RESOLUÇÃO (UE) 2024/2316 DO PARLAMENTO EUROPEU

de 11 de abril de 2024

que contém as observações que constituem parte integrante da decisão sobre a quitação pela execução do orçamento da ENISA (Agência da União Europeia para a Cibersegurança) para o exercício de 2022

O PARLAMENTO EUROPEU,

—	Tendo em conta a sua decisão sobre a quitação pela execução do orçamento da ENISA (Agência da União Europeia para a Cibersegurança) para o exercício de 2022,

—	Tendo em conta o artigo 100.o e o anexo V do seu Regimento,

—	Tendo em conta o Relatório Especial n.o 5/2022 do Tribunal de Contas,

—	Tendo em conta o relatório da Comissão do Controlo Orçamental (A9-0134/2024),

Considerando que, de acordo com o seu mapa de receitas e despesas (1), o orçamento definitivo da ENISA «Agência») para o exercício de 2022 foi de 39 207 625 EUR, o que representa um aumento de 67,03 % em relação a 2021; considerando que o aumento do orçamento da Agência se deve principalmente a tarefas adicionais no âmbito da execução piloto do programa de ação de apoio à cibersegurança; considerando que o orçamento da Agência provém essencialmente do orçamento da União;

Considerando que o Tribunal de Contas (o «Tribunal»), no seu relatório sobre as contas anuais da Agência para o exercício de 2022 (o «relatório do Tribunal»), afirmou ter obtido garantias razoáveis de que as contas anuais da Agência são fiáveis e de que as operações subjacentes são legais e regulares;

Gestão orçamental e financeira

Observa com satisfação que os esforços de supervisão orçamental envidados durante o exercício de 2022 resultaram numa taxa de execução orçamental de 99,93 % das dotações de autorização desse exercício, o que representa um aumento de 0,42 % relativamente a 2021; assinala ainda que a taxa de execução das dotações de pagamento desse exercício foi de 52,02 %, o que representa um decréscimo de 25,38 % face a 2021;

Salienta que o orçamento definitivo da Agência resulta de uma alteração de 15 000 000 EUR adotada pelo conselho de administração em 5 de agosto de 2022, em consequência da execução de uma ação de apoio à cibersegurança destinada a reforçar a resposta da Agência em termos de apoio aos Estados-Membros, em conformidade com o seu mandato; observa que as compromissos assumidos ao abrigo da ação de apoio à cibersegurança foram, na sua maioria, assinados no final do ano, o que explica a taxa de pagamentos relativamente baixa (e o subsequente reporte elevado para exercícios futuros);

Desempenho

Elogia a Agência por ter executado 100 % do seu programa de trabalho em 2022; congratula-se com o facto de a Agência recorrer a indicadores-chave de desempenho (ICD) para avaliar as suas atividades e os resultados em relação aos objetivos traçados no seu programa de trabalho; observa que determinadas realizações não alcançaram plenamente os seus objetivos, uma vez que as prioridades em termos de aplicação dos recursos foram redefinidas para implementar a ação de apoio à cibersegurança em resposta à invasão ilegal e não provocada da Ucrânia pela Rússia; faz notar que algumas das realizações mais afetadas pela referida redefinição das prioridades foram, nomeadamente, as realizações 4.2, «Elaborar e reforçar as políticas, procedimentos, metodologias e instrumentos operacionais normalizados para as crises cibernéticas», e 5.3, «Estabelecimento de uma rede de fornecedores de confiança»;

Está ciente de que a invasão ilegal e não provocada da Ucrânia pela Rússia dominou a agenda de segurança da União em 2022; observa com satisfação que a Agência aumentou a sua coordenação e preparação e contribuiu para o conhecimento situacional partilhado da União, através da apresentação regular de relatórios de situação sobre a ciberatividade; destaca que foi também intensificada a coordenação e o intercâmbio de informações com as redes de cibersegurança, como a rede europeia de organizações de coordenação de cibercrises (EU-CyCLONe), constituída pelas autoridades nacionais de gestão de crises de cibersegurança, e diversas comunidades setoriais apoiadas pela Agência; congratula-se com os esforços envidados pela Agência para assegurar canais de comunicação entre os níveis político, operacional e técnico, bem como uma cooperação reforçada com a rede de equipas de resposta a incidentes de segurança informática;

Observa com satisfação que, em 2022, a Agência testou o mapa térmico da União, destinado a fornecer uma panorâmica rápida dos incidentes e eventos em matéria de cibersegurança com incidência sobre os setores críticos da União ocorridos em resultado da ciberatividade relacionada com a guerra de agressão russa contra a Ucrânia; observa que esses setores contribuíram para o relatório de conhecimento e análise integrados da situação apresentado pela Comissão, que incluiu 52 atualizações sobre a situação e os incidentes atuais relacionados com a guerra de agressão russa contra a Ucrânia, e para o mecanismo de gestão de crises da União;

Constata que, de acordo com o Relatório Especial n.o 5/2022 do Tribunal: «Cibersegurança das instituições, organismos e agências da UE», o número de ciberataques a organismos da UE está a aumentar acentuadamente e o nível de preparação para a cibersegurança nos organismos da União varia, não sendo, de um modo geral, proporcional às ameaças crescentes; faz notar que os organismos da União estão fortemente interligados, pelo que as fragilidades de um deles podem expor outros a ameaças de segurança; salienta que o Tribunal recomenda que a Agência, em conjunto com a Equipa de Resposta a Emergências Informáticas para as instituições, órgãos e organismos da União, reforce a atenção prestada aos organismos da União com menos experiência na gestão da cibersegurança através: a) da identificação dos domínios prioritários em que as instituições, órgãos e organismos da União necessitem de um maior apoio, por exemplo através de avaliações da maturidade, e b) da execução de ações de reforço das capacidades, em conformidade com o respetivo memorando de entendimento; insta a Agência a abordar estas questões levantadas pelo Tribunal e a informar a autoridade de quitação sobre as medidas tomadas a este respeito;

Assinala que, em 2022, a Agência realizou várias atividades para preencher as suas funções de apoio à União; observa que, embora a Agência tenha estado em condições de oferecer o seu apoio no que diz respeito a vários dossiês políticos, como a Diretiva relativa à segurança das redes e da informação, o Regulamento Ciber-Resiliência e o Regulamento Resiliência Operacional Digital, as limitações de recursos a que está sujeita impediram a Agência de apoiar ativamente dossiês políticos que preveem disposições em matéria de cibersegurança, como o Espaço Europeu de Dados de Saúde, e outros dossiês políticos fundamentais, como o Regulamento dos Mercados Digitais e o Regulamento dos Serviços Digitais; observa que outras atividades incluíram a prestação de informações aos decisores políticos sobre a eficácia dos quadros de cibersegurança existentes e a prestação de apoio a setores críticos; observa, além disso, que a adoção da Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho (2) (Diretiva SRI 2) se destaca enquanto medida para enfrentar os desafios e harmonizar as políticas em toda a União; entende que a falta de harmonização na aplicação da Diretiva SRI 1 conduziu a um panorama político fragmentado, ao qual a Diretiva SRI 2 procura dar resposta; está ciente de que esta última alarga o seu âmbito de aplicação através da atribuição de novas tarefas horizontais à Agência, como o registo da União para as entidades digitais; salienta que a Agência adaptou os seus serviços e recursos através de uma nova estratégia de modo a dar resposta à evolução das exigências no panorama da cibersegurança;

Eficiência e ganhos

Observa que a Agência procurou recorrer de forma crescente aos serviços partilhados com outras agências e/ou com a Comissão, nomeadamente através de processos de contratação interagências e interinstitucionais e da partilha de serviços com o Centro Europeu para o Desenvolvimento da Formação Profissional (Cedefop) e o Centro Europeu de Competências em Cibersegurança (ECCC); observa, além disso, que, em 2022, a Agência assinou um acordo de nível de serviço com o recém-criado Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança, a fim de prestar a este último serviços que se inserem nas responsabilidades de um encarregado de proteção de dados e serviços de contabilidade, a implementar em 2023;

Observa as medidas tomadas pela Agência para abandonar a metodologia tradicional assente no número de efetivos a favor de um planeamento estratégico da mão de obra, a fim de antecipar e colmatar as lacunas de pessoal, com o intuito de assegurar uma força laboral flexível e de afetar recursos a domínios prioritários;

10.

Congratula-se com o contributo da Agência para a promoção de serviços partilhados entre as agências através de várias redes nos domínios da contratação pública, dos recursos humanos, das TIC, da gestão dos riscos, da gestão do desempenho, da proteção de dados, da segurança da informação e da contabilidade; destaca os benefícios horizontais do trabalho em conjunto e da adoção de boas práticas e que as iniciativas conjuntas congregam diferentes perspetivas, reduzem a duplicação de esforços, melhoram a aprendizagem e reforçam as relações entre os participantes; incentiva a Agência a encontrar procedimentos internos suscetíveis de ser simplificados através do recurso a novas ferramentas informáticas;

11.

Regista com satisfação o envolvimento da Agência no exercício piloto levado a cabo no âmbito da Rede de Agências da UE para ajudar as agências da União a aumentar o seu grau de preparação para o novo regulamento em matéria de cibersegurança que se avizinha;

12.

Recorda a importância de aumentar a digitalização da Agência não só em termos de gestão e funcionamento internos, mas também para acelerar a digitalização dos procedimentos; destaca a necessidade de a Agência continuar a ser pró-ativa nesta matéria para evitar um fosso digital entre as diferentes agências;

Política de pessoal

13.

Destaca que, em 31 de dezembro de 2022, o quadro de pessoal estava preenchido a 89,02 %, com 73 agentes temporários nomeados dos 82 lugares autorizados pelo orçamento da União (em comparação com 76 lugares autorizados em 2021); observa, além disso, que 27 agentes contratuais, 10 peritos nacionais destacados, 10 trabalhadores temporários e 16 contratantes trabalharam para a Agência em 2022;

14.

Constata com preocupação a falta de equilíbrio de género nos quadros superiores e intermédios da Agência, onde 12 dos 17 lugares são ocupados por homens (71 %); considera que o equilíbrio de género nos quadros superiores e intermédios da Agência deve ser melhorado; recorda a importância de assegurar o equilíbrio de género e exorta a Agência a ter este aspeto em conta nas futuras nomeações para os seus quadros superiores e intermédios; constata a distribuição por géneros no conselho de administração da Agência, com 41 lugares em 55 (75 %) ocupados por homens; reconhece que a composição do conselho de administração depende, em grande medida, das nomeações dos Estados-Membros; insiste em que a Comissão e os Estados-Membros tenham em conta a importância de assegurar o equilíbrio de género nas nomeações dos membros do conselho de administração da Agência; regista a distribuição equilibrada entre homens e mulheres no conjunto do pessoal da Agência, que compreende 57 homens (52 %) e 53 mulheres (48 %); assinala as medidas tomadas pela Agência para solucionar questões relacionadas com o equilíbrio de género, que incluem a revisão da sua política de recrutamento de modo a incentivar as candidaturas de mulheres; observa, além disso, que, na sua estratégia institucional, a Agência prevê a obtenção do certificado de excelência da rede da Agência da UE no domínio da diversidade e da inclusão até ao final de 2025;

15.

Regista que a Agência aplica uma política de proteção da dignidade da pessoa e de prevenção do assédio moral e sexual, e que a Agência faz parte do grupo de trabalho interagências de conselheiros-confidentes; aguarda com expectativa o relatório e as recomendações deste grupo de trabalho; observa que não foram comunicados casos de assédio em 2022 e incentiva a Agência a prosseguir e a aperfeiçoar o trabalho de prevenção de casos de assédio também no futuro;

16.

Manifesta preocupação com o desequilíbrio geográfico entre os quadros superiores e intermédios da Agência, com uma representação de 40,9 % de nacionais gregos; insiste na necessidade de introduzir melhorias a este respeito; solicita à Agência que informe a autoridade de quitação sobre esta matéria;

17.

Assinala com preocupação que, no decurso da elaboração do programa de trabalho de 2023, a Agência identificou um défice de recursos de 734 000 EUR e dois ETC a nível operacional, bem como 2,5 milhões de EUR a nível dos serviços centrais; observa, além disso, que uma avaliação exaustiva das necessidades em termos de recursos humanos para 2023-2025 revelou a existência de uma lacuna significativa, sobretudo em domínios críticos de atividades, e, na falta de lugares adicionais, a Agência poderá ter de estabelecer prioridades e ajustar os futuros programas de trabalho para compensar a escassez de recursos; assinala o facto de o conselho de administração da Agência ter igualmente manifestado a necessidade de aumentar o número de efetivos, de molde a assegurar que a Agência possa cumprir plenamente o seu mandato de forma duradoura;

18.

Congratula-se com os esforços da Agência para integrar as pessoas com deficiência, criando infraestruturas e serviços de apoio acessíveis;

19.

Observa que, em 2022, a Agência continuou a prestar apoio complementar ao pessoal, sob a forma de vales, reembolsos na Internet e do programa «fit@work», e elaborou o seu código de conduta, em que descreve as expectativas da Agência em relação ao comportamento e à conduta do pessoal;

Contratação pública

20.

Observa com preocupação que o Tribunal detetou dois casos em que a Agência adjudicou contratos de valor reduzido (inferior a 15 000 EUR) sem emitir um relatório de avaliação e uma decisão de adjudicação devidamente aprovada e assinada pelo gestor orçamental, o que viola os pontos 30.3 e 30.4 do anexo I do Regulamento Financeiro; recorda, a este respeito, que o Tribunal formulou uma observação semelhante no seu relatório de 2021 e que, na sua resposta, a Agência afirmou já ter tomado as medidas necessárias para sanar este problema; insiste na importância de estabelecer procedimentos para assegurar a plena conformidade com o Regulamento Financeiro; insta a Agência a dar resposta às questões levantadas pelo Tribunal e a informar a autoridade de quitação de quaisquer evoluções a esse respeito;

21.

Regista o facto de, segundo o Tribunal, a Agência ter, em 2022, proposto aos seus gestores uma avaliação profissional a cargo de um prestador externo designado pela Agência; observa que, em três casos, a Agência efetuou o pagamento direto desses serviços ao prestador; nos restantes 23 casos, reembolsou os gestores, que pagaram eles próprios ao prestador; assinala que o montante total pago pela Agência pelas 26 avaliações foi de 120 276 EUR; lamenta que a Agência tenha selecionado o prestador sem ter lançado um concurso aberto, o que levou a que o Tribunal concluísse que esses pagamentos foram irregulares; insta a Agência a abordar estas questões levantadas pelo Tribunal e a informar a autoridade de quitação sobre as medidas tomadas a este respeito;

22.

Reitera que o objetivo das regras de contratação pública é permitir que as entidades contratantes obtenham os bens e serviços de que necessitam ao melhor preço, garantindo simultaneamente a concorrência leal entre os proponentes e o cumprimento dos princípios da transparência, proporcionalidade, igualdade de tratamento e não discriminação; solicita à Agência que melhore os seus procedimentos de contratação pública, assegurando o cumprimento integral das regras aplicáveis para que consigam a otimização dos seus recursos;

Prevenção e gestão de conflitos de interesses e transparência

23.

Constata as medidas em vigor na Agência e os esforços em curso para garantir a transparência, a prevenção e a gestão dos conflitos de interesses, e observa que os CV dos membros do conselho de administração, as respetivas declarações de compromisso e declarações de conflitos de interesses estão publicados no sítio Web da Agência, embora estejam em falta alguns CV;

24.

Observa que a Agência não comunicou quaisquer casos de conflito de interesses em 2022; regista ainda a adoção, pela Agência, da Decisão 15/2021 do conselho de administração sobre a prevenção de conflitos de interesses e a atualização dos modelos para as declarações; reitera a importância de dispor de procedimentos para controlar o cumprimento das regras relativas às «portas giratórias» e de acompanhar ativamente a atividade profissional dos seus quadros superiores, designadamente os que deixaram a Agência nos últimos dois anos, a fim de poder detetar situações não declaradas de «portas giratórias»;

25.

Regista que o calendário das reuniões entre a gestão da Agência e as partes interessadas externas está disponível ao público no sítio Web da Agência;

26.

Relembra a importância de a Agência adquirir uma maior visibilidade nos meios de comunicação social, na Internet e nas redes sociais, para dar a conhecer o seu trabalho aos cidadãos;

Controlo interno

27.

Observa que, em 2021, o Serviço de Auditoria Interna realizou uma auditoria sobre a programação do planeamento estratégico e a gestão do desempenho e que, em abril de 2022, publicou o seu relatório final de auditoria, em que emitiu três recomendações importantes; regista ainda o facto de a Agência ter concordado com as observações de auditoria e tomado as medidas necessárias para dar resposta às preocupações aí levantadas;

28.

Observa que, segundo o Tribunal, a Agência não dispõe de um modelo de avaliação predeterminado, designadamente orientações, para ajudar a comissão de avaliação a aferir as propostas; observa que tal dá azo ao risco de as propostas não serem avaliadas de forma coerente pelos diferentes membros da comissão de avaliação; insta a Agência a retificar o problema levantado pelo Tribunal e a informar a autoridade de quitação dos resultados;

29.

Assinala que, em 2022, a Agência realizou controlos ex post das transações financeiras efetuadas durante o exercício de 2021, em conformidade com o artigo 45.o, n.os 8 e 9, do Regulamento Delegado (UE) 2019/715 da Comissão (3); chama a atenção para o facto de terem sido identificadas três insuficiências, que conduziram a três recomendações sobre transações financeiras, nenhuma das quais considerada crítica; observa que, para resolver a principal deficiência, foi introduzido, em 2022, um controlo do tempo de pagamento, levado a cabo semanalmente, a fim de alertar o pessoal financeiro competente para as operações urgentes ainda por tratar, com vista a garantir a conformidade com o quadro jurídico em matéria de prazos de pagamento;

30.

Observa que, em 2022, a avaliação da eficácia dos sistemas de controlo interno da Agência se baseou nos indicadores do quadro, bem como em informações adicionais provenientes de relatórios de avaliação (de risco) específicos, conclusões de auditoria e outras fontes pertinentes; observa que a avaliação dos controlos internos da Agência aponta para uma garantia razoável quanto à facilidade de realizar operações eficazes e eficientes, assegurando a qualidade dos relatórios e o cumprimento da regulamentação, embora sejam necessárias algumas melhorias em relação a determinados princípios com vista a aumentar a eficácia e a garantir a correta aplicação dos controlos internos; insta a Agência a informar a autoridade de quitação do seguimento dado à avaliação das melhorias;

Outras observações

31.

Observa que a Agência aplicou medidas importantes para aumentar a proteção da cibersegurança, como a solução segura de correio eletrónico (SECEM2), um exercício de «equipa vermelha», medidas de correção e de reforço, o desmantelamento de sistemas obsoletos e a atualização do quadro estratégico interno em matéria de cibersegurança;

32.

Congratula-se com o facto de o conselho de administração da Agência ter acrescentado ao documento único de programação da Agência para 2022-2024 o objetivo de alcançar a neutralidade climática em todas as suas operações até 2030; observa que, com a adoção da estratégia institucional da Agência, a certificação EMAS e os contratos públicos ecológicos são objetivos fundamentais da Agência; regista que o processo de certificação deverá estar concluído no decurso de 2024;

33.

Remete, em relação a outras observações, de natureza horizontal, que acompanham a sua decisão sobre a quitação, para a sua Resolução, de 11 de abril de 2024 (4), sobre o desempenho, a gestão financeira e o controlo das agências.

(1) JO C 377 de 30.9.2022, p. 2.

(2) Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.o 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (JO L 333 de 27.12.2022, p. 80).

(3) Regulamento Delegado (UE) 2019/715 da Comissão, de 18 de dezembro de 2018, que institui o regulamento financeiro-quadro dos organismos criados ao abrigo do TFUE e do Tratado Euratom e referidos no artigo 70.o do Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho (JO L 122 de 10.5.2019, p. 1).

(4) Textos Aprovados, P9_TA(2024)0280.