title: Recomendação (UE) 2021/1086 da Comissão de 23 de junho de 2021 relativa à criação de uma Ciberunidade Conjunta

text:
               5.7.2021

               PT

               Jornal Oficial da União Europeia

               L 237/1

      RECOMENDAÇÃO (UE) 2021/1086 DA COMISSÃO
      de 23 de junho de 2021
      relativa à criação de uma Ciberunidade Conjunta
      A COMISSÃO EUROPEIA,
      Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 292.o,
      Considerando o seguinte:

                  (1)

                  A cibersegurança é essencial para o êxito da transformação digital da economia e da sociedade. A UE está empenhada em atingir níveis de investimento sem precedentes para garantir que as pessoas, as empresas e as autoridades públicas tenham confiança nas ferramentas digitais.

                  (2)

                  A pandemia de COVID-19 aumentou a importância da conectividade e a dependência da Europa de redes e sistemas de informação estáveis e demonstrou a necessidade de proteger toda a cadeia de abastecimento. A existência de redes e sistemas de informação fiáveis e seguros reveste-se de especial importância para as entidades que se encontram na linha da frente da luta contra a pandemia, como os hospitais, as agências médicas e os fabricantes de vacinas. A coordenação dos esforços da UE para prevenir, detetar, desencorajar, dissuadir, atenuar e dar resposta aos ciberataques mais contundentes contra essas entidades pode permitir evitar a perda de vidas humanas e obstar às tentativas de minar a capacidade da UE de derrotar a pandemia o mais rapidamente possível. Além disso, o reforço da capacidade da UE para combater os ciberataques contribui eficazmente para a promoção de um ciberespaço global, aberto, estável e seguro.

                  (3)

                  Perante a natureza transnacional das ameaças à cibersegurança e o aumento contínuo de ataques mais complexos, generalizados e direcionados (1), as instituições e os intervenientes no domínio da cibersegurança têm de aumentar a sua capacidade de resposta a essas ameaças e ataques, tirando partido dos recursos existentes e coordenando melhor os esforços. Todos os intervenientes interessados da UE têm de estar preparados para responder coletivamente e trocar informações, mais pela «necessidade de partilhar» do que pela «necessidade de conhecer».

                  (4)

                  Apesar dos importantes progressos alcançados através da cooperação entre os Estados-Membros em matéria de cibersegurança, nomeadamente por meio do grupo de cooperação («Grupo de Cooperação SRI») e da rede de equipas de resposta a incidentes de segurança informática (CSIRT) criada ao abrigo da Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (2), ainda não existe uma plataforma comum da UE que permita trocar, de forma eficiente e segura, as informações recolhidas em diferentes comunidades de cibersegurança e que ofereça um espaço aos intervenientes interessados para coordenarem e mobilizarem as capacidades operacionais. Em consequência, existe o risco de as ameaças e os incidentes cibernéticos serem tratados de forma compartimentada, com eficiência limitada e maior vulnerabilidade. Além disso, não existe um canal a nível da UE para a cooperação técnica e operacional com o setor privado, tanto em termos de partilha de informações como de apoio à resposta a incidentes.

                  (5)

                  Os quadros, as estruturas e recursos e os conhecimentos especializados nos Estados-Membros e nas instituições, organismos e agências competentes da UE oferecem uma base sólida para uma resposta coletiva a ameaças, incidentes e crises de cibersegurança (3). Esta arquitetura inclui, do ponto de vista operacional, o Plano de Ação para a Resposta Coordenada a Incidentes e Crises de Cibersegurança em Grande Escala («Plano de Ação») (4), a rede de CSIRT e a Rede Europeia de Organizações de Coordenação de Cibercrises («UE-CyCLONe») (5), bem como o Centro Europeu da Cibercriminalidade («EC3») e o grupo de missão «Ação Conjunta contra o Cibercrime» («J-CAT») da Agência da União Europeia para a Cooperação Policial («Europol») e o Protocolo da UE de Resposta de Emergência dos Serviços Repressivos («Protocolo UE RESR»). O Grupo de Cooperação SRI, o Centro de Situação e de Informações da UE («INTCEN») e o conjunto de instrumentos de ciberdiplomacia (6) e os projetos relacionados com a ciberdefesa lançados no âmbito da cooperação estruturada permanente (CEP) (7) também contribuem para a cooperação política e operacional em diferentes comunidades de cibersegurança. A Agência da União Europeia para a Cibersegurança («ENISA»), em virtude do seu mandato reforçado, tem por missão apoiar a cooperação operacional (8) no domínio da cibersegurança das redes e dos sistemas de informação, dos utilizadores desses sistemas e de outras pessoas afetadas por ameaças e incidentes cibernéticos. Através do Mecanismo Integrado de Resposta Política a Situações de Crise (IPCR), a UE está em condições de coordenar a sua resposta política a crises graves, nomeadamente em caso de ciberataques em grande escala.

                  (6)

                  No entanto, ainda não existe um mecanismo para explorar os recursos existentes e prestar assistência mútua entre as cibercomunidades responsáveis pela segurança das redes e dos sistemas de informação, pelo combate à cibercriminalidade, pela ciberdiplomacia e, se for caso disso, pela ciberdefesa em caso de crise. Também não existe um mecanismo abrangente a nível da UE para a cooperação técnica e operacional em matéria de conhecimento da situação, preparação e resposta entre todas as comunidades. Além disso, as sinergias com as autoridades policiais e as comunidades de informações devem ser alcançadas, respetivamente, através da Europol e do INTCEN.

                  (7)

                  A Comissão, o alto-representante da União para os Negócios Estrangeiros e a Política de Segurança (alto-representante), os Estados-Membros e as instituições, organismos e agências competentes da UE reconhecem a importância de analisar os pontos fortes, os pontos fracos, as lacunas e as sobreposições da atual arquitetura de cibersegurança da UE criada nos últimos anos. Em consulta com os Estados-Membros, a Comissão, com a participação do alto-representante, desenvolveu um conceito de Ciberunidade Conjunta em resposta a esta análise e como componente importante da Estratégia para a União da Segurança (9), da Estratégia Digital (10) e da Estratégia de Cibersegurança (11).

                  (8)

                  Em caso de crise, os Estados-Membros devem poder contar com a solidariedade da UE sob a forma de assistência coordenada, incluindo das quatro cibercomunidades, ou seja, civis, policiais (12), diplomáticas e, caso se justifique, de defesa. O grau de intervenção dos participantes de uma ou mais comunidades pode depender da natureza do incidente ou crise em grande escala e, consequentemente, do tipo de contramedidas necessárias para lhes dar resposta. Quando confrontados com ameaças, incidentes e crises cibernéticas, os peritos bem formados e os equipamentos técnicos representam bens essenciais que podem contribuir para evitar danos graves e assegurar uma recuperação efetiva. Por conseguinte, as capacidades técnicas e operacionais claramente identificadas, principalmente peritos e equipamentos, prontas para serem mobilizadas para os Estados-Membros em caso de necessidade, estarão no centro da Ciberunidade Conjunta. No âmbito dessa plataforma, os participantes estarão numa posição única para cultivar e coordenar essas capacidades através de equipas de reação rápida da UE em matéria de cibersegurança, assegurando simultaneamente sinergias adequadas com os projetos cibernéticos já existentes realizados no âmbito da CEP.

                  (9)

                  A Ciberunidade Conjunta prevê uma plataforma virtual e física e não exige a criação de um órgão independente adicional. A sua criação não deverá afetar as competências e os poderes das autoridades nacionais de cibersegurança e das entidades competentes da União. A Ciberunidade Conjunta deve estar ancorada em memorandos de entendimento entre os seus participantes. Deverá tirar partido e acrescentar valor às estruturas, recursos e capacidades existentes enquanto plataforma para uma cooperação operacional e técnica segura e rápida entre as entidades da UE e as autoridades dos Estados-Membros. Deve também reunir todas as comunidades de cibersegurança, ou seja, civis, policiais, diplomáticas e de defesa. Os participantes na plataforma devem ter uma função operacional ou de apoio. Os participantes operacionais devem incluir a ENISA, a Europol, a Equipa de Resposta a Emergências Informáticas para as instituições, organismos e agências da UE («CERT-UE»), a Comissão, o Serviço Europeu para a Ação Externa (incluindo o INTCEN), a rede de CSIRT e a UE-CyCLONe. Os participantes de apoio devem incluir a Agência Europeia de Defesa («AED»), o presidente do Grupo de Cooperação SRI, o presidente do Grupo Horizontal do Conselho das Questões do Ciberespaço e um representante dos projetos relevantes da CEP (13). Uma vez que os Estados-Membros dispõem de capacidades operacionais e competências para responder a ameaças, incidentes e crises cibernéticas em grande escala, os participantes na plataforma devem basear-se principalmente nas suas capacidades, com a ajuda das entidades competentes da União, para alcançar os seus objetivos.

                  (10)

                  A Ciberunidade Conjunta deverá dar um novo impulso ao processo iniciado em 2017 com o Plano de Ação. Deverá tornar operacional a arquitetura do plano e marcar um passo decisivo rumo a um quadro europeu de gestão de crises de cibersegurança em que as ameaças e os riscos sejam identificados, atenuados e resolvidos de forma coordenada e atempada. Ao tomar tal medida, a Ciberunidade Conjunta deverá ajudar a UE a dar resposta às ameaças atuais e iminentes.

                  (11)

                  Ao integrarem a Ciberunidade Conjunta, os participantes operacionais e de apoio deverão poder colaborar com um leque mais vasto de partes interessadas no âmbito do quadro de resposta da UE a crises de cibersegurança. No exercício das suas funções dentro dos limites dos seus mandatos, os participantes deverão beneficiar de uma maior preparação e de um conhecimento mais alargado da situação, abrangendo todos os aspetos relacionados com ameaças e incidentes de cibersegurança, e potenciar conhecimentos especializados adicionais nessa matéria. Por exemplo, os participantes devem participar regularmente em exercícios intercomunitários, adquirir um papel bem definido no plano de resposta da UE a situações de crise, aumentar a visibilidade das suas ações através de uma comunicação pública partilhada e celebrar acordos de cooperação operacional com o setor privado. Paralelamente, a contribuição para a Ciberunidade Conjunta deverá permitir aos participantes reforçar as redes existentes, como a rede de CSIRT e a UE-CyCLONe, proporcionando-lhes instrumentos seguros de intercâmbio de informações e melhores capacidades de deteção (ou seja, centros de operações de segurança, «SOC») e permitindo-lhes explorar as capacidades operacionais disponíveis da UE.

                  (12)

                  Os participantes na Ciberunidade Conjunta devem centrar-se na cooperação técnica e operacional, incluindo operações conjuntas. Os participantes deverão contribuir para essa cooperação na medida em que os seus mandatos o permitam. A cooperação deve ter por base e complementar os esforços em curso. Consoante o tipo de cooperação em causa, podem ser integrados outros participantes.

                  (13)

                  A plataforma deve reunir peritos técnicos e operacionais em matéria de gestão de crises dos Estados-Membros e das entidades da UE, com vista a coordenar as respostas a ameaças, incidentes e crises cibernéticas, utilizando as capacidades e os conhecimentos especializados existentes. Os peritos que participam na Ciberunidade Conjunta poderão monitorizar e proteger uma superfície de ataque muito mais vasta utilizando tanto a plataforma física como a virtual. Para o efeito, os participantes devem coordenar os seus esforços em caso de incidentes e crises transnacionais, bem como prestar assistência aos países afetados por incidentes, por intermédio da plataforma.

                  (14)

                  A criação da Ciberunidade Conjunta exige um processo gradual que tire partido e consolide os quadros e estruturas existentes mencionados na presente recomendação, nomeadamente os mecanismos de colaboração estabelecidos no âmbito das instâncias lideradas pelos Estados-Membros (por exemplo, a rede de CSIRT, a UE-CyCLONe, o Grupo Horizontal do Conselho das Questões do Ciberespaço, o J-CAT e os projetos relevantes da CEP), bem como, do lado das instituições, organismos e agências da UE, a cooperação estruturada entre a ENISA e a CERT-UE, assim como a do Grupo Interinstitucional de Intercâmbio de Informações sobre Cibersegurança. Há que conferir um papel adequado aos quadros aplicáveis às ameaças híbridas, à proteção civil (14) e os quadros setoriais específicos (15). Do mesmo modo, deve ser criada uma ligação estruturada com o IPCR (16). Tal permitirá, em caso de crise, transmitir rápida e eficazmente informações aos decisores políticos reunidos no Conselho.

                  (15)

                  A criação da Ciberunidade Conjunta deverá, por conseguinte, seguir um processo gradual e transparente, a concluir nos próximos dois anos. Por este motivo, os objetivos estabelecidos na presente recomendação devem ser alcançados através de um processo em quatro etapas, tal como descrito no anexo da mesma. Nas duas primeiras etapas, deverá ser lançado um processo preparatório, organizado e apoiado pela ENISA, que envolva participantes operacionais e de apoio a nível da UE e dos Estados-Membros, que terá lugar no âmbito de um grupo de trabalho a criar pela Comissão. Os trabalhos preparatórios devem pautar-se pelos princípios do empenhamento mútuo, da inclusividade e da criação de consensos. Importa promover o envolvimento de todos os participantes, permitindo a expressão de diferentes pontos de vista e posições e procurando encontrar soluções que reúnam o mais amplo apoio possível. Em função das necessidades e com base em condições devidamente justificadas, o calendário para as diferentes etapas indicadas na presente recomendação pode ser ajustado.

                  (16)

                  Na primeira etapa, o processo preparatório deve começar com a identificação das capacidades operacionais relevantes disponíveis na UE e o lançamento de uma avaliação das funções e responsabilidades dos participantes na plataforma. A segunda fase deve incluir a elaboração do Plano de Resposta da UE a Incidentes e Situações de Crise, em consonância com o Plano de Ação (17) e o Protocolo da UE de Resposta de Emergência dos Serviços Repressivos, a implantação de atividades relacionadas com a preparação e o conhecimento da situação, em consonância com o Regulamento Cibersegurança e o Regulamento Europol (18), e a conclusão da avaliação das funções e responsabilidades dos participantes na plataforma. O grupo de trabalho deverá apresentar os resultados dessa avaliação à Comissão e ao alto-representante, que posteriormente os partilharão com o Conselho. A Comissão e o alto-representante deverão trabalhar em conjunto, de acordo com as respetivas competências, para elaborar um relatório conjunto baseado nessa avaliação e convidar o Conselho a aprovar esse relatório através de conclusões do Conselho.

                  (17)

                  Na sequência dessa aprovação, a Ciberunidade Conjunta ficará operacional, com vista a concluir as duas etapas restantes do processo. Na terceira etapa, os participantes devem poder destacar equipas de reação rápida da UE para a Ciberunidade Conjunta, de acordo com os procedimentos definidos no Plano de Resposta da UE a Incidentes e Situações de Crise, mobilizando tanto a plataforma física como a virtual e contribuindo para vários aspetos da resposta a incidentes (da comunicação pública à recuperação ex post). Por último, na quarta etapa, as partes interessadas do setor privado, incluindo os utilizadores e os fornecedores de soluções e serviços de cibersegurança, serão convidadas a contribuir para a plataforma, permitindo aos participantes melhorar a partilha de informações e reforçar a resposta coordenada da UE às ameaças e incidentes cibernéticos.

                  (18)

                  No final do processo em quatro etapas, os participantes deverão elaborar um relatório de atividades sobre os progressos realizados na execução das quatro etapas definidas na recomendação, descrevendo as realizações e os desafios enfrentados, o qual deverá ser apresentado à Comissão e ao alto-representante. Com base nesse relatório, a Comissão e o alto-representante deverão proceder a uma avaliação desses resultados e retirar conclusões para o futuro da Ciberunidade Conjunta.

                  (19)

                  A Comissão, a ENISA, a Europol e a CERT-UE devem prestar apoio administrativo, financeiro e técnico à Ciberunidade Conjunta, tal como estabelecido na secção IV da presente recomendação, sob reserva do orçamento e da disponibilidade de recursos humanos. O reforço das capacidades operacionais de cibersegurança das instituições, organismos e agências competentes da UE será fundamental para assegurar uma preparação eficaz e a sustentabilidade da Ciberunidade Conjunta. A Comissão pretende que o futuro regulamento relativo a regras vinculativas comuns em matéria de cibersegurança para as instituições, organismos e agências da UE (outubro de 2021) proporcione a base jurídica para esta contribuição no caso da CERT-UE.

                  (20)

                  Tendo em conta o seu mandato reforçado ao abrigo do Regulamento (UE) 2019/881 («Regulamento Cibersegurança»), a ENISA encontra-se numa posição única para organizar e apoiar a preparação da Ciberunidade Conjunta, bem como para contribuir para a sua operacionalização. Em conformidade com as disposições do Regulamento Cibersegurança, a ENISA está atualmente a criar um gabinete em Bruxelas para apoiar a sua cooperação estruturada com a CERT-UE. Essa cooperação estruturada, que inclui gabinetes adjacentes, proporciona um quadro útil para facilitar a criação da Ciberunidade Conjunta, nomeadamente a criação do seu espaço físico, o qual deverá ser disponibilizado aos participantes em caso de necessidade, bem como ao pessoal de outras instituições, órgãos e agências competentes da UE. A plataforma física deve ser combinada com uma plataforma virtual composta por instrumentos de colaboração e de partilha segura de informações. Esses instrumentos potenciarão a riqueza de informações recolhidas através do Ciberescudo Europeu (19), incluindo os centros de operações de segurança («SOC») e os centros de partilha e análise de informações («ISAC»).

                  (21)

                  O Protocolo da UE de Resposta de Emergência dos Serviços Repressivos para grandes ciberataques transnacionais, adotado pelo Conselho em 2018, confere um papel central ao Centro Europeu da Cibercriminalidade da Europol («EC3») (20) como parte do «Plano de Ação». O referido protocolo permite que as autoridades policiais da UE deem resposta a ataques transnacionais em grande escala e supostamente mal-intencionados, numa base 24/7, através de uma reação e avaliação rápidas, bem como a partilha segura e atempada de informações essenciais para uma coordenação eficaz das respostas a incidentes transfronteiras. O protocolo aprofunda a questão da colaboração com outras instituições da UE e outros protocolos de crise à escala da UE, bem como a cooperação em situações de crise com o setor privado. A comunidade policial, com o apoio da Europol, caso se justifique, deverá contribuir para a Ciberunidade Conjunta, tomando as medidas necessárias no âmbito de todo o ciclo de investigação, em conformidade com os requisitos do quadro de justiça penal e os procedimentos de tratamento de provas eletrónicas aplicáveis. A Europol tem vindo a prestar apoio operacional e a facilitar a cooperação operacional contra as ciberameaças desde o início do EC3 em 2013. A Europol deve apoiar a plataforma de acordo com o seu mandato e a abordagem policial baseada em informações, mobilizando ao mesmo tempo todos os tipos de conhecimentos especializados, produtos, instrumentos e serviços pertinentes a nível interno para a resposta a incidentes ou crises.

                  (22)

                  A Diretiva 2013/40/UE relativa a ataques contra os sistemas de informação exige igualmente que os Estados-Membros assegurem que dispõem de um ponto de contacto operacional nacional, disponível 24 horas por dia e sete dias por semana, para efeitos de intercâmbio de informações relativas às infrações definidas nessa diretiva. A rede de pontos de contacto operacionais nacionais deverá também contribuir para a Ciberunidade Conjunta, assegurando a participação das autoridades policiais dos Estados-Membros, sempre que adequado.

                  (23)

                  A comunidade de ciberdiplomacia da UE contribui para promover e proteger um ciberespaço global, aberto, estável e seguro, bem como para prevenir, dissuadir e dar resposta a ciberatividades maliciosas a este respeito. Em 2017, a UE criou um quadro para uma resposta diplomática conjunta da UE às ciberatividades maliciosas («conjunto de instrumentos de ciberdiplomacia»). Este quadro faz parte da política mais vasta da UE em matéria de ciberdiplomacia. Contribui para a prevenção de conflitos e para uma maior estabilidade nas relações internacionais. Permite à UE e aos Estados-Membros, em cooperação com os parceiros internacionais, sempre que se justifique, utilizar todas as medidas da política externa e de segurança comum («PESC»), em conformidade com os respetivos procedimentos para a sua consecução, a fim de incentivar a cooperação, atenuar as ameaças e influenciar os comportamentos maliciosos atuais e potenciais no ciberespaço. A comunidade de ciberdiplomacia deve cooperar no âmbito da Ciberunidade Conjunta, utilizando toda a gama de medidas diplomáticas e prestando apoio na sua utilização, nomeadamente no que diz respeito à comunicação pública, apoiando o conhecimento partilhado da situação e o envolvimento com países terceiros em caso de crise.

                  (24)

                  Em conformidade com o quadro do Plano de Ação, o alto-representante, nomeadamente através do INTCEN, deverá contribuir para a Ciberunidade Conjunta, proporcionando um conhecimento contínuo e partilhado da situação, com base em informações, sobre as ameaças existentes e emergentes, incluindo o necessário conhecimento da situação estratégica para cada evento.

                  (25)

                  No âmbito da comunidade da ciberdefesa, a UE e os Estados-Membros visam melhorar as capacidades de ciberdefesa e reforçar as sinergias, a coordenação e a cooperação entre as instituições, organismos e agências competentes da UE, bem como com os Estados-Membros e entre eles, nomeadamente no que diz respeito às missões e operações da política comum de segurança e defesa («PCSD»). O funcionamento da comunidade baseia-se numa governação intergovernamental a nível da UE, nas estruturas nacionais de comando militar e nas capacidades e recursos militares ou de dupla utilização. Tendo em conta a sua natureza diferente, devem ser criadas interfaces específicas com a Ciberunidade Conjunta, a fim de permitir a partilha de informações com a comunidade de ciberdefesa (21).

                  (26)

                  A cooperação estruturada permanente é um quadro jurídico introduzido pelo Tratado de Lisboa (22) e estabelecido em 2017 no âmbito da União. A cooperação estruturada levou ao estabelecimento de uma série de projetos CEP no domínio do ciberespaço, contribuindo para o cumprimento do compromisso 11 (23) de «assegurar a intensificação dos esforços na cooperação em matéria de ciberdefesa, através por exemplo da partilha de informações, da formação e de apoio operacional». O SEAE, incluindo o Estado-Maior da UE e a AED, dá forma ao secretariado da CEP, que constitui um ponto de contacto único no âmbito da União para todas as questões da CEP, nomeadamente as funções de apoio e coordenação relacionadas com os projetos CEP (por exemplo, a avaliação de novas propostas de projetos, a preparação dos relatórios intercalares dos projetos, etc.). Os representantes dos projetos CEP pertinentes deverão apoiar a Ciberunidade Conjunta, nomeadamente no que diz respeito ao conhecimento da situação e à preparação.

                  (27)

                  Através da Ciberunidade Conjunta, os participantes devem integrar adequadamente as partes interessadas do setor privado, nomeadamente os fornecedores e os utilizadores de soluções e serviços de cibersegurança, para apoiar o quadro europeu de gestão de crises de cibersegurança, tendo devidamente em conta o quadro jurídico para a partilha de dados e a segurança das informações. Os prestadores de cibersegurança devem contribuir para a iniciativa através da partilha de informações sobre ameaças e da disponibilização de equipas de resposta a incidentes, a fim de expandir rapidamente a capacidade de resposta da unidade a ataques e crises em grande escala. Os utilizadores de bens e serviços de cibersegurança, principalmente os abrangidos pela Diretiva Segurança das Redes e da Informação, devem poder procurar ajuda e aconselhamento através de canais estruturados atualmente em falta, ligados aos centros de partilha e análise de informações (ISAC) a nível da UE (24). A plataforma poderá também contribuir para reforçar a cooperação com os parceiros internacionais.

                  (28)

                  O desenvolvimento e a manutenção do conhecimento da situação exigem capacidades sofisticadas de deteção e prevenção de intrusões. A Ciberunidade Conjunta deve recorrer a uma rede avançada capaz de analisar ameaças e incidentes maliciosos suscetíveis de afetar os principais sistemas de comunicação e informação na União. Assim, entre outras fontes, os conhecimentos sobre ameaças extraídos das redes de comunicação monitorizadas pelos centros de operações de segurança nacionais, setoriais e transnacionais devem contribuir para a Ciberunidade Conjunta, a fim de melhorar a avaliação dos participantes sobre o cenário de ameaça da UE.

                  (29)

                  A fim de apoiar o intercâmbio de informações operacionais, incluindo eventualmente material confidencial, a plataforma deve basear-se em canais de comunicação devidamente seguros. Esses canais poderão também basear-se nas infraestruturas existentes, como a aplicação de intercâmbio seguro de informações («SIENA») utilizada pela Europol e pela comunidade policial. Tal como anunciado na Estratégia de Cibersegurança, os instrumentos utilizados pelas instituições, organismos e agências da UE devem respeitar as regras em matéria de segurança da informação que a Comissão irá propor em breve.

                  (30)

                  A Comissão, principalmente através do programa Europa Digital, apoiará os investimentos necessários para criar a plataforma física e virtual e construir e manter canais de comunicação seguros e capacidades de formação, bem como desenvolver e mobilizar capacidades de deteção. Além disso, o Fundo Europeu de Defesa poderia ajudar a financiar tecnologias essenciais e capacidades de ciberdefesa que reforçariam a preparação nacional nessa matéria,

            ADOTOU A PRESENTE RECOMENDAÇÃO:
      I.   FINALIDADE DA PRESENTE RECOMENDAÇÃO

                  1)

                  A finalidade da presente recomendação consiste em identificar as ações necessárias para coordenar os esforços da UE para prevenir, detetar, desencorajar, dissuadir, atenuar e dar resposta a incidentes e crises cibernéticas em grande escala, mediante uma Ciberunidade Conjunta. Para o efeito, a presente recomendação define igualmente o processo, as etapas e o calendário que os Estados-Membros e as instituições, organismos e agências competentes da UE devem seguir em relação à criação e ao desenvolvimento dessa plataforma.

                  2)

                  Os Estados-Membros e as instituições, organismos e agências competentes da UE devem assegurar que, em caso de incidentes e crises de cibersegurança em grande escala, coordenam os seus esforços através de uma Ciberunidade Conjunta que permita a assistência mútua (25) por meio de conhecimentos especializados das autoridades dos Estados-Membros e das instituições, organismos e agências competentes da UE. A Ciberunidade Conjunta deve também permitir que os participantes cooperem com o setor privado.

            II.   DEFINIÇÕES

                  3)

                  Para efeitos da presente recomendação, entende-se por:

                              a)

                              «Plano de Resposta da UE a Incidentes e Crises de Cibersegurança», uma compilação de funções, modalidades e procedimentos conducentes à conclusão do quadro de resposta da UE a crises de cibersegurança descrito no ponto 1 da Recomendação da Comissão, de 13 de setembro de 2017, sobre a resposta coordenada a incidentes e crises de cibersegurança em grande escala («Plano de Ação»).

                              b)

                              «Comunidades de cibersegurança», grupos colaborativos civis, policiais, diplomáticos e de defesa, que representam tanto os Estados-Membros como as instituições, organismos e agências competentes da UE e que trocam informações na prossecução de objetivos, interesses e missões comuns em matéria de cibersegurança.

                              c)

                              «Participantes do setor privado», os representantes de entidades do setor privado que fornecem ou utilizam soluções (26) e serviços (27) de cibersegurança.

                              d)

                              «Incidente em grande escala», um incidente na aceção do artigo 4.o, n.o 7, da Diretiva (UE) 2016/1148, com um impacto significativo em pelo menos dois Estados-Membros.

                              e)

                              «Relatório integrado sobre a situação da cibersegurança na UE», um relatório que reúne os contributos dos participantes na Ciberunidade Conjunta, com base no relatório sobre a situação técnica da cibersegurança na UE, mencionado no artigo 7.o, n.o 6, do Regulamento (UE) 2019/881.

                              f)

                              «Equipa de reação rápida da UE em matéria de cibersegurança», uma equipa composta por peritos reconhecidos em cibersegurança, provenientes nomeadamente das CSIRT dos Estados-Membros, com o apoio da ENISA, da CERT-UE e da Europol, que está pronta para prestar assistência remota aos participantes afetados por incidentes e crises em grande escala.

                              g)

                              «Memorando de entendimento», um acordo entre participantes que estabelece as modalidades de cooperação necessárias, incluindo uma definição dos meios e procedimentos necessários para criar e mobilizar equipas de reação rápida da UE em matéria de cibersegurança, bem como para permitir a assistência mútua.

            III.   OBJETIVO DA CIBERUNIDADE CONJUNTA

                  4)

                  Os Estados-Membros e as instituições, organismos e agências competentes da UE devem assegurar uma resposta coordenada da UE a incidentes e crises cibernéticas em grande escala, bem como a recuperação dos mesmos. Em especial, essa resposta deverá ser assegurada entre os participantes operacionais — nomeadamente a ENISA, a Europol, a CERT-UE, a Comissão, o Serviço Europeu para a Ação Externa (incluindo o INTCEN), a rede de CSIRT, a UE-CyCLONe — e os participantes de apoio — nomeadamente o presidente do Grupo de Cooperação SRI, o presidente do Grupo Horizontal do Conselho das Questões do Ciberespaço, a Agência Europeia de Defesa e um representante dos projetos relevantes da CEP (28). Os participantes operacionais devem estar em condições de mobilizar rápida e eficazmente recursos operacionais para assistência mútua no âmbito da Ciberunidade Conjunta. Para o efeito, no âmbito da Ciberunidade Conjunta, os mecanismos de assistência mútua devem ser coordenados, sob reserva do pedido de um ou mais Estados-Membros.

                  5)

                  A fim de assegurar uma resposta coordenada eficaz, os participantes operacionais e de apoio enumerados no ponto 4 devem poder partilhar boas práticas, tirar partido de um conhecimento partilhado e contínuo da situação e assegurar a preparação necessária na medida em que os seus mandatos o permitam. Esses participantes deverão ter em conta os processos existentes e os conhecimentos especializados das diferentes comunidades de cibersegurança.

            IV.   DEFINIÇÃO DO FUNCIONAMENTO DA CIBERUNIDADE CONJUNTA

                  6)

                  Os Estados-Membros e as instituições, organismos e agências competentes da UE, com base na contribuição da ENISA em conformidade com o artigo 7.o, n.o 7, do Regulamento (UE) 2019/881, devem assegurar uma resposta coordenada a incidentes e crises em grande escala, bem como e a recuperação dos mesmos, através do seguinte:

                              a)

                              Criação, formação, ensaio e mobilização coordenada de equipas de reação rápida da UE em matéria de cibersegurança, impulsionando o disposto no artigo 7.o, n.o 4, do Regulamento (UE) 2019/881 e nos artigos 3.o e 4.o do Regulamento (UE) 2016/794;

                              b)

                              Implantação coordenada de uma plataforma virtual e física que potencie a cooperação estruturada da ENISA e da CERT-UE consagrada no artigo 7.o, n.o 4, do Regulamento (UE) 2019/881, a qual deverá servir de infraestrutura de apoio à cooperação técnica e operacional entre participantes e reunir pessoal relevante e outros recursos dos participantes;

                              c)

                              Criação e manutenção de um inventário das capacidades operacionais e técnicas disponíveis na UE em todas as comunidades de cibersegurança (29)na União, que estejam prontas a ser mobilizadas em caso de incidentes ou crises de cibersegurança em grande escala.

                              d)

                              Apresentação de relatórios à Comissão e ao alto-representante sobre a experiência adquirida em atividades de cooperação operacional no domínio da cibersegurança dentro das comunidades de cibersegurança e entre elas.

                  7)

                  Os Estados-Membros e as instituições, organismos e agências competentes da UE devem assegurar que a Ciberunidade Conjunta proporcione um conhecimento da situação e uma preparação contra crises possibilitadas pelo ciberespaço, de modo permanente e partilhado entre as comunidades de cibersegurança, bem como dentro dessas comunidades, prosseguindo os objetivos estabelecidos no artigo 7.o do Regulamento (UE) 2019/881 e no artigo 3.o do Regulamento (UE) 2016/794. Para o efeito, os Estados-Membros e as instituições, organismos e agências competentes da UE, em conformidade com o Regulamento (UE) 2019/881 e o Regulamento (UE) 2016/794, devem permitir a execução das seguintes operações de apoio:

                              a)

                              Elaboração do relatório integrado sobre a situação da cibersegurança na UE através da recolha e análise de todos os dados pertinentes e informações sobre ameaças;

                              b)

                              Utilização de instrumentos adequados e seguros, em conformidade com o artigo 7.o, n.o 1, do Regulamento (UE) 2019/881, para a partilha rápida de informações entre os participantes e com outras entidades;

                              c)

                                 Intercâmbio de informações e de conhecimentos especializados necessários para preparar a União para a gestão de crises e incidentes em grande escala possibilitados pelo ciberespaço, com o apoio da ENISA, como previsto no artigo 7.o, n.o 2, do Regulamento (UE) 2019/881;

                              d)

                              Adoção e ensaio dos planos nacionais de resposta a incidentes e crises de cibersegurança (30), em conformidade com o artigo 7.o, n.os 2, 5 e 7, do Regulamento (UE) 2019/881;

                              e)

                              Desenvolvimento, gestão e ensaio, nomeadamente através de ações de formação e exercícios intercomunitários, do Plano de Resposta da UE a Incidentes e Crises de Cibersegurança, em conformidade com a Recomendação Plano de Ação e com base no artigo 7.o, n.o 3, da proposta da Comissão de revisão da Diretiva (UE) 2016/1148 relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União (31);

                              f)

                              Assistência dos participantes na celebração de acordos de partilha de informações, bem como de acordos de cooperação operacional com entidades do setor privado que prestem, entre outros, serviços de informações sobre ameaças e de resposta a incidentes, com o apoio da ENISA, como previsto no artigo 7.o, n.o 1, do Regulamento (UE) 2019/881;

                              g)

                              Criação de sinergias estruturadas com as capacidades nacionais, setoriais e transnacionais de monitorização e deteção, em especial com os centros de operações de segurança;

                              h)

                              Assistência dos participantes na gestão de incidentes e crises em grande escala, em consonância com o papel de apoio da ENISA, definido no artigo 7.o do Regulamento (UE) 2019/881. Tal inclui contribuir para um conhecimento partilhado da situação, apoiar a ação diplomática, a atribuição política e a atribuição no contexto de investigações criminais, nomeadamente através da Europol (32), alinhar a comunicação pública e facilitar a recuperação de incidentes.

                  8)

                  A fim de aplicar os pontos 6 e 7, os Estados-Membros e as instituições, organismos e agências competentes da UE devem assegurar o seguinte:

                              a)

                              Definição dos aspetos organizacionais da Ciberunidade Conjunta e das funções e responsabilidades dos participantes operacionais e de apoio no âmbito da plataforma, permitindo o funcionamento eficaz da plataforma em consonância com os aspetos e princípios especificados no anexo da presente recomendação;

                              b)

                              Celebração de memorandos de entendimento que estabeleçam as modalidades necessárias de cooperação entre os participantes, a que se refere o ponto 4.

                  9)

                  Em conformidade com o artigo 7.o do Regulamento (UE) 2019/881, a ENISA deve assegurar a coordenação e o apoio dos Estados-Membros e das instituições, agências e organismos competentes da UE no âmbito da Ciberunidade Conjunta, nomeadamente assegurando as funções de secretariado, organizando reuniões e contribuindo para a execução das ações, tanto a nível dos Estados-Membros como da UE. A ENISA deverá criar uma plataforma virtual segura e um espaço físico para acolher reuniões e facilitar as ações de execução necessárias.

            V.   CRIAÇÃO DA CIBERUNIDADE CONJUNTA

                  10)

                  Os Estados-Membros e as instituições, organismos e agências competentes da UE devem assegurar que a Ciberunidade Conjunta avance para a fase operacional a partir de 30 de junho de 2022. Até esse momento, os participantes operacionais deverão disponibilizar as capacidades operacionais e os peritos que possam constituir a base das equipas de reação rápida da UE em matéria de cibersegurança. Os planos para uma plataforma física e virtual devem estar bem avançados.

                  11)

                  Os Estados-Membros e as instituições, organismos e agências competentes da UE devem contribuir para o funcionamento da Ciberunidade Conjunta e assegurar a plena conclusão da sua operacionalização até 30 de junho de 2023. Para o efeito, devem ser empreendidas quatro etapas consecutivas, que visarão a conclusão das seguintes atividades:

                              a)

                              Primeira etapa — Avaliação dos aspetos organizacionais da Ciberunidade Conjunta e identificação das capacidades operacionais disponíveis na UE, até 31 de dezembro de 2021;

                              b)

                              Segunda etapa — Preparação de planos de resposta a incidentes e situações de crise e realização de atividades conjuntas de preparação, até 30 de junho de 2022;

                              c)

                              C. Terceira etapa — Operacionalização da Ciberunidade Conjunta, até 31 de dezembro de 2022;

                              d)

                              Quarta etapa — Alargamento da cooperação no âmbito da Ciberunidade Conjunta a entidades privadas e apresentação de relatórios sobre os progressos realizados, até 30 de junho de 2023.

                        As ações mais pormenorizadas a empreender no âmbito das quatro etapas sequenciais constam do anexo da presente recomendação.

                  12)

                  No âmbito das duas primeiras etapas, a ENISA deve organizar e apoiar a preparação da Ciberunidade Conjunta. Incumbe aos serviços da Comissão convocar um grupo de trabalho que reúna participantes operacionais e de apoio para concluir esses trabalhos preparatórios. Os serviços da Comissão nomeiam um representante como copresidente do grupo de trabalho e convidam a copresidir um representante nomeado pelo alto-representante, cada um dos quais contribuindo para os pontos da ordem de trabalhos de acordo com as respetivas competências, e um representante escolhido pelos Estados-Membros.

                  13)

                  Até ao final da segunda fase, o grupo de trabalho deverá concluir a sua avaliação dos aspetos organizacionais da Ciberunidade Conjunta e das funções e responsabilidades dos participantes operacionais nessa plataforma. O grupo de trabalho deverá apresentar os resultados dessa avaliação à Comissão e ao alto-representante. A Comissão e o alto-representante deverão, em seguida, partilhar essa avaliação com o Conselho. A Comissão e o alto-representante deverão elaborar um relatório conjunto com base nessa avaliação e convidar o Conselho a aprovar esse relatório através de conclusões do Conselho.

                  14)

                  A Ciberunidade Conjunta deve estar operacional a partir da terceira etapa.

                  15)

                  A ENISA e a Comissão devem assegurar a utilização dos recursos existentes ao abrigo dos programas de financiamento da UE, principalmente o programa Europa Digital, em conformidade com as regras aplicáveis para estabelecer os respetivos programas de trabalho, a fim de dotar os participantes da Ciberunidade Conjunta de capacidades de formação adicionais, capacidades de comunicação e infraestruturas seguras de partilha de informações que permitam o intercâmbio de informações classificadas, incluindo entre comunidades.

            VI.   REEXAME

                  16)

                  Os Estados-Membros devem cooperar com a Comissão e com o alto-representante, de acordo com as suas competências, a fim de avaliar a eficácia e eficiência da Ciberunidade Conjunta até 30 de junho de 2025, com vista a tirar conclusões para o futuro da mesma. Esta avaliação deve ter em conta a execução das quatro etapas acima referidas.

         Feito em Bruxelas, em 23 de junho de 2021.

               Pela Comissão

            Thierry BRETON

               Membro da Comissão

         (1)  ENISA, Threat Landscape 2020; Europol, Internet Organised Crime Threat Assessment (IOCTA) 2020 (não traduzidos para português).

         (2)  Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União (JO L 194 de 19.7.2016, p. 1).

         (3)  A Rede de Organizações de Coordenação de Cibercrises da UE (UE-CyCLONe) foi criada pelos Estados-Membros em resposta à Recomendação Plano de Ação. Trata-se de uma rede de peritos nacionais em matéria operacional e de gestão de crises fosse codificada na diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União e que revoga a Diretiva (UE) 2016/1148 [COM(2020) 823 final, 2020/0359 (COD), proposta em dezembro de 2020].

         (4)  Recomendação (UE) 2017/1584 da Comissão, de 13 de setembro de 2017, sobre a resposta coordenada a incidentes e crises de cibersegurança em grande escala (JO L 239 de 19.9.2017, p. 36).

         (5)  Esta recomendação tem em conta o relatório do exercício a nível operacional para o plano de ação (Blue OLEx) 2020 e, em especial, o resumo da presidência relativo ao debate estratégico sobre a Ciberunidade Conjunta.

         (6)  Conclusões do Conselho sobre um quadro para uma resposta diplomática conjunta da UE às ciberatividades maliciosas («instrumentos de ciberdiplomacia») de 19 de junho de 2017 (9916/17).

         (7)  Em especial, os projetos da CEP sobre «equipas de resposta rápida a ciberataques e assistência mútua no domínio da cibersegurança», coordenado pela Lituânia, e sobre o «centro de coordenação no domínio da cibernética e da informação», coordenado pela Alemanha.

         (8)  O artigo 7.o do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativo à ENISA (Agência da União Europeia para a Cibersegurança) e à certificação da cibersegurança das tecnologias da informação e comunicação e que revoga o Regulamento (UE) n.o 526/2013 (Regulamento Cibersegurança) (JO L 151 de 7.6.2019, p. 15) exige que a ENISA apoie a cooperação operacional entre os Estados-Membros, as instituições, os órgãos e os organismos da União e entre as partes interessadas. Tal inclui apoiar os Estados-Membros no que diz respeito à cooperação operacional no âmbito da rede de CSIRT, elaborar regularmente um relatório aprofundado sobre a situação técnica da cibersegurança na UE quanto a incidentes e ciberameaças e contribuir para a preparação de uma resposta colaborativa, a nível da União e dos Estados-Membros, a incidentes ou crises transnacionais em grande escala. Além disso, a ENISA contribui para atividades de formação com a Academia Europeia de Segurança e Defesa (AESD).

         (9)  Comunicação da Comissão ao Parlamento Europeu, ao Conselho Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões sobre a Estratégia da UE para a União da Segurança [COM(2020) 605 final].

         (10)  Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões intitulada «Construir o futuro digital da Europa» [COM(2020) 67 final].

         (11)  Comunicação Conjunta ao Parlamento Europeu e ao Conselho intitulada «Estratégia de cibersegurança da UE para a década digital» [JOIN(2020) 18 final].

         (12)  Também importante para a cooperação judiciária.

         (13)  Ver nota de rodapé 5. O SEAE e a AED, nas suas funções de secretariado da CEP, estabelecerão contactos com os coordenadores dos projetos CEP pertinentes.

         (14)  Neste contexto, a Ciberunidade Conjunta deverá estabelecer sinergias com o Mecanismo de Proteção Civil da União Europeia (MPCU) para melhorar a preparação e a resposta europeias em caso de multicatástrofes e emergências que incluam um elemento cibernético.

         (15)  Tal como o do setor financeiro, previsto no Regulamento (UE) 2021/xx do Parlamento Europeu e do Conselho* [DORA].

         (16)  Ver considerando 5.

         (17)  Ver nota 3.

         (18)  Regulamento (UE) 2016/794 do Parlamento Europeu e do Conselho, de 11 de maio de 2016, que cria a Agência da União Europeia para a Cooperação Policial (Europol) e que substitui e revoga as Decisões 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI e 2009/968/JAI do Conselho (JO L 135 de 24.5.2016, p. 53).

         (19)  JOIN(2020) 18 final, secção 1.2.

         (20)  Resultante do Regulamento (UE) 2016/794.

         (21)  Nomeadamente através da representação do SEAE, a fim de permitir o envolvimento adequado da comunidade de ciberdefesa, que se baseia nas contribuições nacionais voluntárias.

         (22)  Artigo 42.o, n.o 6, artigo 46.o e Protocolo n.o 10 do TUE.

         (23)  Cada um dos Estados-Membros que participam na CEP assume 20 compromissos individuais, divididos nos cinco domínios principais definidos no artigo 2.o do Protocolo n.o 10 relativo à CEP, anexo ao Tratado da União Europeia.

         (24)  Exemplos notáveis de ISAC existentes que poderiam estar envolvidos nessa partilha incluem o ISAC Europeu da Energia (EE-ISAC) ou o ISAC Europeu dos Institutos Financeiros (FI-ISAC).

         (25)  Coerente com a abordagem e os princípios enunciados na Diretiva (UE) 2016/1148 e no artigo 222.o do TFUE. Sem prejuízo do disposto no artigo 42.o, n.o 7, do Tratado da União Europeia.

         (26)  Incluindo fornecedores de software.

         (27)  Incluindo informações sobre ameaças.

         (28)  «Centro de Coordenação no Domínio da Cibernética e da Informação» (CIDCC) e «Equipas de Resposta Rápida a Ciberataques e Assistência Mútua no Domínio da Cibersegurança» (CRRT)

         (29)  Incluindo, caso se justifique, a comunidade de ciberdefesa.

         (30)  Proposto no artigo 7.o, n.o 3, da Diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União e que revoga a Diretiva (UE) 2016/1148 [COM(2020) 823 final, 2020/0359 (COD)].

         (31)  COM(2020) 823 final.

         (32)  Em conformidade com o Regulamento (UE) 2016/794.

         ANEXO
         Etapas para a criação da Ciberunidade Conjunta
         O presente anexo descreve mais pormenorizadamente as ações essenciais e de apoio necessárias para criar e tornar operacional a Ciberunidade Conjunta.
         1.   Primeira etapa — Avaliação dos aspetos organizacionais da Ciberunidade Conjunta e identificação das capacidades operacionais disponíveis na UE

            AÇÕES ESSENCIAIS

         Os participantes operacionais da Ciberunidade Conjunta, reunidos num grupo de trabalho criado pela Comissão e com o apoio da ENISA, devem recolher informações sobre as capacidades operacionais existentes, incluindo uma lista dos profissionais reconhecidos disponíveis, com indicação dos seus conhecimentos especializados relevantes, dos instrumentos, funções e recursos disponíveis para o tratamento de incidentes, das carteiras de formação e exercícios disponíveis e dos produtos existentes de análise de dados e informações. Com base nesses contributos, os participantes operacionais devem elaborar uma lista das capacidades operacionais disponíveis na UE prontas para serem mobilizadas em caso de incidentes ou crises cibernéticas, nomeadamente através de equipas de reação rápida da UE em matéria de cibersegurança.
         O grupo de trabalho deve empreender uma avaliação dos aspetos organizacionais da Ciberunidade Conjunta e das funções e responsabilidades dos participantes operacionais nessa plataforma.
         A fim de obter uma panorâmica das capacidades e chegar a acordo sobre os procedimentos, as ações essenciais e, na medida do possível, as ações de apoio da primeira etapa devem estar concluídas até 31 de dezembro de 2021 [6 meses após a adoção].
         2.   Segunda etapa — Preparação de planos de resposta a incidentes e situações de crise e realização de atividades conjuntas de preparação

            AÇÕES ESSENCIAIS

         Os participantes operacionais no grupo de trabalho, em consulta com os participantes de apoio, devem preparar o Plano de Resposta da UE a Incidentes e Crises de Cibersegurança com base nos planos nacionais de resposta a incidentes e crises de cibersegurança. O Plano de Resposta da UE a Incidentes e Crises de Cibersegurança deve incluir objetivos de preparação da UE, procedimentos identificados e canais seguros de intercâmbio de informações, incluindo formas de tratamento das informações, bem como critérios para ativar o mecanismo de assistência mútua com base numa taxonomia de classificação de incidentes acordada e na lista das capacidades disponíveis na UE.
         Até ao termo da segunda etapa, o grupo de trabalho deverá concluir a sua avaliação dos aspetos organizacionais da Ciberunidade Conjunta e das funções e responsabilidades dos participantes operacionais nessa plataforma. O grupo de trabalho deverá apresentar os resultados dessa avaliação à Comissão e ao Alto Representante. A Comissão e o Alto Representante deverão partilhar essa avaliação com o Conselho. A Comissão e o Alto Representante deverão trabalhar em conjunto, de acordo com as respetivas competências, para elaborar um relatório conjunto baseado nessa avaliação e convidar o Conselho a aprovar esse relatório através de conclusões do Conselho.

            AÇÕES DE APOIO

         O Plano de Resposta da UE a Incidentes e Crises de Cibersegurança deve basear-se nos principais elementos dos planos nacionais de resposta a incidentes e crises de cibersegurança. Em consonância com a proposta da Comissão de diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União e que revoga a Diretiva (UE) 2016/1148 (1), os Estados-Membros devem adotar planos nacionais de resposta a incidentes e crises de cibersegurança. Os planos nacionais, que podem eventualmente ser objeto de avaliação pelos pares, devem definir objetivos e modalidades para a gestão de crises e incidentes de cibersegurança em larga escala. Os planos nacionais deverão abordar, nomeadamente, os seguintes elementos:

                     a)

                     Objetivos das atividades e medidas nacionais de preparação;

                     b)

                     Funções e responsabilidades das autoridades nacionais competentes a nível nacional;

                     c)

                     Procedimentos acionais de gestão de crises e canais de intercâmbio de informações;

                     d)

                     Identificação de medidas de preparação, incluindo exercícios e atividades de formação;

                     e)

                     Identificação das partes interessadas e das infraestruturas públicas e privadas pertinentes envolvidas;

                     f)

                     Procedimentos e mecanismos nacionais entre as autoridades e organismos nacionais competentes, nomeadamente os responsáveis por todas as cibercomunidades, a fim de assegurar a participação efetiva dos Estados-Membros e o apoio à gestão coordenada de incidentes e crises de cibersegurança em larga escala a nível da UE.

               Com base nos contributos fornecidos pelos Estados-Membros e pelas instituições, organismos e agências da UE, os participantes operacionais devem realizar as seguintes ações de apoio no âmbito da Ciberunidade Conjunta:

                     a)

                     Elaborar o primeiro relatório integrado da situação na UE, com base nos planos nacionais de resposta a incidentes e crises de cibersegurança;

                     b)

                     Criar capacidades de comunicação e instrumentos seguros de partilha de informações;

                     c)

                     Facilitar a adoção de protocolos de assistência mútua entre os participantes;

                     d)

                     Organizar exercícios e ações de formação intercomunitários para os peritos incluídos na lista das capacidades operacionais disponíveis na UE;

                     e)

                     Desenvolver um plano plurianual para coordenar os exercícios.

               Sempre que necessário, os participantes operacionais devem consultar os participantes de apoio. A ENISA, com o apoio da Comissão, da Europol e da CERT-UE, deverá permitir a partilha de informações estabelecendo capacidades de comunicação e instrumentos seguros de partilha de informações.
         A fim de assegurar que os planos necessários são definidos e que as atividades conjuntas começam a ser desenvolvidas, as ações essenciais e, na medida do possível, as ações de apoio da segunda etapa devem estar concluídas até 30 de junho de 2022 [seis meses após o termo da primeira etapa].
         3.   Terceira etapa — Operacionalização da Ciberunidade Conjunta

            AÇÕES ESSENCIAIS

         Na sequência da aprovação pelo Conselho das conclusões da Comissão sobre o relatório previsto na segunda etapa, os participantes operacionais deverão coordenar o destacamento de equipas de reação rápida da UE em matéria de cibersegurança no âmbito da Ciberunidade Conjunta e criar uma plataforma física que permita às equipas realizar atividades técnicas e operacionais. Com base no trabalho preparatório realizado na segunda etapa, os participantes deverão finalizar o Plano de Resposta da UE a Incidentes e Crises de Cibersegurança. Os participantes operacionais devem certificar-se de que os peritos e as capacidades incluídos na lista de capacidades operacionais disponíveis na UE estão disponíveis e prontos a contribuir para a atividade das equipas de reação rápida da UE em matéria de cibersegurança.
         A fim de executar o Plano de Resposta da UE a Incidentes e Crises de Cibersegurança, os participantes devem definir um programa de trabalho anual.

            AÇÕES DE APOIO

         A Ciberunidade Conjunta pode ser utilizada pela comunidade da ciberdiplomacia para harmonizar a comunicação pública. A plataforma pode permitir que os participantes contribuam para a atribuição política e para a atribuição no âmbito do quadro de justiça penal utilizado a nível policial e judicial. Além disso, pode facilitar a recuperação e permitir sinergias estruturadas com as capacidades nacionais e transfronteiras de monitorização e deteção.
         A fim de assegurar a operacionalização da Ciberunidade Conjunta, as ações essenciais e, na medida do possível, as ações de apoio da terceira etapa devem estar concluídas até 31 de dezembro de 2022 [seis meses após o termo da segunda etapa].
         4.   Quarta etapa — Alargamento da cooperação no âmbito da Ciberunidade Conjunta a entidades privadas e apresentação de relatórios sobre os progressos realizados

            AÇÕES ESSENCIAIS

         Os participantes na Ciberunidade Conjunta devem elaborar um relatório de atividades sobre os progressos realizados na execução das quatro etapas definidas na recomendação, descrevendo as realizações e os desafios enfrentados. Esse relatório deve incluir informações estatísticas sobre as atividades de cooperação operacional realizadas ao longo das quatro etapas. O relatório deverá ser apresentado à Comissão e ao Alto Representante.

            AÇÕES DE APOIO

         A fim de alargar as capacidades e a informação de que dispõem as equipas de reação rápida da UE em matéria de cibersegurança, os participantes devem assegurar que a Ciberunidade Conjunta presta assistência na celebração de acordos de partilha de informações e de cooperação operacional entre participantes e entidades do setor privado que prestam, nomeadamente, serviços de informação sobre ameaças e de resposta a incidentes. Devem também assegurar, entre outras atividades, que a Ciberunidade Conjunta apoie, em diálogo regular e partilha de informações, atividades sobre ameaças e vulnerabilidades com os utilizadores de soluções de cibersegurança, principalmente as abrangidas pela Diretiva Segurança das Redes e da Informação ou reunidas nos centros de partilha e análise de informações (ISAC) a nível da UE.
         Os Estados-Membros devem apoiar as entidades que operam no seu território, em especial as abrangidas pela Diretiva Segurança das Redes e da Informação, no acesso aos diálogos público-privados com os ISAC a nível da UE e na contribuição para os mesmos.
         A fim de assegurar a participação adequada do setor privado, as ações essenciais e, na medida do possível, as ações de apoio da quarta etapa devem estar concluídas até 30 de junho de 2023 [seis meses após o termo da terceira etapa].

                        COMO MOBILIZAR RAPIDAMENTE AS CAPACIDADES OPERACIONAIS DA UE

                        QUEM FORNECE CAPACIDADES: Participantes operacionais

                        QUEM GERE AS CAPACIDADES: Participantes, no âmbito da Ciberunidade Conjunta, em conformidade com as funções e responsabilidades acordadas

                        Etapa

                        Objetivo

                        Missão

                        Ação essencial

                        Ação de apoio

                        Etapa 1 — Definir

                     até 31 de dezembro de 2021 [seis meses após a adoção]

                     PREPARAÇÃO

                        Identificar capacidades

                        Os participantes operacionais devem elaborar uma lista das capacidades operacionais disponíveis na UE

                        Etapa 2 —

                        Preparar

                     até 30 de junho de 2022 [seis meses após o termo da primeira etapa]

                     PREPARAÇÃO

                        Definir os procedimentos e mecanismos relevantes para ativar as capacidades em caso de necessidade

                        Os participantes operacionais devem preparar o plano de resposta da UE a incidentes e crises de cibersegurança (quadro de resposta da UE a crises de cibersegurança no âmbito do plano de ação), com base nos planos nacionais adotados

                        Os participantes operacionais devem elaborar relatórios integrados da situação na UE, com base no relatório sobre a situação técnica da cibersegurança na UE

                     PREPARAÇÃO

                        Exercer as capacidades

                        Os participantes devem organizar exercícios e formação conjuntos (intercomunidades)

                        Os participantes devem trabalhar num plano plurianual para coordenar os exercícios

                     CONHECIMENTO DA SITUAÇÂO

                        Criar instrumentos para partilhar informações e pedidos de apoio

                        Os participantes devem desenvolver uma partilha de informações segura e rápida

                        A CIBERUNIDADE CONJUNTA FICA OPERACIONAL Com base no trabalho preparatório realizado pelos participantes no âmbito de um grupo de trabalho a criar pela Comissão

                        Etapa 3 — Mobilizar

                     até 31 de dezembro de 2022 [seis meses após o termo da segunda etapa]

                     PREPARAÇÃO

                        Adotar os procedimentos, mecanismos e memorandos de entendimento relevantes para ativar as capacidades em caso de necessidade

                        Os participantes operacionais devem finalizar o plano de resposta da UE a incidentes e crises de cibersegurança e definir a execução do plano através de programas de trabalho anuais.

                        Os participantes devem apoiar a criação de capacidades nacionais e transfronteiras de monitorização e deteção, incluindo a criação de centros de operações de segurança (SOC)

                     RESPOSTA COORDENADA

                        Mobilizar capacidades em caso de necessidade

                        Os participantes operacionais devem coordenar equipas operacionais de reação rápida da UE em matéria de cibersegurança, através da plataforma virtual e física da Ciberunidade Conjunta em Bruxelas.

                        Os participantes devem coordenar a comunicação pública e contribuir para a atribuição política, bem como para a atribuição no contexto da justiça penal

                        Etapa 4 — Alargar e comunicar

                     até 30 de junho de 2023 [seis meses após o termo da segunda etapa]

                     CONHECIMENTO DA SITUAÇÂO

                        Assegurar a escalabilidade através do envolvimento do setor privado para dar resposta às necessidades emergentes

                        Os participantes devem apresentar um relatório de atividades sobre os progressos realizados, descrevendo as realizações e os desafios, com o apoio de informações estatísticas

                        Os participantes devem celebrar acordos de partilha de informações, bem como acordos de cooperação operacional com prestadores de serviços de cibersegurança

                     RESPOSTA COORDENADA

                        Os participantes devem celebrar acordos de partilha de informações com utilizadores de cibersegurança, principalmente entidades abrangidas pela Diretiva Segurança das Redes e da Informação e os ISAC da UE

            (1)  COM(2020) 823 final, 2020/0359 (COD), Bruxelas, 16.12.2020.