A Comissão Europeia apresentou na semana passada um plano de acção da UE destinado a reforçar a cibersegurança dos hospitais e dos prestadores de cuidados de saúde. Este plano de acção foi anunciado nas orientações políticas da Presidente von der Leyen como uma prioridade fundamental nos primeiros 100 dias do novo mandato. A iniciativa constitui um passo importante para proteger o sector da saúde das ciberameaças. Ao melhorar as capacidades de detecção, preparação e resposta a ameaças dos hospitais e prestadores de cuidados de saúde, criará um ambiente mais seguro e protegido para os doentes e profissionais de saúde.
A digitalização está a revolucionar os cuidados de saúde, permitindo a prestação de melhores serviços aos doentes através de inovações como os registos de saúde electrónicos, a telemedicina e os diagnósticos baseados em IA. No entanto, os ciberataques podem atrasar os procedimentos médicos, criar bloqueios nas salas de emergência e perturbar serviços vitais que, em casos graves, podem ter um impacto directo na vida dos europeus. Os Estados-Membros comunicaram 309 incidentes significativos de cibersegurança que afectaram o sector dos cuidados de saúde em 2023 – mais do que em qualquer outro sector crítico.
O plano de acção propõe, entre outros, que a ENISA, a agência da UE para a cibersegurança, crie um centro pan-europeu de apoio à cibersegurança para hospitais e prestadores de cuidados de saúde, fornecendo-lhes orientações, ferramentas, serviços e formação adaptados. A iniciativa baseia-se no quadro mais vasto da UE para reforçar a cibersegurança em todas as infra-estruturas críticas e assinala a primeira iniciativa sectorial específica para implementar toda a gama de medidas de cibersegurança da UE.
Em suma, o plano de acção centra-se em quatro prioridades:
Prevenção reforçada. O plano ajuda a reforçar as capacidades do sector da saúde para prevenir incidentes de cibersegurança através de medidas de preparação reforçadas, como orientações sobre a aplicação de práticas críticas de cibersegurança. Em segundo lugar, os Estados-Membros podem também introduzir vales de cibersegurança para prestar assistência financeira a hospitais e prestadores de cuidados de saúde de micro, pequena e média dimensão. Por último, a UE desenvolverá também recursos de aprendizagem sobre cibersegurança para os profissionais de saúde.
Melhor detecção e identificação de ameaças. O Centro de Apoio à Cibersegurança para hospitais e prestadores de cuidados de saúde desenvolverá, até 2026, um serviço de alerta precoce à escala da UE, que emitirá alertas quase em tempo real sobre potenciais ciberameaças.
Resposta a ciberataques para minimizar o impacto. O plano propõe um serviço de resposta rápida para o sector da saúde no âmbito da Reserva de Cibersegurança da UE. Criada pelo Ato de Solidariedade Cibernética, a Reserva fornece serviços de resposta a incidentes de prestadores de serviços privados de confiança. Como parte do plano, podem ser realizados exercícios nacionais de cibersegurança, juntamente com o desenvolvimento de manuais para orientar as organizações de saúde na resposta a ameaças específicas de cibersegurança, incluindo o ransomware. Os Estados-Membros são encorajados a solicitar às entidades a comunicação dos pagamentos de resgates, para poderem prestar-lhes o apoio de que necessitam e permitir o acompanhamento pelas autoridades responsáveis pela aplicação da lei.
Dissuasão: Proteger os sistemas de saúde europeus dissuadindo os agentes das ciberameaças de os atacarem. Tal inclui a utilização da caixa de ferramentas da ciberdiplomacia, uma resposta diplomática conjunta da UE às ciberactividades maliciosas.
O plano de acção será executado em colaboração com os prestadores de cuidados de saúde, os Estados-Membros e a comunidade da cibersegurança. Para aperfeiçoar as acções com maior impacto, de modo a que os doentes e os prestadores de cuidados de saúde possam beneficiar delas, a Comissão lançará em breve uma consulta pública sobre este plano, aberta a todos os cidadãos e partes interessadas.
O plano de acção é o início de um processo para melhorar a cibersegurança no sector da saúde. As acções específicas serão lançadas progressivamente em 2025 e 2026. Os resultados da consulta serão objecto de novas recomendações até ao final do ano.
