Resumo

  • A Communications Regulation and Digital Hub Development Agency (Amendment) Act 2023, promulgada em 2 de março de 2023, obriga a notificar a ComReg incidentes de segurança com impacto significativo «sem atraso indevido» — e não fixa nem hora nem dia.
  • Os prazos de 24 horas, 72 horas e 30 dias corridos não vêm da lei: vêm de uma decisão do regulador, a D08/24, publicada 297 dias depois de a obrigação entrar em vigor.
  • Calar tem dois preços: até 5.000 € no rito sumário e um teto administrativo do maior entre 5 milhões de euros e 10% do faturamento irlandês, que só morde depois da confirmação pela High Court.
  • O único número que um terceiro consegue conferir todo ano é uma contagem agregada: 15 incidentes em 2024 contra 16 em 2023, enquanto as horas de usuário perdidas subiram de 22.818.885 para 32.574.831.

Em 9 de junho de 2023, uma operadora irlandesa de redes ou serviços de comunicações eletrônicas que sofresse um incidente de segurança com impacto significativo passou a ter de contar isso a alguém. Esse alguém não é o National Cyber Security Centre. É a Commission for Communications Regulation, a ComReg. O texto promulgado da Lei n.º 4 de 2023 diz isso com clareza na seção 11(1): notificação ao regulador «sem atraso indevido». A seção 11(4) acrescenta o dever de atualizar informações sobre resolução e reparação. A seção 12(1) ainda obriga a avisar usuários potencialmente afetados sobre medidas de proteção ou remédios disponíveis e, quando cabível, sobre a própria ameaça.

Essa é toda a cronologia que a lei contém. «Sem atraso indevido» é uma expressão, não um relógio. E é aí que a cadeia irlandesa fica interessante: o relógio chegou depois, e não foi o legislador que o instalou. A decisão D08/24, publicada com a ComReg 24/23 e datada de 2 de abril de 2024, fixa os limiares, as informações exigidas e as etapas: um relatório inicial o quanto antes e dentro das primeiras 24 horas, uma atualização em 72 horas se o incidente seguir sem solução, o aviso de resolução e um relatório completo com análise de causa raiz em até 30 dias corridos a partir do relatório de incidente significativo. O parágrafo 140 da mesma decisão ancora essa janela de 24 horas no momento em que a operadora detecta o problema, não no momento em que ele ocorre.

Entre a entrada em vigor e esse documento há 297 dias. É aritmética minha sobre duas datas publicadas — 9 de junho de 2023, fixada pelo artigo 2.º do S.I. n.º 299 de 2023, feito em 6 de junho de 2023, e 2 de abril de 2024, da capa da ComReg 24/23 —, e descreve bem o caráter dessa cadeia: primeiro o dever, muito depois o cronômetro. A própria lei levou 99 dias entre a promulgação e a vigência, e o texto final impresso do Bill 2022 n.º 86c registra a passagem pelas duas casas em 22 de fevereiro de 2023; o instrumento de início registrou a publicação do aviso em 13 de junho de 2023.

O preço de calar também não é um número só. A seção 11(8)(a) transforma o descumprimento do dever de notificação em crime, punível em rito sumário com multa de classe A. O valor não está na lei das comunicações; está na seção 3 da Fines Act 2010, que define a multa de classe A como multa que não excede 5.000 €. É um máximo legal para o rito sumário, não uma tarifa fixa nem uma sanção observada em qualquer caso concreto.

O outro preço está no rito administrativo, e é de outra ordem. As seções 11(7) e 60(1)(a) conectam os deveres da seção 11 à Parte 7; as seções 90(2) e 91(1)(a)–(b) preveem ordens de reparação e sanções financeiras; a seção 94(5)(a) coloca o teto para pessoa não natural no maior entre 5 milhões de euros e 10% do faturamento irlandês do exercício encerrado no ano imediatamente anterior ao do último descumprimento. A seção 92(1) exige confirmação da High Court nos termos da seção 109 antes de a sanção administrativa produzir efeito, e a seção 90(3) impede processar criminalmente o que já foi tratado como descumprimento adjudicado. A seção 63(3) permite o caminho administrativo quando a ComReg opta por não ir pelo sumário ou após um encaminhamento sem processo criminal. As diretrizes de adjudicação 25/03a descrevem o circuito inteiro — indicação por funcionário autorizado com consentimento da Comissão, um menu de sanções que inclui cessação ou reparação, multas, devoluções e compensações, e publicação das adjudicações confirmadas com exceções e tarjas — e confirmam no parágrafo 8.2 que nada produz efeito sem a High Court.

Entre 5.000 € e 5 milhões de euros há um fator de 1.000. É a distância entre dois limites legais, não uma multa observada, e resume o desenho: a via rápida e barata pune o silêncio com um valor que qualquer operadora grande paga sem pestanejar; a via caro exige montar um processo, obter confirmação judicial e publicá-lo.

E falta um nome. No texto promulgado que li para este artigo, o National Cyber Security Centre não aparece. A seção 5 define um CSIRT como unidade departamental de resposta a incidentes, e a seção 16(1)(a) permite à ComReg consultar, cooperar, trocar informações com essa unidade e obter sua assistência. Nada além disso naquele documento lhe atribui funções gerais. A própria página do CSIRT-IE no NCSC descreve a equipe como o órgão dentro do NCSC que auxilia seus constituintes na resposta a incidentes em nível nacional, servindo principalmente órgãos de governo e provedores de infraestrutura crítica, e lista monitoramento, alertas, resposta, análise de risco e participação na rede de CSIRTs entre suas atribuições. É uma descrição organizacional sem data, que não cita a lei de 2023 como fonte dessas responsabilidades.

Sobra o número que de fato se pode conferir de fora. A seção 11(9) exige um resumo anual das notificações recebidas e das ações adotadas, dirigido ao ministro, à Comissão Europeia e à ENISA. A página Network Incidents da ComReg confirma esse resumo, identifica a ComReg 24/23 e a D08/24 como o marco de notificação e encaminha as operadoras ao portal da Data.ComReg. Os números ficam nos relatórios anuais. O relatório de 2023, ComReg 24/53, registra 16 incidentes notificados em 2023 contra 12 em 2022, e 22.818.885 horas de usuário perdidas. O relatório de 2024, ComReg 25/42R, datado de 1.º de julho de 2025, registra 15 incidentes em 2024 contra 16 em 2023, e 32.574.831 horas de usuário perdidas.

A diferença entre esses dois totais de horas é de 9.755.946, cerca de 43% a mais. É aritmética minha sobre dois totais do editor, e convém não esticá-la: os relatórios não dizem que o total de horas de usuário sai apenas dos incidentes notificados à ComReg, então dividir horas por incidentes produziria um número que nenhum documento sustenta. O que o material sustenta é a direção: um incidente a menos e muito mais horas perdidas.

O marco também não está parado. A consulta 25/84, datada de 5 de dezembro de 2025, propõe mudanças nos modelos de notificação ligados ao clima, na frequência e nos prazos de notificação e na avaliação geográfica da significância, à luz da experiência com a tempestade Éowyn. São propostas: não estabeleci a disposição final, e a capa do documento se rotula ao mesmo tempo como FINAL, o que não transforma uma consulta em decisão vigente.

Dois limites concretos, restritos ao que li. A página Network Incidents não mostra as entregas individuais de cada operadora nem os carimbos de recebimento, e não acessei o portal autenticado de provedores; o link para o portal não prova que o que foi entregue seja público. E, no conjunto revisado — a lei, a D08/24, as diretrizes de adjudicação e os dois relatórios anuais —, não estabeleci nenhum processamento, sanção ou adjudicação confirmada pela High Court contra operadora nomeada por causa da seção 11.

Há um número que contradiz o texto legal e merece ser dito com sua fonte: a página da vaga de chefe da Unidade de Adjudicação da ComReg descreve sanções administrativas de até 10 milhões de euros ou 10% do faturamento. O texto promulgado diz 5 milhões. Não estabeleci a razão da discrepância e não uso esse número como teto vigente.

O que este artigo acrescenta ao que já foi publicado nesta mesma ficha é concreto. As duas peças anteriores sobre este objeto de diretório — uma de 21 de outubro de 2026, sobre um fluxo de trabalho do governo britânico em que um único comentário executava código, e outra de 10 de outubro de 2026, sobre o plano suíço de uma lei de cibersegurança autônoma — não testam a cadeia irlandesa: o dever, seu destinatário, o relógio fabricado pelo regulador, o preço partido e o retorno agregado que um terceiro consegue ler. É isso que se testa aqui.

O que mudaria a classificação também é concreto. Um processamento pela seção 11, uma adjudicação confirmada e publicada, ou um relatório anual que separasse operadoras e horários de notificação transformariam a contagem agregada em prestação de contas verificável. Enquanto isso não existir, a Irlanda tem o instrumento, tem o preço e tem o contador; o que não tem, no material que li, é uma forma de saber quem chegou tarde.

A ficha de diretório do National Cyber Security Centre registra o objeto sobre o qual esta peça foi escrita.