Cibersegurança das redes e dos sistemas de informação

PONTOS-CHAVE

A cibersegurança: diz respeito às atividades necessárias para proteger de ciberameaças as redes e os sistemas de informação, os seus utilizadores e outras pessoas afetadas.

Setores críticos

A diretiva aplica-se principalmente a entidades de média e grande dimensão que atuam nos setores de importância crítica seguidamente apresentados, conforme definido no seu anexo I:

• energia:
  • eletricidade, incluindo sistemas de produção, distribuição e transporte e pontos de recarga,
  • sistemas de aquecimento e arrefecimento urbano,
  • petróleo, incluindo oleodutos e instalações de produção, armazenamento e transporte,
  • gás, incluindo sistemas de comercialização, distribuição e transporte, bem como de armazenamento e
  • hidrogénio;
• transporte aéreo, ferroviário, aquático e rodoviário;
• setor bancário e infraestruturas do mercado financeiro, tais como instituições de crédito, operadores de plataformas de negociação e contrapartes centrais;
• saúde, incluindo prestadores de cuidados de saúde, fabricantes de produtos farmacêuticos de base e dispositivos médicos considerados críticos, bem como laboratórios de referência da UE;
• água potável;
• Águas residuais;
• infraestruturas digitais, incluindo os prestadores de serviços do centro de dados, serviços de computação em nuvem, redes públicas de comunicações eletrónicas e serviços de comunicações eletrónicas publicamente disponíveis;
• gestão de serviços TIC (entre empresas);
• espaço;
• administração pública a nível central e regional, excluindo o poder judicial, os parlamentos e os bancos centrais. A diretiva não se aplica a entidades de administração pública que desenvolvam atividades nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei.

Também se aplica a outros setores críticos, conforme definido no anexo II:

• serviços postais e de estafeta;
• gestão de resíduos;
• produção, fabrico e distribuição de produtos químicos;
• produção, transformação e distribuição de produtos alimentares;
• indústria transformadora, especificamente dispositivos médicos, produtos informáticos, eletrónicos e óticos, certos tipos de equipamentos elétricos e máquinas, veículos automóveis e outros equipamentos de transporte;
• prestadores de serviços digitais de mercados em linha, de motores de pesquisa e de redes sociais; e
• organismos de investigação.

Estratégia nacional de cibersegurança

Cada Estado-Membro deve adotar uma estratégia nacional com vista a alcançar e a manter um elevado nível de cibersegurança nos setores críticos, incluindo:

• um quadro de governação que clarifique as funções e responsabilidades das partes interessadas pertinentes a nível nacional;
• políticas que abordem a segurança das cadeias de abastecimento;
• políticas que assegurem a gestão das vulnerabilidades;
• políticas que promovam e desenvolvam a educação e a formação em cibersegurança; e
• medidas destinadas a reforçar o nível de sensibilização dos cidadãos para a cibersegurança.

Os Estados-Membros devem estabelecer uma lista de entidades essenciais e importantes, juntamente com entidades que prestem serviços de registo de nomes de domínio, até 17 de abril de 2025. Devem rever e, se for caso disso, atualizar essa lista regularmente e, posteriormente, de dois em dois anos. A Comissão Europeia adotou orientações relativas às informações a recolher aquando da elaboração destas listas, juntamente com um modelo para o fazer.

A Comissão também emitiu orientações que clarificam as regras relativas à relação entre a Diretiva (UE) 2022/2555 e os atos jurídicos da UE, atuais e futuros, específicos dos setores, que abordam as medidas de gestão dos riscos de cibersegurança ou os requisitos de comunicação de incidentes. O apêndice às orientações apresenta uma lista não exaustiva dos atos jurídicos setoriais que a Comissão considera abrangidos pelo âmbito de aplicação do artigo 4.^o da Diretiva (UE) 2022/2555.

Equipas de resposta a incidentes de segurança informática

As equipas de resposta a incidentes de segurança informática (CSIRT) prestam assistência técnica a entidades, nomeadamente através das seguintes ações:

• monitorizar e analisar ciberameaças, vulnerabilidades e incidentes a nível nacional;
• ativar os mecanismos de alerta rápido, enviar mensagens de alerta, fazer comunicações e divulgar informações às autoridades competentes e a outras partes interessadas, sobre ciberameaças, vulnerabilidades e incidentes, se possível em tempo quase real;
• intervir em caso de incidentes e prestar assistência, se aplicável;
• recolher e analisar dados forenses, proceder à análise dinâmica dos riscos e dos incidentes e desenvolver o conhecimento situacional em matéria de cibersegurança; e
• realizar, a pedido, uma análise proativa dos sistemas de rede e informação, a fim de detetar vulnerabilidades com um potencial impacto significativo.

Rede de CSIRT

A diretiva estabelece uma rede de CSIRT nacionais para promover uma cooperação operacional rápida e eficaz.

Divulgação coordenada de vulnerabilidades

Os Estados-Membros devem:

• designar uma das suas CSIRT como coordenadora da divulgação de vulnerabilidades identificadas em produtos ou serviços de TIC; e
• assegurar que as pessoas nos Estados-Membros possam comunicar as vulnerabilidades de forma anónima se assim o solicitarem.

A Agência da União Europeia para a Cibersegurança (ENISA) irá criar e manter uma base de dados de vulnerabilidades.

Grupo de cooperação

A diretiva cria um grupo de cooperação para apoiar e facilitar a cooperação estratégica e o intercâmbio de informações. É composta por representantes dos Estados-Membros, da Comissão Europeia e da ENISA. Se for caso disso, o grupo de cooperação pode convidar o Parlamento Europeu e representantes de partes interessadas relevantes para participar nos seus trabalhos.

Rede Europeia de Organizações de Coordenação de Cibercrises

A Rede Europeia de Organizações de Coordenação de Cibercrises (EU-CyCLONe) é constituída pelos representantes das autoridades de gestão de cibercrises dos Estados-Membros, bem como, nos casos em que um incidente de cibersegurança em grande escala, potencial ou em curso, tenha ou seja suscetível de ter um impacto significativo nos serviços e atividades abrangidos pelo âmbito de aplicação da diretiva, pela Comissão. Noutros casos, a Comissão participa nas atividades da rede na qualidade de observadora.

A rede apoia a gestão coordenada de crises e incidentes de cibersegurança em grande escala a nível operacional e para assegurar o intercâmbio regular de informações entre os Estados-Membros e as instituições, órgãos e agências da UE.

A rede tem como funções, nomeadamente:

• coordenar a gestão de crises e de incidentes de cibersegurança em grande escala e apoiar a tomada de decisões a nível político;
• aumentar o nível de preparação;
• desenvolver um conhecimento situacional comum; e
• avaliar as consequências e o impacto de crises e incidentes de cibersegurança em grande escala e propor eventuais medidas de atenuação.

Medidas de gestão dos riscos em cibersegurança

As entidades devem tomar medidas técnicas, operacionais e organizativas adequadas e proporcionadas para gerir os riscos em matéria de cibersegurança. O catálogo de medidas inclui, entre outras, a análise de riscos e as políticas de segurança dos sistemas de informação, o tratamento de incidentes, a continuidade das atividades, a recuperação em caso de catástrofe e a gestão de crises, a segurança da cadeia de abastecimento, o tratamento e a divulgação de vulnerabilidades, as práticas básicas de higiene, as políticas e os procedimentos relativos à utilização da criptografia (e da encriptação, quando adequado), a segurança dos recursos humanos e a utilização de soluções de autenticação multifatores ou de autenticação contínua. Estas medidas devem basear-se numa abordagem que contemple todos os riscos.

Os órgãos de gestão devem aprovar essas medidas e supervisionar a sua aplicação, podendo ser responsabilizados por eventuais infrações.

Obrigações de notificação

As entidades devem notificar a sua CSIRT ou a autoridade competente de qualquer incidente que:

• tenha sido causado ou seja suscetível de causar graves perturbações operacionais dos serviços ou perdas financeiras à entidade;
• tenha afetado ou seja suscetível de afetar outras pessoas, causando danos materiais ou imateriais consideráveis.

Além disso, a ENISA elaborará, em cooperação com a Comissão e com o grupo de cooperação, um relatório bienal sobre o estado da cibersegurança na UE e deve apresentar esse relatório ao -Parlamento.

Supervisão e execução

A diretiva prevê medidas corretivas e sanções para garantir a execução.

Avaliações pelos pares

As avaliações pelos pares são estabelecidas com vista a retirar ensinamentos das experiências partilhadas, reforçar a confiança mútua, alcançar um elevado nível comum de cibersegurança e reforçar as capacidades e políticas de cibersegurança dos Estados-Membros necessárias à aplicação da diretiva. Estas avaliações incluem visitas virtuais ou físicas aos locais e intercâmbios de informação fora do local. A participação nestas avaliações pelos pares é voluntária.

Ato de execução

O Regulamento de Execução (UE) 2024/2690 estabelece regras para a aplicação da Diretiva (UE) 2022/2555 no que diz respeito aos requisitos técnicos e metodológicos das medidas de gestão de riscos de cibersegurança, e especifica mais pormenorizadamente os casos em que se considera que um incidente é significativo no que respeita:

• aos prestadores de serviços do sistema de nomes de domínio,
• aos registos de nomes de domínio de topo,
• os prestadores de serviços de computação em nuvem,
• aos prestadores de serviços de centro de dados,
• aos fornecedores de redes de distribuição de conteúdos,
• aos prestadores de serviços geridos,
• aos prestadores de serviços de segurança geridos,
• aos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais e
• aos prestadores de serviços de confiança.

Revogação

A Diretiva (UE) 2022/2555 revogou a Diretiva (UE) 2016/1148 (ver síntese) com efeitos a partir de 18 de outubro de 2024, e o Regulamento de Execução (UE) 2024/2690 revogou o Regulamento de Execução (UE) 2018/151, que estabelecia regras para a aplicação da Diretiva (UE) 2016/1148.