Artigos 28.º, 30.º, 32.º, 34.º, 36.º, 38.º, 40.º e 43.º
Quando e como notificar um incidente.
A lei obriga a notificar ao CERT.ao e ao CSIRT sectorial os incidentes com impacto significativo ou relevante, com um conteúdo mínimo, e a produzir depois um relatório final. Os prazos e os canais ficaram para diploma próprio, mas o dever de comunicar já existe.
em 30 segundos
- Quem: Administração Pública, CSIRT sectoriais e institucionais, operadores de infra-estruturas críticas e todos os prestadores de serviços regulados, e outras entidades em função da dimensão e risco art. 30.º n.º 2.
- O quê: incidentes de impacto significativo art. 28.º, com os cinco elementos do art. 30.º n.º 4.
- Quando: prazo a definir em diploma próprio; comunicação imediata nos de elevado impacto art. 30.º n.º 5.
1. Este incidente é significativo?
Basta uma das cinco condições art. 28.º n.º 1:
- cause ou possa causar perturbação operacional grave, perda financeira relevante, indisponibilidade prolongada ou redução substancial da qualidade do serviço art. 28.º n.º 1 a);
- afecte ou possa afectar um número relevante de utilizadores, destinatários, cidadãos, empresas, entidades públicas ou serviços dependentes art. 28.º n.º 1 b);
- tenha ou possa ter impacto transfronteiriço, intersectorial ou sistémico art. 28.º n.º 1 c);
- envolva violação de dados pessoais, segredo das comunicações, dados sensíveis, informação classificada ou protegida por sigilo profissional art. 28.º n.º 1 d);
- exija medidas excepcionais de recuperação, contenção, continuidade, gestão de crise ou comunicação pública art. 28.º n.º 1 e).
Para a Administração Pública e os operadores de infra-estruturas críticas, a lei fala em incidentes com "impacto relevante" e manda ter em conta o número de utilizadores afectados, a duração e a distribuição geográfica art. 32.º n.º 3. O classificador de incidente avalia as duas coisas.
2. A quem notificar
- CERT.ao e CSIRT sectorial competente, sempre art. 32.º n.º 1 art. 34.º n.º 1 art. 36.º n.º 1.
- Autoridade de protecção de dados, quando estejam em causa dados pessoais art. 16.º n.º 1 g) art. 30.º n.º 3.
- Reguladores sectoriais, autoridades judiciárias e destinatários dos serviços, quando legalmente devido; a notificação ao CERT.ao não substitui essas art. 30.º n.º 3.
- Clientes, se for centro de dados ou prestador de nuvem, sem atraso injustificado art. 38.º n.º 1 art. 40.º a).
3. O que a notificação tem de conter
- a descrição do incidente e a sua natureza;
- o impacto estimado sobre os serviços afectados;
- as medidas de contenção adoptadas;
- a avaliação preliminar da causa;
- outras informações relevantes para a gestão da resposta art. 30.º n.º 4.
Os operadores de infra-estruturas críticas e os prestadores de serviços essenciais incluem também informação que permita determinar o impacto transfronteiriço art. 32.º n.º 2 art. 34.º n.º 3. O gerador de notificação produz o documento Word com todos estes campos.
4. Quando
A notificação deve ser efectuada no prazo a definir em diploma próprio, sem prejuízo da comunicação imediata em caso de incidentes de elevado impacto art. 30.º n.º 5. Os requisitos técnicos, procedimentais e os canais são definidos em regulamento art. 30.º n.º 6. Enquanto não existem, vale o dever geral de comunicar imediatamente art. 6.º n.º 1.
5. Depois: seguimento e relatório final
Sempre que possível, o órgão competente presta ao notificante informações de seguimento úteis ao tratamento do incidente art. 32.º n.º 4 e pode divulgar incidentes específicos de acordo com o interesse público, salvaguardando os interesses dos operadores art. 32.º n.º 5. A entidade submete depois ao CSIRT sectorial e ao CERT.ao o relatório final de resposta e resolução, com as causas, o tempo gasto, as medidas aplicadas e o impacto, e relatórios intercalares quando solicitados art. 32.º n.º 6 art. 32.º n.º 7.
Notificar não é confessar
A notificação, por si só, não constitui reconhecimento de responsabilidade civil, administrativa ou criminal, nem pode ser usada como fundamento exclusivo para responsabilizar a entidade notificante art. 32.º n.º 8.
Notificação voluntária
Qualquer entidade pode notificar voluntariamente incidentes com impacto importante. A notificação voluntária não impõe ao notificante obrigações decorrentes dela, e a informação recebida fica protegida por dever de confidencialidade, só partilhável com outras autoridades quando necessário, proporcional e legalmente admissível art. 43.º.
Quem está excluído
As redes de comando e controlo da Defesa Nacional, Segurança e Ordem Interna e as redes que processam informação classificada art. 30.º n.º 7.