Cybersecurity

2024: O ano mais marcado por eventos regulatórios de Cibersegurança?

Março 21, 2024

O ano de 2024 está a ser marcado por um conjunto de eventos relevantes, tanto a nível nacional como internacional, com um impacto muito significativo na Cibersegurança.

A par dos eventos que estão a moldar o panorama global, incluindo as eleições em Portugal, EUA, Rússia e Parlamento Europeu, entre outras, e dos conflitos geopolíticos entre Rússia-Ucrânia e Israel-Palestina, o desenvolvimento de tecnologias disruptivas, como a computação quântica e a Inteligência Artificial (IA), está a impulsionar a transformação digital, ao mesmo tempo que impactam a Cibersegurança.

Em termos de incidentes de segurança, no final do mês de janeiro de 2024 já tinha sido registado o maior incidente de perda de dados, denominado MADB (Mother of All Data Breaches)⁽¹⁾, para além de ciberataques no âmbito do conflito Rússia-Ucrânia⁽²⁾, um ciberataque em Wall Street⁽³⁾, e um ciberataque aos sistemas judiciais de Fulton County⁽⁴⁾, onde um dos candidatos às eleições dos EUA enfrenta casos legais.

Neste contexto, parece existir uma preocupação crescente e mais acelerada da supervisão e dos reguladores em endereçar os riscos de Cibersegurança. Segundo análise da PwC, identificámos mais de uma dezena de eventos de regulação relevantes no contexto da Cibersegurança para o presente ano, em diferentes setores e a diferentes níveis.

2024 aparenta ser, de facto e até à data, o ano mais marcado por eventos regulatórios no âmbito da Cibersegurança, possivelmente indicando uma tendência futura. Para as Organizações, torna-se imperativo desenvolver um conhecimento aprofundado do quadro regulatório aplicável e assegurar a conformidade de forma planeada e diligente.

Marco Tavares Pereira,Cybersecurity & Privacy Manager, PwC Portugal

Face ao exposto, e respondendo à questão do título do artigo, 2024 aparenta ser, de facto e até à data, o ano mais marcado por eventos regulatórios no âmbito da Cibersegurança, possivelmente indicando uma tendência futura.

Para as Organizações, torna-se imperativo desenvolver um conhecimento aprofundado do quadro regulatório aplicável e assegurar a conformidade de forma planeada e diligente.

Cada evento regulamentar deve ser alvo de uma análise detalhada e de uma compreensão adequada. No entanto, destacamos sete eventos que entendemos serem muito relevantes no contexto nacional e partilhamos, de forma resumida, o seu enquadramento e impacto durante o ano de 2024.

Eventos regulatórios com impacto muito significativo em Cibersegurança, em Portugal:

A transposição nacional da diretiva NIS2 tem prazo limite de 17-10-2024⁽⁵⁾. Esta diretiva vem substituir a diretiva NIS, alargando o âmbito de entidades abrangidas e os requisitos de segurança que devem ser cumpridos – para mais detalhes, consultar o artigo De NIS a NIS2 – a evolução da legislação europeia de cibersegurança.

Neste âmbito, será importante verificar também qual impacto regulatório desta transposição face ao Regime Jurídico do Ciberespaço (Decreto-Lei n.º 65 / 2021).

O Regime Jurídico do Ciberespaço prevê a definição de requisitos de segurança específicos para determinados setores, sendo que à data não existem publicações neste contexto.

Tal parece vir a alterar-se em 2024, estando atualmente em consulta pública uma proposta para emitir um regulamento que incida sobre as entidades da administração pública⁽⁶⁾.

O DORA visa fornecer um quadro de resiliência operacional digital e de Cibersegurança harmonizado, que emerge da necessidade de se estabelecer regras mínimas de segurança das redes e sistemas de informação com vista a mitigar os riscos que emergem da digitalização dos serviços financeiros.

O regulamento europeu DORA já se encontra em vigor e o prazo limite de conformidade para as entidades abrangidas é 17 de janeiro de 2025⁽⁷⁾.

O ano de 2024 está a ser marcado por esforços para atingir conformidade com o extenso pacote regulamentar, que inclui os RTS e ITS publicados a 17 de julho - a 6 meses da data limite de conformidade.

O CRA impõe um conjunto de requisitos de Cibersegurança para produtos de hardware e software com elementos digitais, incluindo regras harmonizadas para o lançamento dos produtos, um framework de requisitos de segurança para o planeamento, desenho, desenvolvimento e manutenção dos produtos e a obrigação de duty of care durante o seu ciclo de vida.

O CRA foi aprovado pelo Parlamento Europeu a 12 de março de 2024, estando pendente de adoção formal pelo Conselho, e é esperado que tenha um prazo para conformidade de 24 a 36 meses ⁽⁸⁾.

O AI Act é a primeira peça regulatória europeia sobre o uso de Inteligência Artificial na tecnologia, tendo como objetivo apoiar a inovação centrada no ser humano e na confiança, considerando a proteção da saúde, da segurança e dos direitos fundamentais contra os potenciais efeitos nocivos que os sistemas de AI possam trazer. O regulamento estabelece regras para a colocação de serviços de AI no mercado, proibições de práticas de AI, requisitos para os sistemas de AI, regras de transparência, regras para o acompanhamento do mercado e medidas de apoio à inovação⁽⁹⁾.

O AI Act foi adotado a 13 de junho de 2024, e em geral é aplicável a partir de 2 de agosto de 2026, contudo existem capítulos que serão aplicáveis a partir de 2 de fevereiro de 2025, 2 de agosto de 2025 e 2 de agosto de 2027.

Definido conforme previsto no Cybersecurity Act (CSA)⁽¹⁰⁾, e com base no Common Criteria (ISO/IEC 15408), o EUCC é um esquema de certificação que visa os produtos de IT incluindo componentes de hardware e software (por exemplo, firewalls ou Sistemas Operativos)⁽¹¹⁾.

Publicado em 31-01-2024, o EUCC vai marcar o ano para os fabricantes deste tipo de sistemas e para os clientes, na medida em que devem adaptar as suas equipas para interpretar o novo esquema de certificação e adaptar os processos de compra. Para os produtos enquadrados como críticos no âmbito do CRA, o EUCC poderá assumir-se como o esquema de certificação a considerar.

A SEC adotou novas regras de Cybersecurity Risk Management, Strategy, Governance and Incident Disclosure⁽¹²⁾, que irá impactar o processo de relato financeiro para as empresas supervisionadas.

O documento foi aprovado a 5 de setembro de 2023, e considera diversos prazos de conformidade previstos para 2024, incluindo a inclusão de forms com informação de Cibersegurança que devem ser divulgados pelo processo de relato financeiro referente a anos fiscais que terminem em dezembro de 2023, cujos relatórios serão disponibilizados em 2024.

^{Em conclusão, o ambiente regulatório de Cibersegurança em 2024 é caracterizado por uma complexidade e amplitude crescentes, tornando crucial a capacidade de antecipação e implementação de medidas para o cumprimento dos eventos regulatórios.}

A PwC está disponível para apoiar a sua Organização na compreensão do quadro regulatório aplicável, na avaliação do cumprimento com os seus requisitos, no desenho de um roadmap para atingir a conformidade e no apoio na implementação das medidas necessárias.

__
Marco Tavares Pereira
^{Cybersecurity & Privacy Manager, PwC Portugal}

^{Referências

(1) 26 Billion Records Released in “The mother of all breaches”

(2) Several Ukrainian state-run bodies report cyber attacks

(3) Wall Street fintech EquiLend offline after cyberattack

(4) Cyberattack hits Georgia county where Trump faces election interference charges

(5) Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022

(6) Aviso n.º 1517/2024, de 22 de janeiro

(7) The Digital Operational Resilience Act (DORA) - Regulation (EU) 2022/2554

(8) The European Cyber Resilience Act (CRA)

(9) https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A52021PC0206

(10) https://eur-lex.europa.eu/eli/reg/2019/881/oj

(11) Implementing Regulation on the adoption of a European Common Criteria-based cybersecurity certification scheme

(12) Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure}

Cybersecurity Risk Management Services

Sabia que a PwC foi nomeada Líder pela prestação deste tipo de serviços de Cibersegurança?

Leia a notícia aqui

Garanta a segurança digital da sua empresa

Com o apoio da PwC, proteja a sua empresa de intrusões e ameaças.

Entre em contacto

Contacte-nos

Marketing

Fale connosco, PwC Portugal

Tel: +351 213 599 000

Assurance Advisory Tax Indústrias Sala de imprensa Carreiras PwC em Portugal Contacte-nos

© 2015 - 2024 PwC. Todos os direitos reservados. "PwC" refere-se à rede de entidades que são membros da PricewaterhouseCoopers International Limited (PwCIL), cada uma das quais é uma entidade legal distinta e não atuam como agentes da PwCIL, nem das restantes entidades membros da network. A PwCIL não presta serviços a clientes. A PwCIL não assumirá qualquer responsabilidade perante terceiros por atos ou omissões praticados no exercício da atividade profissional das suas firmas membros, nem exerce qualquer controlo sobre, ou os vincula juridicamente. Nenhuma das entidades pertencentes à rede PwC exerce qualquer controlo sobre, nem vincula juridicamente as demais entidades no exercício da sua atividade profissional pelo que não poderão as mesmas ser responsabilizadas, a que título for, perante terceiros por atos ou omissões praticados no exercício das respetivas atividades profissionais.