Por conseguinte, a cooperação à escala da UE é essencial para lidar tanto com os ciberincidentes de menor envergadura, mas com potencial de proliferação, como com possíveis ciberataques em grande escala, em vários Estados-Membros. A UE tem de integrar os aspetos de ciberdefesa nos atuais mecanismos de gestão de crises. Precisa também de assegurar uma cooperação eficaz e mecanismos de intercâmbio rápido de informação entre setores e Estados-Membros, para dar resposta e conter tais incidentes. Além disso, esses mecanismos devem funcionar de forma coerente, contribuindo assim para a luta contra o terrorismo, a criminalidade organizada e a cibercriminalidade. Tal aumentaria a capacidade da UE para se coordenar com os seus parceiros internacionais, a fim de dar uma resposta eficaz às ameaças e incidentes globais.

iii) Do desenvolvimento das capacidades industriais no domínio da cibersegurança

O Estratégia para o Mercado Único Digital reconheceu que ainda existem lacunas específicas neste domínio tecnológico em rápida evolução das tecnologias e soluções para a segurança das redes. Ao mesmo tempo, os estudos de mercado mostram que o mercado interno da UE está ainda geograficamente fragmentado no que respeita ao fornecimento de produtos e serviços de cibersegurança. A presente comunicação define uma série de medidas setoriais orientadas para o mercado para enfrentar estes desafios e lacunas do mercado único.

i) Do reforço da cooperação para melhorar o estado de preparação e lidar com os incidentes informáticos

Além disso, a Comissão também está a abordar a questão das capacidades da indústria da cibersegurança da UE. Apesar de ser impossível controlar toda a cadeia de valor das tecnologias digitais na Europa, é necessário, pelo menos, manter e desenvolver as capacidades essenciais. O fornecimento de produtos e serviços que oferecem o mais elevado nível de cibersegurança é uma oportunidade para a indústria europeia e poderá tornar-se uma forte vantagem competitiva. Prevê-se que o mercado mundial da cibersegurança estará entre os segmentos de crescimento mais rápido do setor das TIC. Para conferir à UE um papel de liderança neste domínio, há que assegurar uma forte cultura de segurança dos dados, nomeadamente dos dados pessoais, e uma resposta eficaz aos incidentes. Este é um forte argumento para investir na UE, contribuindo assim para atingir os ambiciosos objetivos do mercado único digital a nível da criação crescimento e emprego.

Neste contexto, poderá ser difícil para a UE lidar com os ciberincidentes em grande escala, que envolvam simultaneamente vários Estados-Membros. Em sinergia com as comunicações sobre a luta contra as ameaças híbridas, bem como sobre a realização da Agenda Europeia para a Segurança, a Comissão está a estudar formas de abordar a realidade de uma cibersegurança em evolução e a avaliar novas medidas que possam ser necessárias para reforçar a capacidade de resistência e de resposta da UE a incidentes de cibersegurança.

No entanto, apesar destes resultados positivos, a UE mantém-se vulnerável aos ciberincidentes. Tal poderá comprometer o mercado único digital e a vida económica e social no seu conjunto. O seu impacto poderá ir além da economia. No caso de ameaças híbridas, os ciberataques podem ser utilizados de forma coordenada com outras atividades para desestabilizar um país ou pôr em causa as instituições políticas.

Tendo em conta a natureza e a variedade das ciberameaças, a Comissão incentiva os Estados-Membros a tirarem o máximo partido dos mecanismos de cooperação em matéria de SRI e a reforçarem a cooperação transfronteiriça relacionada com a preparação para ciberincidentes em grande escala. Essa cooperação adicional relativa a ciberincidentes graves beneficiaria de uma abordagem coordenada para a cooperação em situações de crise entre os diversos elementos do ecossistema da cibersegurança. Tal abordagem pode ser objeto de um «roteiro» que deve igualmente assegurar as sinergias e a coerência com os atuais mecanismos de gestão de crises. Deve então ser testada regularmente em exercícios de gestão de crises no ciberespaço e outras. Incluiria a definição do papel dos organismos a nível da UE, como a ENISA, a CERT-UE e o Centro Europeu da Cibercriminalidade (EC3) da Europol, e utilizaria as ferramentas desenvolvidas no âmbito da rede CSIRT. No primeiro semestre de 2017, a Comissão apresentará esse roteiro de cooperação ao Grupo de Cooperação, à rede CSIRT e às outras partes interessadas relevantes.

Atualmente, os conhecimentos e as competências em matéria de cibersegurança estão disponíveis a nível da UE, mas de uma forma dispersa e não estruturada. A fim de apoiar os mecanismos de cooperação em matéria de SRI, a informação deve ser reunida numa «plataforma de informação» que a torne facilmente acessível, mediante pedido, a todos os Estados-Membros. Esta plataforma tornar-se-ia um recurso central para permitir que as instituições e os Estados-Membros da UE troquem informações, conforme adequado. Um acesso mais fácil à informação melhor estruturada sobre cibersegurança, riscos e soluções potenciais deverá ajudar os Estados-Membros a aumentar as suas capacidades e adaptar as suas práticas, melhorando a resiliência global aos ataques. A Comissão, com o apoio da ENISA, da CERTEU e das competências do seu Centro Comum de Investigação, vai promover a criação e assegurar a sustentabilidade da plataforma.

Além disso, deverá ser criado a nível da UE um Grupo Consultivo de alto nível sobre Cibersegurança, composto por peritos e decisores da indústria, do meio académico, da sociedade civil e de outras organizações relevantes. Este grupo permitirá à Comissão obter, de forma aberta e transparente, competências especializadas externas e contribuições para as suas políticas estratégicas de cibersegurança e ações a nível regulamentar ou de outras políticas públicas. Irá complementar e cooperar com outras estruturas em matéria de cibersegurança.

Além disso, a Comissão deve, até 20 de junho de 2018, proceder à avaliação da ENISA e a eventual alteração ou renovação do mandato da ENISA deve ser adotada até 19 de junho de 2020. Tendo em conta o atual panorama em matéria de cibersegurança, a Comissão pretende antecipar a avaliação e, sob reserva dos seus resultados, apresentar uma proposta o mais rapidamente possível.

Ao avaliar a eventual necessidade de modificar o mandato da ENISA, a Comissão terá em conta os desafios para a cibersegurança acima descritos e o esforço global no sentido de intensificar a cooperação e a partilha de conhecimentos. Este processo constituirá uma oportunidade para analisar a possível melhoria das capacidades da Agência e as suas capacidades para apoiar os Estados-Membros, de forma sustentável, com vista a promover a resiliência a nível da cibersegurança. A reflexão sobre o mandato da ENISA deve, além disso, ter em conta as novas responsabilidades da Agência ao abrigo da Diretiva SRI, os novos objetivos políticos de apoio à indústria da cibersegurança (a estratégia para o mercado único digital e, em especial, a PPPc), a evolução das necessidades de segurança dos setores críticos, bem como os novos desafios associados aos incidentes transfronteiriços, incluindo a resposta coordenada às cibercrises.

A Comissão irá: -apresentar, no primeiro semestre de 2017, um projeto de cooperação para fazer face aos ciberincidentes em grande escala a nível da UE; -facilitar a criação de uma «plataforma de informação» para apoiar o intercâmbio de informações entre os órgãos da UE e os Estados-Membros; -criar um Grupo Consultivo de alto nível sobre Cibersegurança; bem como -concluir a avaliação da ENISA até ao final de 2017. Essa avaliação terá em conta a necessidade de alterar ou de alargar o mandato da ENISA, tendo em vista apresentar uma eventual proposta o mais rapidamente possível.

2.2 Aumentar as atividades de ensino, formação e exercícios no domínio da cibersegurança

Dispor das competências e formação adequadas, tanto quanto à prevenção e ao tratamento dos incidentes de cibersegurança e como da atenuação dos seus impactos, é um dos principais aspetos da resiliência em matéria de cibersegurança.

Atualmente, a ENISA e o Grupo Europeu de Ensino e Formação sobre Cibercriminalidade (ECTEG), em colaboração com o Centro Europeu da Cibercriminalidade da Europol e a Academia Europeia de Polícia (CEPOL), desempenham um papel importante na prestação de apoio à criação de capacidades no domínio da cibersegurança, incluindo sobre ciência forense - através do desenvolvimento de manuais e da organização de ações de formação e de exercícios de cibersegurança.

Ao mesmo tempo, o ciberespaço está a evoluir rapidamente, cabendo às capacidades de dupla utilização um papel essencial. Por conseguinte, é necessário desenvolver a cooperação e as sinergias entre civis e militares através de ações de formação e exercícios, para aumentar a resiliência e as capacidades de resposta da UE a incidentes.

Para responder a esta necessidade, e na sequência da adoção da Diretiva SRI e do Quadro Estratégico da UE para a Ciberdefesa, os serviços da Comissão, em cooperação com os Estados-Membros, o Serviço Europeu para a Ação Externa (SEAE), a ENISA e outros organismos relevantes da UE em matéria de cibersegurança, será estabelecida uma plataforma de ensino e formação, que promoverá as sinergias entre a formação civil e da Defesa.

A Comissão irá: -trabalhar em estreita cooperação com os Estados-Membros, a ENISA, o SEAE e outros organismos relevantes da UE para estabelecer uma plataforma de formação em matéria de cibersegurança.

2.3. Abordar as interdependências intersetoriais e a resiliência da infraestrutura de rede pública

Um importante elemento a ter em conta para avaliar o risco e o impacto dos incidentes informáticos em grande escala é o grau de interdependência transfronteiriça e intersetorial. Os incidentes informáticos graves num setor ou num Estado-Membro podem, direta ou indiretamente, afetar - ou propagar-se - a outros setores ou outros Estados-Membros.

A cooperação transfronteiriça e transetorial facilita o intercâmbio de informações e de conhecimentos especializados e, consequentemente, aumenta a capacidade de preparação e resiliência. A Comissão tem vindo a apoiar atividades em diversos setores, a fim de compreender melhor as interdependências, através da aplicação do Programa Europeu para a Proteção das Infraestruturas Críticas.

Ao mesmo tempo, um pré-requisito necessário para enfrentar os riscos intersetoriais é a capacidade de cada setor identificar, preparar e responder a ciberincidentes. A Comissão irá avaliar o risco resultante de ciberincidentes nos setores altamente interdependentes dentro e através das fronteiras nacionais, em particular nos setores abrangidos pela Diretiva SRI, tendo igualmente em conta a evolução da situação a nível internacional. Na sequência desta avaliação, a Comissão vai ponderar se são necessárias novas regras e/ou orientações específicas sobre cibersegurança e preparação para os riscos nesses setores críticos.

A nível europeu, os centros setoriais de partilha e análise de informações (ISAC) e as CSIRT correspondentes podem desempenhar um papel fundamental na preparação e resposta a incidentes informáticos. Para assegurar a eficácia dos fluxos de informação sobre novas ameaças e facilitar a resposta aos ciberincidentes, os ISAC devem ser estimulados a colaborar com a rede CSIRT, ao abrigo da Diretiva SRI, e com o Centro Europeu da Cibercriminalidade da Europol, a CERT-UE, bem como com os organismos responsáveis pela aplicação da lei.

O intercâmbio de informações entre as partes interessadas e com as autoridades ao longo do ciclo de vida de riscos requer um clima de confiança entre os participantes, que lhes garanta que não serão responsabilizados. A Comissão registou uma série de preocupações, que impedem as empresas de partilhar informações as com as suas congéneres, entre setores ou com as autoridades e, em especial, transfronteiras. A Comissão procurará abordar e esclarecer estas questões, no interesse de um maior intercâmbio de informações sobre ciberameaças.

Canais de comunicação fiáveis, que garantam a confidencialidade, também são vitais para incentivar as empresas a comunicarem o roubo informático de segredos comerciais. Tal permitiria monitorizar e avaliar os danos sofridos pela indústria europeia (que resultam também na perda de vendas e empregos) e os organismos de investigação. Isto contribuiria igualmente para ajudar a conceber as respostas políticas adequadas. Com o apoio da ENISA, do Instituto da Propriedade Intelectual da União Europeia (EUIPO) e do EC3 da Europol, a Comissão irá - em diálogo com as partes interessadas do setor privado - criar canais de confiança para a comunicação voluntária do roubo informático de segredos comerciais. Desta forma, será possível compilar dados anonimizados e agregados a nível da UE. Estes dados podem ser partilhados com os Estados-Membros para alimentar os esforços diplomáticos e as ações de sensibilização para ajudar a proteger os ativos intangíveis da UE dos ciberataques.

Para apoiar a cibersegurança a nível setorial, a Comissão irá também promover a incorporação da cibersegurança no desenvolvimento de várias políticas setoriais da UE com interesse para a cibersegurança.