Reformar é outra coisa

Há ideias boas e há ideias originais. Nem sempre coincidem, e a originalidade, quando não coincide, sai cara. Consta, onde estas coisas costumam constar, que o Sistema de Informações da República Portuguesa gostaria de passar a tutelar o Centro Nacional de Cibersegurança (CNCS). A ser verdade, é uma ideia original.

É também o erro que atravessa as três casas de que aqui se fala. Confunde-se mudar o organograma com aumentar a capacidade. O princípio que devia governar isto nada tem de ideológico: cada função deve estar num sítio só. A capacidade operacional pertence às agências, a coordenação às estruturas de coordenação, e estas não devem ter capacidade própria. Quando se trocam os termos, o Estado não fica mais forte. Fica com mais reuniões.

O CNCS não é um serviço de informações, nem teria de herdar as limitações legais que em Portugal se aplicam a esses serviços. É um regulador. Desde Abril supervisiona milhares de entidades públicas e privadas, recebe a notificação obrigatória dos seus incidentes e pode sancioná-las com coimas até dez milhões de euros. Ninguém entrega o mapa das suas vulnerabilidades a quem tem por ofício conhecer o que os outros escondem. E o problema que a transferência resolveria já está resolvido: o novo Regime Jurídico da Cibersegurança fez do secretário-geral do Sistema de Segurança Interna (SSI) a autoridade nacional de gestão de crises de cibersegurança em grande escala. Nisso a lei acertou.

O caminho do CNCS seria outro, e para cima: sair do Gabinete Nacional de Segurança (GNS) e crescer até ser autoridade nacional de pleno direito, com poderes efectivos de regulação do ciberespaço. Não enfraqueceria o GNS. Libertá-lo-ia para a credenciação nacional, hoje o elo mais fraco da segurança colectiva.

A mesma confusão, no SSI, é mais antiga. Trabalhei no seu tempo nos contributos para as duas leis, e a distância entre o desenhado e o existente é hoje considerável. O SSI foi concebido como órgão essencialmente unipessoal de aconselhamento do primeiro-ministro, para coordenar entidades dispersas por vários ministérios e harmonizar formação, aquisições e sistemas informáticos. Construiu-se outra coisa, por uma razão muito portuguesa: entre nós a autoridade de um cargo mede-se pelo número de pessoas que se chefia directamente, porque temos dificuldade em lidar com instituições sem as absorver. O caminho é o inverso, reforçar a Polícia de Segurança Pública, a Guarda Nacional Republicana e a Polícia Judiciária. Cada competência ali instalada devia responder a uma pergunta: faz o que nenhuma força faz, ou faz um andar acima o que as forças já fazem? No segundo caso, devolve-se.

Nos serviços de informações a confusão inverte-se, porque se mexe em tudo menos no essencial. Há quatro caminhos, e não são alternativos. O primeiro é o serviço único, que trate a ameaça interna e a externa como o que são, a mesma ameaça, num tempo em que é difícil encontrar ameaça relevante à segurança interna sem origem externa. Um país da nossa dimensão não precisa de dois serviços operacionais – defendo-o há mais de 30 anos –, e a arquitectura de 2004 e 2007 deixou esse caminho a meio, com departamentos comuns que só fazem sentido como andaime de uma casa única.

O segundo é dotá-los de competências em matéria de intercepções e de acesso a metadados, que somos o único país europeu a negar aos seus serviços, e a que voltarei.

O terceiro é a estrutura comum de ciberinteligência, hoje objectivo quase obrigatório.

O quarto não se decreta: é dar-lhes meios operacionais efectivos e perder o medo de que façam o que os congéneres fazem. Um serviço assente em fontes abertas e em postos de função quase diplomática está longe do que se exige. A alternativa é preferir instituições domesticadas, que reduzem o risco porque reduzem a actividade. Quem não faz, não corre riscos.

Resta o que aproxima as duas casas. São cargos unipessoais, técnicos, de aconselhamento, discretos por natureza e, nas informações, sigilosos. A publicidade não lhes é vantagem, é desvantagem, sobretudo quando é pessoal e serve carreiras. Também a gestão corrente não se vende como reforma. O maior processo de recrutamento da história dos serviços não é o de 2025. Foi o de 2007 a 2010, com quatro cursos sucessivos e cerca de 200 entradas, e não valeu pelo número. Valeu por integrar uma reforma verdadeira, com pilares que se sustentavam: a revisão legal de 2004 e a lei orgânica de 2007, a fusão parcial dos serviços, a reestruturação orgânica, novas competências e capacidades por via legislativa, instalações novas e recrutamento estruturado ao longo de quatro anos. O de 2025, com 108 admissões previstas, foi o mais publicitado.

Procura-se modernidade e chama-se-lhe inovação, confundindo inovação com juventude e com pressa. Mas o tempo, a maturação e o conhecimento demoram a adquirir.

Quando alguém traz ideias novas para estruturas antigas, raramente é audácia. É quase sempre desconhecimento da estrutura. Mudar caixas não é reformar. Reformar é outra coisa.

Escreve sem aplicação do Acordo Ortográfico