Tribunal de Contas da União Europeia aponta falhas na cooperação de cibersegurança entre países do bloco

O Tribunal de Contas da União Europeia (TCUE) alertou que a cooperação entre os países do bloco para a detecção de incidentes de cibersegurança apresenta eficácia apenas parcial. Embora existam avanços, o órgão identificou que a plena capacidade das redes e mecanismos comunitários é prejudicada por falhas na notificação de eventos, atrasos na implementação de medidas e um intercâmbio limitado de informações.

Barreiras na troca de informações e soberania nacional

A principal dificuldade reside no fato de que a segurança nacional é competência exclusiva de cada Estado membro, conforme estabelecido no Tratado da União Europeia. Nesse cenário, a UE atua apenas no apoio e na coordenação, enquanto a responsabilidade primária de prevenir e responder a crises cibernéticas recai sobre as nações individualmente.

Essa estrutura gera gargalos críticos, pois o compartilhamento de dados sobre ataques em escala europeia depende das normas internas de cada país. Se um Estado considerar que a divulgação de um incidente em uma entidade crítica compromete sua segurança ou que a informação é classificada, não há obrigatoriedade de compartilhamento.

As redes CSIRTs Network (equipes de resposta a incidentes de segurança informática) e EU-CyCLONe (organizações de ligação para crises de cibersegurança) confirmaram que a troca de dados está estritamente limitada pelas legislações nacionais. Somam-se a isso as dificuldades em definir se um ataque possui repercussões transfronteiriças e a demora na transposição da Diretiva NIS 2.

Recomendações e prazos de adequação

Para mitigar essas limitações e aumentar a resiliência cibernética da região, o TCUE recomendou que a Comissão, com suporte da ENISA, realize, via Grupo de Cooperação sobre Segurança de Redes e Sistemas de Informação, um estudo aprofundado sobre as restrições de segurança nacional.

O objetivo é encontrar soluções técnicas e jurídicas que ampliem o fluxo de informações sem ferir a soberania dos Estados. O prazo para a aplicação dessas melhorias é 2027. O Tribunal ressaltou que sua análise foca na eficácia dos sistemas de intercâmbio, sem vincular incidentes a fornecedores ou agentes específicos da cadeia de suprimentos.

Gestão de recursos e a Reserva de Cibersegurança

O relatório também trouxe advertências sobre a Reserva de Cibersegurança da UE, ferramenta criada para auxiliar os países na resposta a incidentes graves e na recuperação posterior. O TCUE alertou para o risco de que esse recurso seja utilizado predominantemente para a preparação, desviando-se de sua finalidade principal de resposta a crises.

No âmbito financeiro, o órgão avaliou o Programa Europa Digital (DIGITAL). Do orçamento total de 8,1 bilhões de euros, 1,4 bilhão de euros são destinados ao reforço da cibersegurança. Apesar de os projetos estarem alinhados a objetivos relevantes, o Tribunal apontou a existência de atrasos, dificuldades operacionais e falhas no monitoramento do desempenho dessas ações.