Enquadramento
Enquadramento
Porque é que a gestão de incidentes deixou de ser um tema de um único regime e passou a exigir uma abordagem integrada.
Conceito
O que é um incidente regulado
Um incidente regulado é qualquer ocorrência, acidental ou intencional, que afete pessoas, dados, sistemas, serviços, produtos ou a integridade da organização e que desencadeie, por força da lei, deveres de registo, notificação, comunicação, investigação ou correção perante autoridades, afetados ou terceiros.
A mesma ocorrência pode ser, simultaneamente, uma violação de dados pessoais, um incidente significativo de cibersegurança e um evento com impacto na continuidade do serviço. É esta sobreposição que justifica uma gestão integrada.
Quadro normativo
A convergência dos regimes
| Regime | Quem está obrigado | Obrigação principal | Autoridade |
|---|---|---|---|
| RGPD, artigos 33.º e 34.º | Responsáveis pelo tratamento e subcontratantes | Notificação de violações em 72 horas e comunicação aos titulares em caso de elevado risco | CNPD |
| Lei n.º 41/2004, artigo 3.º-A | Empresas de comunicações eletrónicas acessíveis ao público | Notificação de violações à CNPD e aos assinantes ou utilizadores | CNPD |
| Decreto-Lei n.º 125/2025, artigos 40.º a 48.º do regime anexo | Entidades essenciais, importantes e públicas relevantes | Notificação inicial em 24 horas, fim de impacto, relatório final e comunicação aos destinatários | Autoridade de cibersegurança competente |
| Regulamento (UE) 2024/2847 | Fabricantes de produtos com elementos digitais | Reporte de vulnerabilidades ativamente exploradas e incidentes graves desde 11/09/2026 | CSIRT coordenador e ENISA |
O n.º 5 do artigo 40.º do regime aprovado pelo Decreto-Lei n.º 125/2025 esclarece que a notificação à autoridade de cibersegurança não dispensa as obrigações perante a CNPD, o Ministério Público e outras autoridades, e o artigo 79.º obriga a informar a CNPD quando possa estar em causa uma violação de dados pessoais.
Evolução
Tendências que reforçam a integração
Ponto único de notificação
A proposta de Digital Omnibus, apresentada pela Comissão Europeia em novembro de 2025 e ainda em procedimento legislativo, prevê um ponto único de entrada para notificações de vários instrumentos.
Supervisão mais intensa
A CNPD duplicou as inspeções em 2025 e reforçou os seus recursos, tendo apresentado à Assembleia da República uma proposta de novo regime contraordenacional.
Responsabilização das direções
O novo regime de cibersegurança coloca a gestão de riscos e dos incidentes no centro das responsabilidades dos órgãos de direção.
Âmbito alargado
Outros incidentes regulados
Para além dos regimes acima, existem obrigações de reporte de incidentes em domínios como a resiliência operacional digital do setor financeiro, a proteção de denunciantes, a segurança e saúde no trabalho, a segurança de produtos, a farmacovigilância e a inteligência artificial. Estes domínios constituem os pilares seguintes do ecossistema e serão desenvolvidos progressivamente, com o mesmo rigor normativo.
Um modelo único para todos os incidentes regulados
Comece por um diagnóstico integrado e descubra onde os regimes se sobrepõem e onde a sua organização está exposta.