UE propõe lei para cibersegurança no comércio de TICs

A Comissão Europeia apresentou uma proposta de lei para cibersegurança no comércio com foco na proteção de consumidores, fabricantes e desenvolvedores de softwares, equipamentos de informática e telecomunicações. Caso o projeto avance, esta será a primeira legislação para este segmento a ser adotada por toda a União Europeia.

O texto, que vem sendo chamado de Lei de Resiliência Cibernética, exige a elaboração de uma “documentação técnica” antes do produto ser comercializado, contendo informações como processos de tratamento de vulnerabilidades e versões de software que afetem a conformidade com os requisitos essenciais. Este detalhamento será usado para comprovar que a fabricação está de acordo com a lei e deve ficar disponível para consulta e fiscalização por pelo menos dez anos após o lançamento no mercado.

O projeto também prevê que as instruções de segurança aos usuários sejam feitas de forma “compreensível, inteligível e legível”. Além disso, deve haver monitoramentos da segurança ao longo da vida útil recomendada do produto ou, caso este prazo não esteja especificado, por pelo menos cinco anos.

O descumprimento das regras de cibersegurança no comércio implica na aplicação de multa em valores que podem chegar a até 2,5% do faturamento anual global da empresa em desacordo – este percentual também pode ser de 1%, de forma cumulativa, se comprovado o envio de informações “incorretas, incompletas ou enganosas” a organismos de fiscalização.

Classificação

A Comissão propõe um mecanismo de classificação do nível de “risco de segurança cibernética”, divididos em:

Classe I, de menor risco, incluindo:

Software de sistemas de gestão de identidade e de acessos privilegiados;
Navegadores autônomos e incorporados;
Gerenciadores de senhas;
Programa que monitora software malicioso;
Produtos com elementos digitais com função de rede privada virtual (VPN);
Sistemas de gestão de redes;
Ferramentas de gerenciamento de configuração de rede;
Sistemas de monitoramento de tráfego de rede;
Gestão de recursos de rede;
Sistemas de gerenciamento de informações e eventos de segurança (SIEM);
Gerenciamento de atualização/patch, incluindo gerenciadores de inicialização;
Sistemas de gerenciamento de configuração de aplicativos;
Software de acesso/compartilhamento remoto e
Interfaces de rede física;

Classe II, de maior risco, fazem parte:

Sistemas operacionais para servidores, desktops e dispositivos móveis;
Infraestrutura de chave pública e emissores de certificados digitais;
Microprocessadores de uso geral;
Roteadores, modems destinados à conexão com a internet e switches, destinados
para uso industrial;
Módulos de Segurança de Hardware (HSMs);
Criptoprocessadores;
Leitores de smartcards e tokens;
Sistemas de Automação e Controle Industrial (IACS)
Dispositivos industriais de Internet das Coisas e
Componentes de sensores e atuadores de robôs e controladores de robôs.

Veja a lista completa neste link.

Se o produto for classificado como produto crítico da classe I, será exigido um relatório de avaliação da segurança cibernética feito pelo fabricante, em conformidade com o Regulamento (UE) 2019/881, já em vigor, ou ser submetido a uma avaliação por terceiro caso ele não possua. Já quanto aos itens Classe II, devem sempre envolver uma avaliação de fora da empresa.

Fiscalização da cibersegurança no comércio

A proposta atribui a responsabilidade de fiscalização à Agência da União Europeia para a Cibersegurança (Enisa, na sigla em inglês). É a ela que os fabricantes devem notificar casos de vulnerabilidade.

“A notificação deve incluir detalhes sobre essa vulnerabilidade e, quando aplicável, quaisquer medidas corretivas ou mitigadoras tomadas”, prevê a lei.

Com base nas notificações recebidas, a Enisa deve preparar um relatório técnico bienal sobre as tendências emergentes em matéria de cibersegurança, que vai auxiliar o acompanhamento das medidas pela Comissão.

O texto, divulgado na última quinta-feira, 19, será analisado pelo Parlamento Europeu e o Conselho da UE. Se for aprovado, terá dois anos para entrar em vigor.