(1)

A fim de assegurar o funcionamento do mercado interno, é do interesse de todos os Estados-Membros e da União no seu conjunto identificar de forma clara e proteger as infraestruturas críticas pertinentes que asseguram serviços essenciais nesse mercado, nomeadamente em setores-chave, como os da energia, das infraestruturas digitais, dos transportes e do espaço, bem como as com importante relevância transfronteiriça (1), cuja perturbação pode afetar de forma significativa outros Estados-Membros.

(2)

A presente recomendação, que constitui um ato não vinculativo, demonstra a vontade política dos Estados-Membros de cooperarem, bem como o seu empenho nas medidas recomendadas, salientado num plano de cinco pontos emitido pela presidente da Comissão Europeia, no pleno respeito das competências dos Estados-Membros. A presente recomendação não afeta a proteção dos interesses essenciais dos Estados-Membros em matéria de segurança nacional, segurança pública ou defesa e nenhum Estado-Membro deverá ser obrigado a partilhar informações que possam prejudicar tais interesses.

(3)

Se a responsabilidade pela segurança e a prestação de serviços essenciais assegurada por infraestruturas críticas recai primariamente sobre os Estados-Membros e os seus operadores de infraestruturas críticas, impõe-se, não obstante, reforçar a coordenação a nível da União, mormente à luz das ameaças em constante evolução que podem ter impacto em vários Estados-Membros ao mesmo tempo, como é o caso da guerra de agressão da Rússia contra a Ucrânia e das campanhas híbridas contra os Estados-Membros, ou que podem afetar a resiliência e o bom funcionamento da economia, do mercado interno e da sociedade da UE em geral. Deverá prestar-se especial atenção às infraestruturas críticas fora do território dos Estados-Membros, nomeadamente as infraestruturas críticas submarinas ou as infraestruturas energéticas ao largo.

(4)

Nas suas conclusões de 20 e 21 de outubro de 2022, o Conselho Europeu condenou com firmeza os atos de sabotagem contra infraestruturas críticas, como os que visaram os gasodutos Nord Stream, indicando a vontade da União de dar a qualquer perturbação deliberada das infraestruturas críticas ou a outras ações híbridas uma resposta unida e determinada.

(5)

Tendo em conta a rápida evolução do cenário das ameaças, importa tomar medidas de reforço da resiliência com caráter prioritário em setores-chave, como os da energia, das infraestruturas digitais, dos transportes e do espaço, bem como noutros setores pertinentes identificados pelos Estados-Membros. Essas medidas deverão incidir no reforço da resiliência das infraestruturas críticas, tendo em conta riscos pertinentes, em especial os efeitos em cascata, as perturbações na cadeia de abastecimento, a dependência, os impactos das alterações climáticas, fornecedores e parceiros pouco fiáveis e ameaças e campanhas híbridas, nomeadamente a manipulação da informação e a ingerência por parte de agentes estrangeiros. No que diz respeito às infraestruturas críticas nacionais, tendo em conta as possíveis consequências, importa dar prioridade às infraestruturas críticas com importante relevância transfronteiriça. Os Estados-Membros são incentivados a tomar as referidas medidas para reforçar a resiliência, se for caso disso, com caráter de urgência, mantendo simultaneamente a abordagem estabelecida no quadro jurídico em evolução.

(6)

A proteção das infraestruturas críticas europeias nos setores da energia e dos transportes é atualmente regida pela Diretiva 2008/114/CE do Conselho (2) e a segurança das redes e da informação em toda a União, que incide sobre as ameaças relacionadas com o ciberespaço, é assegurada pela Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (3). A fim de garantir um elevado nível comum de resiliência e a proteção das infraestruturas críticas, de cibersegurança e do mercado financeiro, o quadro jurídico em vigor está a ser alterado e complementado através da adoção de novas regras aplicáveis a entidades críticas (a «Diretiva REC»), regras reforçadas destinadas a garantir um elevado nível comum de cibersegurança em toda a União (a «Diretiva SRI 2») e novas regras aplicáveis à resiliência operacional digital do setor financeiro («DORA»).

(7)

Os Estados-Membros deverão, em conformidade com o direito nacional e da União, utilizar todas as ferramentas disponíveis para fazer avançar e ajudar a reforçar a resiliência física e cibernética. A este respeito, o conceito de infraestruturas críticas deverá incluir as infraestruturas críticas pertinentes identificadas por um Estado-Membro a nível nacional ou designadas como infraestruturas críticas europeias nos termos da Diretiva 2008/114/CE, bem como as entidades críticas a identificar nos termos da Diretiva REC ou, se for caso disso, as entidades abrangidas pela Diretiva SRI 2. O conceito de resiliência deverá ser entendido como a capacidade de uma infraestrutura crítica para prevenir, proteger, reagir, resistir, atenuar, absorver, adaptar ou recuperar em caso de eventos que perturbam ou têm potencial para perturbar significativamente a prestação de serviços essenciais no mercado interno, ou seja, serviços de importância crucial para a manutenção de funções societais e económicas vitais, a segurança pública, a saúde da população ou o ambiente.

(8)

É necessário reunir peritos nacionais para coordenar o trabalho a fim de alcançar um nível comum mais elevado de resiliência e proteção das infraestruturas críticas através das novas regras aplicáveis às entidades críticas. Esse trabalho coordenado permitirá a cooperação entre os Estados-Membros e a partilha de informações sobre atividades como a elaboração de metodologias para identificar os serviços essenciais assegurados por infraestruturas críticas. A Comissão já começou a reunir os peritos e a atuar como facilitadora do seu trabalho, propondo-se prosseguir esta linha de ação. Após a entrada em vigor da Diretiva REC e uma vez criado um Grupo para a Resiliência das Entidades Críticas ao abrigo da referida diretiva, cabe a este grupo dar continuidade ao trabalho antecipatório desenvolvido em conformidade com as funções que lhe forem atribuídas.

(9)

Reconhecendo a mudança do cenário das ameaças, importa continuar a desenvolver o potencial da realização de testes de esforço em infraestruturas críticas a nível nacional, uma vez que esses testes poderão ser úteis para reforçar a resiliência das infraestruturas críticas. Dada a sua importância específica e as consequências em toda a União de possíveis perturbações a este nível, o setor da energia poderá ser o setor que mais beneficie da realização de testes de esforço com base em princípios definidos de comum acordo. Esses testes de esforço são da competência dos Estados-Membros, que deverão incentivar e apoiar os operadores de infraestruturas críticas a realizarem-nos, sempre que sejam considerados benéficos e em consonância com os seus quadros jurídicos nacionais.

(10)

A fim de assegurar uma resposta coordenada e eficaz a ameaças atuais e antecipadas, incentiva-se a Comissão a prestar apoio adicional aos Estados-Membros, nomeadamente fornecendo informações pertinentes sob a forma de notas de informação, manuais e orientações não vinculativos. O Serviço Europeu para a Ação Externa (SEAE), em especial através do Centro de Situação e de Informações da UE e da sua célula de fusão contra as ameaças híbridas, e com o apoio da Direção de Informações do Estado-Maior da União Europeia (EMUE) no âmbito da Capacidade Única de Análise de Informações (SIAC), deverá fornecer avaliações de ameaças. Convida-se igualmente a Comissão a, em cooperação com os Estados-Membros, promover a adoção de projetos de investigação e inovação financiados pela União.

(11)

Face à crescente interdependência das infraestruturas físicas e digitais, é possível que as ciberatividades mal-intencionadas que visam áreas críticas causem perturbações ou danos nas infraestruturas físicas, ou que a sabotagem das infraestruturas físicas comprometa o acesso aos serviços digitais. Os Estados-Membros são convidados a acelerar os trabalhos preparatórios para a transposição e a aplicação do novo quadro jurídico aplicável às entidades críticas e do quadro jurídico reforçado para a cibersegurança, com base na experiência adquirida no âmbito do grupo de cooperação criado pela Diretiva (UE) 2016/1148 («grupo de cooperação SRI»), o mais rapidamente possível, tendo em conta os prazos de transposição e que os referidos trabalhos deverão progredir em paralelo e de forma coerente.

(12)

Para além de melhorar a preparação, é igualmente importante reforçar as capacidades de resposta rápida e eficaz a perturbações nos serviços essenciais assegurados por infraestruturas críticas. Por conseguinte, a presente recomendação prevê medidas a tomar tanto a nível da União como a nível nacional, nomeadamente destacando o papel de apoio e o valor acrescentado que pode ser obtido graças ao reforço da cooperação e do intercâmbio de informações no contexto do Mecanismo de Proteção Civil da União (MPCU) criado pela Decisão n.o 1313/2013/UE do Parlamento Europeu e do Conselho (4) e utilizando os ativos pertinentes do Programa Espacial da União criado ao abrigo do Regulamento (UE) 2021/696 do Parlamento Europeu e do Conselho (5).

(13)

A Comissão, o alto representante da União para os Negócios Estrangeiros e a Política de Segurança («alto representante») e o grupo de cooperação SRI, em coordenação com os organismos e agências civis e militares pertinentes e com as redes estabelecidas, incluindo a Rede Europeia de Organizações de Coordenação de Cibercrises (EU-CyCLONe), deverão realizar uma avaliação do risco e elaborar cenários de risco. Além disso, na sequência do apelo ministerial conjunto de Nevers, o grupo de cooperação SRI está atualmente a realizar uma avaliação do risco, com o apoio da Comissão e da Agência da União Europeia para a Cibersegurança (ENISA), e em cooperação com o Organismo dos Reguladores Europeus das Comunicações Eletrónicas (ORECE). Ambos os exercícios serão coerentes e coordenados com o exercício de elaborar cenários ao abrigo do MPCU, incluindo eventos de cibersegurança e o seu impacto na vida real, atualmente em fase de desenvolvimento pela Comissão e pelos Estados-Membros. No interesse da eficiência, eficácia e coerência, e para assegurar a aplicação adequada da presente recomendação, os resultados desses exercícios deverão repercutir-se a nível nacional.

(14)

A fim de reforçar a título imediato a preparação e a capacidade de resposta a incidentes de cibersegurança de grande escala, a Comissão criou um programa de curto prazo para apoiar os Estados-Membros, mediante o financiamento adicional afetado à ENISA. Os serviços propostos incluirão, nomeadamente, ações de preparação, como testes de penetração para identificar as vulnerabilidades das entidades. O programa poderá igualmente reforçar as possibilidades de assistência aos Estados-Membros em caso de incidentes de cibersegurança de grande escala que afetem entidades críticas. Trata-se de um primeiro passo em consonância com as conclusões do Conselho, de 23 de maio de 2022, sobre o desenvolvimento da postura de cibersegurança da União Europeia («conclusões do Conselho sobre a postura de cibersegurança da UE»), nas quais se solicita à Comissão que apresente uma proposta relativa a um fundo de ciberemergência. É importante que os Estados-Membros tirem pleno partido dessas oportunidades, em conformidade com os requisitos aplicáveis, sendo incentivados a prosseguir os trabalhos no domínio da gestão de crises de cibersegurança na União, em especial acompanhando e fazendo periodicamente o balanço dos progressos alcançados na execução do roteiro para a gestão de cibercrises recentemente desenvolvido no Conselho. O referido roteiro é um documento dinâmico e deverá ser revisto e atualizado sempre que necessário.

(15)

Os cabos submarinos de comunicações mundiais são essenciais para a conectividade mundial e intra-UE. Devido ao comprimento significativo de tais cabos e à sua instalação no leito marítimo, é extremamente difícil assegurar a monitorização visual subaquática da maioria das secções de cabos. A competência partilhada e outras questões jurisdicionais relacionadas com tais cabos constituem um caso específico para a cooperação europeia e internacional em matéria de proteção e recuperação das infraestruturas. Por conseguinte, é necessário complementar as avaliações do risco em curso e previstas relativas às infraestruturas digitais e físicas subjacentes aos serviços digitais com avaliações do risco específicas e opções de medidas de atenuação relativas aos cabos submarinos de comunicações. Os Estados-Membros convidam a Comissão a realizar estudos para o efeito e a partilhar com eles os respetivos resultados.

(16)

Os setores da energia e dos transportes também podem ser afetados por ameaças relacionadas com as infraestruturas digitais, como é o caso, por exemplo, das tecnologias energéticas que incorporam componentes digitais. A segurança das cadeias de abastecimento associadas é importante para a continuidade da prestação de serviços essenciais e para o controlo estratégico das infraestruturas críticas do setor da energia. Há que ter em conta essas circunstâncias ao tomar medidas para reforçar a resiliência das infraestruturas críticas em conformidade com a presente recomendação.

(17)

Tendo em conta a importância crescente das infraestruturas espaciais, dos ativos terrestres relacionados com o espaço, incluindo as instalações de produção, e dos serviços espaciais para as atividades relacionadas com a segurança, é essencial assegurar a resiliência e a proteção do setor espacial da União e dos seus ativos e serviços terrestres na União. Pelos mesmos motivos, também é essencial, no âmbito da presente recomendação, utilizar de forma mais estruturada os dados e serviços espaciais fornecidos pelos sistemas e programas espaciais para a vigilância e o rastreio de objetos no espaço e a proteção de infraestruturas críticas noutros setores. A futura estratégia espacial da UE para a segurança e a defesa proporá ações adequadas a este respeito, que deverão ser tidos em conta ao aplicar a presente recomendação.

(18)

A cooperação a nível internacional também é necessária para enfrentar com eficácia os riscos para as infraestruturas críticas situadas, nomeadamente, nas águas internacionais. Por conseguinte, incentivam-se os Estados-Membros a cooperarem com a Comissão e o alto representante e a tomarem medidas no sentido de alcançar tal cooperação, tendo em conta que as medidas só podem ser tomadas em conformidade com as respetivas atribuições e responsabilidades ao abrigo do direito da União, nomeadamente as disposições dos Tratados em matéria de relações externas.

(19)

Como estabelecido na sua comunicação de 15 de fevereiro de 2022, intitulada «Contributo da Comissão para a defesa europeia», em apoio à Bússola Estratégica para a Segurança e a Defesa – Por uma União Europeia que protege os seus cidadãos, os seus valores e os seus interesses e contribui para a paz e a segurança internacionais, a Comissão avaliará os requisitos de base da resiliência a nível setorial em cooperação com o alto representante e os Estados-Membros, identificando lacunas e necessidades, bem como as medidas para as colmatar até 2023. Essa iniciativa deverá contribuir para o trabalho realizado no âmbito da presente recomendação, ajudando a aumentar a partilha de informações e a coordenação das ações, por forma a reforçar a resiliência, incluindo a das infraestruturas críticas.

(20)

A Estratégia de Segurança Marítima da UE de 2014 e o respetivo plano de ação revisto apelavam a uma maior proteção das infraestruturas marítimas críticas, incluindo as infraestruturas subaquáticas e, em especial, das infraestruturas do transporte marítimo, da energia e das comunicações, nomeadamente mediante o reforço do conhecimento situacional marítimo graças à melhoria da interoperabilidade e da racionalização do intercâmbio de informações (tanto obrigatório como voluntário). Essa estratégia e esse plano de ação estão atualmente em curso de atualização e incluirão ações reforçadas destinadas a proteger as infraestruturas marítimas críticas. Essas ações deverão complementar a presente recomendação.

(21)

O reforço da resiliência das infraestruturas críticas contribui para os esforços mais gerais de luta contra as ameaças e campanhas híbridas que visam a União e os seus Estados-Membros. A presente recomendação baseia-se na comunicação conjunta ao Parlamento Europeu e ao Conselho, intitulada «Quadro comum em matéria de luta contra as ameaças híbridas – uma resposta da União Europeia». A ação 1 do quadro comum, a saber, o estudo sobre os riscos híbridos, desempenha um papel essencial para identificar as vulnerabilidades suscetíveis de afetar as estruturas e as redes nacionais e pan-europeias. Além disso, a execução das conclusões do Conselho, de 21 de junho de 2022, sobre um enquadramento para uma resposta coordenada da UE às campanhas híbridas, permitirá ações mais coordenadas através da aplicação do conjunto de instrumentos da UE contra as ameaças híbridas em todos os domínios afetados.

(1)

(2)

(3)

(4)

(5)

(6)

(7)

(8)

(9)

(10)

(11)

(12)

(13)

(14)

(15)

(16)

(17)

Os trabalhos desses peritos designados deverão incidir em especial sobre as dependências transetoriais e as infraestruturas críticas com importante relevância transfronteiriça e deverão ser continuados no Conselho e na Comissão, se for caso disso.

(18)

(19)

(20)

(21)

(22)

(23)

(24)

(25)

(26)

(27)

(28)

(29)

(30)

(31)

(32)

(33)

(34)

(35)

(36)

(37)

(38)