Prazos obrigatórios de notificação
O Decreto-Lei n.º 125/2025 prevê, por cada incidente significativo, três notificações obrigatórias (art. 41.º, n.º 1): a notificação inicial, a notificação de fim de impacto significativo e o relatório final. A atualização às 72 horas é enviada quando necessário (art. 42.º, n.º 3) e o relatório intercalar apenas a pedido da autoridade (art. 44.º, n.º 3). O não cumprimento destes prazos pode resultar em sanções.
Notificação inicial
Prazo: Sem demora injustificada e até 24 horas após a entidade concluir que existe, ou possa vir a existir, um incidente significativo (art. 42.º, n.º 1)
O que notificar:
- Contacto de um representante da entidade, quando diferente do ponto de contacto permanente (art. 32.º)
- Data e hora do início ou, se não for possível determiná-lo, da deteção do incidente
- Breve descrição do incidente, com a categoria da causa e dos efeitos segundo a taxonomia do CNCS
- Estimativa do impacto: utilizadores afetados, duração, distribuição geográfica e impacto transfronteiriço (art. 42.º, n.º 2)
Autoridade competente:
CNCS - Centro Nacional de Cibersegurança
A notificação é submetida na plataforma eletrónica do CNCS, MyCiber (art. 40.º, n.º 6)
Atualização da notificação inicial
Prazo: Quando necessário, até 72 horas após a verificação do incidente significativo (art. 42.º, n.º 3)
Conteúdo (art. 42.º, n.º 3):
- Revisão da informação da notificação inicial
- Avaliação inicial do incidente, incluindo a sua gravidade e o seu impacto
- Indicadores de exposição a riscos, se disponíveis
Requisitos técnicos:
O relatório deve incluir informação técnica suficiente para permitir à autoridade competente avaliar a gravidade do incidente e o seu potencial impacto noutras entidades ou Estados-Membros.
Relatório Intercalar
Prazo: A pedido da autoridade, com periodicidade semanal, quando o incidente continuar em curso depois de decorrido o prazo do relatório final (art. 44.º, n.º 3)
Quando é obrigatório:
- Apenas quando a autoridade o solicitar (art. 41.º, n.º 3)
- Se o incidente continuar após o prazo do relatório final
- Até à apresentação do relatório final
Conteúdo (art. 44.º, n.º 4):
- Atualização da informação da notificação inicial
- Medidas adotadas para a resolução do incidente
- Situação de impacto: utilizadores afetados, duração e distribuição geográfica
- Tempo estimado para a recuperação total dos serviços
Notificação de Fim de Impacto
Prazo: Sem demora injustificada e até 24 horas após o fim do impacto significativo (art. 43.º, n.º 1)
O que notificar:
- Declaração de que o impacto significativo cessou
- Data e hora do fim do impacto
- Resumo das medidas de recuperação aplicadas
- Estado atual dos serviços afetados
Importância:
Esta notificação inicia a contagem do prazo de 30 dias úteis para entrega do relatório final completo.
Relatório Final
Prazo: 30 dias úteis a contar da notificação de fim de impacto significativo (art. 44.º, n.º 1)
Conteúdo do relatório (art. 44.º, n.º 2):
- Datas de início e fim do impacto significativo
- Impacto do incidente (utilizadores afetados, duração, distribuição geográfica)
- Descrição do incidente com a categoria da causa
- Medidas de mitigação adotadas
- Situação residual do impacto
- Notificações apresentadas a outras autoridades
Causa raiz definitiva, lições aprendidas e custos estimados são recomendados, mas não são conteúdo obrigatório.
Documentação completa:
O relatório final deve fornecer uma visão abrangente do incidente, incluindo todas as ações tomadas desde a deteção até à resolução, e as medidas implementadas para prevenir incidentes semelhantes no futuro.