Regime Jurídico da Cibersegurança e gestão do risco de segurança
O Decreto-Lei n.º 125/2025, de 4 de dezembro, transpôs a Diretiva (UE) 2022/2555 e entrou em vigor em 3 de abril de 2026. Estabeleceu obrigações vinculativas para milhares de organizações e responsabilizou directamente os órgãos de gestão pelo cumprimento das medidas de cibersegurança.
O que o regime exige
A alteração de paradigma é substancial. O regime anterior assentava numa lógica de auto-regulação sectorial; o novo regime estabelece um âmbito subjectivo amplo, medidas obrigatórias tipificadas e responsabilidade pessoal dos dirigentes. A conformidade não é delegável no departamento de sistemas de informação.
O âmbito abrange entidades essenciais em nove sectores — energia, transportes, banca e sector financeiro, saúde, água, infraestruturas digitais, serviços postais, indústria transformadora e produtos químicos e alimentares —, entidades importantes e entidades públicas relevantes. A qualificação depende do sector, da dimensão e da natureza do serviço prestado.
Em Junho de 2026, o Centro Nacional de Cibersegurança publicou regulamento que concretiza as medidas técnicas e organizativas exigíveis, elevando o nível de detalhe da obrigação e, consequentemente, o grau de exigência probatória.
Autoridade e fontes
As obrigações que estruturam a conformidade neste domínio
Análise e gestão do risco
Política de análise dos riscos e de segurança dos sistemas de informação, com metodologia documentada e revisão periódica.
Tratamento de incidentes
Procedimento de detecção, classificação, tratamento e registo de incidentes, com fluxos de escalamento definidos.
Continuidade da actividade
Gestão de cópias de segurança, recuperação em caso de desastre e gestão de crises, com testes periódicos documentados.
Segurança da cadeia de abastecimento
Avaliação da segurança dos fornecedores directos e dos prestadores de serviços, com cláusulas contratuais adequadas.
Segurança no ciclo de vida
Segurança na aquisição, no desenvolvimento e na manutenção de sistemas, incluindo o tratamento e a divulgação de vulnerabilidades.
Avaliação da eficácia
Políticas e procedimentos para avaliar a eficácia das medidas de gestão dos riscos de cibersegurança adoptadas.
Formação e higiene informática
Práticas básicas de higiene informática e formação em cibersegurança, incluindo formação obrigatória dos órgãos de gestão.
Criptografia e controlo de acesso
Políticas de utilização de criptografia e de cifragem, controlo de acesso e gestão de activos, com autenticação multifactor.
Comunicações de emergência
Soluções de comunicação de voz, vídeo e texto seguras, e sistemas de comunicação de emergência dentro da entidade.
O calendário de cumprimento do novo regime
| Obrigação | Prazo | Observações |
|---|---|---|
| Comunicação do responsável de cibersegurança | 20 dias úteis após a entrada em vigor | Dirigida à autoridade competente; actualização em caso de substituição |
| Registo da entidade junto da autoridade | Nos termos definidos pela autoridade competente | Inclui identificação, sector, contactos e âmbito da actividade |
| Alerta precoce de incidente significativo | 24 horas a contar do conhecimento | Indicação de suspeita de acto ilícito ou de possível impacto transfronteiriço |
| Notificação do incidente | 72 horas a contar do conhecimento | Actualização do alerta precoce, com avaliação inicial de gravidade e impacto |
| Relatório final do incidente | Um mês após a notificação | Descrição detalhada, causa, medidas de mitigação e impacto transfronteiriço |
| Termo do período de carência de coimas | 3 de abril de 2027 | Doze meses após a entrada em vigor do diploma |
Serviços disponíveis nesta área
Qualificação do âmbito subjectivo
Determinação fundamentada da qualificação da entidade como essencial, importante ou pública relevante, com parecer escrito.
Implementação das medidas do artigo 27.º
Desenho e implementação das nove áreas de medidas obrigatórias, articuladas com o regulamento do Centro Nacional de Cibersegurança.
Plano de resposta e notificação de incidentes
Procedimento com árvore de decisão para o cumprimento dos prazos de 24 horas, 72 horas e um mês, com minutas de notificação.
Avaliação da cadeia de abastecimento
Questionário de avaliação de fornecedores, matriz de criticidade e cláusulas contratuais de segurança.
Simulacros e exercícios de mesa
Exercícios de resposta a incidente com participação do órgão de gestão, relatório de observações e plano de melhoria.
Formação obrigatória dos órgãos de gestão
Sessão específica sobre deveres, responsabilidade e aprovação das medidas de gestão do risco de cibersegurança.
Dúvidas recorrentes nesta matéria
A qualificação resulta da combinação de três factores: o sector de actividade, a dimensão da entidade e a natureza do serviço prestado. O Decreto-Lei n.º 125/2025 elenca os sectores de alta criticidade e outros sectores críticos, aplicando em regra os limiares de dimensão da recomendação europeia relativa às pequenas e médias empresas. Existem, porém, entidades abrangidas independentemente da dimensão. A análise deve ser feita caso a caso e reduzida a escrito, porque a qualificação determina o regime de supervisão aplicável.
É a pessoa designada como ponto de contacto com a autoridade competente e responsável pela coordenação interna do cumprimento do regime. A função deve dispor de competência técnica, autonomia e acesso directo ao órgão de gestão. A externalização é admissível, desde que assegurada a disponibilidade e o conhecimento da organização, mas a responsabilidade pela aprovação e supervisão das medidas permanece no órgão de gestão.
Em termos gerais, o incidente que cause ou seja susceptível de causar perturbação operacional grave dos serviços ou perdas financeiras relevantes para a entidade, ou que afecte ou seja susceptível de afectar outras pessoas causando danos materiais ou imateriais consideráveis. A qualificação exige critérios internos previamente definidos, porque o prazo de 24 horas não permite deliberação prolongada.
Não é suficiente, mas é um ponto de partida valioso. Um sistema de gestão de segurança da informação certificado cobre parte substancial das medidas do artigo 27.º, mas não abrange integralmente as obrigações de notificação, o registo junto da autoridade, a formação obrigatória dos órgãos de gestão nem os deveres específicos de responsabilidade dos dirigentes. É necessário um exercício de correspondência e complemento.
Precisa de avaliar a exposição da sua organização neste domínio?
Uma reunião de diagnóstico permite delimitar o âmbito, identificar as obrigações com prazo mais próximo e estimar o esforço necessário.