Notificação de fim de impacto significativo
Formulário para notificar a autoridade de cibersegurança competente de que um incidente significativo deixou de ter impacto, no prazo de 24 horas, nos termos do art. 43.º do DL 125/2025.
Sempre que um incidente notificado ao CNCS (ou à autoridade setorial competente) deixa de ter impacto significativo sobre os serviços da entidade, a lei exige uma notificação específica de fim de impacto, com um prazo curto e conteúdo próprio. Este template estrutura essa notificação, evitando a submissão de informação incompleta na plataforma MyCiber.
Onde se situa no ciclo de notificação
Base legal
"A notificação do fim de impacto significativo do incidente deve ser submetida à autoridade de cibersegurança competente, sem demora injustificada e dentro do prazo de 24 horas após o fim do impacto." — Art. 43.º n.º 1 do DL 125/2025
O conteúdo mínimo (Art. 43.º n.º 2) inclui a atualização da notificação inicial, uma breve descrição das medidas de resolução e a descrição da situação de impacto no momento em que este termina: utilizadores afetados, duração, distribuição geográfica (incluindo impacto transfronteiriço) e tempo estimado para a recuperação total.
Submete-se através de formulário próprio na plataforma eletrónica MyCiber (Regulamento 756/2026, art. 20.º n.º 1 alínea b)). Se o incidente for resolvido nas duas horas após a deteção, a entidade fica dispensada da notificação inicial e apresenta apenas esta notificação de fim de impacto (Art. 41.º n.º 2 do DL 125/2025).
Se o incidente envolver dados pessoais, avalie em separado a notificação à CNPD nos termos do art. 33.º do RGPD (72 horas, formulário próprio em cnpd.pt/databreach/) — a violação deve ser documentada internamente mesmo quando essa notificação não é exigível.
O que este template contém
- Capa com identificação da entidade, versão e classificação de confidencialidade.
- Caixa de cronologia com as quatro fases do ciclo de notificação de incidentes e os respetivos prazos legais.
- Campos de identificação do incidente e da entidade, incluindo a referência atribuída pela plataforma MyCiber e a classe do incidente segundo a taxonomia CNCS/RNCSIRT.
- Secções para a atualização da notificação inicial, as medidas de resolução adotadas e a situação de impacto no momento do encerramento.
- Tabela de notificação a outras autoridades (CNPD, Ministério Público, Polícia Judiciária) quando aplicável.
- Perguntas frequentes sobre o que conta como "fim do impacto" e o que fazer em caso de reincidência ou de atraso na submissão.
- Checklist de verificação e declaração final para assinatura.
Quando usar
Use este template assim que um incidente já notificado (ou dispensado de notificação inicial por ter sido resolvido em duas horas) deixar de ter impacto significativo sobre os serviços prestados. A submissão desta notificação marca também o início da contagem dos 30 dias úteis para o relatório final (Art. 44.º n.º 1). Se, decorrido esse prazo, o incidente ainda estiver em curso e a autoridade solicitar atualizações periódicas, use o template de relatório intercalar de incidente.