A Holanda foi levada a tribunal pela Comissão Europeia. A razão: o governo ainda não converteu a directiva relativa à protecção de sectores vitais como a energia, os transportes, os cuidados de saúde e as infra-estruturas digitais em legislação nacional. O Ministério da Justiça e Segurança responde que “é necessário primeiro uma boa base”. Essa resposta merece um olhar mais atento.

A estrutura de padrões de segurança da informação na qual isso se baseia, a ISO 27001, existe na forma de seus antecessores desde a década de 1990. A directiva europeia está em cima da mesa há anos. Além disso, a legislação começa em Bruxelas e os Países Baixos são membros e podem simplesmente participar, e não apenas quando o texto estiver finalizado. Uma fundação poderia e deveria ter sido criada há muito tempo. Quanto tempo mais o governo quer?

O gabinete não possui joias da coroa próprias

Durante o debate sobre a aquisição do Solvinity, o gabinete pareceu incapaz de indicar quais são as jóias da coroa do governo central. Essa lista ainda estava sendo elaborada. Ao mesmo tempo, o mesmo governo apela agora a organizações vitais para que se armem contra ameaças. Uma sequência notável: primeiro encoraje os outros, depois faça um inventário do que precisa ser protegido.

A prática agora é desconcertante. O Fisco não consegue regularizar o seu próprio correio eletrónico e tem de o terceirizar. Instalações críticas como o DigiD e a Caixa de Mensagens não podem ser movidas dentro de meses. Incidentes no Ministério Público, no Ministério das Finanças, na Odido, na Rituals e no Inquérito à População dos Países Baixos expuseram repetidamente a vulnerabilidade.

“Outros países também estão ficando para trás”

O porta-voz sublinha ao Telegraaf que os Países Baixos não estão sozinhos: Bulgária, França, Luxemburgo, Polónia, Espanha e Suécia também foram convocados. Esse é o argumento do motorista que aponta outros excessos que também receberam multa. Isto não altera o facto de países como a Grécia, Itália, Croácia, Chipre, Hungria, Malta, Roménia, Eslovénia e Eslováquia terem introduzido a directiva. Estamos atrasados ​​em relação aos países que Haia gostaria de imitar e em relação aos países que preferiria não imitar.

Não é complexo, é uma questão de vontade

O governo chama o processo de “extenso e complexo”. Mas a essência é conhecida: respeitar os padrões, iniciar a implementação assim que Bruxelas determinar a direção e garantir que os processos vitais possam resistir ao fracasso. E o que se pede são os fundamentos da segurança da informação e não são nada novos. Isso não é conhecimento especial. Isso é trabalho manual administrativo. Ou, nos termos de Rotterdam: não fale, apenas polir.

A ameaça, entretanto, não é abstrata. O MIVD, o AIVD, o NCTV e os serviços de inteligência estrangeiros alertam continuamente contra ataques cibernéticos, sabotagem e espionagem por parte da Rússia, China e Irão. O diretor do MIVD fala sobre ações que permanecem logo abaixo do limiar de um conflito militar aberto. O gabinete ouve, acena com a cabeça e se refere à próxima fundação.

E daí

Duas propostas são óbvias. Fazer com que o governo reporte mensalmente à Câmara dos Representantes sobre o que foi feito, o que está em progresso e o que acontecerá no próximo mês para garantir que a segurança e a resiliência da informação estejam em ordem. Concretamente, a nível organizacional, com prazos. E: suspender as novas ambições políticas até que a privacidade, a segurança da informação e as obrigações europeias estejam realmente em ordem. Quem não tem a casa trancada não compra móveis novos.

Uma ação judicial da Comissão Europeia deveria ser um alerta. Quando se trata de resiliência, somos os que adoram água de rosas. Por enquanto, parece ser principalmente uma nova regra de dossiê que o gabinete está escrevendo. A conta disto não será paga em Haia, mas sim durante o primeiro grande fracasso de um sector vital.

Este artigo foi publicado anteriormente em AG Conectar.