Apesar do Governo não ter confirmado que a proposta da cibersegurança passar para a tutela dos serviços de informações, Rui Martins escreve que este não é um episódio isolado e que o tema devia ser objeto de um debate público informado.
Foi noticiado recentemente pelo Expresso que o secretário-geral do Sistema de Informações da República Portuguesa (SIRP), Vítor Sereno, propôs ao primeiro-ministro a transferência da tutela do Centro Nacional de Cibersegurança (CNCS) para a esfera dos serviços de informações. O Governo não confirmou que a proposta avançará, de facto, mas também não a rejeitou liminarmente. Estamos, portanto, perante uma negociação política em curso, sem processo legislativo aberto e sem escrutínio público correspondente à gravidade da matéria.
Apesar destas reservas temos de reconhecer o que está em causa: O CNCS integra hoje o Gabinete Nacional de Segurança, sob a Presidência do Conselho de Ministros e foi reforçado como autoridade nacional de cibersegurança pelo Decreto-Lei n.º 125/2025, em vigor desde abril deste ano, no quadro da transposição da diretiva europeia NIS2. Esse diploma consolidou uma separação institucional clara: excluiu expressamente do seu âmbito de aplicação as entidades da segurança nacional, segurança pública, defesa e serviços de informações. Transferir agora o CNCS para o SIRP inverteria, poucos meses depois, uma arquitetura legal que o próprio legislador acabou de construir.
Este pedido – contudo – não está episódio isolado.: Em junho, o mesmo Vítor Sereno defendeu publicamente a revisão da Constituição da República por forma a permitir às Secretas o acesso a metadados de comunicações em investigações de terrorismo, cibercrime e criminalidade organizada. Em conjunto: as duas iniciativas configuraram uma agenda coerente de expansão de competências dos serviços de informações sobre o espaço digital. É essa coerência, mais do que qualquer proposta isolada, que justifica atenção pública redobrada.
Não se trata de negar mérito técnico a quem propõe. O SIS tem demonstrado capacidade real na resposta a ameaças de origem estatal, como ilustram os alertas públicos emitidos este ano sobre ataques a contas de aplicações de mensagens de governantes e sobre ciberespionagem atribuída a atores associados à Rússia. O argumento operacional existe e deve ser reconhecido como válido. Mas esta validade do argumento operacional não deve esgotar a discussão sobre este importante assunto para a qualidade da democracia e para as liberdades e garantias dos cidadãos havendo, pelo menos, três ordens de riscos que uma decisão desta natureza não deve ignorar:
Em primeiro lugar, a fiscalização democrática: O CNCS está hoje sujeito a um regime de transparência e de acesso à informação, incluindo a Lei de Acesso aos Documentos Administrativos, substancialmente diferente do que se aplica aos serviços de informações, que operam sob segredo de Estado e fiscalização parlamentar reservada. Subordinar o CNCS a esse regime significaria reduzir, de forma prática e imediata, aquilo que hoje é publicamente sindicável sobre a sua atividade.
Em segundo lugar: o efeito sobre a cultura de reporte voluntário de incidentes. Parte do valor do CERT.PT depende da confiança de entidades públicas e privadas em reportar vulnerabilidades e incidentes sem recear que essa informação passe a alimentar um serviço de informações. Ainda que essa perceção seja apenas isso, uma perceção, o risco de retração no reporte é operacional, não meramente simbólico, e pode comprometer precisamente aquilo que se pretende reforçar.
Por fim, e em terceiro (mas nem por isso menos importante), temos o tema da concentração de poder… Reunir num único secretário-geral a coordenação da cibersegurança nacional, as informações externas e as informações internas, sem contrapesos equivalentes aos que hoje existem para o CNCS, é uma concentração de competências que merece escrutínio redobrado, independentemente da boa-fé de quem ocupa o cargo. Num Estado de direito, os contrapesos institucionais não se dispensam por confiança nas pessoas; existem precisamente para não depender delas e quando este contrapeso é frágil ou está diminuído, a democracia cede, como demonstram aliás os EUA na atualidade.
Por tudo isto, a questão central não é apenas “sim” ou “não” à proposta, mas o processo pelo qual uma decisão desta magnitude deve ser tomada. Uma alteração que toca a transparência, a fiscalização democrática e a confiança pública nas infraestruturas críticas nacionais não deveria resultar de uma negociação fechada entre um secretário-geral e o primeiro-ministro. Deveria ser objeto de debate público informado, com participação da Assembleia da República e das entidades de supervisão competentes, entre as quais a CNPD, e precedida de uma avaliação séria do seu impacto sobre o reporte voluntário de incidentes.
Portugal reforçou recentemente, e de forma deliberada, a separação entre a autoridade civil de cibersegurança e os serviços de informações. Reverter essa opção em gabinete fechado, sem debate correspondente à sua importância, seria um mau precedente, independentemente do mérito técnico dos argumentos que a sustentam. As instituições democráticas não se avaliam apenas pelas competências técnicas de quem as propõe, mas pelos processos através dos quais decidem alterá-las.
Por Rui Martins – do CpC: Cidadãos pela Cibersegurança
(Teksapo)