Coimas, supervisão e roadmap
Poderes do CNCS, sanções e plano de ação
Cenário de abertura
O CNCS notificou a vossa empresa que vai realizar uma inspeção no próximo trimestre. O CEO convoca uma reunião de emergência e pergunta: «Que poderes tem o CNCS? O que podem fazer connosco? E se encontrarem problemas, o que acontece?» Este módulo responde a todas estas questões.
Poderes de supervisão da autoridade (Art. 54-56)
Os Art. 54.º e 55.º do DL 125/2025 estabelecem as medidas de supervisão da autoridade de cibersegurança competente (o CNCS ou a autoridade setorial). Para as entidades essenciais, a supervisão pode ser exercida a qualquer momento: inspeções no local e supervisão remota, incluindo controlos aleatórios, auditorias de segurança regulares ou direcionadas (realizadas pela autoridade ou por entidade qualificada e independente, sendo os custos das direcionadas suportados pela entidade auditada, salvo decisão fundamentada em contrário, Art. 54.º, n.º 3), auditorias ad hoc, verificações de segurança e pedidos de informações, documentos e provas (Art. 54.º). Para as entidades importantes e para as entidades públicas relevantes, a supervisão é ex post: a autoridade atua quando obtém provas, indícios ou informações de incumprimento, com os mesmos tipos de medidas (Art. 55.º). Em qualquer caso, a autoridade pode adotar medidas de execução (Art. 56.º): advertências, ordens ou instruções vinculativas com prazos, ordens para informar os clientes afetados por uma ciberameaça, designação de um supervisor com funções circunscritas por um período limitado, ordens de publicitação da infração e aplicação de coimas.
Regime sancionatório (Art. 61-64 e 67-68)
O DL 125/2025 distingue contraordenações muito graves (Art. 61.º), graves (Art. 62.º) e leves (Art. 63.º). Para as entidades essenciais (pessoas coletivas): muito graves, coima de 2 000 EUR a 10 000 000 EUR ou 2% do volume de negócios anual mundial do exercício anterior, consoante o montante mais elevado; graves, de 1 250 EUR a 5 000 000 EUR ou 1%. Para as entidades importantes: muito graves, de 1 250 EUR a 7 000 000 EUR ou 1,4%; graves, de 875 EUR a 3 500 000 EUR ou 0,7%. As entidades públicas relevantes têm escalões próprios, sem percentagem (Grupo A: 16 000 a 4 000 000 EUR nas muito graves e 10 000 a 2 500 000 EUR nas graves; Grupo B: 8 000 a 350 000 EUR e 5 000 a 225 000 EUR), tal como as pessoas singulares (350 a 200 000 EUR nas muito graves; 250 a 125 000 EUR nas graves). As leves vão de 875 a 45 000 EUR (pessoa coletiva). São muito graves, entre outras, a falta das medidas de cibersegurança dos arts. 27.º a 30.º, a falta de responsável de cibersegurança ou de ponto de contacto permanente e a falta de notificação de incidentes; são graves a falta de registo e o incumprimento de ordens ou instruções da autoridade. A negligência é punível com os limites reduzidos a metade (Art. 64.º). Em simultâneo com a coima, a autoridade pode aplicar sanções acessórias (Art. 67.º): publicação da decisão no Diário da República e num jornal, proibição de participação em contratação pública, planos de formação ou de segurança a executar em seis meses, suspensão do serviço e interdição temporária dos titulares dos órgãos de gestão. Há ainda sanções pecuniárias compulsórias de 500 EUR por dia de atraso no cumprimento de uma decisão, até 30 dias (Art. 68.º).
Responsabilidade pessoal (recap)
Como vimos no Módulo 3, os titulares dos órgãos de gestão, direção e administração podem responder por ação ou omissão, com dolo ou culpa grave, nos termos da legislação aplicável, pelas infrações previstas no DL 125/2025 (Art. 25.º, n.º 2). No plano sancionatório, a autoridade de cibersegurança competente pode determinar, em simultâneo com a coima e caso a gravidade da infração e a culpa do infrator o justifiquem, a interdição temporária dos titulares dos órgãos de gestão, direção e administração do exercício das respetivas funções (Art. 67.º, alínea f)). Esta sanção acessória não está limitada às entidades essenciais (pode ser aplicada a qualquer infrator, incluindo entidades públicas relevantes), não exige reincidência e não tem duração fixada no decreto-lei; e impugnável para os tribunais judiciais, com efeito suspensivo (Art. 80.º). O regime é contraordenacional: o DL não prevê penas de prisão e só ressalva o Código Penal para a prestação de informações falsas ou grosseiramente inexatas (Art. 66.º, n.º 4).
Regime transitório e graduação da coima (Art. 10.º, 65.º, 66.º e 69.º)
O regime está em vigor desde 3 de abril de 2026, mas as coimas por falta das medidas de cibersegurança dos arts. 27.º a 30.º e 33.º (alíneas b), c) e f) do n.º 1 do Art. 61.º) só produzem efeitos a 22 de junho de 2028, 24 meses após a publicação do Regulamento n.º 756/2026 (art. 10.º, n.º 2, do decreto-lei). O registo, o responsável de cibersegurança, o ponto de contacto permanente e a notificação de incidentes são exigíveis desde 3 de abril de 2026. Até 3 de abril de 2027, as entidades essenciais, importantes e públicas relevantes podem pedir a autoridade, de forma fundamentada, a dispensa das coimas dos arts. 61.º e 62.º com fundamento na inexistência de um procedimento interno de adaptação ao novo regime (Art. 65.º); não é uma dispensa automática. Exceto em caso de dolo, a instauração do processo de contraordenação depende de advertência prévia para cumprimento em prazo razoável (Art. 66.º, n.º 5). A coima concreta é graduada pela gravidade da ilicitude, pela culpa, pela situação económica e pelo benefício obtido, atendendo a duração e reiteração da infração, aos danos, as medidas de mitigação e a cooperação com a autoridade (Art. 66.º); presumem-se graves as violações repetidas, a falta de notificação de incidentes e a obstrução de auditorias. O procedimento prescreve em cinco anos (graves e muito graves) ou três anos (leves), Art. 69.º.
Roadmap de conformidade em 90 dias
Um roadmap de 90 dias típico para uma organização que comece do zero inclui: Fase 1 (dias 1-30) - Qualificação e registo: autoavaliação, registo na MyCiber, designação de responsável de cibersegurança, aprovação formal pelo órgão de gestão. Fase 2 (dias 31-60) - Inventário e gap analysis: inventário de ativos críticos, avaliação de conformidade com as 9 medidas do Art. 27.º, identificação de fornecedores críticos. Fase 3 (dias 61-90) - Implementação prioritária: MFA em sistemas críticos, backup 3-2-1-1-0 testado, política de notificação de incidentes, programa de formação. A calculadora de coimas e o dashboard de conformidade do site ajudam a priorizar com base no risco específico.
Fluxo de supervisão e regime sancionatório
Caso real
O calendário real do regime em Portugal (2026-2028)Em Portugal, o DL 125/2025 entrou em vigor a 3 de abril de 2026. O Regulamento n.º 756/2026 do CNCS foi publicado a 22 de junho de 2026 e a plataforma MyCiber ficou operacional a 23 de junho de 2026, com 60 dias úteis para o registo das entidades já em atividade (prazo que terminou a 15 de setembro de 2026). As coimas por falta das medidas dos arts. 27.º a 30.º só produzem efeitos a 22 de junho de 2028; até 3 de abril de 2027 pode ser pedida a dispensa de coima (Art. 65.º). Na prática, o período 2026-2028 é a janela para construir o procedimento interno de adaptação: as entidades que documentem o roadmap, se registem na MyCiber e notifiquem os incidentes nos prazos reduzem o risco de coima e beneficiam da advertência prévia do Art. 66.º, n.º 5, em caso de incumprimento sem dolo.
Templates relacionados
Quiz do módulo 7
Responda a 5 perguntas sobre o conteúdo deste módulo. É necessário obter 70% ou mais para avançar.