Incidentes de Cibersegurança
Enquadramento
O Decreto-Lei n.º 125/2025 transpõe a Diretiva NIS 2 e coloca a gestão de incidentes no centro das obrigações das entidades abrangidas.
Entidades
Quem está abrangido
Entidades essenciais
Sujeitas às coimas mais elevadas e às medidas de supervisão previstas no artigo 54.º.
Entidades importantes
Sujeitas às obrigações de medidas, designações e notificação, e às medidas de supervisão previstas no artigo 55.º.
Entidades públicas relevantes
Sujeitas a medidas de cibersegurança estabelecidas pelo CNCS (artigo 33.º) e ao dever de notificação.
Os critérios constam dos artigos 3.º a 7.º e o procedimento de qualificação do artigo 8.º do regime. As entidades têm ainda o dever de registo previsto no artigo 35.º.
Artigo 25.º
Obrigações dos órgãos de gestão
- Aprovar as medidas de gestão dos riscos de cibersegurança adotadas nos termos do artigo 27.º;
- Supervisionar a aplicação dessas medidas;
- Assegurar o cumprimento das medidas de supervisão e de execução;
- Assegurar a realização regular de ações de formação em cibersegurança.
Os titulares dos órgãos de gestão, direção e administração podem responder por ação ou omissão, com dolo ou culpa grave, e estas responsabilidades só podem ser delegadas num dos titulares desses órgãos (n.os 2 e 3 do artigo 25.º).
Artigos 40.º a 48.º
Notificação de incidentes
| Momento | Prazo | Base |
|---|---|---|
| Notificação inicial | Até 24 horas após concluir que existe ou pode existir incidente significativo | Artigo 42.º |
| Incidente resolvido em duas horas | Apenas notificação do fim de impacto | Artigo 41.º, n.º 2 |
| Fim do impacto significativo | Até 24 horas após o fim do impacto | Artigo 43.º |
| Relatório final | 30 dias úteis após a notificação do fim de impacto | Artigo 44.º |
| Destinatários dos serviços | Sem demora injustificada, quando suscetíveis de ser afetados negativamente | Artigo 48.º |
Consulte notificacaodeincidentes.pt e a respetiva árvore de decisão. As notificações são submetidas na plataforma eletrónica prevista no n.º 7 do artigo 8.º do regime.
Artigos 61.º a 65.º
Sanções
| Contraordenação | Exemplos | Entidade essencial (pessoa coletiva) | Entidade importante (pessoa coletiva) |
|---|---|---|---|
| Muito grave | Incumprimento das medidas, do relatório anual, das funções dos artigos 31.º e 32.º, da notificação e da comunicação | De 2.000 a 10.000.000 euros ou 2% do volume de negócios | De 1.250 a 7.000.000 euros ou montante máximo não inferior a 1,4% do volume de negócios |
| Grave | Incumprimento do registo e dos pedidos de informação | De 1.250 a 5.000.000 euros ou 1% do volume de negócios | De 875 a 3.500.000 euros ou montante máximo não inferior a 0,7% do volume de negócios |
Fonte: artigos 61.º e 62.º do regime aprovado pelo Decreto-Lei n.º 125/2025. A negligência é punível, com limites reduzidos a metade (artigo 64.º). Durante 12 meses a contar da entrada em vigor, pode ser pedida a dispensa de coimas com fundamento na inexistência de procedimento interno de adaptação (artigo 65.º).
Integração
Articulação com outros regimes
O cumprimento do regime de cibersegurança não dispensa as obrigações específicas de notificação perante o Ministério Público, a Polícia Judiciária, a CNPD, a Entidade Fiscalizadora do Segredo de Estado e o GNS (n.º 5 do artigo 40.º). Quando o incidente envolva dados pessoais, aplicam-se ainda os artigos 33.º e 34.º do RGPD, tratados em databreach.pt.
Um incidente significativo não avisa
Qualifique a sua entidade e prepare o plano de tratamento de incidentes antes do primeiro prazo de 24 horas.