Concurso para escola de ciberdefesa exige experiência comprovada em atos de guerra

O concurso público internacional, no valor de 10,5 milhões de euros, que está a decorrer para a criação de uma escola de ciberdefesa no Estado-Maior-General das Forças Armadas (EMGFA) exige aos candidatos experiência em operações de ciberguerra e que revelem dois governos para quem prestaram serviços.

Este será o motivo principal a justificar o facto de apenas duas empresas - nenhuma delas conhecida no setor por possuir esta qualificação - terem apresentado propostas de candidatura para este projeto, a executar em sete anos.

De acordo com o caderno de encargos a que tiveram acesso pelo menos 11 empresas, e que, por ter sido classificado com grau de confidencial, tiveram de levantar no Gabinete Nacional de Segurança (GNS), um dos requisitos para serem candidatos a prestarem "Serviços de Formação e Consultoria em Ciberdefesa" é demonstrar que foram consultores, nos últimos cinco anos, no "suporte, apoio e orientação para a condução de operações militares no ciberespaço a pelo menos duas entidades governamentais".

Foi com grande estupefação que as empresas, entre as quais algumas gigantes mundiais, leram também que o EMGFA ainda impunha que esta demonstração contivesse "no mínimo, informação das características principais dos serviços prestados, suas componentes, objetivos principais, a data do início e tempo do projeto".

"Aberração total"

Perante esta originalidade, de acordo com fontes que estão a acompanhar o processo, apenas duas empresas apresentaram propostas (uma terceira concorreu fora do prazo).

"É uma aberração total exigir que as empresas revelem o que fizeram para os seus clientes, é uma quebra total do sigilo a que estão obrigadas. Se o objetivo é tirar credibilidade ao concurso ou deixá-lo deserto, estão a conseguir. Estamos a falar de empresas que estão entre as melhores do mundo, trabalham para vários governos e entidades oficiais. Ficaram de sobremaneira apreensivas com a possibilidade de o governo português ter permitido isto e interrogam-se se empresas portuguesas ou o EMGFFA divulgariam operações em que tenham participado em contexto idêntico ao deste concurso", sublinha um perito em ciberdefesa que esteve envolvido inicialmente na criação desta escola.

Questionado pelo DN para clarificar este requisito específico que consta do caderno de encargos, o porta-voz do EMGFA escudou-se com a classificação do concurso. "O concurso público limitado por prévia qualificação, em curso, é classificado. Deste modo, a eventual existência deste requisito no procedimento concursal deve ser apenas do conhecimento das empresas envolvidas no mesmo", respondeu.

Indagada sobre como interpreta o EMGFA o facto de apenas haver propostas de duas firmas, esta fonte oficial replica que "atendendo a que se encontra em curso a análise das candidaturas apresentadas, que terminará com a elaboração do respetivo relatório preliminar da fase de qualificação (...), não é possível responder na plenitude e com assertividade à questão colocada".

Patrocínio ao Exército

Uma das empresas que apresentou proposta é uma das maiores operadoras nacionais de telecomunicações, em relação à qual se desconhece experiência em ciberguerra.

A outra, uma corporação, apresenta-se no seu site como "líder do mercado" tecnológico em Portugal, na área da cibersegurança. Esteve, no entanto, envolvida, pelo menos, num exercício de ciberguerra organizado pelo Exército, em 2021, como patrocinadora, conforme assinalado na página oficial do ramo.

Nessa altura o Chefe de Estado-Maior do Exército (CEME) era José Nunes da Fonseca, atual Chefe de Estado-Maior-General das Forças Armadas (CEMGFA).

Logo depois de tomar posse no novo cargo (a 1 de março de 2023), Nunes da Fonseca tomou a decisão de abrir um concurso público internacional, obrigando a que voltasse à estaca zero todo o trabalho para a construção desta capacidade que tinha vindo a ser desenvolvido pelo seu antecessor Almirante Silva Ribeiro.

Conforme o DN já escreveu, esta medida surpreendeu fortemente as quatro empresas que tinham sido chamadas pela equipa do anterior CEMGFA e aguardavam desde fevereiro último receber o "request for proposal" - convite para apresentarem propostas - depois de, algumas delas, terem passado os últimos três anos a serem envolvidas neste projeto.

Este envolvimento terá sido levado ao mínimo detalhe de confiança entre as empresas (uma americana, duas israelitas e uma de Singapura, todas com credenciação para tratar informação classificada) e o EMGFA ao ponto de, garantiram ao DN fontes que estavam a acompanhar, terem sido até preparados programas para os cursos. Nenhuma delas está agora entre as que apresentaram propostas.

Oito contratos com o CEMGFA

Perguntado sobre se o patrocínio ao Exército da empresa candidata não poderá suscitar dúvidas de favorecimento ou conflito de interesses caso esta seja escolhida, o porta-voz oficial assegura que "estes patrocínios não envolvem a disponibilização de quantias monetárias, sendo consubstanciados, geralmente, pela disponibilização de prémios físicos a atribuir aos participantes no contexto do exercício ou, ainda, pela disponibilização de infraestruturas para apoio ao mesmo".

Explica ainda que "o exercício anual do Exército relacionado com a ciberdefesa tem a designação de Ciber Perseu procurando-se, com a sua realização, contribuir para a promoção do desenvolvimento das capacidades nacionais de ciberdefesa. Neste sentido, o exercício tem contado com a participação das estruturas de Ciberdefesa do EMGFA, dos ramos das Forças Armadas, de delegações militares de países amigos e aliados, do Centro de Nacional de Cibersegurança e, por vezes, com o patrocínio de empresas da área".

Esta empresa, segundo o portal dos contratos públicos, tem 849 contratos registados com o Estado, no valor de 57,3 milhões de euros.

Com o EMGFA assinou oito contratos, desde 2016, no valor de cerca de 400 mil euros, dois deles, de cerca de 170 mil, por concurso público, já depois da tomada de posse de Nunes da Fonseca.

Um deles, no valor de 151 mil euros (o mais elevado de todos) para realizar, em 30 dias, um "licenciamento checkpoint", que em 2022 tinha custado pouco mais de 90 mil euros.

Por sua vez, o Estado-Maior do Exército fez 17 contratos com esta empresa. Destes, 13 foram durante o mandato de Nunes da Fonseca enquanto CEME (19 de outubro de 2018 a 29 de fevereiro de 2023).

Ainda a 29 de agosto passado, foi registado neste portal um contrato entre esta mesma entidade e o Exército, no valor de 15 mil euros (IVA incluído), para a expansão da rede de dados do ramo.

A 18 de agosto, o Exército tinha registado outro contrato, de cerca de 10 mil euros, para a instalação do "Sistema Integrado de Controlo de Acessos e Videovigilância do Exército". A empresa tem ainda diversos contratos com o ministério da Defesa, Marinha e Força Aérea.

Atestado de saúde no trabalho

Além do requisito específico já referido, houve ainda outros fatores que podem ter contribuído para afastar concorrentes, principalmente estrangeiros, apesar de se tratar de um concurso público internacional.

Por exemplo, a exigência de certificado de qualidade de saúde e segurança no trabalho emitido pelo Instituto Português de Acreditação e uma prova de "capacidade financeira" através de um banco português que teria de garantir ao candidato uma linha de crédito de 4,5 milhões de euros que o "habilitasse a sacar, para efeitos contratuais, os referidos meios financeiros".

"Estes quesitos, sublinhe-se, tinham de ser conseguidos em cerca de seis semanas (o concurso foi aberto em 30 de junho passado e o prazo de entrega de propostas foi primeiro a seis de agosto, em plena Jornada Mundial da Juventude e visita do Papa Francisco a Portugal, com o país a meio gás) e depois prorrogado para 22, tornando impossível o seu cumprimento. Por isso, nem surpreende que das 11, nove tenham desistido", afiança uma fonte militar envolvida.

Em despacho de agosto de 2022, a ministra da Defesa Nacional, Helena Carreiras, autorizou uma despesa de 11,5 milhões de euros (+IVA) até 2030 para este plano, valor a que, entretanto, acrescentou mais um milhão para a construção/adaptação das infraestruturas onde será construída a Escola de Ciberdefesa.

Nesta decisão, Helena Carreiras considera um "imperativo (...) a qualificação dos recursos humanos afetos à ciberdefesa nacional, garantindo a capacidade de realizar todo o espetro de operações militares no, e através do, ciberespaço de interesse nacional, assegurando a sua defesa e a salvaguarda da soberania nacional".

Poucas situações poderiam impulsionar mais a criação de uma capacidade de ciberdefesa que ser alvo de um ataque cibernético com repercussões internacionais.

Mas, apesar dos estridentes sinais de alerta que soaram há um ano, quando, conforme o DN noticiou, o ministério da Defesa e o próprio EMGFA foram alvo de graves ciberataques (ocorridos pouco antes do despacho de Carreiras), alvo de inquérito-crime, o processo embrulhou-se e não há data prevista para a sua concretização.

Inquirido o gabinete da ministra da Defesa Nacional em relação às dúvidas sobre o caderno de encargos para a aquisição de serviços de consultoria, fonte oficial remete para o EMGFA todas as questões relacionadas com o concurso.

O porta-voz de Helena Carreiras salienta, porém, que "o Governo reforçou significativamente o investimento na capacidade de Ciberdefesa, tendo aumentado em 39%, num total de mais de 70 milhões de euros, as verbas para esse efeito na Lei de Programação Militar (LPM) recentemente publicada".

Quanto ao treino, além da "formação de base, contratualizada com o Instituto Politécnico de Beja", a mesma fonte confirma que a "formação avançada", a que se destina o concurso, visa "capacitar os recursos humanos com as perícias técnicas necessárias ao desenvolvimento sustentado e consolidado da capacidade para conduzir operações militares no ciberespaço".

Nada refere sobre os requisitos exigidos, nem sobre o facto de apenas duas empresas terem apresentado propostas, nem se pronuncia sobre uma delas ter patrocinado anteriormente o Exército.

Fonte: Diário de Notícias, 31 de agosto de 2023