9 DE MAIO DE 2018

53

De salientar que o governo decidiu isentar deste regime as empresas que operam na infraestrutura dos

mercados financeiros e bancários, sob o argumento de que já existem «atos jurídicos da UE» que estabelecem

requisitos específicos para o setor quanto à segurança da rede e dos sistemas de informação das empresas ou

à notificação de incidentes de cibersegurança. As empresas do setor devem continuar a cumprir os requisitos-

padrão estabelecidos pelo Bank of England e/ou pela Financial Conduct Authority.

Resulta ainda da consulta efetuada a intenção do governo de atualizar a legislação nacional, codificando os

requisitos de reporte de incidentes de modo a harmonizar a regulamentação de segurança cibernética das

infraestruturas do mercado financeiro a regulamentações equivalentes que serão introduzidas nos restantes

setores na sequência da transposição da Diretiva (UE) 2016/1148.

3) O National Cyber Security Centre (NCSC) que aprovou um guia para os operadores de serviços essenciais

sobre o tipo de medidas de segurança a implementar, ficou com as suas funções circunscritas à segurança

cibernética.

4) O governo pretende também simplificar o regime de resposta a incidentes, separar os procedimentos de

resposta a incidentes dos procedimentos de notificação de incidentes, e o regime de sanções de modo a reduzir

o risco de coimas superiores a 17 milhões de libras. O sistema sancionatório só servirá como dissuasor e não

serão emitidas multas quando os operadores de serviços essenciais tiverem avaliado adequadamente os riscos,

adotado as medidas de segurança apropriadas e articulado com os reguladores, mas ainda assim tenham sofrido

um ataque.

O governo reconhece a possibilidade dos operadores de serviços essenciais que violem as regras

decorrentes da aplicação da Diretiva possam, também, violar simultaneamente outra legislação e admitiu que

pudessem receber mais do que uma multa oriunda de diferentes reguladores em relação à violação da mesma

regra de segurança. O princípio é o de que os operadores de serviços essenciais e os fornecedores de serviços

digitais não devam ser condenados duplamente pela mesma infração, mas admite que possa haver uma razão

para serem sancionados, pelo mesmo evento, sob regimes diferentes porque as sanções podem estar

relacionadas com diferentes aspetos da infração e a impactos diferentes.

Admitindo que não é possível evitar essa dupla penalização sem prejudicar a aplicação da Diretiva, a opção

política foi a de encorajar as autoridades competentes a trabalhar com os reguladores no caso de haver

diferentes regimes aplicáveis a fim de determinar a abordagem a ser adotada. Tal não limitará a capacidade da

autoridade competente em aplicar a sanção adequada às circunstâncias, mas incentivará a consideração de

outros regimes.

Destacam-se conexos com a matéria em apreço, o Data Protection Act, e os Privacy and Electronic

Communications Regulations. Existem ainda bastantes guias práticos, situados num plano regulamentar, com

orientações específicas sobre a matéria, tanto para organizações como para cidadãos os quais podem ser

encontrados no portal do Information Commisioner Office.

Pertinente para consulta, o National Cyber Security Strategy 2016-2020 tem também uma versão oficial em

língua portuguesa.

Organizações internacionais

CONSELHO DA EUROPA

Concluída e aprovada em novembro de 2001, a Convenção sobre o Cibercrime foi apresentada para

assinatura e ratificação aos 47 Estados-membros, bem como a outros Estados presentes com o estatuto de

observador, entre os quais Estados Unidos da América, Japão, África do Sul e Canadá. Foi ainda acrescentado

um protocolo adicional em janeiro de 2003 com o intuito de abordar as questões de natureza racista e xenófobas

no ciberespaço: Additional Protocol to the Convention on Cybercrime, concerning the criminalisation of acts of a

racist and xenophobic nature committed through computer systems.

Até à data só não foi assinada pela Federação Russa, não tendo ainda sido ratificada pela Irlanda, Suécia e

África do Sul. Esta Convenção entrou em vigor a dia 1 de julho de 2004 após ser ratificada por 5 países, dos

quais 3 são Estados-membros do Conselho de Europa.