O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.

Criptografia pós-quântica: roteiro para a execução coordenada da transição 

Estratégia da UE para a União da Segurança
Estratégia europeia em matéria de segurança económica
Medidas destinadas a garantir um elevado nível comum de cibersegurança na União
Medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União
Programa Década Digital para 2030
Rede de CSIRT, de inglês, Competent authorities or the computer security incident response teams (‘CSIRTs’)

(1) Recomendação (UE) 2024/1101 da Comissão, de 11 de abril de 2024, sobre um roteiro para a execução coordenada da transição para a criptografia pós-quântica [C/2024/2393]. JO L, 2024/1101, 12.4.2024, p. 1-4.

RECOMENDAÇÃO (UE) 2024/1101 DA COMISSÃO

de 11 de abril de 2024

sobre um roteiro para a execução coordenada da transição para a criptografia pós-quântica

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 292.º,

Tendo em conta a Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2),

Considerando o seguinte:

(1) A salvaguarda dos dados e a proteção das comunicações sensíveis são vitais para a sociedade, a economia, a segurança e a prosperidade da União. A cibersegurança reveste-se de importância estratégica para a construção da «Uma Europa Preparada para a Era Digital» e constitui um dos principais objetivos do Programa Década Digital para 2030.

(2) Tanto a Estratégia da UE para a União da Segurança como a Estratégia de Cibersegurança da UE destacam a cifragem como tecnologia fulcral para alcançar a resiliência e a soberania tecnológica e para reforçar a capacidade operacional de prevenção de ciberataques. Com efeito, a cifragem é essencial para o mundo digital, garantindo a segurança de sistemas e transações digitais, protegendo uma série de direitos fundamentais e assegurando as capacidades de defesa. A corrida de vários países e entidades privadas ao desenvolvimento de capacidades de computação quântica e à criação de novas oportunidades potencialmente compensadoras constitui uma ameaça para as atuais normas criptográficas. Estas normas desempenham um papel central na garantia da confidencialidade e integridade dos dados, na proteção das comunicações sensíveis e no suporte de elementos essenciais da segurança das redes.

(3) O potencial futuro desenvolvimento de computadores quânticos capazes de quebrar a atual cifragem faz com que a Europa tenha de procurar garantias mais fortes, assegurando a proteção das comunicações sensíveis e a integridade a longo prazo das informações confidenciais, ou seja, procedendo à transição para a criptografia pós-quântica o mais rapidamente possível. Este novo tipo de criptografia eliminará as vulnerabilidades conhecidas da atual criptografia assimétrica e reforçará a sua resistência às ameaças colocadas pela utilização maliciosa dos computadores quânticos.

(4) Reconhecendo a potencial ameaça que a computação quântica representa para o atual sistema de cifragem com chave pública, a Comissão está a financiar a investigação e o desenvolvimento da criptografia pós-quântica há mais de uma década.

(5) Os Estados-Membros devem ponderar a migração das suas infraestruturas e serviços digitais para as administrações públicas e de outras infraestruturas críticas existentes para a criptografia pós-quântica o mais rapidamente possível, induzindo uma mudança fundamental nos algoritmos, protocolos e sistemas criptográficos. Conforme salientado no recente Livro Branco da Comissão intitulado «Como suprir as necessidades da Europa em matéria de infraestruturas digitais?», tal exige um esforço coordenado que envolve agências governamentais, organismos de normalização, partes interessadas do setor, investigadores e profissionais da cibersegurança.

(6) A presente recomendação da Comissão incentiva os Estados-Membros a desenvolverem uma estratégia abrangente para a adoção da criptografia pós-quântica, a fim de assegurar uma transição coordenada e sincronizada entre os diferentes Estados-Membros e os respetivos setores públicos. A estratégia deve definir objetivos, marcos e calendários claros que resultem na definição de um roteiro conjunto para a execução da transição para a criptografia pós-quântica. Tal deverá conduzir à implantação, em toda a União, de tecnologias de criptografia pós-quântica nos atuais sistemas da administração pública e infraestruturas críticas através de regimes híbridos que poderão combinar a criptografia pós-quântica com abordagens criptográficas existentes ou com a distribuição de chaves quânticas.

(7) A fim de assegurar uma transição eficaz para a criptografia pós-quântica, o roteiro para a execução coordenada da transição para a criptografia pós-quântica deve fornecer a lista de medidas a adotar pelos Estados-Membros, nomeadamente a consideração de algoritmos de criptografia pós-quântica, incluindo um calendário claro para alcançar as diferentes fases e marcos, tendo em conta as suas interdependências, bem como as partes interessadas envolvidas.

(8) Para uma aplicação harmonizada da criptografia pós-quântica em toda a União, é essencial desenvolver normas europeias comuns, assim como um quadro para identificar e selecionar os algoritmos de criptografia pós-quântica a implantar nas redes e serviços digitais na União. Graças à participação ativa de investigadores financiados pela UE, a União já está a apoiar o desenvolvimento e o ensaio de algoritmos de criptografia pós-quântica que poderão eventualmente constituir as normas em processos internacionais de seleção de criptografia pós-quântica. A presente recomendação da Comissão incentiva os Estados-Membros a trabalharem a nível da UE, em estreita colaboração com os peritos em cibersegurança da União, com o grupo de cooperação SRI e com a Agência da União Europeia para a Cibersegurança (ENISA), na avaliação e seleção dos algoritmos de criptografia pós-quântica adequados e na sua adoção como normas da UE, tendo em vista uma aplicação harmonizada em toda a União.

(9) Os Estados-Membros e a União devem continuar a cooperar ativamente com os seus parceiros estratégicos internacionais no desenvolvimento de normas internacionais em matéria de criptografia pós-quântica, a fim de assegurar a interoperabilidade das comunicações no futuro.

(10) Uma vez acordado pelos Estados-Membros, o roteiro para a execução coordenada da transição para a criptografia pós-quântica deve servir de modelo para a definição dos planos nacionais de transição para a criptografia pós-quântica ou, caso já existam planos nacionais, para o seu alinhamento com o roteiro conjunto.

(11) A fim de garantir a realização de progressos no que se refere aos objetivos da presente recomendação, a Comissão tenciona acompanhar de perto as medidas tomadas em resposta à mesma. Por conseguinte, para assegurar esse acompanhamento, os Estados-Membros são incentivados a apresentar à Comissão, a pedido desta, todas as informações pertinentes que, razoavelmente, se possa esperar que forneçam. Com base nas informações assim obtidas e em todas as outras informações disponíveis, a Comissão avaliará os efeitos da presente recomendação e determinará se são necessárias medidas adicionais, incluindo propor atos do direito da União com caráter vinculativo.

(12) A presente recomendação sobre criptografia pós-quântica baseia-se nos objetivos estratégicos estabelecidos na Estratégia de Cibersegurança da UE para melhorar a segurança e a resiliência de extremo a extremo das infraestruturas e serviços digitais da União para as administrações públicas e de outras infraestruturas críticas; serve os objetivos do mercado único digital e da Comunicação Conjunta relativa à Estratégia Europeia em matéria de Segurança Económica (10919/23); e tem em conta os riscos para a segurança física e a cibersegurança das infraestruturas críticas, bem como os identificados no âmbito da avaliação dos riscos recentemente realizada para as tecnologias quânticas. Respeita os direitos fundamentais e observa os princípios reconhecidos, nomeadamente, na Carta dos Direitos Fundamentais da UE (artigos 7.º, 8.º e 11.º) e na Convenção Europeia dos Direitos Humanos (artigos 8.º e 10.º), que implicam a imposição de obrigações positivas aos governos de forma a minimizar o risco de acesso e controlo ilegais da informação, o que requer a salvaguarda e a promoção das tecnologias criptográficas,

ADOTOU A PRESENTE RECOMENDAÇÃO:

1. ÂMBITO DE APLICAÇÃO E OBJETIVOS

A presente recomendação tem por objetivo promover a transição para a criptografia pós-quântica, a fim de assegurar a proteção das infraestruturas e serviços digitais para as administrações públicas e de outras infraestruturas críticas na União, permitindo aos Estados-Membros:

(1) Definir um «roteiro para a execução coordenada da transição para a criptografia pós-quântica» destinado a sincronizar os esforços envidados pelos Estados-Membros para conceber e executar planos nacionais de transição, assegurando simultaneamente a interoperabilidade transfronteiras;

(2) Apoiar a avaliação e a seleção dos algoritmos de criptografia pós-quântica da UE pertinentes com a ajuda de peritos em cibersegurança, bem como a adoção subsequente desses algoritmos como normas da União a aplicar em todo o território no âmbito do roteiro para a execução coordenada da transição para a criptografia pós-quântica.

(3) Tomar medidas adequadas e proporcionadas para preparar esta transição.

2. ROTEIRO PARA A EXECUÇÃO COORDENADA DA TRANSIÇÃO PARA A CRIPTOGRAFIA PÓS-QUÂNTICA

(4) A presente recomendação incentiva os Estados-Membros a coordenarem as suas ações a nível da União através de um fórum específico dos Estados-Membros. Para o efeito, a Comissão recomenda que os Estados-Membros tirem partido das estruturas no domínio da cibersegurança existentes a nível da União e criem um subgrupo do grupo de cooperação SRI. Esse subgrupo poderá incluir representantes das agências nacionais de segurança e peritos em cibersegurança, nomeadamente das autoridades nacionais de cibersegurança e da ENISA. O subgrupo pode convidar representantes de partes interessadas a participarem nos seus trabalhos, nomeadamente representantes de órgãos consultivos de organizações públicas, da indústria, de prestadores de serviços e de operadores, com vista a recolher contributos e trocar informações sobre a transição de infraestruturas e serviços digitais para as administrações públicas e de outras infraestruturas críticas para a criptografia pós-quântica em diferentes setores, a coordenar os seus esforços a nível nacional e a desenvolver o roteiro para a execução coordenada da transição para a criptografia pós-quântica, em conformidade com as regras de concorrência da União e a legislação da União em matéria de proteção de dados.

(5) Este subgrupo para a criptografia pós-quântica deve ponderar medidas adequadas, eficazes e proporcionadas destinadas a definir e coordenar o desenvolvimento do roteiro para a execução coordenada da transição para a criptografia pós-quântica. O subgrupo para a criptografia pós-quântica é incentivado a encetar debates com outros organismos pertinentes, como a Europol, a OTAN ou outros, a fim de evitar a duplicação de esforços e de assegurar uma abordagem coesa para fazer face aos desafios emergentes.

(6) Para tal, pouco depois da publicação da presente recomendação, os Estados-Membros serão convidados a criar um subgrupo para a criptografia pós-quântica nos termos da Decisão de Execução (UE) 2017/179 da Comissão e a nomear peritos representantes que devem trabalhar em estreita cooperação com a Comissão e ser incumbidos de definir e desenvolver o roteiro para a execução coordenada da transição para a criptografia pós-quântica.

(7) O roteiro para a execução coordenada da transição para a criptografia pós-quântica deve estar disponível dois anos após a publicação da presente recomendação; findo este período, cada Estado-Membro procederá ao desenvolvimento e à adaptação dos planos de transição para a criptografia pós-quântica de acordo com os princípios estabelecidos no referido roteiro.

3. AÇÕES A NÍVEL DA UNIÃO

(8) O trabalho global será acompanhado e avaliado periodicamente pela Comissão, em cooperação com os peritos representantes dos Estados-Membros.

(9) Para o efeito, a Comissão pode solicitar aos representantes dos Estados-Membros que apresentem todas as informações pertinentes, que, razoavelmente, se possa esperar que forneçam, a fim de assegurar o acompanhamento dos progressos alcançados na elaboração do roteiro para a execução coordenada da transição para a criptografia pós-quântica e a eficácia dessas medidas.

(10) Com base nessas e em todas as outras informações disponíveis, a Comissão avaliará as medidas delineadas e o funcionamento da rede de representantes dos Estados-Membros e determinará se são necessárias ações adicionais, incluindo propor atos do direito da União com caráter vinculativo.

4. REVISÃO

(11) Os Estados-Membros devem cooperar com a Comissão a fim de avaliarem os efeitos da presente recomendação, o mais tardar três anos após a sua publicação, com vista a determinar as vias adequadas a seguir. Esta avaliação deve ter em conta os resultados dos trabalhos do subgrupo para a criptografia pós-quântica, composto pelos peritos nacionais.

Feito em Bruxelas, em 11 de abril de 2024.

Pela Comissão
Thierry BRETON
Membro da Comissão

ELI: http://data.europa.eu/eli/reco/2024/1101/oj
ISSN 1977-0774 (electronic edition)

(2) Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União. JO L 194 de 19.7.2016, p. 1-30: Artigo 11.º (Grupo de cooperação) - Artigo 12.º (Rede de CSIRT) «rede composta por representantes das CSIRT dos Estados-Membros e da CERT-UE».

► REVOGAÇÃO da Diretiva (UE) 2016/1148, de 6 de julho, pelo artigo 44.º da Diretiva (UE) 2022/2555, de 14 de dezembro, com efeitos a partir de 18 de outubro de 2024.

(3) Decisão de Execução (UE) 2017/179 da Comissão, de 1 de fevereiro de 2017, que estabelece as disposições processuais necessárias para o funcionamento do grupo de cooperação ao abrigo do artigo 11.º, n.º 5, da Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União [C/2017/0438]. JO L 28 de 2.2.2017, p. 73-77.

(4) COMUNICAÇÃO DA COMISSÃO AO PARLAMENTO EUROPEU, AO CONSELHO, AO COMITÉ ECONÓMICO E SOCIAL EUROPEU E AO COMITÉ DAS REGIÕES «Construir o futuro digital da Europa», COM(2020) 67 final, Bruxelas, 19.2.2020, p.

(5) COMUNICAÇÃO DA COMISSÃO sobre a Estratégia da UE para a União da Segurança, COM(2020) 605 final, Bruxelas, 24.7.2020, 29 p. 

(6) Decisão (UE) 2022/2481 do Parlamento Europeu e do Conselho de 14 de dezembro de 2022 que estabelece o programa Década Digital para 2030 (Texto relevante para efeitos do EEE) [PE/50/2022/REV/1]. JO L 323 de 19.12.2022, p. 4-26.

(7) Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho de 14 de dezembro de 2022 relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (Texto relevante para efeitos do EEE) [PE/32/2022/REV/2]. JO L 333 de 27.12.2022, p. 80-152.