COMISSÃO EUROPEIA Bruxelas, 16.12.2020 JOIN(2020) 18 final COMUNICAÇÃO CONJUNTA AO PARLAMENTO EUROPEU E AO CONSELHO Estratégia de cibersegurança da UE para a década digital



COMUNICAÇÃO CONJUNTA AO PARLAMENTO EUROPEU E AO CONSELHO



Estratégia de cibersegurança da UE para a década digital I.INTRODUÇÃO: UMA TRANSFORMAÇÃO DIGITAL CIBERSEGURA NUM CENÁRIO DE AMEAÇAS COMPLEXO A cibersegurança é parte integrante da segurança dos europeus. Quer se trate de dispositivos conectados, redes elétricas, bancos, aeronaves, administrações públicas ou hospitais, as pessoas têm direito a utilizá-los ou frequentá-los com a garantia de que estarão protegidas contra ciberameaças. Mais do que nunca, a economia, a democracia e a sociedade na UE estão dependentes de ferramentas e ligações digitais seguras e fiáveis. A cibersegurança afigura-se, portanto, essencial para construir uma Europa resiliente, ecológica e digital. Os transportes, a energia, a saúde, as telecomunicações, o sistema financeiro, a segurança, os processos democráticos, o espaço e a defesa são domínios que dependem em larga medida de redes e de sistemas de informação cada vez mais interligados. As interdependências transetoriais são muito fortes, dado que as redes e os sistemas de informação dependem, por sua vez, de um fornecimento de eletricidade estável para poderem funcionar. O número de dispositivos conectados já supera a população do planeta, prevendo-se que atinja 25 mil milhões até 2025: um quarto destes dispositivos estará na Europa. A pandemia de COVID-19 veio acelerar a digitalização dos modelos de trabalho, tendo 40 % dos trabalhadores da UE passado para o regime de teletrabalho, com prováveis efeitos permanentes na vida quotidiana. Esta mudança aumenta as vulnerabilidades perante ciberataques. Em muitos casos, os objetos conectados são entregues ao consumidor com vulnerabilidades conhecidas, ampliando assim a superfície de ataque das ciberatividades maliciosas. O panorama industrial da UE é cada vez mais digitalizado e conectado, mas tal significa igualmente que os ciberataques podem ter um impacto maior do que nunca nas indústrias e nos ecossistemas. O cenário de ameaças é constituído por tensões geopolíticas relativamente à Internet mundial e aberta e relativamente ao controlo das tecnologias em toda a cadeia de abastecimento. Estas tensões refletem-se no número crescente de Estados-nação que têm levantado fronteiras digitais. As restrições da Internet e no seio da mesma ameaçam o ciberespaço mundial e aberto, bem como o Estado de direito, os direitos fundamentais, a liberdade e a democracia — os valores fundamentais da UE. O ciberespaço é cada vez mais explorado para fins políticos e ideológicos, e a crescente polarização à escala internacional está a dificultar um multilateralismo eficaz. As ameaças híbridas combinam campanhas de desinformação com ciberataques a infraestruturas, processos económicos e instituições democráticas, tendo capacidade para causar danos materiais, conseguir acesso ilegal a dados pessoais, furtar segredos industriais ou de Estado, gerar desconfiança e enfraquecer a coesão social. Estas atividades põem em causa a segurança e a estabilidade no plano internacional e os benefícios que o ciberespaço proporciona ao desenvolvimento económico, social e político. Os ataques direcionados contra infraestruturas críticas representam um risco significativo a nível mundial. A Internet tem uma arquitetura descentralizada, sem nenhuma estrutura central e com uma governação multilateral. Tem logrado manter aumentos exponenciais nos volumes de tráfego, isto apesar de ser constantemente alvo de tentativas de perturbação maliciosas. Ao mesmo tempo, observa-se uma crescente dependência das principais funções da Internet global e aberta, mais concretamente o Sistema de Nomes de Domínio (DNS), e dos serviços essenciais da Internet nos domínios das comunicações e alojamento, aplicações e dados. Estes serviços estão cada vez mais concentrados nas mãos de um pequeno número de empresas privadas, deixando a economia e sociedade europeias vulneráveis perante acontecimentos disruptivos no plano geopolítico ou técnico que afetam a essência da Internet ou uma ou mais das referidas empresas. A maior utilização da Internet e a alteração dos hábitos decorrentes da pandemia tornaram ainda mais patente a fragilidade das cadeias de abastecimento que dependem destas infraestruturas digitais. As preocupações de segurança são um grande desincentivo à utilização dos serviços em linha. Cerca de dois quintos dos utilizadores na UE já tiveram problemas relacionados com a segurança e três quintos sentem-se incapazes de se protegerem contra a cibercriminalidade . Um terço recebeu, nos últimos três anos, mensagens de correio eletrónico fraudulentas ou chamadas telefónicas a solicitar dados pessoais, mas 83 % nunca denunciaram um cibercrime. Uma em cada oito empresas já foi afetada por ciberataques . Mais de metade dos computadores pessoais (PC) de empresas e particulares que sofrem uma infeção com programas maliciosos voltam a ser infetados no mesmo ano. Todos os anos, perdem-se centenas de milhões de registos devido a violações de dados; o custo médio por empresa de uma violação de dados ascendeu a mais de 3,5 milhões de EUR em 2018 . Em muitos casos, não é possível isolar os efeitos de um ciberataque, que podem desencadear reações em cadeia na economia e na sociedade, afetando milhões de pessoas . A investigação de quase todos os tipos de crime tem uma vertente digital. Em 2019, apurou-se que o número de incidentes triplicou em termos homólogos. Estima-se que existam 700 milhões de novas amostras de programas maliciosos — o meio mais frequente de efetuar um ciberataque. As estimativas apontam para que, em 2020, o custo anual da cibercriminalidade para a economia mundial seja de 5,5 biliões de EUR, o dobro em relação a 2015 . Este valor representa a maior transferência de riqueza económica da história, superando o tráfico de droga mundial. Relativamente a um incidente de grande escala, nomeadamente o ataque com o programa de sequestro WannaCry em 2017, estima-se que o custo para a economia mundial tenha sido superior a 6,5 mil milhões de EUR. Os serviços digitais e o setor financeiro estão entre os alvos mais frequentes dos ciberataques, a par do setor público e da indústria transformadora. Ainda assim, a prontidão e sensibilização das empresas e dos particulares para as questões digitais mantêm-se em níveis baixos, verificando-se um grande défice de qualificações de cibersegurança na mão de obra. Em 2019, registaram-se perto de 450 incidentes de cibersegurança que afetaram infraestruturas críticas europeias em domínios como o sistema financeiro e a energia. As organizações e os profissionais de saúde foram atingidos de forma particularmente grave durante a pandemia. Com a ligação cada vez mais indissociável entre a tecnologia e o mundo físico, os ciberataques põem em risco a vida e o bem-estar dos mais vulneráveis. Considera-se que mais de dois quintos das empresas, principalmente PME, são «principiantes» no domínio da cibersegurança, estimando-se que as empresas europeias estão menos bem preparadas do que as suas congéneres da Ásia e da América . Calcula-se que continuem por preencher cerca de 291 000 vagas de profissionais da cibersegurança na Europa. A contratação e a formação de peritos em cibersegurança são processos lentos, dando azo a um acréscimo dos riscos de cibersegurança para as organizações. A UE carece de um conhecimento situacional coletivo das ciberameaças. Tal deve-se ao facto de as autoridades nacionais não recolherem e partilharem de forma sistemática informações — por exemplo, os dados disponíveis no setor privado — que poderiam ajudar a avaliar o estado da cibersegurança na UE. Apenas uma fração dos incidentes é comunicada pelos Estados-Membros e a partilha de informações não é sistemática nem exaustiva ; os ciberataques podem ser apenas uma faceta de ataques maliciosos concertados contra as sociedades europeias. Atualmente, a assistência operacional mútua dos Estados-Membros é reduzida, não existindo nenhum mecanismo operacional entre os Estados-Membros e as instituições, agências e organismos da UE para a eventualidade de ciberincidentes ou cibercrises transfronteiras de grande escala. Melhorar a cibersegurança é, por conseguinte, fundamental para que os cidadãos confiem, utilizem e tirem proveito da inovação, conectividade e automatização, bem como para proteger os direitos e as liberdades fundamentais, incluindo os direitos à vida privada e à proteção dos dados de caráter pessoal, e a liberdade de expressão e de informação. A cibersegurança é indispensável para a conectividade à rede e para a Internet aberta e mundial que deve apoiar a transformação da economia e da sociedade na década de 2020. Contribui para melhores e mais empregos, locais de trabalho mais flexíveis, transportes e agricultura mais eficientes e sustentáveis e um acesso mais fácil e equitativo aos serviços de saúde. A cibersegurança é igualmente essencial com vista à transição para energia mais limpa, no quadro do Pacto Ecológico Europeu, por meio de redes transfronteiras e contadores inteligentes e evitando a duplicação desnecessária do armazenamento de dados. Por último, é crucial para a segurança e a estabilidade no plano internacional e para o desenvolvimento das economias, das democracias e das sociedades à escala mundial. Os governos, as empresas e os particulares terão, portanto, de utilizar as ferramentas digitais de forma responsável e tendo consciência das questões de segurança. A sensibilização e a «higiene» no domínio da cibersegurança devem apoiar a transformação digital das atividades quotidianas. A nova estratégia de cibersegurança da UE para a década digital é parte integrante da estratégia intitulada «Construir o futuro digital da Europa», do plano de recuperação da Europa da Comissão, da Estratégia da UE para a União da Segurança 2020-2025, da Estratégia Global para a Política Externa e de Segurança da UE e da Nova Agenda Estratégica do Conselho Europeu para 2019-2024. A estratégia define a abordagem que a UE vai seguir para proteger os seus cidadãos, empresas e instituições contra as ciberameaças, aumentar a cooperação internacional e assegurar a liderança na proteção de uma Internet aberta e mundial. II.PENSAR À ESCALA MUNDIAL, AGIR DE FORMA EUROPEIA A presente estratégia visa assegurar uma Internet mundial e aberta com barreiras de segurança firmes, com vista a enfrentar os riscos que se colocam à segurança e aos direitos e liberdades fundamentais das pessoas na Europa. Dando sequência aos progressos alcançados no âmbito das estratégias anteriores, a estratégia contém propostas concretas relativas ao estabelecimento de três instrumentos principais — instrumentos de regulamentação, de investimento e de política — para intervir em três domínios de ação da UE: 1) resiliência, soberania tecnológica e liderança; 2) criação de capacidade operacional para prevenir, dissuadir e responder; e 3) promoção de um ciberespaço mundial e aberto. A UE está empenhada em apoiar esta estratégia mediante um nível de investimento sem precedentes na transição digital da UE ao longo dos próximos sete anos — que poderá atingir o quádruplo dos níveis anteriores —, no âmbito de novas políticas tecnológicas e industriais e da agenda de recuperação. A cibersegurança deve ser integrada em todos estes investimentos no domínio digital, particularmente em tecnologias fulcrais, como a inteligência artificial (IA), a cifragem e a computação quântica, recorrendo a incentivos, obrigações e parâmetros de referência. Esta medida pode estimular o crescimento da indústria europeia da cibersegurança e conferir o grau de certeza necessário para facilitar a eliminação gradual dos sistemas herdados. O Fundo Europeu de Defesa (FED) apoiará soluções europeias de ciberdefesa, no âmbito de uma base tecnológica e industrial de defesa europeia. A cibersegurança faz parte dos instrumentos de financiamento externo destinados a apoiar os parceiros da UE, mais concretamente o Instrumento de Vizinhança, de Cooperação para o Desenvolvimento e de Cooperação Internacional. Prevenir a utilização abusiva das tecnologias, proteger as infraestruturas críticas e garantir a integridade das cadeias de abastecimento permite igualmente à UE respeitar as normas, regras e princípios das Nações Unidas sobre o comportamento responsável dos Estados. 1 RESILIÊNCIA, SOBERANIA TECNOLÓGICA E LIDERANÇA As infraestruturas críticas e os serviços essenciais da UE estão cada vez mais interdependentes e digitalizados. Tudo o que está ligado à Internet na UE, quer se trate de veículos automatizados, sistemas de controlo industrial ou eletrodomésticos, e o conjunto das cadeias de abastecimento que os disponibilizam têm de ser seguros desde a conceção, resilientes a ciberincidentes e prontamente corrigidos quando são detetadas vulnerabilidades. Trata-se de um aspeto fundamental para que os setores público e privado da UE tenham a possibilidade de escolha entre as infraestruturas e os serviços mais seguros. A próxima década será uma oportunidade para a UE assumir a dianteira no desenvolvimento de tecnologias seguras em toda a cadeia de abastecimento. A fim de assegurar a resiliência e capacidades industriais e tecnológicas mais sólidas na cibersegurança, devem ser mobilizados todos os instrumentos necessários de regulamentação, de investimento e de política. A cibersegurança desde a fase de conceção para processos, operações e dispositivos industriais pode atenuar os riscos, proporcionar uma redução dos custos, tanto para as empresas, como para a sociedade em geral, e aumentar, deste modo, a resiliência.

1.1 Infraestruturas resilientes e serviços críticos As regras da UE relativas à segurança das redes e da informação (SRI) são centrais no mercado único da cibersegurança. A Comissão propõe reformar estas regras no âmbito de uma Diretiva SRI revista, com o intuito de incrementar o nível de ciber-resiliência de todos os setores, quer públicos quer privados, que desempenham uma função importante para a economia e a sociedade. Esta revisão é necessária para diminuir as incoerências no conjunto do mercado único, mediante um alinhamento dos requisitos relativos ao âmbito de aplicação, à segurança e à comunicação de incidentes, da supervisão e aplicação ao nível nacional e das atribuições das autoridades competentes. Uma Diretiva SRI revista servirá de base a regras mais específicas que são igualmente necessárias para setores estrategicamente importantes, nomeadamente a energia, os transportes e a saúde. A fim de assegurar uma abordagem coerente, conforme anunciado na Estratégia para a União da Segurança 2020-2025, a proposta de diretiva revista é apresentada juntamente com uma revisão da legislação em matéria de resiliência das infraestruturas críticas. As tecnologias energéticas que incorporam componentes digitais e a segurança das respetivas cadeias de abastecimento são importantes para a continuidade dos serviços essenciais e para o controlo estratégico de infraestruturas energéticas críticas. Por conseguinte, a Comissão proporá medidas a serem adotadas até ao final de 2022, incluindo um «código de rede» destinado a estabelecer regras aplicáveis à cibersegurança nos fluxos transfronteiriços de eletricidade. O setor financeiro deve igualmente reforçar a resiliência operacional digital e assegurar uma capacidade para enfrentar todos os tipos de perturbações e ameaças relacionadas com as tecnologias da informação e comunicação (TIC), tal como proposto pela Comissão . No que respeita aos transportes, a Comissão aditou disposições sobre cibersegurança à legislação da UE em matéria de segurança da aviação e prosseguirá os seus esforços com vista a aumentar a ciber-resiliência em todos os modos de transporte. O reforço da ciber-resiliência dos processos democráticos e das instituições é um elemento nuclear do Plano de Ação para a Democracia Europeia no que respeita à garantia e à promoção de eleições livres, do discurso democrático e da pluralidade dos meios de comunicação social. Por último, relativamente à segurança das infraestruturas e dos serviços no âmbito do futuro Programa Espacial, a Comissão continuará a aprofundar a estratégia de cibersegurança do Galileo para a próxima geração de serviços do sistema mundial de navegação por satélite, bem como outras componentes do Programa Espacial. 1.2 Construir um ciberescudo europeu Atendendo à disseminação da conectividade e à sofisticação cada vez maior dos ciberataques, os centros de partilha e análise de informações (ISAC) desempenham uma importante função, incluindo ao nível setorial, ao permitirem o intercâmbio entre vários intervenientes de informações sobre ciberameaças. Acresce que as redes e os sistemas informáticos requerem um acompanhamento e uma análise em permanência, por forma a detetar intrusões e anomalias em tempo real. Por conseguinte, muitas empresas privadas, organizações públicas e autoridades nacionais criaram equipas de resposta a incidentes de segurança informática (CSIRT) e centros de operações de segurança. Estes centros de operações de segurança têm um papel essencial na recolha de registos e no isolamento de ocorrências suspeitas nas redes de comunicação que monitorizam. Para o efeito, recorrem à identificação de sinais e padrões e à extração de conhecimento sobre ameaças a partir das grandes quantidades de dados que é necessário avaliar. Têm contribuído para a deteção das atividades de ficheiros executáveis maliciosos e, por outro lado, ajudado a conter os ciberataques. O trabalho pedido a estes centros é muito exigente e caracteriza-se por um ritmo acelerado, motivo pelo qual a IA e, mais concretamente, as técnicas de aprendizagem automática podem prestar um apoio inestimável aos profissionais. A Comissão propõe desenvolver uma rede de centros de operações de segurança em toda a UE, bem como apoiar a melhoria dos centros existentes e o estabelecimento de novos centros. Além disso, prestará assistência à formação e ao desenvolvimento das qualificações do pessoal com funções nesses centros. A Comissão poderá afetar, com base numa análise das necessidades levada a cabo com as partes interessadas e apoiada pela Agência da UE para a Cibersegurança (ENISA), mais de 300 milhões de EUR ao apoio à cooperação entre entidades públicas e privadas e transfronteiras na criação de redes nacionais e setoriais, que envolva igualmente as PME, assentando em mecanismos de governação, de partilha de dados e de segurança adequados. Os Estados-Membros são encorajados a coinvestir neste projeto. Os centros poderão, assim, ser capazes de partilhar e correlacionar de forma mais eficiente os sinais detetados e de gerar informações de elevada qualidade sobre ciberameaças, a partilhar com os ISAC e as autoridades nacionais, permitindo, deste modo, um conhecimento situacional mais completo. A finalidade seria ligar, de forma faseada, o máximo de centros possível em toda a UE, no sentido de gerar um conhecimento coletivo e de partilhar boas práticas. Será concedido apoio a estes centros, a fim de melhorar a deteção de incidentes, a análise e os tempos de resposta através de IA de ponta e de funções de aprendizagem automática, que será complementado por infraestruturas de supercomputação desenvolvidas na UE pela Empresa Comum para a Computação Europeia de Alto Desempenho. Mediante a colaboração e cooperação contínuas, esta rede alertará, em tempo útil, as autoridades e todas as partes interessadas, incluindo a ciberunidade conjunta (ver secção 2.1), para incidentes de cibersegurança. Funcionará como verdadeiro escudo de cibersegurança para a UE, proporcionando um agregado consistente de torres de vigilância capazes de detetar ameaças potenciais antes de estas poderem causar danos em grande escala. 1.3 Uma infraestrutura de comunicação ultrassegura O sistema de comunicações governamentais por satélite da União Europeia, uma componente do Programa Espacial, proporcionará capacidades de comunicação espacial seguras e económicas a missões e operações críticas no plano da segurança geridas pela UE e pelos seus Estados-Membros, incluindo os intervenientes no domínio da segurança nacional e as instituições, organismos e agências da UE. Os Estados-Membros comprometeram-se a trabalhar em conjunto com a Comissão no desenvolvimento de uma infraestrutura de comunicação quântica (QCI) segura para a Europa. Com a QCI, as entidades públicas terão ao seu dispor uma forma completamente nova de transmitir informação confidencial por meio de um método de cifragem ultrasseguro, destinado a servir de escudo contra ciberataques, e desenhado com tecnologia europeia. A QCI terá duas componentes principais: as redes terrestres de comunicação por fibra existentes, que interligam sítios estratégicos à escala nacional e transfronteiras; e satélites espaciais ligados que abrangem todo o território da UE, incluindo os territórios ultramarinos. Esta iniciativa, tendente a desenvolver e implementar métodos de cifragem mais seguros, assim como delinear novas formas de proteger ativos de comunicação e dados críticos, pode contribuir para manter em segurança informações sensíveis e infraestruturas críticas. Neste contexto, seguindo uma abordagem prospetiva, a Comissão analisará a possível implantação de um sistema multiorbital de conectividade seguro. Tendo por base o GOVSATCOM e a QCI, poderá integrar tecnologias de ponta (tecnologias quânticas, 5G, IA, computação periférica) conformes com o mais rigoroso quadro de cibersegurança, a fim de apoiar serviços seguros desde a conceção, tais como uma conectividade fiável, segura e com uma boa relação custo-eficácia e comunicações encriptadas para atividades governamentais críticas. 1.4 Segurança da próxima geração de redes móveis de banda larga Os cidadãos e as empresas da UE que utilizem aplicações avançadas e inovadoras baseadas nas redes 5G e de gerações futuras devem poder contar com os mais elevados padrões de segurança. Os Estados-Membros, em colaboração com a Comissão e com o apoio da ENISA, definiram, no conjunto de instrumentos da UE para as redes 5G, de janeiro de 2020, uma abordagem global, objetiva e assente no risco em matéria de cibersegurança das redes 5G, que assenta numa avaliação de possíveis planos de atenuação e na identificação das medidas mais eficazes. Além disso, a UE tem vindo a consolidar as suas capacidades no domínio das redes 5G e não só, a fim de evitar dependências e de promover uma cadeia de abastecimento sustentável e diversificada. Em dezembro de 2020, a Comissão publicou um relatório sobre os impactos da recomendação de 26 de março de 2019 sobre a cibersegurança das redes 5G. O relatório demonstrou que foram realizados progressos significativos desde a aprovação do conjunto de instrumentos e que a maioria dos Estados-Membros está no caminho certo para concluir uma parte considerável da aplicação do conjunto de instrumentos no futuro próximo, não obstante algumas variações e as lacunas subsistentes que já tinham sido assinaladas no relatório intercalar publicado em julho de 2020. Em outubro de 2020, o Conselho Europeu exortou a UE e os Estados-Membros «a fazerem pleno uso do conjunto de instrumentos para a cibersegurança das redes 5G» e «a aplicarem as restrições necessárias aos fornecedores de alto risco no que respeita a ativos essenciais definidos como críticos e sensíveis nas avaliações coordenadas dos riscos ao nível da UE». Prospetivamente, a UE e os seus Estados-Membros devem assegurar que os riscos identificados tenham sido atenuados de forma satisfatória e coordenada, atendendo principalmente ao objetivo de minimizar a exposição a fornecedores de alto risco e de evitar depender dos mesmos aos níveis nacional e da União, e que eventuais novos desenvolvimentos ou riscos significativos sejam tidos em conta. Os Estados-Membros são convidados a fazerem pleno uso do conjunto de instrumentos no âmbito dos seus investimentos nas capacidades digitais e na conectividade. Com base no relatório sobre os impactos da recomendação de 2019, a Comissão insta os Estados-Membros a acelerarem os seus esforços no sentido de concluir a aplicação das principais medidas do conjunto de instrumentos até ao segundo trimestre de 2021. Adicionalmente, exorta os Estados-Membros a prosseguirem o acompanhamento conjunto dos progressos realizados e a garantirem uma maior harmonização das abordagens. No plano da UE, serão visados três objetivos principais para apoiar este processo: garantir uma maior convergência das abordagens de atenuação dos riscos em toda a UE, apoiar continuamente o intercâmbio de conhecimentos e o reforço de capacidades, bem como promover a resiliência das cadeias de abastecimento e outros objetivos estratégicos da UE no domínio da segurança. O apêndice da presente comunicação especifica medidas concretas relacionadas com estes objetivos principais. A Comissão continuará a colaborar estreitamente com os Estados-Membros para realizar estes objetivos e medidas, com o apoio da ENISA (ver apêndice).

1.5 Uma Internet de Coisas Seguras Qualquer objeto conectado tem vulnerabilidades que podem ser exploradas, com ramificações potencialmente generalizadas. As regras do mercado interno preveem salvaguardas contra produtos e serviços inseguros. A Comissão está a trabalhar com vista a assegurar soluções de segurança e uma certificação transparentes, no âmbito do Regulamento Cibersegurança, e a incentivar produtos e serviços seguros sem pôr em causa o desempenho. No primeiro trimestre de 2021, a Comissão adotará o primeiro programa de trabalho evolutivo da União (a atualizar pelo menos de três em três anos), a fim de permitir que a indústria, as autoridades nacionais e os organismos de normalização se preparem com antecedência para os futuros sistemas europeus de certificação da cibersegurança. Com a proliferação da Internet das coisas, impõe-se um reforço das normas aplicáveis, quer para garantir a resiliência geral, quer para fomentar a cibersegurança. A Comissão equacionará uma abordagem abrangente, incluindo possíveis novas regras horizontais para melhorar a cibersegurança de todos os produtos conectados e serviços conexos colocados no mercado interno. Estas regras podem incluir um novo dever de diligência para os fabricantes de dispositivos conectados, que teriam a responsabilidade de eliminar as vulnerabilidades dos programas informáticos, nomeadamente a disponibilização contínua de atualizações de segurança e dos programas, e de assegurar, no fim de vida, a supressão dos dados pessoais e outros dados sensíveis. Estas regras podem reforçar a iniciativa «direito à reparação de software obsoleto» apresentada no Plano de Ação para a Economia Circular e complementar as medidas que abordam tipos específicos de produtos, tais como requisitos obrigatórios a propor para o acesso ao mercado de certos produtos sem fios (mediante a adoção de um ato delegado ao abrigo da Diretiva Equipamentos de Rádio) e o objetivo de aplicar regras de cibersegurança para os veículos a motor para todos os novos tipos de veículos a partir de julho de 2022. Além disso, poderão complementar a proposta de revisão das regras gerais de segurança dos produtos, que não se referem diretamente aos aspetos de cibersegurança. 1.6 Maior segurança mundial da Internet Um conjunto de protocolos centrais e de infraestruturas de apoio assegura a funcionalidade e integridade da Internet à escala mundial. Este conjunto inclui o DNS e o seu sistema hierárquico e delegado de zonas, iniciando-se, no topo da hierarquia, com a zona de raiz e os treze servidores de raiz DNS, dos quais depende a rede World Wide Web. A Comissão tenciona elaborar um plano de contingência, apoiado por financiamento da UE, para dar resposta a cenários extremos que afetem a integridade e a disponibilidade do sistema de raiz DNS mundial. Trabalhará em conjunto com a ENISA, os Estados-Membros, os dois operadores de servidores de raiz DNS da UE e a comunidade multilateral no sentido de avaliar o papel destes operadores para assegurar que a Internet permanece acessível mundialmente em todas as circunstâncias. Para que um cliente aceda a um recurso sob um nome de domínio específico na Internet, o seu pedido (por norma, de Localizador Uniforme de Recursos, ou URL) deve ser traduzido ou «resolvido» num endereço IP, através de uma referência aos servidores de nome DNS. Contudo, na UE, as pessoas e as organizações estão cada vez mais dependentes de um pequeno número de resolvedores de DNS públicos geridos por entidades não localizadas na UE. Esta concentração da resolução de DNS nas mãos de um pequeno número de empresas torna o próprio processo de resolução vulnerável em caso de acontecimentos significativos que afetem um grande fornecedor, dificultando a tarefa das autoridades da UE na resposta a possíveis ciberataques maliciosos e grandes incidentes geopolíticos ou técnicos. Com vista a reduzir os problemas de segurança relacionados com a concentração do mercado, a Comissão promoverá a adoção de uma estratégia de diversificação da resolução de DNS junto das partes interessadas, incluindo as empresas, os fornecedores de serviços Internet e os fornecedores de navegadores da UE. A Comissão pretende igualmente contribuir para tornar a conectividade à Internet segura, apoiando o desenvolvimento de um serviço público europeu de resolução de DNS. Esta iniciativa, «DNS4EU», oferecerá um serviço europeu alternativo para aceder à Internet mundial. O DNS4EU será transparente e compatível com as mais recentes normas e regras de segurança, proteção de dados e privacidade desde a conceção e por predefinição, e fará parte da Aliança Industrial Europeia para os Dados e a Nuvem. A Comissão vai igualmente, em articulação com os Estados-Membros e a indústria, acelerar a adoção de padrões de Internet essenciais, incluindo o IPv6, padrões de segurança da Internet bem implantados e boas práticas de DNS, encaminhamento e segurança do correio eletrónico, não excluindo medidas regulamentares como uma cláusula de caducidade europeia para o Ipv4, a fim de orientar o mercado caso os progressos na sua adoção sejam insuficientes. A UE deve promover (por exemplo, no âmbito da Estratégia UE-África) a aplicação destes novos padrões nos países parceiros, como forma de apoiar o desenvolvimento da Internet mundial e aberta e de contrariar os modelos da Internet fechados e baseados no controlo. Por último, a Comissão aferirá a necessidade de um mecanismo de monitorização e recolha mais sistemáticas de dados agregados no tráfego da Internet e de aconselhamento sobre potenciais perturbações. 1.7 Uma presença mais forte na cadeia de abastecimento de tecnologia Com o apoio financeiro que prevê conceder para a transformação digital cibersegura ao longo do quadro financeiro plurianual para 2021-2027, a UE tem a oportunidade única de reunir os seus ativos para impulsionar a sua Estratégia Industrial e o seu papel de liderança nas tecnologias digitais e na cibersegurança em toda a cadeia de abastecimento digital (incluindo nas tecnologias de dados e de computação em nuvem, nas tecnologias de processadores de próxima geração, na conectividade ultrassegura e nas redes 6G), em consonância com os seus valores e prioridades. A intervenção do setor público deve ter por base os instrumentos definidos no quadro regulamentar da UE em matéria de contratos públicos e os projetos importantes de interesse europeu comum. Num contexto mais amplo, também pode mobilizar investimento privado por meio de parcerias público-privadas (incluindo um aproveitamento da experiência adquirida com a parceria público-privada contratual para a cibersegurança e a sua execução pela Organização Europeia para Cibersegurança), capital de risco para apoio às PME ou alianças e estratégias industriais no domínio das capacidades tecnológicas. Será também dada especial atenção ao instrumento de assistência técnica e à melhor utilização das mais recentes ferramentas de cibersegurança pelas PME — principalmente às que não são abrangidas pela Diretiva SRI revista —, nomeadamente através de atividades específicas no quadro dos polos de inovação digital no programa Europa Digital. O objetivo é mobilizar um montante de investimento semelhante por parte dos Estados-Membros, ao qual a indústria deverá corresponder no âmbito de uma parceria coadministrada com os Estados-Membros no Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança e na Rede de Centros Nacionais de Coordenação (CCCN) propostos. Com os contributos das comunidades industriais e académicas, os CCCN devem ter um papel determinante no desenvolvimento da soberania tecnológica da UE relativamente à cibersegurança, no reforço da capacidade para proteger infraestruturas sensíveis, como as redes 5G, e na redução da dependência de outras regiões do globo para as tecnologias mais cruciais. A Comissão pretende apoiar, possivelmente com os CCCN, o desenvolvimento de um programa de mestrado dedicado à cibersegurança e contribuir para um roteiro europeu comum de investigação e inovação sobre cibersegurança para o período pós-2020. Os investimentos através dos CCCN podem igualmente potenciar a cooperação em investigação e desenvolvimento a cargo das redes de centros de excelência em cibersegurança, que congregam as melhores equipas de investigação da Europa e a indústria, para delinear e pôr em prática agendas comuns de investigação, em consonância com o roteiro da Organização Europeia para Cibersegurança. A Comissão continuará a inspirar-se no trabalho de investigação realizado pela ENISA e pela Europol, bem como a apoiar, no âmbito do Horizonte Europa, inovadores individuais da Internet que desenvolvam tecnologias de reforço da privacidade e de comunicação segura com base em software e equipamento informático de código aberto, à semelhança dos projetos no quadro da iniciativa Internet da próxima geração. 1.8 Uma mão de obra da UE ciberqualificada Os esforços da UE no sentido de melhorar as qualificações da mão de obra, de desenvolver, atrair e manter os melhores profissionais no domínio da cibersegurança e investir em investigação e inovação de craveira mundial representam uma componente importante da proteção contra as ciberameaças em geral. Este domínio oferece um grande potencial. Por isso, deve ser prestada atenção particular à necessidade de desenvolver, atrair e manter talentos mais diversificados. O Plano de Ação para a Educação Digital revisto incluirá a sensibilização das pessoas para a cibersegurança, principalmente das crianças e jovens, assim como das organizações, mormente as PME. Incentivará igualmente a participação das mulheres no ensino da ciência, tecnologia, engenharia e matemática («CTEM») e na melhoria e requalificação das competências digitais do emprego em TIC. Além disso, a Comissão procederá, em conjunto com o Instituto da Propriedade Intelectual da UE na Europol, a ENISA, os Estados-Membros e o setor privado, ao desenvolvimento de ferramentas e orientações de sensibilização para aumentar a resiliência das empresas da UE perante os furtos de propriedade intelectual possibilitados pelo ciberespaço. A educação — incluindo o ensino e formação profissionais (EFP) —, a sensibilização e os exercícios devem igualmente contribuir para um reforço das qualificações em cibersegurança e ciberdefesa ao nível da UE. Para o efeito, os intervenientes relevantes na UE, tais como a ENISA, a Agência Europeia de Defesa (AED) e a Academia Europeia de Segurança e Defesa (AESD), devem procurar criar sinergias entre as respetivas atividades. Iniciativas estratégicas A UE deve assegurar o seguinte: ·Adoção de uma Diretiva SRI revista; ·Medidas regulamentares tendentes a uma Internet de coisas seguras; ·Através do investimento dos CCCN em cibersegurança (nomeadamente o programa Europa Digital, o Horizonte Europa e o mecanismo de recuperação), a mobilização de até 4,5 mil milhões de EUR em investimentos públicos e privados no período de 2021-2027; ·Uma rede da UE de centros de operações de segurança possibilitados pela IA e uma infraestrutura de comunicação ultrassegura que potencie as tecnologias quânticas; ·Adoção generalizada de tecnologias de cibersegurança através de um apoio específico às PME, no âmbito dos polos de inovação digital; ·Desenvolvimento de um serviço de resolução de DNS da UE, como alternativa segura e aberta para o acesso dos cidadãos, empresas e administrações públicas da UE à Internet; e ·Conclusão da aplicação do conjunto de instrumentos 5G até ao segundo trimestre de 2021 (ver apêndice). 2 CRIAÇÃO DE CAPACIDADE OPERACIONAL PARA PREVENIR, DISSUADIR E RESPONDER Quer sejam involuntários ou resultado de uma ação deliberada de criminosos, de intervenientes estatais ou de outros intervenientes não estatais, os ciberincidentes podem provocar enormes danos. A sua escala e complexidade, geralmente relacionadas com a exploração de serviços, equipamento informático e software de terceiros para inviabilizar um alvo bem definido, tornam o cenário de ameaças coletivo da UE difícil de combater sem um quadro sistemático e completo de partilha de informações e cooperação, no âmbito de uma resposta comum. A UE visa, através da aplicação plena dos instrumentos regulamentares, da mobilização e da cooperação, apoiar os Estados-Membros na defesa dos seus cidadãos, bem como dos seus interesses económicos e de segurança nacional, no pleno respeito dos direitos e liberdades fundamentais e do Estado de direito. Diversas comunidades, constituídas por redes, pelas instituições, organismos e agências da UE e ainda pelas autoridades dos Estados-Membros, são responsáveis por prevenir, desincentivar, dissuadir e responder às ciberameaças, fazendo uso dos respetivos instrumentos e iniciativas. Estas comunidades incluem: i) as autoridades de SRI, como as CSIRT, e a resposta a catástrofes; ii) as autoridades policiais e judiciais; iii) a ciberdiplomacia; e iv) a ciberdefesa. 2.1 Uma Ciberunidade Conjunta

Uma Ciberunidade Conjunta pode funcionar como plataforma virtual e física de cooperação para as diferentes comunidades de cibersegurança na UE, com ênfase na coordenação operacional e técnica contra os principais ciberincidentes e ciberameaças transfronteiras. A Ciberunidade Conjunta pode constituir um passo importante para a conclusão do quadro europeu de gestão de crises de cibersegurança. Tal como referido nas orientações políticas da presidente da Comissão, a Ciberunidade deve permitir aos Estados-Membros e às instituições, organismos e agências da UE aproveitar plenamente as estruturas, recursos e capacidades existentes e promover uma mentalidade de «necessidade de partilhar». Assim, pode constituir um meio para consolidar os progressos realizados até à data na recomendação de 2017 sobre a resposta coordenada a incidentes e crises de cibersegurança em grande escala («plano de ação»). Pode igualmente fornecer uma oportunidade para aprofundar a cooperação relativamente à arquitetura do plano de ação e para aproveitar os progressos alcançados, especialmente, no âmbito do grupo de cooperação SRI e da rede CyCLONe. Esta abordagem poderia suprir duas lacunas principais que têm aumentado atualmente as vulnerabilidades e criado ineficiências na resposta dada às ameaças e incidentes transfronteiras que afetam a União. Em primeiro lugar, as comunidades de cibersegurança civis, diplomáticas, policiais e de defesa ainda não têm um espaço comum para pôr em prática uma cooperação estruturada e facilitar a cooperação operacional e técnica. Em segundo lugar, as partes interessadas na cibersegurança ainda não foram capazes de explorar todo o potencial da cooperação operacional e da assistência mútua no âmbito das redes e comunidades existentes. Tal é ilustrado pela ausência de uma plataforma que permita a cooperação operacional com o setor privado. A Ciberunidade deverá melhorar e acelerar a coordenação, bem como permitir à UE assumir o desafio e responder aos incidentes e crises de larga escala no ciberespaço. A Ciberunidade Conjunta não seria um organismo suplementar autónomo, nem afetaria as competências e os poderes das autoridades nacionais de cibersegurança ou dos participantes da UE. Pelo contrário, esta Ciberunidade pode servir de mecanismo de salvaguarda sempre que os participantes possam contar com o apoio e as competências especializadas uns dos outros, especialmente no caso de várias cibercomunidades terem de trabalhar em estreita colaboração. Ao mesmo tempo, os acontecimentos recentes demonstram a necessidade de a UE reforçar o seu nível de ambição e disponibilidade para enfrentar o panorama e as realidades das ciberameaças. No âmbito do seu contributo para a Ciberunidade Conjunta, os intervenientes da UE (Comissão e agências e organismos da UE) estarão, por conseguinte, prontos a aumentar significativamente os seus recursos e capacidades, a fim de aumentar a sua preparação e resiliência. A Ciberunidade Conjunta poderá cumprir três propósitos fundamentais. Primeiro, garantir a preparação em todas as comunidades de cibersegurança; segundo, através da partilha de informações, fomentar um conhecimento partilhado e contínuo da situação; terceiro, reforçar uma resposta e recuperação coordenadas. Para alcançar estes objetivos, a Ciberunidade deve alicerçar-se em pilares e metas bem definidos, nomeadamente garantir uma partilha de informações segura e rápida, melhorar a cooperação entre os participantes, incluindo a interação entre os Estados-Membros e as entidades pertinentes da UE, estabelecer parcerias estruturadas com uma base industrial de confiança e viabilizar uma abordagem coordenada da cooperação com os parceiros externos. Para o efeito, tendo por base um levantamento das capacidades disponíveis aos níveis nacional e da UE, a Ciberunidade pode facilitar a elaboração de um quadro de cooperação. No sentido de tornar a Ciberunidade Conjunta o motor central da cooperação operacional da UE em matéria de cibersegurança, a Comissão irá colaborar com os Estados-Membros e as instituições, organismos e agências da UE pertinentes, incluindo a ENISA, a CERT-UE e a Europol, com vista a promover uma abordagem progressiva e inclusiva, no pleno respeito das competências e dos mandatos de todos os interessados. Em consonância com esta abordagem, a Ciberunidade pode contribuir para intensificar a cooperação entre os integrantes de uma cibercomunidade específica, caso esses integrantes o considerem necessário. Propõem-se quatro etapas principais para a concretização da Ciberunidade Conjunta: ·Definir, através do levantamento das capacidades disponíveis aos níveis nacional e da UE; ·Preparar, através do estabelecimento de um quadro de cooperação estruturada e de assistência; ·Implantar, através da execução de um quadro alicerçado nos recursos fornecidos pelos participantes, por forma a operacionalizar a Ciberunidade Conjunta; ·Expandir, através do reforço de uma capacidade de resposta coordenada, com contributos da indústria e dos parceiros. Tendo por base os resultados da consulta dos Estados-Membros e das instituições, organismos e agências da UE, a Comissão, com a participação do Alto Representante, apresentará, até fevereiro de 2021, o processo, as metas intermédias e o calendário para a definição, preparação, implantação e expansão da Ciberunidade Conjunta. 2.2 Combater a cibercriminalidade A nossa dependência de ferramentas em linha conduziu a um aumento exponencial da superfície de ataque para os cibercriminosos e a uma situação em que a investigação de quase todos os tipos de crime tem uma componente digital. Além disso, setores nucleares da nossa sociedade enfrentam uma ameaça colocada pelos agentes do ciberespaço e por quem utiliza ciberferramentas para planear e executar ações ilícitas. Existem, por conseguinte, relações estreitas com a política global de segurança da UE, tal como refletem os elementos de cibersegurança incluídos na Estratégia da UE para a União da Segurança de 2020 e na Agenda da UE de Luta contra o Terrorismo. Combater eficazmente a cibercriminalidade é um fator essencial para garantir a cibersegurança: a dissuasão não pode ser alcançada unicamente através da resiliência, mas exige igualmente a identificação e a penalização dos infratores. É essencial, portanto, promover a cooperação e o intercâmbio dos intervenientes no domínio da cibersegurança com as autoridades policiais. Por conseguinte, a nível da UE, a Europol e a ENISA já estabeleceram uma forte cooperação, que se traduziu na organização de conferências e seminários conjuntos e na apresentação de relatórios conjuntos à Comissão, aos Estados-Membros e a outras partes interessadas sobre ameaças à cibersegurança e desafios tecnológicos. A Comissão continuará a apoiar esta abordagem integrada, a fim de assegurar uma resposta coerente e eficaz, baseada numa visão abrangente. Sendo um importante elemento dessa resposta, as autoridades nacionais e da UE devem alargar e melhorar a capacidade das autoridades policiais para investigar a cibercriminalidade, respeitando plenamente os direitos fundamentais e procurando o equilíbrio necessário entre vários direitos e interesses. A UE deve ser capaz de combater a cibercriminalidade através de uma legislação aplicada na íntegra e ajustada à sua finalidade, com uma tónica especial no combate ao abuso sexual de crianças em linha e nas investigações digitais, incluindo da criminalidade na «Internet obscura». Os serviços policiais devem estar munidos de todas as ferramentas adequadas para realizar investigações digitais. Por conseguinte, a Comissão apresentará um plano de ação para melhorar a capacidade digital dos serviços policiais, dotando-os das qualificações e dos instrumentos necessários. Concretamente, a Europol reforçará o seu papel enquanto centro especializado para apoiar as autoridades policiais nacionais na luta contra a criminalidade dependente e possibilitada pelo ciberespaço, contribuindo para a elaboração de normas forenses comuns (por intermédio do laboratório e polo de inovação da Europol). Será necessário que todas estas atividades sejam devidamente adotadas pelos Estados-Membros, os quais são convidados a fazer pleno uso dos programas nacionais ao abrigo do Fundo para a Segurança Interna e a propor projetos em resposta aos convites à apresentação de propostas no âmbito do instrumento temático. A Comissão utilizará todos os meios adequados, incluindo processos por infração, para garantir a transposição e aplicação na íntegra da Diretiva de 2013 relativa a ataques contra os sistemas de informação, nomeadamente o fornecimento de estatísticas pelos Estados-Membros. Procurará impedir melhor o abuso de nomes de domínio, nomeadamente, se for caso disso, para fins de distribuição de conteúdos ilegais, e fomentar a disponibilidade de dados de registo exatos, continuando a colaborar com a Sociedade Internet para os Nomes e Números Atribuídos (ICANN) e com outras partes interessadas no sistema de governação da Internet, designadamente por intermédio do Grupo de Trabalho sobre Segurança Pública do Comité Consultivo Governamental da ICANN. Neste sentido, a proposta de Diretiva SRI revista prevê a manutenção de bases de dados exatas e completas dos nomes de domínio e dados de registo, ou «dados WHOIS», bem como a concessão de um acesso legal a esses dados, tendo em conta o seu caráter fundamental para garantir a segurança, a estabilidade e a resiliência do DNS. A Comissão continuará igualmente a disponibilizar canais adequados e a clarificar as regras aplicáveis à obtenção de acesso transnacional a provas eletrónicas para efeitos de investigação penal (necessárias em 85 % das investigações, enquanto 65 % do total dos pedidos se destinam a prestadores estabelecidos noutra jurisdição), facilitando a adoção e a subsequente aplicação do «pacote relativo às provas eletrónicas» e das medidas práticas. A rápida adoção pelo Parlamento Europeu e pelo Conselho das propostas relativas às provas eletrónicas é fundamental para proporcionar aos profissionais um instrumento eficiente. Tendo em conta que as provas eletrónicas devem ser legíveis, a Comissão intensificará os seus esforços para apoiar a capacidade dos serviços repressivos no domínio das investigações digitais, nomeadamente no que se refere à gestão da cifragem sempre que necessário nas investigações penais, isto sem deixar de cumprir plenamente a sua função relativa à proteção dos direitos fundamentais e da cibersegurança. 2.3 Conjunto de instrumentos de ciberdiplomacia da UE A UE tem vindo a utilizar o seu conjunto de instrumentos de ciberdiplomacia para prevenir, desincentivar, dissuadir e responder a ciberatividades maliciosas. Após instituir, em maio de 2019, o quadro jurídico das medidas restritivas específicas contra os ciberataques, em julho de 2020, a UE incluiu no regime de sanções seis pessoas e três entidades que foram responsáveis ou participaram em ciberataques que afetaram a UE e os seus Estados-Membros. A essa lista foram adicionadas duas pessoas e um organismo em outubro de 2020. As ciberatividades maliciosas, incluindo as que têm uma evolução lenta, devem ser combatidas através de um quadro eficaz e abrangente para uma resposta diplomática conjunta da UE, que explore plenamente as medidas disponíveis ao nível da UE.

Para uma resposta diplomática conjunta da UE célere e eficaz, é necessário promover um conhecimento partilhado e sólido da situação e assegurar a capacidade de preparar rapidamente uma posição conjunta da UE. O Alto Representante da União para os Negócios Estrangeiros e a Política de Segurança irá incentivar e facilitar a criação de um grupo de trabalho sobre ciberinformações dos Estados-Membros da UE, tutelado pelo Centro de Situação e de Informações da UE (INTCEN), a fim de desenvolver a cooperação em matéria de informações estratégicas sobre ciberameaças e ciberatividades. Este trabalho permitirá reforçar o apoio ao conhecimento situacional da UE e à tomada de decisão relativamente a uma resposta diplomática conjunta. Caberá ao grupo de trabalho associar-se às estruturas existentes, incluindo, se necessário, as que intervêm sobre a ameaça mais global da interferência híbrida e estrangeira, com o intuito de recolher e avaliar o conhecimento situacional. A fim de reforçar a capacidade da UE para prevenir, desincentivar, dissuadir e responder a comportamentos maliciosos no ciberespaço, o Alto Representante, com o envolvimento da Comissão no âmbito das suas competências, apresentará uma proposta no sentido de a UE definir melhor a sua posição de dissuasão no ciberespaço. Aproveitando o trabalho desenvolvido até à data no âmbito do conjunto de instrumentos de ciberdiplomacia, essa posição deve contribuir para um comportamento e uma cooperação responsáveis dos Estados no ciberespaço, devendo ser particularmente orientada para o combate aos ciberataques cujos efeitos são mais significativos, nomeadamente os que afetam as nossas infraestruturas críticas e instituições e processos democráticos, bem como aos ataques contra as cadeias de abastecimento e ao roubo de propriedade intelectual possibilitado pelo ciberespaço. A posição deve descrever a forma como a UE e os Estados-Membros podem alavancar os seus instrumentos políticos, económicos, diplomáticos, jurídicos e de comunicação estratégica contra as ciberatividades maliciosas, bem como analisar o modo como a UE e os Estados-Membros podem aumentar a sua capacidade de atribuição da autoria de ciberatividades maliciosas. Além disso, o Alto Representante pretende, juntamente com o Conselho e a Comissão, equacionar medidas suplementares no âmbito do conjunto de instrumentos de ciberdiplomacia, incluindo a possibilidade de estudar novas opções de medidas restritivas, bem como explorar a votação por maioria qualificada (VMQ) para as listas ao abrigo do regime horizontal de sanções contra ciberataques. De resto, a UE deve envidar esforços suplementares no sentido de reforçar a cooperação com os parceiros internacionais, incluindo a NATO, para consolidar um conhecimento partilhado do cenário de ameaças, desenvolver mecanismos de cooperação e identificar respostas diplomáticas colaborativas. O Alto Representante, com o envolvimento da Comissão, vai também propor uma atualização das orientações de execução para o conjunto de instrumentos de ciberdiplomacia, nomeadamente com vista a aumentar a eficiência do processo decisório, e continua a organizar regularmente exercícios e avaliações do conjunto de instrumentos de ciberdiplomacia. Ademais, a UE deve prosseguir a integração do conjunto de instrumentos de ciberdiplomacia nos mecanismos da UE de gestão de crises, bem como procurar sinergias com os esforços de luta contra as ameaças híbridas, a desinformação e as interferências estrangeiras, no âmbito do quadro comum em matéria de luta contra as ameaças híbridas e do Plano de Ação para a Democracia Europeia. Neste contexto, a UE deve considerar uma interação entre o conjunto de instrumentos de ciberdiplomacia e a possível aplicação do artigo 42.º, n.º 7, do TUE e do artigo 222.º do TFUE. 2.4 Promover as capacidades de ciberdefesa É necessário que a UE e os Estados-Membros aumentem a sua capacidade para prevenir e responder a ciberameaças, em conformidade com o nível de ambição da UE decorrente da sua estratégia global de 2016. Para o efeito, o Alto Representante, em cooperação com a Comissão, apresentará uma revisão do Quadro Estratégico para a Ciberdefesa (QEC), a fim de reforçar a coordenação e a cooperação entre os intervenientes da UE, bem como entre os Estados-Membros, incluindo no que respeita às missões e operações da Política Comum de Segurança e Defesa (PCSD). O QEC deve contribuir com informações para as futuras orientações estratégicas, zelando por uma maior integração da cibersegurança e da ciberdefesa no âmbito mais vasto da agenda de segurança e defesa. Em 2018, a UE classificou o ciberespaço como um domínio da atividade militar. A futura «Visão e Estratégia Militar para o Ciberespaço como Domínio da Atividade Militar», a elaborar pelo Comité Militar da UE, deverá definir melhor de que modo o ciberespaço, enquanto domínio da atividade militar, possibilita missões e operações militares no âmbito da PCSD da UE. A rede de CERT militares, em processo de criação pela Agência Europeia de Defesa (AED), contribuirá igualmente para um aumento significativo da cooperação entre os Estados-Membros. Além disso, com vista a garantir a cibersegurança de infraestruturas espaciais críticas sob a responsabilidade do Programa Espacial, a Agência Europeia para o Programa Espacial e, mais particularmente, o Centro Galileo de Acompanhamento de Segurança serão reforçados e o respetivo mandato será alargado a outros ativos críticos do Programa Espacial. A UE e os Estados-Membros devem dar um novo impulso ao desenvolvimento de capacidades avançadas de ciberdefesa, mediante diferentes políticas e instrumentos da UE, nomeadamente o QEC e, se relevante, aproveitar o trabalho da AED. Para tal, será necessário dar especial primazia ao desenvolvimento e à utilização de tecnologias fulcrais, como a IA, a cifragem e a computação quântica. Em consonância com as prioridades da UE em matéria de desenvolvimento de capacidades, de 2018, e tendo por base as conclusões do primeiro relatório completo de Análise Anual Coordenada em matéria de Defesa (CARD), a UE deve reforçar a promoção da cooperação entre os Estados-Membros quanto à investigação, inovação e desenvolvimento de capacidades no domínio da ciberdefesa, incentivando os Estados-Membros a explorar todo o potencial da cooperação estruturada permanente (CEP) e do FED. O futuro plano de ação da Comissão sobre sinergias entre as indústrias civis, da defesa e do espaço, que deverá ser apresentado no primeiro trimestre de 2021,incluirá ações para apoiar sinergias entre programas, tecnologias, inovação e empresas em fase de arranque, de acordo com a governação dos respetivos programas. Adicionalmente, devem ser desenvolvidas as sinergias e interfaces relevantes entre as iniciativas de ciberdefesa apresentadas noutros quadros, incluindo os projetos colaborativos relacionados com o ciberespaço dos Estados-Membros no âmbito da CEP, bem como as estruturas de cibersegurança da UE, a fim de apoiar a partilha de informações e a ajuda mútua. Iniciativas estratégicas A UE deve: ·Concluir o quadro europeu de gestão de crises de cibersegurança e definir o processo, as metas intermédias e o calendário para a criação da Ciberunidade Conjunta; ·Prosseguir a execução da agenda para a luta contra a cibercriminalidade, no âmbito da Estratégia para a União da Segurança; ·Incentivar e facilitar a criação de um grupo de trabalho sobre ciberinformações dos Estados-Membros da UE, tutelado pelo INTCEN UE; ·Promover a sua posição de dissuasão no ciberespaço para prevenir, desincentivar, dissuadir e responder a ciberatividades maliciosas; ·Rever o Quadro Estratégico para a Ciberdefesa; ·Intermediar a conceção de uma «Visão e Estratégia Militar para o Ciberespaço como Domínio da Atividade Militar» para as missões e operações militares da PCSD; ·Apoiar as sinergias entre as indústrias civis, da defesa e do espaço; e ·Reforçar cibersegurança de infraestruturas espaciais críticas no âmbito do Programa Espacial. 3 PROMOVER UM CIBERESPAÇO MUNDIAL E ABERTO A UE deve continuar a cooperar com os parceiros internacionais na promoção de um modelo e de uma visão políticos do ciberespaço alicerçados no Estado de direito, nos direitos humanos, nas liberdades fundamentais e nos valores democráticos, que propiciem um desenvolvimento social, económico e político à escala mundial e contribuam para uma União da Segurança. A cooperação internacional é determinante para manter um ciberespaço global, aberto, estável e seguro. Para o efeito, a UE deve continuar a trabalhar com países terceiros, organizações internacionais e a comunidade multilateral, no intuito de elaborar e aplicar uma política internacional do ciberespaço coerente e holística, que atente devidamente na crescente interligação entre os aspetos económicos das novas tecnologias, da segurança interna e das políticas externa, de segurança e defesa. Enquanto bloco económico e comercial forte, assente nos valores democráticos basilares, no respeito pelo Estado de direito e nos direitos fundamentais, a UE tem também condições únicas para assumir uma posição de liderança na definição e promoção de normas e padrões internacionais. 3.1 Liderança da UE em matéria de normas, regras e quadros no ciberespaço Intensificar a normalização internacional A fim de promover e defender a sua visão do ciberespaço na cena internacional, a UE terá de intensificar o seu empenho e a sua liderança nos processos de normalização internacional, bem como reforçar a sua representação nos organismos internacionais e europeus de normalização e noutras organizações de elaboração de normas . Atendendo à rápida evolução das tecnologias digitais, as normas internacionais ganham uma crescente importância para complementar os tradicionais esforços de regulamentação em domínios como a IA, a nuvem, a computação quântica e a comunicação quântica. A normalização internacional é cada vez mais utilizada pelos países terceiros para promoverem a sua agenda política e ideológica, que, muitas vezes, não se coaduna com os valores da UE. Por outro lado, existe um risco cada vez maior de serem definidos enquadramentos concorrentes da normalização internacional, resultando numa fragmentação. É essencial que a conceção das normas internacionais nas áreas das tecnologias emergentes e da arquitetura central da Internet seja consentânea com os valores da UE, por forma a assegurar que a Internet continue a ser global e aberta, que as tecnologias sejam centradas no ser humano e na privacidade e que a sua utilização seja lícita, segura e ética. No quadro da sua futura estratégia de normalização, a UE deverá definir os seus objetivos quanto à normalização internacional e organizar ações de divulgação proativas e coordenadas, a fim de promover esses objetivos no plano internacional. Deve ser procurada uma cooperação mais sólida e uma partilha dos esforços com parceiros imbuídos do mesmo espírito e partes interessadas europeias. Fomentar o comportamento responsável dos Estados no ciberespaço A UE continua a colaborar com os parceiros internacionais no desenvolvimento e na promoção de um ciberespaço global, aberto, estável e seguro, no qual seja respeitado o direito internacional, em especial a Carta das Nações Unidas (ONU) , e sejam observadas as normas, regras e princípios não vinculativos e voluntários relativos ao comportamento responsável dos Estados. Com a deterioração das possibilidades de um debate multilateral efetivo sobre a segurança internacional no ciberespaço, existe uma clara necessidade de a UE e os Estados-Membros terem uma atitude mais proativa nas conversações na ONU e demais instâncias internacionais relevantes. A União Europeia é a organização indicada para fomentar, coordenar e consolidar as posições dos Estados-Membros nas instâncias internacionais e deve desenvolver uma posição da UE sobre a aplicação do direito internacional no ciberespaço. Juntamente com os Estados-Membros, o Alto Representante pretende igualmente apresentar uma proposta inclusiva e consensual relativa a um compromisso político com um programa de ação para fomentar o comportamento responsável dos Estados no ciberespaço (Programa de Ação) na ONU. Tendo por base o atual acervo validado pela Assembleia Geral das Nações Unidas, o Programa de Ação fornece uma plataforma de cooperação e intercâmbio de boas práticas no seio das Nações Unidas e propõe ainda a criação de um mecanismo para instituir as normas relativas ao comportamento responsável dos Estados, bem como promover a criação de capacidades. Além disso, o Alto Representante pretende fortalecer e incentivar a aplicação de medidas de reforço da confiança entre os Estados através do intercâmbio de boas práticas aos níveis regional e multilateral e da contribuição para a cooperação transregional. Uma maior conectividade global não deve dar azo a censura, vigilância maciça, violações da privacidade dos dados e repressão contra a sociedade civil, a comunidade académica e os cidadãos. A UE deve continuar a liderar na esfera da proteção e promoção dos direitos humanos e das liberdades fundamentais em linha. Para o efeito, a UE deve promover uma observação mais rigorosa do direito e das normas internacionais em matéria de direitos humanos, operacionalizar o seu Plano de Ação da UE para os Direitos Humanos e a Democracia 2020-2024 e fomentar as suas orientações em matéria de direitos humanos relativas à liberdade de expressão em linha e fora da Internet, conferindo um novo ímpeto à aplicação prática dos seus instrumentos. A UE deve realizar esforços contínuos no sentido de proteger os ativistas pelos direitos humanos, a sociedade civil e a comunidade académica que desenvolvem trabalho sobre matérias como a cibersegurança, a privacidade dos dados, a vigilância e a censura em linha. Neste sentido, a UE deve fornecer mais orientações práticas, promover as boas práticas e intensificar os seus esforços para prevenir a utilização abusiva das tecnologias emergentes, recorrendo, particularmente, a medidas diplomáticas, sempre que necessário, bem como ao controlo das exportações de tecnologias deste tipo. A UE deve igualmente continuar a pugnar pela proteção em linha dos membros mais vulneráveis da sociedade, apresentando legislação tendente a proteger melhor as crianças contra o abuso e a exploração sexual de menores, assim como uma estratégia sobre os direitos da criança. Convenção de Budapeste sobre a Cibercriminalidade

A UE continua a apoiar os países terceiros que pretendem aderir à Convenção de Budapeste sobre a Cibercriminalidade do Conselho da Europa e trabalhar na conclusão do Segundo Protocolo Adicional à Convenção de Budapeste, o qual inclui medidas e salvaguardas destinadas a melhorar a cooperação internacional entre as autoridades policiais e judiciais, bem como entre as autoridades e os prestadores de serviços noutros países, e cujas negociações contam com a participação da Comissão em nome da UE . A atual iniciativa para um novo instrumento jurídico relativo à cibercriminalidade ao nível da ONU comporta um risco de agravamento das divisões e de procrastinação das reformas tão necessárias à escala nacional e dos esforços de reforço das capacidades, podendo obstar a uma cooperação internacional eficaz contra a cibercriminalidade; a UE discorda da necessidade de qualquer novo instrumento jurídico relativo à cibercriminalidade ao nível da ONU. A UE continua empenhada em intercâmbios multilaterais sobre a cibercriminalidade, a fim de assegurar o respeito pelos direitos humanos e pelas liberdades fundamentais, através da inclusividade e da transparência, e tomando em consideração os conhecimentos especializados disponíveis, com o objetivo de gerar valor acrescentado para todos. 3.2 Cooperação com os parceiros e com a comunidade multilateral A UE fortalecerá e alargará os seus ciberdiálogos com os países terceiros no sentido de promover os seus valores e visão para o ciberespaço, partilhar boas práticas e estimular uma cooperação mais eficaz. A UE deve igualmente estabelecer intercâmbios estruturados com as organizações regionais, tais como a União Africana, o Fórum Regional da ASEAN, a Organização dos Estados Americanos e a Organização para a Segurança e a Cooperação na Europa. Paralelamente, a UE deve procurar encontrar plataformas de entendimento, sempre que possível e oportuno, com outros parceiros, baseadas em questões de interesse comum. Em colaboração com as delegações da UE e, se for caso disso, com as embaixadas dos Estados-Membros em todo o mundo, a UE deve constituir uma rede informal de ciberdiplomacia da UE a fim de promover a visão da UE para o ciberespaço, proceder ao intercâmbio de informações e de se coordenar regularmente sobre a evolução do ciberespaço . Tendo por base as declarações conjuntas de 8 de julho de 2016 e de 10 julho de 2018, a UE deve continuar a desenvolver a cooperação UE-NATO, especialmente no atinente aos requisitos de interoperabilidade da ciberdefesa. Neste contexto, a UE deve prosseguir a associação das estruturas relevantes da PCSD às Redes de Missão Federadas da NATO, possibilitando uma interoperabilidade das redes com a NATO e com os parceiros, quando necessário. Além disso, importa explorar melhor a cooperação entre a UE e a NATO em matéria de ensino, formação e realização de exercícios, nomeadamente procurando criar sinergias entre a Academia Europeia de Segurança e Defesa e o Centro de Excelência Cooperativo da NATO para a Ciberdefesa. Em consonância com os seus valores, a UE preconiza e promove o modelo multilateral de governação da Internet. Nenhum governo, entidade ou organização internacional deve tentar controlar individualmente a Internet. A UE deve continuar a participar em instâncias que visam reforçar a cooperação e assegurar a proteção dos direitos e liberdades fundamentais, nomeadamente o direito à dignidade, à vida privada e à liberdade de expressão e de informação. Com vista a desenvolver a cooperação multilateral sobre questões de cibersegurança, a Comissão e o Alto Representante, de acordo com as respetivas competências, pretendem fortalecer intercâmbios regulares e estruturados com as partes interessadas, incluindo o setor privado, o meio académico e a sociedade civil, salientando que a natureza interligada do ciberespaço exige que todas as partes interessadas mantenham intercâmbios e assumam as suas responsabilidades, a fim de preservar um ciberespaço aberto, estável e seguro a nível mundial. Estes esforços representarão um contributo valioso para eventuais ações fundamentais à escala da UE. 3.3 Reforçar as capacidades mundiais para aumentar a ciber-resiliência mundial Para garantir que todos os países consigam aproveitar as vantagens sociais, económicas e políticas da Internet e da utilização das tecnologias, a UE mantém o apoio aos seus parceiros, a fim de reforçarem a sua ciber-resiliência e as suas capacidades para investigar e julgar cibercrimes, bem como enfrentar as ciberameaças. Com vista a assegurar um quadro geral coerente, a UE deve elaborar uma agenda da UE para o reforço das cibercapacidades externas que oriente estes esforços de forma consonante com as suas orientações para o reforço das cibercapacidades externas e a Agenda 2030 para o Desenvolvimento Sustentável. A Agenda deve tirar proveito das competências especializadas dos Estados-Membros e das instituições, organismos e agências da UE e iniciativas pertinentes, incluindo a rede da UE de reforço das cibercapacidades , de acordo com os respetivos mandatos. Deve ser criado um comité de reforço das cibercapacidades da UE, a fim de englobar as partes interessadas institucionais relevantes da UE e de acompanhar os progressos realizados, bem como a identificação de novas sinergias e possíveis lacunas. Esse comité poderia, além do mais, apoiar uma cooperação reforçada com os Estados-Membros e com os parceiros dos setores público e privado, além de outros organismos internacionais pertinentes, a fim de assegurar uma coordenação dos esforços e de evitar duplicações. O reforço das cibercapacidades da UE deve continuar a centrar-se nos países dos Balcãs Ocidentais e da vizinhança da UE, bem como nos países parceiros que atravessam um rápido desenvolvimento digital. A atuação da UE deve apoiar a elaboração de atos legislativos e políticas dos países parceiros conformes com as políticas e normas de ciberdiplomacia aplicáveis na UE. Neste contexto, as iniciativas da UE para o reforço das capacidades no domínio da digitalização devem incluir a cibersegurança como característica de referência. Para o efeito, a UE deve desenhar um programa de formação destinado ao pessoal da UE encarregado de pôr em prática as iniciativas da UE de reforço das capacidades digitais e cibercapacidades externas. A UE deve igualmente prestar assistência a estes países, para que possam ultrapassar o problema cada vez mais presente das ciberatividades maliciosas, que prejudicam o desenvolvimento das suas sociedades e a integridade e segurança dos sistemas democráticos, em conformidade com os esforços envidados no âmbito do Plano de Ação para a Democracia Europeia. A aprendizagem interpares entre os Estados-Membros, as agências relevantes da UE e os países terceiros poderia revelar-se particularmente útil nesta matéria. Por último, no contexto do pacto sobre a vertente civil da PCSD, de 2018, as missões civis da PCSD podem igualmente contribuir para o âmbito mais vasto da resposta da UE aos desafios da cibersegurança, nomeadamente através do reforço do Estado de direito e das capacidades das autoridades policiais e administrações civis nos países parceiros. Iniciativas estratégicas A UE deve: ·Definir um conjunto de objetivos nos processos de normalização internacional e promovê-los no plano internacional; ·Desenvolver a segurança e a estabilidade internacionais no ciberespaço, nomeadamente através de uma proposta da UE e dos seus Estados-Membros relativa a um programa de ação para fomentar o comportamento responsável dos Estados no ciberespaço (Programa de Ação) na ONU; ·Formular orientações práticas sobre a aplicação dos direitos humanos e das liberdades fundamentais no ciberespaço; ·Proteger melhor as crianças contra o abuso e a exploração sexual de menores, assim como apresentar uma estratégia sobre os direitos da criança; ·Reforçar e promover a Convenção de Budapeste sobre a Cibercriminalidade, nomeadamente através do trabalho realizado em relação ao Segundo Protocolo Adicional à Convenção de Budapeste; ·Alargar o ciberdiálogo com os países terceiros e as organizações regionais e internacionais, incluindo através de uma rede informal de ciberdiplomacia da UE; ·Fortalecer os intercâmbios com a comunidade multilateral, nomeadamente através de intercâmbios regulares e estruturados com o setor privado, a comunidade académica e a sociedade civil; e ·Propor uma agenda da UE para o reforço das cibercapacidades externas e a criação de um comité de reforço das cibercapacidades da UE. III.CIBERSEGURANÇA NAS INSTITUIÇÕES, ORGANISMOS E AGÊNCIAS DA UE Em virtude do seu perfil altamente político, das suas missões e operações críticas na coordenação de questões extremamente sensíveis e do seu papel na gestão de grandes quantias de dinheiro público, as instituições, organismos e agências da UE são frequentemente alvo de ciberataques e, especialmente, da ciberespionagem. Contudo, o nível de ciber-resiliência e a capacidade de detetar e responder a ciberatividades maliciosas varia significativamente entre estas entidades em termos de maturidade. Por conseguinte, é necessário aumentar o nível geral de cibersegurança por meio de regras coerentes e homogéneas. No domínio da segurança da informação, foram realizados progressos, com um reforço da coerência das regras de proteção quer das informações classificadas da UE, quer das informações sensíveis não classificadas. No entanto, a interoperabilidade dos sistemas de informações classificadas permanece reduzida, o que impede uma transferência de informações contínua entre as várias entidades. Deverão ser alcançados progressos suplementares para permitir uma abordagem interinstitucional do tratamento de informações classificadas e de informações sensíveis não classificadas da UE, que poderia servir também de modelo para uma interoperabilidade entre os Estados-Membros. Deveria igualmente ser definida uma base de referência, a fim de simplificar os procedimentos com os Estados-Membros. A UE deve igualmente continuar a desenvolver a sua capacidade de comunicar de forma segura com os parceiros pertinentes, com base, na medida do possível, nos acordos e procedimentos existentes. Conforme anunciado na Estratégia para a União da Segurança, a Comissão apresentará, neste sentido, propostas relativas a regras vinculativas comuns em matéria de segurança da informação e regras vinculativas comuns em matéria de cibersegurança para todas as instituições, organismos e agências da UE, em 2021, com base nas atuais conversações interinstitucionais ao nível da UE sobre cibersegurança. As tendências atuais e futuras de teletrabalho também exigirão investimentos adicionais em equipamentos, infraestruturas e ferramentas seguros, que permitam trabalhar à distância com ficheiros sensíveis e classificados. Além disso, o cenário de ciberameaça cada vez mais hostil e a crescente ocorrência de ciberataques mais sofisticados, que afetam as instituições, organismos e agências da UE, justificam a necessidade de reforçar os investimentos para atingir um elevado nível de maturidade cibernética. Está em curso a conceção de um programa de cibersensibilização destinado a todas as instituições, organismos e agências da UE, que terá por finalidade consciencializar os funcionários, fomentar a «ciber-higiene» e sustentar uma cultura de cibersegurança. Será necessário reforçar a CERT-UE mediante um mecanismo de financiamento melhorado, a fim de aumentar a sua capacidade para ajudar as instituições, organismos e agências da UE a aplicarem as novas regras em matéria de cibersegurança e a aperfeiçoarem a sua ciber-resiliência. Importa igualmente reforçar o mandato da CERT-UE, a fim de lhe conferir atribuições sólidas para cumprir os referidos objetivos. Iniciativas estratégicas 1.Regulamento relativo à segurança da informação nas instituições, organismos e agências da UE 2.Regulamento relativo a regras comuns em matéria de cibersegurança para as instituições, organismos e agências da UE 3.Nova base jurídica para a CERT-UE, com vista a reforçar o seu mandato e financiamento IV.CONCLUSÕES A aplicação concertada desta estratégia contribuirá para uma década digital cibersegura na UE, para a realização da União da Segurança e para o fortalecimento da posição da UE à escala mundial.