Fórum InCyber 2026 impulsiona competências em cibersegurança enquanto o Parlamento da UE simplifica a Lei de IA, proíbe sistemas de nudificação por IA e encerra a derrogação de privacidade eletrônica para CSAM

A Comissão Europeia revela novos compromissos da Academia de Competências em Cibersegurança no Fórum InCyber ​​2026 em Lille. Os eurodeputados votam para simplificar os requisitos para sistemas de alto risco da Lei de IA e proibir as ferramentas nudificadoras de IA. A derrogação de privacidade eletrônica para detecção voluntária de CSAM expira sem renovação. A categorização de risco do agente de IA surge como um desafio crítico de governança no âmbito da aplicação da Lei de IA da UE. Enquanto isso, a própria investigação de violação da Comissão levanta questões desconfortáveis ​​de conformidade com NIS2.

1. Fórum InCyber ​​2026: Novos compromissos da Academia de Competências em Cibersegurança revelados em Lille

A Comissão Europeia anunciou uma expansão significativa da iniciativa Academia de Competências em Cibersegurança na conferência Forum InCyber ​​2026, que abriu em 31 de março em Lille e vai até 2 de abril. O evento, um dos principais encontros de cibersegurança da Europa, serviu de plataforma de lançamento para novos compromissos destinados a colmatar a crescente lacuna de talentos em cibersegurança no continente.

A crise de competências em números

A Europa enfrenta um escassez de força de trabalho em segurança cibernética de aproximadamente profissionais 500,000, de acordo com o último relatório NIS Investments da ENISA publicado em dezembro 2025. A sexta edição desse relatório revelou uma tendência preocupante: as organizações estão a transferir investimentos de pessoas para tecnologia, mesmo à medida que a escassez de talentos se aprofunda — criando um desequilíbrio perigoso onde ferramentas sofisticadas carecem de operadores qualificados.

O que foi anunciado

• Sistemas de certificação de competências à escala da UE: Estruturas de certificação harmonizadas para garantir que as qualificações em segurança cibernética sejam reconhecidas em todos os estados membros da 27
• Programas piloto da Academia de Competências em Cibersegurança: Financiado através do Programa Europa Digital, visando grupos demográficos sub-representados, incluindo mulheres e pessoas em mudança de carreira
• Parcerias indústria-academia: Novos compromissos das principais empresas de tecnologia para co-desenvolver currículos alinhados com NIS2, DORA e necessidades de conformidade com CRA
• Papel de coordenação da ENISA: A agência servirá como centro central para monitorização de lacunas de competências e agregação de recursos de formação

Contexto Regulatório

O momento é deliberado. Com Teste de penetração conduzido por ameaças (TLPT) do DORA quadro agora operacional e o Obrigações de relatório de vulnerabilidade do CRA chegando em setembro 2026, a demanda por profissionais qualificados de segurança cibernética aumentará dramaticamente. A proposta revista da Lei de Cibersegurança – atualmente sob revisão parlamentar – também inclui disposições para o desenvolvimento da força de trabalho como uma prioridade estratégica de segurança.

2. Parlamento da UE vota para simplificar a lei de IA e proibir sistemas de nudificadores de IA

Em uma votação histórica em 26 de março, o Parlamento Europeu aprovou propostas para simplificar a Lei da UE sobre IA quadro de implementação, ao mesmo tempo que introduz uma proibição categórica de Sistemas nudificadores alimentados por IA — ferramentas que geram imagens íntimas não consensuais usando inteligência artificial.

Simplificação da Lei de IA

As comissões IMCO e LIBE do Parlamento aprovaram alterações que esclarecem e simplificam vários aspectos dos requisitos do sistema de alto risco da Lei da IA:

• Limpar datas de inscrição: Eliminar a ambiguidade sobre quando obrigações específicas entram em vigor para diferentes categorias de sistemas de IA
• Avaliações de conformidade proporcionais: Dimensionar os requisitos de avaliação com base no risco real, em vez de aplicar padrões uniformes em todas as categorias de alto risco
• Isenções para PME: Períodos de transição estendidos e requisitos reduzidos de documentação para pequenas e médias empresas que implantam IA de alto risco
• Orientações para interpretação harmonizada: Definições padronizadas para evitar implementações nacionais divergentes que possam fragmentar o mercado único

Proibição de nudificador de IA

A proibição de sistemas nudificadores de IA acrescenta um novo prática proibida sob o Artigo 5 da Lei AI. Os eurodeputados classificaram estas ferramentas como apresentando um “risco inaceitável” aos direitos fundamentais, especificamente dignidade, privacidade e proteção contra a violência baseada no género.

A proibição abrange:

• Sistemas de IA que geram ou alteram imagens para representar indivíduos em situações íntimas sem o seu consentimento
• Plataformas de distribuição que hospedam ou facilitam conscientemente o acesso a tais sistemas
• Serviços comerciais que oferecem nudificação como recurso, independentemente da finalidade declarada

3. A derrogação CSAM de privacidade eletrônica expira: a detecção voluntária termina

Numa decisão controversa com implicações de longo alcance, o O Parlamento Europeu votou pela não renovação a derrogação provisória às regras de privacidade eletrónica que permitia aos prestadores de serviços em linha detetarem voluntariamente material de abuso sexual infantil (CSAM) nas comunicações privadas.

O que isso significa

Desde 2021, um regulamento provisório forneceu uma base jurídica para plataformas como Meta, Google e Microsoft verificarem mensagens privadas em busca de imagens CSAM conhecidas usando tecnologia de correspondência de hash. Sem renovação, estas atividades voluntárias de digitalização tornam-se legalmente problemáticas ao abrigo da Diretiva Privacidade Eletrónica, que protege a confidencialidade das comunicações eletrónicas.

O impasse regulatório

O vencimento destaca a tensão não resolvida entre a proposta de Regulamento CSAM (muitas vezes chamado de "Controle de Chat") e os direitos fundamentais à privacidade. O Conselho da UE e o Parlamento continuam em desacordo sobre o âmbito dos mandatos de digitalização do lado do cliente, com vários tribunais constitucionais dos Estados-Membros assinalando preocupações sobre a vigilância em massa.

4. Governança de risco de agente de IA: o desafio regulatório emergente

À medida que as empresas implementam rapidamente agentes autônomos de IA que podem raciocinar, planear e executar ações em todos os sistemas empresariais, está a surgir uma lacuna crítica de governação no âmbito da lei da UE sobre IA. Especialistas do setor alertam que as atuais abordagens de categorização de riscos são insuficientes para o paradigma dos agentes de IA.

Três categorias de risco de agente de IA

Os pesquisadores de segurança propuseram uma estrutura de risco baseada em duas variáveis: acesso (quais sistemas e dados um agente pode alcançar) e autonomia (quão independente ele opera):

Desafios de alinhamento da Lei de IA da UE

A classificação baseada em risco da Lei AI (mínimo, limitado, alto risco, inaceitável) foi projetada principalmente para sistemas de IA estáticos com resultados previsíveis. Sistemas de IA Agentic que expandir dinamicamente seu próprio acesso, encadear chamadas de ferramentas e tomar decisões autônomas em vários sistemas corporativos não se enquadram perfeitamente nessas categorias.

• Herança de identidade: Agentes locais que operam sob credenciais de funcionários criam cadeias de permissão invisíveis que contornam a governança centralizada IAM - uma preocupação direta do artigo NIS2 21
• Risco da cadeia de abastecimento: Agentes que baixam plug-ins de terceiros de ecossistemas públicos introduzem código não verificado com permissões herdadas – cruzando com os requisitos de segurança do produto CRA
• Implicações de DORA: As instituições financeiras que implementam agentes autónomos que interagem com sistemas de TIC devem avaliá-los como parte da sua Gestão de riscos de terceiros em TIC sob DORA Capítulo V

5. Investigação de violação da Comissão Europeia: Conformidade NIS2 sob o microscópio

A investigação em curso da Comissão Europeia sobre a violação da sua infra-estrutura web pública – divulgada em 24 de março depois de os atacantes terem comprometido websites alojados na Europa – continua a levantar questões pontuais sobre a própria conformidade da instituição com os regulamentos que defende.

Últimos Desenvolvimentos

De acordo com os relatórios do The Register, a Comissão confirmou que dados foram exfiltrados dos seus sistemas em nuvem que hospedam os sites Europa, mas forneceu detalhes mínimos sobre o escopo, impacto ou vetor de ataque. A instituição está a notificar as “entidades da União” cujos dados possam ter sido afetados.

Esta é a posição da Comissão segundo incidente de segurança em 2026, após a divulgação de fevereiro de que os telefones celulares dos funcionários foram comprometidos – potencialmente expondo nomes e números. Separadamente, o BleepingComputer informou que um agente de ameaça pode ter acessado o site da Comissão Ambiente de nuvem AWS, alegando exfiltração de mais de 350 GB de dados.

Implicações para DORA e risco de concentração na nuvem

A violação também destaca um risco que Disposições de concentração de terceiros de TIC de DORA (Artigo 29) foram projetados para abordar: dependência excessiva de um único provedor de nuvem para sistemas críticos. Se o ambiente AWS da Comissão fosse de facto o ponto de entrada, validaria a lógica regulamentar subjacente ao requisito de DORA para estratégias de saída e planejamento de resiliência multinuvem — requisitos que as entidades financeiras devem agora implementar.

Visão geral: rastreador de regulamentação 2026 de abril

Com o início do segundo trimestre 2026, o quadro regulamentar digital da UE está a entrar na sua fase mais importante. É aqui que estão os principais instrumentos:

A convergência dessas estruturas cria tanto complexidade de conformidade e oportunidade estratégica. As organizações que constroem estruturas de governança unificadas que abrangem NIS2, DORA e a Lei de IA descobrirão que os investimentos são compostos – uma estrutura de avaliação de risco criada para uma regulamentação geralmente satisfaz requisitos de várias.