A proposta relatada pelo Expresso parte de um diagnóstico parcialmente correto, conduzindo, a meu ver, a uma solução institucional discutível. É correto reconhecer que as ameaças no ciberespaço têm uma dimensão crescente de segurança nacional, espionagem, interferência externa e atuação de Estados hostis. Daí não decorre, porém, que a autoridade nacional de cibersegurança deva ser integrada no Sistema de Informações da República Portuguesa (SIRP). Pelo contrário, existem argumentos fortes para preservar uma separação institucional entre entidades com responsabilidade na segurança e proteção do ciberespaço. Assim, têm-se a cibersegurança, as informações (Intelligence), a investigação criminal e a ciberdefesa, naquilo que era o G4, hoje transformado em G5 à luz da transposição da NIS2 para o ordenamento jurídico nacional, onde o reforço de mecanismos de coordenação entre estas funções é fundamental.

Por sua vez, o próprio artigo contém, de certa forma, o principal argumento contra a proposta apresentada. Isto porque refere que o CNCS trabalha com empresas privadas, Administração Pública e cidadãos e que, quando a natureza de um incidente o exige, existe já cooperação entre o Centro Nacional de Cibersegurança (CNCS), o Serviço de Informações de Segurança (SIS) e a Unidade Nacional de Combate ao Cibercrime e à Criminalidade Tecnológica (UNC3T) – da Polícia Judiciária (PJ). Desta forma, pode dizer-se que isto demonstra que o problema fundamental poderá não ser de tutela, mas de coordenação, partilha de informação e interoperabilidade institucional.

Assim, apresentam-se três argumentos para discussão:

1. A cibersegurança é uma função transversal de resiliência nacional, não uma função de intelligence

O CNCS tem uma missão substancialmente mais ampla do que a proteção do Estado contra espionagem, interferência externa ou ameaças à segurança nacional. A cibersegurança abrange a Administração Pública, as empresas, os operadores de serviços, o meio académico, os cidadãos – no fundo toda a sociedade civil.

Integrar o CNCS no SIRP significaria aproximar institucionalmente duas funções que devem cooperar intensamente, mas permanecer distintas:

Intelligence – identificar atores, intenções e ameaças.
Cibersegurança – prevenir, proteger, responder, recuperar e criar resiliência.

O facto de as ameaças no ciberespaço terem adquirido uma dimensão crescente de segurança nacional não significa que toda a cibersegurança deva ser transformada numa função de Intelligence. O princípio deve ser: mais intelligence para a cibersegurança, não a transformação da cibersegurança em intelligence.

2. A abordagem whole-of-society exige confiança, abertura e participação

A segurança do ciberespaço não pode ser assegurada exclusivamente pelo Estado. Essa visão estaticista não tem sustentação prática. A cibersegurança assenta muito nas empresas tecnológicas e depende da participação de outras áreas da sociedade, entre as ligadas às telecomunicações, à energia, à banca, às universidades, aos hospitais, aos municípios, aos operadores de infraestruturas críticas e aos cidadãos.

Como tal, o CNCS necessita de funcionar como uma entidade transversal e de confiança entre Estado e sociedade, como tem sido até aqui. A sua integração no SIRP poderia criar a perceção de que comunicar um incidente, uma vulnerabilidade ou informação técnica ao CNCS equivale a fornecer informação aos serviços de informações, levando inclusivamente à desconfiança das pessoas.

Assim, isso poderá afetar precisamente aquilo que é indispensável para uma estratégia whole-of-society: confiança, partilha voluntária de informação, cooperação público-privada e responsabilidade coletiva.

Além disso, uma Internet safe, secure, peaceful and open, conforme é defendido na sociedade ocidental (vejam-se os documentos da União Europeia, da NATO e da maioria dos países integrantes destas organizações), pressupõe que a segurança seja conciliada com abertura, inovação, direitos, confiança e livre utilização do espaço digital. Uma excessiva securitização institucional do ciberespaço pode comprometer de forma objetiva esse equilíbrio.

3. Portugal necessita de integração operacional, não de concentração orgânica

O problema identificado pelo SIRP é legítimo. Portugal necessita de melhor cyber situational awareness, maior partilha de threat intelligence e mecanismos mais rápidos de resposta perante campanhas conduzidas por Estados ou outros atores sofisticados. Mas a resposta não passa, necessariamente, por ser colocar o CNCS dentro do SIRP.

O reforço de uma arquitetura de coordenação nacional, mantendo a preservação das especializações institucionais afigura-se como a solução mais adequada:

·       CNCS – cibersegurança e resiliência nacional

·       SIRP (SIS+SIED) – intelligence (informações) e contra informações

·       PJ (UNC3T) – investigação criminal

·       Defesa (COCib) – ciberdefesa

O problema em Portugal não é saber se o CNCS deve estar dentro do SIRP. É garantir que os vários intervenientes na segurança e proteção do Ciberespaço (CNCS, SIRP, UNC3T, COCib), juntamente com a área da Justiça e dos Negócios estrangeiros (Embaixador para a Ciberdiplomacia e Diplomacia Digital), funcionam como um verdadeiro ecossistema nacional de cibersegurança que integra as empresas, a Administração Pública, o meio académico, a investigação científica e a sociedade no geral.

Uma boa articulação entre as partes, contribui para a dissuasão no ciberespaço, naquilo que se pode designar como dissuasão situacional, uma vez que as situações a resolver são diversas, face aos objetivos, meios e técnicas do atacante.

No fundo:

Whole-of-society, e não whole-of-security. Integração operacional, e não concentração institucional.

Assim, a questão estratégica fundamental não é ”Quem deve controlar o CNCS?“, mas sim “Que arquitetura institucional permite a Portugal gerar simultaneamente segurança nacional, resiliência, confiança, cooperação e abertura no ciberespaço?”

Como último ponto acrescento: Quanto mais estratégico se torna o ciberespaço, maior deve ser a cooperação entre intelligence e cibersegurança. Mas também mais importante se torna preservar a distinção entre ambos. É essa separação com integração que permite simultaneamente aumentar a eficácia do Estado e manter a confiança da sociedade, situação alinhada com a Estratégia Digital Europeia.

Sem que tal se consiga, a cibersegurança torna-se opaca e os cidadãos deixam de acreditar e perdem confiança – como diz o povo, que é sábio, “longe da vista, longe do coração”.