← Voltar para Blog de Segurança

Parlamento da UE vota para simplificar a lei de IA, ENISA lança pesquisa CRA para PMEs, diretrizes de interação DMA-GDPR publicadas

As comissões IMCO e LIBE do Parlamento Europeu concordam em propostas abrangentes para simplificar a Lei da UE sobre IA, incluindo proibições de sistemas "nudificadores" de IA. ENISA lança um inquérito de preparação para a Lei de Resiliência Cibernética dirigido às PME. A Comissão Europeia e o EDPB publicam os resultados da consulta de interação DMA-GDPR. O ECCC abre um concurso para financiamento de investigação em cibersegurança de 56.2 milhões de euros no âmbito do Horizonte Europa. Desenvolvimentos regulatórios críticos para equipes de conformidade — março 20, 2026.

---

🤖 Parlamento da UE concorda em simplificar as regras da Lei de IA

O que mudou

As propostas de simplificação abordam uma das críticas mais significativas à Lei da IA ​​desde a sua aprovação – a complexidade da implementação. As principais mudanças incluem:

• Documentação de conformidade simplificada: Requisitos reduzidos de papelada para PMEs que implementam sistemas de IA de baixo risco
• Cronogramas claros de alto risco: Datas de aplicação específicas para requisitos de sistema de alto risco, eliminando a ambiguidade dos roteiros de conformidade
• Proibição de nudificador de IA: Proibição explícita de sistemas de IA que geram imagens íntimas não consensuais — classificadas juntamente com as práticas proibidas existentes
• Disposições favoráveis ​​às PME: Acesso regulatório ao sandbox e medidas de apoio à conformidade para empresas menores

Impacto nas organizações

Para as organizações que já se preparam para a conformidade com a Lei da IA, estas medidas de simplificação proporcionam uma clareza bem-vinda. Os operadores de sistemas de IA de alto risco – especialmente nos cuidados de saúde, infraestruturas críticas e serviços financeiros – têm agora prazos concretos para trabalhar, em vez da anterior linguagem ambígua de “aplicação faseada”.

A proibição do nudificador acrescenta uma nova categoria à lista de práticas proibidas da Lei da IA, com potenciais implicações de aplicação para plataformas de IA generativas que carecem de salvaguardas adequadas de moderação de conteúdo.

---

🔒 ENISA lança pesquisa sobre lei de resiliência cibernética para PMEs

Avaliação de prontidão para CRA

A Agência da União Europeia para a Cibersegurança (ENISA) lançou um inquérito abrangente sobre Março 18, 2026 visando as Pequenas e Médias Empresas (PMEs) para avaliar a sua preparação para o Lei de Resiliência Cibernética (CRA). A pesquisa tem como objetivo compreender:

• Níveis globais de sensibilização em matéria de CRA entre as PME
• Quão preparadas e maduras se sentem as PME para a conformidade com o CRA
• Que tipos de apoio as PME considerariam mais úteis
• Práticas e lacunas atuais de segurança cibernética

Por que isso é importante

O CRA estabelece requisitos obrigatórios de segurança cibernética para produtos com elementos digitais vendidos no mercado da UE. Para fabricantes de hardware e software, isso significa:

• Seguro por design: Os produtos devem atender aos requisitos básicos de segurança cibernética antes da colocação no mercado
• Tratamento de vulnerabilidades: Os fabricantes devem fornecer atualizações de segurança e lidar com vulnerabilidades durante todo o ciclo de vida do produto
• Relatório de incidentes: A exploração ativa de vulnerabilidades deve ser relatada dentro de horas 24
• Documentação: Documentação técnica comprovando a conformidade com os requisitos essenciais

---

⚖️ Interação DMA-GDPR: resultados da consulta publicados

Resolvendo a Lei dos Mercados Digitais vs. Tensão GDPR

Em março 12, 2026, a Comissão Europeia e o Conselho Europeu de Proteção de Dados (EDPB) publicaram o contribuições individuais recebidas em resposta à consulta pública sobre um projeto de diretrizes conjuntas que abordam a interação entre a Lei dos Mercados Digitais (DMA) e o Regulamento Geral de Proteção de Dados (GDPR).

Esta publicação aborda uma área cinzenta regulatória crítica: como os “gatekeepers” designados (Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft) equilibram as obrigações de compartilhamento de dados DMA com os requisitos de proteção de dados GDPR.

Principais pontos de tensão

• Portabilidade de dados vs. minimização de dados: O DMA exige que os gatekeepers permitam a portabilidade dos dados, mas o GDPR exige a minimização dos dados – as diretrizes esclarecem como conciliar essas obrigações
• Estruturas de consentimento: Como os mecanismos de consentimento do gatekeeper sob o artigo DMA 5 interagem com os requisitos de consentimento GDPR
• Combinação de dados entre serviços: Restrições à combinação de dados pessoais nos principais serviços da plataforma sem consentimento explícito em conformidade com GDPR
• Direitos de acesso de terceiros: Como terceiros podem exercer direitos de acesso DMA enquanto mantêm a conformidade com GDPR

---

📊 Relatórios anuais de conformidade do DMA Gatekeeper

Todos os seis porteiros designados - Alfabeto, Amazon, Apple, ByteDance, Meta e Microsoft — apresentaram os seus relatórios atualizados sobre medidas de conformidade em Março 9, 2026, conforme exigido pela Lei dos Mercados Digitais. Os relatórios descrevem as mudanças implementadas e as medidas tomadas durante o ano passado, desde a sua designação inicial de setembro 2023.

A Comissão está agora a rever estes relatórios para avaliar se os controladores de acesso realizaram progressos suficientes no cumprimento das suas obrigações de DMA, incluindo:

• Permitir lojas de aplicativos de terceiros e sideload
• Habilitando a interoperabilidade de serviços de mensagens
• Fornecendo portabilidade de dados para usuários finais
• Garantir uma classificação justa e restrições de autopreferência
• Permitir a desinstalação de aplicativos pré-instalados

---

💰 Chamada de financiamento para segurança cibernética ECCC de € 56.2 milhões

Programa Horizonte Europa

O Centro Europeu de Competências em Cibersegurança (ECCC) abriu um novo convite à apresentação de propostas sobre Março 17, 2026 no âmbito do Programa Horizonte Europa com um orçamento indicativo de até €56.2 milhões. Isto representa um dos maiores pedidos de financiamento de investigação em cibersegurança na história da UE.

Áreas de foco

Embora os detalhes de tópicos específicos sejam publicados através do Portal de Financiamento e Concursos da UE, os convites anteriores do ECCC deram prioridade a:

• Detecção e resposta a ameaças orientadas por IA
• Suporte à transição de criptografia pós-quântica
• Ferramentas de segurança da cadeia de suprimentos
• Desenvolvimento de habilidades de segurança cibernética e treinamento de força de trabalho
• Pesquisa de proteção de infraestrutura crítica
• Cibersegurança para as PME e o setor público

---

🌐 Programa Europa Digital Adapta-se

Sobre Março 19, 2026, a Comissão Europeia anunciou que o O Programa Europa Digital está a adaptar-se para dar resposta às crescentes necessidades digitais da Europa. Embora todos os detalhes sejam publicados, o programa continua a financiar:

• Capacitação em cibersegurança nos Estados-Membros
• Apoio à implantação de IA para os setores público e privado
• Treinamento avançado em habilidades digitais
• Consórcios Europeus de Infraestruturas Digitais (EDIC)
• Desenvolvimento de infraestrutura da nuvem até a borda

Além disso, a UE comprometeu-se 200 milhões de euros através do Mecanismo Interligar a Europa (CEF) para projetos de redes de alta capacidade, incluindo cabos submarinos — reforçando a espinha dorsal da infraestrutura digital que sustenta a resiliência da cibersegurança.

---

📅 Status de aplicação NIS2 e DORA – março 2026

Atualização NIS2

A aplicação da NIS2 continua a acelerar em toda a UE. Em março 2026:

• Primeiras penalidades emitidas no primeiro trimestre 2026 para entidades essenciais não conformes
• Os Estados-Membros continuam a finalizar as leis nacionais de transposição — com alguns ainda atrasados ​​em relação ao prazo 2024 de outubro
• A metodologia atualizada de exercícios de segurança cibernética da ENISA (publicada em fevereiro 16, 2026) fornece às organizações ferramentas práticas para exercícios de resposta a incidentes exigidos por NIS2
• As multas permanecem até €10M ou 2% do volume de negócios global para entidades essenciais

Contagem regressiva DORA

As entidades financeiras têm até Janeiro 17, 2025 – que já foi aprovado – para cumprir a Lei de Resiliência Operacional Digital. Principais desenvolvimentos em matéria de aplicação:

• As Autoridades Europeias de Supervisão (ESAs) estão a realizar análises de supervisão
• Os registos de fornecedores terceiros de TIC devem ser mantidos e reportáveis
• Os requisitos de testes de penetração liderados por ameaças (TLPT) estão sendo aplicados para instituições sistemicamente importantes
• A estrutura de supervisão do fornecedor terceirizado de TIC crítico (CTPP) está operacional

---

📋 Itens de ação de conformidade — março 2026

1. Lei de IA:
   • Acompanhar as propostas de simplificação do Parlamento à medida que avançam para o trílogo
   • Audite sistemas de IA para práticas proibidas, incluindo capacidades de nudificação
   • Classifique todas as implantações de IA por nível de risco (inaceitável/alto/limitado/mínimo)
   • PMEs: explorem o acesso regulatório ao sandbox no seu estado membro
2. Lei de Resiliência Cibernética:
   • PME: Participe no inquérito de preparação ENISA CRA
   • Fabricantes de hardware/software: preparem-se para as obrigações de relatório 2026 de setembro
   • Implemente processos de tratamento de vulnerabilidades agora
   • Revise os compromissos de atualização de segurança do ciclo de vida do produto
3. NIS2 (aplicação ativa):
   • Confirme o status dentro do escopo e conclua as medidas de conformidade
   • Realizar exercícios de cibersegurança utilizando a metodologia atualizada da ENISA
   • Verifique os recursos de relatório de incidentes por hora 24/72
   • Documente avaliações de segurança da cadeia de suprimentos
4. DORA (Pós-Prazo):
   • Manter registros de provedores terceirizados de TIC
   • Execute programas de testes de penetração liderados por ameaças
   • Rever e atualizar contratos de prestadores de serviços de TIC
   • Prepare-se para revisões da autoridade supervisora
5. GDPR/DMA:
   • Revise as diretrizes de interação DMA-GDPR para operações dependentes de plataforma
   • Auditar mecanismos de portabilidade de dados para conformidade com DMA
   • Atualizar estruturas de consentimento para alinhamento com DMA e GDPR