PT Jornal Oficial da União Europeia C 218/130

Parecer do Comité Económico e Social Europeu sobre a «Proposta de directiva do Parlamento Europeu e do Conselho relativa a Ataques contra os Sistemas de Informação e que revoga a Decisão Quadro 2005/222/JAI do Conselho»

[COM(2010) 517 final – 2010/0273 (COD)]

2011/C 218/27

Relator-geral: Peter MORGAN

Em 20 de Janeiro de 2011, o Conselho decidiu, nos termos do artigo 114.o do Tratado sobre o Funcionamento da União Europeia, consultar o Comité Económico e Social Europeu sobre

Proposta de directiva do Parlamento Europeu e do Conselho relativa a Ataques contra os Sistemas de Informação e que revoga a Decisão-Quadro 2005/222/JAI do Conselho

COM(2010) 517 final – 2010/0273 (COD).

Em 15 de Fevereiro de 2011, a Mesa do Comité Económico e Social Europeu decidiu incumbir da preparação dos correspondentes trabalhos a Secção Especializada de Transportes, Energia, Infra-estruturas e Sociedade da Informação.

Dada a urgência dos trabalhos, o Comité Económico e Social Europeu, na 471.a reunião plenária de 4 e 5 de Maio de 2011 (sessão de 4 de Maio), e em conformidade com o artigo 59.o do Regimento, designou relator-geral Peter Morgan e adoptou, por 173 votos a favor, 1 voto contra e 7 abstenções, o seguinte parecer:

1. Conclusões e recomendações

1.1 O Comité congratula-se com a comunicação da Comissão relativa à proposta de directiva do Parlamento Europeu e do Conselho relativa a Ataques contra os Sistemas de Informação. O Comité partilha da grande preocupação da Comissão em relação à escala da cibercriminalidade na Europa e aos danos concretos e potenciais para a economia e o bem-estar dos cidadãos desta ameaça crescente.

1.2 O Comité também partilha da desilusão da Comissão de que apenas 17 dos 27 Estados-Membros tenham até ao momento ratificado a Convenção sobre Cibercriminalidade do Conselho da Europa («Convenção sobre Cibercriminalidade») (1). O Comité insta os restantes Estados-Membros (2), a saber, Áustria, Bélgica, República Checa, Grécia, Irlanda, Luxemburgo, Malta, Polónia, Suécia e Reino Unido, a ratificarem a Convenção sobre Cibercriminalidade o mais depressa possível.

1.3 O Comité concorda com a Comissão de que é urgentemente necessária uma directiva que modernize a definição de infracções no domínio dos ataques contra sistemas de informação e reforce a coordenação e a cooperação da justiça penal na UE a fim de enfrentar com eficácia este problema crítico.

1.4 Dada a necessidade urgente de acção legislativa para lidar especificamente com os ataques contra os sistemas de informação, o Comité concorda com a decisão da Comissão de utilizar a opção política de uma directiva apoiada por medidas não legislativas, destinada a este aspecto em particular da cibercriminalidade.

1.5 Todavia, tal como já solicitara num parecer anterior (3), o Comité gostaria que a Comissão avançasse em paralelo com a elaboração de uma legislação da UE contra a cibercriminalidade na sua globalidade. O Comité acredita que um quadro abrangente é essencial para o êxito da Agenda Digital e da Estratégia Europa 2020 (4). O quadro deve incluir as questões da prevenção, detecção e educação, para além da aplicação da lei e de sanções.

1.6 Na devida altura, o CESE gostaria de examinar propostas da Comissão para um quadro abrangente de acção para lidar com a questão geral da segurança da Internet. Tendo em conta que daqui a dez anos a maioria da população utilizará a Internet, a maior parte das actividades económicas e sociais dependerá da Internet, é inconcebível que ainda sejamos capazes de confiar na actual abordagem informal e não estruturada à utilização da Internet, especialmente dado que o valor económico desta actividade será incalculável. Haverá múltiplas questões envolvendo outros desafios como a segurança dos dados pessoais e a privacidade, bem como a cibercriminalidade. A segurança aérea é controlada por uma autoridade central que define as normas para as aeronaves, aeroportos e operações das companhias aéreas. É chegada a altura de criar uma autoridade análoga, que determine as normas para dispositivos terminais de fácil utilização (computadores pessoais, computadores-tablete, telemóveis), segurança da rede, segurança dos sítios Web e segurança de dados. A configuração física da Internet é um elemento fundamental na defesa contra a cibercriminalidade. A UE vai precisar de uma entidade reguladora com poderes sobre a Internet.

1.7 A directiva centrar-se-á na definição do crime e na ameaça de sanções. O CESE solicita uma atenção paralela na prevenção através de melhores medidas de segurança. Os fabricantes de equipamento devem cumprir normas para fornecerem dispositivos de fácil utilização. É inaceitável que a segurança dos dispositivos e, por conseguinte, da rede dependa da vontade do seu proprietário. A possibilidade de introdução em toda a Europa de um sistema electrónico de identificação deve ser analisada, mas aquele teria de ser cuidadosamente concebido para evitar invasões de privacidade. O pleno aproveitamento das capacidades de segurança do IPv6 deve ser posto em andamento, e a formação dos cidadãos em cibersegurança, incluindo segurança de dados, deve ser parte fundamental de todos os cursos de formação digital. A Comissão deve fazer referência aos pareceres anteriores do Comité que examinam estas questões (5).

1.8 O Comité mostra-se satisfeito com o facto de a proposta de directiva abranger, como deveria, os ataques contra os sistemas de informação utilizando botnets (6), incluindo ataques na forma de negação de serviço (7). O Comité considera igualmente que a directiva ajudará as autoridades a perseguir sem tréguas a cibercriminalidade que procura explorar a interconectividade internacional das redes, bem como os criminosos que tentam esconder-se por trás do anonimato que os instrumentos sofisticados da cibercriminalidade podem proporcionar.

1.9 O Comité congratula-se igualmente com a lista de infracções penais abrangidas pela directiva, especialmente a inclusão da «intercepção ilegal» e a apresentação clara dos «instrumentos utilizados para cometer as infracções».

1.10 No entanto, tendo em conta a importância da confiança e da segurança para a economia digital e os enormes custos anuais da cibercriminalidade (8), o Comité propõe que a amplitude das sanções definidas na directiva reflicta a gravidade do crime e constitua também um elemento verdadeiramente dissuasor para os criminosos. A proposta de directiva estipula penas mínimas de dois ou cinco anos de prisão (5 anos se houver circunstâncias agravantes). O CESE propõe uma gradação das sanções de acordo com a gravidade do crime.

1.11 O CESE propõe que se aproveite esta oportunidade para enviar uma mensagem forte aos criminosos e aos cidadãos que procuram garantias mediante o estabelecimento de penas mais severas. Por exemplo, o Reino Unido (9) aplica penas de até 10 anos para os ataques em larga escala contra sistemas de informação, e a Estónia aumentou as suas penas passando a utilização para fins terroristas de ataques em larga escala a ser punível com até 25 anos de prisão (10).

1.12 O Comité acolhe também com satisfação a proposta da Comissão de apoiar a directiva com medidas não legislativas para promover uma acção mais coordenada ao nível da UE e um cumprimento mais eficaz. O CESE gostaria também de sublinhar a necessidade de estender a coordenação de forma a incluir uma estreita cooperação com todos os países da EFTA e da NATO.

1.13 O Comité apoia com firmeza os programas de formação e as recomendações de boas práticas propostas para reforçar a eficácia da estrutura existente de pontos de contacto disponíveis 24 horas por dia e 7 dias por semana para as forças policiais.

1.14 Para além das medidas não legislativas referidas na proposta, o Comité insta a Comissão a concentrar-se especificamente no financiamento de I&D para o desenvolvimento de sistemas de alerta e reacção rápida para lidar com os ataques contra sistemas de informação. As tecnologias de ponta para computação em nuvem (11) e processamento de dados distribuído (12) têm o potencial de fornecer à Europa uma maior protecção contra diversas ameaças.

1.15 O Comité sugere que a Agência Europeia para a Segurança das Redes e da Informação (ENISA) patrocine um programa de desenvolvimento de competências específicas para reforçar o sector de segurança das TIC na Europa para além da aplicação da legislação (13).

1.16 A fim de reforçar as defesas da Europa contra os ataques informáticos, o Comité gostaria de reiterar a importância de desenvolver a parceria público-privado destinada à resiliência (PPPER) e integrar esta parceria nos trabalhos da Agência Europeia para a Segurança das Redes e da Informação (ENISA) e do grupo das CERT governamentais europeias (CGE).

1.17 Importa fomentar na Europa um sector forte de segurança da informação, equiparável à competência do sector nos Estados Unidos, que é muito bem financiado (14). O investimento em I&D e formação em matéria de segurança informática deve ser fortemente aumentado.

1.18 O Comité assinala as derrogações nos termos dos protocolos ao Tratado concedidas ao Reino Unido, à Irlanda e à Dinamarca no que se refere à promulgação da proposta de directiva. Apesar dessas derrogações, o Comité exorta os Estados-Membros a cooperarem o mais possível a fim de que as disposições da directiva evitem que os criminosos explorem as lacunas nas políticas na União.

2. Introdução

2.1 Hoje em dia, a Europa depende muito dos sistemas de informação para a criação de riqueza e para assegurar a qualidade de vida dos seus cidadãos. É importante que a nossa crescente dependência seja acompanhada de uma maior sofisticação das medidas de segurança e de legislação mais severa para proteger os sistemas de informação de ataques.

2.2 A Internet é a plataforma central da sociedade digital. Lidar com as ameaças à segurança dos sistemas de informação é extremamente importante para o desenvolvimento da sociedade digital e da economia digital. A Internet suporta a maior parte das infra-estruturas críticas da informação, sustentando plataformas de informação e comunicação para o fornecimento de bens e serviços essenciais. Os ataques contra os sistemas de informação, tais como sistemas públicos, sistemas financeiros, serviços sociais e sistemas críticos de infra-estruturas vitais como os serviços de abastecimento de energia, água, transportes, saúde e de emergência, tornou-se um problema grave.

2.3 A arquitectura da Internet baseia-se numa interconexão de milhões de computadores, estando o processamento, as comunicações e o controlo distribuídos globalmente. Esta arquitectura disseminada no espaço é essencial para manter a Internet estável e resiliente, com uma rápida capacidade de recuperação do fluxo de tráfego sempre que surja um problema. No entanto, significa também que qualquer indivíduo motivado e detentor de conhecimentos básicos pode lançar ciberataques em larga escala a partir das margens da rede, usando botnets, por exemplo.

2.4 A evolução no domínio das tecnologias da informação exacerba estes problemas, facilitando a produção e distribuição de instrumentos («malware» (15) e «botnets») e proporcionando ao mesmo tempo anonimato aos infractores e dispersando a responsabilidade por várias jurisdições. Dadas as dificuldades em levar a cabo uma acção penal, a criminalidade organizada consegue obter lucros consideráveis com riscos reduzidos.

2.5 Segundo um estudo de 2009 (16) apresentado ao Fórum Económico Mundial, os custos globais da cibercriminalidade são de $1 bilião e estão a aumentar rapidamente. E um relatório (17) recente do Governo britânico assinala um custo anual de £27 mil milhões no Reino Unido apenas. Os elevados custos da cibercriminalidade exigem acções rigorosas, uma forte execução da legislação e penas severas para os infractores.

2.6 Tal como especificado no documento de trabalho dos serviços da Comissão que acompanha a proposta de directiva (18), a criminalidade organizada e os governos hostis exploram o potencial destrutivo dos ataques contra os sistemas de informação em toda a União. Os ataques deste tipo de botnets podem ser muito perigosos para o país atingido em geral e podem também ser utilizados por terroristas ou outros como instrumento para colocar pressão política num Estado.

2.7 O ataque ocorrido na Estónia, em Abril-Maio de 2007, chamou a atenção para o problema. Aquele ataque tornou inacessíveis partes importantes de infra-estruturas críticas de informação no governo e no sector privado durante vários dias devido aos ataques em larga escala contra elas, com um custo financeiro de 19-28 milhões de euros e um elevado custo político. Ataques destrutivos semelhantes foram também lançados contra a Lituânia e a Geórgia.

2.8 As redes globais de comunicações baseiam-se num elevado nível de interconectividade transfronteiriça. É fundamental que haja uma acção colectiva e uniforme de todos os 27 Estados-Membros para combater a cibercriminalidade e, especificamente, os ataques contra os sistemas de informação. Esta interdependência internacional coloca o ónus na UE de possuir uma política integrada para proteger os sistemas de informação de ataques e punir os infractores.

2.9 No seu parecer de 2007 sobre uma estratégia para uma sociedade da informação segura (19), o Comité afirmou sentir a falta de uma legislação abrangente da UE contra a cibercriminalidade. Além dos ataques contra os sistemas de informação, um quadro global deve abranger a cibercriminalidade financeira, os conteúdos ilegais na Internet e a recolha/armazenagem/transferência de provas electrónicas e prever regras de competência mais pormenorizadas.

2.10 O Comité reconhece que a concepção de um quadro abrangente é uma tarefa muito difícil, sendo ainda mais dificultada pela falta de um consenso político (20) e pelos problemas com as grandes diferenças entre os Estados-Membros no que se refere à admissibilidade de provas electrónicas nos processos judiciais. No entanto, esse quadro abrangente maximizaria os benefícios dos instrumentos legislativos e não legislativos na resolução do vasto espectro de problemas em matéria de cibercriminalidade. Lidaria igualmente com o enquadramento legislativo penal e, ao mesmo tempo, melhoraria a cooperação para o cumprimento da legislação na União. O Comité insta a Comissão a prosseguir o seu trabalho no sentido de elaborar um quadro jurídico abrangente para a cibercriminalidade.

2.11 A luta contra a cibercriminalidade exige capacidades especiais. O parecer do Comité sobre a proposta de regulamento relativo à ENISA (21) sublinhou a importância de formar o pessoal responsável pela aplicação da lei. O Comité vê com agrado que a Comissão está a avançar no estabelecimento da plataforma de formação em cibercriminalidade envolvendo as forças policiais e o sector privado, como proposto na COM(2007) 267 (22).

2.12 Todos os cidadãos cuja vida possa depender da prestação de serviços essenciais são parte interessada na cibersegurança da UE. Eles têm portanto a responsabilidade de proteger, da melhor forma possível, a sua ligação à Internet contra ataques. Mais responsáveis ainda são os fornecedores de tecnologia e de serviços das TIC que veiculam os sistemas de informação.

2.13 É vital que todos os intervenientes estejam devidamente informados acerca da cibersegurança. É igualmente importante que a Europa disponha de um vasto grupo de peritos com competências na área da cibersegurança.

2.14 Importa fomentar na Europa um sector forte de segurança da informação, equiparável à competência do sector nos Estados Unidos, que é muito bem financiado (23). O investimento em I&D e formação em matéria de segurança informática deve ser fortemente aumentado.

3. Síntese da proposta de directiva

3.1 A proposta tem como objectivo substituir a Decisão-Quadro 2005/222/JAI do Conselho, de 24 de Fevereiro de 2005, relativa a ataques contra os sistemas de informação (24). Tal como indicado nos seus considerandos, a Decisão-Quadro visava reforçar a cooperação entre as autoridades judiciárias e outras autoridades competentes, nomeadamente as autoridades policiais e outros serviços especializados responsáveis pela aplicação da lei nos Estados-Membros, mediante uma aproximação das suas disposições de direito penal em matéria dos ataques contra os sistemas de informação. Introduziu legislação da UE para reprimir infracções como o acesso ilegal aos sistemas de informação, a interferência ilegal no sistema e a interferência ilegal nos dados, bem como disposições específicas relativas à responsabilidade das pessoas colectivas, à competência e ao intercâmbio de informações. Os Estados-Membros foram instados a adoptar as medidas necessárias para dar cumprimento às disposições da Decisão-Quadro até 16 de Março de 2007.

3.2 Em 14 de Julho de 2008, a Comissão publicou um relatório sobre a aplicação da Decisão-Quadro (25). Nas conclusões, o relatório afirmou que «recentes ataques ocorridos na Europa desde a adopção da DQ vieram chamar a atenção para várias ameaças emergentes, em especial a ocorrência de ataques massivos simultâneos contra sistemas de informação e o aumento da utilização das chamadas botnets para fins criminosos». Estes ataques não estavam no centro das atenções aquando da adopção da Decisão-Quadro.

3.3 A presente proposta tem em conta os novos métodos utilizados para cometer cibercrimes, nomeadamente o recurso aos «botnets» (26). É muito difícil localizar os autores da infracção, dado que os computadores que formam o «botnet» e realizam o ataque podem encontrar-se num local diferente daquele em que se encontra o infractor.

3.4 Os ataques perpetrados por um «botnet» são frequentemente lançados em larga escala. Os ataques em larga escala são aqueles que podem ser realizados utilizando instrumentos que afectem um número significativo de sistemas de informação (computadores), ou os ataques que causam danos consideráveis, por exemplo em termos de perturbação dos serviços do sistema, custos financeiros, perda de dados pessoais, etc. Os danos causados pelos ataques em larga escala têm um impacto significativo no funcionamento do próprio objectivo e/ou afectam o seu ambiente de trabalho. Neste contexto, considera-se que um grande «botnet» tem capacidade para causar danos graves. É difícil definir os «botnets» em termos de dimensão, mas estima-se que os maiores «botnets» registados têm entre 40 000 e 100 000 conexões (ou seja, computadores infectados) por período de 24 horas (27).

3.5 A Decisão-Quadro tem uma série de lacunas devido à evolução em termos da dimensão e do número de crimes (ciberataques). Aproxima as legislações apenas relativamente a um número limitado de infracções, mas não permite fazer plenamente face à ameaça potencial que os ataques em larga escala representam para a sociedade. Também não tem devidamente em conta a gravidade das infracções e as sanções que lhes são aplicadas.

3.6 A presente directiva tem como objectivo aproximar as disposições em matéria de direito penal dos Estados-Membros relativas aos ataques contra os sistemas de informação e melhorar a cooperação entre as autoridades judiciais e outras autoridades competentes, nomeadamente a polícia e outros serviços especializados dos Estados-Membros responsáveis pela aplicação da lei.

3.7 Os ataques contra os sistemas de informação, em especial os perpetrados pela criminalidade organizada, constituem uma ameaça crescente e a eventualidade de ataques terroristas ou de natureza política contra os sistemas de informação que fazem parte da infra-estrutura crítica dos Estados-Membros e da União suscita uma preocupação cada vez maior. Esta ameaça pode pôr em causa a concretização de uma sociedade da informação mais segura, bem como a realização do espaço de liberdade, de segurança e de justiça, exigindo, portanto, uma resposta ao nível da União Europeia.

3.8 Existem provas de uma tendência para perpetrar ataques cada vez mais perigosos e recorrentes em larga escala contra sistemas de informação cruciais para os Estados ou para certas funções específicas do sector público ou privado. Esta tendência é acompanhada pelo desenvolvimento de instrumentos cada vez mais sofisticados, que podem ser utilizados pelos criminosos para lançar ciberataques de vários tipos.

3.9 É importante adoptar definições comuns neste domínio, nomeadamente no que diz respeito aos sistemas de informação e aos dados informáticos, de modo a assegurar a coerência da aplicação da presente directiva nos Estados-Membros.

3.10 É necessário adoptar uma abordagem comum sobre os elementos constitutivos de infracções penais, introduzindo as infracções comuns do acesso ilegal aos sistemas de informação, interferência ilegal nos sistemas, interferência ilegal nos dados e intercepção ilegal.

3.11 Os Estados-Membros devem prever sanções para os ataques contra os sistemas de informação. As sanções previstas devem ser efectivas, proporcionadas e dissuasivas.

3.12 Embora revogue a Decisão-Quadro 2005/222/JAI, a directiva manterá as suas disposições actuais e incluirá os seguintes novos elementos: (a) Sanciona a produção, venda, aquisição para utilização, importação, distribuição ou outra forma de disponibilizar os dispositivos/instrumentos utilizados para cometer as infracções. (b) Prevê circunstâncias agravantes: — os ataques em larga escala – serão combatidos os «botnets» ou instrumentos semelhantes mediante a introdução de uma nova circunstância agravante: o acto de criar um «botnet» ou um instrumento semelhante constitui um factor agravante quando são cometidos os crimes enumerados na Decisão-Quadro em vigor; — quando tais ataques são perpetrados mediante a dissimulação da identidade real do autor e causando prejuízos ao titular legítimo da identidade. (c) Introduz a «intercepção ilegal» como infracção. (d) Introduz medidas para melhorar a cooperação em matéria de justiça penal a nível europeu mediante o reforço da estrutura existente de pontos de contacto (28) disponíveis 24 horas por dia e 7 dias por semana. (e) Refere a necessidade de fornecer dados estatísticos sobre cibercriminalidade, incluindo os crimes mencionados na actual Directiva-Quadro e a recém-introduzida «intercepção ilegal». (f) Contém, nas definições das infracções penais enumeradas nos artigos 3.o, 4.o e 5.o (acesso ilegal aos sistemas de informação, interferência ilegal no sistema e interferência ilegal nos dados), uma disposição que permite unicamente a criminalização dos «casos que tenham alguma gravidade» no processo de transposição da directiva para o direito nacional.

Bruxelas, 4 de Maio de 2011 O Presidente do Comité Económico e Social Europeu Staffan NILSSON

(1) Convenção do Conselho da Europa sobre a Cibercriminalidade Informática, Budapeste, 23.11.2001, STCE-185.

(2) Ver http://conventions.coe.int/Treaty/Commun/ChercheSig.asp?NT=185&CM=&DF=&CL=ENG

(3) Parecer do CESE sobre Sociedade da Informação Segura, JO C 97 de 28.4.2007, p. 21.

(4) COM(2010) 245, COM(2010) 2020.

(5) Parecer do CESE sobre Sociedade da Informação Segura, JO C 97 de 28.4.2007, p. 21. Parecer do CESE sobre Fazer progredir a Internet, JO C 175 de 28.7.2009, p. 92. Parecer do CESE sobre Protecção das infra-estruturas críticas da informação, JO C 255 de 22.9.2010, p. 98. Parecer do CESE sobre Uma Agenda Digital para a Europa, JO C 54 de 19.2.2011, p. 58. Parecer do Comité sobre o «Novo» regulamento relativo à ENISA, ainda não publicado no JO. Parecer do Comité sobre Melhorar a literacia, as competências e a inclusão digitais, ainda não publicado no JO.

(6) O termo «botnet» designa uma rede de computadores que foram infectados por software maligno (vírus informáticos). Esta rede de computadores «sequestrados» («zombies») pode ser activada para executar acções específicas, como atacar sistemas de informação (ciberataques). Estes «zombies» podem ser controlados – frequentemente sem o conhecimento dos utilizadores dos computadores «sequestrados» – por outro computador, É muito difícil localizar os autores da infracção, dado que os computadores que formam o «botnet» e realizam o ataque podem encontrar-se num local diferente daquele em que se encontra o infractor.

(7) Ataque na forma de negação de serviço – um ataque na forma de negação de serviço tem por objectivo tornar um recurso informático (por exemplo, um sítio Web ou um serviço de Internet) indisponível para os seus destinatários. O servidor ou a página Web contactado aparecerá como «indisponível» aos seus utilizadores. O resultado desse tipo de ataque pode, por exemplo, tornar os sistemas de pagamentos em linha inoperacionais, provocando perdas para os seus utilizadores.

(8) Segundo um estudo de 2009 apresentado ao Fórum Económico Mundial, os custos globais da cibercriminalidade são de $1 bilião e estão a aumentar rapidamente. Ver pontos 2.5 e 2.7 infra.

(9) http://www.legislation.gov.uk/ukpga/2006/48/contents.

(10) SEC(2010) 1122 final – Documento de trabalho e avaliação de impacto dos serviços da Comissão que acompanha o documento da proposta de directiva relativa a ataques contra os sistemas de informação.

(11) A computação em nuvem refere-se ao fornecimento de recursos de computação, a pedido ou automaticamente, pela Internet. Os serviços em nuvem são apresentados aos utilizadores de forma simples, de fácil compreensão sem que os utilizadores tenham de saber como é que os serviços são prestados. Programas informáticos de ponta de segurança para a Internet e antivírus destinados ao utilizador final podem ser fornecidos através de uma plataforma em nuvem a todos os utilizadores em linha na Europa, reduzindo a necessidade de os utilizadores se protegerem a si próprios.

(12) As redes são uma forma de computação distribuída em que um «super computador virtual» é composto de muitos computadores ligados com flexibilidade em rede para desempenharem tarefas muito pesadas. As tecnologias de computação distribuídas podem proporcionar uma plataforma para sistemas de análise e reacção em tempo real a ciberataques.

(13) Parecer do Comité sobre o «Novo» regulamento relativo à ENISA, JO C 107 de 6.4.2011, p. 58.

(14) Os valores oficiais da Casa Branca indicam que o Governo dos EUA despendeu $407m em pesquisa, desenvolvimento e formação em matéria de segurança informática em 2010 e propõe-se despender $548m em 2012. http://www.whitehouse.gov/sites/default/files/microsites/ostp/FY12-slides.pdf

(15) «Malware», ou malicious software (software maligno), é um programa informático concebido para aceder secretamente a um sistema informático sem o consentimento informado do proprietário.

(16) Unsecured Economies: Protecting Vital Information, realizado por investigadores do Centre for Education and Research in Information Assurance and Security da Universidade de Purdue, encomendado pela McAffee (2009). http://www.cerias.purdue.edu/assets/pdf/mfe_unsec_econ_pr_rpt_fnl_online_012109.pdf

(17) http://www.cabinetoffice.gov.uk/resource-library/cost-of-cyber-crime

(18) SEC(2010) 1122.

(19) Parecer do CESE sobre Sociedade da Informação Segura, JO C 97 de 28.4.2007, p. 21 (TEN/254).

(20) SEC(2010) 1122, Avaliação de Impacto da COM(2010) 517.

(21) Parecer do Comité sobre o «Novo» regulamento relativo à ENISA, JO C 107 de 6.4.2011, p. 58.

(22) COM(2007) 267 - Rumo a uma política geral de luta contra o cibercrime.

(23) Os valores oficiais da Casa Branca indicam que o Governo dos EUA despendeu $407m em pesquisa, desenvolvimento e formação em matéria de segurança informática em 2010 e propõe-se despender $548m em 2012. http://www.whitehouse.gov/sites/default/files/microsites/ostp/FY12-slides.pdf

(24) JO L 69 de 16.3.2005, p. 68.

(25) Relatório da Comissão ao Conselho apresentado nos termos do artigo 12.o da Decisão-Quadro do Conselho, de 24 de Fevereiro de 2005, relativa a ataques contra os sistemas de informação - COM(2008) 448 final.

(26) Ver nota 6 supra.

(27) O número de conexões por 24 horas é a unidade de medida geralmente utilizada para calcular a dimensão dos «botnets».

(28) Introduzida pela Convenção, e DQ 2005/222/JAI relativa a ataques contra os sistemas de informação.