Um projeto, uma data de setembro e um único perfil de serviço

A 24 de julho a ENISA colocou em consulta pública o projeto do esquema europeu para serviços geridos de segurança, conhecido por EUMSS. Juhan Lepassaar, diretor executivo da agência, resumiu o objetivo numa linha: "Common baselines can guarantee a level of confidence in services offered." A consulta decorre através do portal EU Survey e encerra a 13 de setembro de 2026.

A base jurídica é o artigo 48, número 1, do Cybersecurity Act na redação dada pelo Regulamento (UE) 2025/37, que a Comissão adotou a 15 de janeiro de 2025 precisamente para permitir a certificação europeia de serviços e não apenas de produtos. A Comissão incumbiu a ENISA do esquema candidato a 25 de abril de 2025. A 25 de junho de 2025 abriu o convite a peritos e a 13 de outubro de 2025 realizou-se a reunião inaugural do grupo de trabalho ad hoc.

O que surgiu nove meses depois é mais estreito do que o mandato. O projeto trata o domínio vertical do ciclo de vida da gestão de incidentes e, dentro dele, um único perfil de serviço: a resposta a incidentes.

As cinco que a lei nomeia e a única que o projeto cobre

A definição de serviços geridos de segurança do ato alterado alcança cinco atividades: monitorização da segurança e deteção de incidentes, resposta a incidentes, testes de intrusão, auditorias de segurança e consultoria de cibersegurança. O projeto certifica a segunda. As outras quatro não estão excluídas em princípio, porque a estrutura foi construída de propósito para acolher mais perfis de serviço, mas não constam da primeira versão.

Essa ordem merece um momento. A resposta a incidentes é o serviço que aciona quando algo já correu mal. A monitorização e a deteção são o serviço que paga todos os meses para que não corra mal. Em breve um fornecedor poderá afirmar, com total exatidão, que detém um certificado europeu de serviços geridos de segurança enquanto a parte contínua do seu contrato consigo nunca foi avaliada ao abrigo do esquema.

Isto é menos uma crítica à sequência do que um aviso sobre a forma como a marca vai ser lida. As marcas de certificação viajam mais longe e mais depressa do que as suas declarações de âmbito.

Porque basic e high nada dizem sobre a plataforma

O esquema tem uma conceção por camadas. Uma camada horizontal fixa os requisitos de base aplicáveis a qualquer serviço gerido de segurança nele certificado, e uma camada vertical transporta os requisitos próprios de cada perfil. A base horizontal abrange a conceção segura do serviço e da plataforma, a gestão da implantação e da transição, a gestão da disponibilidade e da continuidade, a gestão operacional do serviço e a melhoria contínua com manutenção tecnológica.

Existem três níveis de garantia: basic, substantial e high. O pormenor que vale a pena retirar do projeto é que esses requisitos horizontais constituem um pré-requisito obrigatório para cada perfil certificado e são iguais nos três níveis. O nível faz portanto variar a camada vertical, não os alicerces. Dito com clareza, um fornecedor certificado em high demonstrou mais sobre a maneira como conduz uma intervenção de resposta a incidentes, e exatamente tanto quanto um fornecedor em basic sobre a forma como a sua plataforma está concebida e é mantida disponível.

Dezoito meses até um projeto, e o cliente âncora é Bruxelas

Faça as contas ao calendário. Da base jurídica de 15 de janeiro de 2025 até um projeto aberto a comentários a 24 de julho de 2026 vão dezoito meses. Os comentários encerram a 13 de setembro e depois vem a adoção. Os fornecedores que abastecem a reserva de cibersegurança da UE dispõem então de dois anos a contar da entrada em vigor para deter o certificado.

Esta última cláusula é o mecanismo e merece ser nomeada com precisão. Para o mercado privado o esquema é voluntário. Para os fornecedores que abastecem a própria reserva de capacidade de resposta da União não é. A UE fez-se cliente âncora e deixou a marca opcional para todos os outros, que é a via habitual pela qual um esquema voluntário se torna requisito de facto nos concursos sem que ninguém o legisle. Conte ver o EUMSS como linha de pontuação na contratação pública muito antes de estar completo.

O que perguntar ao seu fornecedor antes de 13 de setembro

Há três pontos a fechar agora. Primeiro, pergunte contra que perfil de serviço o seu fornecedor tenciona certificar-se e se o serviço que realmente compra está lá dentro. Se o contrato é de monitorização e deteção, a resposta honesta hoje é que não. Segundo, pergunte a que nível de garantia se propõe e faça-o explicar o que isso muda, uma vez que a base não se move entre níveis.

Terceiro, trate a consulta como um canal de influência aberto e não como um aviso. Os comentários encerram a 13 de setembro e o que está aberto é justamente o âmbito da primeira versão. Os compradores estão sistematicamente sub-representados nestas consultas face aos fornecedores e aos organismos de avaliação da conformidade. Em Portugal, o Centro Nacional de Cibersegurança já organiza boa parte desta matéria, pelo que um fornecedor português acabará por conviver com uma referência nacional e outra europeia. A obrigação de cadeia de abastecimento da NIS2 recai de qualquer modo sobre si, o que faz do âmbito deste esquema algo que não pode delegar num fornecedor.

Leia a seguir: A UE vai avaliar sozinha a IA de ponta  |  Um fornecedor soberano licencia de volta o seu próprio código