Comissão da UE investiga violação da nuvem AWS enquanto o Conselho sanciona empresas cibernéticas chinesas e iranianas, lei revisada de segurança cibernética visa fornecedores estrangeiros

A Comissão Europeia está investigando uma violação grave de seu ambiente de nuvem Amazon com 350GB supostamente roubado – levantando questões urgentes sobre o gerenciamento de riscos de terceiros NIS2 e DORA. O Conselho da UE sanciona três empresas ligadas a ataques cibernéticos apoiados pelo Estado. Uma proposta de Lei Revisada de Segurança Cibernética exigiria a remoção de fornecedores estrangeiros de alto risco das redes de telecomunicações. O Grupo de Cooperação Administrativa do CRA realiza a sua reunião inaugural e o Conselho da IA ​​convoca a sua sétima sessão sobre governação da Lei da IA ​​da UE.

1. Violação da Comissão Europeia na AWS: roubo de dados 350GB abala a postura de segurança na nuvem da UE

A Comissão Europeia está a investigar uma violação de segurança depois de um agente ameaçador ter obtido acesso não autorizado a pelo menos um dos seus Amazon Web Services (AWS) contas. O invasor afirma ter exfiltrado 350 gigabytes de dados, incluindo múltiplas bases de dados e conteúdos de servidores de correio eletrónico pertencentes a funcionários da Comissão.

O que aconteceu

De acordo com relatórios do BleepingComputer, a violação foi detectada de forma relativamente rápida pela equipa de resposta a incidentes de segurança cibernética da Comissão. O autor da ameaça forneceu capturas de tela demonstrando o acesso às informações dos funcionários e aos sistemas de e-mail internos. Notavelmente, o invasor afirmou que não tentaria extorsão, mas pretendia vazar os dados publicamente posteriormente.

Este é o segunda grande violação na Comissão em 2026. Em fevereiro, a instituição divulgou que sua plataforma de gerenciamento de dispositivos móveis (MDM) foi comprometida em janeiro 30 — incidente ligado a Vulnerabilidades de injeção de código Ivanti EPMM isso também afetou a Autoridade Holandesa de Proteção de Dados e a agência Valtori da Finlândia.

Principais conclusões regulatórias

• NIS2 Artigo 21(2)(d): Requer "segurança da cadeia de fornecimento, incluindo aspectos relacionados à segurança relativos às relações entre cada entidade e seus fornecedores diretos ou prestadores de serviços" - sendo a AWS um provedor de serviços direto
• DORA Artigo 28: Exige que as entidades financeiras e instituições críticas mantenham disposições contratuais com prestadores de serviços terceirizados de TIC, incluindo estratégias de saída e portabilidade de dados
• GDPR Artigo 33: A Comissão deve notificar a AEPD no prazo de 72 se dados pessoais de cidadãos da UE forem comprometidos

2. Conselho da UE sanciona empresas chinesas e iranianas por ataques cibernéticos apoiados pelo Estado

O Conselho da União Europeia impôs sanções cibernéticas contra três empresas e dois indivíduos por orquestrarem ataques cibernéticos contra infraestruturas críticas dos estados membros — a expansão mais significativa do regime de sanções cibernéticas da UE desde o seu início 2019.

Entidades Sancionadas

Os dois indivíduos sancionados são cofundadores da Anxun Information Technology (i-Soon), a empresa chinesa cujo vazamento massivo de dados em fevereiro 2024 expôs suas operações como um contratante de hackers afiliado ao governo.

Significância Regulatória

Estas sanções reforçam directamente a evolução da UE quadro de dissuasão cibernética sob NIS2. O considerando 9 da diretiva faz referência explícita à necessidade de respostas coordenadas às ameaças apoiadas pelo Estado, e o artigo 13 incumbe a EU-CyCLONe (a Rede de Organização de Ligação à Crise Cibernética) de apoiar a “gestão coordenada de incidentes de segurança cibernética em grande escala”.

3. Lei revisada de segurança cibernética: obrigando a remoção de fornecedores estrangeiros de alto risco

A Comissão Europeia propôs uma nova legislação abrangente sobre segurança cibernética que lhe daria autoridade para exigir a remoção de fornecedores estrangeiros de alto risco das redes de telecomunicações europeias - indo além da caixa de ferramentas de segurança voluntária 5G introduzida em 2020.

Disposições Principais

• Avaliações de risco obrigatórias: Avaliações em toda a UE em setores críticos 18 com base nos países de origem dos fornecedores e nas implicações para a segurança nacional
• Remoção de fornecedor de alto risco: Autoridade para restringir ou proibir equipamentos de fornecedores considerados riscos de segurança em redes de telecomunicações móveis
• Certificação simplificada: Esquemas voluntários de certificação geridos pela ENISA para reduzir a carga regulamentar
• Poderes reforçados da ENISA: Alertas precoces de ameaças, ponto de entrada único para comunicação de incidentes, coordenação de resposta a ransomware com a Europol
• Força de trabalho em segurança cibernética: Esquemas de certificação de competências à escala da UE e um projeto piloto da Academia de Competências em Cibersegurança

“As ameaças à cibersegurança não são apenas desafios técnicos. São riscos estratégicos para a nossa democracia, economia e modo de vida”, afirmou o comissário tecnológico da UE. Henna Virkkunen. A Lei de Segurança Cibernética entraria em vigor imediatamente após a aprovação, com os estados membros tendo um ano para implementar alterações na legislação nacional.

Como isso se cruza com NIS2 e DORA

A Lei Revisada de Segurança Cibernética complementa, em vez de substituir, NIS2. Embora NIS2 estabeleça requisitos básicos de segurança para entidades essenciais e importantes, esta nova lei visa especificamente soberania da cadeia de abastecimento ao nível da infra-estrutura. Para instituições financeiras sob DORA, a implicação é clara: Risco de concentração de terceiros nas TIC envolvendo fornecedores de países terceiros enfrentará um escrutínio regulamentar reforçado.

4. Lei de Resiliência Cibernética: Primeira Reunião do Grupo de Cooperação Administrativa

A primeira reunião do Grupo de Cooperação Administrativa para a Lei de Resiliência Cibernética (CRA) foi realizada em março 20, 2026, marcando um passo fundamental na preparação para a aplicação do regulamento que imporá requisitos obrigatórios de segurança cibernética para todos os produtos digitais vendido na UE.

O que o CRA exige

O CRA se aplica a todos os produtos com elementos digitais — desde dispositivos IoT de consumo até software industrial. Os fabricantes devem:

• Conduta avaliações de risco de segurança cibernética antes da colocação no mercado
• Fornecer atualizações de segurança durante toda a vida útil esperada do produto (mínimo 5 anos)
• Relatório vulnerabilidades exploradas ativamente para ENISA dentro de horas 24
• Manter Listas de materiais de software (SBOMs) para todos os produtos

A ENISA também lançou um inquérito dirigido às PME avaliar a sensibilização, a preparação e as necessidades de apoio da CRA — reconhecendo que as pequenas empresas enfrentam encargos de conformidade desproporcionais.

5. Sétima Reunião do Conselho de IA da UE: Moldando a Governança da Lei de IA

O sétima reunião do Conselho de IA da UE teve lugar em março 20, 2026, reunindo representantes dos Estados-Membros para discutir os últimos desenvolvimentos na estratégia de IA da Comissão e a implementação em curso do Lei da UE sobre IA.

Onde está a Lei da IA

A implementação faseada da Lei da IA ​​da UE continua dentro do previsto:

O Conselho da IA ​​serve como o principal órgão de governação para coordenar a aplicação da Lei da IA ​​nos estados membros. Os principais tópicos de discussão na sétima reunião incluíram:

• Normas harmonizadas para avaliações de sistemas de IA de alto risco
• Sandboxes regulatórios de IA — progressos na implementação nos Estados-Membros
• Coordenação com o Escritório de IA sobre códigos de prática para modelos de IA de uso geral
• Mecanismos de cooperação transfronteiriça na aplicação da legislação

Panorama geral: a fortaleza regulatória da UE toma forma

Os desenvolvimentos desta semana ilustram como está o panorama da cibersegurança e da regulamentação digital da UE convergindo rapidamente. Cinco estruturas principais estão agora simultaneamente ativas ou entrando em aplicação:

A violação da AWS pela própria Comissão — embora embaraçosa — pode, na verdade, acelerar a urgência legislativa. Nada motiva mais a ação regulatória do que ser você mesmo a vítima.