1 Âmbito e Objetivos

1.1 Âmbito de Aplicação

Esta política aplica-se a [Nome da Organização] e abrange:

• Violações de Dados Pessoais nos termos do Regulamento (UE) 2016/679 (RGPD)
• Incidentes de Cibersegurança nos termos da Diretiva (UE) 2022/2555 (NIS2)
• Todos os sistemas, serviços e infraestruturas da organização
• Dados pessoais de clientes, colaboradores, fornecedores e outras partes interessadas

1.2 Objetivos

• Estabelecer procedimentos claros para deteção, avaliação e resposta a violações de dados
• Garantir conformidade com prazos legais de notificação (24h e 72h)
• Minimizar o impacto de violações nos direitos e liberdades dos titulares dos dados
• Proteger a continuidade de serviços essenciais conforme NIS2
• Documentar todas as violações para demonstração de conformidade

1.3 Base Legal

• RGPD - Artigos 33 e 34 (Notificação de violações)
• Diretiva NIS2 - Artigo 23 (Notificação de incidentes)
• Lei n.º 58/2019 (Lei de Transposição do RGPD em Portugal)
• Decreto-Lei (em preparação) de transposição da NIS2 em Portugal

2 Definições

Termo	Definição
Violação de Dados Pessoais	Uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, perda, alteração, divulgação ou acesso não autorizados a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento (Artigo 4.º(12) RGPD).
Incidente de Cibersegurança	Evento que comprometa a disponibilidade, autenticidade, integridade ou confidencialidade de dados armazenados, transmitidos ou tratados, ou dos serviços oferecidos por sistemas de redes e informação (Artigo 6.º(7) NIS2).
DPO (Encarregado de Proteção de Dados)	Responsável por supervisionar a estratégia de proteção de dados e garantir conformidade com o RGPD.
CISO (Chief Information Security Officer)	Responsável pela segurança da informação e gestão de incidentes de cibersegurança.
CSIRT (Computer Security Incident Response Team)	Equipa de resposta a incidentes de segurança informática da organização.
CNPD	Comissão Nacional de Proteção de Dados - Autoridade de controlo em Portugal para proteção de dados pessoais.
CNCS	Centro Nacional de Cibersegurança - Autoridade nacional responsável por supervisionar a aplicação da NIS2 em Portugal.

3 Equipa de Resposta a Violações

A [Nome da Organização] designa a seguinte equipa para gestão de violações de dados:

Função	Responsável	Contacto	Responsabilidades
DPO	[Nome]	[Email / Telefone]	Coordenar notificações à CNPD, avaliar impacto nos titulares, comunicação aos titulares
CISO	[Nome]	[Email / Telefone]	Coordenar resposta técnica, notificação ao CNCS, contenção do incidente
Diretor Jurídico	[Nome]	[Email / Telefone]	Avaliar implicações legais, assessorar em notificações obrigatórias
Diretor de Comunicação	[Nome]	[Email / Telefone]	Gerir comunicação pública, preparar declarações à imprensa
Coordenador CSIRT	[Nome]	[Email / Telefone]	Análise forense, contenção técnica, recuperação de sistemas
Administração Executiva	[Nome]	[Email / Telefone]	Aprovação final de notificações, decisões estratégicas

4 Deteção e Avaliação de Violações

4.1 Canais de Deteção

• Sistemas de Monitorização Automatizados: SIEM, IDS/IPS, DLP
• Reporte Interno: Colaboradores podem reportar via [email/sistema]
• Reporte Externo: Clientes, fornecedores, parceiros
• Auditorias e Testes: Descoberta em auditorias de segurança ou testes de penetração
• Notificação de Terceiros: Fornecedores de serviços, autoridades, investigadores de segurança

4.2 Registo Inicial (Primeiros 15 minutos)

Ao tomar conhecimento de uma potencial violação, registar imediatamente:

• Data e Hora: Quando foi detetada a violação
• Fonte: Como foi descoberta (sistema, pessoa, entidade externa)
• Descrição Inicial: Natureza do incidente
• Sistemas Afetados: Infraestruturas, aplicações, bases de dados comprometidas
• Primeiras Evidências: Logs, alertas, capturas de ecrã

4.3 Calculadora de Gravidade de Incidentes

4.4 Critérios de Avaliação

5 Prazos de Notificação

5.1 Fluxograma de Decisão

5.2 Rastreador de Prazos Interativo

6 Procedimentos de Notificação

6.1 Notificação à CNPD (RGPD)

Informação Obrigatória na Notificação à CNPD (Artigo 33.º RGPD):

1. Natureza da violação de dados pessoais
   • Descrição do incidente: [Descrever o que aconteceu]
   • Data e hora da violação: [DD/MM/AAAA HH:MM]
   • Data de deteção: [DD/MM/AAAA HH:MM]
2. Categorias e número aproximado de titulares afetados
   • Número de titulares: [Número aproximado]
   • Categorias: [Ex: clientes, colaboradores, fornecedores]
3. Categorias e número aproximado de registos afetados
   • Tipos de dados: [Ex: nome, email, NIF, dados financeiros]
   • Número de registos: [Número aproximado]
4. Nome e contactos do DPO
   • Nome: [Nome do DPO]
   • Email: [dpo@organization.pt]
   • Telefone: [+351 XXX XXX XXX]
5. Descrição das consequências prováveis
   • Riscos identificados: [Ex: risco de fraude, usurpação de identidade]
6. Medidas adotadas ou propostas
   • Contenção: [Medidas imediatas tomadas]
   • Remediação: [Ações corretivas]
   • Prevenção: [Medidas para evitar recorrência]

6.2 Notificação ao CNCS (NIS2)

6.2.1 Alerta Precoce (24 horas)

Informação mínima a incluir:

• Identificação da entidade
• Contacto da pessoa responsável
• Data e hora de deteção
• Natureza do incidente (breve descrição)
• Sistemas ou serviços afetados

6.2.2 Notificação de Incidente (72 horas)

Informação detalhada a incluir:

1. Parâmetros técnicos do incidente (IoC - Indicators of Compromise)
2. Natureza da ameaça ou causa raiz provável
3. Medidas de mitigação aplicadas
4. Impacto na prestação de serviços
5. Impacto transfronteiriço (se aplicável)
6. Estimativa inicial de prejuízos

6.2.3 Relatório Final (30 dias)

Informação completa a incluir:

1. Relatório de análise forense completo
2. Causa raiz confirmada
3. Cronologia detalhada do incidente
4. Impacto total avaliado
5. Medidas corretivas implementadas
6. Plano de ação para prevenção de recorrências
7. Lições aprendidas

7 Comunicação aos Titulares dos Dados

7.1 Quando Comunicar (Artigo 34.º RGPD)

A comunicação aos titulares é obrigatória quando a violação for suscetível de resultar em elevado risco para os seus direitos e liberdades.

7.2 Exceções à Comunicação

A comunicação pode não ser necessária se:

• Medidas técnicas de proteção: Dados encriptados e a chave não foi comprometida
• Medidas posteriores: Foram adotadas medidas que eliminam o risco elevado
• Esforço desproporcionado: Com aprovação da CNPD, pode ser substituída por comunicação pública

7.3 Conteúdo da Comunicação

A comunicação deve incluir, de forma clara e simples:

1. Descrição da violação
   • O que aconteceu (em linguagem não técnica)
   • Quando foi detetado
   • Que dados foram afetados
2. Nome e contactos do DPO
   • Como obter mais informações
3. Consequências prováveis
   • Riscos específicos para o titular
4. Medidas adotadas ou propostas
   • O que a organização fez
   • O que o titular pode fazer para se proteger

7.4 Canais de Comunicação

A [Nome da Organização] utilizará os seguintes canais:

• Email individual: Preferencial para comunicação direta
• Carta registada: Quando não houver email ou para dados muito sensíveis
• SMS: Para alertas urgentes
• Notificação in-app: Se aplicável
• Comunicação pública: Apenas se aprovado pela CNPD (esforço desproporcionado)

7.5 Modelo de Comunicação

8 Contenção e Remediação

8.1 Ações Imediatas de Contenção (Primeiras 4 horas)

1. Isolar Sistemas Comprometidos
   • Desconectar da rede (se não comprometer recuperação)
   • Bloquear contas comprometidas
   • Desativar acessos remotos não essenciais
2. Preservar Evidências
   • Capturar logs antes de serem sobrescritos
   • Fazer imagens forenses de sistemas afetados
   • Documentar todas as ações tomadas
3. Parar a Propagação
   • Identificar vetor de ataque
   • Bloquear IPs/domínios maliciosos
   • Atualizar regras de firewall
4. Avaliar o Perímetro
   • Identificar todos os sistemas afetados
   • Determinar dados comprometidos
   • Verificar se há backdoors

8.2 Investigação Forense (Primeiras 48 horas)

• Análise de Causa Raiz: [Ferramenta/metodologia utilizada]
• Timeline de Eventos: Reconstruir cronologia completa do ataque
• Vetor de Intrusão: Como o atacante obteve acesso inicial
• Movimentos Laterais: Rastro do atacante na rede
• Dados Exfiltrados: Determinar que dados saíram da organização
• Persistência: Identificar backdoors, contas criadas, malware residual

8.3 Erradicação e Recuperação

1. Remover Ameaças
   • Eliminar malware
   • Fechar vulnerabilidades exploradas
   • Aplicar patches e atualizações
2. Restaurar Sistemas
   • Recuperar a partir de backups limpos
   • Reconstruir sistemas comprometidos
   • Validar integridade antes de colocar em produção
3. Reforçar Segurança
   • Implementar controlos adicionais
   • Aumentar monitorização
   • Rever políticas de acesso
4. Validar Normalidade
   • Testes de funcionamento
   • Monitorização intensiva
   • Confirmação de ausência de atividade maliciosa

8.4 Checklist de Resposta a Violações

9 Documentação e Registo de Violações

9.1 Registo Obrigatório (Artigo 33.º(5) RGPD)

A organização deve manter um registo de todas as violações de dados pessoais, incluindo:

• Factos relacionados com a violação
• Efeitos da violação
• Medidas corretivas adotadas