O Governo alemão aprovou em Conselho de Ministros a maior revisão de sempre das leis que regem os seus serviços de informações, abrindo a porta a operações cibernéticas ofensivas, sabotagem no estrangeiro em casos limitados, análise automatizada de dados com inteligência artificial e acessos escalonados a sistemas informáticos. O Ministério Federal do Interior descreve o diploma aprovado como a revisão mais extensa e fundamental das bases legais do Bundesnachrichtendienst (BND) e do Bundesamt für Verfassungsschutz (BfV) na história da República Federal. Para a comunidade de cibersegurança europeia, o ponto mais sensível não é a espionagem clássica: é o que o Estado passa a fazer com as vulnerabilidades de software que descobre.
Resposta rápida: A 12 de agosto de 2026, o Conselho de Ministros alemão aprovou a reforma do direito dos serviços de informações, que dá ao BND e ao BfV poderes para «medidas ativas», incluindo manipulação de infraestruturas de TI de atacantes estrangeiros. A norma que obrigaria o BSI a entregar vulnerabilidades ao BND — incluindo zero-days — foi retirada antes da aprovação, sem ser substituída por uma política vinculativa de gestão de falhas. O diploma ainda tem de passar no Bundestag e a entrada em vigor está prevista para 1 de janeiro de 2027. Para organizações em Portugal, a lição prática é assumir que o mercado de falhas não corrigidas continuará ativo e reforçar a gestão de patches e a monitorização.
O que foi aprovado em Berlim
A reforma junta num só pacote a revisão da lei do BND e da lei do serviço interno de proteção da Constituição. O projeto foi divulgado no início de julho e aprovado por maioria em Conselho de Ministros na quarta-feira. Segue agora para o Bundestag, e as alterações previstas necessitam apenas de maioria parlamentar simples. A entrada em vigor do novo quadro está planeada para 1 de janeiro de 2027.
O volume do texto explica parte da controvérsia: a versão de julho tinha cerca de 648 páginas, segundo a heise online, que descreveu o projeto como uma reordenação de fundo das competências do BfV e do BND e das ligações entre ambos, e a versão que seguiu para o parlamento ascende a 753 páginas. A tutela política foi partilhada: o diploma foi preparado pela Chancelaria, responsável pelo BND, em conjunto com o Ministério do Interior e em articulação com a Justiça.
O enquadramento político foi assumido sem rodeios pelo ministro do Interior, Alexander Dobrindt, que falou de transformar os serviços de informações em «verdadeiros serviços secretos». Na comunicação oficial, o ministério justifica a mudança com «sabotagem, espionagem, ciberataques e ações encobertas de potências estrangeiras» que, defende, exigem novas respostas. A reforma prevê, pela primeira vez, a possibilidade de os serviços intervirem operacionalmente em casos claramente delimitados.
«Medidas ativas»: de apagar dados de vítimas a travar linhas de produção
O projeto prevê para ambos os serviços a possibilidade de «medidas ativas», com desenhos diferentes: o BND mantém-se, em princípio, um serviço de recolha de informações, mas recebe um conjunto de «poderes anexos» para afastar perigos imediatos que detete no decurso da sua atividade — por exemplo, eliminar dados de vítimas quando investiga sistemas de grupos de hackers, ou manipular remessas de mercadorias através da introdução de componentes defeituosos. Em situações de ameaça específica, cuja ordem tem de ser controlada pelo Conselho de Controlo Independente, o BND passa a poder atuar proativamente para impedir essas ameaças.
Na prática, isso inclui manipular a infraestrutura de TI de uma potência estrangeira durante um ciberataque ou uma campanha de desinformação em curso. Relatos da imprensa especializada alemã descrevem cenários mais extremos previstos no texto, como penetrar em sistemas de laboratórios de armas químicas ou de fábricas de drones para parar a produção, ou inutilizar servidores de grupos de hackers estatais e de atores de desinformação. Em situações raras, o BND poderia obter autorização para missões de sabotagem no estrangeiro, mantendo-se estritamente proibidas as operações letais.
A cláusula que caiu à última hora: o BSI e os zero-days
Este é o ponto que mais mobilizou o setor. A versão de julho previa que o BND recebesse apoio de «entidades públicas nacionais» como o BSI, a autoridade federal de segurança da informação, que passaria a entregar proativamente falhas de software — incluindo zero-days — ao serviço de informações, que poderia então explorá-las em ciberataques a outros sistemas. O texto apontava para uma transmissão imediata e, se possível, automatizada, e a fundamentação legal admitia que o período até ao fecho de uma falha poderia ser usado para «trabalhos importantes» do BND.
A reação de associações empresariais e de especialistas foi frontal. A associação eco considerou o papel atribuído ao BSI especialmente crítico, argumentando que as empresas têm de poder confiar que a informação sobre falhas comunicada ao BSI serve, em primeiro lugar, para as corrigir rapidamente, e que uma obrigação geral de transmissão ao BND cria um conflito de objetivos. Da comunidade técnica, a AG Kritis alertou que reforçar poderes estatais de hacking e capacidades ciberofensivas, em vez de reforçar a segurança informática, tende a enfraquecer a resiliência das infraestruturas críticas.
O resultado: a norma que obrigaria o BSI a entregar vulnerabilidades aos serviços de informações foi retirada da proposta nos metros finais. Uma das razões apontadas é que, como muitas entidades privadas e públicas têm deveres de comunicação perante o BSI, essa obrigação equivaleria a uma comunicação indireta ao BND. Fica, contudo, uma lacuna: a regra desapareceu, mas não foi substituída por uma gestão vinculativa de vulnerabilidades.
Vigilância escalonada, biometria e análise automatizada
Um dos eixos da reforma são os poderes de recolha técnica: passam a existir bases legais escalonadas para acessos a sistemas informáticos, com limiares diferentes conforme a intensidade da intromissão nos direitos fundamentais, distinguindo, por exemplo, entre dispositivos ligados menos sensíveis e medidas contra telemóveis de uso privado. Segundo o projeto de Conselho de Ministros, isso inclui buscas encobertas em sistemas de TI e acesso ampliado a dados guardados em computadores e dispositivos móveis.
O diploma amplia ainda a análise automatizada de dados, com bases legais expressas para comparação biométrica de imagens, uso de inteligência artificial e tratamento de dados para fins de investigação e desenvolvimento, além de facilitar a transmissão de informação a outras autoridades e, em certos casos, a entidades privadas — no caso do BND, sobretudo à Bundeswehr. Está também prevista a possibilidade de o BND prosseguir na Alemanha vigilância de computadores e redes iniciada no estrangeiro, em circunstâncias específicas, quando um agente estrangeiro se encontre temporariamente em território alemão.
Cronologia do processo
| Data | Passo |
|---|---|
| Início de julho de 2026 | Publicação do projeto de lei do Ministério do Interior (cerca de 648 páginas), com a obrigação de o BSI transmitir falhas ao BND |
| 14 de julho de 2026 | Parecer conjunto de organizações de media entregue ao ministério, com críticas à proteção do sigilo profissional dos jornalistas |
| 12 de agosto de 2026 | Aprovação em Conselho de Ministros; a cláusula do BSI já não consta do texto |
| Próximos meses | Debate no Bundestag; necessária maioria simples |
| 1 de janeiro de 2027 | Entrada em vigor prevista |
Supervisão concentrada — e um intervalo problemático
A fiscalização jurídica dos serviços, atualmente dispersa por vários órgãos, passa a ser concentrada numa autoridade central, o Conselho de Controlo Independente (UKRat). Cabe-lhe autorizar previamente as intromissões em direitos fundamentais por parte do BfV e do BND, mantendo-se a comissão parlamentar de controlo na sua forma atual. Uma análise publicada pelo netzpolitik.org chama a atenção para o período de transição: a autoridade federal de proteção de dados perde de imediato a competência para queixas individuais com a entrada em vigor, no início de 2027, mas o novo conselho só deverá tratar esses pedidos a partir de 2029.
A oposição e parte da coligação já sinalizaram resistência. O deputado verde Konstantin von Notz, que integra o órgão parlamentar de controlo dos serviços, considera a reforma «urgentemente necessária», mas acusa o Governo de ir além do objetivo: aceita mais poderes para o BND no estrangeiro, onde não atua polícia alemã, e rejeita o reforço do serviço interno em território nacional. Do lado dos media, a Reporter ohne Grenzen sustenta que a proteção dos jornalistas e das suas fontes é sistematicamente reduzida e que os novos poderes de análise automatizada do BND colocam em risco o sigilo das fontes.
Porque é que isto importa em Portugal
A Alemanha não legisla no vácuo. Quando um Estado-membro de peso normaliza capacidades ciberofensivas e o uso operacional de falhas não corrigidas, altera-se o ambiente de risco para toda a cadeia de fornecimento europeia — incluindo PME portuguesas que usam o mesmo software, os mesmos equipamentos de rede e os mesmos serviços na nuvem. A tensão de fundo é conhecida: uma falha mantida em aberto para fins de informações é, ao mesmo tempo, uma falha explorável por criminosos e por outros Estados.
Do ponto de vista português, há três ligações diretas. Primeiro, o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) obriga entidades abrangidas a gerir riscos e a comunicar incidentes significativos ao CNCS/CERT.PT — e a gestão de vulnerabilidades e o patching são parte central dessa obrigação, independentemente do que outros Estados façam com zero-days. Segundo, medidas de vigilância ampliadas noutro Estado-membro tocam no RGPD e no princípio de que as exceções de segurança nacional têm de ser necessárias e proporcionais, tema que a CNPD e as autoridades europeias acompanham. Terceiro, para responsáveis de segurança em Portugal, a mensagem prática é operacional: reduzir a janela de exposição com atualizações rápidas, inventário de ativos, segmentação, monitorização de endpoints e planos de resposta testados.
Há também um dado relevante para quem reporta falhas: a confiança nos canais de divulgação coordenada de vulnerabilidades depende de as autoridades nacionais serem vistas como defensivas. Em Portugal, o CERT.PT é o ponto de contacto para reporte e coordenação, e o debate alemão mostra por que razão essa separação de papéis — defesa versus recolha de informações — é um tema de política pública, não apenas técnico.
Perguntas frequentes
A lei alemã já está em vigor?
Não. O Conselho de Ministros aprovou o projeto a 12 de agosto de 2026, mas o texto segue para o Bundestag, onde é necessária maioria simples. A entrada em vigor está prevista para 1 de janeiro de 2027, pelo que o conteúdo final pode ainda ser alterado.
O BSI vai passar a entregar zero-days ao BND?
Essa obrigação constava do projeto de julho, mas foi retirada da proposta antes da aprovação em Conselho de Ministros. Note-se, porém, que não foi introduzida em substituição uma política vinculativa de gestão de vulnerabilidades, pelo que o debate continua aberto na fase parlamentar.
A reforma autoriza «hackbacks»?
O Governo evita esse termo e fala de «medidas ativas». O texto permite, em casos delimitados, que o BND manipule a infraestrutura de TI de uma potência estrangeira durante um ciberataque ou campanha de desinformação em curso, e as medidas proativas dependem de uma situação de ameaça específica sujeita a controlo do Conselho de Controlo Independente.
O que deve uma PME portuguesa fazer face a este contexto?
Nada muda juridicamente em Portugal, mas o risco técnico reforça o básico: inventariar ativos expostos à Internet, aplicar atualizações com prazos definidos, ativar autenticação multifator, manter cópias de segurança testadas e definir quem comunica um incidente ao CERT.PT. Estas medidas protegem tanto contra criminalidade comum como contra exploração de falhas por atores estatais.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Ministério Federal do Interior alemão (BMI), por associações do setor como a eco e a AG Kritis, por organizações de jornalistas (DJV, Reporter ohne Grenzen) e por imprensa especializada em política digital.