Mapa da regulamentação
A lei já vale. 14 peças ainda faltam.
A Lei 9/26 entrou em vigor sem período de adaptação, mas remete para diplomas futuros o prazo de notificação, os requisitos técnicos, o procedimento de registo, a supervisão e a auditoria. Esta página acompanha cada peça. Quando uma sair, actualizamos e avisamos por email.
avisar quando sair um regulamento
Pendentes
Ciberdefesa e ordem interna
pendentediploma próprio ·art. 3.º n.º 1
O que fica em aberto: Regula as redes da Defesa Nacional, Segurança e Ordem Interna, excluídas do regime de notificação (art. 30.º n.º 7).
Entretanto: As entidades civis abrangidas pela lei não dependem deste diploma.
Procedimento de registo no Centro Nacional de Cibersegurança
pendenteregulamento ·art. 64.ºart. 14.º n.º 3art. 16.º n.º 2art. 18.º n.º 2art. 20.º n.º 2art. 22.º n.º 2art. 24.º n.º 2
O que fica em aberto: A lei fixa o prazo de 180 dias e a obrigação de registo, mas não diz como se faz nem que documentos são exigidos.
Entretanto: Prepare os dados da entidade, as categorias aplicáveis, o responsável, o ponto focal e o CSIRT. Use a checklist de preparação do registo.
Regulamentação específica para prestadores de serviços digitais, centros de dados e nuvem privada que servem o Estado
pendenteregulamento ·art. 16.º n.º 3art. 18.º n.º 3art. 20.º n.º 3
O que fica em aberto: Quem presta estes serviços ao Estado terá regras adicionais, ainda por publicar.
Entretanto: As obrigações gerais da categoria aplicam-se desde já.
Critérios de incidente de impacto significativo
pendenteregulamento ·art. 28.º n.º 2
O que fica em aberto: Os cinco critérios do art. 28.º n.º 1 já valem; a regulamentação pode fixar limiares numéricos.
Entretanto: Aplique os cinco critérios como estão. Basta um para o incidente ser significativo.
Especificação técnica dos requisitos de segurança por tipo de entidade
pendenteregulamento ·art. 29.º n.º 3art. 31.º n.º 5art. 35.º n.º 4art. 37.º n.º 2art. 39.º n.º 2art. 41.º n.º 2art. 42.º n.º 2
O que fica em aberto: Os requisitos mínimos do art. 31.º n.º 4 e as obrigações dos arts. 14.º a 24.º já são exigíveis; os regulamentos vão detalhar controlos por dimensão e risco.
Entretanto: Implemente os requisitos mínimos com base em normas internacionais (ISO/IEC 27001, ISO 22301), que a lei admite pela neutralidade tecnológica do art. 29.º.
Prazo de notificação de incidentes
pendentediploma próprio ·art. 30.º n.º 5
O que fica em aberto: Sem prazo definido, a contra-ordenação grave por falta de notificação "no prazo legalmente definido" fica difícil de aplicar.
Entretanto: A lei exige comunicação imediata nos incidentes de elevado impacto (art. 30.º n.º 5) e o dever geral de comunicar imediatamente (art. 6.º). Notifique sem esperar pelo prazo.
Requisitos técnicos, procedimentais e canais de notificação
pendenteregulamento ·art. 30.º n.º 6
O que fica em aberto: Não existe ainda formulário nem plataforma oficial de notificação.
Entretanto: Use os contactos do CERT.ao publicados nos recursos oficiais e guarde prova do envio. O gerador de notificação produz o documento com o conteúdo mínimo do art. 30.º n.º 4.
Prazo e conteúdo do relatório final de resposta e resolução do incidente
pendentediploma próprio ·art. 32.º n.º 6art. 32.º n.º 7
O que fica em aberto: O relatório final é obrigatório, mas o prazo e os campos adicionais ainda não estão definidos.
Entretanto: Produza o relatório com o conteúdo já previsto: causas, tempo de resolução, medidas aplicadas e impacto.
Rede Nacional de CSIRT
pendenteregulamento ·art. 47.º n.º 6art. 10.º n.º 1 c)
O que fica em aberto: Define como os CSIRT sectoriais e institucionais se organizam e partilham informação.
Entretanto: Crie o CSIRT institucional ou designe o ponto focal; a adesão a CSIRT sectorial depende de os sectores os constituírem.
Prazo para acusar a recepção de uma comunicação de vulnerabilidade
pendentelei ·art. 48.º n.º 4
O que fica em aberto: A entidade receptora tem de acusar a recepção "no prazo legalmente estabelecido", que não existe ainda.
Entretanto: Publique uma política de comunicação responsável de vulnerabilidades com um prazo próprio (por exemplo, 5 dias úteis) e um ponto de contacto.
Supervisão dos serviços pelo órgão regulador
pendentediploma próprio ·art. 50.º
O que fica em aberto: Define como o Centro Nacional de Cibersegurança articula a supervisão com os reguladores sectoriais.
Entretanto: Os reguladores sectoriais (BNA, INACOM, ARSEG e outros) mantêm as suas competências.
Acções de fiscalização das redes e sistemas
pendenteregulamento ·art. 51.º
O que fica em aberto: Define como se realizam as inspecções e que informação pode ser pedida.
Entretanto: A obrigação de facultar informações ao CERT.ao (art. 47.º) já é exigível.
Auditorias de cibersegurança e auditorias independentes equivalentes
pendentediploma próprio ·art. 52.º
O que fica em aberto: Define os padrões técnicos das auditorias ordenadas em processo contra-ordenacional e a aceitação de auditorias independentes.
Entretanto: Uma auditoria independente segundo normas reconhecidas é a melhor preparação.
Relatórios periódicos e respectivos prazos
pendenteregulamento ·art. 55.º n.º 1art. 55.º n.º 2 c)
O que fica em aberto: A lei pune a falta ou o atraso de relatórios periódicos, mas não define quais nem com que periodicidade.
Entretanto: Mantenha um registo de incidentes e um relatório interno trimestral; quando o regulamento sair, a informação já existe.
Já publicadas
Estratégia Nacional de Cibersegurança
publicadoDecreto Presidencial n.º 256/25, de 3 de Dezembro
Define as prioridades e as linhas de acção do Estado em cibersegurança.
Organização, funcionamento e atribuições do Conselho, do Centro Nacional de Cibersegurança e da Rede Nacional de CSIRT
publicadoDecreto Presidencial n.º 263/25, de 10 de Dezembro (Centro Nacional de Cibersegurança e CERT.ao)
O Centro e o CERT.ao já têm estatuto orgânico. A organização da Rede Nacional de CSIRT ainda depende de regulamento (art. 47.º n.º 6).
Fontes que vigiamos
- Diário da República, I série (publicação oficial).
- Consulta pública do MINTTICS, onde a proposta de lei e a Estratégia foram publicadas.
- Centro Nacional de Cibersegurança e INACOM.
última verificação: 30 de Setembro de 2026