Ficha de avaliação de significância do incidente
Apoio à decisão interna sobre se um evento de cibersegurança constitui "incidente significativo", determinando se e quando começa a contar o prazo de 24 horas para a notificação inicial.
A lei define "incidente significativo" em termos abertos e remete para um conjunto de parâmetros a ponderar. Esta ficha estrutura esse teste, incluindo os limiares numéricos aplicáveis a entidades de infraestrutura digital, e encaminha a decisão para a notificação obrigatória ou para a notificação voluntária.
Base legal
"«Incidente significativo», um incidente que: i) Cause, ou seja suscetível de causar, graves perturbações operacionais dos serviços ou perdas financeiras à entidade em causa; ii) Afete, ou seja suscetível de afetar, outras pessoas singulares ou coletivas, causando danos materiais ou imateriais consideráveis." — Art. 2.º alínea l) do DL 125/2025
Os parâmetros a considerar (Art. 40.º n.º 3) são: número de utilizadores afetados, número total de utilizadores do serviço, duração do incidente, gravidade da perturbação e dimensão do impacto nas atividades económicas e sociais. A categoria da causa e dos efeitos segue a taxonomia de incidentes do CNCS/RNCSIRT (10 classes: Código Malicioso, Disponibilidade, Recolha de Informação, Intrusão, Tentativa de Intrusão, Segurança da Informação, Fraude, Conteúdo Abusivo, Vulnerabilidade, Outro).
Para as entidades abrangidas pelo Regulamento de Execução (UE) 2024/2690 (DNS, TLD, computação em nuvem, centros de dados, CDN, serviços geridos, mercados em linha, motores de pesquisa, redes sociais, serviços de confiança), a significância também se testa pelo critério geral do art. 3.º n.º 1 (perdas financeiras acima de 500 000 EUR ou 5% do volume de negócios, morte ou dano de saúde considerável, fuga de segredos comerciais, acesso malicioso não autorizado, ou incidentes recorrentes nos termos do art. 4.º) e pelos limiares específicos dos arts. 5.º a 14.º.
O prazo de 24 horas para a notificação inicial (Art. 42.º n.º 1) conta a partir do momento em que a entidade "concluir que existe, ou possa vir a existir, um incidente significativo" — não do momento em que o incidente começou.
O que este template contém
- Teste dos dois critérios da definição legal do art. 2.º alínea l).
- Tabela dos cinco parâmetros do art. 40.º n.º 3, com espaço para registar o valor observado.
- Tabela completa da taxonomia de incidentes do CNCS/RNCSIRT (10 classes e respetivos tipos), para preencher o campo de causa/efeito exigido nas notificações.
- Tabela de limiares do Regulamento de Execução (UE) 2024/2690 por tipo de entidade, incluindo o critério geral do art. 3.º n.º 1 e a regra dos incidentes recorrentes do art. 4.º.
- Secção de conclusão e encaminhamento: notificação obrigatória (art. 42.º) ou notificação voluntária (art. 21.º do Regulamento 756/2026).
- Nota sobre a notificação dupla à CNPD (art. 33.º do RGPD, formulário em cnpd.pt/databreach/) e o dever de documentação mesmo quando essa notificação não é exigível.
- Checklist de verificação e campo de decisão e validação.
Quando usar
Preencha esta ficha assim que detetar um evento de cibersegurança com potencial impacto significativo, antes de decidir se avança para a notificação inicial de 24 horas. Guarde a ficha preenchida como evidência da decisão tomada, para efeitos de auditoria interna e de eventual fiscalização.