Pilar P2 · Incidentes de cibersegurança
Incidentes de cibersegurança no novo regime jurídico
Serviços para entidades essenciais, importantes e públicas relevantes: qualificação, tratamento de incidentes, cadeia de abastecimento, ciberexercícios e relatório anual.
Conceito central
O incidente significativo
As entidades abrangidas notificam qualquer incidente significativo. Para o aferir, o regime manda considerar, designadamente, cinco parâmetros.
Utilizadores afetados
Número de utilizadores afetados pela perturbação do serviço.
Universo do serviço
Número total de utilizadores do serviço perturbado.
Duração
Tempo durante o qual o incidente se prolonga.
Gravidade
Nível da gravidade da perturbação do funcionamento do serviço.
Impacto socioeconómico
Dimensão do impacto nas atividades económicas e sociais.
Instruções técnicas
Parâmetros e limiares definidos pelo CNCS e pelos atos de execução da Comissão Europeia.
N.os 1, 3 e 4 do artigo 40.º do regime aprovado pelo Decreto-Lei n.º 125/2025. A mera notificação não gera responsabilidade acrescida para a entidade notificante (n.º 2).
Artigo 27.º
Nove áreas de medidas, uma começa pelos incidentes
Tratamento de incidentes
Deteção, classificação, resposta e aprendizagem.
Continuidade e gestão de crises
Cópias de segurança, recuperação de desastres e crise.
Cadeia de abastecimento
Relações com fornecedores e prestadores diretos.
Aquisição e desenvolvimento
Incluindo tratamento e divulgação de vulnerabilidades.
Avaliação da eficácia
Políticas e procedimentos de avaliação das medidas.
Ciber-higiene e formação
Incluindo titulares dos órgãos máximos de gestão.
As restantes áreas abrangem criptografia e cifragem, segurança dos recursos humanos, controlo de acessos e gestão de ativos, e autenticação multifator, comunicações seguras e comunicações de emergência.
Aplicação no tempo
Quatro marcos a ter presentes
- 01
Entrada em vigor
Publicado em 4 de dezembro de 2025, o Decreto-Lei n.º 125/2025 entrou em vigor 120 dias depois.
- 02
Designações
Responsável de cibersegurança e ponto de contacto comunicados no prazo de 20 dias úteis.
- 03
Dispensa de coimas
Pedido fundamentado possível durante 12 meses a contar da entrada em vigor.
- 04
Medidas e relatório
Artigos 27.º a 30.º produzem efeitos 24 meses após a regulamentação referida no diploma.
Produtos e serviços
Serviços de gestão de incidentes de cibersegurança
Qualificação no Regime Jurídico da Cibersegurança
Análise da qualificação da organização como entidade essencial, importante ou pública relevante e do conjunto de obrigações de gestão e notificação de incidentes daí decorrentes.
Ficha técnica CI-02Plano de Tratamento de Incidentes
Conceção do plano de tratamento de incidentes com deteção, classificação, critérios de impacto significativo, escalonamento, resposta, notificação e lições aprendidas.
Ficha técnica CI-03Incidentes na Cadeia de Abastecimento
Integração dos fornecedores e prestadores de serviços diretos na gestão de incidentes, com requisitos contratuais de alerta, cooperação e informação.
Ficha técnica CI-04Ciberexercício de Resposta a Incidentes
Exercício técnico-operacional que testa deteção, classificação, escalonamento, contenção e notificação num incidente de cibersegurança realista.
Ficha técnica CI-05Estatística de Incidentes e Relatório Anual
Organização da estatística trimestral de incidentes e preparação do relatório anual exigido pelo regime, com análise agregada dos incidentes significativos.
Ficha técnica CI-06Coordenação de Resposta com Equipas Técnicas
Coordenação da resposta a incidentes entre a entidade, os parceiros técnicos de resposta e forense e as autoridades, garantindo que a ação técnica e as obrigações regulatórias avançam em conjunto.
Ficha técnicaEcossistema
Funções que sustentam a resposta
Responsável de cibersegurança
Propõe as medidas, informa os órgãos de gestão e coordena o ponto de contacto.
responsaveldeciberseguranca.ptPonto de contacto permanente
Assegura os fluxos de informação operacional com a autoridade.
pontodecontacto.ptNotificação
Prazos de 24 horas, fim de impacto e relatório final.
notificacaodeincidentes.ptUm incidente significativo não avisa
Qualifique a sua entidade e prepare o plano de tratamento de incidentes antes do primeiro prazo de 24 horas.