação de 2016 também apresenta a ideia de criar um quadro para a certificação da segurança aplicável a produtos e serviços de TIC, a fim de aumentar a confiança e a segurança no mercado único digital. A certificação da cibersegurança das TIC torna-se particularmente relevante atendendo à cada vez maior utilização de tecnologias que exigem um elevado nível de cibersegurança, tais como automóveis conectados e automatizados, saúde eletrónica ou sistemas industriais de automatização e controlo. Estas medidas e anúncios políticos foram ainda mais reforçados pelas conclusões do Conselho, de 2016, que reconheceram que as «ciberameaças e as vulnerabilidades continuam a evoluir e a intensificar-se, o que obrigará a uma cooperação contínua e mais estreita, particularmente no tratamento de incidentes transfronteiras de grande escala em matéria de cibersegurança». As conclusões reafirmaram que o «regulamento ENISA constitui um dos elementos centrais de um quadro de ciberresiliência da UE» e instaram a Comissão a adotar medidas suplementares para abordar a questão da certificação a nível europeu. O estabelecimento de um sistema de certificação exigirá a criação de um sistema de governação adequado a nível da UE, designadamente mediante conhecimentos especializados disponibilizados por uma agência da UE independente. A este respeito, a presente proposta identifica naturalmente a ENISA como o organismo a nível da UE competente em matéria de cibersegurança, que deverá assumir a função de reunir e coordenar o trabalho dos organismos nacionais competentes no domínio da certificação. Na sua comunicação sobre a Revisão intercalar da Estratégia para o Mercado Único Digital, de maio de 2017, a Comissão especificou ainda que, até setembro de 2017, procederia à revisão do mandato da ENISA. Tal destina-se a definir o seu papel no ecossistema alterado da cibersegurança e a adotar medidas em matéria de normas de cibersegurança, de certificação e de rotulagem para tornar os sistemas baseados nas TIC, nomeadamente os objetos conectados, mais ciberseguros. Nas suas conclusões de junho de 2017, o Conselho Europeu saudou a intenção da Comissão de rever a Estratégia para a Cibersegurança em setembro e de propor novas ações específicas antes do final do ano de 2017. A proposta de regulamento prevê um conjunto abrangente de medidas que tem por base as ações anteriores e promove objetivos específicos que se reforçam mutuamente: ·Aumentar as capacidades e o grau de preparação dos Estados-Membros e das empresas; ·Melhorar a cooperação e coordenação entre Estados-Membros e instituições, agências e organismos da UE; ·Aumentar as capacidades a nível da UE para complementar a ação dos Estados-Membros, designadamente no caso de cibercrises transfronteiriças; ·Aumentar a sensibilização dos cidadãos e das empresas para as questões da cibersegurança; ·Aumentar a transparência da garantia de cibersegurança de produtos e serviços de TIC, a fim de reforçar a confiança no mercado único digital e na inovação digital. e ·Evitar a fragmentação dos sistemas de certificação na UE e dos requisitos de segurança conexos, bem como dos critérios de avaliação nos Estados-Membros e setores. A parte da exposição de motivos que se segue explica mais pormenorizadamente o fundamento subjacente à iniciativa no que diz respeito às ações propostas para a ENISA e a certificação da cibersegurança.





ENISA A ENISA atua como um centro de conhecimentos especializados dedicado à melhoria da segurança das redes e da informação na União e ao apoio ao reforço de capacidades dos Estados-Membros. A ENISA foi criada em 2004 com o intuito de contribuir para os objetivos gerais de assegurar um elevado nível de segurança das redes e da informação na UE. Em 2013, o Regulamento (UE) n.º 526/2013 instituiu um novo mandato da Agência para um período de sete anos, até 2020. A Agência tem os seus escritórios na Grécia, nomeadamente a sede administrativa em Heráclion (Creta) e as operações principais em Atenas. A ENISA é uma pequena agência, com um orçamento reduzido e poucos funcionários, comparativamente a todas as agências da UE. Tem um mandato fixo. A ENISA apoia as instituições europeias, os Estados-Membros e a comunidade empresarial na análise, na resposta e sobretudo na prevenção de problemas de segurança das redes e da informação. Para tal, realiza uma série de atividades em cinco domínios identificados na sua estratégia: ·Conhecimentos especializados: prestação de informações e conhecimentos especializados sobre questões determinantes de segurança das redes e da informação. ·Política: apoio à elaboração e execução de políticas na União. ·Capacidade: apoio ao reforço das capacidades na União (por exemplo, mediante formações, recomendações, atividades de sensibilização). ·Comunidade: promover a comunidade de segurança das redes e da informação [por exemplo, apoio às equipas de resposta a emergências informáticas (CERT), coordenação dos exercícios pan-europeus de cibersegurança]. ·Capacitação (por exemplo, compromissos com as partes interessadas e relações internacionais). No decurso das negociações da Diretiva SRI, os colegisladores da UE decidiram atribuir funções importantes à ENISA na sua execução. Concretamente, a Agência assegura os serviços de secretariado da rede de CSIRT (criada para promover a cooperação operacional célere e eficaz entre os Estados-Membros em matéria de incidentes de cibersegurança específicos e de partilha de informações sobre riscos), sendo igualmente chamada a apoiar o grupo de cooperação no exercício das suas tarefas. Além disso, a diretiva requer que a ENISA assista os Estados-Membros e a Comissão mediante a disponibilização de conhecimentos especializados e aconselhamento e da facilitação do intercâmbio de boas práticas. Nos termos do Regulamento ENISA, a Comissão realizou uma avaliação da Agência que inclui um estudo independente, bem como uma consulta pública. A avaliação examinou a relevância, o impacto, a eficácia, a eficiência, a coerência e o valor acrescentado da UE da Agência relativamente ao seu desempenho, governação, estrutura organizacional interna e métodos de trabalho durante o período de 2013-2016. O desempenho global da ENISA foi avaliado positivamente pela maior parte dos inquiridos (74 %) na consulta pública. Uma maioria de inquiridos considerou ainda que a ENISA está a alcançar os seus diferentes objetivos (pelo menos 63 % para cada um dos objetivos). Os serviços e produtos da ENISA são utilizados regularmente (mensalmente ou com maior frequência) por quase metade dos inquiridos (46 %) e são apreciados por resultarem de um organismo a nível da UE (83 %) e pela sua qualidade (62 %). No entanto, uma grande maioria (88 %) dos inquiridos considerou que os instrumentos e mecanismos em vigor disponíveis a nível da UE são insuficientes ou apenas parcialmente adequados para responder aos desafios atuais da cibersegurança. Uma grande maioria dos inquiridos (98 %) indicou que um organismo da UE deveria responder a essas necessidades e, entre eles, a ENISA foi considerada a organização certa para o fazer por 99 % dos inquiridos. Além disso, 67,5 % dos inquiridos manifestaram a opinião de que a ENISA poderia desempenhar um papel na instituição de um quadro harmonizado para a certificação da segurança de produtos e serviços de TIC. A avaliação geral (com base não apenas na consulta pública, mas também em diversas entrevistas individuais, inquéritos específicos suplementares e seminários) concluiu o seguinte: ·Os objetivos da ENISA continuam a ser relevantes hoje em dia. Num contexto de rápidos desenvolvimentos tecnológicos e de ameaças em evolução e atendendo aos crescentes riscos mundiais de cibersegurança, existe uma necessidade inequívoca na UE de promover e continuar a reforçar os conhecimentos especializados de alto nível em matéria de cibersegurança. Afigura-se necessário criar, nos Estados-Membros, capacidades para compreender e responder às ameaças, e as partes interessadas têm de cooperar em diferentes domínios temáticos e com diferentes instituições. ·Apesar do seu reduzido orçamento, a Agência tem sido eficiente em termos operacionais na utilização dos seus recursos e na execução das suas tarefas. Contudo, a localização dividida entre Atenas e Heráclion gerou custos administrativos suplementares. ·Em termos de eficácia, a ENISA cumpriu parcialmente os seus objetivos. A Agência contribuiu com êxito para a melhoria da segurança das redes e da informação na Europa ao proporcionar o reforço de capacidades nos 28 Estados-Membros, melhorando a cooperação entre os Estados-Membros e as partes interessadas em matéria de segurança das redes e da informação e disponibilizando conhecimentos especializados, desenvolvimento da comunidade e apoio à elaboração de políticas. Em termos gerais, a ENISA concentrou-se diligentemente na execução do seu programa de trabalho e atuou como um parceiro de confiança para as partes interessadas, num domínio que só recentemente foi reconhecido como tendo uma relevância transfronteiriça tão forte.

·A ENISA conseguiu produzir um impacto, pelo menos até certo ponto, no vasto domínio da segurança das redes e da informação, mas não conseguiu desenvolver plenamente um nome de marca forte nem ganhar visibilidade suficiente para ser reconhecida como «o» centro de conhecimentos especializados na Europa. Tal explica-se pelo mandato alargado da ENISA, que não está equipada com recursos proporcionalmente suficientes. Além disso, a ENISA continua a ser a única agência da UE com um mandato fixo, o que limita a sua capacidade de desenvolver uma visão a longo prazo e de apoiar as partes interessadas de um modo sustentável. Isto contrasta igualmente com as disposições da Diretiva SRI, que confiam à ENISA funções sem termo. Por último, a avaliação concluiu que esta eficácia limitada pode explicar-se, em parte, pela forte dependência de conhecimentos especializados externos, em detrimento dos internos, e pelas dificuldades no recrutamento e conservação de pessoal especializado. ·Finalmente, a avaliação concluiu que o valor acrescentado da ENISA assenta primeiramente na capacidade da Agência de melhorar a cooperação, principalmente entre Estados-Membros, e particularmente com comunidades relacionadas com a segurança das redes e da informação (em especial, entre as CSIRT). Não existe outro interveniente a nível da UE que apoie um âmbito tão lato de partes interessadas em matéria de segurança das redes e da informação. No entanto, devido à necessidade de conferir prioridades às suas atividades de modo estritamente rigoroso, o programa de trabalho da ENISA é, na sua maioria, guiado pelas necessidades dos Estados-Membros. Consequentemente, não aborda suficientemente as necessidades de outras partes interessadas, em especial a indústria. Isso também tornou a Agência reativa à satisfação das necessidades das principais partes interessadas, impedindo-a de alcançar um impacto maior. Por conseguinte, o valor acrescentado proporcionado pela Agência variou de acordo com as necessidades divergentes das partes interessadas e na medida em que a Agência foi capaz de dar resposta às mesmas (por exemplo, Estados-Membros grandes face a pequenos; Estados-Membros face à indústria). Resumindo, os resultados das consultas e avaliação das partes interessadas sugeriram que os recursos e o mandato da ENISA têm de ser adaptados para que esta possa desempenhar uma função adequada na resposta aos desafios atuais e futuros. À luz destas conclusões, a presente proposta revê o mandato em vigor da ENISA e estabelece um conjunto renovado de tarefas e funções, com vista a apoiar eficaz e eficientemente os esforços dos Estados-Membros, das instituições da UE e de outras partes interessadas destinados a garantir um ciberespaço seguro na União Europeia. O novo mandato proposto pretende atribuir à Agência um papel mais forte e mais central, nomeadamente no apoio aos Estados-Membros na execução da Diretiva SRI e no combate mais ativo (capacidade operacional) a ameaças específicas, e torná-la num centro de conhecimentos especializados que apoia os Estados-Membros e a Comissão em matéria de certificação de cibersegurança. Nos termos desta proposta: ·será atribuído um mandato permanente à ENISA que, assim, estará colocada num patamar mais estável para o futuro. O mandato, os objetivos e as atribuições devem continuar a estar sujeitos a revisão regular. ·O mandato proposto esclarece ainda a função da ENISA enquanto agência da UE para a cibersegurança e ponto de referência no ecossistema de cibersegurança da UE, atuando em estreita colaboração com todos os demais organismos pertinentes desse ecossistema. ·A organização e governação da Agência, que foram avaliadas positivamente no decurso da avaliação, serão ligeiramente revistas, em especial para garantir que as necessidades da comunidade mais alargada de partes interessadas estão mais bem refletidas no trabalho da Agência. ·É delineado o âmbito sugerido do mandato, reforçando as áreas nas quais a Agência demonstrou um claro valor acrescentado e aditando as novas áreas nas quais é necessário apoio, atendendo às novas prioridades e instrumentos políticos, designadamente a Diretiva SRI, a revisão da Estratégia da UE para a Cibersegurança, o futuro plano de ação da UE para a cibersegurança, a cooperação na gestão de cibercrises e a certificação da segurança das TIC: ·Desenvolvimento e execução de políticas da UE: a ENISA será incumbida de contribuir pró-ativamente para o desenvolvimento de políticas no domínio da segurança das redes e da informação, bem como de outras iniciativas políticas com elementos de cibersegurança em diferentes setores (por exemplo, energia, transportes, finanças). Para o efeito, terá um forte papel consultivo, que poderá desempenhar mediante o fornecimento de pareceres independentes e de trabalhos preparatórios para a elaboração e a atualização da política e da legislação. A ENISA também apoiará a política e a legislação da UE nos domínios das comunicações eletrónicas, da identificação eletrónica e dos serviços de confiança, com o intuito de promover um nível reforçado de cibersegurança. Na fase de execução, em especial no contexto do grupo de cooperação SRI, a ENISA ajudará os Estados-Membros a alcançar uma abordagem coerente na execução da Diretiva SRI entre fronteiras e setores, bem como de outras políticas e atos legislativos pertinentes. A fim de apoiar a revisão regular das políticas e da legislação no domínio da cibersegurança, a ENISA também comunicará regularmente o estado da execução do quadro jurídico da UE. ·Reforço das capacidades: a ENISA contribuirá para a melhoria das capacidades e dos conhecimentos especializados das autoridades públicas nacionais e da UE, nomeadamente em matéria de resposta a incidentes e de supervisão de medidas regulamentares relacionadas com a cibersegurança. A Agência será também chamada a contribuir para a criação de centros de partilha e análise de informações (ISAC) em vários setores mediante a disponibilização de boas práticas e orientação sobre instrumentos e procedimentos disponíveis, bem como pela resposta adequada a questões regulamentares relacionadas com a partilha de informações. ·Conhecimento, informação e sensibilização: a ENISA tornar-se-á o polo de informações da UE. Tal implicará a promoção e partilha de boas práticas e iniciativas na UE, reunindo informações sobre cibersegurança provenientes das instituições, agências e organismos nacionais e da UE. A Agência disponibilizará igualmente aconselhamento, orientação e boas práticas em matéria de segurança de infraestruturas críticas. Além disso, na sequência de incidentes de cibersegurança transfronteiriços significativos, a ENISA coligirá relatórios destinados a prestar orientação a empresas e cidadãos na UE. Este fluxo de trabalho envolverá igualmente a organização regular de ações de sensibilização em coordenação com as autoridades dos Estados-Membros. ·Atribuições relacionadas com o mercado (normalização, certificação de cibersegurança): a ENISA exercerá várias funções que apoiam especificamente o mercado interno e constituirá um «observatório do mercado» de cibersegurança, analisando as tendências importantes do mercado da cibersegurança, a fim de melhor fazer corresponder a oferta à procura, e apoiando o desenvolvimento de políticas da UE nos domínios da normalização e da certificação de segurança das TIC. No que diz concretamente respeito à normalização, facilitará a criação e adoção de normas de cibersegurança. A ENISA também exercerá as atribuições previstas no contexto do futuro quadro para certificação (ver secção infra). ·Investigação e inovação: a ENISA contribuirá com os seus conhecimentos especializados por via do aconselhamento às autoridades nacionais e da UE sobre a fixação de prioridades em matéria de investigação e desenvolvimento, nomeadamente no contexto da parceria público-privada contratual (PPPc) para a cibersegurança. O aconselhamento da ENISA sobre investigação alimentará o Centro Europeu de Investigação e de Competências em matéria de Cibersegurança ao abrigo do próximo quadro financeiro plurianual. A ENISA também estará envolvida, sempre que a Comissão o solicite, na execução dos programas de financiamento da UE para investigação e inovação. ·Cooperação operacional e gestão de crises: este fluxo de trabalho deve ter por base o reforço das capacidades operacionais preventivas existentes, em especial a atualização dos exercícios pan-europeus de cibersegurança (Cyber Europe), realizando-os anualmente, e um papel de apoio na cooperação operacional assumindo os serviços de secretariado da rede de CSIRT (tal como previsto nas disposições da Diretiva SRI), assegurando, entre outros aspetos, o bom funcionamento da infraestrutura informática e dos canais de comunicação da rede de CSIRT. Neste contexto, será necessária uma cooperação estruturada com a CERT-UE, o Centro Europeu da Cibercriminalidade (EC3) e outros organismos competentes da UE. Além disso, a cooperação estruturada com a CERT-UE, em estreita proximidade física, deverá conduzir a uma função de prestação de assistência técnica em caso de incidentes significativos e de apoio à análise de incidentes. Os Estados-Membros que a solicitem receberão assistência para lidar com incidentes e apoio à análise de vulnerabilidades, artefactos e incidentes, a fim de reforçarem a sua própria capacidade preventiva e de resposta. ·A ENISA também desempenhará um papel no plano de ação da UE para a cibersegurança apresentado como parte deste pacote e que estabelece a recomendação da Comissão aos Estados-Membros para uma resposta coordenada, a nível da UE, a incidentes de cibersegurança transfronteiriços em grande escala e crises de cibersegurança. A ENISA facilitará a cooperação entre Estados-Membros individuais na resposta a situações de emergência, mediante a análise e agregação de relatórios de situação nacionais, baseados em informações disponibilizadas à Agência a título voluntário pelos Estados-Membros e outras entidades. ·Certificação da cibersegurança de produtos e serviços de TIC A fim de criar e preservar confiança e segurança, os produtos e serviços de TIC têm de incorporar diretamente funcionalidades de segurança nas fases incipientes da sua conceção e desenvolvimento técnicos (segurança desde a conceção). Além disso, os clientes e utilizadores devem ser capazes de verificar o nível de garantia de segurança dos produtos e serviços que obtêm ou adquirem. A certificação, que consiste na avaliação formal de produtos, serviços e processos realizada por um organismo independente e acreditado relativamente a um conjunto definido de critérios ou normas e na emissão de um certificado que ateste a conformidade, desempenha um papel importante no aumento da confiança e segurança dos produtos e serviços. Embora as avaliações de segurança sejam um domínio bastante técnico, a certificação serve a finalidade de informar e tranquilizar os compradores e utilizadores sobre as propriedades de segurança dos produtos e serviços de TIC que adquirem ou utilizam. Conforme referido anteriormente, isto é particularmente relevante para os novos sistemas baseados nas tecnologias digitais e que exigem um elevado nível de segurança, tais como os automóveis conectados, a saúde eletrónica, os sistemas industriais de automatização e controlo (IACS) ou as redes inteligentes. Presentemente, o cenário da certificação de cibersegurança de produtos e serviços de TIC na UE é deveras fragmentado. Existe uma série de iniciativas internacionais, tais como os designados Critérios Comuns (CC) para a Avaliação da Segurança das Tecnologias da Informação (ISO 15408), que se tratam de uma norma internacional para avaliação da segurança informática. Baseiam-se na avaliação por parte de um terceiro e preveem sete níveis de avaliação da garantia (Evaluation Assurance Levels) (EAL). Os CC e a Metodologia Comum para a Avaliação da Segurança das Tecnologias da Informação (CEM) que os acompanha constituem a base técnica para um acordo internacional, o Acordo de Reconhecimento dos Critérios Comuns (ARCC), que assegura que os certificados dos CC são reconhecidos por todos os signatários do ARCC. Contudo, na versão atual do ARCC, apenas as avaliações até ao EAL 2 são mutuamente reconhecidas. Além disso, apenas 13 Estados-Membros assinaram o acordo.

As autoridades de certificação de 12 Estados-Membros celebraram um acordo de reconhecimento mútuo relativo aos certificados emitidos em conformidade com o acordo com base nos Critérios Comuns. Além disso, existe atualmente, ou está a ser criado, um conjunto de iniciativas de certificação das TIC nos Estados-Membros. Embora sejam importantes, estas iniciativas criam o risco de fragmentação do mercado e levantam questões de interoperabilidade. Consequentemente, uma empresa poderá ter de se submeter a vários procedimentos de certificação em diferentes Estados-Membros para poder colocar o seu produto em diversos mercados. Por exemplo, um fabricante de contadores inteligentes que pretenda vender os seus produtos em três Estados-Membros, como, por exemplo, Alemanha, França e Reino Unido, necessita atualmente de cumprir os requisitos de três sistemas de certificação distintos, neste caso, o Commercial Product Assurance (CPA) no Reino Unido, a Certification de Sécurité de Premier Niveau (CSPN) em França e um perfil de proteção específico baseado nos Critérios Comuns na Alemanha. Esta situação conduz a custos mais elevados e constitui um encargo administrativo considerável para as empresas que operam em vários Estados-Membros. Embora o custo da certificação possa variar consideravelmente em função do produto/serviço em causa, do nível de avaliação da garantia pretendido e/ou de outras componentes, regra geral, tende a ser bastante considerável para as empresas. Para o certificado BSI «Smart Meter Gateway», por exemplo, o custo é superior a um milhão de EUR (nível mais elevado de ensaio e garantia, abrange não só um produto, mas também toda a infraestrutura à sua volta). No Reino Unido, o custo da certificação dos contadores inteligentes é de quase 150 000 EUR. Em França, o custo é similar ao do Reino Unido, a saber, cerca de 150 000 EUR ou mais. As principais partes interessadas públicas e privadas reconheceram que, na ausência de um sistema de certificação da cibersegurança a nível da UE, as empresas têm em muitas circunstâncias de ser certificadas individualmente em cada Estado-Membro, o que conduz à fragmentação do mercado. Mais importante, na ausência de legislação de harmonização da UE para os produtos e serviços de TIC, as diferenças nas normas e práticas de certificação da cibersegurança nos Estados-Membros são suscetíveis de criar, na prática, 28 mercados de segurança distintos na UE, cada um dos quais com os seus próprios requisitos técnicos, metodologias de ensaio e procedimentos de certificação da cibersegurança. Estas práticas divergentes a nível nacional são suscetíveis de causar, caso não seja tomada uma ação adequada a nível da UE, um obstáculo considerável à realização do mercado único digital, retardando ou impedindo os seus efeitos positivos conexos no crescimento e no emprego. Com base nos desenvolvimentos supracitados, a proposta de regulamento estabelece um quadro europeu de certificação da cibersegurança («Quadro») de produtos e serviços de TIC e especifica as funções e tarefas essenciais da ENISA no domínio da certificação da cibersegurança. A presente proposta estabelece um quadro geral de regras que regem os sistemas europeus de certificação da cibersegurança. A proposta não introduz diretamente sistemas de certificação operacionais, criando antes um mecanismo (quadro) para a criação de sistemas de certificação específicos destinados a produtos/serviços de TIC específicos (os «sistemas europeus de certificação da cibersegurança»). A criação de sistemas europeus de certificação da cibersegurança de acordo com o Quadro permitirá que os certificados emitidos nos termos dos mesmos sejam válidos e reconhecidos em todos os Estados-Membros e responder à atual fragmentação do mercado. O objetivo geral de um sistema europeu de certificação da cibersegurança é atestar que os produtos e serviços de TIC que foram certificados em conformidade com esse sistema cumprem os requisitos de cibersegurança especificados. Tal incluiria, por exemplo, a sua capacidade para proteger os dados (armazenados, transmitidos ou tratados de qualquer outro modo) contra armazenamento, tratamento, acesso, divulgação, destruição acidental ou não autorizado, e a perda ou alteração acidental. Os sistemas de certificação da cibersegurança da UE utilizarão normas existentes em relação aos requisitos técnicos e procedimentos de avaliação que os produtos necessitam de cumprir e não desenvolverão eles próprios as normas técnicas. Por exemplo, uma certificação a nível da UE para produtos como os cartões inteligentes, que atualmente são ensaiados relativamente a normas de CC internacionais ao abrigo do sistema SOG-IS (e descritos anteriormente), significaria tornar este sistema válido em toda a UE. Além de descrever um conjunto específico de objetivos de segurança a serem tidos em conta na conceção de um sistema europeu de certificação da cibersegurança específico, a proposta estipula qual deve ser o conteúdo mínimo desses sistemas. Esses sistemas terão de definir, entre outros aspetos, um número de elementos específicos que definem o âmbito e objeto da certificação da cibersegurança. Tal inclui a identificação das categorias de produtos e serviços abrangidas, a especificação pormenorizada dos requisitos de cibersegurança (por exemplo, por referência às normas ou especificações técnicas relevantes), os critérios e métodos de avaliação específicos e o nível de garantia que se destinam a assegurar (ou seja, básico, substancial ou elevado). A ENISA, com a assistência, aconselhamento especializado e estreita cooperação do grupo europeu para a certificação da cibersegurança (ver infra), preparará os sistemas europeus de certificação da cibersegurança, que a Comissão adotará por intermédio de atos de execução. Quando for identificada a necessidade de um sistema de certificação da cibersegurança, a Comissão solicitará à ENISA que prepare um sistema destinado a produtos ou serviços de TIC específicos. A ENISA trabalhará no sistema em estreita cooperação com as autoridades nacionais supervisoras da certificação representadas no Grupo. Os Estados-Membros e o Grupo poderão propor à Comissão que solicite à ENISA a preparação de um sistema específico. A certificação pode ser um processo muito dispendioso, o que, por sua vez, pode conduzir a preços mais elevados para os clientes e consumidores. A necessidade de certificar poderá também variar consideravelmente em função do contexto específico de utilização dos produtos e serviços e do ritmo rápido da evolução tecnológica. O recurso à certificação europeia da cibersegurança deve, portanto, manter-se voluntário, salvo disposição em contrário na legislação da União que estabeleça requisitos de segurança para produtos e serviços de TIC. A fim de assegurar a harmonização e evitar a fragmentação, os sistemas ou procedimentos nacionais de certificação da cibersegurança de produtos e serviços de TIC abrangidos por um sistema europeu de certificação da cibersegurança deixarão de ser aplicáveis a partir da data fixada no ato de execução que adota o sistema. Além disso, os Estados-Membros não devem introduzir novos sistemas nacionais de certificação da cibersegurança de produtos e serviços de TIC abrangidos por um sistema europeu de certificação da cibersegurança existente. Assim que um sistema europeu de certificação da cibersegurança for adotado, os fabricantes de produtos de TIC ou os prestadores de serviços de TIC poderão apresentar uma candidatura para a certificação dos seus produtos ou serviços a um organismo de avaliação da conformidade da sua escolha. Os organismos de avaliação da conformidade devem ser acreditados por um organismo de acreditação se cumprirem determinados requisitos especificados. A acreditação será emitida por um período máximo de cinco anos e poderá ser renovada nas mesmas condições, desde que o organismo de avaliação da conformidade cumpra os requisitos. Os organismos de acreditação revogarão a acreditação de um organismo de avaliação da conformidade se as condições para a acreditação não forem cumpridas ou deixarem de ser cumpridas, ou se o organismo de avaliação da conformidade tomar medidas que violem o presente regulamento. Nos termos da proposta, as tarefas de monitorização, supervisão e aplicação incumbem aos Estados-Membros. Os Estados-Membros terão de providenciar uma autoridade supervisora da certificação. Caberá a esta autoridade supervisionar a conformidade dos organismos de avaliação da conformidade, bem como dos certificados emitidos pelos organismos de avaliação da conformidade estabelecidos no respetivo território, com os requisitos do presente regulamento e dos sistemas europeus de certificação da cibersegurança. As autoridades nacionais supervisoras da certificação serão competentes para tratar das reclamações apresentadas por pessoas singulares ou coletivas relativamente a certificados emitidos por organismos de avaliação da conformidade estabelecidos nos respetivos territórios. Tanto quanto necessário, investigarão o conteúdo das reclamações e informarão os respetivos autores do andamento e do resultado da investigação num prazo razoável. Além disso, cooperarão com outras autoridades supervisoras da certificação e outras autoridades públicas, nomeadamente pela partilha de informações sobre a eventual não conformidade de produtos e serviços de TIC com os requisitos do presente regulamento ou de sistemas europeus de certificação da cibersegurança específicos. Por último, a proposta institui o grupo europeu para a certificação da cibersegurança («Grupo»), composto por autoridades nacionais supervisoras da certificação de todos os Estados-Membros. A principal função do Grupo é prestar aconselhamento à Comissão sobre questões relacionadas com a política de certificação da cibersegurança e trabalhar com a ENISA no desenvolvimento de projetos de sistemas europeus de certificação da cibersegurança. A ENISA assistirá a Comissão assegurando o serviço de secretariado do Grupo e mantendo um inventário público atualizado de sistemas aprovados ao abrigo do quadro europeu de certificação da cibersegurança. A ENISA assegurará igualmente a sua coordenação com organismos de normalização, para assegurar a adequação das normas utilizadas nos sistemas aprovados e para identificar áreas que requeiram normas de cibersegurança. O quadro europeu de certificação da cibersegurança («Quadro») proporcionará vários benefícios aos cidadãos e às empresas, nomeadamente: ·A criação de sistemas de certificação da cibersegurança a nível da UE para produtos ou serviços específicos proporcionará às empresas um balcão único para a certificação da cibersegurança na UE. Essas empresas poderão certificar o seu produto uma única vez e obter um certificado válido em todos os Estados-Membros. Não serão obrigadas a voltar a certificar os seus produtos ao abrigo de organismos de certificação nacionais diferentes. Tal reduzirá consideravelmente os custos para empresas, facilitará as operações transfronteiriças e, em última instância, reduzirá e evitará uma fragmentação do mercado interno para os produtos em causa. ·O Quadro estabelece a primazia dos sistemas europeus de certificação da cibersegurança sobre os sistemas nacionais: nos termos desta regra, a adoção de um sistema europeu de certificação da cibersegurança substituirá todos os sistemas nacionais paralelos existentes para os mesmos produtos ou serviços de TIC num determinado nível de garantia. Tal proporcionará mais clareza, reduzindo a proliferação atual de sistemas nacionais de certificação da cibersegurança que se sobrepõem e que são eventualmente conflituantes. ·A proposta apoia e complementa a execução da Diretiva SRI ao facultar às empresas abrangidas pela diretiva um instrumento muito útil para demonstrar a conformidade com os requisitos de SRI em toda a União. Ao desenvolverem novos sistemas de certificação da cibersegurança, a Comissão e a ENISA estarão particularmente atentas à necessidade de assegurar que os requisitos de SRI estão refletidos nesses sistemas. ·A proposta apoiará e facilitará o desenvolvimento de uma política europeia em matéria de cibersegurança, mediante a harmonização das condições e dos requisitos substantivos para a certificação da cibersegurança de produtos e serviços de TIC na UE. Os sistemas europeus de certificação da cibersegurança farão referência a normas ou critérios de avaliação e metodologias de ensaio comuns. Tal contribuirá significativamente, embora de forma indireta, para a adoção de soluções de segurança comuns na UE, eliminando também, desta forma, obstáculos ao mercado interno. ·O Quadro foi concebido de modo a assegurar a flexibilidade necessária para os sistemas de certificação da cibersegurança. Dependendo das necessidades específicas de cibersegurança, um produto ou serviço pode ser certificado em relação a níveis de segurança superiores ou inferiores. Os sistemas europeus de certificação da cibersegurança serão concebidos tendo presente esta flexibilidade e, por conseguinte, preverão diferentes níveis de garantia (a saber, básico, substancial ou elevado), para que possam ser utilizados para diferentes finalidades ou em diferentes contextos. ·Todos os elementos referidos anteriormente tornarão a certificação da cibersegurança mais atrativa para as empresas enquanto meio eficaz para comunicar o nível de garantia da cibersegurança de produtos ou serviços de TIC. À medida que a certificação da cibersegurança se torna menos dispendiosa, mais eficaz e comercialmente atrativa, as empresas disporão de maiores incentivos para certificarem os seus produtos contra os riscos de cibersegurança, contribuindo, desta forma, para a disseminação de boas práticas de cibersegurança na conceção de produtos e serviços de TIC (cibersegurança desde a conceção).

•Coerência com as disposições vigentes no mesmo domínio de intervenção Nos termos da Diretiva SRI, os operadores de setores que são cruciais para a nossa economia e sociedade, tais como a energia, os transportes, a água, a banca, as infraestruturas do mercado financeiro, os cuidados de saúde e as infraestruturas digitais, bem como os prestadores de serviços digitais (isto é, motores de pesquisa, serviços de computação em nuvem e mercados em linha), são obrigados a adotarem medidas para gerirem adequadamente os riscos de segurança. As novas regras da presente proposta complementam e asseguram a coerência com as disposições da Diretiva SRI, a fim de continuar a desenvolver a ciber-resiliência da UE pelo reforço das capacidades, da cooperação, da gestão dos riscos e da sensibilização para as questões do ciberespaço. Além disso, as regras em matéria de certificação da cibersegurança proporcionam um instrumento essencial para as empresas sujeitas à Diretiva SRI, dado que poderão certificar os seus produtos e serviços de TIC contra riscos de cibersegurança com base em sistemas de certificação da cibersegurança válidos e reconhecidos em toda a UE. Também complementarão os requisitos de segurança referidos no Regulamento eIDAS e na Diretiva Equipamentos de Rádio. •Coerência com outras políticas da União O Regulamento (UE) n.º 2016/679 (Regulamento Geral sobre a Proteção de Dados, «RGPD») estabelece disposições para a criação de procedimentos de certificação em matéria de proteção de dados, bem como selos e marcas de proteção de dados, para efeitos de comprovação da conformidade das operações de tratamento de responsáveis pelo tratamento e subcontratantes com esse regulamento. O presente regulamento aplica-se sem prejuízo da certificação das operações de tratamento de dados, nomeadamente quando essas operações estejam integradas em produtos e serviços, ao abrigo do RGPD. A proposta de regulamento assegurará a compatibilidade com o Regulamento (CE) n.º 765/2008, que estabelece os requisitos de acreditação e fiscalização do mercado ao fazer referência às regras desse quadro relativas a organismos nacionais de acreditação e a organismos de avaliação da conformidade. No tocante às autoridades supervisoras, a proposta de regulamento exigirá que os Estados-Membros designem autoridades nacionais supervisoras da certificação com responsabilidades em matéria de supervisão, monitorização e aplicação das regras. Esses organismos continuarão a estar separados dos organismos de avaliação da conformidade, conforme prescrito pelo Regulamento (CE) n.º 765/2008. 2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE •Base jurídica A base jurídica para a ação da UE é o artigo 114.º do Tratado sobre o Funcionamento da União Europeia (TFUE), que versa a aproximação das legislações dos Estados-Membros a fim de alcançar a realização dos objetivos enunciados no artigo 26.º do TFUE, nomeadamente o bom funcionamento do mercado interno. A base jurídica do mercado interno para criar a ENISA foi validada pelo Tribunal de Justiça (no processo C-217/04 Reino Unido da Grã-Bretanha e da Irlanda do Norte contra Parlamento Europeu e Conselho da União Europeia), tendo sido novamente validada pelo regulamento de 2013 que fixa o mandato em vigor da Agência. Além disso, as atividades que refletiriam os objetivos de aumentar a cooperação e a coordenação entre Estados-Membros e aquelas que aditariam capacidades a nível da UE para complementar a ação dos Estados-Membros enquadrar-se-iam na categoria de «cooperação operacional». Tal é especificamente identificado pela Diretiva SRI (cuja base jurídica é o artigo 114.º do TFUE) como um objetivo a perseguir no contexto da rede de CSIRT, à qual a «ENISA assegura os serviços de secretariado e apoia ativamente a cooperação» (artigo 12.º, n.º 2). Em especial, o artigo 12.º, n.º 3, alínea f), acrescenta que a identificação de outras formas de cooperação operacional é uma tarefa da rede CSIRT, nomeadamente no que se refere: i) às categorias de riscos e de incidentes, ii) aos alertas rápidos, iii) à assistência mútua, iv) aos princípios e às formas de coordenação na resposta dos Estados-Membros a riscos e incidentes de dimensão transfronteiriça. ·A atual fragmentação dos sistemas de certificação de produtos e serviços de TIC é também uma consequência da inexistência de um processo-quadro comum eficaz e juridicamente vinculativo aplicável aos Estados-Membros. Tal dificulta a criação de um mercado interno para os produtos e serviços de TIC e afeta a competitividade da indústria europeia neste setor. A presente proposta visa resolver a fragmentação existente e os obstáculos conexos ao mercado interno mediante a disponibilização de um quadro comum para a criação de sistemas de certificação da cibersegurança válidos em toda a UE. Subsidiariedade (no caso de competência não exclusiva) O princípio da subsidiariedade requer a avaliação da necessidade e do valor acrescentado da ação da UE. O respeito da subsidiariedade neste domínio fora já reconhecido aquando da adoção do Regulamento ENISA em vigor. A cibersegurança é uma questão de interesse comum da União. As interdependências entre redes e sistemas de informação são de tal ordem que os intervenientes individuais (públicos e privados, incluindo os cidadãos) muitas vezes não podem enfrentar ameaças, gerir os riscos e os eventuais impactos de ciberincidentes isoladamente. Por um lado, as interdependências entre Estados-Membros, nomeadamente no tocante ao funcionamento de infraestruturas críticas (energia, transportes, água, apenas para referir algumas), tornam a intervenção pública a nível europeu não só benéfica, mas também necessária. Por outro lado, a intervenção da UE pode criar um efeito indireto positivo devido à partilha de boas práticas entre Estados-Membros, que poderá conduzir ao reforço da cibersegurança na União. Resumindo, no contexto atual e ponderando os futuros cenários, afigura-se que, para aumentar a ciber-resiliência coletiva da União, a ação individual dos Estados-Membros da UE e uma abordagem fragmentada à cibersegurança não serão suficientes. A ação da UE é também considerada necessária para resolver a fragmentação dos atuais sistemas de certificação da cibersegurança. Permitirá que os fabricantes beneficiem plenamente de um mercado interno, com economias consideráveis no atinente a custos de ensaios e de reformulação. Embora o acordo de reconhecimento mútuo (ARM) em vigor do Grupo de Altos Funcionários para a Segurança dos Sistemas de Informação (SOG-IS) tenha, por exemplo, alcançado resultados significativos a este respeito, também revelou limitações importantes, que constituem um obstáculo à sua aptidão para proporcionar soluções sustentáveis a longo prazo na realização do potencial pleno do mercado interno. O valor acrescentado da ação a nível da UE, sobretudo no reforço da cooperação entre Estados-Membros, mas também entre comunidades de segurança das redes e da informação, foi reconhecido pelas Conclusões do Conselho de 2016 e ressalta também claramente da avaliação da ENISA.

•Proporcionalidade As medidas propostas não excedem o necessário para atingir os seus objetivos políticos. Ademais, o âmbito da intervenção da UE não impede outras ações nacionais no domínio das questões de segurança nacional. A ação da UE está, por conseguinte, justificada com base na subsidiariedade e proporcionalidade. •Escolha do instrumento A presente proposta revê o Regulamento (UE) n.º 526/2013, que define o mandato e as atribuições atuais da ENISA. Além disso, tendo em conta o papel importante da ENISA na criação e gestão de um quadro de certificação da cibersegurança a nível da UE, o novo mandato da ENISA e o referido Quadro são mais adequadamente criados ao abrigo de um instrumento jurídico único, utilizando-se para tal um regulamento. 3.RESULTADOS DAS AVALIAÇÕES EX POST, DA CONSULTA DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO Avaliações ex post/balanços de qualidade da legislação em vigor A Comissão, de acordo com o roteiro de avaliação, avaliou a relevância, o impacto, a eficácia, a eficiência, a coerência e o valor acrescentado da Agência relativamente ao seu desempenho, governação, estrutura organizacional interna e métodos de trabalho durante o período 2013-2016. As principais conclusões podem ser sintetizadas como se segue (para mais pormenores consultar o documento de trabalho dos serviços da Comissão sobre o tema, que acompanha a avaliação de impacto). ·Pertinência: Num contexto de desenvolvimentos tecnológicos e de evolução das ameaças e tendo em conta a necessidade considerável de maior cibersegurança na UE, os objetivos da ENISA demonstraram ser pertinentes. De facto, os Estados-Membros e os organismos da UE apoiam-se nos seus conhecimentos especializados substanciais em questões de cibersegurança. Além disso, afigura-se necessário criar nos Estados-Membros capacidades para melhor compreender e responder às ameaças, e as partes interessadas têm de cooperar em diferentes domínios temáticos e com diferentes instituições. A cibersegurança continua a ser uma prioridade política fundamental da UE, à qual se espera que a ENISA responda; contudo, a conceção da ENISA enquanto agência da UE com um mandato fixo: i) não permite um planeamento a longo prazo e o apoio sustentável aos Estados-Membros e instituições da UE, ii) poderá conduzir a um vazio legal, uma vez que as disposições da Diretiva SRI que conferem atribuições à ENISA são de caráter permanente, iii) carece de coerência com uma visão que associa a ENISA a um ecossistema de cibersegurança reforçado da UE. ·Eficácia: Em termos gerais, a ENISA cumpriu os objetivos e executou as suas tarefas. Deu uma contribuição para uma maior segurança das redes e da informação na Europa por intermédio das suas principais atividades (reforço de capacidades, disponibilização de conhecimentos especializados, criação de comunidades e apoio às políticas). No entanto, revelou potencial para melhorias relativamente a cada uma delas. A avaliação concluiu que a ENISA criou eficazmente relações sólidas e fiáveis com algumas das partes interessadas, nomeadamente com os Estados-Membros e a comunidade de CSIRT. As intervenções no domínio do reforço de capacidades foram consideradas eficazes, sobretudo para os Estados-Membros com menos recursos. A estimulação de uma ampla cooperação foi um dos destaques, com as partes interessadas a concordarem amplamente com o papel positivo que a ENISA desempenha em juntar as pessoas. Contudo, a ENISA teve dificuldades em criar um grande impacto no vasto domínio da segurança das redes e da informação. Tal deveu-se igualmente ao facto de dispor de recursos humanos e financeiros francamente limitados para cumprir um mandato tão abrangente. A avaliação concluiu ainda que a ENISA cumpriu parcialmente o objetivo de disponibilizar conhecimentos especializados, devido aos problemas em recrutar peritos (ver também a secção relativa à eficiência infra). ·Eficiência: Apesar do reduzido orçamento – dos mais baixos quando comparado com outras agências da UE – a Agência conseguiu contribuir para os objetivos visados, demonstrando, em termos gerais, eficiência na utilização dos seus recursos. A avaliação concluiu que, de um modo geral, os processos foram eficientes e que a delineação clara das responsabilidades no seio da organização conduziu a uma boa execução do trabalho. Um dos principais desafios à eficiência da Agência prende-se com as dificuldades da ENISA para recrutar e conservar peritos altamente qualificados. As conclusões mostram que tal pode ser explicado por uma combinação de fatores, tais como as dificuldades gerais do setor público para competir com o setor privado na contratação de peritos altamente especializados, o tipo de contratos (termo certo) que a Agência podia geralmente oferecer e o nível relativamente baixo de atratividade relacionado com a localização da ENISA, associado, nomeadamente, à dificuldade de os cônjuges encontrarem emprego. A localização dividida entre Atenas e Heráclion exigiu esforços adicionais de coordenação e gerou custos suplementares, mas a transferência, em 2013, do departamento de operações principais aumentou a eficiência operacional da Agência. ·Coerência: As atividades da ENISA foram, em termos gerais, coerentes com as políticas e atividades das suas partes interessadas, a nível nacional e da UE, mas é necessária uma abordagem mais coordenada à cibersegurança a nível da UE. O potencial para cooperação entre a ENISA e outros organismos da UE não foi plenamente utilizado. A evolução do cenário jurídico e político da UE torna agora o mandato em vigor menos coerente. ·Valor acrescentado da UE: O valor acrescentado da ENISA assenta primeiramente na capacidade da Agência de melhorar a cooperação principalmente entre Estados-Membros, mas também com comunidades de segurança das redes e da informação conexas. Não existe outro interveniente a nível da UE que apoie a cooperação entre a mesma variedade de partes interessadas em matéria de segurança das redes e da informação. O valor acrescentado fornecido pela Agência variou de acordo com as necessidades e os recursos divergentes das suas partes interessadas (por exemplo, Estados-Membros grandes face a pequenos; Estados-Membros face a indústria) e a necessidade de a Agência atribuir prioridade às suas atividades de acordo com o programa de trabalho. A avaliação concluiu que a eventual suspensão da ENISA seria uma oportunidade perdida para todos os Estados-Membros. Não será possível garantir o mesmo nível de criação da comunidade e de cooperação entre Estados-Membros no domínio da cibersegurança. Na ausência de uma agência da UE mais centralizada, o cenário seria mais fragmentado, com a cooperação bilateral ou regional a intervir para preencher um vazio deixado pela ENISA. No que diz especificamente respeito aos resultados passados e ao futuro da ENISA, as principais tendências que surgem da consulta de 2017 são as seguintes: ·O desempenho global da ENISA durante o período de 2013 a 2016 foi avaliado positivamente pela maior parte dos inquiridos (74 %). Uma maioria de inquiridos considerou ainda que a ENISA está a alcançar os seus diferentes objetivos (pelo menos 63 % para cada um dos objetivos). Os serviços e produtos da ENISA são utilizados regularmente (mensalmente ou com maior frequência) por quase metade dos inquiridos (46 %) e são apreciados por resultarem de um organismo a nível da UE (83 %) e pela sua qualidade (62 %). ·Os inquiridos identificaram algumas lacunas e desafios para o futuro da cibersegurança na UE. Os cinco principais (numa lista de 16) foram: cooperação entre Estados-Membros; capacidade para prevenir, detetar e resolver ciberataques de grande escala; cooperação entre Estados-Membros em matérias relacionadas com a cibersegurança; cooperação e partilha de informações entre diferentes partes interessadas, nomeadamente cooperação público-privada; proteção de infraestruturas críticas contra ciberataques; ·Uma grande maioria (88 %) dos inquiridos considerou que os instrumentos e mecanismos em vigor disponíveis a nível da UE são insuficientes ou apenas parcialmente adequados para responder a esses desafios. Uma grande maioria dos inquiridos (98 %) indicou que um organismo da UE deveria responder a essas necessidades e, entre eles, a ENISA foi considerada a organização certa para o fazer por 99 % dos inquiridos. Consultas das partes interessadas ·A Comissão organizou uma consulta pública para a revisão da ENISA entre 12 de abril e 5 de julho de 2016, tendo recebido 421 respostas. Segundo os resultados, 67,5 % dos inquiridos manifestaram a opinião de que a ENISA poderia desempenhar um papel na instituição de um quadro harmonizado para a certificação da segurança de produtos e serviços de TIC.

Os resultados da consulta de 2016 sobre a PPPc para a cibersegurança demonstram, na secção referente à certificação, que: ·50,4 % (121 de 240) dos inquiridos não sabem se os sistemas nacionais de certificação são mutuamente reconhecidos nos Estados-Membros da UE. 25,8 % (62 de 240) responderam «Não», ao passo que 23,8 % (57 de 240) responderam «Sim». ·37,9 % dos inquiridos (91 de 240) pensam que os sistemas de certificação existentes não apoiam as necessidades da indústria europeia. Por outro lado, 17,5 % (42 de 240), sobretudo empresas globais que operam no mercado europeu, manifestaram uma opinião oposta. ·49,6 % (119 de 240) dos inquiridos afirmam não ser fácil demonstrar equivalência entre normas, sistemas de certificação e rótulos. 37,9 % (91 de 240) responderam «Não sabe», ao passo que 12,5 % (30 de 240) responderam «Sim». Recolha e utilização de conhecimentos especializados A Comissão baseou-se no seguinte aconselhamento especializado externo: ·Estudo sobre a avaliação da ENISA (Ramboll/Carsa 2017; SMART n.º 2016/0077), ·Estudo sobre a certificação de segurança e a rotulagem de TIC – Recolha de dados e avaliação de impacto (PriceWaterhouseCoopers 2017; SMART n.º 2016/0029). Avaliação de impacto ·O relatório de avaliação de impacto sobre esta iniciativa identificou os seguintes problemas a abordar: ·Fragmentação de políticas e abordagens às questões da cibersegurança nos Estados-Membros; ·Dispersão de recursos e fragmentação de abordagens às questões da cibersegurança nas instituições, agências e organismos da UE; e ·Conhecimento e informação insuficientes dos cidadãos e empresas, associados ao surgimento crescente de vários sistemas de certificação nacionais e setoriais. O relatório avaliou as seguintes opções possíveis em relação ao mandato da ENISA: ·manutenção do statu quo, o que significaria um mandato alargado que continua limitado no tempo (opção cenário de base); ·expiração do mandato em vigor da ENISA sem renovação e extinção da ENISA (inexistência de intervenção política); ·uma «ENISA reformada»; e ·uma agência da UE para a cibersegurança com capacidades operacionais plenas.

O relatório avaliou as seguintes opções possíveis em relação à certificação da cibersegurança: ·inexistência de intervenção política (opção cenário de base); ·medidas não legislativas (atos não vinculativos); ·um ato legislativo da UE para criar um sistema obrigatório para todos os Estados-Membros com base no sistema SOG-IS; e ·um quadro de certificação da cibersegurança das TIC a nível da UE. A análise conduziu à conclusão de que uma «ENISA reformada» em combinação com um quadro de certificação da cibersegurança das TIC a nível da UE é a opção preferida. A opção preferida foi considerada a mais eficaz para que a UE consiga alcançar os objetivos identificados: aumentar as capacidades, o grau de preparação, a cooperação, a sensibilização, e a transparência em matéria de cibersegurança e evitar a fragmentação do mercado. Foi igualmente considerada a mais coerente com as prioridades políticas da Estratégia da UE para Cibersegurança e as políticas conexas (por exemplo, a Diretiva SRI), e a Estratégia para o Mercado Único Digital. Além disso, o processo de consulta revelou que a opção preferida beneficia do apoio da maioria das partes interessadas. A análise efetuada no âmbito da avaliação de impacto demonstrou ainda que a opção preferida alcançaria os objetivos mediante uma utilização razoável de recursos. O Comité de Controlo da Regulamentação da Comissão emitiu um primeiro parecer negativo em 24 de julho, e, após nova apresentação, um parecer positivo em 25 de agosto de 2017. O relatório de avaliação de impacto alterado inclui elementos comprovativos suplementares, as conclusões finais da avaliação da ENISA e explicações adicionais sobre as opções políticas e o seu impacto. O anexo 1 do relatório de avaliação de impacto final resume como foram tidos em consideração os comentários do Comité no segundo parecer. Em especial, o relatório foi atualizado para apresentar mais pormenorizadamente o contexto da cibersegurança na UE, incluindo as medidas que estão incluídos na comunicação conjunta «Resiliência, dissuasão e defesa: Reforçar a cibersegurança na UE», [JOIN(2017) 450] e que têm especial relevância para a ENISA: o plano de ação da UE para a cibersegurança e o Centro Europeu de Investigação e de Competências em matéria de Cibersegurança, em relação aos quais a Agência ligará os seus conselhos sobre necessidades de investigação da UE. O relatório explica como a reforma da Agência, incluindo as novas atribuições, a melhores condições de emprego e a cooperação estrutural com organismos da UE no terreno, melhorará a sua atratividade enquanto empregador e ajudará a resolver problemas relacionados com o recrutamento de peritos. O anexo 6 do relatório apresenta igualmente uma revisão da estimativa dos custos associados às opções políticas para a ENISA. No que diz respeito ao tema da certificação, o relatório foi revisto a fim de fornecer uma explicação mais pormenorizada, incluindo a apresentação gráfica, da opção preferida, bem como de fornecer estimativas dos custos para os Estados-Membros e a Comissão associados ao novo quadro de certificação. A fundamentação para a escolha da ENISA como ator fundamental nesse quadro foi explicada mais pormenorizadamente, com base nos seus conhecimentos especializados neste domínio e por se tratar da única agência no domínio da cibersegurança a nível da UE. Por último, as secções sobre certificação foram revistas no sentido de clarificar aspetos relacionados com a diferença para o atual sistema SOG-IS e os benefícios associados às diferentes opções políticas e de explicar por que razão o tipo de produtos e serviços de TIC abrangidos por um sistema europeu de certificação será definido no próprio sistema aprovado. Adequação e simplificação da legislação Não aplicável Impacto sobre os direitos fundamentais A cibersegurança tem um papel essencial na proteção da privacidade e dos dados pessoais das pessoas em conformidade com os artigos 7.º e 8.º da Carta dos Direitos Fundamentais da UE. Perante a ocorrência de ciberincidentes, a privacidade e a proteção dos nossos dados pessoais ficam claramente expostas. Por conseguinte, a cibersegurança é uma condição necessária para o respeito da privacidade e confidencialidade dos nossos dados pessoais. Nesta perspetiva, ao pretender reforçar a cibersegurança na Europa, a proposta fornece um complemento importante à legislação existente de proteção do direito fundamental à privacidade e dos dados pessoais. A cibersegurança é também essencial para proteger a confidencialidade das nossas comunicações eletrónicas e, portanto, para o exercício da liberdade de expressão e informação e outros direitos conexos, tais como a liberdade de pensamento, consciência e religião. 4.INCIDÊNCIA ORÇAMENTAL Consultar ficha financeira 5.OUTROS ELEMENTOS •Planos de execução e mecanismos de acompanhamento, de avaliação e de informação A Comissão acompanhará a aplicação do regulamento e apresentará um relatório sobre a sua avaliação ao Parlamento Europeu, ao Conselho e ao Comité Económico e Social Europeu de cinco em cinco anos. Estes relatórios serão públicos e descreverão pormenorizadamente a aplicação efetiva e a execução do presente regulamento.

•Explicação pormenorizada das disposições específicas da proposta O título I do regulamento contém as disposições gerais: o objeto e âmbito de aplicação (artigo 1.º) e as definições (artigo 2.º), incluindo referências a definições relevantes de outros instrumentos da UE, tais como a Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União (Diretiva SRI), o Regulamento (CE) n.º 765/2008 do Parlamento Europeu e do Conselho, que estabelece os requisitos de acreditação e fiscalização do mercado relativos à comercialização de produtos, e que revoga o Regulamento (CEE) n.º 339/93, e o Regulamento (UE) n.º 1025/2012 do Parlamento Europeu e do Conselho, relativo à normalização europeia. O título II do regulamento contém as principais disposições relacionadas com a ENISA, a Agência da UE para a Cibersegurança. O capítulo I deste título define o mandato (artigo 3.º), os objetivos (artigo 4.º) e as atribuições da Agência (artigos 5.º a 11.º). O capítulo II descreve a organização da ENISA e inclui as principais disposições sobre a sua estrutura (artigo 12.º). Aborda a composição, as regras de voto e as funções do conselho de administração (secção 1, artigos 13.º a 17.º), da comissão executiva (secção 2, artigo 18.º) e do diretor executivo (secção 3, artigo 19.º). Também inclui disposições sobre a composição e papel do grupo permanente de partes interessadas (secção 4, artigo 20.º). Por último, a secção 5 deste capítulo especifica as regras operacionais aplicáveis à Agência, nomeadamente em relação à programação das suas operações, aos conflitos de interesses, à transparência, à confidencialidade e ao acesso a documentos (artigos 21.º a 25.º). O capítulo III diz respeito à elaboração e à estrutura do orçamento da Agência (artigos 26.º e 27.º), bem como às regras que orientam a sua execução (artigos 28.º e 29.º). Também inclui disposições que facilitam o combate à fraude, à corrupção e a outras atividades ilícitas (artigo 30.º). O capítulo IV diz respeito ao pessoal da Agência. Inclui disposições gerais sobre o Estatuto dos Funcionários e o Regime Aplicável aos Outros Agentes, bem como regras que orientam os privilégios e imunidades (artigos 31.º e 32.º). Especifica ainda as regras de contratação e nomeação do diretor executivo da Agência (artigo 33.º). Por último, inclui disposições que orientam o recurso a peritos nacionais destacados ou a outros membros do pessoal que não façam parte do quadro de efetivos da Agência (artigo 34.º). Finalmente, o capítulo V contém as disposições gerais relacionadas com a Agência. Descreve o estatuto jurídico (artigo 35.º) e inclui disposições que regulamentam as questões da responsabilidade, do regime linguístico, da proteção de dados pessoais (artigos 36.º a 38.º), bem como as regras de segurança em matéria de proteção de informações classificadas e de informações sensíveis não classificadas (artigo 40.º). Descreve as regras que orientam a cooperação da Agência com países terceiros e organizações internacionais (artigo 39.º). Por último, contém igualmente disposições relativas à sede e condições de funcionamento da Agência, bem como ao controlo administrativo por parte do Provedor de Justiça Europeu (artigos 41.º e 42.º). O título III do regulamento institui o quadro europeu de certificação da cibersegurança (o «Quadro») de produtos e serviços de TIC como lex generalis (artigo 1.º). Define a finalidade geral dos sistemas europeus de certificação da cibersegurança, a saber, garantir que os produtos e serviços de TIC cumprem os requisitos de cibersegurança especificados no atinente à sua capacidade de resistir, com um determinado nível de garantia, a ações que visem comprometer a disponibilidade, autenticidade, integridade ou confidencialidade de dados armazenados, transmitidos ou tratados, ou as funções ou serviços conexos (artigo 43.º). Além disso, elenca os objetivos de segurança aos quais os sistemas europeus de certificação da cibersegurança devem visar dar resposta (artigo 45.º), tais como, entre outros, a capacidade de proteger os dados contra acesso ou divulgação, destruição ou alteração acidental ou não autorizada, e o conteúdo (ou seja, os elementos) dos sistemas europeus de certificação da cibersegurança, tal como a especificação pormenorizada do seu âmbito de aplicação, os objetivos de segurança, os critérios de avaliação, etc. (artigo 47.º). O título III também estabelece os principais efeitos jurídicos dos sistemas europeus de certificação da cibersegurança, nomeadamente: i) a obrigação de aplicar o sistema a nível nacional e o caráter voluntário da certificação, ii) o efeito de invalidação dos sistemas europeus de certificação da cibersegurança sobre os sistemas nacionais relativos aos mesmos produtos ou serviços (artigos 48.º e 49.º). Este título estabelece ainda o procedimento para a adoção de sistemas europeus de certificação da cibersegurança e as respetivas funções da Comissão, da ENISA e do grupo europeu para a certificação da cibersegurança («Grupo») (artigo 44.º). Por último, este título estabelece as disposições que regem os organismos de avaliação da conformidade, nomeadamente os seus requisitos, poderes e atribuições, as autoridades nacionais supervisoras da certificação, bem como a aplicação de sanções. O Grupo é também instituído neste título como um órgão essencial composto por representantes das autoridades nacionais supervisoras da certificação cuja principal função é trabalhar com a ENISA na preparação de sistemas europeus de certificação da cibersegurança e prestar aconselhamento à Comissão sobre questões genéricas ou específicas relativas à política de certificação da cibersegurança. O título IV do regulamento inclui as disposições finais que descrevem o exercício da delegação, os requisitos de avaliação, a revogação e sucessão, bem como a entrada em vigor.



2017/0225 (COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo à ENISA, a «Agência da União Europeia para a Cibersegurança», e à certificação da cibersegurança das tecnologias da informação e comunicação, e que revoga o Regulamento (UE) n.º 526/2013 («Regulamento Cibersegurança») (Texto relevante para efeitos do EEE) O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.º, Tendo em conta a proposta da Comissão Europeia, Após transmissão do projeto de ato legislativo aos parlamentos nacionais, Tendo em conta o parecer do Comité Económico e Social Europeu, Tendo em conta o parecer do Comité das Regiões, Deliberando de acordo com o processo legislativo ordinário, Considerando o seguinte: (1)As redes e sistemas de informação e as redes e serviços de telecomunicações desempenham um papel crucial para a sociedade e tornaram-se a espinha dorsal do crescimento económico. As tecnologias da informação e comunicação estão na base de sistemas complexos que apoiam as atividades sociais, mantêm as nossas economias a funcionar em setores determinantes como a saúde, a energia, as finanças e os transportes e apoiam, em especial, o funcionamento do mercado interno. (2)A utilização de redes e sistemas de informação por parte dos cidadãos, das empresas e dos governos da União é agora generalizada. A digitalização e a conectividade estão a tornar-se características centrais num número cada vez maior de produtos e serviços e, com o surgimento da Internet das coisas (IdC), espera-se que milhões, se não mesmo milhares de milhões, de dispositivos digitais conectados sejam implantados em toda a UE durante a próxima década. Embora cada vez mais dispositivos estejam conectados à Internet, a segurança e a resiliência não são suficientemente integradas desde a conceção, conduzindo a uma insuficiência de cibersegurança. Neste contexto, a utilização reduzida da certificação leva a que haja informação insuficiente para os utilizadores empresariais e individuais sobre as características de cibersegurança de produtos e serviços de TIC, prejudicando a confiança nas soluções digitais. (3)A digitalização e conectividade crescentes conduzem a maiores riscos de cibersegurança, tornando, assim, a sociedade em geral mais vulnerável a ciberameaças e agravando os perigos que as pessoas enfrentam, nomeadamente as pessoas vulneráveis como as crianças. A fim de mitigar o risco para a sociedade, têm de ser adotadas todas as ações necessárias para melhorar a cibersegurança na UE de modo a proteger melhor das ciberameaças as redes e sistemas de informação, as redes de telecomunicações, os produtos digitais, os serviços e dispositivos utilizados pelos cidadãos, os governos e as empresas — desde PME a operadores de infraestruturas críticas. (4)Os ciberataques estão a aumentar e uma economia e sociedade conectadas, mais vulneráveis a ciberameaças e ciberataques, exigem defesas mais fortes. No entanto, apesar de os ciberataques terem amiúde uma natureza transfronteiriça, as respostas políticas por parte das autoridades responsáveis pela cibersegurança e as competências de aplicação da lei são predominantemente nacionais. Os ciberincidentes em grande escala são suscetíveis de perturbar a prestação de serviços essenciais na UE. Esta realidade exige uma resposta e uma gestão de crises a nível da UE, criando políticas específicas e desenvolvendo instrumentos mais abrangentes que permitam mostrar a solidariedade europeia e prestar assistência mútua. Além disso, é importante para os decisores políticos, para as empresas e para os utilizadores que se proceda a uma avaliação regular da situação da cibersegurança e da resiliência na União, com base em dados fiáveis da União, bem como a uma previsão sistemática da evolução, dos desafios e das ameaças futuras, tanto a nível da União como a nível global. (5)Atendendo aos desafios de cibersegurança cada vez maiores que a União enfrenta, afigura-se necessário um conjunto abrangente de medidas que tenha por base ações anteriores da União e que promova objetivos que se reforcem mutuamente. Os mesmos incluem a necessidade de reforçar as capacidades e o grau de preparação dos Estados-Membros e das empresas, bem como de melhorar a cooperação e coordenação entre Estados-Membros e instituições, agências e organismos da UE. Além disso, atendendo à natureza sem fronteiras das ciberameaças, é necessário aumentar as capacidades a nível da União suscetíveis de complementar a ação dos Estados-Membros, designadamente no caso de ciberincidentes em grande escala e cibercrises transfronteiriças. São também necessários esforços adicionais para aumentar a sensibilização dos cidadãos e das empresas para as questões de cibersegurança. Além disso, a confiança no mercado único digital deve continuar a ser melhorada mediante a disponibilização de informação transparente sobre o nível de segurança de produtos e serviços de TIC. Tal pode ser facilitado por uma certificação a nível da UE que preveja requisitos de cibersegurança e critérios de avaliação comuns nos mercados e setores nacionais. (6)Em 2004, o Parlamento Europeu e o Conselho adotaram o Regulamento (CE) n.º 460/2004, que cria a ENISA, a fim de contribuir para a consecução dos objetivos de garantir um elevado nível de segurança das redes e da informação na União e de desenvolver uma cultura de segurança das redes e da informação em benefício dos cidadãos, dos consumidores, das empresas e das administrações públicas. Em 2008, o Parlamento Europeu e o Conselho adotaram o Regulamento (CE) n.º 1007/2008, que prolonga o mandato da Agência até março de 2012. O Regulamento (CE) n.º 580/2011 prorrogou o mandato da Agência até 13 de setembro de 2013. Em 2013, o Parlamento Europeu e o Conselho adotaram o Regulamento (UE) n.º 526/2013, relativo à Agência da União Europeia para a Segurança das Redes e da Informação (ENISA) e que revoga o Regulamento (CE) n.º 460/2004, o qual prorrogou o mandato da Agência até junho de 2020. (7)A União já deu passos importantes para garantir a cibersegurança e reforçar a confiança nas tecnologias digitais. Em 2013, a Estratégia da UE para Cibersegurança foi adotada para orientar a resposta política da União às ameaças e riscos de cibersegurança. No seu esforço de proteger melhor os europeus em linha, a União adotou em 2016 o primeiro ato legislativo no domínio da cibersegurança, a Diretiva (UE) 2016/1148, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União («Diretiva SRI»). A Diretiva SRI instituiu requisitos relativos às capacidades nacionais no domínio da cibersegurança, criou os primeiros mecanismos para reforçar a cooperação estratégica e operacional entre Estados-Membros e introduziu obrigações relativas às medidas de segurança e notificações de incidentes nos setores que são vitais para a economia e a sociedade, tais como a energia, os transportes, a água, a banca, as infraestruturas do mercado financeiro, os cuidados de saúde, as infraestruturas digitais, bem como os prestadores de serviços digitais essenciais (motores de pesquisa, serviços de computação em nuvem e mercados em linha). Foi atribuído à ENISA um papel importante de apoio à execução desta diretiva. Além disso, a luta eficaz contra a cibercriminalidade constitui uma prioridade importante da Agenda Europeia para a Segurança, contribuindo para o objetivo geral de alcançar um elevado nível de cibersegurança. (8)É reconhecido que, desde a adoção da Estratégia da UE para Cibersegurança, de 2013, e da última revisão do mandato da Agência, o contexto político geral se alterou significativamente, inclusive em relação a um ambiente mundial mais incerto e menos seguro. Neste contexto e no âmbito do quadro da nova política de cibersegurança da União, é necessário rever o mandato da ENISA para definir o seu papel no ecossistema alterado de cibersegurança e assegurar que contribui eficazmente para a resposta da União aos desafios de cibersegurança decorrentes deste cenário de ameaça radicalmente transformado, para o qual, conforme reconhecido pela avaliação da Agência, o mandato atual não é suficiente. (9)A Agência criada pelo presente regulamento deverá suceder à ENISA conforme criada pelo Regulamento (UE) n.º 526/2013. A Agência deve exercer as atribuições que lhe são conferidas pelo presente regulamento e pelos atos jurídicos da União no domínio da cibersegurança mediante, entre outros aspetos, a disponibilização de conhecimentos especializados e de aconselhamento e do funcionamento como um centro de informação e conhecimentos da União. Deve promover o intercâmbio de boas práticas entre Estados-Membros e partes interessadas privadas, apresentando sugestões políticas à Comissão Europeia e aos Estados-Membros, atuando como um ponto de referência para as iniciativas políticas setoriais da União no tocante a questões de cibersegurança, promovendo a cooperação operacional entre os Estados-Membros e entre os Estados-Membros e as instituições, as agências e os organismos da UE. (10)No quadro da Decisão 2004/97/CE, Euratom, adotada na reunião do Conselho Europeu de 13 de dezembro de 2003, os representantes dos Estados-Membros decidiram que a ENISA teria a sua sede numa cidade da Grécia a determinar pelo Governo grego. O Estado-Membro de acolhimento da Agência deve assegurar as melhores condições possíveis para o funcionamento normal e eficiente da Agência. Para poder exercer correta e eficientemente as suas atribuições, recrutar e fixar o seu pessoal e melhorar a eficiência das suas atividades de rede, é indispensável que a Agência esteja sediada num local adequado, que ofereça, nomeadamente, ligações de transporte e condições adequadas para os cônjuges e os filhos dos membros do pessoal que os acompanhem. As disposições necessárias devem ser estabelecidas num acordo entre a Agência e o Estado-Membro de acolhimento, celebrado após aprovação do conselho de administração da Agência. (11)Atendendo aos desafios crescentes de cibersegurança que a União está a enfrentar, os recursos financeiros e humanos atribuídos à Agência devem ser aumentados para refletir o reforço do seu papel e atribuições e a sua posição crucial no ecossistema de organizações que defendem o ecossistema digital europeu. (12)A Agência deve desenvolver e manter um elevado nível de conhecimentos especializados e servir de ponto de referência, instaurando a confiança no mercado único graças à sua independência, à qualidade do aconselhamento prestado e das informações que divulga, à transparência dos seus procedimentos e dos seus métodos de funcionamento e à sua diligência no exercício das suas atribuições. A Agência deve contribuir pró-ativamente para os esforços nacionais e da União, exercendo simultaneamente as suas atribuições em plena cooperação com as instituições, organismos, órgãos e agências da União e com os Estados-Membros. Além disso, a Agência deve tirar proveito da cooperação com o setor privado e outras partes interessadas relevantes e dos seus contributos. Um conjunto de atribuições deve determinar como a Agência deve atingir os seus objetivos, permitindo-lhe ao mesmo tempo uma certa flexibilidade de funcionamento. (13)A Agência deve prestar assistência à Comissão por meio de aconselhamento, de pareceres e de análises sobre todas as matérias da competência da União relacionadas com a elaboração, atualização e revisão de políticas e de legislação no domínio da cibersegurança, incluindo a proteção das infraestruturas críticas e a ciber-resiliência. A Agência deve atuar como um ponto de referência de aconselhamento e conhecimentos especializados para iniciativas políticas e legislativas em setores específicos da União que envolvam questões relacionadas com a cibersegurança.

(14)A tarefa subjacente da Agência é promover a aplicação consistente do quadro jurídico relevante, nomeadamente a execução eficaz da Diretiva SRI, que é essencial para aumentar a ciber-resiliência. Atendendo à rápida evolução do cenário de ameaça à cibersegurança, é manifesto que os Estados-Membros devem ser apoiados por uma abordagem mais abrangente e transversal às políticas para reforçar a ciber-resiliência. (15)A Agência deve prestar assistência aos Estados-Membros e às instituições, organismos, órgãos e agências da União nos seus esforços para criar e reforçar as capacidades e o grau de preparação para prevenir, detetar e responder a problemas e incidentes de cibersegurança e em relação à segurança das redes e sistemas de informação. Concretamente, a Agência deve apoiar o desenvolvimento e reforço de CSIRT nacionais, com vista à consecução de um elevado nível comum da sua maturidade na União. A Agência deve igualmente prestar assistência no desenvolvimento e na atualização de estratégias da União e dos Estados-Membros em matéria de segurança das redes e sistemas de informação, nomeadamente de cibersegurança, promover a sua divulgação e acompanhar o progresso da sua execução. A Agência deve também disponibilizar formações e material de formação a organismos públicos e, quando pertinente, «formar os formadores», com vista a assistir os Estados-Membros no desenvolvimento das suas próprias capacidades de formação. (16) A Agência deve assistir o grupo de cooperação criado pela Diretiva SRI na execução das suas atribuições, em especial prestando conhecimentos especializados e aconselhamento e facilitando o intercâmbio de boas práticas, nomeadamente no que se refere à identificação de operadores de serviços essenciais pelos Estados-Membros, incluindo quanto a dependências transfronteiriças, referentes a riscos e incidentes. (17)Com vista a estimular a cooperação entre o setor público e privado e dentro do setor privado, nomeadamente para apoiar a proteção de infraestruturas críticas, a Agência deve facilitar a criação de centros de partilha e análise de informações (ISAC), divulgando boas práticas e fornecendo orientação sobre instrumentos e procedimentos disponíveis, bem como prestando orientação sobre a abordagem a questões regulamentares relacionadas com a partilha de informações. (18)A Agência deve agregar e analisar relatórios nacionais das CSIRT e da CERT-UE, criando regras, linguagem e terminologia comuns para o intercâmbio de informações. A Agência deve também envolver o setor privado, dentro do quadro da Diretiva SRI, que estabelece os fundamentos para o intercâmbio voluntário de informações técnicas a nível operacional com a criação da rede de CSIRT. (19)A Agência deve contribuir para uma resposta a nível da UE, em caso de incidentes de cibersegurança transfronteiriços em grande escala e crises de cibersegurança. Esta função deve incluir a recolha de informações relevantes e a atuação como um facilitador entre a rede de CSIRT e a comunidade técnica, bem como os decisores políticos responsáveis pela gestão de crises. Além disso, a Agência poderá apoiar o tratamento de incidentes de uma perspetiva técnica, facilitando o intercâmbio pertinente de soluções técnicas entre Estados-Membros e disponibilizando contributos para comunicações públicas. A Agência deve apoiar o processo testando modalidades dessa cooperação por intermédio de exercícios anuais de cibersegurança. (20)Para desempenhar as suas tarefas operacionais, a Agência deve recorrer aos conhecimentos especializados da CERT-UE mediante uma cooperação estruturada, em estreita proximidade física. A cooperação estruturada facilitará as sinergias necessárias e consolidará os conhecimentos especializados da ENISA. Sempre que pertinente, devem ser estabelecidos acordos específicos entre as duas organizações para definir a execução prática dessa cooperação. (21)Em consonância com as suas tarefas operacionais, a Agência deve ser capaz de apoiar os Estados-Membros, seja prestando aconselhamento ou assistência técnica, ou assegurando a análise de ameaças e incidentes. A recomendação da Comissão sobre a resposta coordenada a incidentes e crises de cibersegurança em grande escala recomenda que os Estados-Membros cooperem de boa-fé e partilhem entre si e com a ENISA informações sobre esses incidentes e crises sem atrasos injustificados. Essas informações deverão ajudar a ENISA no desempenho das suas tarefas operacionais. (22)Como parte da cooperação regular a nível técnico para apoiar o conhecimento da situação na União, a Agência deve elaborar regularmente o relatório sobre a situação técnica da cibersegurança na UE quanto a incidentes e ameaças, baseando-se em informações publicamente disponíveis, nas suas próprias análises e relatórios partilhados com ela pelas CSIRT dos Estados-Membros (a título voluntário) ou pelos pontos únicos de contacto da Diretiva SRI, pelo Centro Europeu da Cibercriminalidade (EC3) da Europol, pela CERT-UE e, sempre que pertinente, pelo Centro de Situação e de Informações da UE (INTCEN) do Serviço Europeu para a Ação Externa (SEAE). O relatório deve ser disponibilizado às instâncias pertinentes do Conselho, da Comissão, do Alto Representante da União para os Negócios Estrangeiros e a Política de Segurança e da rede de CSIRT. (23)Os inquéritos técnicos ex post a incidentes com impacto significativo em mais do que um Estado-Membro, apoiados ou realizados pela Agência mediante pedido ou com o acordo dos Estados-Membros em causa, devem concentrar-se na prevenção de futuros incidentes e serem levados a cabo sem prejuízo de qualquer processo judicial ou administrativo para imputar culpas ou responsabilidades. (24)Os Estados-Membros em causa devem fornecer as informações e assistência necessárias à Agência para efeitos do inquérito, sem prejuízo do artigo 346.º do Tratado sobre o Funcionamento da União Europeia ou de outros motivos de política pública. (25)Os Estados-Membros poderão convidar as empresas afetadas pelo incidente a cooperarem mediante o fornecimento de informações e assistência necessárias à Agência, sem prejuízo do seu direito de protegerem as informações comercialmente sensíveis. (26)Para compreender melhor os desafios no domínio da cibersegurança, e com vista a prestar aconselhamento estratégico de longo prazo aos Estados-Membros e às instituições da União, a Agência deve analisar os riscos atuais e emergentes. Para o efeito, a Agência deve, em cooperação com os Estados-Membros e, quando pertinente, com institutos de estatística e outros organismos, recolher informações pertinentes, analisar tecnologias emergentes e fornecer avaliações de tópicos específicos sobre impactos sociais, jurídicos, económicos e regulamentares previstos das inovações tecnológicas na segurança das redes e da informação, nomeadamente na cibersegurança. Além disso, a Agência deve apoiar os Estados-Membros e as instituições, agências e organismos da União na identificação de tendências emergentes e na prevenção de problemas relacionados com a cibersegurança, mediante a análise de ameaças e incidentes. (27)A fim de aumentar a resiliência da União, a Agência deve desenvolver excelência no tema da segurança da infraestrutura de Internet e das infraestruturas críticas, prestando aconselhamento, orientação e divulgando boas práticas. Com vista a assegurar um acesso facilitado a informação mais bem estruturada sobre riscos de cibersegurança e eventuais soluções, a Agência deve desenvolver e manter o «polo de informação» da União, um portal único que preste ao público informações sobre cibersegurança resultantes das instituições, das agências e dos organismos da UE e nacionais. (28)A Agência deve contribuir para a sensibilização do público sobre os riscos relacionados com a cibersegurança e fornecer orientações sobre boas práticas para utilizadores individuais destinadas aos cidadãos e às organizações. A Agência deve também contribuir para promover boas práticas e soluções a nível das pessoas e organizações, recolhendo e analisando informações publicamente disponíveis relativas a incidentes importantes e coligindo relatórios destinados a prestar orientação às empresas e aos cidadãos e a melhorar o nível geral de preparação e resiliência. Além disso, a Agência deve organizar, em cooperação com os Estados-Membros e as instituições, organismos, órgãos e agências da União, ações de sensibilização e campanhas públicas de informação destinadas aos utilizadores finais, a fim de promover comportamentos individuais em linha mais seguros e de sensibilizar para as ameaças potenciais no ciberespaço, incluindo cibercrimes como os ataques de mistificação da interface, as redes de computadores zombies ou botnets e as fraudes financeiras e bancárias, bem como prestar aconselhamento sobre a autenticação de base e a proteção de dados. A Agência deve desempenhar um papel central na intensificação da sensibilização dos utilizadores finais para a segurança dos dispositivos. (29)A fim de apoiar as empresas que operam no setor da cibersegurança, bem como os utilizadores de soluções de cibersegurança, a Agência deve desenvolver e manter um «observatório do mercado» mediante a realização de análises regulares e a divulgação das principais tendências no mercado da cibersegurança, tanto no lado da procura como da oferta. (30)A fim de assegurar a plena realização dos seus objetivos, a Agência deve estabelecer ligações com as instituições, as agências e os organismos competentes, nomeadamente a CERT-UE, o Centro Europeu da Cibercriminalidade (EC3) da Europol, a Agência Europeia de Defesa (AED), a Agência Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA), a Agência Europeia para a Segurança da Aviação (AESA) e qualquer outra agência da UE que esteja envolvida na cibersegurança. Deve ainda estabelecer ligações com autoridades que lidem com a proteção de dados, a fim de partilhar conhecimentos especializados e boas práticas e prestar aconselhamento sobre aspetos de cibersegurança suscetíveis de afetarem o seu trabalho. O grupo permanente de partes interessadas da Agência deve poder incluir representantes das autoridades nacionais e da União encarregadas da aplicação da lei e da proteção de dados. Ao estabelecer ligações com os organismos encarregados da aplicação da lei sobre aspetos de segurança das redes e da informação que possam afetar o seu trabalho, a Agência deve respeitar os canais de informação existentes e as redes estabelecidas. (31)A Agência, enquanto membro da rede de CSIRT que, além disso, assegura o seu serviço de secretariado, deve apoiar as CSIRT dos Estados-Membros e a CERT-UE na cooperação operacional, além de todas as atribuições relevantes da rede de CSIRT, como definido na Diretiva SRI. Além disso, a Agência deve promover e apoiar a cooperação entre as CSIRT pertinentes em caso de incidentes, ataques ou perturbações nas redes ou infraestruturas por estas geridas ou protegidas e que envolvam, ou sejam suscetíveis de envolver, pelo menos duas CERT, tendo simultaneamente em conta os procedimentos operacionais normalizados da rede de CSIRT. (32)Com vista a aumentar o grau de preparação da União na resposta a incidentes de cibersegurança, a Agência deve organizar exercícios anuais de cibersegurança a nível da União e, mediante solicitação, apoiar os Estados-Membros e as instituições, agências e organismos da UE na organização de exercícios. (33)A Agência deve ainda desenvolver e manter os seus conhecimentos especializados em matéria de certificação da cibersegurança, com vista a apoiar a política da União neste domínio. A Agência deve promover a adoção da certificação da cibersegurança dentro da União, nomeadamente contribuindo para a criação e manutenção de um quadro de certificação da cibersegurança a nível da União, com vista a aumentar a transparência da garantia de cibersegurança de produtos e serviços de TIC e, desta forma, reforçar a confiança no mercado interno digital.

(34)As políticas de cibersegurança eficientes devem basear-se em métodos bem desenvolvidos de avaliação dos riscos, tanto no setor público quanto no setor privado. Os métodos de avaliação dos riscos são utilizados a diferentes níveis, sem que exista uma prática comum quanto à sua aplicação eficiente. A promoção e o desenvolvimento de boas práticas em matéria de avaliação dos riscos e de soluções interoperáveis de gestão de riscos nas organizações dos setores público e privado aumentarão o nível de cibersegurança na União. Para esse efeito, a Agência deve apoiar a cooperação entre as partes interessadas a nível da União, facilitando os seus esforços no que respeita à criação e à aplicação de normas europeias e internacionais de gestão dos riscos e de segurança mensurável dos produtos, sistemas, redes e serviços eletrónicos que, juntamente com os suportes lógicos, constituem as redes e sistemas de informação. (35)A Agência deve incentivar os Estados-Membros e os prestadores de serviços a reforçarem as suas normas gerais de segurança, para que todos os utilizadores da Internet possam tomar as medidas necessárias para assegurarem a sua própria cibersegurança. Concretamente, os prestadores de serviços e os fabricantes de produtos devem retirar ou reciclar produtos e serviços que não cumpram as normas de cibersegurança. Em cooperação com as autoridades competentes, a ENISA poderá divulgar informações relativas ao nível de cibersegurança dos produtos e serviços disponibilizados no mercado interno e emitir alertas que visem os prestadores e fabricantes e solicitar-lhes que reforcem a segurança, nomeadamente a cibersegurança, dos seus produtos e serviços. (36)A Agência deve ter plenamente em conta as atividades de investigação, desenvolvimento e avaliação tecnológica em curso, em especial as realizadas pelas diversas iniciativas de investigação da União, a fim de aconselhar as instituições, organismos, órgãos e agências da União e, se for caso disso, os Estados-Membros, a seu pedido, sobre as necessidades de investigação em matéria de segurança das redes e da informação, nomeadamente de cibersegurança. (37)Os problemas de cibersegurança são questões mundiais. É necessário reforçar a cooperação internacional a fim de melhorar as normas de segurança, nomeadamente definindo normas de comportamento, partilhando informações e promovendo uma colaboração internacional mais célere na resposta aos problemas de segurança das redes e da informação, bem como uma abordagem global comum desses problemas. Para esse efeito, a Agência deve apoiar um maior envolvimento e cooperação da União com os países terceiros e com as organizações internacionais, fornecendo, se for caso disso, os conhecimentos especializados e as análises necessárias às instituições, organismos, órgãos e agências competentes da União. (38)A Agência deve ser capaz de responder a pedidos ad hoc de aconselhamento e assistência por parte dos Estados-Membros e das instituições, agências e organismos da UE que se enquadrem nos seus objetivos. (39)É necessário aplicar certos princípios relativos à governação da Agência a fim de respeitar a Declaração Comum e a Abordagem Comum acordadas em julho de 2012 pelo Grupo de Trabalho Interinstitucional sobre as agências descentralizadas da União, cujo objetivo é racionalizar as atividades das agências e melhorar o seu desempenho. A Declaração Comum e a Abordagem Comum devem refletir-se também, conforme adequado, nos programas de trabalho, nas avaliações, na elaboração dos relatórios e nas práticas administrativas da Agência. (40)O conselho de administração, composto pelos Estados-Membros e pela Comissão, deve definir a orientação geral das operações da Agência e garantir que esta execute as suas atribuições de acordo com o presente regulamento. O conselho de administração deve ser dotado dos poderes necessários para estabelecer o orçamento, verificar a sua execução, aprovar as regras financeiras adequadas, definir procedimentos de trabalho transparentes para o processo decisório da Agência, aprovar o documento único de programação da Agência, aprovar o seu próprio regulamento interno, nomear o diretor executivo e decidir da prorrogação ou do termo do mandato deste último. (41)Para o funcionamento correto e eficaz da Agência, a Comissão e os Estados-Membros devem assegurar que as pessoas nomeadas para o conselho de administração tenham competências profissionais especializadas e experiência em áreas funcionais adequadas. A Comissão e os Estados-Membros devem também procurar limitar a rotação dos seus representantes no conselho de administração, a fim de assegurar a continuidade do trabalho deste órgão. (42)O bom funcionamento da Agência implica que o seu diretor executivo seja nomeado com base no mérito e em capacidades de gestão e administrativas documentadas, bem como na competência e na experiência relevantes para a cibersegurança, e que desempenhe as suas funções com total independência. O diretor executivo deve preparar uma proposta de programa de trabalho da Agência, após consulta da Comissão, e tomar todas as medidas necessárias para garantir a boa execução do programa de trabalho. O diretor executivo deve preparar um relatório anual a apresentar ao conselho de administração, elaborar um projeto de mapa previsional das receitas e despesas da Agência e executar o orçamento. Além disso, o diretor executivo deve ter a possibilidade de criar grupos de trabalho ad hoc para questões específicas, designadamente de natureza científica, técnica, legal ou socioeconómica. O diretor executivo deve assegurar que os membros dos grupos de trabalho ad hoc sejam selecionados de acordo com os mais elevados padrões de especialização, tendo devidamente em conta a necessidade de assegurar uma representação equilibrada, se for caso disso, em função das questões específicas em causa, entre as administrações públicas dos Estados-Membros, as instituições da União e o setor privado, incluindo empresas, utilizadores e académicos especialistas em segurança das redes e da informação. (43)A comissão executiva deve contribuir para o funcionamento eficaz do conselho de administração. No âmbito do seu trabalho preparatório relacionado com as decisões do conselho de administração, deve examinar pormenorizadamente as informações pertinentes, explorar as opções disponíveis e disponibilizar aconselhamento e soluções para preparar decisões relevantes do conselho de administração. (44)A Agência deve dispor, a título de órgão consultivo, de um grupo permanente de partes interessadas para assegurar o diálogo regular com o setor privado, com as associações de consumidores e com outras partes interessadas pertinentes. Esse grupo permanente de partes interessadas, criado pelo conselho de administração sob proposta do diretor executivo, deve concentrar-se em questões pertinentes para as partes interessadas e submetê-las à atenção da Agência. A composição do grupo permanente de partes interessadas, que deverá ser consultado particularmente no que diz respeito ao projeto de programa de trabalho, e as atribuições que lhe são conferidas devem assegurar uma representação suficiente das partes interessadas no trabalho da Agência. (45)A Agência deve dispor de regras em matéria de prevenção e gestão de conflitos de interesse. A Agência deve igualmente aplicar as disposições relevantes da União sobre o acesso do público a documentos constantes do Regulamento (CE) n.º 1049/2001 do Parlamento Europeu e do Conselho. O tratamento de dados pessoais por parte da Agência deve estar sujeito ao disposto no Regulamento (CE) n.º 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos organismos comunitários e à livre circulação desses dados. A Agência deve respeitar as disposições aplicáveis às instituições da União e a legislação nacional relativa ao tratamento de informações, nomeadamente de informações sensíveis não classificadas e de informações classificadas da UE. (46)A fim de assegurar a plena autonomia e independência da Agência, e de lhe permitir exercer atribuições novas ou adicionais, incluindo atribuições de emergência imprevistas, a Agência deve ser dotada de um orçamento autónomo suficiente cujas receitas provenham essencialmente de uma contribuição da União e de contribuições dos países terceiros que participam nos trabalhos da Agência. A maior parte do pessoal da Agência deve estar diretamente implicada na execução