Notificação de incidentes ao CNCS
Prazos, critérios e articulação com o RGPD
Cenário de abertura
São 18h00 de uma sexta-feira. A equipa de segurança detetou um acesso não autorizado a servidores de produção. Há evidências de exfiltração de dados de clientes. O gestor de IT pergunta: «Quando e como notificamos o CNCS?» O contador já começou a contar.
24 horas: a notificação inicial (Art. 42.º, n.º 1)
O Art. 42.º, n.º 1 do DL 125/2025 estabelece que, sem demora injustificada e até 24 horas após a entidade concluir que existe, ou possa vir a existir, um incidente significativo, deve ser submetida a notificação inicial (o «alerta precoce» da Diretiva) na plataforma eletrónica do CNCS, a MyCiber (Art. 40.º, n.º 6). Esta notificação não precisa de ser exaustiva, mas deve incluir, pelo menos (Art. 42.º, n.º 2): o contacto de um representante da entidade, quando diferente do ponto de contacto permanente; a data e hora do início ou, se não for possível determina-lo, da deteção do incidente; uma breve descrição do incidente, com a categoria da causa e dos efeitos segundo a taxonomia do CNCS; e uma estimativa do impacto (utilizadores afetados, duração, distribuição geográfica e impacto transfronteiriço). A lista da Diretiva para o alerta precoce (art. 23.º, n.º 4, al. a): suspeita de ato ilícito ou malicioso e impacto transfronteiriço) não é a redação do DL. O objetivo é dar ao CNCS visibilidade imediata, não um relatório completo.
72 horas: atualização da notificação inicial, quando necessário (Art. 42.º, n.º 3)
Quando necessário, até 72 horas após a verificação do incidente significativo, a entidade envia uma atualização da notificação inicial (Art. 42.º, n.º 3). Esta revê a informação inicial e fornece uma avaliação inicial do incidente, incluindo gravidade e impacto, e, se disponíveis, indicadores de exposição a riscos. Não é uma etapa autónoma obrigatória: é devida apenas quando necessário. As 72 horas coincidem com o prazo RGPD para notificação de violações de dados pessoais a CNPD, o que significa que, em muitos incidentes, ambas as notificações devem ser feitas em simultâneo. É recomendável coordenar DPO e responsável de cibersegurança desde as primeiras horas.
Fim de impacto (Art. 43.º) e relatório final em 30 dias úteis (Art. 44.º)
O Art. 43.º exige uma notificação de fim de impacto significativo, sem demora injustificada e até 24 horas após o fim do impacto. O Art. 44.º, n.º 1 exige que, no prazo de 30 dias úteis a contar dessa notificação de fim de impacto, seja submetido um relatório final detalhado. Se o incidente for resolvido nas duas horas após a deteção, só é devida a notificação de fim de impacto (Art. 41.º, n.º 2). Se o incidente continuar após o prazo do relatório final, a autoridade pode pedir relatórios intercalares semanais (Art. 44.º, n.º 3). O relatório final inclui, pelo menos: a data e hora em que o incidente assumiu e perdeu o impacto significativo; o impacto (utilizadores afetados, duração, distribuição geográfica e impacto transfronteiriço); a descrição do incidente com a categoria da causa e dos efeitos segundo a taxonomia do CNCS; as medidas de mitigação adotadas; e a situação residual do impacto, incluindo as notificações feitas a outras autoridades (art. 44.º, n.º 2). Este relatório serve como base para a avaliação do CNCS e pode influenciar decisões de supervisão posteriores.
O que é um incidente significativo
Nem todos os incidentes obrigam a notificação. O DL 125/2025 (Art. 2.º, al. l)) define incidente significativo como aquele que: cause, ou seja suscetível de causar, graves perturbações operacionais dos serviços ou perdas financeiras à entidade em causa; ou afete, ou seja suscetível de afetar, outras pessoas singulares ou coletivas, causando danos materiais ou imateriais consideráveis. Para avaliar o impacto, o Art. 40.º, n.º 3 manda ponderar o número de utilizadores afetados, o número total de utilizadores do serviço, a duração, a gravidade da perturbação e a dimensão do impacto económico e social; não há limiares numéricos no decreto-lei. O limiar é propositadamente flexível para incluir situações de potencial impacto grave, mesmo que o impacto final seja mitigado. É sempre preferível notificar em caso de dúvida.
Sanções por atraso ou ausência de notificação
A ausência ou atraso injustificado na notificação de incidentes significativos constitui contraordenação muito grave para qualquer entidade (art. 61.º, n.º 1, al. j)), punível com coima até 10 milhões de euros ou 2% do volume de negócios anual mundial para entidade essencial, ou até 7 milhões de euros ou 1,4% para entidade importante. Além da coima, o CNCS pode publicitar a sanção, o que tem um impacto reputacional significativo. A notificação atempada e de boa fé, mesmo que o incidente não se confirme como significativo, é sempre vantajosa: demonstra diligência e cooperação.
Timeline de notificação de incidentes
Cenário ilustrativo
Articulação NIS2 + RGPD: dois relógios, um incidenteUm incidente de ransomware com exfiltração de dados de clientes aciona simultaneamente o prazo NIS2 (24h CNCS) e o prazo RGPD (72h CNPD). Organizações sem coordenação prévia entre o CISO e o DPO chegam aos 72 horas sem saber a que autoridade notificar primeiro e com que conteúdo. A solução é um procedimento conjunto pre-definido que inclua ambos os canais de notificação, escalamento idêntico e um modelo de notificação único com campos específicos para cada autoridade.
Quiz do módulo 6
Responda a 5 perguntas sobre o conteúdo deste módulo. É necessário obter 70% ou mais para avançar.