Incidentes: notificar, classificar e comunicar
Um incidente significativo dá origem a até cinco comunicações à autoridade, com prazos e conteúdo definidos, e a uma comunicação aos clientes afetados. Esta página reúne o que o regime jurídico da cibersegurança exige.
Resposta rápida
Notificação inicial em 24 horas, atualização em 72 horas quando necessário, fim do impacto em 24 horas e relatório final em 30 dias úteis. Os clientes afetados são informados sem demora injustificada; não o fazer é contraordenação muito grave.
RJC arts. 41.º a 44.º, 48.º e 61.ºO que a lei estabelece
| Facto | Fonte | Estado |
|---|---|---|
| Incidente significativo é o que causa, ou pode causar, graves perturbações operacionais dos serviços ou perdas financeiras à entidade, ou que afeta, ou pode afetar, outras pessoas, causando danos materiais ou imateriais consideráveis. | RJC art. 2.º, l) | Verificado |
| Incidente significativo: notificação inicial até 24 horas após a verificação, atualização até 72 horas quando necessário, notificação do fim do impacto significativo até 24 horas após o fim do impacto e relatório final em 30 dias úteis. Resolvido em duas horas, basta a notificação do fim do impacto. | RJC arts. 41.º a 44.º | Verificado |
| A notificação inicial indica, pelo menos, um representante e os seus contactos, a data e hora do início do incidente, uma breve descrição com a categoria da causa e dos efeitos segundo a taxonomia do CNCS e uma estimativa do impacto (utilizadores afetados, duração e zona geográfica). | RJC art. 42.º, n.º 2 | Verificado |
| Se o incidente ainda estiver em curso no fim do prazo do relatório final, a entidade apresenta, a pedido da autoridade, um relatório intercalar semanal até entregar o relatório final. | RJC art. 44.º, n.º 3 | Verificado |
| As entidades comunicam aos destinatários dos seus serviços, sem demora injustificada, os incidentes com impacto significativo que os possam afetar e as medidas que podem adotar perante uma ciberameaça significativa, de forma gratuita e em linguagem facilmente compreensível. O incumprimento é contraordenação muito grave. | RJC arts. 48.º e 61.º, n.º 1, k) | Verificado |
| A notificação à autoridade de cibersegurança não dispensa as notificações próprias ao Ministério Público, à Polícia Judiciária, à CNPD, à Entidade Fiscalizadora do Segredo de Estado e ao GNS, quando aplicáveis. | RJC art. 40.º, n.º 5 | Verificado |
| Qualquer pessoa ou entidade pode notificar voluntariamente incidentes, ciberameaças, quase incidentes ou vulnerabilidades, sem obrigações adicionais e sem autenticação na plataforma. | RJC art. 45.º; Reg. art. 21.º | Verificado |
| O formato da notificação e a taxonomia dos incidentes são definidos por instrução técnica do CNCS. A taxonomia publicada pelo CNCS e usada pelo CERT.PT é a Taxonomia Comum da Rede Nacional de CSIRT, versão 3.3 (dezembro de 2023). | RJC art. 41.º, n.º 4; Reg. Anexo II | Verificado |
| O impacto significativo é avaliado com o número de utilizadores afetados e o total do serviço, a duração, a gravidade da perturbação e o impacto económico e social. Para os prestadores digitais aplica-se o Regulamento de Execução (UE) 2024/2690; para as restantes entidades, uma instrução técnica do CNCS. | RJC art. 40.º, n.º 3; Reg. art. 20.º, n.º 3 | Verificado |
| As notificações são feitas na plataforma eletrónica. Se a entidade não o conseguir, por falta de capacidade em resultado do incidente ou por motivo técnico justificado, pode notificar por email ou telefone. | RJC art. 40.º, n.º 6; Reg. art. 20.º, n.º 4 | Verificado |
| A instrução técnica com o formato da notificação, a taxonomia e os limiares de impacto significativo para as entidades que não são prestadores digitais. | RJC art. 41.º, n.º 4; Reg. art. 20.º, n.º 3, b) | Por publicar |
O que cada notificação contém
A plataforma associa as notificações do mesmo incidente e envia alertas sobre os prazos, quando os consegue contar. A falta de alerta não suspende os prazos (Reg. art. 22.º).
| Notificação | Prazo | Conteúdo mínimo | Base legal |
|---|---|---|---|
| Notificação inicial | Até 24 horas depois de a entidade concluir que existe, ou pode vir a existir, um incidente significativo | Representante e contactos; data e hora do início (ou da deteção); descrição com a categoria da causa e dos efeitos segundo a taxonomia; estimativa do impacto: utilizadores afetados, duração, zona geográfica e impacto transfronteiriço | RJC art. 42.º, n.os 1 e 2 |
| Atualização | Até 72 horas, quando necessário | Revisão da informação inicial e avaliação inicial da gravidade e do impacto, com indicadores de exposição, se existirem | RJC art. 42.º, n.º 3 |
| Fim do impacto significativo | Até 24 horas depois do fim do impacto. Resolvido em duas horas, basta esta notificação | Atualização da informação; medidas adotadas; impacto no momento: utilizadores, duração, zona e tempo estimado de recuperação | RJC arts. 41.º, n.º 2, e 43.º |
| Relatório final | 30 dias úteis a contar da notificação do fim do impacto | Início e fim do impacto significativo; impacto e descrição segundo a taxonomia; medidas de mitigação; impacto residual; notificações feitas a outras autoridades (Ministério Público, CNPD, setoriais) | RJC art. 44.º, n.os 1 e 2 |
| Relatório intercalar | Semanal, a pedido da autoridade, se o incidente continuar em curso no fim do prazo do relatório final | Atualização da informação; medidas adotadas; impacto atual e tempo estimado de recuperação | RJC art. 44.º, n.os 3 e 4 |
Classificar o incidente
A notificação indica a categoria da causa e os efeitos segundo a taxonomia do CNCS. Até à instrução técnica prevista no art. 41.º, n.º 4, a referência publicada é a Taxonomia Comum da Rede Nacional de CSIRT, v3.3, usada pelo CERT.PT: onze classes, cada uma com tipos de incidente.
| Classe | Tipos de incidente |
|---|---|
| Conteúdo abusivo | Spam; discurso nocivo; exploração sexual de menores, racismo e apologia da violência |
| Código malicioso | Sistema infetado; servidor de comando e controlo (C2); distribuição de malware; configuração de malware |
| Recolha de informação | Scanning; sniffing; engenharia social |
| Tentativa de intrusão | Exploração de vulnerabilidade; tentativa de login; nova assinatura de ataque |
| Intrusão | Comprometimento de conta privilegiada; de conta não privilegiada; de aplicação; de sistema; arrombamento (intrusão física) |
| Disponibilidade | Negação de serviço; negação de serviço distribuída; configuração incorreta; sabotagem; interrupção |
| Segurança da informação | Acesso não autorizado; modificação não autorizada; perda de dados; exfiltração de informação |
| Fraude | Utilização indevida de recursos; direitos de autor; utilização ilegítima de nome de terceiros; phishing |
| Vulnerabilidade | Criptografia fraca; amplificador DDoS; serviços acessíveis potencialmente indesejados; revelação de informação; sistema vulnerável |
| Outro | Sem tipo; indeterminado |
| Teste | Teste |
Fonte: Taxonomia Comum da Rede Nacional de CSIRT, v3.3, dezembro de 2023 (alinhada com a RSIT v1003 da ENISA e TF-CSIRT). A taxonomia inclui ainda os tipos de evento associados a cada tipo e a correspondência com ilícitos criminais.
Comunicar aos clientes e utilizadores
A comunicação aos destinatários dos serviços é uma obrigação própria, separada da notificação à autoridade.
O que a lei exige: informar, sem demora injustificada, os destinatários dos serviços sobre incidentes com impacto significativo que os possam afetar e, perante uma ciberameaça significativa, sobre as medidas que podem adotar. A informação é gratuita e em linguagem facilmente compreensível, e não dispensa a entidade de corrigir o problema a expensas suas (RJC art. 48.º). O incumprimento é contraordenação muito grave (RJC art. 61.º, n.º 1, k)).
- Antes do incidente: criar a equipa de comunicação de crise, identificar os grupos de interesse (clientes, utilizadores, parceiros, comunicação social) e manter uma lista de contactos 24/7.
- Preparar modelos de mensagem por grupo e por cenário, com o que aconteceu, o que pode afetar o destinatário e o que este deve fazer.
- Definir os canais: email, área de cliente, site, telefone, e quem aprova cada mensagem.
- Durante o incidente: ativar a equipa, notificar a autoridade nos prazos e comunicar aos destinatários afetados sem demora.
- Depois: comunicar o fim da crise, documentar o incidente e rever o plano com exercícios.
Passos baseados no Referencial de Comunicação de Risco e de Crise em Cibersegurança do CNCS (v1.0, abril de 2024). Os prazos de notificação nele indicados são os do regime anterior; os prazos em vigor são os desta página.
Outras autoridades a notificar
| Facto | Fonte | Estado |
|---|---|---|
| A notificação à autoridade de cibersegurança não dispensa as notificações próprias ao Ministério Público, à Polícia Judiciária, à CNPD, à Entidade Fiscalizadora do Segredo de Estado e ao GNS, quando aplicáveis. | RJC art. 40.º, n.º 5 | Verificado |
| Quando o incidente envolve uma violação de dados pessoais, o responsável pelo tratamento notifica a CNPD até 72 horas depois de ter conhecimento dela, salvo se a violação não for suscetível de resultar num risco para as pessoas. | RGPD art. 33.º | Verificado |
| O relatório final indica se o incidente foi também notificado ao Ministério Público, à CNPD ou a outras autoridades setoriais. | RJC art. 44.º, n.º 2, e), iv) | Verificado |
| A plataforma poderá permitir notificar em simultâneo a autoridade de cibersegurança e as outras entidades, nos termos de protocolo entre elas. | RJC art. 40.º, n.º 7 | Depende de protocolo |
Divulgação coordenada de vulnerabilidades
| Facto | Fonte | Estado |
|---|---|---|
| O CERT.PT coordena a divulgação de vulnerabilidades, faz a ligação entre quem as comunica e o fabricante ou prestador e preserva o anonimato de quem comunica, se este o pedir. | RJC art. 38.º | Verificado |
| A Lei do Cibercrime passou a prever que não é punível o acesso ou a interceção feitos apenas para identificar vulnerabilidades, sem fim económico, com comunicação imediata ao responsável pelo sistema e ao CNCS e de forma proporcional; ataques de negação de serviço, engenharia social, phishing e instalação de software malicioso nunca estão abrangidos. | Lei n.º 109/2009, art. 8.º-A, aditado pelo DL 125/2025, art. 7.º | Verificado |
| Qualquer pessoa ou entidade pode notificar voluntariamente incidentes, ciberameaças, quase incidentes ou vulnerabilidades, sem obrigações adicionais e sem autenticação na plataforma. | RJC art. 45.º; Reg. art. 21.º | Verificado |
Boa prática: publicar uma política de divulgação de vulnerabilidades, com um contacto próprio (por exemplo, um ficheiro security.txt no site), para que quem encontre uma falha saiba a quem a comunicar. Não é uma obrigação do regime.
Guias oficiais do CNCS
Documentos publicados pelo Centro Nacional de Cibersegurança que ajudam a cumprir estas obrigações. Indicamos a data e o ponto da situação de cada um face à lei em vigor. Estão disponíveis em cncs.gov.pt.
| Documento | Data | Para que serve | Ponto da situação |
|---|---|---|---|
| Taxonomia Comum da Rede Nacional de CSIRT, v3.3 | dez. 2023 | Classificar incidentes por classe e tipo, como pede a notificação. | Atual. |
| Referencial de Comunicação de Risco e de Crise em Cibersegurança, v1.0 | abr. 2024 | Preparar a equipa, os grupos de interesse, os contactos 24/7 e os modelos de mensagem; testar com exercícios. | Os prazos de notificação que indica são os do DL 65/2021, revogado. Usar os prazos do RJC. |
| Guia de Autenticação Multifator | dez. 2024 | Escolher e adotar mecanismos de MFA por fases, incluindo início de sessão único. | Atual. Apoia as medidas de MFA dos Anexos III e IV. |
| Guia para Gestão dos Riscos em matérias de Segurança da Informação e Cibersegurança, v1.1 | dez. 2022 | Método de identificação, análise, avaliação e tratamento de riscos, com catálogos de ameaças e vulnerabilidades. | Base legal revogada (Lei 46/2018 e DL 65/2021). O método serve para a análise de riscos anual do Reg. art. 31.º. |
| Guia de Transição Digital e Cibersegurança (GTDC) | nov. 2024 | Identificar riscos e controlos ao longo de projetos de transformação digital, com ferramenta web. | Cita o DL 65/2021, revogado. |
| Referencial de Competências em Cibersegurança | 2022 | Definir competências e níveis de proficiência para planos de formação, incluindo a dos órgãos de gestão (RJC art. 25.º). | O mapa de competências que o acompanha usa o QNRCS anterior; os códigos não coincidem com o Anexo I do Regulamento. |
Datas e prazos desta etapa
Inclui a lista de ativos e o relatório anual, que pertencem à mesma etapa. Da cronologia legal, com a base legal e o estado de verificação de cada prazo.
| Quando | O que acontece | Quem | Base legal | Estado |
|---|---|---|---|---|
| 31 jan. 2027 | Versão inicial da lista de ativos das entidades notificadas da qualificação em 2026, ou seis meses após a notificação, se vencer antes. | Entidades qualificadas em 2026 | Reg. art. 32.º, n.º 3, a)Diário da República | Verificado |
| 3 abr. 2027 | Termina o período de 12 meses em que as entidades podem pedir, com fundamentação, a dispensa da aplicação das coimas. | Entidades essenciais, importantes e públicas relevantes | RJC art. 65.ºDiário da República | Verificado |
| 31 jan. do ano seguinte à notificação, ou 6 meses | Comunicação da versão inicial da lista de ativos acessíveis publicamente, o que vencer primeiro. | Entidade qualificada | Reg. art. 32.º, n.º 3, a)Diário da República | Verificado |
| Anualmente, com o relatório anual | Atualização da lista de ativos das entidades essenciais. | Entidades essenciais | Reg. art. 32.º, n.º 3, b)Diário da República | Verificado |
| Último dia útil de janeiro do ano seguinte | Atualização da lista de ativos das entidades importantes e públicas relevantes. | Entidades importantes e públicas relevantes | Reg. art. 32.º, n.º 3, c)Diário da República | Verificado |
| Último dia útil de janeiro | Relatório anual das entidades essenciais, assinado pelo responsável de cibersegurança; as importantes enviam-no quando o CNCS o pedir.O art. 30.º só produz efeitos 24 meses após a publicação da regulamentação (DL art. 10.º, n.º 2). | Entidades essenciais e importantes | RJC art. 30.º; Reg. art. 13.ºDiário da República | Verificado |
| 24 horas | Notificação inicial de incidente significativo, sem demora injustificada; atualização até 72 horas quando necessário. | Entidades essenciais, importantes e públicas relevantes | RJC art. 42.ºDiário da República | Verificado |
| 24 horas · 30 dias úteis | Notificação do fim do impacto significativo até 24 horas após o fim do impacto; relatório final em 30 dias úteis a contar dessa notificação. Resolvido em duas horas, basta a notificação do fim do impacto. | Entidades essenciais, importantes e públicas relevantes | RJC arts. 41.º, 43.º e 44.ºDiário da República | Verificado |
| Semanal, a pedido | Relatório intercalar enquanto o incidente continuar em curso depois do prazo do relatório final. | Entidades essenciais, importantes e públicas relevantes | RJC art. 44.º, n.º 3Diário da República | Verificado |
| Sem demora injustificada | Comunicação aos destinatários dos serviços dos incidentes com impacto significativo que os possam afetar. | Entidades essenciais, importantes e públicas relevantes | RJC art. 48.ºDiário da República | Verificado |
Conteúdo informativo. Não constitui aconselhamento jurídico. A AnkoraOne não está associada ao Centro Nacional de Cibersegurança nem à plataforma MyCiber. Em caso de divergência, prevalece o texto publicado em Diário da República.
Fontes: Regulamento n.º 756/2026 · CNCS, regulamento do regime jurídico