Hackers divulgam dados da administração de Berlim após prazo de resgate

Os hackers publicaram uma grande coleção de arquivos da administração do Estado de Berlim após um prazo de resgate expirar, informou Euronews em 5 de setembro. A fonte identificou o grupo como Rhysida e disse que o material incluiu informações pessoais sobre funcionários civis. A divulgação coloca a proteção dos registos governamentais e das pessoas afetadas sob controle.

De acordo com o relatório, o Senado de Berlim tinha recusado pagar a demanda antes da publicação. Alguns arquivos foram descritos como relacionados com a planejamento de emergência e segurança. Essas descrições exigem uma avaliação cuidadosa: o relatório disponível não estabelece que cada documento é autêntico, atual ou operacionalmente útil, ou identifica um estado que direciona os hackers.

Duas funções de proteção diferentes

As regras europeias abordam tanto a resiliência dos sistemas públicos como as consequências da exposição de informações pessoais. Em sua declaração de adoção de novembro de 2022, o Conselho da União Europeia explicou que o NIS2 estende os requisitos de cibersegurança às administrações públicas centrais e regionais. Estabelece requisitos mínimos de gestão de riscos e de relatório de incidentes, juntamente com acordos para a cooperação entre as autoridades nacionais em matéria de incidentes cibernéticos graves.

Esse quadro tem limites importantes. O Conselho excluiu explícitamente atividades envolvendo defesa, segurança nacional, segurança pública e aplicação da lei, bem como várias outras instituições. Consequentemente, a mera presença de documentos governamentais em uma fuga informada não estabelece quais disposições de cibersegurança governam cada sistema afetado. A determinação das entidades responsáveis e da natureza das suas atividades permanece essencial para a avaliação das obrigações aplicáveis.

Notificação e avaliação seguinte

Para as informações pessoais abrangidas pelo Regulamento Geral de Proteção de Dados, o artigo 33.o requer notificação à autoridade de supervisão competente sem demora injustificada e, se possível, no prazo de 72 horas de notificação. Uma exceção é aplicável quando uma violação é improvável para criar riscos para os direitos e liberdades das pessoas. Se a notificação for atrasada, o controlador deve explicar o atraso; estes são requisitos em vigor, não constatações de uma violação em Berlim.

A regulamentação também exige comunicação às pessoas afetadas quando uma violação é provável de criar um alto risco, sujeito às suas exceções. Os próximos desenvolvimentos significativos seriam, portanto, uma conta autorizada do que foi exposto, os riscos envolvidos e a resposta protectora. A divulgação pública dos arquivos roubados só não pode determinar se as obrigações de notificação foram cumpridas ou quais consequências de segurança duradouras seguirão.