O antigo Presidente do Tribunal de Justiça da União Europeia, José Luís Cruz Vilaça, apresentou fortes críticas à recente proposta de revisão do Regulamento Europeu de Cibersegurança (conhecida como CSA2), publicada pela Comissão Europeia no dia 20 de janeiro de 2026. 

Segundo Cruz Vilaça, a utilização do Artigo 114.º do Tratado sobre o Funcionamento da União Europeia (TFUE) como base jurídica única, que diz respeito às competências partilhadas entre a UE e os seus Estados-Membros em matéria do mercado interno, pode invalidar o regulamento, pois não justifica a intervenção em assuntos como a Cibersegurança, que implica também a segurança interna dos Estados.

No parecer publicado, os especialistas destacam que a proposta vai para além do reforço da proteção do mercado, considerando quatro áreas de intervenção:

• Reforço do mandato da Agência da União Europeia para a Cibersegurança (ENISA), com maior coordenação técnica e poderes operacionais;
• Reforma do Quadro Europeu de Certificação da Cibersegurança (ECCF), estendendo-o para abranger fatores não-técnicos, como riscos geopolíticos e dependências tecnológicas; 
• Maior segurança das cadeias de abastecimento das TIC considerados de alto risco (high-risk suppliers – HRS), especialmente em redes 5G e cadeias de fornecimento críticas;
• Simplificação dos procedimentos, através de alterações específicas à NIS2 interligadas com a CSA. 

O antigo presidente do tribunal e outros juristas atentam também que tais disposições, apesar de justificadas pela Comissão pela necessidade de reforçar a adaptabilidade e segurança digital do mercado interno comum, poderão invadir competências que pertencem à soberania exclusiva dos Estados-Membros, nomeadamente a segurança nacional, contrariando assim os princípios da atribuição, subsidiariedade e proporcionalidade estabelecidos no Tratado da União Europeia. 

Outra das principais preocupações salientadas é que conceitos amplos como “fornecedores de alto risco ou países de risco“, são considerações gerais, sem critérios objetivos claros, pode criar incerteza jurídica e reduzir a autonomia das autoridades nacionais em domínios essenciais à segurança. 

As críticas surgem no contexto de intensos debates entre instituições europeias e governos nacionais sobre a base jurídica que está a ser utilizada e o equilíbrio entre reforço da cibersegurança conjunta e o respeito pelos limites constitucionais dos Estados que integram a união. A proposta do CSA2 está a ser negociada entre o Parlamento Europeu e o Conselho, em processo legislativo ordinário, e não há certeza quanto à sua data de adoção.