Organismos da União Europeia apresentam graves lacunas em matéria de cibersegurança

A última análise do Índice Digital Empresarial revela que duas em cada três instituições europeias continuam a reprovar em higiene digital, apesar dos esforços legislativos empreendidos por Bruxelas para reforçar a resiliência face aos ciberataques.

Em 2022, o Tribunal de Contas Europeu alertou que a preparação das instituições, organismos e agências da União (EUIBA) não correspondia às crescentes ameaças que enfrentavam e solicitou à Comissão mais recursos e coordenação. Três anos depois, e com novas iniciativas comunitárias apresentadas no início de 2025 para melhorar a resiliência cibernética, o panorama pouco mudou. 67% dos organismos analisados obtiveram uma classificação D ou F, e nenhum atingiu os níveis A ou B.

O Índice Digital Empresarial (IBD) avaliou a postura de segurança online de 75 entidades europeias, atribuindo a cada uma uma nota de 0 a 100. A pontuação média de cibersegurança das instituições europeias situa-se em 71 em 100, o que o índice considera um risco elevado. 33% das entidades receberam um C (nível abaixo da média), 32% um D (risco elevado) e 35% um F (risco crítico).

As consequências destes resultados tornam-se evidentes ao analisar o histórico de incidentes. 96% das entidades com classificação F e 92% das D sofreram pelo menos uma violação de dados. Entre as que obtiveram um C, a proporção cai para 36%, um contraste que sublinha a relação direta entre falta de higiene e fugas.

O comportamento dos funcionários também faz a diferença. A reutilização de senhas comprometidas atinge 85% dos funcionários em organizações F, enquanto cai para 71% nas D e chega a apenas 8% nas C. Para os pesquisadores do índice, essa prática torna as violações um resultado previsível, em vez de um acidente isolado.

Os problemas não terminam nas credenciais. As deficiências técnicas (desde configurações SSL/TLS inseguras até infraestruturas de alojamento vulneráveis) afetam praticamente todos os organismos avaliados. A exposição à falsificação de e-mails, a fuga de credenciais corporativas e a existência de vulnerabilidades web críticas repetem-se com maior frequência nas entidades com pior classificação.

Os incidentes reais corroboram as estatísticas. Em 2024, o Parlamento Europeu notificou a invasão da sua plataforma de recrutamento PEOPLE, que expôs a documentação pessoal de mais de 8.000 funcionários e ex-funcionários. O acesso não autorizado permaneceu sem ser detetado durante meses e afetou arquivos suficientemente sensíveis para facilitar a usurpação de identidade.

A equipa responsável pelo IBD recolheu as informações através de varreduras personalizadas, localizadores de dispositivos conectados, bases de reputação de IP e domínios e registos de violações públicas. A avaliação centrou-se em sete dimensões: aplicação de patches, segurança de aplicações web, proteção de e-mail, reputação do sistema, infraestrutura de alojamento, configuração SSL/TLS e histórico de fugas.

Com estes dados em cima da mesa, a lacuna entre a regulamentação europeia e a prática diária continua a ser grande. Faltam medidas básicas, formação do pessoal e recursos destinados a colmatar vulnerabilidades conhecidas. Enquanto estas lacunas persistirem, o risco para as informações políticas, económicas e dos cidadãos geridas pelas instituições europeias continuará a ser elevado.