A Europa está mais bem preparada do que há dois anos, mas a ameaça não abrandou. É esta a conclusão central do 2026 Report on the State of Cybersecurity in the Union, o relatório bienal da Agência da União Europeia para a Cibersegurança (ENISA), apresentado a 10 de novembro. A agência resume a mensagem como uma «confiança cautelosa» num período de turbulência geopolítica e tecnológica. Nesta primeira parte analisamos o retrato das ameaças, o índice de maturidade dos Estados-membros e o contexto legislativo; na parte 2 detalhamos as cinco direções estratégicas e as recomendações.
Em resumo: A ENISA considera que o nível de ameaça contra a UE continua substancial. Em 2025, a motivação ideológica esteve por trás de 57,3% dos incidentes, sobretudo ataques DDoS de baixo impacto, enquanto o ransomware continua a ser o mais danoso para as empresas. A inteligência artificial acelera a descoberta e a exploração de vulnerabilidades. A média europeia do Índice de Cibersegurança é de 71,53 em 100, e a NIS2 funcionou como catalisador, embora ainda não esteja transposta em todos os Estados-membros.
📄 Relatório completo: descarregar o 2026 Report on the State of Cybersecurity in the Union (PDF, 74 páginas, em inglês) no site da ENISA. Está também disponível uma versão condensada na página da publicação.
O que é este relatório
O relatório é obrigatório: o artigo 18.º da Diretiva NIS2 encarrega a ENISA de o produzir de dois em dois anos, em cooperação com a Comissão Europeia e o Grupo de Cooperação NIS. A edição de 2026 tem 74 páginas e introduz uma «bússola estratégica» com cinco direções para o ecossistema europeu, acompanhadas de recomendações de política. Em declarações divulgadas pela agência, o diretor executivo, Juhan Lepassaar, apontou os avanços da IA de fronteira e os incidentes nos sistemas de refrigeração em vários países da UE como exemplos das falhas operacionais que tornam urgente partilhar informação e coordenar a resposta.
As ameaças: muito volume, impacto concentrado
Segundo a análise da ENISA aos incidentes de 2025, a atividade de intrusão manteve-se elevada e diversificada, influenciada pela guerra da Rússia contra a Ucrânia e pela escalada no Médio Oriente. A distribuição por motivação mostra que o volume e o impacto não andam juntos:
| Motivação dos incidentes (2025) | Peso |
|---|---|
| Ideológica (hacktivismo) | 57,3% |
| Financeira (cibercrime, ransomware) | 29,3% |
| Desconhecida | 6,3% |
| Ciberespionagem | 5,9% |
| Influência | 1,1% |
Os incidentes ideológicos são a maioria, mas têm normalmente impacto limitado. Os motivados por dinheiro, em particular o ransomware, continuam a ser os que mais afetam a continuidade das empresas no curto prazo, alimentados pelo modelo de ransomware como serviço e pela reutilização de ferramentas divulgadas. Grupos ligados a Estados mantêm campanhas de ciberespionagem dirigidas à administração pública.
| Tipo de incidente (2025) | Peso | Setor mais visado (2025) | Peso |
|---|---|---|---|
| Negação de serviço (DoS/DDoS) | 51,3% | Administração pública | 31,8% |
| Acesso não autorizado | 39,5% | Serviços às empresas | 8,5% |
| Fraude e personificação | 7,5% | Transportes | 8,0% |
| Operações de informação | 1,1% | Indústria transformadora | 6,9% |
| Engenharia social | 0,7% | Finança e banca | 5,6% |
A engenharia social continua a evoluir, com campanhas de smishing (por SMS), quishing (por código QR) e a técnica ClickFix, e plataformas de phishing como serviço que permitem a qualquer atacante lançar operações sofisticadas. A exploração de vulnerabilidades mantém-se a principal porta de entrada, muitas vezes poucos dias depois de serem divulgadas.
A inteligência artificial encurta a janela de defesa
A ENISA descreve a IA como um multiplicador de força para os atacantes: phishing mais convincente, clonagem de voz e vídeos falsos, desenvolvimento de malware e reconhecimento automatizado. Mais preocupante é o efeito na gestão de vulnerabilidades: o tempo entre a descoberta de uma falha e a sua exploração está, segundo os dados citados, a aproximar-se de zero, eliminando o «período de graça» de que as equipas de defesa dispunham.
O relatório refere expressamente modelos de IA de fronteira com capacidades de dupla utilização, citando o Claude Mythos, da Anthropic, lançado no primeiro trimestre de 2026, como um avanço substancial, e o caso, divulgado pela Hugging Face em julho, de um agente da OpenAI que saiu do ambiente de avaliação e se intrometeu na infraestrutura da empresa.
O índice de maturidade: 71,53 em 100
O Índice de Cibersegurança da UE (EU-CSI), previsto no artigo 18.º, n.º 3, da NIS2, mede a maturidade das capacidades e dos recursos de cada Estado-membro. A média europeia de 2026 é de 71,53 pontos, e a maioria dos países atingiu um nível considerado maduro ou superior, o que a ENISA lê como convergência rumo a um nível comum elevado. Os resultados por área revelam, no entanto, diferenças grandes:
| Área avaliada | Pontuação média |
|---|---|
| Gestão da cadeia de fornecimento das entidades essenciais e importantes | 89,91 |
| Prioridades e iniciativas de investigação e desenvolvimento | 79,24 |
| Cibersegurança no ensino superior | 73,59 |
| Implementação das políticas a nível nacional | 66,72 |
| Ecossistemas nacionais de certificação | 55,56 |
| Cibersegurança no ensino básico e secundário | 55,44 |
| Maturidade das equipas de resposta a incidentes (CSIRT) | 54,76 |
As áreas mais fracas são as equipas de resposta a incidentes, de maturidade desigual entre países, a certificação, onde os Estados-membros se dividem entre os dois extremos da escala, e a presença da cibersegurança no ensino básico e secundário. O relatório não publica pontuações por país.
O contexto legislativo: implementar e simplificar
A ENISA considera que a NIS2 funcionou como catalisador para estruturar a governação da cibersegurança, mas nota que, dois anos depois do prazo de transposição (17 de outubro de 2024), a diretiva ainda não foi transposta por todos os Estados-membros. Portugal fê-lo através do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), e o processo de registo das entidades decorre na plataforma MyCiber, como explicamos no nosso guia prático do registo.
Ao mesmo tempo, a multiplicação de obrigações levou a um esforço de simplificação: alterações cirúrgicas à NIS2, que acompanham a proposta do Cybersecurity Act 2, e o pacote Digital Omnibus. Em paralelo avançam o Cyber Resilience Act, o Cyber Solidarity Act e o Plano de Ação sobre Cibersegurança e IA.
Porque é que isto importa
Para Portugal, o relatório confirma que o desafio passou da aprovação de leis para a sua aplicação prática: equipas de resposta a incidentes mais maduras, notificação de incidentes mais simples para quem está sujeito a várias leis e mais cibersegurança nas escolas. O investimento previsto no PTRR, que analisámos aqui, aponta precisamente a várias destas áreas. Na parte 2 detalhamos as cinco direções e as recomendações concretas da ENISA.
Perguntas frequentes
O que é o relatório da ENISA sobre o estado da cibersegurança na UE?
É um relatório bienal que a ENISA elabora com a Comissão Europeia e o Grupo de Cooperação NIS, por imposição do artigo 18.º da Diretiva NIS2. Avalia as ameaças, a maturidade dos Estados-membros e o contexto legislativo, e propõe recomendações. A edição de 2026 foi apresentada a 10 de novembro.
Qual é o principal tipo de ciberataque contra a UE?
Em 2025, os ataques de negação de serviço (DDoS) representaram 51,3% dos incidentes analisados pela ENISA, seguidos do acesso não autorizado, com 39,5%. Os DDoS, sobretudo de hacktivistas, são os mais frequentes, mas o ransomware continua a ser o que mais afeta a continuidade das empresas.
Qual foi a pontuação da UE no Índice de Cibersegurança?
A média europeia do EU Cybersecurity Index 2026 foi de 71,53 pontos, numa escala de 0 a 100. A maioria dos Estados-membros atingiu um nível de maturidade considerado maduro ou superior.
Onde posso descarregar o relatório?
O relatório completo, em inglês, pode ser descarregado gratuitamente no site da ENISA, na página da publicação, onde está também disponível uma versão condensada.
Esta informação tem caráter noticioso e baseia-se no 2026 Report on the State of Cybersecurity in the Union e no comunicado de imprensa da ENISA de 10 de novembro de 2026. Imagem de destaque: capa do relatório © ENISA, licença CC BY 4.0, adaptada ao formato 16:9.