1. Os Estados-Membros devem assegurar que as entidades abrangidas pelo âmbito de aplicação da presente diretiva, assim como, quando pertinente, outras entidades não abrangidas pelo âmbito de aplicação da presente diretiva, possam proceder, a título voluntário, ao intercâmbio de informações pertinentes sobre cibersegurança, nomeadamente relacionadas com ciberameaças, quase incidentes, vulnerabilidades, técnicas e procedimentos, indicadores de exposição a riscos, táticas hostis, informações específicas sobre perpetradores de ameaças, alertas de cibersegurança e recomendações relativas à configuração das ferramentas de cibersegurança para a deteção de ciberataques, desde que tal partilha de informações:
|
a) |
Tenha como objetivo evitar, detetar, dar resposta e recuperar de incidentes ou atenuar o seu impacto; |
|
b) |
Reforce o nível de cibersegurança, em especial ao sensibilizar para as ciberameaças, limitar ou impedir a sua capacidade de disseminação, apoiar um leque de capacidades defensivas, a correção e divulgação de vulnerabilidades, as técnicas de deteção, contenção e prevenção de ameaças, as estratégias de atenuação ou as fases de resposta e recuperação, ou promover a investigação colaborativa de ciberameaças entre entidades públicas e privadas. |
2. Os Estados-Membros devem assegurar que o intercâmbio de informações ocorre no seio de comunidades de entidades essenciais e importantes e, quando pertinente, dos seus fornecedores ou prestadores de serviços. Tal intercâmbio deve ser executado mediante acordos de partilha de informações sobre cibersegurança que protejam a natureza potencialmente sensível das informações partilhadas.
3. Os Estados-Membros devem facilitar a celebração dos acordos de partilha de informações sobre cibersegurança a que se refere o n.o 2 do presente artigo. Esses acordos podem especificar os elementos operacionais, incluindo a utilização de plataformas TIC dedicadas e de ferramentas de automatização, o teor e as condições dos acordos de partilha de informações. Ao definir os pormenores do envolvimento das autoridades públicas nesses acordos, os Estados-Membros podem impor condições relativamente às informações disponibilizadas pelas autoridades competentes ou pelas CSIRT. Os Estados-Membros devem oferecer assistência à aplicação de tais acordos, em conformidade com as suas políticas a que se refere o artigo 7.o, n.o 2, alínea h).
4. Os Estados-Membros devem velar por que as entidades essenciais e importantes notifiquem as autoridades competentes da sua participação nos acordos de partilha de informações sobre cibersegurança referidos no n.o 2, aquando da sua celebração, ou, quando aplicável, da sua retirada de tais acordos, assim que esta produza efeitos.
5. A ENISA deve prestar assistência à celebração dos acordos de partilha de informações sobre cibersegurança referidos no n.o 2, procedendo ao intercâmbio de boas práticas e facultando orientações.
