Noções-chave
- "Cibersegurança": conjunto de medidas, tecnologias, políticas e práticas destinadas à protecção de redes, sistemas informáticos, infra-estruturas digitais e dados contra ameaças e ataques cibernéticos, acesso não autorizado e falhas operacionais, garantindo a confidencialidade, integridade, autenticidade e disponibilidade das informações no ambiente digital.
- "Ciberespaço": ambiente digital resultante da interconexão de redes de comunicação, sistemas de informação e infra-estruturas tecnológicas, incluindo a internet, redes privadas e infra-estruturas críticas, no qual ocorrem a criação, armazenamento, processamento e transmissão de dados e informações.
- "Ciberameaça": acção, circunstância, evento ou conduta, intencional ou acidental, susceptível de comprometer a confidencialidade, integridade, autenticidade e disponibilidade de sistemas de informação, redes, infra-estruturas críticas e dados no ciberespaço.
- "Ciberataque": conduta realizada por meio de redes, sistemas de informação ou dispositivos digitais para comprometer dados, serviços e infra-estruturas. Pode incluir espionagem, sabotagem, roubo de informações, extorsão ou interrupção de serviços.
- "Infra-estruturas Críticas": instalação, rede, sistema ou activo, físico ou digital, situado em território nacional e essencial para a manutenção de funções vitais da sociedade, da segurança nacional, da saúde pública, da economia ou do bem-estar da população.
- "Prestador de Serviço": pessoa singular ou colectiva, pública ou privada que, no exercício da sua actividade, disponibiliza, explora ou assegura a prestação de serviços previstos na presente Lei, recorrendo a redes de comunicação e sistemas de informação.
- Prestador de Serviços Essenciais: pessoa singular ou colectiva, pública ou privada, que presta serviços indispensáveis ao funcionamento da sociedade e da economia. A interrupção ou perturbação significativa desses serviços causa um impacto relevante na continuidade de funções sociais ou económicas fundamentais.
- Serviços de Centro de Dados: armazenamento, tratamento e transmissão de dados, englobando estruturas ou grupos de estruturas dedicados ao alojamento, à interligação e à operação centralizada de equipamento de redes de comunicação de dados e tecnologias de informação.
- Serviços de Cibersegurança: serviços relacionados com o tratamento de incidentes, gestão de vulnerabilidades, teste de penetração, serviços forenses digitais, governação de cibersegurança, gestão do risco, conformidade, formação e outros serviços de cibersegurança.
- "CERT.ao": Equipa Nacional de Resposta a Emergências Informáticas, estrutura operacional do Centro Nacional de Cibersegurança.
- "CSIRT" (Computer Security Incident Response Team): equipa de especialistas responsáveis por prevenir, gerir e responder a ameaças e ataques cibernéticos.
Entidades abrangidas
A Lei define os serviços inerentes ao Sistema Nacional de Cibersegurança e as obrigações dos respectivos prestadores:
- serviços de infra-estruturas críticas e essenciais;
- serviços digitais;
- serviços de centro de dados;
- serviços de computação em nuvem;
- serviços de cibersegurança; e
- serviços de comunicação electrónica.
Principais deveres das entidades abrangidas
Registo e organização
|
- Todas as entidades sujeitas a registo devem registar-se no Centro Nacional de Cibersegurança.
- Os operadores de infra-estruturas críticas devem ainda designar um ponto focal de cibersegurança e aderir a um CSIRT setorial de acordo com a sua dimensão, risco e criticidade.
- Nos serviços digitais e nos serviços essenciais, os deveres de organização são modulados em função da dimensão, do risco e da criticidade da actividade ou entidade. Assim, o prestador de serviços digitais pode estabelecer um CSIRT institucional, designar um ponto focal de cibersegurança ou aderir a um CSIRT sectorial em função desses factores.
- Quanto aos prestadores de serviços essenciais, o estabelecimento de CSIRT institucional é exigido nos termos definidos em função da sua dimensão, criticidade e risco.
|
Gestão do risco
|
- As entidades devem implementar medidas técnicas e organizativas adequadas e proporcionais aos riscos e manter procedimentos de recuperação célere de incidentes.
No caso dos serviços essenciais, isto inclui políticas de cópias de segurança, continuidade de negócio, segurança da cadeia de fornecimento, autenticação multifactor e criptografia, bem como também a aprovação e o acompanhamento das medidas pelo órgão de gestão.
|
Informação
|
- As entidades devem informar o CERT.ao sobre as ciberameaças e os ciberataques registados na sua actividade.
|
Sigilo
|
- As entidades devem manter em sigilo as comunicações e informações transmitidas pelos utilizadores.
|
Deveres específicos
|
- Os prestadores de serviços de centros de dados devem contratar seguro adequado e informar os assinantes sobre a existência, o âmbito e as condições da respectiva cobertura.
- Os prestadores de computação em nuvem devem ainda informar os assinantes sobre qualquer cobertura de seguro fornecida pelo serviço.
- Os prestadores de serviços de centros de dados e de computação em nuvem devem adoptar políticas de continuidade do negócio e recuperação de desastres e fornecer aos assinantes um resumo dessas políticas.
- Os prestadores de serviços de computação em nuvem e de comunicações electrónicas devem registar os seus utilizadores, sem que tal implique uma obrigação geral de identificação civil de todos os utilizadores ou a recolha massiva de dados pessoais ou de conteúdos das comunicações.
|
Notificação de incidentes
As entidades estão obrigadas a notificar os incidentes com impacto significativo.
Quem?
|
- Administração Pública.
- CSIRT setoriais e institucionais.
- Operadores de infraestruturas críticas e os prestadores dos serviços previstos na Lei.
- Outras entidades que utilizem redes e sistemas de informação, em função da sua dimensão, risco, criticidade ou impacto económico e social.
|
O que é um impacto
significativo?
|
Um incidente tem impacto significativo, por exemplo, quando cause perturbação operacional grave, afecte um número relevante de utilizadores, tenha impacto transfronteiriço ou sistémico, ou envolva violação de dados pessoais. |
Quando?
|
- O prazo será definido em diploma próprio.
- Os incidentes de elevado impacto devem ser comunicados imediatamente.
- Nos casos previstos na Lei e na regulamentação aplicável, deve ainda ser submetido um relatório final de resposta e resolução, sem prejuízo de relatórios intercalares quando solicitados ou quando o incidente permaneça em curso.
|
O que incluir?
|
A notificação deve incluir, pelo menos:
- a descrição do incidente e a sua natureza;
- o impacto estimado sobre os serviços afectados;
- as medidas de contenção adoptadas;
- uma avaliação preliminar da causa do incidente; e
- outras informações relevantes para a gestão da resposta.
|
A notificação ao CERT.ao ou ao CSIRT sectorial não substitui as notificações legalmente devidas à autoridade de protecção de dados pessoais, aos reguladores sectoriais, às autoridades judiciárias ou aos destinatários dos serviços, quando aplicável.
Os prestadores de serviços de centros de dados e de computação em nuvem devem ainda notificar os seus clientes sobre incidentes que afectem ou possam afectar dados, conteúdos ou serviços, incluindo violações de dados pessoais quando aplicável.
Os prestadores de serviços essenciais que dependam de um prestador de serviços digitais para a prestação de um serviço essencial devem também notificar os impactos importantes na continuidade dos seus serviços decorrentes de incidentes que afectem esse prestador.
Notificação voluntária
Qualquer entidade pode, a título voluntário, notificar ao CSIRT sectorial, ao CSIRT institucional ou ao CERT.ao incidentes com impacto importante na prevenção, detecção, resposta, recuperação e mitigação de incidentes de cibersegurança. A notificação voluntária não cria, por si só, obrigações adicionais para a entidade notificante.
Em qualquer caso, a notificação, por si só, não constitui reconhecimento de responsabilidade civil, administrativa ou criminal.
Poderes do CERT.ao e dos CSIRT sectoriais
Podem, por decisão fundamentada e proporcional, exigir aos operadores de infra-estruturas críticas ou de sistemas de informação a adopção de medidas preventivas ou correctivas e a entrega de informação técnica e operacional necessária à prevenção, detecção, análise e resposta a incidentes, incluindo registos e indicadores de comprometimento, sem prejuízo da protecção de dados pessoais e sem que tal constitua violação de dever de confidencialidade. Quando o sistema esteja comprometido ou em risco iminente, podem, por decisão fundamentada e proporcional, determinar a limitação temporária do uso de sistemas ou componentes estritamente necessários.
Comunicação de vulnerabilidades de boa-fé
Qualquer pessoa pode comunicar, de boa-fé, vulnerabilidades aos órgãos legalmente competentes em matéria de cibersegurança sem ser considerada como tendo violado regras de confidencialidade, segurança de dados ou sistemas, leis, contractos ou códigos de conduta profissional pelo simples facto da comunicação, nos termos e com as salvaguardas e exclusões previstas no artigo 48.º.
