Novo regime de cibersegurança para Portugal aprovado

Novo regime de cibersegurança recebeu cerca de 150 contributos da comunidade

Depois de quase 150 contributos na consulta pública, a proposta de lei do novo regime de cibersegurança será aprovada hoje em Conselho de Ministros. Esta nova legislação surge da transposição da Diretiva (UE) 2022/2555, conhecida como Diretiva NIS2 (Network and Information Security), que substitui a anterior Diretiva NIS. Depois da aprovação, a mesma será enviada para o Parlamento.

Principais mudanças com o novo regime de cibersegurança

    Alargamento do âmbito de aplicação:
        O regime aplica-se agora a um maior número de entidades e setores, incluindo serviços de saúde, energia, transporte, fornecimento de água, setor financeiro, entre outros. As empresas que prestam serviços essenciais e digitais estão obrigadas a cumprir os novos requisitos de cibersegurança.
    Requisitos mais rigorosos
        As organizações devem implementar medidas técnicas, organizacionais e operacionais mais robustas para proteger os seus sistemas de informação e garantir a continuidade dos serviços.
    Obrigações de reporte:
        As entidades abrangidas devem notificar incidentes de cibersegurança à Autoridade Nacional de Cibersegurança (CNCS) num prazo máximo de 24 horas após a deteção.
        Relatórios mais detalhados devem ser submetidos num prazo de 72 horas.
    Sanções mais pesadas:
        Multas podem ir até 10 milhões de euros ou 2% do volume de negócios anual global, dependendo da gravidade do incumprimento.
        Existe uma abordagem mais dura para organizações que falhem repetidamente em cumprir as obrigações.
    Gestão de riscos e governação:
        As organizações devem adotar políticas de gestão de risco cibernético e nomear um responsável pela cibersegurança.
        É essencial promover a sensibilização e a formação contínua dos colaboradores.
    Maior cooperação internacional:
        A diretiva NIS2 promove um aumento da partilha de informações e da colaboração entre os Estados-Membros da UE para combater ameaças globais de cibersegurança.

O Centro Nacional de Cibersegurança (CNCS) tem tido um papel central na definição do novo regime. O documento final ainda não é conhecido.