UE intensifica segurança cibernética para dispositivos inteligentes com novos regulamentos
A Europa está a compreender que a ameaça da cibersegurança é um problema que não pode resolver a partir de Bruxelas. Por isso, e passando o bastão para empresas e fabricantes, lançou no ano passado a Lei de Resiliência Cibernética, que um ano e pouco depois, traz as primeiras regulamentações fundamentais que qualquer empresa que queira vender em nosso território deve seguir. Tudo, obviamente, impulsionado pela ciberespionagem massiva apoiada pela IA que a China e os EUA têm vindo a fazer há um ano e meio. Esta é a Diretiva NIS2 da Europa.
À luz da natureza global da ameaça representada pela espionagem cibernética, bem como da dificuldade inerente em salvaguardar a privacidade e a segurança individuais, tornou-se cada vez mais claro que a responsabilidade deve recair sobre as empresas para garantir a segurança cibernética dos seus respectivos produtos e serviços.. Consequentemente, esta mudança de responsabilidade resultou numa espécie de impasse dentro da indústria.
A Europa disse o suficiente após ataques de hackers a empresas e governos: não haverá"resgates"
Os esforços recentes destinados a restringir a disseminação forçada de informações ou a sua venda, bem como o acesso não autorizado a dispositivos e redes através de vários meios, registaram progressos significativos. Os Estados Unidos mantêm uma posição contra a negociação com terroristas, o que é razoável, uma vez que as nações europeias pretendem adoptar esta abordagem quando lidam com hackers e grupos cibernéticos criminosos.
A Lei de Resiliência Cibernética, que é acompanhada pela Lei Geral de Segurança Cibernética, aborda quatro pontos principais onde a Europa é fraca:
-Um nível insuficiente de resiliência cibernética das empresas que operam na UE. -Resiliência inconsistente entre Estados-Membros e setores. -Entendimento comum insuficiente das principais ameaças e desafios entre os Estados-Membros. -Falta de resposta conjunta às crises.
A questão em questão diz respeito às diversas metodologias utilizadas pelos 27 países constituintes na abordagem de um problema específico. Consequentemente, existe uma inclinação geral entre estas nações para renunciar à sua autonomia individual e estabelecer um sistema federal unificado análogo ao dos Estados Unidos da América.
Esta é a Diretiva NIS2, o complemento da legislação da UE para segurança cibernética
NIS ou Redes Nacionais e Sistemas de Informação, por sua sigla em inglês, anda de mãos dadas com SRI. Na verdade, é complementar. Em ambos os casos, tanto o NIS como o SRI estão na sua segunda versão, ou seja, a Diretiva NIS2 e SRI2 , o que implicou os seguintes desenvolvimentos segundo Bruxelas:
-
Com base na estratégia SRI1 sobre a segurança das redes e dos sistemas de informação, a fim de alcançar um elevado nível de preparação dos Estados-Membros, a Diretiva SRI2 exige que os Estados-Membros adotem uma estratégia nacional de cibersegurança.
-
Os Estados-Membros também são obrigados a d designar equipas nacionais de resposta a incidentes de cibersegurança (CSIRT), responsáveis pela gestão de riscos e incidentes, uma autoridade nacional competente em matéria de cibersegurança e um ponto único de contacto (SPOC).
-
O SPOC deve desempenhar uma função de ligação para garantir a cooperação transfronteiriça entre as autoridades dos Estados-Membros com as autoridades relevantes de outros Estados-Membros e, se for caso disso, com a Comissão e a ENISA, bem como para garantir cooperação intersetorial com outras autoridades competentes do seu Estado-Membro.
O que procura a Europa com este novo NIS2 e que setores abrange?
Como resultado da atenção significativa dada ao assunto pelas autoridades em Bruxelas, a versão atualizada do NIS2 introduziu um critério mais explícito para determinar quais indústrias devem ser consideradas infraestruturas críticas, tendo em conta tanto o seu nível de digitalização como de conectividade. Consequentemente, a antiga distinção entre prestadores de serviços essenciais e digitais foi eliminada, uma vez que estes foram categorizados em dois grupos distintos.
-Entidades essenciais. -Entidades importantes.
À luz da sua nomeação para cargos cruciais, é digno de nota que estes nomes têm significado apesar das suas conotações humorísticas; no entanto, o aspecto crítico reside no facto de a cada um deles terem sido atribuídos quadros regulamentares distintos. A este respeito, a União Europeia delineou vários domínios críticos no âmbito da Diretiva Redes e Sistemas de Informação (SRI) 2, que abrange vários setores vitais.
-
Setores de alta criticidade: energia (eletricidade, aquecimento e resfriamento urbano, petróleo, gás e hidrogênio); transporte (aéreo, ferroviário, aquaviário e rodoviário); bancário ; infra-estruturas do mercado financeiro; saúde, incluindo a fabricação de produtos farmacêuticos, incluindo vacinas; água potável; água de esgoto; infraestrutura digital (pontos de troca de Internet; provedores de serviços DNS; registros de nomes de domínio de nível superior; provedores de serviços de computação em nuvem; provedores de serviços data centers; redes de entrega de conteúdo; serviço confiável provedores; provedores de redes públicas de comunicações eletrônicas e serviços de comunicações eletrônicas disponíveis ao público; Gerenciamento de Serviços TIC (provedores de serviços gerenciados e provedores de serviços gerenciados de segurança), administração pública e espaço.
-
Outros setores críticos: serviços postais e de entrega rápida; gestão de resíduos; produtos químicos; comida ; fabricação de dispositivos médicos, computadores e eletrônicos, máquinas e equipamentos, veículos automotores, reboques e semirreboques e outros equipamentos de transporte; provedores digitais (mercados on-line, mecanismos de pesquisa on-line e plataformas de serviços de mídia social) e organizações de pesquisa.
Portanto, todas as empresas que governam e trabalham nestes setores terão que avaliar elas próprias os riscos de cibersegurança nos seus produtos e fornecer declarações de conformidade, bem como tomar as medidas necessárias. medidas adequadas para resolver problemas causados na vida útil dos referidos produtos.
Ou, por outro lado, se o produto fosse intangível no tempo e na forma, por pelo menos 5 anos. Como podemos ver, a Europa quer atacar o cibercrime dos fabricantes com a Diretiva NIS2, que têm de assumir o comando ou enfrentar multas de milhares de milhões de dólares, além de reparar os seus produtos em caso de falhas.
A questão é: Isto significará produtos ou serviços mais caros? A cibersegurança tem um custo crescente e é de esperar que estes se reflictam nos preços finais; no entanto, a Comissão, nem as directivas, nada disseram obviamente sobre isto.
*️⃣ Link da fonte: