Incidentes de Cibersegurança
Perguntas Frequentes
Respostas diretas sobre incidentes no novo regime.
Perguntas
Incidentes de cibersegurança
Todos os incidentes têm de ser notificados?
Não. A notificação obrigatória abrange os incidentes significativos, aferidos com base nos parâmetros do n.º 3 do artigo 40.º e nas instruções técnicas aplicáveis. Todos os incidentes contam, porém, para a estatística trimestral do relatório anual.
Notificar um incidente torna a entidade responsável por ele?
Não. O n.º 2 do artigo 40.º estabelece que o cumprimento da mera notificação não gera responsabilidade acrescida para a entidade notificante.
As medidas do artigo 27.º já são exigíveis?
Os n.os 1 e 2 do artigo 27.º e os artigos 28.º a 30.º produzem efeitos 24 meses após a publicação da regulamentação referida no n.º 2 do artigo 10.º do Decreto-Lei n.º 125/2025. A notificação de incidentes e as designações dos artigos 31.º e 32.º não estão abrangidas por esse diferimento.
A direção pode delegar a responsabilidade pela cibersegurança?
Só num dos titulares dos órgãos de gestão, direção e administração, nos termos do n.º 3 do artigo 25.º.
É possível evitar coimas no início da aplicação do regime?
Durante 12 meses a contar da entrada em vigor, as entidades podem pedir fundamentadamente a dispensa das coimas dos artigos 61.º e 62.º, com base na inexistência de procedimento interno de adaptação, nos termos do artigo 65.º.
Um incidente significativo não avisa
Qualifique a sua entidade e prepare o plano de tratamento de incidentes antes do primeiro prazo de 24 horas.