A NIS2 nasce da necessidade de reforçar a resiliência das infraestruturas críticas europeias perante um crescimento exponencial de incidentes de cibersegurança que revelam uma realidade incontornável: o ciberespaço é hoje um campo de risco sistémico, com impacto direto na economia, na administração pública e até na segurança nacional.
O Governo português parece determinado em responder a este desafio com celeridade. A nova lei de autorização legislativa concede 180 dias para aprovar o decreto-lei que concretizará a transposição da diretiva. O Governo argumenta que a urgência justifica o decreto-lei, contudo, esta opção tem levantado críticas da oposição que defende que uma matéria desta natureza merecia debate parlamentar pleno. No entanto, é justo reconhecer que o processo contou com consulta pública prévia e contributos de múltiplas entidades do setor. Adicionalmente, o Governo argumenta que optou por legislar por decreto-lei, justificando-se com os prazos impostos pela União Europeia para a transposição da Diretiva NIS2, uma decisão que privilegia a rapidez, apesar de levantar questões sobre o equilíbrio entre eficiência e transparência legislativa.
Também um dos aspetos mais inovadores deste regime, e também um dos mais debatidos, é a proteção dos chamados “ethical hackers”. A proposta governamental admite que quem aceda a sistemas informáticos com intenção de boa-fé, apenas para identificar vulnerabilidades e reportá-las às autoridades, possa ficar isento de responsabilidade penal. É uma mudança significativa na Lei do Cibercrime, que até agora não distinguia entre intrusão maliciosa da legítima.
Embora alguns especialistas alertem que a nova lei, ao abrir espaço para o ethical hacking, possa criar zonas cinzentas na aplicação do direito penal e dificuldades na aferição da boa-fé, a verdade é que, a cibersegurança moderna é, inevitavelmente, colaborativa. Nenhum sistema é totalmente seguro e, quanto mais cedo forem identificadas as suas vulnerabilidades, ainda que por via externa, menor será o risco de dano e maior será o ganho de resiliência coletiva.
Em termos políticos, o posicionamento do Governo português revela uma aposta clara numa abordagem centralizadora e regulatória da cibersegurança. Pretende reforçar a autoridade do Estado, através do CNCS, e impor padrões mínimos de proteção em todos os setores críticos, inclusive, nas organizações públicas e privadas. Para muitas empresas, sobretudo pequenas e médias, tal regime exigirá um salto significativo em matéria de maturidade digital e de investimento em segurança. Trata-se, sem dúvida, de uma ambição legítima que deve ser equilibrada com o respeito pelos direitos fundamentais, a privacidade e sobretudo, a liberdade digital.
Este conteúdo foi produzido pela VisionWare.
