(1)

A utilização e dependência de tecnologias da informação e comunicação tornaram-se características fundamentais de todos os sectores de atividade económica e da sociedade, à luz da crescente interligação e interdependência das administrações públicas, das empresas e dos cidadãos dos Estados-Membros a nível intersectorial e transfronteiriço, introduzindo simultaneamente possíveis vulnerabilidades.

(2)

A magnitude, a frequência e o impacto dos incidentes de cibersegurança, incluindo ataques à cadeia de abastecimento para efeitos de ciberespionagem, software de sequestro (ransomware em inglês) ou perturbação, estão a aumentar a nível da União e a nível mundial. Os referidos incidentes constituem uma grave ameaça ao funcionamento dos sistemas de rede e informação. Tendo em conta a rápida evolução do cenário de ameaças, a ameaça de eventuais incidentes de cibersegurança em grande escala que causem perturbações ou danos significativos às infraestruturas críticas exige uma maior preparação do regime de cibersegurança da União. Esta ameaça vai além da guerra de agressão da Rússia contra a Ucrânia e é provável que persista, dada a multiplicidade de intervenientes associados envolvidos nas atuais tensões geopolíticas. Tais incidentes podem impedir a prestação de serviços públicos, uma vez que os ciberataques são frequentemente dirigidos a infraestruturas e serviços públicos locais, regionais ou nacionais, sendo as autoridades locais particularmente vulneráveis, nomeadamente devido aos seus recursos limitados. Podem impedir igualmente o exercício das atividades económicas, incluindo em sectores de importância crítica ou noutros sectores críticos, gerar perdas financeiras importantes, minar a confiança dos utilizadores, causar graves prejuízos à economia e aos regimes democráticos da União e até ter consequências para a saúde ou ser potencialmente fatais. Além disso, os incidentes de cibersegurança são imprevisíveis, dado que, muitas vezes, surgem e evoluem rapidamente, não se confinando a uma área geográfica específica e ocorrendo em simultâneo ou alastrando-se imediatamente por vários países. É importante criar uma estreita cooperação entre sector público, sector privado, meio académico, sociedade civil e meios de comunicação social.

(3)

É necessário reforçar a posição concorrencial dos sectores da indústria e dos serviços da União na economia digital e apoiar a sua transformação digital, através do reforço do nível de cibersegurança no mercado único digital, como recomendado em três propostas diferentes da Conferência sobre o Futuro da Europa. É necessário aumentar a resiliência dos cidadãos, das empresas, nomeadamente das microempresas e pequenas e médias empresas e as empresas em fase de arranque, e das entidades que operam infraestruturas críticas relativamente ao aumento das ciberameaças, que podem ter um impacto societal e económico devastador. Por conseguinte, é necessário investir em infraestruturas e serviços e reforçar capacidades para desenvolver competências em matéria de cibersegurança que apoiem uma deteção e uma resposta mais rápidas a ciberameaças e incidentes de cibersegurança. Além disso, os Estados-Membros necessitam de assistência para se prepararem melhor e responderem a incidentes de cibersegurança significativos e a incidentes de cibersegurança em grande escala, bem como de assistência na recuperação inicial tanto de uns como de outros. Com base nas estruturas existentes e em estreita cooperação com as mesmas, a União deverá também aumentar as suas capacidades nesses domínios, em especial no que diz respeito à recolha e análise de dados sobre ciberameaças e incidentes de cibersegurança.

(4)

A União tomou já uma série de medidas de redução das vulnerabilidades e acréscimo da resiliência das infraestruturas e entidades críticas contra os riscos, nomeadamente o Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho (5), as Diretivas 2013/40/UE (6) e (UE) 2022/2555 (7) do Parlamento Europeu e do Conselho e a Recomendação (UE) 2017/1584 da Comissão (8). Além disso, a Recomendação do Conselho de 8 de dezembro de 2022 relativa a uma abordagem coordenada à escala da União para reforço da resiliência das infraestruturas críticas convida os Estados-Membros a tomarem medidas, bem como a cooperarem entre si, com a Comissão e com outras autoridades públicas competentes a fim de reforçar a resiliência das infraestruturas críticas utilizadas para prestar serviços essenciais no mercado interno.

(5)

Os riscos de cibersegurança crescentes e um cenário de ameaças global complexo, com um risco claro de rápida disseminação dos incidentes de um Estado-Membro para outro e de um país terceiro para a União, exigem que a solidariedade seja reforçada à escala da União para uma melhor deteção, preparação e resposta a ciberameaças e incidentes de cibersegurança, e recuperação destes, em particular através do reforço das capacidades das estruturas existentes. Além disso, as Conclusões do Conselho de 23 de maio de 2022 sobre o desenvolvimento da postura da União Europeia no ciberespaço convidaram a Comissão a apresentar uma proposta relativa a um novo Fundo de Resposta de Emergência para a Cibersegurança.

(6)

A Comunicação Conjunta da Comissão e do alto representante da União para os Negócios Estrangeiros e a Política de Segurança de 10 de novembro de 2022 ao Parlamento Europeu e ao Conselho sobre a política de ciberdefesa da UE, anunciava uma iniciativa da UE em matéria de cibersolidariedade com os objetivos de reforço das capacidades comuns de deteção, conhecimento situacional e resposta da UE mediante a promoção da implantação de uma infraestrutura de centros de operações de segurança (SOC, do inglês Security Operation Centres) na UE, o apoio à criação progressiva de uma reserva de cibersegurança a nível da UE com serviços de fornecedores privados de confiança e a avaliação das potenciais vulnerabilidades das entidades críticas com base em avaliações dos riscos da UE.

(7)

É necessário reforçar a deteção e o conhecimento situacional relativamente a ciberameaças e incidentes de cibersegurança na União e intensificar a solidariedade, aumentando a preparação e as capacidades dos Estados-Membros e da União para prevenir e dar resposta a incidentes de cibersegurança significativos e incidentes de cibersegurança em grande escala. Por conseguinte, há que estabelecer uma rede pan-europeia de plataformas de cibersegurança («Sistema Europeu de Alerta em matéria de Cibersegurança») para criar capacidades coordenadas de deteção e conhecimento situacional, reforçando as capacidades da União de deteção de ameaças e de partilha de informações; criar um mecanismo de emergência em matéria de cibersegurança para apoiar os Estados-Membros, caso o solicitem, na preparação, resposta, atenuação do impacto e recuperação inicial de incidentes de cibersegurança significativos e de incidentes de cibersegurança em grande escala, bem como para apoiar outros utilizadores na resposta a incidentes de cibersegurança significativos e a incidentes equivalentes a um incidente de cibersegurança em grande escala; e criar um mecanismo europeu de análise de incidentes de cibersegurança para analisar e avaliar incidentes de cibersegurança significativos ou incidentes de cibersegurança em grande escala específicos. As ações tomadas ao abrigo do presente regulamento deverão ser realizadas no devido respeito pelas competências dos Estados-Membros e deverão complementar e não duplicar as atividades realizadas pela rede de CSIRT (do inglês computer security incident response teams), pela Rede de Organizações de Coordenação de Cibercrises (UE-CyCLONe) ou pelo grupo de cooperação («grupo de cooperação SRI»), todos criadas nos termos da Diretiva (UE) 2022/2555. As referidas ações não prejudicam os artigos 107.o e 108.o do Tratado sobre o Funcionamento da União Europeia (TFUE).

(8)

Para alcançar estes objetivos, é necessário alterar o Regulamento (UE) 2021/694 do Parlamento Europeu e do Conselho (9) em determinados domínios. Concretamente, o presente regulamento deverá alterar o Regulamento (UE) 2021/694 no que respeita ao aditamento de novos objetivos operacionais relacionados com o Sistema Europeu de Alerta em matéria de Cibersegurança e o mecanismo de emergência em matéria de cibersegurança no âmbito do objetivo específico n.o 3 do Programa Europa Digital (PED), que visa garantir a resiliência, a integridade e a fiabilidade do mercado único digital, reforçar as capacidades para monitorizar os ciberataques e as ciberameaças e dar resposta aos mesmos, bem como promover a cooperação e coordenação transfronteiriças em matéria de cibersegurança. O Sistema Europeu de Alerta em matéria de Cibersegurança pode apoiar de forma significativa os Estados-Membros na previsão de ciberameaças e na proteção contra as mesmas, e a Reserva de Cibersegurança da UE pode desempenhar um papel importante no apoio aos Estados-Membros, às instituições, aos órgãos e organismos da União e aos países terceiros associados ao PED no âmbito da resposta e atenuação do impacto de incidentes de cibersegurança significativos, incidentes de cibersegurança em grande escala e incidentes equivalentes a um incidente de cibersegurança em grande escala. Esse impacto pode incluir danos materiais ou imateriais consideráveis e riscos graves para a segurança e proteção públicas. Dadas as funções específicas que o Sistema Europeu de Alerta em matéria de Cibersegurança e a Reserva de Cibersegurança da UE poderão desempenhar, o presente regulamento deverá alterar o Regulamento (UE) 2021/694 no que diz respeito à participação de entidades jurídicas estabelecidas na União, mas controladas a partir de países terceiros, sempre que exista um risco real de não estarem disponíveis, na União, as ferramentas, as infraestruturas e os serviços ou a tecnologia, os conhecimentos especializados e as capacidades que são necessários e suficientes e de os benefícios da inclusão dessas entidades superarem o risco para a segurança. Deverão ser criadas as condições específicas em que poderá ser concedido apoio financeiro às ações que visam a implantação do Sistema Europeu de Alerta em matéria de Cibersegurança e da Reserva de Cibersegurança da UE e definidos os mecanismos de governação e coordenação necessários para alcançar os objetivos pretendidos. Outras alterações do Regulamento (UE) 2021/694 deverão incluir descrições das ações propostas no âmbito dos novos objetivos operacionais, bem como indicadores mensuráveis para acompanhar a execução destes novos objetivos operacionais.

(9)

Para reforçar a resposta da União a ciberameaças e incidentes de cibersegurança, é fundamental a cooperação com organizações internacionais, bem como com parceiros internacionais de confiança que partilham as mesmas ideias. Neste contexto, os parceiros internacionais de confiança que partilham as mesmas ideias deverão ser entendidos como países que partilham os princípios que inspiraram a criação da União, a saber, a democracia, o Estado de direito, a universalidade e indivisibilidade dos direitos humanos e das liberdades fundamentais, o respeito pela dignidade humana, os princípios da igualdade e solidariedade e o respeito pelos princípios da Carta das Nações Unidas e do direito internacional, e que não comprometem os interesses essenciais de segurança da União ou dos seus Estados-Membros. Essa cooperação pode também ser benéfica no que diz respeito às ações tomadas nos termos do presente regulamento, em especial o Sistema Europeu de Alerta em matéria de Cibersegurança e a Reserva de Cibersegurança da UE. O Regulamento (UE) 2021/694 deverá, se estiverem preenchidas determinadas condições de disponibilidade e segurança, prever concursos para o Sistema Europeu de Alerta em matéria de Cibersegurança e a Reserva de Cibersegurança da UE que possam ser abertos a entidades jurídicas controladas a partir de países terceiros, desde que sejam cumpridos determinados requisitos de segurança. Ao avaliar o risco para a segurança decorrente da abertura de concursos desta forma, é importante ter em conta os princípios e valores que a União partilha com os parceiros internacionais que partilham as mesmas ideias, sempre que esses princípios e valores estejam relacionados com interesses essenciais de segurança da União. Além disso, caso esses requisitos de segurança sejam examinados ao abrigo do Regulamento (UE) 2021/694, podem ser tidos em conta vários elementos, como a estrutura empresarial e o processo decisório de uma entidade, a segurança dos dados e das informações classificadas ou sensíveis e a garantia de que os resultados da ação não estão sujeitos a controlo ou restrições por parte de países terceiros não elegíveis.

(10)

O financiamento de ações no âmbito do presente regulamento deverá estar previsto no Regulamento (UE) 2021/694, que deverá continuar a ser o ato de base que rege as ações consagradas no objetivo específico n.o 3 do PED. Os programas de trabalho pertinentes deverão prever condições específicas de participação relativas a cada ação, em conformidade com o Regulamento (UE) 2021/694.

(11)

São aplicáveis ao presente regulamento as regras financeiras horizontais adotadas pelo Parlamento Europeu e pelo Conselho com base no artigo 322.o do TFUE. Essas regras encontram-se enunciadas no Regulamento (UE, Euratom) 2024/2509 do Parlamento Europeu e do Conselho (10) e definem, nomeadamente, as modalidades relativas à elaboração e execução do orçamento da União, bem como o controlo da responsabilidade dos intervenientes financeiros. As regras adotadas com base no artigo 322.o do TFUE incluem igualmente um regime geral de condicionalidade para a proteção do orçamento da União como estabelecido no Regulamento (UE, Euratom) 2020/2092 do Parlamento Europeu e do Conselho (11).

(12)

Embora as medidas de prevenção e preparação sejam essenciais para reforçar a resiliência da União na resposta a incidentes de cibersegurança significativos, incidentes de cibersegurança em grande escala e incidentes equivalentes a um incidente de cibersegurança em grande escala, a ocorrência, o momento e a magnitude desses incidentes são, pela sua natureza, imprevisíveis. Os recursos financeiros necessários para assegurar uma resposta adequada podem variar significativamente de ano para ano e deverão poder ser disponibilizados imediatamente. Conciliar o princípio orçamental da previsibilidade com a necessidade de reagir rapidamente a novas necessidades exige que a execução financeira dos programas de trabalho seja adaptada. Por conseguinte, para além da transição de dotações autorizadas nos termos do artigo 12.o, n.o 4, do Regulamento (UE, Euratom) 2024/2509, é adequado autorizar a transição de dotações não utilizadas apenas para o exercício seguinte e apenas para a Reserva de Cibersegurança da UE e as ações de apoio à assistência mútua.

(13)

Para prevenir, avaliar e responder de forma mais eficaz a ciberameaças e incidentes de cibersegurança, e recuperar dos mesmos, é necessário desenvolver um conhecimento mais aprofundado sobre as ameaças a ativos e infraestruturas críticos no território da União, incluindo a sua distribuição geográfica, interligação e potenciais efeitos em caso de ciberataques que afetem essas infraestruturas. Uma abordagem pró-ativa para identificar, atenuar e prevenir ciberameaças inclui um aumento da capacidade de deteção avançada. O Sistema Europeu de Alerta em matéria de Cibersegurança deverá ser composto por várias plataformas de cibersegurança transfronteiriças interoperáveis, cada uma agrupando três ou mais plataformas de cibersegurança nacionais. Essa infraestrutura deverá servir os interesses e necessidades nacionais e da União em matéria de cibersegurança, tirando partido de tecnologias de ponta para a recolha avançada de dados e informações pertinentes, se for caso disso anonimizados, e de ferramentas de análise, reforçando as capacidades coordenadas de ciberdeteção e de gestão e proporcionando um conhecimento situacional em tempo real. Essa infraestrutura deverá servir para melhorar a ciberpostura aumentando a deteção, agregação e a análise de dados e informações com o objetivo de prevenir ciberameaças e incidentes de cibersegurança e, assim, complementar e apoiar as entidades e redes da União responsáveis pela gestão de cibercrises na União, nomeadamente a UE-CyCLONe.

(14)

A participação dos Estados-Membros no Sistema Europeu de Alerta em matéria de Cibersegurança é de cariz voluntário. Cada Estado-Membro deverá designar uma entidade única a nível nacional encarregada de coordenar as atividades de deteção de ciberameaças nesse Estado-Membro. Essas plataformas de cibersegurança nacionais deverão funcionar como ponto de referência e acesso a nível nacional para a participação no Sistema Europeu de Alerta em matéria de Cibersegurança e deverão assegurar que as informações sobre ciberameaças provenientes de entidades públicas e privadas são partilhadas e recolhidas a nível nacional de forma eficaz e simplificada. As plataformas de cibersegurança nacionais podem reforçar a cooperação e a partilha de informações entre entidades públicas e privadas, bem como apoiar o intercâmbio de dados e informações pertinentes com as comunidades sectoriais e transectoriais pertinentes, incluindo os centros de partilha e análise de informações (ISAC, do inglês Information Sharing and Analysis Centers) sectoriais pertinentes. A cooperação estreita e coordenada entre entidades públicas e privadas é fundamental para reforçar a ciber-resiliência da União. Tal cooperação é particularmente valiosa no contexto da partilha de informações sobre ciberameaças destinada a melhorar a ciberproteção ativa. No âmbito de tal cooperação e partilha de informações, as plataformas de cibersegurança nacionais podem solicitar e receber informações específicas. O presente regulamento não obriga nem habilita essas plataformas de cibersegurança nacionais a executar esses pedidos. Se for caso disso, e em conformidade com o direito nacional e da União, as informações solicitadas ou recebidas podem incluir dados de telemetria, sensores e registos de entidades, como os prestadores de serviços de segurança geridos, que operam em sectores de importância crítica ou noutros sectores críticos nesse Estado-Membro, a fim de reforçar a deteção rápida de potenciais ciberameaças e incidentes de cibersegurança numa fase precoce, melhorando assim o conhecimento situacional. Se a plataforma de cibersegurança nacional não for a autoridade competente designada ou estabelecida pelo Estado-Membro em causa nos termos do artigo 8.o, n.o 1, da Diretiva (UE) 2022/2555, é fundamental que coordene com essa autoridade competente os pedidos e a receção desses dados.

(15)

No âmbito do Sistema de Alerta em matéria de Cibersegurança, deverão ser criadas várias plataformas de cibersegurança transfronteiriças. Tais plataformas deverão reunir as plataformas de cibersegurança nacionais de, pelo menos, três Estados-Membros para assegurar que os benefícios da deteção de ameaças transfronteiriças e da partilha e gestão de informações possam ser plenamente alcançados. O objetivo geral das plataformas de cibersegurança transfronteiriças deverá ser o reforço das capacidades de análise, prevenção e deteção de ciberameaças e o apoio à produção de informações de alta qualidade sobre ciberameaças, principalmente através da partilha de informações pertinentes, anonimizadas se for caso disso, num ambiente de confiança e seguro, de várias fontes, públicas ou privadas, bem como da partilha e utilização conjunta de ferramentas de ponta, e do desenvolvimento conjunto de capacidades de deteção, análise e prevenção num ambiente de confiança e seguro. As plataformas de cibersegurança transfronteiriças deverão proporcionar novas capacidades adicionais, tendo por base e complementando os SOC existentes, as CSIRT e outros intervenientes relevantes, incluindo a rede de CSIRT.

(16)

Um Estado-Membro selecionado pelo Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança (ECCC, do inglês European Cybersecurity Competence Centre) criado pelo Regulamento (UE) 2021/887 do Parlamento Europeu e do Conselho (12), na sequência de um convite à manifestação de interesse para criar, ou reforçar as capacidades de uma plataforma de cibersegurança nacional deverá adquirir ferramentas, infraestruturas ou serviços pertinentes em conjunto com o ECCC. Esse Estado-Membro deverá ser elegível para receber uma subvenção para operar as ferramentas, infraestruturas ou serviços. Um consórcio de acolhimento, composto por, pelo menos, três Estados-Membros, que tenha sido selecionado pelo ECCC na sequência de um convite à manifestação de interesse para criar ou reforçar as capacidades de uma plataforma de cibersegurança transfronteiriça, deverá adquirir ferramentas, infraestruturas ou serviços pertinentes em conjunto com o ECCC. O consórcio de acolhimento deverá ser elegível para receber uma subvenção para operar as ferramentas, infraestruturas ou serviços. O procedimento de contratação para a aquisição das ferramentas, infraestruturas ou serviços pertinentes deverá ser realizado conjuntamente pelo ECCC e pelas entidades adjudicantes competentes dos Estados-Membros selecionados na sequência desses convites à manifestação de interesse. Essa contratação deverá estar em conformidade com o artigo 168.o, n.o 2, do Regulamento (UE, Euratom) 2024/2509 e com as regras financeiras do ECCC. Por conseguinte, as entidades privadas não deverão ser elegíveis para participar nos convites à manifestação de interesse para adquirir ferramentas, infraestruturas ou serviços em conjunto com o ECCC, ou para receber subvenções para operar essas ferramentas, infraestruturas ou serviços. No entanto, os Estados-Membros deverão poder envolver entidades privadas na criação, no reforço e na operação das suas plataformas de cibersegurança nacionais e das plataformas de cibersegurança transfronteiriças de outras formas que considerem ser adequadas, em conformidade com o direito nacional e da União. As entidades privadas podem também ser elegíveis para receber financiamento da União nos termos do Regulamento (UE) 2021/887, a fim de prestar apoio às plataformas de cibersegurança nacionais.

(17)

A fim de melhorar a deteção de ciberameaças e o conhecimento situacional na União, um Estado-Membro que, na sequência de um convite à manifestação de interesse, tenha sido selecionado para criar ou reforçar as capacidades de uma plataforma de cibersegurança nacional deverá comprometer-se a candidatar-se a participar numa plataforma de cibersegurança transfronteiriça. Se um Estado-Membro não participar numa plataforma de cibersegurança transfronteiriça no prazo de dois anos a contar da data de aquisição das ferramentas, infraestruturas ou serviços ou contar da data em que recebe financiamento através de subvenções, consoante o que ocorrer primeiro, não deverá ser elegível para participar noutras ações de apoio da União no âmbito do Sistema de Alerta em matéria de Cibersegurança destinadas a reforçar as capacidades da sua plataforma de cibersegurança nacional. Nesses casos, as entidades dos Estados-Membros podem ainda participar em convites à apresentação de propostas sobre outros temas no âmbito do PED ou de outros programas de financiamento da União, incluindo convites à apresentação de propostas para a ciberdeteção e a partilha de informações, desde que essas entidades cumpram os critérios de elegibilidade estabelecidos nesses programas.

(18)

As CSIRT trocam informações no âmbito da rede de CSIRT, em conformidade com a Diretiva (UE) 2022/2555. O Sistema Europeu de Alerta em matéria de Cibersegurança deverá constituir uma nova capacidade complementar à rede de CSIRT, contribuindo para a criação de um conhecimento situacional da União que permita o reforço das capacidades da rede de CSIRT. As plataformas de cibersegurança transfronteiriças deverão coordenar-se e cooperar estreitamente com a rede de CSIRT. Deverão atuar mediante a mutualização de dados e a partilha de informações pertinentes, anonimizados se for caso disso, sobre ciberameaças provenientes de entidades públicas e privadas, a valorização desses dados e informações através de análises de peritos e de ferramentas de ponta e infraestruturas adquiridas conjuntamente, e o contributo para a soberania tecnológica da União, a sua autonomia estratégica aberta, competitividade e resiliência e o desenvolvimento das capacidades da União.

(19)

As plataformas de cibersegurança transfronteiriças deverão funcionar como ponto central que permita uma ampla mutualização de dados pertinentes e informações sobre ciberameaças, e que possibilite a divulgação de informações sobre ameaças entre um conjunto vasto e diversificado de partes interessadas, por exemplo, equipas de resposta a emergências informáticas (CERT, do inglês Computer Emergency Response Team), CSIRT, ISAC e operadores de infraestruturas críticas. Os membros do consórcio de acolhimento deverão especificar no acordo de consórcio as informações pertinentes a partilhar entre os participantes da plataforma de cibersegurança transfronteiriça em causa. As informações trocadas entre os participantes numa plataforma de cibersegurança transfronteiriça podem incluir, por exemplo, dados de redes e sensores, fluxos de informações sobre ameaças, indicadores de exposição a riscos e informações contextualizadas sobre incidentes, ciberameaças, quase incidentes, vulnerabilidades, técnicas e procedimentos, táticas hostis, informações específicas sobre perpetradores de ameaças, alertas de cibersegurança e recomendações relativas à configuração das ferramentas de cibersegurança para a deteção de ciberataques. Além disso, as plataformas de cibersegurança transfronteiriças deverão também celebrar acordos de cooperação entre si. Esses acordos de cooperação deverão, em especial, especificar os princípios de partilha de informações e a interoperabilidade. As suas cláusulas relativas à interoperabilidade, em particular os formatos e protocolos de partilha de informações, deverão ser orientadas e, por conseguinte, ter como ponto de partida as orientações de interoperabilidade emitidas pela Agência da União Europeia para a Cibersegurança (ENISA) criada pelo Regulamento (UE) 2019/881. Essas orientações deverão ser emitidas rapidamente para garantir que as plataformas de cibersegurança transfronteiriças possam tê-las em conta numa fase precoce. Deverão ter em conta as normas internacionais e as boas práticas, bem como o funcionamento de quaisquer plataformas de cibersegurança transfronteiriças estabelecidas.

(20)

As plataformas de cibersegurança transfronteiriças e a rede de CSIRT deverão cooperar estreitamente para assegurar sinergias e a complementaridade das atividades. Para o efeito, deverão acordar disposições processuais em matéria de cooperação e partilha de informações pertinentes. Tal poderá incluir a partilha de informações pertinentes sobre ciberameaças e incidentes de cibersegurança significativos e a garantia de que as experiências com ferramentas de ponta, em especial, as tecnologias de inteligência artificial e de análise de dados, utilizadas no âmbito das plataformas de cibersegurança transfronteiriças, sejam partilhadas com a rede de CSIRT.

(21)

A partilha do conhecimento situacional entre as autoridades competentes é uma condição prévia indispensável para a preparação e coordenação a nível da União no que diz respeito a incidentes de cibersegurança significativos e incidentes de cibersegurança em grande escala. A Diretiva (UE) 2022/2555 cria a UE-CyCLONe para apoiar a gestão coordenada de crises e de incidentes de cibersegurança em grande escala a nível operacional e para assegurar o intercâmbio regular de informações pertinentes entre os Estados-Membros e as instituições, órgãos e organismos da União. A Diretiva (UE) 2022/2555 estabelece igualmente a rede de CSIRT para promover uma cooperação operacional célere e eficaz entre todos os Estados-Membros. Deverão prestar informações pertinentes à rede de CSIRT e informar a UE-CyCLONe, enviando um alerta rápido, a fim de assegurar o conhecimento situacional e reforçar a solidariedade, nas situações em que as plataformas de cibersegurança transfronteiriças obtenham informações relacionadas com um incidente de cibersegurança em grande escala, potencial ou em curso. Concretamente, consoante a situação, as informações a partilhar podem incluir informações técnicas, informações sobre a natureza e os motivos do agressor ou potencial agressor, bem como informações não técnicas de nível mais elevado sobre um incidente de cibersegurança em grande escala, potencial ou em curso. Nesse contexto, deverá ser dada a devida atenção ao princípio da necessidade de conhecer e à natureza potencialmente sensível das informações partilhadas. A Diretiva (UE) 2022/2555 reitera igualmente as responsabilidades da Comissão no âmbito do Mecanismo de Proteção Civil da União (MPCU), criado pela Decisão n.o 1313/2013/UE do Parlamento Europeu e do Conselho (13), e a sua responsabilidade no que se refere à apresentação de relatórios analíticos para o Mecanismo Integrado da UE de Resposta Política a Situações de Crise (mecanismo IPCR) nos termos da Decisão de Execução (UE) 2018/1993 (14). Quando as plataformas de cibersegurança transfronteiriças partilhem informações pertinentes e alertas rápidos relacionados com um incidente de cibersegurança em grande escala, potencial ou em curso, com a UE-CyCLONe e a rede de CSIRT, é imperativo que tais informações sejam partilhadas através dessas redes com as autoridades dos Estados-Membros, bem como com a Comissão. Nesse contexto, a Diretiva (UE) 2022/2555 prevê que o objetivo da UE-CyCLONe consiste em apoiar a gestão coordenada de crises e de incidentes de cibersegurança em grande escala a nível operacional e assegurar o intercâmbio regular de informações pertinentes entre os Estados-Membros e as instituições, órgãos e organismos da União. As funções da UE-CyCLONe incluem o desenvolvimento da partilha de um conhecimento situacional para tais incidentes e crises. É da maior importância que a UE-CyCLONe assegure, em consonância com esse objetivo e com as suas funções, que essas informações sejam imediatamente facultadas aos representantes dos Estados-Membros pertinentes e à Comissão. Para o efeito, é fundamental que o regulamento interno da UE-CyCLONe inclua disposições adequadas.

(22)

As entidades que participam no Sistema Europeu de Alerta em matéria de Cibersegurança deverão assegurar um nível elevado de interoperabilidade entre si, incluindo, se for caso disso, no que diz respeito aos formatos dos dados, à taxonomia, às ferramentas de tratamento e análise de dados. Deverão também assegurar canais de comunicação seguros, um nível mínimo de segurança da camada de aplicação, um painel de controlo de conhecimento situacional e indicadores. A adoção de uma taxonomia comum e a elaboração de um modelo de relatórios de situação para descrever as causas das ciberameaças e dos riscos detetados deverão ter em conta os trabalhos existentes realizados no contexto da aplicação da Diretiva (UE) 2022/2555.

(23)

A fim de permitir o intercâmbio de dados e informações pertinentes sobre ciberameaças provenientes de várias fontes, em grande escala e num ambiente de confiança e seguro, as entidades que participam no Sistema Europeu de Alerta em matéria de Cibersegurança deverão estar equipadas com ferramentas, equipamentos e infraestruturas de ponta e altamente seguros, bem como dispor de pessoal altamente qualificado. Tal deverá permitir a melhoria das capacidades de deteção coletivas e alertas atempados às autoridades e entidades pertinentes, nomeadamente através da utilização das mais recentes tecnologias de inteligência artificial e de análise de dados.

(24)

Ao recolher, analisar, partilhar e trocar dados e informações pertinentes, o Sistema Europeu de Alerta em matéria de Cibersegurança deverá reforçar a soberania tecnológica da União e a autonomia estratégica aberta no domínio da cibersegurança, da competitividade e da resiliência. A mutualização de dados selecionados de alta qualidade poderá também contribuir para o desenvolvimento de tecnologias avançadas de inteligência artificial e de análise de dados. A supervisão humana e, para o efeito, uma mão de obra qualificada continuam a ser essenciais para a mutualização eficaz de dados de alta qualidade.

(25)

Embora o Sistema Europeu de Alerta em matéria de Cibersegurança seja um projeto de caráter civil, a comunidade de ciberdefesa poderá beneficiar do desenvolvimento de capacidades civis mais fortes de deteção e de conhecimento situacional para proteger as infraestruturas críticas.

(26)

A partilha de informações entre os participantes no Sistema Europeu de Alerta em matéria de Cibersegurança deverá cumprir os requisitos legais em vigor e, em especial, a legislação nacional e da União relativa à proteção de dados, bem como as regras da União em matéria de concorrência que regem o intercâmbio de informações. O destinatário das informações deverá aplicar, na medida em que o tratamento de dados pessoais seja necessário, medidas técnicas e organizativas que salvaguardem os direitos e liberdades dos titulares dos dados, destruir os dados assim que deixem de ser necessários para a finalidade indicada e informar a entidade que disponibiliza os dados de que os mesmos foram destruídos.

(27)

A preservação da confidencialidade e da segurança da informação é da maior importância para os três pilares do presente regulamento, quer para incentivar a partilha ou o intercâmbio de informações no contexto do Sistema Europeu de Alerta em matéria de Cibersegurança, preservando os interesses das entidades que solicitam apoio ao abrigo do mecanismo de emergência em matéria de cibersegurança, quer para assegurar que os relatórios no âmbito do mecanismo europeu de análise de incidentes de cibersegurança possam produzir ensinamentos úteis, sem afetar negativamente as entidades afetadas pelos incidentes. A participação dos Estados-Membros e das entidades nesses mecanismos depende das relações de confiança entre as respetivas componentes. Caso as informações sejam confidenciais nos termos das regras nacionais ou da União, a sua partilha ou o seu intercâmbio ao abrigo do presente regulamento deverá limitar-se ao que for pertinente e proporcionado em relação ao objetivo da partilha ou do intercâmbio. A partilha ou o intercâmbio deverá igualmente preservar a confidencialidade dessas informações e proteger a segurança e os interesses comerciais de quaisquer entidades em causa. A partilha ou o intercâmbio de informações ao abrigo do presente regulamento pode realizar-se através de acordos de confidencialidade ou de orientações sobre a distribuição de informações, como o protocolo «sinalização luminosa» (TLP, na sigla em inglês). O TLP deve ser visto como um meio para prestar informações sobre eventuais limitações impostas à divulgação ulterior das informações. É utilizado em quase todas as CSIRT e em alguns ISAC. Além desses requisitos gerais, no que diz respeito ao Sistema Europeu de Alerta em matéria de Cibersegurança, os acordos de consórcios de acolhimento deverão prever regras específicas relativas às condições para a partilha de informações no âmbito da plataforma de cibersegurança transfronteiriça em causa. Esses acordos podem, em particular, exigir que as informações só sejam partilhadas em conformidade com o direito nacional e da União.

(28)

No que diz respeito à implantação da Reserva de Cibersegurança da UE, são necessárias regras de confidencialidade específicas. O apoio será solicitado, avaliado e prestado num contexto de crise e no que diz respeito a entidades que operam em sectores sensíveis. Para que a Reserva de Cibersegurança da UE funcione eficazmente, é essencial que os utilizadores e as entidades possam, sem demora, partilhar e facultar o acesso a todas as informações necessárias para que cada entidade desempenhe a sua função no contexto da avaliação dos pedidos e da implantação do apoio. Por conseguinte, o presente regulamento deverá prever que todas essas informações devem ser utilizadas ou partilhadas apenas quando tal seja necessário para o funcionamento da Reserva de Cibersegurança da UE, e que as informações confidenciais ou classificadas nos termos do direito nacional e da União só devem ser utilizadas e partilhadas em conformidade com esse direito. Além disso, os utilizadores deverão poder sempre, se for caso disso, utilizar protocolos de partilha de informações, como o TLP, para especificar em maior medida as limitações. Embora os utilizadores disponham de poder discricionário a este respeito, é importante que, ao aplicarem essas limitações, tenham em conta as possíveis consequências, em especial no que diz respeito ao atraso na avaliação ou na prestação dos serviços solicitados. A fim de dispor de uma Reserva de Cibersegurança da UE eficiente, é importante que a entidade adjudicante clarifique, junto do utilizador, essas consequências antes de este apresentar um pedido. Essas salvaguardas limitam-se ao pedido e à prestação de serviços da Reserva de Cibersegurança da UE e não afetam o intercâmbio de informações noutros contextos, como na contratação pública da Reserva de Cibersegurança da UE.

(29)

Tendo em conta o aumento dos riscos e do número de incidentes que afetam os Estados-Membros, é necessário criar um instrumento de apoio a situações de crise, ou seja, o mecanismo de emergência em matéria de cibersegurança, para melhorar a resiliência da União a incidentes de cibersegurança significativos, incidentes de cibersegurança em grande escala e incidentes equivalentes a um incidente de cibersegurança em grande escala e complementar as ações dos Estados-Membros através de apoio financeiro de emergência para a preparação, resposta a incidentes e recuperação inicial de serviços essenciais. Uma vez que a recuperação total de um incidente é um processo abrangente de restabelecimento do funcionamento da entidade afetada pelo incidente para o estado anterior àquele e pode ser um processo longo, implicando custos significativos, o apoio da Reserva de Cibersegurança da UE deverá limitar-se à fase inicial do processo de recuperação, conduzindo ao restabelecimento das funcionalidades básicas dos sistemas. O mecanismo de emergência em matéria de cibersegurança deverá permitir a mobilização rápida e eficaz da assistência em circunstâncias definidas e condições claras e permitir um acompanhamento e uma avaliação cuidados da forma como os recursos foram utilizados. Embora a principal responsabilidade pela prevenção, preparação e resposta a crises e incidentes caiba aos Estados-Membros, o mecanismo de emergência em matéria de cibersegurança promove a solidariedade entre Estados-Membros, nos termos do artigo 3.o, n.o 3, do Tratado da União Europeia (TUE).

(30)

O mecanismo de emergência em matéria de cibersegurança deverá prestar apoio aos Estados-Membros em complemento das suas próprias medidas e recursos, assim como de outras opções de apoio existentes para a resposta a incidentes de cibersegurança significativos e incidentes de cibersegurança em grande escala, e para a recuperação inicial dos mesmos, como os serviços prestados pela ENISA em conformidade com o seu mandato, a resposta coordenada e a assistência da rede de CSIRT, o apoio à atenuação por parte da UE-CyCLONe, bem como a assistência mútua entre os Estados-Membros, nomeadamente no contexto do artigo 42.o, n.o 7, do TUE, e das equipas de resposta rápida a ciberataques no âmbito da cooperação estruturada permanente (CEP) prevista pela Decisão (PESC) 2017/2315 do Conselho (15). Deverá atender à necessidade de assegurar a disponibilidade de meios especializados para apoiar a preparação e a resposta a incidentes de cibersegurança, bem como a recuperação dos mesmos, em toda a União e nos países terceiros associados ao PED.

(31)

O presente regulamento não prejudica os procedimentos e regimes de coordenação da resposta a situações de crise a nível da União, em especial a Diretiva (UE) 2022/2555, o Mecanismo de Proteção Civil da União Europeia, criado pela Decisão n.o 1313/2013/UE do Parlamento Europeu e do Conselho (16), o mecanismo IPCR e a Recomendação (UE) 2017/1584 da Comissão (17). O apoio prestado no âmbito do mecanismo de emergência em matéria de cibersegurança pode complementar a assistência prestada no contexto da política externa e de segurança comum e da política comum de segurança e defesa, nomeadamente através das equipas de resposta rápida a ciberataques, tendo em conta o caráter civil do mecanismo de emergência em matéria de cibersegurança. O apoio prestado ao abrigo do mecanismo de emergência em matéria de cibersegurança pode complementar as ações executadas no contexto do artigo 42.o, n.o 7, do TUE, incluindo a assistência prestada por um Estado-Membro a outro Estado-Membro, ou fazer parte da resposta conjunta entre a União e os Estados-Membros, ou nas situações referidas no artigo 222.o do TFUE. A aplicação deste regulamento deverá também ser coordenada com a aplicação das medidas do conjunto de instrumentos de ciberdiplomacia, se for caso disso.

(32)

A assistência prestada ao abrigo do presente regulamento deverá apoiar e complementar as ações empreendidas pelos Estados-Membros a nível nacional. Para o efeito, deverá ser assegurada uma estreita cooperação e consulta entre a Comissão, a ENISA, os Estados-Membros e, se for caso disso, o ECCC. Ao solicitar apoio ao abrigo do mecanismo de emergência em matéria de cibersegurança, os Estado-Membros deverão prestar informações pertinentes que justifiquem a necessidade de apoio.

(33)

A Diretiva (UE) 2022/2555 exige que os Estados-Membros designem ou criem uma ou mais autoridades de gestão de cibercrises e se certifiquem de que dispõem dos recursos adequados para desempenhar as suas funções de forma eficaz e eficiente. Exige igualmente que os Estados-Membros identifiquem as capacidades, os ativos e os procedimentos que podem ser utilizados em caso de crise, bem como que adotem um plano nacional de resposta a crises e incidentes de cibersegurança em grande escala que estabeleça os objetivos e as modalidades de gestão de crises e de incidentes de cibersegurança em grande escala. Os Estados-Membros são igualmente obrigados a criar uma ou várias CSIRT responsáveis pelo tratamento de incidentes de acordo com um processo bem definido e que abranja, pelo menos, os sectores, subsectores e tipos de entidade incluídos no âmbito de aplicação da referida diretiva, bem como a assegurar que as mesmas dispõem dos recursos adequados para desempenharem eficazmente as suas funções. O presente regulamento não prejudica o papel da Comissão na garantia do cumprimento, pelos Estados-Membros, das obrigações decorrentes da Diretiva (UE) 2022/2555. O mecanismo de emergência em matéria de cibersegurança deverá prestar assistência para ações destinadas a reforçar a preparação, bem como para ações de resposta a incidentes que visem atenuar o impacto dos incidentes de cibersegurança significativos e dos incidentes de cibersegurança em grande escala, apoiando a recuperação inicial ou restabelecer as funcionalidades básicas dos serviços prestados por entidades que operam em sectores de importância crítica ou por entidades que operam noutros sectores críticos.

(34)

No âmbito das ações de preparação, a fim de promover uma abordagem coerente e de reforçar a segurança em toda a União e o seu mercado interno, deverá ser prestado apoio para testar e avaliar de forma coordenada a cibersegurança das entidades que operam nos sectores de importância crítica identificados nos termos da Diretiva (UE) 2022/2555, nomeadamente por meio de exercícios e ações de formação. Para o efeito, a Comissão, depois de consultar a ENISA, o grupo de cooperação SRI e a UE-CyCLONe, deverá identificar regularmente os sectores ou subsectores pertinentes que deverão ser elegíveis para receber apoio financeiro para a realização de testes coordenados de preparação a nível da União. Os sectores ou subsectores deverão ser selecionados a partir dos sectores de importância crítica enumerados no anexo I da Diretiva (UE) 2022/2555. Os testes coordenados de preparação deverão basear-se em cenários e metodologias de risco comuns. A seleção dos sectores e o desenvolvimento de cenários de risco deverão ter em conta as avaliações dos riscos e os cenários de risco pertinentes à escala da União, incluindo a necessidade de evitar duplicações, como a avaliação dos riscos e os cenários de risco exigidos nas Conclusões do Conselho sobre o desenvolvimento da postura da União Europeia no ciberespaço, realizada pela Comissão, pelo alto representante da União para os Negócios Estrangeiros e a Política de Segurança («alto representante») e pelo grupo de cooperação SRI, em coordenação com os organismos e agências civis e militares competentes e com as redes estabelecidas, incluindo a UE-CyCLONe, bem como a avaliação do risco das redes e infraestruturas de comunicação solicitada pelo apelo ministerial conjunto de Nevers e realizada pelo grupo de cooperação SRI, com o apoio da Comissão e da ENISA, e em cooperação com o Organismo dos Reguladores Europeus das Comunicações Eletrónicas criado pelo Regulamento (UE) 2018/1971 do Parlamento Europeu e do Conselho (18), as avaliações coordenadas a nível da União dos riscos de segurança de cadeias de abastecimento críticas a realizar nos termos do artigo 22.o da Diretiva (UE) 2022/2555 e os testes de resiliência operacional digital previstos no Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (19). A seleção dos sectores deverá também ter em conta a Recomendação do Conselho relativa a uma abordagem coordenada à escala da União para reforçar a resiliência das infraestruturas críticas.

(35)

Além disso, o mecanismo de emergência em matéria de cibersegurança deverá prestar apoio a outras ações de preparação e apoiar a preparação noutros sectores não abrangidos pelos testes coordenados de preparação das entidades que operam em sectores de importância crítica ou das entidades que operam noutros sectores críticos. Essas ações poderão incluir vários tipos de atividades de preparação nacionais.

(36)

Quando os Estados-Membros recebam subvenções para apoiar ações de preparação, as entidades que operem em sectores de importância crítica poderão participar nessas ações a título voluntário. É boa prática que, na sequência de tais ações, as entidades participantes elaborem um plano de recuperação para aplicar quaisquer recomendações de medidas específicas daí resultantes, a fim de beneficiar plenamente da ação de preparação. Embora seja importante que os Estados-Membros solicitem, no âmbito das ações, que as entidades participantes elaborem e executem esses planos de recuperação, os Estados-Membros não são obrigados nem ficam habilitados pelo presente regulamento a executar esses pedidos. Tais pedidos não prejudicam os requisitos aplicáveis às entidades nem as competências de supervisão das autoridades competentes nos termos da Diretiva (UE) 2022/2555.

(37)

O mecanismo de emergência em matéria de cibersegurança deverá também prestar apoio a ações de resposta a incidentes para atenuar o impacto de incidentes de cibersegurança significativos, incidentes de cibersegurança em grande escala e incidentes equivalentes a um incidente de cibersegurança em grande escala, apoiar a recuperação inicial ou restabelecer o funcionamento dos serviços essenciais. Se for caso disso, deve complementar o MPCU, a fim de assegurar uma abordagem abrangente para dar resposta aos impactos dos incidentes nos cidadãos.

(38)

O mecanismo de emergência em matéria de cibersegurança deverá apoiar a assistência técnica prestada por um Estado-Membro a outro Estado-Membro que é afetado por um incidente de cibersegurança significativo ou um incidente de cibersegurança em grande escala, incluindo pelas CSIRT a que se refere o artigo 11.o, n.o 3, alínea f), da Diretiva (UE) 2022/2555. Os Estados-Membros que prestam essa assistência deverão ser autorizados a apresentar pedidos para cobrir os custos relacionados com o envio de equipas de peritos no âmbito da assistência mútua. Os custos elegíveis podem incluir as despesas de viagem, alojamento e as ajudas de custo diárias dos peritos em cibersegurança.

(39)

Dado o papel essencial que as empresas privadas desempenham na deteção, preparação e resposta a incidentes de cibersegurança em grande escala e incidentes equivalentes a um incidente de cibersegurança em grande escala, é importante reconhecer o valor da cooperação voluntária pro bono com essas empresas, através da qual oferecem serviços não remunerados em caso de crises e de incidentes de cibersegurança em grande escala e de crises e de incidentes equivalentes a um incidente de cibersegurança em grande escala. A ENISA, em cooperação com a UE-CyCLONe, pode acompanhar a evolução dessas iniciativas pro bono e promover a conformidade destas com os critérios aplicáveis aos prestadores de serviços de segurança geridos de confiança ao abrigo do presente regulamento, nomeadamente no que diz respeito à fiabilidade das empresas privadas, à sua experiência, bem como à capacidade destas últimas para tratar informações sensíveis de forma segura.

(40)

No âmbito do mecanismo de emergência em matéria de cibersegurança, deverá ser criada progressivamente uma Reserva de Cibersegurança da UE, composta por serviços prestados por prestadores de serviços de segurança geridos de confiança, para apoiar ações de resposta e iniciar ações de recuperação em caso de incidentes de cibersegurança significativos, incidentes de cibersegurança em grande escala ou de incidentes equivalentes a um incidente de cibersegurança em grande escala que afetam os Estados-Membros, as instituições, órgãos ou organismos da União ou os países terceiros associados ao PED. A Reserva de Cibersegurança da UE deverá assegurar a disponibilidade e prontidão dos serviços. Por conseguinte, deverá compreender serviços previamente afetados, incluindo, por exemplo, capacidades de reserva que possam ser disponibilizadas a curto prazo. Os serviços da Reserva de Cibersegurança da UE deverão servir para apoiar as autoridades nacionais na prestação de assistência às entidades afetadas que operam em sectores de importância crítica ou às entidades afetadas que operam noutros sectores críticos em complemento das suas próprias ações a nível nacional. Os serviços da Reserva de Cibersegurança da UE deverá também poder servir para apoiar as instituições, órgãos e organismos da União em condições semelhantes. A Reserva de Cibersegurança da UE pode também contribuir para reforçar a posição concorrencial da indústria e dos serviços na União em toda a economia digital, incluindo as microempresas e as pequenas e médias empresas, bem como as empresas em fase de arranque, nomeadamente incentivando o investimento na investigação e inovação. Importa ter em conta o Quadro Europeu de Competências de Cibersegurança (ECSF) ao adquirir os serviços para a Reserva de Cibersegurança da UE. Ao solicitarem o apoio da Reserva de Cibersegurança da UE, os utilizadores deverão incluir, no seu pedido, informações adequadas sobre a entidade afetada e os potenciais impactos, informações sobre o serviço solicitado à Reserva de Cibersegurança da UE e o apoio prestado à entidade afetada a nível nacional, que deverá ser tido em conta na avaliação do pedido do requerente. A fim de assegurar a complementaridade com outras formas de apoio à disposição da entidade afetada, o pedido deverá também incluir, quando disponíveis, informações sobre as disposições contratuais em vigor relativas aos serviços de resposta a incidentes e de recuperação inicial, bem como os contratos de seguro que possam abranger esse tipo de incidente.

(41)

A fim de assegurar a utilização eficaz do financiamento da União, os serviços previamente afetados ao abrigo da Reserva de Cibersegurança da UE deverão ser convertidos, em conformidade com o respetivo contrato, em serviços de preparação relacionados com a prevenção e resposta a incidentes, caso esses serviços previamente afetados não sejam utilizados para a resposta a incidentes durante o período para o qual foram previamente afetados. Esses serviços deverão ser complementares e não deverão duplicar as ações de preparação que são geridas pelo ECCC.

(42)

Os pedidos de apoio ao abrigo da Reserva de Cibersegurança da UE apresentados pelas autoridades de gestão de cibercrises e pelas CSIRT dos Estados-Membros, ou pelo CERT-UE, em nome das instituições, órgãos e organismos da União, deverão ser avaliados pela entidade adjudicante. Nos casos em que a ENISA seja incumbida da administração e do funcionamento da Reserva de Cibersegurança da UE, essa entidade adjudicante é a ENISA. Os pedidos de apoio de países terceiros associados ao PED deverão ser avaliados pela Comissão. Para facilitar a apresentação e a avaliação dos pedidos de apoio, a ENISA pode criar uma plataforma segura.

(43)

Caso sejam recebidos múltiplos pedidos simultâneos, estes deverão ser tratados por ordem de prioridade, em conformidade com os critérios previstos no presente regulamento. À luz dos objetivos gerais do presente regulamento, esses critérios deverão incluir a gravidade e a escala do incidente, o tipo de entidade afetada, o potencial impacto do incidente nos Estados-Membros ou nos utilizadores afetados, a potencial natureza transfronteiriça do incidente e o risco de disseminação, bem como as medidas já tomadas pelo utilizador para contribuir para a resposta e a recuperação inicial. Tendo em conta esses objetivos, e uma vez que os pedidos dos utilizadores dos Estados-Membros se destinam exclusivamente a apoiar em toda a União, entidades que operam em sectores de importância crítica ou entidades que operam noutros sectores críticos, é conveniente dar maior prioridade aos pedidos dos utilizadores dos Estados-Membros sempre que esses critérios levem a que dois ou mais pedidos sejam avaliados como iguais. Tal não prejudica as obrigações que possam recair sobre os Estados-Membros ao abrigo das convenções de acolhimento pertinentes de tomar medidas para proteger e prestar assistência às instituições, órgãos e organismos da União.

(44)

A Comissão deverá assumir a responsabilidade geral pela execução da Reserva de Cibersegurança da UE. Dada a vasta experiência que adquiriu com a ação de apoio à cibersegurança, a ENISA é a agência mais adequada para executar a Reserva de Cibersegurança da UE. A Comissão deverá, por conseguinte, confiar-lhe, em parte ou, se a Comissão o considerar adequado, no todo o funcionamento e a administração da Reserva de Cibersegurança da UE. Esta incumbência deverá ser cumprida em conformidade com as regras aplicáveis ao abrigo do Regulamento (UE, Euratom) 2024/2509 e, em especial, deverá estar sujeita ao cumprimento das condições aplicáveis à assinatura de um acordo de contribuição. Quaisquer aspetos do funcionamento e da administração da Reserva de Cibersegurança da UE não confiados à ENISA deverão ser geridos diretamente pela Comissão, incluindo durante a fase que antecede a assinatura do acordo de contribuição.

(45)

Os Estados-Membros deverão desempenhar um papel fundamental na constituição, implantação e pós-implantação da Reserva de Cibersegurança da UE. Uma vez que o Regulamento (UE) 2021/694 é o ato de base aplicável às ações de execução da Reserva de Cibersegurança da UE, as ações no âmbito da Reserva de Cibersegurança da UE deverão estar previstas nos programas de trabalho a que se refere o artigo 24.o do Regulamento (UE) 2021/694. Em conformidade com o n.o 6 do referido artigo, esses programas de trabalho devem ser adotados pela Comissão por meio de atos de execução pelo procedimento de exame. Além disso, a Comissão, em coordenação com o grupo de cooperação SRI, deverá definir as prioridades e a evolução da Reserva de Cibersegurança da UE.

(46)

Os contratos celebrados no âmbito da Reserva de Cibersegurança da UE não deverão afetar a relação entre as empresas e as obrigações existentes entre a entidade afetada ou os utilizadores e o prestador de serviços.

(47)

Para efeitos da seleção de prestadores de serviços privados para a prestação de serviços no contexto da Reserva de Cibersegurança da UE, importa definir um conjunto de critérios e requisitos mínimos que deverão ser incluídos no convite à apresentação de propostas para selecionar esses prestadores, a fim de assegurar que são satisfeitas as necessidades das autoridades dos Estados-Membros, das entidades que operam em sectores de importância crítica ou das entidades que operam noutros sectores críticos. A fim de dar resposta às necessidades específicas dos Estados-Membros, ao contratar serviços para a Reserva de Cibersegurança da UE, a entidade adjudicante deverá, se for caso disso, elaborar critérios e requisitos de seleção adicionais aos previstos no presente regulamento. É importante incentivar a participação dos prestadores de serviços de menor dimensão que operam a nível regional e local.

(48)

Ao selecionar os fornecedores a incluir na Reserva de Cibersegurança da UE, a entidade adjudicante deverá diligenciar para que a Reserva de Cibersegurança da UE, no seu conjunto, compreenda fornecedores capazes de satisfazer os requisitos linguísticos dos utilizadores. Para o efeito, antes de elaborar o caderno de encargos, a entidade adjudicante deverá apurar se os potenciais utilizadores da Reserva de Cibersegurança da UE têm necessidades linguísticas específicas, de modo que os serviços de apoio da Reserva de Cibersegurança da UE possam ser prestados numa das línguas oficiais das instituições da União ou dos Estados-Membros, suscetível de ser compreendida pelo utilizador ou pela entidade afetada. Caso um utilizador necessite que os serviços de apoio da Reserva de Cibersegurança da UE sejam prestados em mais do que uma língua e que esses serviços tenham sido adquiridos nessas línguas para esse utilizador, o utilizador deverá poder especificar, no pedido de apoio ao abrigo da Reserva de Cibersegurança da UE em qual dessas línguas os serviços deverão ser prestados relativamente ao incidente específico que deu origem ao pedido.

(49)

A fim de apoiar a criação da Reserva de Cibersegurança da UE, é importante que a Comissão solicite à ENISA a preparação de um projeto de sistema de certificação da cibersegurança para os serviços de segurança geridos nos termos do Regulamento (UE) 2019/881 nos domínios abrangidos pelo mecanismo de emergência em matéria de cibersegurança.

(50)

A fim de apoiar os objetivos do presente regulamento de promover a partilha do conhecimento situacional, reforçar a resiliência da União e permitir uma resposta eficaz a incidentes de cibersegurança significativos e a incidentes de cibersegurança em grande escala, a Comissão ou a UE-CyCLONe deverão poder solicitar à ENISA, com o apoio da rede de CSIRT e com a aprovação dos Estados-Membros afetados, a análise e avaliação de ciberameaças, vulnerabilidades conhecidas que possam ser exploradas e medidas de atenuação no que diz respeito a um incidente de cibersegurança significativo ou um incidente de cibersegurança em grande escala específico. Após a conclusão da análise e avaliação de um incidente, a ENISA deverá elaborar um relatório de análise de incidentes em colaboração com os Estados-Membros afetados e as partes interessadas pertinentes, incluindo representantes do sector privado, da Comissão e de outras instituições, órgãos e organismos competentes da União. Com base na colaboração com as partes interessadas, incluindo o sector privado, o relatório de análise de incidentes específicos deverá ter por objetivo avaliar as causas, os impactos e as medidas de atenuação de um incidente após a sua ocorrência. Deverá ser prestada especial atenção aos contributos e ensinamentos partilhados pelos prestadores de serviços de segurança geridos que satisfaçam as condições de maior integridade profissional, imparcialidade e conhecimentos técnicos necessários, conforme exigido pelo presente regulamento. O relatório deverá ser apresentado à UE-CyCLONe, à rede de CSIRT e à Comissão e deverá contribuir para o seu trabalho, bem como o da ENISA. Se o incidente disser respeito a um país terceiro associado ao PED, a Comissão deverá também apresentar o relatório ao alto representante.

(51)

Tendo em conta a natureza imprevisível dos ciberataques e o facto de frequentemente não se confinarem a uma área geográfica específica e representarem um elevado risco de disseminação, o reforço da resiliência dos países vizinhos e da sua capacidade para responder eficazmente a incidentes de cibersegurança significativos e a incidentes equivalentes a um incidente de cibersegurança em grande escala contribui para a proteção da União no seu conjunto, em particular do seu mercado interno e da sua indústria. Essas atividades podem contribuir ainda mais para a ciberdiplomacia da União. Por conseguinte, os países terceiros associados ao PED deverão poder solicitar apoio da Reserva de Cibersegurança da UE em todo o seu território ou parte dele sempre que tal esteja previsto no acordo através do qual o país terceiro está associado ao PED. O financiamento dos países terceiros associados ao PED deverá ser apoiado pela União no âmbito de parcerias e instrumentos de financiamento pertinentes para esses países. O apoio deverá abranger serviços no domínio da resposta a incidentes de cibersegurança significativos ou a incidentes equivalentes a um incidente de cibersegurança em grande escala e da recuperação inicial dos mesmos.

(52)

Aquando da prestação de apoio aos países terceiros associados ao PED, deverão aplicar-se as condições previstas no presente regulamento relativamente à Reserva de Cibersegurança da UE e aos prestadores de serviços de segurança geridos de confiança. Os países terceiros associados ao PED deverão poder solicitar o apoio da Reserva de Cibersegurança da UE nos casos em que as entidades visadas, para as quais solicitam o apoio da Reserva de Cibersegurança da UE, sejam entidades que operam em sectores de importância crítica ou entidades que operam noutros sectores críticos e nos casos em que os incidentes detetados conduzam a perturbações operacionais significativas ou sejam suscetíveis de ter efeitos colaterais na União. Os países terceiros associados ao PED só deverão ser elegíveis para receber apoio se o acordo mediante o qual estão associados ao PED previr especificamente esse apoio. Além disso, esses países terceiros só deverão manter-se elegíveis enquanto estiverem preenchidos três critérios. Em primeiro lugar, o país terceiro deverá cumprir plenamente as condições pertinentes desse acordo. Em segundo lugar, dada a natureza complementar da Reserva de Cibersegurança da UE, o país terceiro deverá ter tomado medidas adequadas para se preparar para incidentes de cibersegurança significativos ou incidentes equivalentes a um incidente de cibersegurança em grande escala. Em terceiro lugar, a prestação de apoio ao abrigo da Reserva de Cibersegurança da UE deverá ser consonante com a política e as relações globais da União com esse país e com outras políticas da União no domínio da segurança. No contexto da sua avaliação do cumprimento desse terceiro critério, a Comissão deverá consultar o alto representante para alinhar a concessão desse apoio pela política externa e de segurança comum.

(53)

A prestação de apoio aos países terceiros associados ao PED pode afetar as relações com países terceiros e a política de segurança da União, nomeadamente no contexto da política externa e de segurança comum e da política comum de segurança e defesa. Por conseguinte, é conveniente que sejam atribuídas ao Conselho competências de execução para autorizar e especificar o período durante o qual pode ser prestado esse apoio. O Conselho deverá deliberar com base numa proposta da Comissão, tendo devidamente em conta a avaliação dos três critérios, efetuada pela Comissão. O mesmo se deverá aplicar às renovações e às propostas de alteração ou revogação desses atos. Se, em circunstâncias excecionais, o Conselho considerar que houve uma alteração significativa das circunstâncias no que diz respeito ao terceiro critério, deverá poder deliberar por sua própria iniciativa para alterar ou revogar um ato de execução, sem aguardar uma proposta da Comissão. Tais alterações significativas são suscetíveis de exigir uma ação urgente, de ter implicações particularmente importantes para as relações com países terceiros e de não necessitarem de uma avaliação pormenorizada prévia da Comissão. Além disso, a Comissão deverá cooperar com o alto representante no que diz respeito aos pedidos de apoio dos países terceiros associados ao PED e à execução do apoio concedido a esses países terceiros. A Comissão deverá igualmente ter em conta os pontos de vista da ENISA relativamente a esses pedidos e apoio. A Comissão deverá informar o Conselho sobre o resultado da avaliação dos pedidos, incluindo as considerações pertinentes formuladas a esse respeito, e sobre os serviços disponibilizados.

(54)

A Comunicação da Comissão de 18 de abril de 2023, sobre a Academia de Competências de Cibersegurança, reconheceu a escassez de profissionais qualificados. Essas competências são necessárias para cumprir os objetivos do presente regulamento. A União necessita urgentemente de profissionais com aptidões e competências para prevenir, detetar e dissuadir os ciberataques e defender a União, incluindo as suas infraestruturas mais críticas, contra esses ataques e assegurar a sua resiliência. Para o efeito, é importante incentivar a cooperação entre as partes interessadas, incluindo o sector privado, o meio académico e o sector público. É igualmente importante criar sinergias, em todos os territórios da União, por forma a permitir que o investimento na educação e na formação promova a criação de salvaguardas para evitar a fuga de cérebros e o agravamento do défice de competências em algumas regiões mais do que noutras. É urgente colmatar o défice de competências em matéria de cibersegurança, especialmente para reduzir as disparidades de género na mão de obra no domínio da cibersegurança, a fim de promover a presença e a participação das mulheres na conceção da governação digital.

(55)

A fim de impulsionar a inovação no mercado único digital, é importante reforçar a investigação e a inovação no domínio da cibersegurança, com vista a contribuir para aumentar a resiliência dos Estados-Membros e a autonomia estratégica aberta da União, que são ambos objetivos do presente regulamento. As sinergias são essenciais para reforçar a cooperação e coordenação entre as diferentes partes interessadas, incluindo o sector privado, a sociedade civil e o meio académico.

(56)

O presente regulamento deverá ter em conta o compromisso assumido na Declaração conjunta de 26 de janeiro de 2022 do Parlamento Europeu, o Conselho e a Comissão, intitulada «Declaração Europeia sobre os Direitos e Princípios Digitais para a Década Digital», de proteger os interesses das democracias, das pessoas, das empresas e das instituições públicas da União contra os riscos de cibersegurança e a cibercriminalidade, incluindo violações de dados e a usurpação ou manipulação da identidade.

(57)

A fim de completar certos elementos não essenciais do presente regulamento, o poder de adotar atos nos termos do artigo 290.o do TFUE deverá ser delegado na Comissão para especificar os tipos e o número de serviços de resposta necessários para a Reserva de Cibersegurança da UE. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (20). Em especial, e a fim de assegurar a igualdade de participação na elaboração dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão incumbidos da elaboração dos atos delegados.

(58)

A fim de assegurar condições uniformes para a execução do presente regulamento, deverão ser atribuídas competências de execução à Comissão para especificar mais pormenorizadamente as modalidades processuais da atribuição dos serviços de apoio da Reserva de Cibersegurança da UE. Essas competências deverão ser exercidas nos termos do Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho (21).

(59)

Sem prejuízo das regras relativas ao orçamento anual da União ao abrigo dos Tratados, a Comissão deverá ter em conta as obrigações decorrentes do presente regulamento ao avaliar as necessidades orçamentais e de pessoal da ENISA.

(60)

A Comissão deverá proceder regularmente a uma avaliação das medidas previstas no presente regulamento. A primeira avaliação deverá ser realizada nos primeiros dois anos após a data de entrada em vigor do presente regulamento e, posteriormente, pelo menos de quatro em quatro anos, tendo em conta o calendário da revisão do quadro financeiro plurianual fixado nos termos do artigo 312.o do TFUE. A Comissão deverá apresentar ao Parlamento Europeu e ao Conselho um relatório sobre os progressos realizados neste contexto. A fim de avaliar os diferentes elementos necessários, incluindo a extensão das informações partilhadas no âmbito do Sistema Europeu de Alerta em matéria de Cibersegurança, a Comissão deverá basear-se exclusivamente em informações facilmente acessíveis ou prestadas voluntariamente. Tendo em conta a evolução geopolítica e a fim de assegurar a continuidade e o desenvolvimento das medidas previstas no presente regulamento para além de 2027, é importante que a Comissão avalie a necessidade de afetar um orçamento adequado no quadro financeiro plurianual para 2028 a 2034.

(61)

Atendendo a que os objetivos do presente regulamento, a saber, o reforço da posição concorrencial dos sectores da indústria e dos serviços na União em toda a economia digital e a contribuição para a soberania tecnológica e a autonomia estratégica aberta da União no domínio da cibersegurança, não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, devido à dimensão ou aos efeitos da ação, ser mais bem alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrados no artigo 5.o do TUE. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para atingir esses objetivos,