Coordenação Regulatória de Incidentes 24/7

Problema a que responde

Um incidente significativo que envolva dados pessoais obriga a decidir em 24 horas perante a autoridade de cibersegurança e em 72 horas perante a CNPD, com critérios e conteúdos diferentes. Poucas organizações têm internamente quem domine ambos os regimes a qualquer hora.

Destinatários

• Entidades essenciais, importantes e públicas relevantes;
• Organizações de saúde, municípios e serviços digitais;
• Grupos sem equipa jurídica de resposta a incidentes.

Entregáveis

• Linha de ativação com tempos de resposta contratualizados;
• Qualificação do incidente em todos os regimes aplicáveis;
• Preparação das notificações e comunicações;
• Registo cronológico das decisões;
• Relatório final e revisão anual.

Metodologia

1. 01

   Integração

   Conhecimento prévio da organização, sistemas e contactos.

2. 02

   Ativação

   Abertura do registo e convocação dos intervenientes.

3. 03

   Coordenação

   Decisões fundamentadas e notificações dentro dos prazos.

4. 04

   Encerramento

   Relatório final e lições aprendidas.

Fundamento normativo

• Artigos 33.º e 34.º do RGPD;
• Artigos 40.º a 44.º e 48.º do regime aprovado pelo Decreto-Lei n.º 125/2025;
• Artigo 3.º-A da Lei n.º 41/2004, quando aplicável.

Resultados esperados

• Cumprimento simultâneo de todos os prazos;
• Coerência entre as notificações às várias autoridades;
• Direção apoiada nas decisões críticas.

Articulação ecossistémica