Resumo

  • As regras britânicas atuais exigem que um ministro publique uma estratégia nacional NIS e que os reguladores a levem em conta. O Cyber Security and Resilience Bill eliminaria essas obrigações e permitiria ao ministro designar uma nova declaração de prioridades.
  • O projeto torna obrigatório o relatório anual sobre a atuação dos reguladores, mas inicia o primeiro período de doze meses na data de publicação da primeira declaração. Não há prazo para essa publicação; a avaliação mais ampla do regime segue outro relógio, contado da aprovação da lei.

Dois relógios, um depende de decisão ministerial

O projeto britânico cria dois mecanismos de prestação de contas que parecem se complementar. Um é anual e acompanha como os reguladores executam as prioridades do governo. O outro, mais abrangente, avalia a legislação e os poderes ministeriais a cada cinco anos. Só que os dois relógios não começam no mesmo momento, e o primeiro depende de uma decisão anterior do próprio ministro que deverá prestar contas.

O artigo 28 define o primeiro período anual como os doze meses que começam quando for publicada a primeira declaração de prioridades designada nos termos do artigo 25. Encerrado cada período, o Secretário de Estado precisa apresentar um relatório ao Parlamento e publicá-lo. O documento deve descrever, em termos gerais, como as autoridades reguladoras cumpriram suas obrigações e o que planejam fazer no período seguinte.

A palavra decisiva está no artigo 25: o ministro pode designar a declaração, se cumprir o procedimento previsto no artigo 26. O texto não determina quando a primeira declaração deve ser publicada. Assim, o relatório se torna obrigatório depois da publicação, mas o projeto não dá uma data fixa para o começo do primeiro ano. Essa leitura descreve o efeito da redação; não indica que o governo pretenda adiar a declaração.

A troca entre uma obrigação e uma autorização

Hoje, o artigo 2 dos Network and Information Systems Regulations 2018 manda um ministro designar e publicar a estratégia nacional NIS. O artigo 3(6) também exige que as autoridades competentes e a Information Commission considerem essa estratégia ao exercer suas funções. A versão atual do HL Bill 49 removeria os dois dispositivos por meio do Anexo 2.

O novo instrumento tem outro desenho. Pelo artigo 25, o Secretário de Estado poderia definir prioridades governamentais, distribuir responsabilidades e estabelecer objetivos para os reguladores. Enquanto uma declaração estiver designada, o artigo 27 exige que cada autoridade a leve em conta e procure atingir seus objetivos relevantes. Em fevereiro, na comissão da Câmara dos Comuns, o ministro disse que a declaração substituiria a estratégia nacional então exigida. Ele também defendeu a regra que impede alterações durante três anos como uma forma de dar previsibilidade aos reguladores.

Há uma razão operacional para buscar maior coordenação. O governo afirma que doze reguladores setoriais implementam o regime NIS. A supervisão de energia, saúde, telecomunicações, água e serviços digitais precisa considerar riscos diferentes; concentrar tudo em um regulador único não produziria necessariamente melhor conhecimento. Ao mesmo tempo, o governo já apontou divergências entre as abordagens. Uma declaração comum pode fixar uma direção sem retirar a especialização setorial.

O problema de governança está no gatilho. A estratégia atual é uma obrigação permanente. A nova declaração, que ativa deveres equivalentes para os reguladores, depende de uma escolha executiva. A lei proposta não exige que o ministro publique um calendário, explique a ausência de declaração ou cumpra uma data limite. O governo pode escolher o momento do primeiro passo, embora a prestação de contas subsequente tenha periodicidade definida.

Há controle sobre o conteúdo, não sobre o início

Depois que o ministro decidir avançar, o artigo 26 exige consulta às autoridades reguladoras por pelo menos quarenta dias. O ministro precisa considerar as respostas e apresentar a declaração ao Parlamento. Abre-se então outro período de quarenta dias. Se uma das Casas resolver não aprovar o texto nesse intervalo, a declaração não poderá ser designada.

É um processo de consulta e controle parlamentar; não é um prazo para começar. Após a designação, a regra geral impede mudança ou retirada por três anos. As exceções são uma eleição geral ou uma mudança significativa na política do governo ou na natureza das ameaças, conforme a avaliação do Secretário de Estado. O desenho tenta combinar estabilidade para planejamento com flexibilidade em situações definidas. A primeira publicação, porém, continua sem data limite.

Também é preciso separar atividade regulatória de resultado público. O relatório anual deve descrever, em termos gerais, cumprimento e planos. Pode dar ao Parlamento base para questionar reguladores e ministros. Não é, por si só, uma auditoria independente que comprove menos incidentes, recuperação mais rápida de serviços ou maior resiliência do país. Esses resultados exigem outras evidências.

A revisão mais ampla começa em outra data

O artigo 40 estabelece uma avaliação periódica da legislação NIS abrangida, dos objetivos alcançados e de sua continuidade, da possibilidade de medidas menos onerosas e do uso dos poderes do Secretário de Estado. O prazo mínimo é de cinco anos, contado do dia em que a lei for aprovada.

O Comitê de Assuntos Constitucionais da Câmara dos Lordes recomendou revisões mais frequentes, pois o setor muda rapidamente e o projeto concede poderes relevantes ao ministro. Em 13 de outubro, Lord Clement-Jones protocolou uma emenda para trocar “cinco” por “dois” no artigo 40. Até a data de corte desta pesquisa, a proposta ainda aguardava a etapa de Report; não havia sido aprovada. Ela encurtaria o intervalo de avaliação do regime, mas não definiria quando o primeiro relatório anual começaria.

No debate anterior na Câmara dos Comuns, o governo argumentou que uma avaliação completa de um regime transversal exige tempo e que os relatórios anuais permitem acompanhar a atuação dos reguladores com mais frequência. As funções são diferentes: uma nota anual sobre atividades não avalia sozinha a efetividade da legislação, alternativas menos restritivas ou o exercício de poderes ministeriais. E a frequência anual só existe depois de iniciado o primeiro ciclo.

Em 14 de outubro de 2026, o projeto continua na Câmara dos Lordes. HL Bill 49, alterado em comissão em 7 de setembro, é a versão impressa mais recente; a fase de Report está prevista para 26 de outubro. O texto ainda não é lei. A lista de emendas de 13 de outubro registra propostas, não decisões aprovadas. Qualquer efeito dependerá da aprovação e do início de vigência das disposições.

A escolha parlamentar é mais específica do que “relatórios anuais ou quinquenais”. É decidir se o primeiro período anual deve começar em uma data que o Executivo escolherá no futuro ou se a lei deve tornar o início verificável. Um prazo para publicar a primeira declaração poderia preservar a consulta e o procedimento parlamentar e, ao mesmo tempo, dar previsibilidade. Um relatório provisório sobre a preparação dos reguladores também poderia revelar a espera, desde que o conteúdo esperado antes das prioridades comuns ficasse claro.

Substituir uma estratégia obrigatória por uma declaração discricionária pode dar flexibilidade e alinhar doze reguladores. Também deixa o primeiro ciclo anual atrás de um ato ministerial sem data limite. Quando a declaração for publicada, a prestação de contas passa a ser obrigatória. Até lá, falta um marco temporal contra o qual o Parlamento e o público possam medir o atraso.

Fontes