COMISSÃO EUROPEIA

Bruxelas, 10.11.2022

JOIN(2022) 49 final

COMUNICAÇÃO CONJUNTA AO PARLAMENTO EUROPEU E AO CONSELHO

Política de ciberdefesa da UE

I. INTRODUÇÃO

O regresso da guerra à Europa com a agressão militar injustificada e não provocada da Rússia contra a Ucrânia tem sido uma tomada de consciência para todas as pessoas que questionam a abordagem da UE em matéria de segurança e defesa, a sua capacidade de promover a sua visão e de defender os seus interesses, nomeadamente no ciberespaço. Os regimes autoritários estão a tentar desafiar e minar a ordem internacional assente em regras no ciberespaço, transformando-o num domínio cada vez mais disputado, juntamente com a terra, o mar, o ar e o espaço. Nos últimos anos, têm-se intensificado os comportamentos maliciosos de intervenientes estatais e não estatais no ciberespaço, nomeadamente através dum número crescente de ciberataques a infraestruturas militares e civis críticas na UE, bem como em missões e operações destacadas.

A distinção entre as dimensões civil e militar do ciberespaço esbateu-se, conforme se observou nos recentes ataques às redes de energia, às infraestruturas de transporte e aos recursos espaciais. Esta circunstância demonstra a interdependência entre as infraestruturas físicas e digitais e o potencial de incidentes de cibersegurança graves com o objetivo de perturbar ou danificar as infraestruturas críticas. É um aviso inequívoco de que a UE necessita de estabelecer uma estreita cooperação militar e civil no ciberespaço para se tornar um garante de maior segurança.

A UE precisa de assumir mais responsabilidade pela sua própria segurança, o que requer forças armadas europeias modernas e interoperáveis. Os Estados-Membros devem, por conseguinte, a título urgente e prioritário, comprometer-se a aumentar os investimentos em capacidades de ciberdefesa que abranjam todo o espetro, incluindo capacidades de defesa ativa. Permanecendo plenamente empenhada no direito e nas normas internacionais no ciberespaço, a UE deve exprimir a sua vontade de utilizar de modo coordenado estas capacidades em caso de ciberataque contra um Estado-Membro.

Para ser bem-sucedida, a UE deve assegurar a sua soberania tecnológica e digital no domínio da cibernética. A capacidade da UE para agir dependerá da sua capacidade de dominar e desenvolver tecnologias de ponta para a cibersegurança e a ciberdefesa na UE. Dado que as cibertecnologias têm um forte potencial de dupla utilização, os setores da cibersegurança e da ciberdefesa, a investigação e o desenvolvimento e as atividades de inovação devem trabalhar de modo muito mais sinergético para desenvolver melhores capacidades.

A prevenção e deteção frequentes são uma parte importante das capacidades de defesa da UE. A UE precisa de ter a capacidade de detetar os ataques numa fase precoce. Os dados de deteção devem ser transformados em informações acionáveis que possam servir tanto para fins de cibersegurança como de ciberdefesa. Esta cooperação entre o setor da defesa e as cibercomunidades civis é a base para um melhor conhecimento comum da situação no ciberespaço e igualmente crucial para a resposta coordenada a situações de crise, quer a nível técnico quer a nível operacional.

O conflito armado na Ucrânia também demonstrou o valor de uma cooperação estreita com o setor privado e a necessidade de ter acesso a fornecedores privados de confiança que atuem na qualidade de ciber-reservas para melhorar a resposta em caso de ciberataques graves. Por conseguinte, é necessário assegurar que os Estados-Membros podem contar com o apoio de ciber-reservas de confiança, e que tal decorra de modo seguro e coordenado.

A presente comunicação conjunta, embora se baseie no Quadro Estratégico para a Ciberdefesa 1 , propõe uma estratégia ambiciosa para permitir à UE e aos seus Estados-Membros agir com autonomia e assertividade no ciberespaço. O seu objetivo é aumentar as capacidades de ciberdefesa através da ação individual ou conjunta dos Estados-Membros e reforçar a coordenação e cooperação entre as cibercomunidades da UE. Visa igualmente reduzir as dependências estratégicas da UE em relação às cibertecnologias críticas e reforçar a base tecnológica e industrial de defesa europeia (BTIDE). Esta estratégia estabelecerá as regras do jogo da UE e proporá formas de reforçar a solidariedade no cerne da UE na esfera da ciberdefesa e de cooperar com o setor privado para melhorar a resposta em caso de ciberataques graves. Dada a natureza transnacional das ciberameaças, serão estabelecidas parcerias mutuamente benéficas e adaptadas no domínio da ciberdefesa, nomeadamente reforçando as capacidades de ciberdefesa e aumentando a ciber-resiliência dos países parceiros.

Conforme proposto na Bússola Estratégica para a Segurança e a Defesa 2 adotada pelo Conselho em março de 2022, a presente política de ciberdefesa reforçará assim a capacidade de prevenir, detetar, defender, recuperar e dissuadir os ciberataques contra a UE e os seus Estados-Membros utilizando todos os meios disponíveis. Tal está em consonância com as prioridades digitais da Comissão, com a ambição definida na Estratégia de Cibersegurança da UE de 2020 3 , com o anúncio da presidente Ursula von der Leyen no seu discurso de 2021 sobre o estado da União 4 e com as conclusões do Conselho, de 23 de maio de 2022, sobre o desenvolvimento da postura da União Europeia no ciberespaço 5 . A Comunicação Conjunta de 2022 sobre a análise dos défices de investimento 6 também incentiva a UE e os seus Estados-Membros a darem início a trabalhos no sentido de desenvolver uma capacidade de ciberdefesa que abranja todo o espetro – desde a investigação, a deteção e a proteção à resposta a dar.

II. CIBERDEFESA PARA PROTEGER, DETETAR, DISSUADIR E DEFENDER A UE CONTRA CIBERATAQUES

1. Agir em conjunto para uma ciberdefesa mais forte

Os ciberataques são frequentemente de natureza transnacional e podem ter um impacto físico nas infraestruturas críticas da UE. Os incidentes de cibersegurança graves podem ser demasiado disruptivos para que um único ou vários Estados-Membros afetados os possam abordar sozinhos. Podem também fazer parte de ataques híbridos de maior dimensão perpetrados por países terceiros com o objetivo de desestabilizar a economia e a sociedade, enfraquecer as infraestruturas críticas necessárias para garantir a segurança da UE ou minar e prejudicar o funcionamento das democracias, designadamente através de ataques contra as infraestruturas eleitorais.

Em 2018, a UE identificou o ciberespaço como um domínio de operações militares. O documento «Military Vision and Strategy on Cyberspace as a Domain of Operations» [Visão e Estratégia Militar para o Ciberespaço como Domínio da Atividade Militar] 7 , adotado em 2021, estabelece as condições-quadro e descreve os fins, as formas e os meios necessários para utilizar o ciberespaço como um domínio de operações de apoio às operações da política comum de segurança e defesa (PCSD) da UE. A ciberdefesa e o emprego das capacidades conexas em todo o espetro das operações militares do ciberespaço são uma prerrogativa nacional dos Estados-Membros, embora dependam de um ecossistema mais amplo, nomeadamente de uma forte base industrial apoiada pelo desenvolvimento de capacidades a nível da UE.

A comunidade de ciberdefesa da UE, composta pelas autoridades de defesa dos Estados‑Membros e apoiada pelas instituições, órgãos e organismos da UE, tem determinadas especificidades em comparação com as outras cibercomunidades 8 e respeita um modelo de governação diferente. A inexistência de um quadro estabelecido para o intercâmbio de informações e a cooperação entre as equipas militares de resposta a emergências informáticas (milCERT) da UE, nomeadamente no apoio às missões e operações militares da PCSD, é problemática, tendo em conta o nível elevado de ciberameaças de intervenientes estatais e não estatais.

A cooperação entre as cibercomunidades civis, diplomáticas e policiais e os seus homólogos da defesa trará um elevado valor acrescentado a todos os intervenientes envolvidos, pelo que é crucial facilitar tal colaboração, fornecendo meios adequados e seguros para o intercâmbio de informações e a participação em exercícios e noutras atividades que aumentem a confiança e o entendimento comum.

Além disso, a assistência operacional mútua é atualmente limitada entre os Estados-Membros. A prossecução do alargamento do conceito de equipas de resposta rápida a ciberataques em toda a UE deve ser explorada com base no projeto de cooperação estruturada permanente (CEP) conexo denominado «Cyber Rapid Response Teams and Mutual Assistance in Cyber Security (CRRT)» 9 , nomeadamente no quadro do artigo 42.º, n.º 7, do Tratado da União Europeia (TUE) 10 («cláusula de assistência mútua») e do artigo 222.º do Tratado sobre o Funcionamento da União Europeia (TFUE) 11 («cláusula de solidariedade»). Na mesma ordem de ideias, um dos ensinamentos retirados do êxito da ciberdefesa ucraniana no contexto da guerra de agressão por parte da Rússia é o papel decisivo desempenhado pelo setor privado. Por conseguinte, há que explorar em que medida o setor privado pode contribuir para reforçar a resposta a ciberataques.

1.1 Reforçar o conhecimento comum da situação e a coordenação no quadro da comunidade de defesa

Dada a escala do risco associado aos ciberataques, os Estados-Membros precisam de ter à sua disposição o mais completo conhecimento coletivo da situação, incluindo a capacidade de deteção precoce, bem como os recursos para responder adequadamente e recuperar de modo solidário e coordenado.

No que diz respeito ao conhecimento da situação militar, é necessário criar um centro de coordenação da ciberdefesa da UE (EUCDCC) que apoie um maior conhecimento da situação na comunidade de defesa, incluindo todos os comandantes militares da PCSD da UE. O alto representante apresentará a proposta de criação do EUCDCC para consideração dos Estados-Membros, com base no projeto CEP do Centro de Coordenação no Domínio da Cibernética e da Informação 12 . O seu objetivo será fornecer uma análise holística do ciberespaço, do ambiente eletromagnético e do domínio cognitivo, reunindo diferentes fontes de informação aos níveis estratégico e operacional militares. Devem ser estabelecidas ligações adequadas entre o EUCDCC e o Centro de Situação e de Informações da UE, assim como com a Direção de Informações do Estado-Maior da UE, no âmbito da Capacidade Única de Análise de Informações. Além das fontes de informação externas, o EUCDCC deve criar e integrar um sistema informático de deteção independente e ativo para reforçar a monitorização dos nós detidos pela UE que apoiam as missões e operações militares da PCSD. Proporcionará capacidades de deteção mais fortes e criará um novo nível de informações para melhorar ainda mais a base de informações para a avaliação dos riscos cibernéticos e o conhecimento da situação.

Para o efeito, são necessárias capacidades que permitam e assegurem a criação e a manutenção de um panorama operacional permanente e, sempre que possível, reconhecido do ciberespaço, incluindo as ciberoperações em curso e a realizar, tanto das forças adversárias como das forças amigas. Tal panorama contribuirá para o planeamento e a realização de missões e operações militares da PCSD da UE. Tornar-se-á assim o contributo militar para tornar a UE mais consciente e mais reativa às ações maliciosas no ciberespaço.

Para melhorar a confiança e trocar informações estratégicas fiáveis e oportunas sobre os principais ciberincidentes, continuará a ser desenvolvida e reforçada a Conferência de Cibercomandantes da UE 13 . Esta será realizada pelo menos duas vezes por ano com a participação da Agência Europeia de Defesa (AED) na qualidade de secretariado e do Estado‑Maior da UE para discutir assuntos operacionais e outras questões pertinentes.

Será criada uma rede operacional de equipas militares de resposta a emergências informáticas (MICNET), apoiada pela AED. Todos os Estados-Membros são convidados a participar na MICNET, que deverá estar operacional em janeiro de 2023.

Ao facilitar o intercâmbio de informações entre as equipas militares de resposta a emergências informáticas, a MICNET promoverá uma resposta mais eficaz e coordenada às ciberameaças que afetam os sistemas de defesa da UE, nomeadamente as utilizadas em missões e operações militares da PCSD. A MICNET também permitirá prestar apoio, ao longo do tempo, aos processos de formação e à identificação contínua de novos requisitos aplicáveis às comunidades dessas equipas. Nos próximos quatro anos, a AED, em conjunto com os Estados-Membros, criará uma infraestrutura de partilha de informações, bem como instrumentos e procedimentos conexos, para apoiar a partilha de informações entre as equipas militares de resposta a emergências informáticas. A MICNET proporcionará também o quadro para o exercício anual de ensaio, validação e identificação de novos requisitos e soluções.

1.2 Reforçar a coordenação com as comunidades civis

A MICNET deve servir de quadro e infraestrutura para a partilha de informações entre os diferentes níveis dentro da comunidade de ciberdefesa e as partes interessadas externas.

Assim que a MICNET atinja um nível de maturidade mais elevado, a AED ajudará os Estados‑Membros a explorar opções de colaboração com a rede de equipas de resposta a incidentes de segurança informática, que engloba as equipas nacionais, bem como a equipa de resposta a emergências informáticas para as instituições e agências da UE (CERT-UE). Esta colaboração pode incluir reuniões e exercícios conjuntos. O envolvimento do setor privado na partilha de informações pertinentes e nos esforços de resposta a incidentes também deve ser explorado.

Para permitir uma gestão mais eficiente de cibercrises, a Conferência de Cibercomandantes da UE deve colaborar com a Rede de Organizações de Coordenação de Cibercrises (CyCLONe) da UE, que engloba os Estados-Membros e a Comissão para apoiar a coordenação e a gestão de incidentes de cibersegurança em grande escala na UE. Essa colaboração combinará a experiência militar e o conhecimento da situação civil a nível estratégico e operacional.

O EUCDCC não só deve atuar na qualidade de nó central para a recolha, análise, avaliação e posterior distribuição de informações relacionadas com a ciberdefesa, em especial para as missões e operações militares da PCSD, como pode também ligar-se ao grupo de trabalho interinstitucional para cibercrises 14 , criado para assegurar uma tomada de decisão informada e uma resposta coordenada das instituições, órgãos e organismos da UE a cibercrises graves a nível estratégico e operacional.

O EUCDCC também poderá trocar informações pertinentes com o centro de situação e de análise cibernética, que está a ser criado na Comissão com o apoio da Agência da União Europeia para a Cibersegurança (ENISA) e da CERT-UE, que fornecerá análises e prestará um apoio mais eficaz à gestão de crises.

Além disso, a falta de ferramentas e plataformas de comunicação segura comuns ou interoperáveis entre os Estados-Membros e as instituições, órgãos e organismos da UE competentes continua a constituir um obstáculo importante. Atualmente, a Comissão e as instituições competentes estão a efetuar um levantamento das ferramentas existentes para uma comunicação segura no domínio da cibernética. Com base neste levantamento das ferramentas existentes, no final de 2022, a Comissão apresentará ao Conselho as suas recomendações para se chegar a acordo sobre novas ações.

Cibersolidariedade da UE para tornar mais forte a deteção e o conhecimento da situação em comum

As ações de apoio civil podem aumentar ainda mais o conhecimento comum da situação. A comunidade de ciberdefesa pode beneficiar do desenvolvimento de capacidades civis mais fortes de deteção e de conhecimento da situação para proteger as infraestruturas críticas da UE. Para o efeito, a Comissão está a preparar uma iniciativa para promover a implantação de uma infraestrutura da UE de centros de operações de segurança (SOC), que será lançada nas próximas semanas e alargada e implantada depois em maior escala 15 . Essa infraestrutura seria constituída por várias plataformas SOC multinacionais, cada uma agrupando SOC nacionais, com o apoio do Programa Europa Digital 16 para complementar o financiamento nacional. A introdução de alterações legislativas no Programa Europa Digital permitiria conceder apoio financeiro a longo prazo à contratação conjunta no domínio das ferramentas e infraestruturas ultrasseguras de próxima geração. Tal permitirá melhorar as capacidades de deteção coletiva da infraestrutura SOC da UE prevista, recorrendo aos desenvolvimentos mais recentes no domínio da inteligência artificial e da análise de dados e abrangendo as redes de comunicação civis. Esta geração de informações acionáveis sobre ciberameaças permitirá alertar as autoridades e entidades competentes por forma a detetarem e a responderem eficazmente a incidentes graves. A escala e a abrangência da infraestrutura dependerão do financiamento global que possa ser mobilizado a nível nacional e pela União, sob reserva do orçamento disponível no âmbito do quadro financeiro plurianual.

Os centros multinacionais de operações de segurança também poderão permitir a participação de entidades de defesa, estabelecendo um «pilar de defesa» em termos de governação e do tipo de informações partilhadas. Este «pilar de defesa» será desenvolvido em conjunto com o alto representante e poderá contemplar um mecanismo dedicado ao intercâmbio de informações entre os intervenientes militares, incluindo o EUCDCC, para o qual poderão ser desenvolvidas normas de segurança ao nível da defesa.

Cibersolidariedade da UE na preparação, resposta e recuperação

Os incidentes de cibersegurança graves são frequentemente demasiado desestabilizadores para que um único ou vários Estados-Membros afetados os possam abordar sozinhos. Nestes casos, há que proporcionar condições aos Estados-Membros para poderem recorrer à assistência mútua e à solidariedade, nomeadamente no contexto do artigo 42.º, n.º 7, do TUE e do artigo 222.º do TFUE. O alto representante, em cooperação com a Comissão e os Estados‑Membros, explorará as possibilidades de alargamento do conceito de equipas de resposta rápida a ciberataques (CRRT) com base no projeto conexo CEP CRRT, a fim de melhor apoiar os Estados-Membros da UE e as missões e operações da PCSD. O papel de tais equipas será o de prestar assistência adaptada e orientada a curto prazo a pedido e em função das necessidades específicas de cada caso. Também poderá incluir, quando pertinente, opções de prestação de apoio por parceiros privados de confiança para assegurar uma resposta eficiente e ações de recuperação.

No âmbito da iniciativa da UE em matéria de cibersolidariedade, a Comissão tem estado a preparar medidas para reforçar as ações de preparação e resposta em toda a UE. Entre essas medidas contam-se a avaliação das potenciais vulnerabilidades das principais entidades que operam infraestruturas críticas com base em avaliações dos riscos da UE - assente em ações já iniciadas pela Comissão em conjunto com a ENISA - bem como ações de resposta a incidentes para atenuar o impacto dos incidentes graves, a fim de apoiar a recuperação imediata e/ou restabelecer o funcionamento dos serviços essenciais 17 .

A iniciativa da UE em matéria de cibersolidariedade poderia apoiar a criação progressiva de uma reserva cibernética a nível da UE com serviços de fornecedores privados de confiança prontos a intervir a pedido dos Estados-Membros em caso de incidentes transnacionais graves. As funções e responsabilidades devem ser definidas de modo claro e plenamente coordenadas com os organismos existentes para assegurar que o apoio da reserva cibernética a nível da UE seja prestado onde é necessário e complemente outras potenciais formas de assistência. Embora o âmbito de ação e a afetação de custos das intervenções específicas dependam do financiamento da UE disponível, a UE também trará valor acrescentado ao assegurar a disponibilidade e a prontidão dessa reserva a nível da UE. Para assegurar um elevado nível de confiança, a Comissão considerará também as opções de apoio ao desenvolvimento de sistemas de certificação da cibersegurança para essas empresas privadas de cibersegurança.

Os exercícios são um elemento fundamental do reforço da preparação. Promovem o desenvolvimento de uma base comum de conhecimentos e a compreensão da ciberdefesa, o que, por sua vez, reforça a preparação operacional. Os exercícios comuns de ciberdefesa também criarão interoperabilidade e aumentarão a confiança entre as partes interessadas, nomeadamente para apoiar as missões e operações militares da PCSD. Com base nos cursos CYBER PHALANX 18 e nos exercícios milCERT, a AED criará um novo projeto denominado CyDef-X em que participarão todos os Estados-Membros e que servirá de quadro para os exercícios de ciberdefesa da UE. Este projeto pode servir para prestar assistência mútua nos termos do artigo 42.º, n.º 7, do TUE. Deve ser igualmente explorada a possibilidade de recurso a ambientes dedicados a testes em matéria de cibernética, a ações de formação no domínio da cibernética e a exercícios comuns de ciberdefesa (por exemplo, a federação de centros virtuais de treino), incluindo através das federações de centros virtuais de treino no âmbito do projeto CEP 19 .

Esses exercícios também podem desempenhar um papel importante na melhoria da cooperação entre as entidades civis e militares, pelo que, aquando da organização de exercícios, a ENISA, a AED e as outras entidades competentes devem considerar sistematicamente a inclusão de participantes de outras cibercomunidades.

No âmbito do reforço da capacidade da UE para prevenir, dissuadir e responder aos ciberataques, e em consonância com a Estratégia de Cibersegurança da UE para 2020 e com a Bússola Estratégica para a Segurança e a Defesa, o alto representante apresentará, em 2023, alternativas para reforçar o conjunto de instrumentos de ciberdiplomacia da UE 20 tirando partido dos elementos da postura da UE no ciberespaço e dos ensinamentos retirados com a aplicação dos referidos instrumentos desde a sua criação.

Ações em matéria de ciberdefesa ·criar um centro de coordenação da ciberdefesa da UE enquanto centro de conhecimento da situação militar comum e explorar modalidades de cooperação com o centro de situação e de análise cibernética da Comissão, ·continuar a desenvolver e a reforçar a Conferência dos Cibercomandantes da UE, ·incentivar os Estados-Membros a participarem ativamente na MICNET, que é uma rede de equipas militares de resposta a emergências informáticas, e a trabalharem no sentido de estabelecer a cooperação com a rede civil de equipas de resposta a incidentes de segurança informática, ·desenvolver o novo projeto-quadro CyDef-X para apoiar os exercícios de ciberdefesa da UE, ·explorar as possibilidades de desenvolver o conceito de equipas de resposta rápida a ciberataques com base no projeto CEP CRRT, ·explorar as possibilidades de continuar a desenvolver os projetos das federações de centros virtuais de treino. Ações de apoio civil ·preparar uma iniciativa da UE em matéria de cibersolidariedade, incluindo um eventual ato legislativo para introduzir alterações legislativas no Programa Europa Digital a fim de: oreforçar as capacidades comuns de deteção, conhecimento da situação e resposta da UE, ocriar progressivamente uma reserva cibernética a nível da UE com serviços de fornecedores privados de confiança, oapoiar a avaliação das potenciais vulnerabilidades das entidades críticas com base em avaliações dos riscos da UE. ·explorar a possibilidade de criar sistemas de certificação da cibersegurança a nível da UE para o setor da cibersegurança e para as empresas privadas, ·reforçar a cooperação a nível estratégico, operacional e técnico entre o setor da ciberdefesa e outras cibercomunidades.

2. Proteger o ecossistema de defesa da UE

Nos últimos anos, o número de ciberataques aumentou drasticamente, em especial os ataques de ciberespionagem, sequestro por programas maliciosos ou perturbação da cadeia de abastecimento. Em 2020, o ataque contra a cadeia de abastecimento da SolarWinds 21 afetou mais de 18 000 organizações a nível mundial, incluindo organismos governamentais, grandes empresas e empresas de defesa. A exploração de uma vulnerabilidade no software Log4j 22 da Apache demonstrou que mesmo os componentes de software que não são considerados de alto risco ou críticos podem ser utilizados como arma para realizar ataques bem-sucedidos na UE a grandes empresas ou governos, incluindo no domínio da defesa. Tal demonstra a clara necessidade de continuar a reforçar a ciber-resiliência das entidades ativas no ecossistema de defesa da UE, nomeadamente as entidades militares, o setor da defesa e os operadores privados.

As forças armadas dependem, em grande medida, das infraestruturas civis críticas, seja por motivos de mobilidade, comunicações ou energia. O ataque russo à rede de satélites KA-SAT 23 , que afetou as comunicações entre várias autoridades públicas, bem como entre as forças armadas ucranianas, é um exemplo dessa inter-relação. Tal demonstra a necessidade de garantir a segurança dessas infraestruturas críticas.

Para abordar as questões relacionadas com a segurança dos seus sistemas de comunicação e informação, os Estados-Membros têm estado a desenvolver as suas próprias normas e requisitos de segurança para os sistemas militares, que nem sempre têm em conta a necessidade da interoperabilidade nem a existência de normas civis relativas aos produtos de dupla utilização. Além de criar obstáculos à assistência mútua, esta circunstância tem um impacto negativo na capacidade de os Estados-Membros agirem em conjunto não só no ciberespaço, como também no contexto das missões e operações militares da PCSD. Além disso, é igualmente necessário promover sinergias mais fortes entre as vias de normalização militar e civil, uma vez que o cumprimento de normas semelhantes, mas diferentes, em relação a clientes civis e militares aumenta os custos de produção para o desenvolvimento de produtos de dupla utilização pelo setor.

2.1. Reforçar a ciber-resiliência do ecossistema de defesa

O reforço da ciber-resiliência do ecossistema de defesa requer ações e investimentos direcionados num conjunto diversificado de entidades, desde as infraestruturas militares dos Estados-Membros e as missões e operações da PCSD às infraestruturas críticas, ao setor da defesa e às entidades de investigação competentes.

Para garantir o êxito das missões e operações da PCSD, é indispensável proteger as informações necessárias para a tomada de decisão informada. A UE e os Estados-Membros precisam de continuar a reforçar as suas estruturas de comando e controlo militar e desenvolver e proteger as suas infraestruturas. Tal também se aplica à consulta político-militar nas fases iniciais da gestão de crises para assegurar o envolvimento eficaz do comando do quartel‑general da operação, incluindo a Capacidade Militar de Planeamento e Condução. Tal será abordado, em especial, através do desenvolvimento da operação da rede de área alargada (WAN) da UE.

No contexto das missões e operações militares, os intervenientes no domínio da ciberdefesa lidam com informações em diferentes formatos e classificações provenientes de várias fontes, o que torna a implementação de tecnologias de ponta seguras, como a IA, com o apoio do setor, da máxima importância.

A segurança das infraestruturas dos sistemas de comunicação e informação deve ser melhorada através da aplicação de procedimentos de gestão mutuamente acordados, promovendo assim a confiança na integridade das informações disponíveis entre as partes interessadas. Além disso, o alto representante, enquanto diretor da AED e com o apoio da Comissão, ajudará os Estados‑Membros a desenvolverem recomendações juridicamente não vinculativas para a comunidade de defesa, inspiradas na Diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União (Diretiva SRI 2) 24 , dado que o âmbito de aplicação da diretiva não abrange a defesa. Estas recomendações contribuirão para assegurar uma maior maturidade global em matéria de ciberdefesa.

A proposta de regulamento da Comissão sobre a ciber-resiliência 25 , que visa estabelecer os requisitos de cibersegurança dos produtos com elementos digitais, também contribuirá para reduzir as superfícies de ataque em produtos de dupla utilização utilizados, por exemplo, nos sistemas de comunicação e informação pelo setor da defesa e pelos intervenientes governamentais no domínio da defesa. Em conformidade com essa proposta, os fabricantes serão obrigados a comunicar à ENISA, no prazo de 24 horas, as vulnerabilidades que forem ativamente exploradas , devendo esta informar posteriormente as equipas de resposta a incidentes de segurança informática nacionais competentes. A este respeito, também é importante assegurar que a comunidade de defesa seja rapidamente informada sobre as vulnerabilidades de produtos com elementos digitais, bem como sobre quaisquer atualizações corretivas disponíveis e/ou aplicadas e as medidas de atenuação.

Tanto mais que, no contexto da dependência dos militares das infraestruturas civis críticas, é igualmente necessário continuar a aumentar a proteção das infraestruturas críticas contra os ciberataques em grande escala. A pedido do Conselho 26 , a Comissão, o alto representante e o grupo de cooperação SRI 27 estão a desenvolver cenários de risco para a segurança das infraestruturas digitais. O foco incidirá, em primeiro lugar, na cibersegurança nos setores da energia, das telecomunicações, dos transportes e do espaço. Serão também preparadas avaliações dos riscos de cibersegurança específicas para as infraestruturas e redes de comunicações na UE (incluindo as infraestruturas fixas e móveis, os satélites, os cabos submarinos e os serviços de encaminhamento da Internet) 28 . Relativamente à proteção das infraestruturas críticas contra ameaças de origem humana, incluindo as ameaças híbridas, a proposta de recomendação do Conselho relativa a uma abordagem coordenada da União para reforçar a resiliência das infraestruturas críticas 29 insta os Estados-Membros a assegurarem a realização de testes de resistência adequados e a coordenação de crises, entre outros aspetos. As infraestruturas marítimas críticas, em especial a proteção dos cabos de dados submarinos, serão abordadas mais aprofundadamente na próxima revisão da Estratégia de Segurança Marítima da UE e do respetivo plano de ação. Do plano de ação da UE para digitalizar o sistema energético constam outras ações para reforçar a cibersegurança das infraestruturas críticas do sistema energético 30 .

A importância dos serviços espaciais para a defesa é cada vez maior, quer se trate de serviços de vigilância, de conhecimento da situação, de posicionamento preciso ou de comunicações ultrasseguras. Por conseguinte, são recursos estratégicos fundamentais para a soberania tecnológica. A interrupção dos serviços espaciais pode ter um enorme impacto não só nos sistemas de defesa, como também na sociedade e na economia em geral. A sua resiliência é fulcral para a resiliência global da ciberdefesa, uma vez que podem ser alvos de ataques perversos. Mais concretamente, conforme se observou nos ataques às redes KA-SAT, os sistemas espaciais estão cada vez mais expostos às ciberameaças suscetíveis de afetar a disponibilidade ou a continuidade dos serviços espaciais. Esta circunstância cria um risco não só para os interesses estratégicos e de segurança da UE no domínio espacial, como também para as capacidades espaciais que viabilizam e apoiam a ciberdefesa. A estratégia espacial da UE para a segurança e a defesa anunciada na Bússola Estratégica 31 delineará medidas para melhorar a solidez e a ciber-resiliência das infraestruturas espaciais e dos serviços conexos, bem como dissuadir e responder a quaisquer ameaças contra sistemas e serviços espaciais sensíveis na UE, abordando especificamente as ciberameaças.

A Comissão também insta os Estados-Membros a aplicarem urgentemente as medidas recomendadas no conjunto de instrumentos da UE para a cibersegurança das redes 5G 32 . Os Estados-Membros que ainda não adotaram restrições em relação aos fornecedores de alto risco devem fazê-lo sem demora, uma vez que a perda de tempo pode agravar a vulnerabilidade das redes na UE. Tais riscos podem ser pertinentes para os meios militares e suscetíveis de ter um impacto no ambiente global de defesa dos Estados-Membros.

No que respeita à ciber-resiliência do setor europeu da defesa e das entidades de investigação e desenvolvimento neste domínio, estas últimas são abrangidas pelo âmbito de aplicação da Diretiva SRI 2, salvo quando explicitamente excluídas pelos Estados-Membros. Essas entidades são obrigadas a ter um programa de gestão dos riscos de cibersegurança em vigor que abranja a segurança da cadeia de abastecimento e a notificação de incidentes. Dado que o setor privado desempenha um papel importante na prestação de serviços de cibersegurança no ecossistema de defesa, os Estados-Membros devem, além disso, recorrer a sistemas de certificação da cibersegurança. Poderia explorar-se um sistema de certificação da cibersegurança da UE para as empresas que prestam serviços ao setor da defesa como forma de proporcionar um nível harmonizado de confiança ao mercado, com base na experiência da ENISA.

2.2. Assegurar a interoperabilidade e a coerência das normas da UE em matéria de ciberdefesa

A interoperabilidade e a uniformização são requisitos importantes a ter em conta desde a fase de conceção das capacidades de ciberdefesa, bem como os ensinamentos retirados das missões e operações em curso identificados sob a liderança do Estado-Maior da UE com o apoio da AED. Os princípios, processos e normas acordados no âmbito da Rede de Missões Federadas 33 devem fornecer os elementos orientadores para o desenvolvimento das capacidades nacionais de ciberdefesa para assegurar a interoperabilidade.

Os esforços de colaboração podem ser facilitados através da harmonização dos requisitos relativos às capacidades de ciberdefesa de próxima geração, o que pode eventualmente gerar iniciativas conjuntas de desenvolvimento e contratação pública e apoio integrado durante o ciclo de vida. Por este motivo, a AED e o Estado-Maior da UE desenvolverão recomendações sobre um conjunto de requisitos de interoperabilidade da ciberdefesa da UE. Esses requisitos deverão ser tidos em conta em todos os horizontes de planeamento de modo a garantir todos os aspetos da normalização enquanto fator crítico para a interoperabilidade. Os requisitos de testes, avaliação e certificação são outros fatores críticos.

Serão desenvolvidas normas harmonizadas em matéria de cibersegurança aplicáveis aos produtos e componentes de hardware e software no contexto da proposta de regulamento sobre a ciber-resiliência 34 . Tais normas dirão respeito a todos os produtos civis e de dupla utilização com elementos digitais, que constituem uma grande parte dos produtos utilizados no setor da defesa. Sempre que possível, a Comissão encorajará a coerência com as normas de cibersegurança relacionadas com a defesa aplicáveis aos produtos digitais. Conforme estabelecido no plano de ação sobre as sinergias entre as indústrias civis, da defesa e do espaço 35 («plano de ação sobre as sinergias»), a Comissão, em estreita cooperação com as principais partes interessadas, apresentará um plano para promover a utilização das normas híbridas civis/de defesa existentes e a elaboração de novas normas. Todas as partes interessadas deverão continuar a desenvolver a cooperação entre si, em especial as organizações europeias de normalização, a Organização do Tratado do Atlântico Norte (OTAN) e outros parceiros, fazendo, para esse fim, o melhor uso possível do Comité Europeu de Normalização no domínio da Defesa. Na mesma ordem de ideias, os organismos militares de normalização, quando desenvolvem novas normas de cibersegurança relativas aos produtos com elementos digitais para utilização no setor da defesa, devem usar, como base, as normas harmonizadas desenvolvidas nos termos do regulamento sobre a ciber-resiliência 36 .

3. Investir em capacidades de ciberdefesa

Nos últimos anos, dado o número crescente de ciberatividades maliciosas perpetradas por intervenientes estatais e não estatais, foram reforçados os investimentos em ciberdefesa na UE. É fundamental que a UE amplie as suas capacidades de ciberdefesa. A guerra de agressão da Rússia contra a Ucrânia veio reforçar ainda mais a necessidade de maiores investimentos para assegurar que os Estados-Membros dispõem de capacidades de ciberdefesa de ponta, tanto as fixas como as que podem ser projetadas.

As melhorias tecnológicas são essenciais para manter a vantagem em relação aos concorrentes e adversários, que também estão a investir fortemente em novas tecnologias. Por conseguinte, a UE e os Estados-Membros também devem reforçar a sua cooperação e a interoperabilidade em matéria de ciberdefesa mediante o desenvolvimento conjunto das capacidades e o aumento dos investimentos em investigação e desenvolvimento.

Além disso, importa abordar as vulnerabilidades suscitadas pelas dependências estratégicas e pela fragmentação da base tecnológica e industrial de defesa europeia (BTIDE) 37 . Em especial, as qualificações e as competências são essenciais para superar as dependências estratégicas em matéria de cibersegurança e ciberdefesa na Europa. O setor europeu da defesa precisa de preservar competências-chave e adquirir novas competências para poder continuar a fornecer soluções de alta tecnologia num contexto mundial 38 . A falta de competências tem um impacto negativo no setor da defesa, uma vez que dificulta o desenvolvimento de capacidades em todos os domínios. Todas as ações deverão estar em plena consonância com as abordagens anunciadas no plano de ação sobre as sinergias, no roteiro sobre tecnologias críticas para a segurança e a defesa («roteiro») 39 e na análise dos défices de investimento 40 .

3.1. Desenvolver capacidades de ciberdefesa de ponta que abranjam a globalidade do espetro

Os Estados-Membros têm a responsabilidade e a competência para utilizar as capacidades de ciberdefesa, ao passo que a UE desempenha um papel importante no apoio ao desenvolvimento ulterior de capacidades militares específicas em todo o espetro da Doutrina, Organização, Formação, Material, Pessoal, Liderança, Instalações e Interoperabilidade (DOTMLPF-I) para dispor de liberdade de ação no ciberespaço. É necessário unificar ainda mais a abordagem para a ciberdefesa em todos os domínios de capacidades e de a adaptar ao ambiente geopolítico em mutação. Por conseguinte, é indispensável identificar os elementos em falta nas capacidades existentes e apoiar o desenvolvimento de novas capacidades de modo coordenado e mensurável.

No entanto, até à data, o nível de envolvimento dos Estados-Membros em projetos colaborativos de desenvolvimento da ciberdefesa continua a ser insuficiente, devendo ser aumentado para maximizar o impacto a nível da UE. Todos os Estados-Membros devem aumentar os seus investimentos no desenvolvimento de capacidades de ciberdefesa que abranjam a globalidade do espetro e desenvolvê-las de forma colaborativa. Os Estados‑Membros devem ponderar a assunção de um conjunto de compromissos voluntários para o desenvolvimento de capacidades nacionais de ciberdefesa e igualmente de capacidades multinacionais para além dos projetos CEP já existentes no domínio da ciberdefesa 41 . O processo de análise anual coordenada da defesa poderia ser utilizado para encetar um diálogo com os Estados-Membros sobre os requisitos de ciberdefesa e os objetivos nacionais para o desenvolvimento de capacidades de ciberdefesa e para avaliar o cumprimento dos compromissos assumidos. A Comissão apoia e cofinancia o desenvolvimento e a investigação de capacidades de ciberdefesa que abranjam a globalidade do espetro, incluindo capacidades de defesa ativa, através do Fundo Europeu de Defesa (FED). A Comissão já aumentou os investimentos em ciberdefesa através do FED, o que deverá permitir desenvolver instrumentos europeus comuns e/ou interoperáveis para operações e gestão de incidentes no ciberespaço, operações defensivas de guerra de informação e medidas preventivas, assim como a uma maior resiliência dos sistemas de comunicação e informação. Visa domínios como o conhecimento da situação cibernética, a deteção de ameaças em tempo real e as capacidades de resposta operacional, as capacidades de operações cibernéticas e as ações de formação e os exercícios cibernéticos 42 . Para assegurar que os Estados-Membros podem levar a cabo operações cibernéticas conjuntas, nos próximos anos as operações de resposta e as capacidades de operações cibernéticas serão apoiadas no âmbito do FED. Por último, os Estados-Membros são incentivados a participar ativamente nos diferentes quadros de cooperação e a utilizar todos os instrumentos criados a nível da UE, incluindo a equipa de ciberdefesa no âmbito do projeto da AED 43 .

A revisão em curso das prioridades da UE de 2018 em matéria de desenvolvimento de capacidades 44 constitui uma oportunidade para definir e atualizar prioridades para o desenvolvimento cooperativo e colaborativo, permitindo, por sua vez, aumentar o desenvolvimento de capacidades cooperativas. A revisão da prioridade específica em matéria de ciberdefesa deve ter em conta os resultados do processo de análise anual coordenada da defesa de 2022 e as conclusões da análise dos défices de investimento apresentada aos Estados‑Membros em maio de 2022. Subsequentemente, o referido processo proporcionará um enquadramento estável para analisar os progressos alcançados na aplicação desta prioridade atualizada a nível nacional e explorará novas opções emergentes para o desenvolvimento colaborativo das capacidades de ciberdefesa com os Estados-Membros. As prioridades da UE em matéria de desenvolvimento de capacidades servirão de referência importante para os projetos CEP no domínio da ciberdefesa.

A este respeito, com base na incumbência do Comité Militar da UE, o Estado-Maior da UE desenvolverá o plano de execução de operações no domínio da cibernética em estreita coordenação com os Estados-Membros para fornecer uma panorâmica do ponto da situação da aplicação das capacidades de ciberdefesa, bem como para prestar apoio aos Estados-Membros a fim de alinharem melhor os seus esforços e atividades. Estes esforços baseiam-se no conceito para a ciberdefesa nas operações e missões militares lideradas pela UE, reiterando a fixação de prioridades do Plano de Desenvolvimento de Capacidades.

Reforço dos esforços de investigação sobre tecnologias fulcrais para a ciberdefesa

A manutenção das capacidades de ciberdefesa de ponta exige que se esteja a par da evolução tecnológica e das suas aplicações no domínio dos sistemas relacionados com a defesa, nomeadamente as tecnologias emergentes e disruptivas (por exemplo, IA, cifragem e computação quântica) 45 . Mais concretamente, a UE deve investir em criptografia pós-quântica para garantir a segurança permanente dos seus sistemas de defesa. Atendendo ao ritmo acelerado dos avanços tecnológicos, é necessário adaptar a investigação colaborativa e os esforços em matéria de evolução tecnológica para atingir um nível de maturidade tecnológica suficientemente avançado a fim de incorporar os seus resultados nas capacidades atuais e futuras de modo mais rápido.

No âmbito do FED, a Comissão está a financiar inovações tecnológicas para a defesa e a apoiar o desenvolvimento de tecnologias emergentes e disruptivas, bem como de tecnologias de ponta, inclusive para a ciberdefesa. Até 8 % do orçamento do FED é afetado a temas que abordam tecnologias disruptivas para a defesa, incluindo alguns temas pertinentes para a ciberdefesa. Nos próximos anos, no âmbito do FED, será consagrada especial atenção a ações e projetos de investigação que abordem novas tecnologias desenvolvidas para fazer face a ameaças emergentes e em evolução, bem como ao aumento da resiliência, à cibersegurança e à sua integração nas capacidades de defesa.

Em consonância com o plano de ação para as tecnologias emergentes e disruptivas 46 , a AED informará anualmente os Estados-Membros sobre o panorama das tecnologias emergentes, incluindo as aplicáveis à ciberdefesa. Além disso, desenvolverá a avaliação estratégica europeia das tecnologias emergentes e disruptivas para apoiar os Estados-Membros no seguimento de orientações estratégicas a longo prazo, identificando sinergias e oportunidades de colaboração. O Centro Europeu de Competências em Cibersegurança (ECCC) adotará uma agenda estratégica de investimento em domínios-chave da cibersegurança, que, por sua vez, orientará a preparação dos futuros programas de trabalho dos programas Europa Digital e Horizonte Europa em matéria de cibersegurança, apoiando a investigação, a inovação e a adoção pelo mercado, respetivamente. Para promover sinergias, o ECCC e a AED desenvolverão também um acordo de trabalho para facilitar a partilha de informações entre os respetivos funcionários sobre as prioridades tecnológicas civis, de dupla utilização e de defesa, respetivamente.

Satisfazer as necessidades tecnológicas no domínio da ciberdefesa

São necessárias mais ações e coordenação para assegurar que a rápida evolução tecnológica no domínio da cibernética é rapidamente adotada pelo setor da defesa. Tal inclui a intensificação de esforços no sentido de identificar tecnologias críticas prioritárias para a ciberdefesa e a cibersegurança, a fim de reduzir as dependências tecnológicas da UE e avaliar se a atual fixação de prioridades e os instrumentos de financiamento abordam suficientemente estas dependências.

Para o efeito, a Comissão, juntamente com a AED e os Estados-Membros, proporá, em 2023, um roteiro tecnológico para as cibertecnologias críticas com base em consultas pertinentes, nomeadamente junto do setor, sempre que adequado. O roteiro tecnológico identificará as cibertecnologias importantes para a soberania tecnológica da UE, abrangerá tanto a ciberdefesa como a cibersegurança, efetuará levantamentos da evolução tecnológica e das dependências estratégicas e atuará para as reduzir. O roteiro sobre cibertecnologias definirá as prioridades estratégicas para os instrumentos de financiamento da UE e proporá tirar pleno partido da investigação e desenvolvimento civis e de defesa, dos programas de desenvolvimento de capacidades e dos instrumentos de financiamento, em conformidade com as respetivas regras de governação. Também proporá outras formas de incentivar o desenvolvimento da investigação de dupla utilização, o desenvolvimento tecnológico e a inovação no domínio da cibersegurança e da ciberdefesa a nível da UE e dos Estados-Membros.

Neste contexto, a Comissão 47 , em cooperação com o ECCC e a AED, avaliará, em 2023, as tecnologias já identificadas como críticas para a ciberdefesa e, com o eventual apoio do Observatório das Tecnologias Críticas, efetuará um levantamento e identificará mais aprofundadamente as dependências existentes 48 . Tal deverá ter em conta os trabalhos realizados no contexto do relatório anual de controlo da AED 49 e da avaliação estratégica europeia das tecnologias emergentes e disruptivas 50 . Além disso, o ECCC poderia lançar um projeto específico de apoio às políticas que poderia contribuir para o processo de elaboração de roteiros tecnológicos e reunir e envolver as partes interessadas pertinentes das esferas civil e militar.

No âmbito das atividades referidas no plano de ação sobre as sinergias, no roteiro e na análise dos défices de investimento, já se encontram em curso várias ações para reforçar as sinergias a fim de explorar melhor todo o potencial das tecnologias de dupla utilização, incluindo no domínio da cibernética.

Além disso, os Estados-Membros são encorajados a fazer pleno uso das iniciativas existentes de apoio à investigação e ao desenvolvimento tecnológico, nomeadamente, no domínio da defesa, os grupos de capacidades tecnológicas de defesa da AED 51 e os pilares tecnológicos conexos da agenda de investigação estratégica abrangente 52 , o quadro ad hoc da AED 53 , o FED e a CEP. Para as tecnologias civis e de dupla utilização, o ECCC e a Rede podem gerir projetos com uma dimensão tanto de defesa como civil, conforme estabelecido pela sua base jurídica 54 . Tal como anunciado no plano de ação sobre as sinergias e no roteiro, a Comissão também procurará reforçar as sinergias entre as atividades de cibersegurança e ciberdefesa do ECCC e do FED, em conformidade com as regras de governação deste último.

3.2. Um setor europeu da defesa ágil, competitivo e inovador

A UE necessita de um setor europeu da defesa forte, ágil, competitivo e inovador, capaz de fornecer um leque alargado de capacidades de defesa de ponta, incluindo em matéria de ciberdefesa. No entanto, no que diz respeito à ciberdefesa, atualmente o setor da defesa da UE depende, de modo expressivo, de soluções civis e dos mercados externos para fornecer soluções de ponta. Embora a evolução tecnológica no domínio civil esteja a avançar rapidamente e o mercado das informações civis e dos produtos de cibersegurança esteja a crescer de modo exponencial, existem requisitos militares específicos que os produtos prontos a utilizar não preenchem. Os componentes importantes de hardware e software atualmente utilizados na ciberdefesa não são fabricados na UE, o que pode criar dependências industriais e tecnológicas. A UE também carece de uma forte presença no setor mundial da cibersegurança e da ciberdefesa. O facto de ter uma base tecnológica e industrial de defesa europeia (BTIDE) muito fragmentada reduz consideravelmente a sua capacidade de melhorar a sua competitividade 55 , sendo a maioria das empresas de cibersegurança na UE pequenas e médias empresas (PME) 56 . Ter uma capacidade industrial tecnologicamente soberana é a pedra angular para a capacidade da UE para agir.

A UE está a apoiar o desenvolvimento de uma BTIDE forte através de um leque de programas e iniciativas. Enquanto o FED financia a inovação tecnológica em prol da defesa e apoia o desenvolvimento de tecnologias que eventualmente conduzam ao desenvolvimento conjunto de capacidades militares de ponta e contribuam para a competitividade do setor da defesa da UE, os programas Horizonte Europa e Europa Digital apoiam a investigação em cibersegurança e o desenvolvimento de tecnologias de dupla utilização, incluindo computação quântica, cifragem, nuvem segura e IA 57 .

Há que abordar outras ações relacionadas com as tecnologias críticas para a ciberdefesa e as necessidades industriais referidas no roteiro tecnológico para as cibertecnologias críticas. É necessário identificar fluxos de apoio adequados, por exemplo, para estimular os esforços comuns de contratação pública através do futuro programa europeu de investimento em matéria de defesa ou facilitar o acesso a capitais próprios e a empréstimos através do Fundo Europeu de Investimento e do Banco Europeu de Investimento.

Para se dispor de uma BTIDE forte, é necessário assegurar a exploração e o favorecimento de sinergias entre as empresas civis e de defesa. As ações em matéria de inovação propostas no âmbito do Programa Europeu de Inovação no domínio da Defesa da UE (EUDIS), incluindo a sensibilização das PME e a prospeção da tecnologia, poderiam ter um impacto positivo no setor da defesa da UE e na BTIDE.

A Comissão também lançará um diálogo com as empresas com o objetivo de desenvolver o setor da ciberdefesa da UE, envolvendo, conforme o caso, a AED.

A Comissão e o alto representante propõem a aplicação de várias medidas para assegurar que o setor está preparado para produzir resultados a curto e a longo prazo. Tal implica, a curto prazo, realizar um levantamento aprofundado das capacidades de fabrico do setor da defesa da UE, a fim de identificar com precisão as lacunas e os domínios que precisam de ser reforçados.

A redução das dependências críticas no domínio da cibernética, como as que os roteiros tecnológicos possam identificar, também poderia ser abordada pelo novo Fundo Europeu de Soberania anunciado pela presidente Ursula von der Leyen no seu discurso de setembro de 2022 sobre o estado da União.

O regime de análise dos investimentos diretos estrangeiros na UE continuará a ser utilizado para atenuar os riscos de aquisição de tecnologias ou soluções europeias que apresentem riscos em matéria de defesa e segurança. Os Estados-Membros que ainda não criaram mecanismos nacionais de análise devem fazê-lo sem demora.

3.3. Força de trabalho da UE no setor da ciberdefesa

A Europa enfrenta um défice de cibercompetências real e preocupante, tanto assim que a Organização Europeia para a Cibersegurança estima, já em 2022, ser necessário um total de 500 000 profissionais. Este défice de competências prejudica a capacidade da UE para desenvolver novas tecnologias e defender as nossas infraestruturas críticas. Para as entidades governamentais como os ministérios da Defesa e as forças armadas, a competição implacável por competências e os salários atrativos oferecidos pelo setor privado agravam ainda mais as dificuldades em atrair e preservar os talentos no domínio da cibersegurança.

No contexto do Ano Europeu das Competências 2023, a Comissão lançará uma iniciativa para a criação de uma academia de cibercompetências da UE. Funcionará como uma iniciativa de alcance geral com o objetivo de aumentar o número de profissionais qualificados em cibersegurança. Reunirá as muitas iniciativas diferentes em matéria de cibercompetências e assegurará a coordenação, a integração e uma comunicação comum em torno das mesmas. Organizada em redor de vários pilares de ação, como o financiamento, o apoio comunitário, a formação e a certificação, a participação das partes interessadas e a produção de conhecimentos, a futura academia de cibercompetências também poderá beneficiar da força de trabalho do setor da ciberdefesa. A Academia Europeia de Segurança e Defesa (AESD) explorará formas de facilitar o intercâmbio de boas práticas e novas sinergias entre os domínios militar e civil no que respeita à formação e ao desenvolvimento de competências militares específicas do ciberespaço.

Com base numa análise das necessidades de formação da UE, bem como das necessidades de formação, a AESD, a AED e os Estados-Membros continuarão a desenvolver e a organizar ações de formação no domínio da cibernética e ciberexercícios para as instituições da UE, para as operações e missões da PCSD e para os funcionários dos Estados-Membros. Será igualmente explorado o desenvolvimento da plataforma de educação, formação, avaliação e exercício (ETEE) em matéria de cibersegurança e ciberdefesa da AESD, a fim de gerar mais capacidades de formação. A plataforma também deverá incluir cursos de formação em domínios operacionais específicos e operações multidomínios. Deve procurar-se estabelecer sinergias, nomeadamente com a Academia e Plataforma de Inovação da UE no Domínio da Cibernética (EU CAIH) no âmbito do projeto CEP 58 .

Os Estados-Membros são incentivados a desenvolver programas de ensino específicos no domínio da ciberdefesa, reunindo o ensino superior e as instituições académicas (civis e militares) para desenvolver e criar programas curriculares comuns em matéria de ciberdefesa, partilhando boas práticas, criando parcerias e projetos comuns e facilitando o intercâmbio de formadores e formandos. Para assegurar a interoperabilidade e uma cultura comum em toda a UE, a AESD promoverá o intercâmbio entre os Estados-Membros através da plataforma ETEE.

Os Estados-Membros devem aprofundar e alargar a cooperação entre os agentes na área do ensino e da formação, combinando aspetos civis e militares nos domínios técnico, operacional, estratégico e jurídico, estabelecendo a base para a criação de programas de formação comuns e normalizados a diferentes níveis destinados às comunidades civis, policiais e diplomáticas, bem como às cibercomunidades. Devem ainda colaborar com os prestadores de formação do setor privado europeu, bem como com as instituições académicas, para elevar os níveis de competências e aptidões do pessoal destacado em missões e operações militares da PCSD.

Deve também ser promovida a cooperação em matéria de normas de formação e de certificação no domínio da ciberdefesa entre os Estados-Membros, as instituições, órgãos e organismos da UE, os parceiros internacionais e outros intervenientes, incluindo do setor privado e dos meios académicos. Com base nas iniciativas civis existentes, nomeadamente o Quadro Europeu de Competências em Cibersegurança desenvolvido pela ENISA, a AESD criará um quadro de certificação de competências em matéria de ciberdefesa. A Comissão também analisará a possibilidade de certificar as cibercompetências disponíveis no mercado e obtidas no meio académico, ao mesmo tempo que procurará estimular, através da Academia de Cibercompetências, sinergias entre essas abordagens e o preenchimento de lacunas, nomeadamente com financiamento específico da UE.

4. Parcerias para dar resposta aos desafios comuns

Os países parceiros beneficiarão de uma UE mais capaz e mais resiliente no ciberespaço, bem como da assistência da UE no domínio da ciberdefesa e do reforço das capacidades através dos instrumentos pertinentes da UE. A UE procurará estabelecer parcerias adaptadas no domínio da ciberdefesa, sempre que sejam mutuamente benéficas. As parcerias no domínio da ciberdefesa também serão abordadas no contexto da participação dos países parceiros em missões e operações militares da PCSD.

Sempre que adequado, estes trabalhos basear-se-ão nos ciberdiálogos já existentes, bem como nos diálogos sobre segurança e defesa. O alto representante explorará igualmente as sinergias entre a rede de ciberdiplomacia informal da UE e a rede de adidos militares nas delegações da UE.

4.1. Cooperação com a OTAN

A parceria estratégica da UE com a OTAN continua a ser fundamental para a segurança euro‑atlântica, conforme referido na Bússola Estratégica e no Conceito Estratégico da OTAN de 2022 59 . A UE continua plenamente empenhada em reforçar esta parceria fundamental, incluindo no domínio da ciberdefesa, sendo necessário adotar novas medidas para desenvolver soluções partilhadas para fazer face às ameaças e aos desafios comuns. Em conformidade com as Declarações Conjuntas de Varsóvia e Bruxelas sobre a cooperação UE-OTAN 60 , e com base nos princípios da transparência, da reciprocidade, da inclusão e da abertura, bem como a autonomia de decisão de ambas as organizações, a cibersegurança e a ciberdefesa constituem um dos principais domínios prioritários da UE para a cooperação.

Com base na reciprocidade, a UE continuará a cooperar com a OTAN no âmbito do quadro conceptual militar relativo à integração dos aspetos da ciberdefesa no planeamento e na realização de missões e operações militares da PCSD. A UE procurará, na medida do possível, assegurar a compatibilidade com os conceitos e a doutrina da OTAN em matéria de ciberdefesa.

No que diz respeito à elevada procura de capacidades de ciberdefesa, a UE promoverá sinergias e complementaridade com a OTAN para além dos limites organizacionais e das fronteiras nacionais. A UE colaborará com a OTAN no reforço da interoperabilidade técnica e processual das capacidades de ciberdefesa, incluindo o desenvolvimento de capacidades em consonância com a iniciativa Rede de Missões Federadas. Tal permitirá explorar o potencial desenvolvimento e emprego de capacidades de ciberdefesa assentes no apoio mútuo. Deve ser tida em conta a interoperabilidade das normas, contribuindo para a ciber-resistência e interoperabilidade dos sistemas de comunicação e informação militares, envolvendo as empresas do setor, se for caso disso.

Para ministrar formação coerente ao respetivo pessoal de ciberdefesa, quando pertinente, a UE reforçará ainda a cooperação com a OTAN na harmonização das necessidades de formação e análise de requisitos, desenvolvendo programas curriculares, cursos e exercícios conjuntos. Com base nos princípios da reciprocidade e da não discriminação, a AESD abrirá os seus cursos de formação em matéria de ciberdefesa ao pessoal da OTAN e criará uma plataforma para divulgar cursos comuns. A UE também promoverá a participação do pessoal da OTAN em ciberexercícios e exercícios de gestão de crises com elementos de cibersegurança.

A UE e a OTAN empenhar-se-ão igualmente na melhoria do conhecimento mútuo da situação e explorarão vias de coordenação, nomeadamente através do reforço da cooperação entre a Capacidade de Resposta a Incidentes Informáticos da OTAN e a CERT-UE. Para promover a cooperação no contexto dos elementos e implicações de cibersegurança no quadro da gestão e resposta a crises, a UE contribuirá para a cooperação entre o pessoal em iniciativas militares, civis e comuns e, quando pertinente, para o desenvolvimento de potenciais sinergias dos respetivos quadros e iniciativas de gestão de crises, incluindo no caso da ocorrência de incidentes em grande escala. A fim de assegurar a complementaridade mútua e evitar a duplicação desnecessária de esforços, a UE procurará assegurar uma cooperação mais estreita e um intercâmbio de informações com a OTAN sobre o reforço das capacidades de ciberdefesa nos países parceiros.

4.2. Cooperação com os parceiros que partilham as mesmas ideias

O alto representante incluirá mais sistematicamente as questões de ciberdefesa nos ciberdiálogos existentes e futuros, bem como nos diálogos de segurança e defesa, com os países parceiros. Dado que os diálogos bilaterais incluirão aspetos de ciberdefesa, haverá cada vez mais potencial para introduzir as questões de ciberdefesa noutros moldes de cooperação com parceiros da UE.

A parceria estratégica da UE com os Estados Unidos continuará a aprofundar a cooperação em matéria de segurança e defesa de uma forma mutuamente benéfica, inclusive através do intercâmbio estruturado de informações sobre o conhecimento da situação. Os ciberdiálogos periódicos e os diálogos sobre segurança e defesa entre a UE e os EUA corroboram a forte parceria transatlântica. Sempre que adequado, o alto representante introduzirá aspetos pertinentes de ciberdefesa nestes diálogos.

Juntamente com os seus parceiros internacionais, a UE continuará a apoiar a Ucrânia, incluindo através de um ciberdiálogo. Tendo em conta a experiência da Ucrânia no reforço da ciber-resiliência e das capacidades de ciberdefesa, o intercâmbio de boas práticas em matéria de ciberdefesa, nomeadamente informações sobre o panorama de ameaças e o conhecimento da situação, bem como os desenvolvimentos políticos pertinentes, é de interesse comum, devendo ser prosseguido e aprofundado.

Os parceiros que partilham as ideias da UE desempenham um papel importante na manutenção de um ciberespaço mundial, aberto, estável e seguro, podendo complementar a capacidade da UE para prevenir, desencorajar, dissuadir e fazer face a comportamentos maliciosos no ciberespaço. A UE continua disposta a assumir um compromisso de segurança e defesa abrangente, ambicioso e mutuamente benéfico, em especial em matéria de ciberdefesa, com todos os parceiros que partilham as suas ideias.

4.3. Apoio ao reforço das capacidades de ciberdefesa dos países parceiros

Os desafios mundiais e regionais aumentaram a interdependência mútua entre a UE e os seus parceiros e sublinharam a necessidade de estabelecer parcerias mais estreitas em matéria de segurança e defesa. Este facto é particularmente relevante para os países candidatos à adesão à UE. Os recentes ciberataques em grande escala apontam para a necessidade de um maior envolvimento e de se aprofundar a parceria com a UE em matéria de cibersegurança e ciberdefesa, com base nos programas existentes. Devido à natureza transnacional das ciberameaças, o reforço da ciber-resiliência dos países parceiros, especialmente aqueles que têm menos maturidade cibernética, contribuirá para um ciberespaço mais seguro e mais protegido. Consequentemente, a UE estará mais apta para prevenir, detetar, defender e dissuadir os ciberataques. A UE reforçará a cooperação em matéria de segurança e defesa com os países parceiros para reforçar a sua ciber-resiliência, incluindo através dos diálogos existentes. Quando pertinente e mutuamente benéfico, a UE colaborará com os países parceiros e, em especial, com os candidatos à adesão à UE que estejam alinhados com a política externa e de segurança comum e com a política comum de segurança e defesa da UE, no âmbito dos seus esforços de reforço das capacidades de ciberdefesa. Esta abordagem pode incluir o apoio a quadros políticos e legislativos, ações de formação, aconselhamento e mentoria, podendo incluir equipar as forças armadas e de segurança dos países parceiros. Os Estados-Membros poderão decidir prestar assistência operacional em matéria de ciberdefesa aos parceiros. Além disso, a UE ajudará os países parceiros a reforçar a sua capacidade de contribuir para as missões e operações militares da PCSD, uma vez que tal constitui um valioso contributo para os esforços mútuos de promoção da paz e da segurança.

O Mecanismo Europeu de Apoio à Paz continuará a apoiar os esforços da UE para ajudar a desenvolver capacidades de defesa, incluindo a ciberdefesa, nos países parceiros, em especial na vizinhança da UE, complementando os esforços de gestão de crises da PCSD. A este respeito, se necessário, a UE também ligará melhor a assistência em matéria de ciberdefesa ao reforço das capacidades civis de cibersegurança, nomeadamente através do Comité de Reforço das Cibercapacidades da UE. Para garantir o êxito das ações em matéria de ciberdefesa e de reforço das capacidades de cibersegurança, será necessária uma coordenação eficiente entre os programas e instrumentos pertinentes da UE, incluindo o Mecanismo Europeu de Apoio à Paz, e os Estados-Membros.

Enquanto presta apoio aos países parceiros nos seus esforços de reforço das capacidades de ciberdefesa, a UE trabalhará em estreita colaboração com outros doadores para desenvolver plataformas de conhecimento da situação e de coordenação, a fim de prestar o melhor apoio possível específico e assegurar a coerência e a não duplicação dos esforços.

III. CONCLUSÃO

O alto representante, enquanto diretor da AED, e a Comissão apelam aos Estados-Membros para que desenvolvam os aspetos pertinentes da presente política de ciberdefesa e manter-se‑ão em contacto com eles para identificar medidas práticas da sua implementação. Poderá ser estabelecido um plano de implementação em cooperação com os Estados-Membros. Os resultados da aplicação da política de ciberdefesa da UE contribuirão para os objetivos globais tanto da Estratégia de Cibersegurança da UE como da Bússola Estratégica para a Segurança e a Defesa.

Será apresentado um relatório anual ao Conselho para que este possa acompanhar e avaliar a evolução da aplicação da política de ciberdefesa. Os Estados-Membros são incentivados a apresentar os seus contributos sobre a evolução das medidas de implementação aplicadas a nível nacional ou em moldes de cooperação.

(1)

Quadro Estratégico da UE para a Ciberdefesa (atualização de 2018), de 19 de novembro de 2018, https://data.consilium.europa.eu/doc/document/ST-14413-2018-INIT/pt/pdf .

(2)

Bússola Estratégica para a Segurança e a Defesa — Por uma União Europeia que protege os seus cidadãos, os seus valores e os seus interesses e contribui para a paz e a segurança internacionais .

(3)

Estratégia de cibersegurança da UE para a década digital [JOIN(2020) 18 final] .

(4)

  https://ec.europa.eu/commission/presscorner/detail/pt/SPEECH_21_4701 .

(5)

  9364/22 .

(6)

  JOIN(2022) 24 final .

(7)

EEAS(2021) 706 REV4 (não traduzido para português).

(8)

Cibercomunidades civis, diplomáticas e policiais.

(9)

Equipas de resposta rápida a ciberataques e assistência mútua no domínio da cibersegurança.

(10)

Tratado da União Europeia, versão consolidada (JO C 326 de 26.10.2012, p. 1).

(11)

Tratado sobre o Funcionamento da União Europeia, versão consolidada (JO C 326 de 26.10.2012, p. 1).

(12)

O objetivo do projeto é desenvolver, criar e operar um centro de coordenação no domínio da cibernética e da informação enquanto elemento militar multinacional permanente.

(13)

Com base nas duas primeiras reuniões das Conferências Estratégicas dos Cibercomandantes Europeus (CyberCo), realizadas em janeiro e junho de 2022, os cibercomandantes da UE decidiram criar um fórum mais permanente ao seu nível.

(14)

Grupo informal que inclui os serviços competentes da Comissão, o SEAE, a Agência da União Europeia para a Cibersegurança (ENISA), a CERT-UE e a Europol, copresidido pela Comissão e pelo alto representante.

(15)

Estratégia de cibersegurança da UE para a década digital [JOIN(2020) 18 final] e Estratégia da UE para a União da Segurança [COM(2020) 605 final].

(16)

Em conformidade com o Regulamento (UE) 2021/694 do Parlamento Europeu e do Conselho, de 29 de abril de 2021, que cria o Programa Europa Digital e revoga a Decisão (UE) 2015/2240 (JO L 166 de 11.5.2021, p. 1), sob reserva de eventuais alterações futuras.

(17)

  Apelo de Nevers para reforçar as capacidades da UE em matéria de cibersegurança .

(18)

  https://eda.europa.eu/publications-and-data/factsheets/factsheet-cyber-phalanx .

(19)

  https://www.pesco.europa.eu/project/cyber-ranges-federations-crf/ .

(20)

Conclusões do Conselho sobre um quadro para uma resposta diplomática conjunta da UE às ciberatividades maliciosas («instrumentos de ciberdiplomacia»).

(21)

  https://cybernews.com/security/solarwinds-hack-the-mystery-of-one-of-the-biggest-cyberattacks-ever/ .

(22)

  https://english.ncsc.nl/topics/log4j-vulnerability .

(23)

Declaração do alto representante, em nome da União Europeia, sobre as ciberatividades maliciosas levadas a cabo por piratas informáticos e grupos de piratas informáticos no contexto da agressão da Rússia contra a Ucrânia, https://www.consilium.europa.eu/pt/press/press-releases/2022/07/19/declaration-by-the-high-representative-on-behalf-of-the-european-union-on-malicious-cyber-activities-conducted-by-hackers-and-hacker-groups-in-the-context-of-russia-s-aggression-against-ukraine/ .

(24)

Diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União e que revoga a Diretiva (UE) 2016/1148, recentemente acordada pelos colegisladores e que deverá ser oficialmente adotada até ao final do ano.

(25)

Proposta de regulamento relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais e que altera o Regulamento (UE) 2019/1020 [COM(2022) 454 final] .

(26)

Conclusões do Conselho sobre o desenvolvimento da postura da União Europeia no ciberespaço, 23 de maio de 2022, ST09364/22.

(27)

  https://digital-strategy.ec.europa.eu/en/policies/nis-cooperation-group .

(28)

  Apelo de Nevers para reforçar as capacidades da UE em matéria de cibersegurança .

(29)

Proposta de recomendação do Conselho relativa a uma abordagem coordenada da União para reforçar a resiliência das infraestruturas críticas [COM(2022) 551 final] .

(30)

Digitalizar o sistema energético - plano de ação da UE [COM(2022) 552 final].

(31)

Bússola Estratégica para a Segurança e a Defesa, 21 de março de 2022, https://www.eeas.europa.eu/sites/default/files/documents/strategic_compass_en3_web.pdf .

(32)

  Cybersecurity of 5G networks — EU Toolbox of risk mitigating measures —  Shaping Europe’s digital future (não traduzido para português) (europa.eu).

(33)

  https://dnbl.ncia.nato.int/FMNPublic/SitePages/Home.aspx .

(34)

 COM(2022) 454 final.

(35)

COM(2021) 70 final.

(36)

Atualmente, encontram-se em curso trabalhos de normalização em relação aos requisitos de cibersegurança relativos aos equipamentos de rádio, com base no Regulamento Delegado (UE) 2022/30. Se a Comissão revogar ou alterar este regulamento delegado e o mesmo deixar, por consequência, de ser aplicável a determinados produtos sujeitos ao regulamento sobre a ciber-resiliência, a Comissão e as organizações europeias de normalização devem ter em conta os trabalhos de normalização realizados no contexto da Decisão de Execução da Comissão sobre o pedido de normalização do regulamento delegado referido acima [C(2022)5637] na preparação e desenvolvimento de normas harmonizadas para facilitar a aplicação do regulamento sobre a ciber‑resiliência.

(37)

Por exemplo, conforme referido na análise dos défices de investimento na defesa.

(38)

Foram lançadas várias iniciativas, como, por exemplo, a Parceria Europeia de Competências em matéria de Defesa.

(39)

No roteiro sobre tecnologias críticas, a Comissão apelou ao reforço da cooperação no domínio das tecnologias críticas para a segurança e defesa a longo prazo da Europa e aos esforços para reduzir as dependências estratégicas conexas.

(40)

Comunicação conjunta sobre a análise dos défices de investimento na defesa e rumo a seguir, em que a Comissão e o alto representante propuseram várias medidas para assegurar que o setor da UE está preparado para produzir resultados tanto a curto como a longo prazo.

(41)

Equipas de resposta rápida a ciberataques e assistência mútua no domínio da cibersegurança (CRRT), Centro de Coordenação no Domínio da Cibernética e da Informação (CIDCC), plataforma de partilha de informações relativas às ciberameaças e à resposta a incidentes informáticos (CTIRISP), federações de centros virtuais de treino, Academia e Plataforma de Inovação da UE no Domínio da Cibernética (EU CAIH).

(42)

No âmbito do Programa Europeu de Desenvolvimento Industrial no domínio da Defesa (PEDID), foram financiados seis projetos (PANDORA, DISCRETION, CYBER4DE, ECYSAP, SMOTANET e HERMES) com um orçamento no valor de 39 milhões de EUR. No âmbito do FED de 2021, serão alocados quase 40 milhões de EUR a três projetos colaborativos de I&D no domínio da ciberdefesa selecionados para financiamento (ACTING, AInception e EU-GUARDIAN).

(43)

O projeto Equipa de Ciberdefesa proporciona um fórum para os Estados-Membros discutirem assuntos de ciberdefesa com implicações militares.

(44)

AED, ficha informativa sobre o Plano de Desenvolvimento de Capacidades , de 28 de junho de 2018.

(45)

Conforme referido na agenda estratégica de investigação em ciberdefesa e na agenda de investigação estratégica abrangente.

(46)

Em 16 de dezembro de 2021, o Comité Diretor da AED, na composição dos Diretores de Investigação e Tecnologia, aprovou o plano de ação intitulado «Emerging Disruptive Technologies (EDTs): A Capability-Driven Action Plan».

(47)

Incluindo o JRC.

(48)

Observatório das Tecnologias Críticas, anunciado no plano de ação sobre as sinergias entre as indústrias civis, da defesa e do espaço.

(49)

Primeira fase do plano de ação da AED de 2021 para as tecnologias emergentes e disruptivas.

(50)

Segunda fase do plano de ação da AED de 2021 para as tecnologias emergentes e disruptivas.

(51)

Os grupos CapTechs proporcionam aos peritos dos Estados-Membros um fórum de trabalho em rede e um enquadramento flexível para projetos colaborativos. Para mais informações sobre os CapTechs no domínio da cibernética («Cibernética, informações, componentes»), ver: https://eda.europa.eu/what-we-do/research-technology/capability-technology-areas-(captechs) .

(52)

 A agenda de investigação estratégica abrangente efetua levantamentos de áreas pertinentes de I&T no domínio da defesa e identifica oportunidades concretas de colaboração. Existem 17 pilares tecnológicos com os seus roteiros tecnológicos associados às cibertecnologias que abordam o conhecimento da situação em matéria de ciberdefesa, a proteção dos sistemas de comunicação militares, o tratamento de informações de fontes heterogéneas, a modelização e simulação, a computação quântica e a criptografia, bem como a exploração de sinergias entre as ciberoperações e a guerra eletrónica. A inteligência artificial e os megadados têm um papel determinante no tratamento das informações.

(53)

O quadro ad hoc da AED é definido pela Decisão (PESC) 2015/1835 do Conselho. Atualmente, estão em curso seis projetos com elementos de cibertecnologia no âmbito deste quadro (ANQUOR, CERERE, EDA SOC 2, MASFAD II, PASEI II, ASSAI), com um orçamento no valor de cerca de 20 milhões de EUR.

(54)

Regulamento (UE) 2021/887 do Parlamento Europeu e do Conselho, de 20 de maio de 2021, que cria o Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança e a Rede de Centros Nacionais de Coordenação.

(55)

Conforme referido na comunicação conjunta sobre a análise dos défices de investimento na defesa e rumo a seguir.

(56)

Estima-se que o número total de PME na UE que operam em cadeias de abastecimento da defesa com vários níveis e frequentemente transnacionais se eleve a 2 500, abastecendo, com 7,8 % das suas atividades relacionadas com o ciberespaço, clientes do domínio da defesa.

(57)

Embora as atividades desenvolvidas no âmbito do programa-quadro Horizonte Europa incidam exclusivamente nas aplicações civis, o programa-quadro prevê que as sinergias com o FED beneficiem a investigação nos domínios civil e da defesa.

(58)

  https://www.pesco.europa.eu/project/eu-cyber-academia-and-innovation-hub-eu-caih/ .

(59)

  https://www.nato.int/strategic-concept/ .

(60)

Assinadas em 2016 e 2018, respetivamente.