Resumo:
A União Europeia lançou oficialmente as principais disposições da Lei de Resiliência Cibernética em 11 de setembro, impondo obrigações mais rigorosas de relatórios de segurança cibernética aos fabricantes de produtos digitais e desenvolvedores de software. De acordo com os novos regulamentos, uma vez que as empresas descubram que os seus produtos têm vulnerabilidades de segurança que estão a ser exploradas por hackers, devem comunicá-las à agência de cibersegurança da UE num período de tempo muito curto, caso contrário poderão enfrentar sanções severas no futuro.
De acordo com os requisitos do projeto de lei, quando uma empresa descobre que uma vulnerabilidade no seu produto foi realmente explorada, deve primeiro emitir uma notificação de aviso prévio à Agência Europeia de Cibersegurança (ENISA) no prazo de 24 horas; em seguida, apresentar uma descrição mais detalhada da situação no prazo de 72 horas, incluindo a natureza da vulnerabilidade, o seu âmbito de impacto e as medidas de mitigação que foram tomadas; após a vulnerabilidade ser reparada, deverá apresentar um relatório final em até 14 dias. Caso se trate de um incidente grave de cibersegurança e não de uma simples exploração de vulnerabilidade, o prazo para apresentação do relatório final é alargado para um mês.
A UE declarou que o principal objetivo deste sistema é melhorar a transparência e a capacidade de resposta de todo o ecossistema de produtos digitais. Ao forçar os fornecedores a divulgar e comunicar rapidamente os riscos de segurança, a UE espera reduzir os danos causados pela ocultação de vulnerabilidades a longo prazo e melhorar o nível geral de segurança dos dispositivos IoT, plataformas de software e produtos conectados.
Ao contrário de muitas regulamentações de segurança cibernética, o novo sistema não se aplica apenas a novos produtos lançados no futuro, mas também abrange produtos digitais já existentes no mercado. Isto significa que as empresas não podem apenas estabelecer um mecanismo de resposta de segurança para novos produtos, mas devem estabelecer um sistema rápido de comunicação de vulnerabilidades para software, hardware e produtos existentes sob manutenção contínua. Assim que for descoberto que produtos relevantes estão sob ataque ou exploraram vulnerabilidades, o processo de relatório legal será acionado.
O escopo das novas regulamentações é bastante amplo. Além das empresas locais da UE, todas as empresas estrangeiras que vendem produtos e serviços digitais para o mercado da UE também têm de cumprir os requisitos relevantes. Quer sejam criadores de software, fabricantes de hardware, empresas de eletrónica de consumo ou fornecedores de equipamentos para a Internet das Coisas, desde que os seus produtos entrem no mercado da UE, podem estar sujeitos a restrições.
Para ajudar as empresas a adaptarem-se ao novo sistema, a Comissão Europeia publicou uma série de documentos de orientação prática e a Agência Europeia de Cibersegurança criou uma plataforma de comunicação unificada para receber e gerir relatórios de vulnerabilidades e incidentes de segurança apresentados pelas empresas. As agências relevantes esperam reduzir os custos de conformidade corporativa através de processos padronizados, garantindo ao mesmo tempo que as autoridades reguladoras possam compreender oportunamente a dinâmica dos riscos de segurança da rede.
Embora o sistema de relatórios de vulnerabilidades seja implementado a partir de hoje, todos os requisitos de conformidade da Lei de Resiliência Cibernética serão implementados em fases. De acordo com o cronograma estabelecido, os requisitos completos, incluindo obrigações abrangentes como certificação de produtos, documentação técnica e marcação CE, tornar-se-ão oficialmente obrigatórios em dezembro de 2027.
O pano de fundo para a introdução do projeto de lei é que os ataques cibernéticos globais aumentaram frequentemente nos últimos anos, e descobriu-se que um grande número de dispositivos inteligentes e produtos conectados à Internet apresentam vulnerabilidades que não são reparadas há muito tempo. A UE acredita que alguns fabricantes não tiveram motivação para divulgar e lidar com questões de segurança em tempo útil no passado, por isso é necessário estabelecer padrões unificados através de legislação e usar responsabilidades legais para promover as empresas a melhorar os níveis de gestão de segurança.
Os analistas acreditam que esta nova regulamentação poderá forçar a indústria tecnológica a redesenhar os seus processos internos de resposta à segurança. No futuro, as empresas não só terão de descobrir vulnerabilidades mais rapidamente, mas também terão de garantir que a avaliação, notificação e remediação sejam concluídas dentro do prazo especificado. Para as grandes empresas tecnológicas, isto significa que é necessário investir mais recursos na construção de equipas de segurança de rede permanentes; enquanto os desenvolvedores de pequeno e médio porte podem enfrentar uma pressão considerável de conformidade.
Com a implementação gradual da Lei de Resiliência Cibernética, a UE está a tornar-se uma das regiões com regulamentações de cibersegurança mais rigorosas do mundo. Nos próximos anos, se este sistema pode realmente reduzir o abuso de lacunas e melhorar o nível de segurança digital dos consumidores e das empresas, tornar-se-á uma importante questão de preocupação para a indústria tecnológica global.
Comentários