Debate no Parlamento do Reino Unido

Parlamentares da Câmara dos Lordes do Reino Unido questionaram o governo por não incluir, no projeto de lei de Cibersegurança e Resiliência (Cyber Security and Resilience Bill), mecanismos que permitam aos reguladores punir pessoalmente executivos seniores quando o descumprimento das normas ocorrer com consentimento, convência ou negligência deliberada da alta gestão.

As Baronessas Kidron e Ludford defenderam emendas que proporiam a introdução de responsabilidade civil pessoal para executivos e transformariam a cibersegurança em uma responsabilidade formal do conselho de administração. Segundo Kidron, a intenção da emenda é alterar a cultura organizacional para garantir ações preventivas e evitar penalidades. Para ela, a mudança cultural começa no topo da hierarquia.

Argumentos favoráveis às emendas

Os defensores das emendas lembraram regras já vigentes no setor financeiro britânico, que preveem responsabilidade regulatória ou criminal para altos executivos em casos de falhas graves. O Lord Clement-Jones afirmou que, se um indivíduo recebe salário milionário para administrar um provedor de serviços essencial, ele precisa estar preparado para carregar a responsabilidade pessoal por sua segurança.

As emendas também aproximariam o Reino Unido da diretiva europeia NIS2, que possui mecanismos de responsabilização da alta administração, embora a responsabilidade pessoal não seja obrigatória na norma e os Estados membros a tenham implementado de formas distintas.

Defesa do governo

O governo britânico rejeitou as emendas e manteve seu plano original. A ministra de Cibersegurança, Baroness Lloyd of Effra, afirmou que é absolutamente correto que organizações prestadoras de serviços essenciais sejam devidamente responsabilizadas por suas atividades. Ela citou as multas máximas previstas de 17 milhões de libras ou 4% do faturamento anual da organização infratora, o que for maior, classificando o regime como uma forma significativa de fiscalização.

A ministra também informou que requisitos de segurança, resiliência e governança serão detalhados em legislação secundária, incluindo a obrigação de governança em nível de conselho alinhada ao Cyber Assessment Framework do NCSC (Centro Nacional de Segurança Cibernética). Esses requisitos abrangerão capacidade organizacional, responsabilidade sênior, prestação de contas para segurança e resiliência e escalonamento eficaz de riscos. O governo ainda não abriu consulta pública sobre os detalhes.

Regras de notificação e risco de sobrecarga

Os parlamentares também criticaram a estrutura das exigências de notificação de incidentes, argumentando que a redação atual pode gerar uma sobrecarga administrativa para os reguladores. O projeto determina que entidades reguladas emitam uma notificação inicial em até 24 horas e um relatório mais completo em até 72 horas, definindo incidente como qualquer evento que tenha ou possa ter efeito adverso sobre uma operação.

A ex-ministra de segurança Baroness Neville-Jones sugeriu alterar a redação de “capaz de ter” para “provável que tenha”, buscando reduzir o volume de notificações. O Lord Clement-Jones concordou e alertou que o texto atual desencadearia um tsunami administrativo de notificações defensivas, além de expandir excessivamente a definição de comprometimento de dados para incluir anomalias técnicas que não causam prejuízo real aos clientes.

Proposta de relatório estendido

A Baroness Harding, ex-CEO da TalkTalk, propôs um relatório intermediário de 14 dias e um relatório final após um mês do ataque. Ela argumentou que após 72 horas as organizações começam a obter dados reais, mas só após algumas semanas surge uma visão clara do que de fato ocorreu. Para ela, executivos costumam ser aconselhados a não comentar ataques cibernéticos, o que favorece apenas os criminosos, que continuam atacando outras vítimas. A transparência, segundo Harding, permite que reguladores identifiquem o que está acontecendo, alertem possíveis afetados e colaborem com forças de segurança para localizar os atacantes.

O governo manteve o processo de notificação em dois estágios. A Baroness Lloyd reiterou que o relatório inicial de 24 horas alerta o NCSC para identificar se outras organizações foram afetadas, enquanto o relatório de 72 horas fornece os detalhes necessários para uma resposta mais eficaz.

Com informações de: The Register