This document is an excerpt from the EUR-Lex website
Tornar as entidades críticas mais resilientes
SÍNTESE DE:
Diretiva 2022/2557 relativa à resiliência das entidades críticas
QUAL É O OBJETIVO DESTA DIRETIVA?
A diretiva tem por objetivo:
- reduzir as vulnerabilidades e reforçar a resiliência1 física de entidades críticas na União Europeia (UE) para garantir a prestação livre de serviços essenciais à economia e à sociedade como um todo;
- aumentar a resiliência das entidades críticas que prestam estes serviços.
PONTOS-CHAVE
Os Estados-Membros da UE devem, na sequência de uma avaliação dos riscos, identificar as entidades críticas que prestam serviços essenciais para a manutenção das funções vitais para a sociedade, a economia, a saúde e a segurança públicas ou o ambiente, e sempre que um incidente possa ter efeitos desreguladores significativos nestes serviços essenciais. São abrangidas as entidades nos seguintes setores:
- energia, incluindo eletricidade, aquecimento urbano, operadores de petróleo, gás e hidrogénio;
- transporte aéreo, ferroviário, aquático e rodoviário, incluindo transportes públicos;
- setor bancário, que também está sujeito ao Regulamento (UE) 2022/2554 (Lei da Resiliência Operacional Digital — ver síntese);
- infraestruturas do mercado financeiro, incluindo plataformas de negociação, também sujeitas à Lei da Resiliência Operacional Digital;
- saúde, incluindo prestadores de cuidados de saúde, fabricantes de produtos farmacêuticos básicos e dispositivos críticos e as atividades de investigação e desenvolvimento de medicamentos;
- fornecedores e distribuidores de água potável;
- eliminação e tratamento das águas residuais;
- infraestruturas digitais, incluindo serviços de comunicações eletrónicas e centros de dados, também sujeitas à Diretiva (UE) 2022/2555 (ver síntese);
- entidades da administração pública a nível central, excluindo a segurança nacional, a segurança pública, a defesa e a aplicação da lei;
- operadores espaciais de infraestruturas terrestres; e
- empresas do setor alimentar afetas exclusivamente à logística e distribuição grossista e à produção e transformação industriais em grande escala.
Importa salientar que determinadas partes da diretiva não se aplicam a entidades dos setores bancário, das infraestruturas do mercado financeiro e digital.
Cada Estado-Membro deve:
- adotar uma estratégia nacional e realizar avaliações dos riscos regulares;
- tendo em conta o resultado das avaliações de risco, identificar entidades que dependem de infraestruturas críticas para prestar serviços essenciais à sociedade, à economia, à saúde e segurança públicas ou ao ambiente;
- apoiar as entidades críticas identificadas na melhoria da sua resiliência com, por exemplo, documentação de orientação, exercícios, aconselhamento e formação;
- garantir que as autoridades nacionais têm os poderes, os recursos e os meios para executarem as suas tarefas de supervisão, incluindo a realização de inspeções no local de entidades críticas e a introdução de sanções por incumprimento como parte de um mecanismo de aplicação;
- especificar as condições em que uma entidade crítica pode apresentar pedidos de verificação de antecedentes relativos a pessoas que exercem funções sensíveis.
Os Estados-Membros devem identificar as entidades críticas para os setores e subsetores estabelecidos no anexo da diretiva até .
As entidades críticas devem:
- realizar avaliações dos riscos próprias para identificar os riscos que possam perturbar a sua capacidade para a prestação de serviços essenciais;
- tomar medidas técnicas, de segurança e organizacionais para aumentar a sua resiliência;
- comunicar os incidentes perturbadores significativos às autoridades nacionais.
Se as entidades críticas prestarem serviços essenciais em ou a seis ou mais Estados-Membros, poderão beneficiar de aconselhamento adicional na forma de missões consultivas que aferem a avaliação dos riscos e as medidas de melhoria da resiliência que a entidade implementou.
A Comissão Europeia adotou o Regulamento Delegado (UE) 2023/2450, que estabelece uma lista não exaustiva dos serviços essenciais nos setores e subsetores supramencionados. As autoridades competentes dos Estados-Membros devem utilizar esta lista para efeitos de avaliação do risco e, posteriormente, a avaliação do risco deve ser utilizada para efeitos de identificação das entidades críticas.
O Grupo para a Resiliência das Entidades Críticas facilita a cooperação entre os Estados-Membros, incluindo a partilha de informação e boas práticas.
A Comissão presta apoio, incluindo apoio relativo a riscos intersetoriais, melhores práticas, metodologias, formação transfronteiriça e exercícios para testar a resiliência das entidades críticas.
A PARTIR DE QUANDO SÃO APLICÁVEIS AS REGRAS?
A diretiva tem de ser transposta para o direito nacional até . Estas regras são aplicáveis a partir de .
CONTEXTO
A Estratégia para a União da Segurança da UE e a agenda da UE de luta contra o terrorismo da Comissão sublinham a importância de garantir a resiliência das entidades críticas perante os riscos físicos e digitais.
Esta diretiva integra um pacote de medidas legislativas para melhorar a resiliência e as capacidades de resposta a incidentes de entidades públicas e privadas na UE no domínio da cibersegurança e da proteção das infraestruturas críticas.
O Conselho também emitiu uma recomendação sobre uma abordagem coordenada à escala da UE para reforçar a resiliência de infraestruturas críticas em janeiro de 2023.
Para mais informações, consultar:
- Como responde a UE às crises e de que modo reforça a resiliência (Conselho Europeu, Conselho da União Europeia)
- Infraestruturas críticas (Comissão Europeia).
PRINCIPAIS TERMOS
- Resiliência. A capacidade para prevenir, proteger-se, dar resposta, resistir, atenuar, absorver, adaptar-se e recuperar de incidentes suscetíveis de ser causados, nomeadamente, por catástrofes naturais, tais como emergências de saúde pública, ou ameaças de origem humana, tais como terrorismo, sabotagens ou ameaças híbridas As ameaças híbridas surgem quando intervenientes estatais ou não estatais procuram explorar as vulnerabilidades das infraestruturas críticas através da utilização de uma mistura de medidas (p. ex., de natureza diplomática, militar, económica, tecnológica), permanecendo abaixo do limiar da guerra formal, por exemplo, campanhas de desinformação em massa que obstem ao processo democrático em eleições.
PRINCIPAL DOCUMENTO
Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho, de , relativa à resiliência das entidades críticas e que revoga a Diretiva 2008/114/CE do Conselho (JO L 333 de , p. 164-198).
última atualização