Responsável de Cibersegurança
Enquadramento
O regime cria uma cadeia de responsabilidade que começa nos órgãos de gestão e passa pelo responsável de cibersegurança.
Artigo 25.º
Os órgãos de gestão
| Obrigação | Disposição |
|---|---|
| Aprovar as medidas de gestão dos riscos de cibersegurança | N.º 1, alínea a) |
| Supervisionar a aplicação dessas medidas | N.º 1, alínea b) |
| Assegurar o cumprimento das medidas de supervisão e de execução | N.º 1, alínea c) |
| Assegurar ações regulares de formação em cibersegurança | N.º 1, alínea d) |
| Responsabilidade dos titulares por ação ou omissão, com dolo ou culpa grave | N.º 2 |
| Delegação apenas num dos titulares dos órgãos | N.º 3 |
Artigo 31.º
O responsável de cibersegurança
| Aspeto | Regime | Disposição |
|---|---|---|
| Quem designa | Entidades essenciais e importantes | N.º 1 |
| Perfil | Titular dos órgãos de gestão, direção ou administração, ou pessoa que lhes responda organicamente e de forma direta | N.º 1 |
| Funções | Sete funções mínimas, das propostas de medidas à coordenação do ponto de contacto | N.º 2 |
| Comunicação | 20 dias úteis a contar do início de funções, com a informação definida em regulamento do CNCS | N.º 3 |
| Entidades já em atividade | 20 dias úteis a contar da entrada em vigor do diploma | N.º 4 |
| Substituição | Comunicada sem demora injustificada | N.º 5 |
| Administração direta | Possível designar o mesmo responsável para vários ministérios, áreas governativas ou secretarias regionais | N.º 6 |
| Grupos empresariais | Elementos de contacto por empresa sob coordenação de um responsável comum | N.º 7 |
| Acumulação | Compatível com outras funções dentro da mesma entidade | N.º 8 |
Aplicação no tempo
Obrigações de efeitos diferidos
Nos termos do n.º 2 do artigo 10.º do Decreto-Lei n.º 125/2025, os n.os 1 e 2 do artigo 27.º (medidas de cibersegurança), os artigos 28.º a 30.º (cadeia de abastecimento, risco residual e relatório anual), o artigo 33.º e as alíneas b), c) e f) do n.º 1 do artigo 61.º produzem efeitos 24 meses após a publicação da regulamentação referida nos artigos 8.º, 14.º, 26.º, 31.º, 32.º e 83.º do regime.
As designações do responsável de cibersegurança e do ponto de contacto permanente, o registo e a notificação de incidentes não constam desse diferimento, pelo que o programa de conformidade deve começar por elas.
Artigos 61.º, 64.º e 65.º
Sanções
O incumprimento dos deveres do artigo 31.º é contraordenação muito grave (alínea d) do n.º 1 do artigo 61.º). Para uma entidade essencial que seja pessoa coletiva, a coima vai de 2.000 a 10.000.000 euros ou 2% do volume de negócios anual a nível mundial; para uma entidade importante, de 1.250 a 7.000.000 euros ou montante máximo não inferior a 1,4% desse volume. A negligência é punível, com limites reduzidos a metade (artigo 64.º).
Durante 12 meses a contar da entrada em vigor, as entidades podem pedir fundamentadamente a dispensa das coimas dos artigos 61.º e 62.º, com base na inexistência de procedimento interno de adaptação ao novo regime (artigo 65.º).
A responsabilidade não se delega, o apoio sim
Estruture o programa de conformidade e dê à direção a informação de que precisa para aprovar, supervisionar e responder.