Melhorar a cibersegurança ou livrar-se de marcas "indesejáveis

Em fevereiro de 2023. O Parlamento Europeu, numa sessão de informação, analisou e assinou a Diretiva 2022/2555 da União Europeia, mais conhecida como NIS2, que visa aumentar o nível de cibersegurança na União. As principais disposições da diretiva incluem os seguintes aspectos fundamentais:

1. Cobertura alargada: a NIS2 alarga as categorias de organizações abrangidas pela diretiva. Esta passa a incluir tanto as organizações "essenciais" como as "vitais". As organizações essenciais incluem empresas de energia, serviços de transporte, bancos, infra-estruturas do mercado financeiro, cuidados de saúde, infra-estruturas digitais e agências governamentais. As organizações importantes incluem os serviços postais, a indústria química, a indústria alimentar, os fabricantes de dispositivos médicos e outros.
2. Controlos de segurança mínimos obrigatórios: O NIS2 exige que todas as organizações implementem pelo menos 10 elementos básicos de segurança, incluindo o tratamento de incidentes, a segurança da cadeia de abastecimento, a utilização de criptografia, a continuidade das actividades e a ciber-higiene básica (como a autenticação multifactor e a formação do pessoal) (Infoblox Blog)(DataGuard).
3. Comunicação de incidentes cibernéticos: A diretiva estabelece um sistema hierarquizado de comunicação de incidentes com prazos rigorosos. As organizações devem comunicar os incidentes significativos à sua CSIRT (Equipa de Resposta a Incidentes de Segurança Informática) ou à autoridade competente no prazo de 24 horas após a deteção de um incidente, seguidas de 72 horas para notificação e, se necessário, comunicação intercalar.
4. Gestão dos riscos: As organizações devem efetuar regularmente avaliações de risco dos seus sistemas informáticos, identificar potenciais ameaças e vulnerabilidades e tomar medidas para as atenuar. Isto inclui o desenvolvimento de planos de continuidade das actividades e de recuperação de incidentes para minimizar o tempo de inatividade e assegurar a continuidade dos serviços críticos.
5. Sanções e medidas de execução: as autoridades nacionais têm o direito de aplicar medidas adicionais, como ordens de suspensão ou restrição das actividades de uma organização, a fim de proteger a segurança das redes e dos sistemas de informação(DataGuard).

O que é que isto significa em termos simples? Significa que nem todos os equipamentos podem agora ser fornecidos pelos fornecedores de serviços Internet (ISP) e pelos fornecedores de serviços telefónicos, mas apenas os equipamentos que cumprem determinados requisitos e certificações.
E os equipamentos de empresas chinesas bem conhecidas, como a Huawei e a ZTE, entram nesta zona de risco (embora nenhum documento mencione o nome de qualquer país ou empresa). No contexto do equipamento de empresas chinesas, as principais preocupações prendem-se com os aspectos de segurança das cadeias de abastecimento e com os riscos da utilização de equipamento e tecnologia de países fora da UE, incluindo a China. Esta situação põe em causa todos os equipamentos já instalados destas marcas chinesas. As empresas consideradas críticas e importantes terão sete anos para remover esse hardware ou software. No entanto, os operadores de telecomunicações cujas receitas anuais das actividades de telecomunicações no exercício financeiro anterior tenham excedido 10 milhões de PLN terão de o fazer no prazo de quatro anos - uma disposição que se aplica ao equipamento responsável por serviços críticos para a segurança da rede. O limiar de receitas de 10 milhões de PLN já foi ultrapassado por muitos ISP locais de média dimensão, o que significa que não são apenas as maiores empresas de telecomunicações, como as que estão a construir redes 5G, que estarão sujeitas ao regime.

Como é sabido, os EUA proibiram a utilização de equipamentos de rede de empresas chinesas como a Huawei e a ZTE, devido a medidas de segurança nacional. A Comissão Federal de Comunicações dos EUA (FCC) decidiu proibir o licenciamento e a utilização dos equipamentos destas empresas por serem considerados uma ameaça à segurança nacional. A medida faz parte da implementação do SAFE Equipment Act de 2021, que tem como objetivo prevenir os riscos associados à utilização de equipamentos estrangeiros em infra-estruturas críticas(Federal Communications Commission).

Ao abrigo da nova legislação, as empresas norte-americanas têm de se desfazer de equipamento de empresas chinesas que tenha sido considerado uma ameaça à segurança nacional. As medidas incluem a substituição do equipamento existente e a proibição da sua posterior aquisição e utilização(Orrick).

Devido à situação política instável no mundo, em que a China está mais inclinada para o Leste, muitos países vêem as suas tecnologias como uma ameaça da China, pelo que tentam limitar-se a utilizar equipamento chinês em infra-estruturas críticas (por receio de espionagem ou sabotagem).

A Espanha já concedeu mais de 500 milhões de euros de ajuda para o desenvolvimento de redes 5G nas zonas rurais, mas afirmou que alguns fornecedores consideradosde "alto risco" serão excluídos do programa. A filial espanhola da Huawei deu início a um chamado. A filial espanhola da Huawei iniciou um "recurso administrativo", alegando que a exclusão de fornecedores individuais é "desproporcionada", "politicamente motivada" e simplesmente ilegal. Desde junho de 2023. A Comissão Europeia tem vindo a pressionar os países da UE, encorajando-os a abandonar os equipamentos da Huawei e da ZTE. Ao mesmo tempo, a Alemanha e, em menor grau, a Espanha dependem mais do que outros países da UE de equipamento de certas marcas chinesas, ao ponto de a UE considerar este facto "inaceitável". A Alemanha já está a considerar a possibilidade de abandonar esse equipamento e a embaixada chinesa declarou que a RPC "não ficará indiferente" a essas medidas hostis.

Em Espanha, 38% das redes 5G em dezembro de 2022 são construídas com equipamento Huawei, e na Alemanha estamos a falar de 59% (17% em França e 51% em Itália). Sabe-se que a Huawei já interpôs um recurso em Portugal contra uma decisão que proíbe os operadores locais de utilizarem o equipamento da empresa para construir redes 5G.

O que significam todos estes chavões da moda sobre cibersegurança para o utilizador médio da Internet e o que vai mudar para ele? Sim, basicamente nada vai mudar, pois todas estas leis e alterações dependem dos fornecedores de Internet e de comunicações. No entanto, se a lei entrar em vigor e o seu fornecedor não mudar o equipamento ou simplesmente não estiver preparado para isso, é provável que a sua Internet doméstica desapareça, a sua Internet móvel desapareça e a sua ligação 5G seja interrompida. E o pior é que o utilizador comum não poderá mudar nada, terá apenas de esperar que o operador tome as medidas necessárias para resolver rapidamente a situação atual. E se o operador não dispuser de equipamento de substituição, a interrupção das comunicações e da Internet pode durar não só algumas horas, mas também vários dias ou mesmo meses.

A diretiva NIS2 da União Europeia estabelece objectivos ambiciosos para melhorar a cibersegurança, alargando o âmbito das organizações abrangidas e estabelecendo requisitos rigorosos em matéria de segurança e de comunicação de informações. Uma consequência importante destas medidas é o reforço dos requisitos aplicáveis aos equipamentos utilizados pelos FSI e pelas empresas de telecomunicações, o que é particularmente significativo à luz das actuais restrições impostas aos equipamentos de fabricantes chineses como a Huawei e a ZTE. Estas alterações poderão ter um impacto significativo na estrutura do mercado das telecomunicações na Europa, acelerando a atualização do equipamento de rede e aumentando o nível geral de ciber-resiliência em indústrias estrategicamente importantes. Ao mesmo tempo, a diretiva reforça a posição da União Europeia na arena mundial da cibersegurança, proporcionando um controlo mais rigoroso sobre as fontes de potenciais ameaças e alinhando os requisitos de segurança com as principais normas mundiais.
A diretiva pode também ter um impacto significativo no equipamento dos FSI no mercado polaco das telecomunicações. Os ISP e os operadores de telecomunicações esperam que o Ministro da Digitalização não tente estigmatizar as empresas chinesas como fornecedores de alto risco e que os regulamentos sejam apenas uma ameaça. No entanto, vale sempre a pena ter em conta que a política e a situação internacional podem levar o governo polaco a agir ainda mais rapidamente e a tomar decisões concretas.

Autor:
Aliaksandr Roslikau