Cronologia – Cibersegurança

Em 6 de junho de 2025, os ministros adotaram o plano de ação da UE para a gestão de cibercrises, que fornece orientações para a resposta da UE a incidentes de cibersegurança ou cibercrises em grande escala.

Em 2 de dezembro de 2024, os ministros adotaram o Regulamento Cibersolidariedade. As novas regras visam reforçar a solidariedade e as capacidades da UE para detetar, preparar e dar resposta a ameaças e incidentes de cibersegurança e reforçar a sua ciber-resiliência.

O Conselho adotou um novo ato legislativo relativo aos requisitos de cibersegurança dos produtos com elementos digitais a fim de assegurar que os produtos conectados, como câmaras domésticas, frigoríficos, televisores e brinquedos, são seguros antes de serem colocados no mercado.

O Conselho adotou sanções contra seis pessoas envolvidas em ciberataques que afetam sistemas de informação relacionados com infraestruturas críticas, funções críticas do Estado, o armazenamento ou tratamento de informações classificadas e equipas da administração pública de resposta a emergências nos Estados-Membros.

Entre as pessoas sancionadas contam-se membros dos grupos Callisto, Armageddon e Wizard Spider.

Os representantes dos Estados-Membros (Coreper) alcançaram uma posição comum sobre a proposta de legislação relativa aos requisitos horizontais de cibersegurança para produtos com elementos digitais (Regulamento Ciber-Resiliência).

As novas regras propostas visam garantir que os produtos com componentes digitais, tais como câmaras domésticas conectadas e frigoríficos, televisores e brinquedos inteligentes, são seguros antes de entrarem no mercado único da UE.

O Conselho da UE e o Parlamento Europeu chegaram a um acordo provisório sobre um quadro comum para a cibersegurança nas instituições, órgãos e organismos da UE.

O acordo contribuirá para aumentar a resiliência e a capacidade destas entidades para responder a incidentes, assim como para garantir que se regem por normas comuns e cooperam entre si.

Em seguida, o acordo será ultimado a nível técnico e enviado aos embaixadores dos Estados-Membros junto da UE para ser confirmado. Uma vez confirmado pelo Conselho e pelo Parlamento, o acordo será formalmente adotado por ambas as instituições.

Com o ciberespaço como domínio da concorrência estratégica, os riscos para a segurança e a defesa da UE aumentam, num período de tensões geopolíticas crescentes e de dependência das tecnologias digitais.

As conclusões do Conselho sobre ciberdefesa salientam a necessidade de a UE e os seus Estados-Membros:

• continuarem a reforçar a sua resiliência face às ciberameaças
• aumentarem a cibersegurança e ciberdefesa comuns contra comportamentos maliciosos e atos de agressão no ciberespaço

O Conselho adotou legislação destinada a garantir um elevado nível comum de cibersegurança na União, a fim de reforçar ainda mais a resiliência e as capacidades de resposta a incidentes tanto do setor público como do setor privado e da UE no seu todo.

A nova diretiva, denominada "SRI 2", substituirá a diretiva atual relativa à segurança das redes e da informação (a Diretiva SRI).

O Conselho adotou a sua posição sobre um quadro comum para a cibersegurança nas instituições, órgãos e organismos da UE.

Num contexto de aumento do número de ciberataques sofisticados contra a administração pública da UE, a Comissão Europeia propôs, em março de 2022, medidas destinadas a assegurar um elevado nível comum de cibersegurança.

Com a criação de um quadro comum, essas medidas visam aumentar a resiliência e a capacidade de todas as entidades da UE para responder a incidentes, bem como fazer face às disparidades das respetivas abordagens.

Na sequência da adoção da posição pelo Conselho, o passo seguinte é iniciar as negociações com o Parlamento Europeu, assim que este tenha votado o seu mandato de negociações.

O Conselho adotou conclusões que apelam a um reforço da segurança da cadeia de abastecimento das tecnologias da informação e comunicação (TIC) na UE. As conclusões abordam igualmente as dependências no domínio das cadeias de abastecimento das TIC. Este apelo à ação é ainda mais urgente no contexto da agressão da Rússia à Ucrânia.

Nas conclusões, o Conselho apela a que se façam ajustamentos no domínio da contratação pública ou dos quadros de análise dos investimentos diretos estrangeiros, inclusive no que respeita aos critérios de seleção relacionados com a cibersegurança. Os Estados-Membros convidaram a Comissão a emitir orientações metodológicas a fim de incentivar as autoridades adjudicantes a darem uma ênfase adequada às práticas dos proponentes e respetivos subcontratantes no domínio da cibersegurança.

As conclusões identificam a legislação atual e futura específica do ciberespaço que pode também contribuir para a segurança da cadeia de abastecimento das TIC:

• a Diretiva Segurança das Redes e da Informação (SRI 2) revista
• os sistemas de certificação emitidos no quadro do Regulamento Cibersegurança
• a proposta de ato legislativo sobre a ciber-resiliência.

Nas conclusões sugere-se ainda a utilização de mecanismos de apoio para financiar a construção de infraestruturas digitais seguras, reforçar o entendimento e a sensibilização comuns, e aprofundar a cooperação a nível internacional para aumentar a segurança da cadeia de abastecimento das TIC dentro e fora da UE.

No contexto da agressão russa na Ucrânia e na sequência da aprovação da Bússola Estratégica pelo Conselho Europeu de 24 e 25 de março, o Conselho da UE reiterou nas suas conclusões a importância de desenvolver um conjunto de instrumentos da UE contra as ameaças híbridas.

Este conjunto de instrumentos introduz o quadro para uma resposta coordenada às ameaças híbridas e às campanhas que afetam a UE e os seus parceiros. Reúne todos os intervenientes, políticas e instrumentos pertinentes para combater o impacto das ameaças híbridas de forma mais coordenada.

O Conselho reiterou que a principal responsabilidade pela luta contra as ameaças híbridas é dos Estados-Membros e salientou que as decisões sobre uma resposta coordenada da UE às campanhas híbridas devem:

• servir para proteger a democracia e o direito internacional
• servir para alcançar os objetivos da União
• ser proporcionais a cada campanha
• ter um conhecimento situacional
• ter em conta o contexto mais amplo
• respeitar o direito internacional e defender os direitos e liberdades fundamentais

O Conselho aprovou conclusões sobre o desenvolvimento da postura da UE no ciberespaço, que se refere ao reforço da cibersegurança e à resiliência face a ciberameaças, em geral.

Ao desenvolver a sua postura no ciberespaço, a UE pode combater melhor as ciberatividades ofensivas que visam a UE e os seus Estados-Membros. O objetivo é dar respostas imediatas e a longo prazo aos intervenientes que procuram impedir um acesso seguro e aberto ao ciberespaço na UE, nomeadamente prevenindo, desencorajando e dissuadindo as ameaças, melhorando em simultâneo as cibercapacidades.

As conclusões decorrem de várias legislações e políticas da UE, incluindo a Bússola Estratégica, o plano de ação da UE para reforçar a sua política de segurança e defesa até 2030.

O Conselho decidiu prorrogar por mais três anos, até 18 de maio de 2025, o quadro de medidas restritivas contra os ciberataques que constituem uma ameaça para a UE e os seus Estados-Membros.

Este quadro permite à UE impor medidas restritivas específicas contra pessoas ou entidades envolvidas em ciberataques que tenham impacto significativo e constituam uma ameaça externa para a UE ou os seus Estados-Membros.

O Conselho e o Parlamento Europeu chegaram a um acordo provisório sobre medidas destinadas a garantir um elevado nível comum de cibersegurança em toda a União, a fim de continuar a melhorar a resiliência e as capacidades de resposta a incidentes tanto do setor público como do setor privado e da UE no seu conjunto.

Uma vez adotada, a nova diretiva, denominada "Diretiva SRI 2", substituirá a atual Diretiva Segurança das Redes e da Informação (Diretiva SRI).

A nova legislação permitirá:

• garantir o reforço da gestão e da cooperação em matéria de riscos e incidentes
• alargar o âmbito de aplicação das regras

O Conselho e o Parlamento Europeu chegaram a um acordo provisório sobre o Regulamento Resiliência Operacional Digital (DORA), que garantirá que as operações do setor financeiro na Europa se mantêm resilientes e capazes de resistir a perturbações operacionais graves.

O Regulamento DORA cria um quadro regulamentar em matéria de resiliência operacional digital segundo o qual todas as empresas têm de assegurar que são capazes de resistir e reagir a todos os tipos de perturbações e ameaças relacionadas com as TIC, bem como de recuperar dessas perturbações e ameaças.

A UE está a reforçar a segurança informática de entidades financeiras como bancos, companhias de seguros e empresas de investimento, tendo em conta os riscos cada vez maiores de ciberataques.

Os ministros da UE responsáveis pelas Telecomunicações e pelos Assuntos Digitais reuniram-se em 8 e 9 de março de 2022 num encontro informal organizado pela Presidência francesa do Conselho.

Face ao aumento dos níveis de ciberameaças, agravado pela situação na Ucrânia e pelo risco de ciberincidentes na UE, os ministros apelaram a que se reforçasse e acelerasse o ritmo da cooperação europeia no domínio da cibersegurança. Solicitaram igualmente que fossem facultadas mais informações sobre os riscos que ameaçam as redes e infraestruturas de comunicações europeias e elaboradas recomendações sobre a forma de reforçar a sua resiliência.

Os ministros dos 27 adotaram uma declaração política com a qual pretendem impulsionar as capacidades da UE em matéria de cibersegurança.

Durante o Conselho (Transportes, Telecomunicações e Energia) sobre Telecomunicações de dezembro, os ministros da UE chegaram a acordo quanto a uma "orientação geral" sobre medidas destinadas a garantir um elevado nível comum de cibersegurança em toda a UE, ao abrigo da chamada Diretiva SRI 2.

A Diretiva tem por objetivo continuar a aumentar a resiliência e a capacidade de resposta a incidentes tanto do setor público como do setor privado e da UE no seu conjunto, e visa eliminar as divergências existentes nos diferentes Estados-Membros em termos de requisitos de cibersegurança e aplicação de medidas de cibersegurança.

• Reforçar a cibersegurança e a resiliência a nível da UE – Conselho define a sua posição (comunicado de imprensa, 3 de dezembro de 2021)
• Conselho (Transportes, Telecomunicações e Energia) sobre Telecomunicações, 3 de dezembro de 2021

O Conselho adotou conclusões em que convida a UE e os Estados-Membros a continuarem a desenvolver o quadro da UE de gestão de crises de cibersegurança, nomeadamente explorando o potencial de uma iniciativa relativa a uma ciberunidade conjunta.

Nas suas conclusões, o Conselho realça a necessidade de consolidar as redes existentes e de proceder ao levantamento das eventuais lacunas e necessidades em matéria de partilha de informações dentro e entre as cibercomunidades. Subsequentemente, isto deverá conduzir a um acordo sobre possíveis objetivos e prioridades principais de uma potencial ciberunidade conjunta.

O Conselho decidiu prorrogar por mais um ano, até 18 de maio de 2022, o quadro de medidas restritivas contra vários ciberataques que constituem uma ameaça para a UE e os seus Estados-Membros.

Este quadro permite à UE impor medidas restritivas específicas contra pessoas ou entidades envolvidas em ciberataques que tenham impacto significativo e constituam uma ameaça externa para a UE ou os seus Estados-Membros.

Podem também ser impostas medidas restritivas em resposta a ciberataques perpetrados contra países terceiros ou organizações internacionais se se considerar que são necessárias para atingir os objetivos da política externa e de segurança comum (PESC).

• Ciberataques: Conselho prorroga o quadro de sanções por mais um ano (comunicado de imprensa, 17 de maio de 2021)
• Sanções: como e quando é que a UE adota medidas restritivas (informações gerais)

Os negociadores do Conselho e do Parlamento Europeu chegaram a um acordo provisório sobre uma medida temporária que permita que os fornecedores de serviços de comunicações eletrónicas, como o correio eletrónico e os serviços de mensagens com base na Internet, continuem a detetar, remover e denunciar abusos sexuais de crianças em linha, abrangendo também o combate ao aliciamento, até que esteja em vigor a legislação permanente anunciada pela Comissão Europeia.

O acordo prevê uma derrogação aos artigos 5.º, n.º 1, e 6.º, n.º 1, da Diretiva Privacidade Eletrónica, e está sujeito à aprovação do Conselho.

A UE pretende reforçar a segurança da Internet e de outras redes e sistemas de informação cruciais através da criação de um centro de competências em cibersegurança para pôr em comum investimentos em investigação e desenvolvimento tecnológico e industrial na área da cibersegurança. Em particular, este novo organismo, que estará sediado em Bucareste, na Roménia, canalizará, a partir do Horizonte Europa e do Programa Europa Digital, financiamento relacionado com a cibersegurança.

O "Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança" irá trabalhar em colaboração com uma rede de centros nacionais de coordenação designados pelos Estados-Membros.

O Conselho adotou em 20 de abril de 2021 o regulamento que cria o Centro e a rede. Seguir-se-á uma adoção final pelo Parlamento Europeu.

O Conselho adotou conclusões sobre a Estratégia de Cibersegurança da UE para a década digital. Esta estratégia foi apresentada pela Comissão Europeia e pelo alto representante para os Negócios Estrangeiros e a Política de Segurança, em dezembro de 2020. Descreve o quadro de ação da UE para proteger os seus cidadãos e empresas de ciberameaças, promover sistemas de informação seguros e preservar um ciberespaço global, aberto, livre e seguro.

As conclusões referem que a cibersegurança é essencial para construir uma Europa resiliente, ecológica e digital. Estabelecem como objetivo fundamental alcançar a autonomia estratégica, preservando ao mesmo tempo uma economia aberta. Passa isso por reforçar a capacidade de fazer escolhas autónomas no domínio da cibersegurança, com o objetivo de consolidar a liderança digital da UE e as suas capacidades estratégicas.

O Conselho adotou conclusões em que apela ao reforço das respostas a nível da UE para combater as ameaças híbridas, incluindo a desinformação, e aumentar a resiliência. O Conselho registou que as novas tecnologias e crises, como a atual pandemia, abrem aos intervenientes hostis oportunidades para expandirem as suas atividades de ingerência. Estas representam para os Estados-Membros e as instituições da UE um desafio que se vem juntar à crise propriamente dita.

O Conselho reconheceu que a pandemia de COVID-19 torna a UE e os seus Estados-Membros mais vulneráveis às ameaças híbridas. Entre estas ameaças contam-se o aumento da disseminação de desinformação e da ingerência manipuladora. Para fazer face a essas ameaças, em especial as ciberatividades maliciosas, a desinformação e as ameaças à segurança económica, é necessária uma abordagem abrangente, com uma cooperação e coordenação eficazes.

Os negociadores do Conselho e do Parlamento Europeu chegaram hoje a um acordo provisório sobre a proposta de criação de um Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança e de uma rede de centros nacionais de coordenação.

Em conjunto, estas estruturas ajudarão a garantir a segurança do mercado único digital, nomeadamente em domínios como o comércio eletrónico, a mobilidade inteligente e a Internet das coisas, e aumentarão a autonomia da UE no plano da cibersegurança.

Bucareste (Roménia) foi selecionada por representantes dos governos dos Estados-Membros da UE como a futura sede do novo Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança.

O Centro de Competências em Cibersegurança melhorará a coordenação da investigação e inovação no domínio da cibersegurança na UE. Constituirá também o principal instrumento da UE para mutualizar investimentos em investigação, tecnologia e desenvolvimento industrial no domínio da cibersegurança.

O Conselho aprovou conclusões que reconhecem o aumento da utilização de produtos de consumo e dispositivos industriais ligados à Internet e os novos riscos conexos para a privacidade, a segurança da informação e a cibersegurança.

As conclusões sublinham a importância de avaliar a necessidade de dispor, a longo prazo, de uma legislação horizontal para abordar todos os aspetos relevantes da cibersegurança dos dispositivos conectados, tais como a disponibilidade, a integridade e a confidencialidade.

Os dispositivos conectados, incluindo máquinas, sensores e redes que compõem a Internet das coisas (IdC), e a respetiva segurança desempenharão um papel fundamental na construção do futuro digital da Europa.

O Conselho decidiu impor medidas restritivas contra seis pessoas e três entidades responsáveis por vários ciberataques ou que neles participaram. As sanções impostas incluem a proibição de viajar e o congelamento de bens, estando ainda as pessoas e entidades da UE proibidas de disponibilizar fundos às pessoas e entidades incluídas na lista de sanções.

O Conselho adotou conclusões que abordam um vasto leque de questões relativas à aplicação da estratégia digital da UE. O texto salienta o impacto da transformação digital na luta contra a pandemia e o seu papel fundamental na recuperação pós-COVID-19.

No que diz respeito à cibersegurança, uma vez que as ciberameaças e os cibercrimes são cada vez mais numerosos e mais sofisticados, os ministros da UE visam melhorar as capacidades de resposta da UE e salvaguardar a integridade, a segurança e a resiliência das infraestruturas digitais, das redes de comunicação e dos serviços. A UE apoia igualmente a necessidade de recorrer a uma abordagem coordenada para a atenuação dos riscos relacionados com a cibersegurança e de assegurar uma implantação segura da tecnologia 5G.

Em 3 de junho de 2020, o Coreper aprovou um novo mandato para as negociações com o Parlamento Europeu sobre a proposta de regulamento que estabelece o Centro Europeu de Investigação e de Competências em Cibersegurança e a Rede de Centros Nacionais de Coordenação. Em seguida, a Presidência croata tem de contactar o negociador principal do Parlamento para explorar a possibilidade de organizar uma reunião do trílogo.

A Presidência fez também o ponto da situação relativamente à implementação do instrumentário da UE para a segurança das redes 5G.

As conclusões do Conselho sobre a tecnologia 5G destacaram as suas implicações para a economia europeia e a necessidade de atenuar os riscos de segurança.

Os ministros da UE salientaram que as redes 5G farão parte de infraestruturas cruciais para a manutenção de funções societais e económicas vitais.

O Conselho estabeleceu um quadro que permite à UE impor medidas restritivas específicas para dissuadir e dar resposta a ciberataques que constituam uma ameaça externa à UE ou aos seus Estados-Membros.

Mais especificamente, este quadro permite à UE, pela primeira vez, impor sanções a pessoas ou entidades que:

• sejam responsáveis por ciberataques ou tentativas de ciberataque
• prestem apoio financeiro, técnico ou material a tais ataques
• participem de qualquer outra forma em ataques de tal natureza.

As sanções também podem ser impostas a outras pessoas ou entidades a elas associadas.

O referido quadro aplica-se igualmente a ciberataques perpetrados contra Estados terceiros ou organizações internacionais relativamente aos quais se considerem necessárias medidas restritivas para alcançar os objetivos da política externa e de segurança comum (PESC).

Em 9 de abril de 2019, o Conselho adotou o Regulamento Cibersegurança, que cria:

• sistemas de certificação à escala da UE
• uma agência de cibersegurança da UE, que visa substituir a atual Agência da União Europeia para a Segurança das Redes e da Informação (ENISA)

Os embaixadores junto da UE mandataram a Presidência do Conselho para iniciar as conversações com o Parlamento Europeu sobre a partilha de conhecimentos especializados em matéria de cibersegurança.

As negociações concentrar-se-iam em duas iniciativas, a saber:

• a criação de uma base de conhecimentos de excelência em matéria de cibersegurança – que seria o Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança
• a criação de uma Rede de Centros Nacionais de Coordenação.

A aprovação do Regulamento Cibersegurança proposto permitirá à UE criar um sistema de certificação em matéria de cibersegurança à escala da UE e consolidar uma agência permanente da UE para a cibersegurança.

A Presidência e o Parlamento Europeu chegaram a acordo provisório sobre o novo regulamento a 10 de dezembro.

Os dispositivos ligados à Internet poderão em breve beneficiar da certificação de cibersegurança a nível da UE, o que dará aos consumidores a possibilidade de fazerem escolhas mais informadas e facilitará às empresas a comercialização dos seus produtos inteligentes na Europa.

Os Estados-Membros da UE colaboram cada vez mais em matéria de ciberdefesa para reforçar as suas capacidades neste domínio.

Para alcançar este objetivo, o Conselho adotou uma versão atualizada do Quadro Estratégico da UE para a Ciberdefesa.

A atualização deste quadro permite à UE ter em conta a evolução dos desafios em matéria de segurança desde que o quadro inicial foi adotado, em 2014. O quadro estratégico identifica os domínios prioritários da ciberdefesa e esclarece o papel dos que nela estão implicados.

Na reunião de 18 de outubro de 2018, o Conselho Europeu apelou à adoção de medidas destinadas a desenvolver uma cibersegurança sólida na União Europeia.

Os dirigentes da UE referiram-se, em particular, a medidas restritivas capazes de dar resposta aos ciberataques e de os dissuadir.

Os dirigentes da UE apelaram a que fossem reforçadas a dissuasão, a resiliência e a capacidade de resposta da UE perante as ameaças híbridas, as ciberameaças e as ameaças de natureza química, biológica, radiológica e nuclear (QBRN).

Fizeram-no na sequência dos ciberataques perpetrados contra a Organização para a Proibição de Armas Químicas (OPAQ), na Haia.

O Conselho Europeu apelou igualmente à conclusão das negociações sobre todas as propostas em matéria de cibersegurança "antes do final da legislatura", em abril de 2019.

O Conselho iniciou as negociações com o Parlamento Europeu para chegar a acordo sobre o Regulamento Cibersegurança até ao final do ano. Em 8 de junho, o Conselho chegou a uma orientação geral sobre a proposta.

O Regulamento Cibersegurança destina-se a reforçar a ciber-resiliência criando um quadro de certificação à escala da UE para os produtos, serviços e processos de TIC. Destina-se também a modernizar a Agência da UE para a Segurança das Redes e da Informação (ENISA).

O Conselho adotou conclusões sobre ciberatividades maliciosas, em que sublinha a importância de um ciberespaço mundial, aberto, livre, estável e seguro, no qual se apliquem inteiramente os direitos humanos, as liberdades fundamentais e o Estado de direito.

O Conselho manifestou a sua profunda preocupação com a crescente capacidade e disposição de certos Estados terceiros e intervenientes não estatais para atingirem os seus objetivos por meio de ciberatividades maliciosas. A UE continuará a reforçar as suas capacidades para fazer face às ciberameaças.

As instituições da UE deram um passo importante no sentido de reforçar a sua cooperação na luta contra os ciberataques.

Por meio de um acordo interinstitucional, foi criada uma Equipa de Resposta a Emergências Informáticas (CERT-UE), de caráter permanente, que abrange todas as instituições e agências da UE.

A CERT-UE visa garantir uma resposta coordenada da UE aos ciberataques contra as suas instituições.

O Conselho decidiu estabelecer um plano de ação para a reforma da cibersegurança na UE.

Os ministros salientaram que a segurança em linha era essencial para as empresas e os cidadãos europeus.

Os ministros da Justiça da UE continuaram a debater a forma de melhorar a justiça penal no ciberespaço e adotaram dois textos de conclusões em que definem medidas práticas para melhorar a cooperação, bem como um calendário para a adoção de medidas futuras.

• Conclusões sobre a melhoria da justiça penal no ciberespaço
• Conclusões sobre a Rede Judiciária europeia em matéria de cibercriminalidade