I Série n.º 123/2026

Texto extraído + documento associado

Edição I Série n.º 123/2026

Fonte oficial PDF da publicação
Conteúdo derivado Texto e localizações
Conteúdo gerado Nenhum neste texto
Estado de revisão Ainda não registada

O que significa cada origem

Fonte oficial: PDF da publicação oficial associado a esta edição. LexIndicia não é o portal oficial.
Conteúdo derivado: Texto, estrutura e localizações extraídos do PDF; podem conter erros e não substituem a fonte.
Conteúdo gerado: Não faz parte deste texto. Quando usado na pesquisa assistida, aparece separado e identificado.
Estado de revisão: Revisão humana ainda não registada para o texto derivado.

Texto do artigo · p. 8 termos previstos em regulamentação específica.

Número ou marcador · p. 9 Artigo 50

Texto do artigo · p. 9 (Requisitos de Segurança para a Administração Pública e Sector Privado)

Número ou marcador · p. 9 1. As entidades da Administração Pública e do Sector Privado devem tomar as medidas técnicas e organizacionais adequadas previstas na presente Lei e em regulamento específico, tendo em conta os progressos técnicos mais recentes, para garantir um nível de segurança adequado ao risco em causa nas redes e sistemas de informação.

Número ou marcador · p. 9 2. O responsável pela área administrativa das entidades da Administração Pública e do Sector Privado deve nomear o responsável e o auditor interno da segurança cibernética para melhor gestão de riscos cibernéticos.

Número ou marcador · p. 9 3. As entidades da Administração Pública e do Sector Privado devem criar uma Política de Segurança de Informação Institucional, para proteger os dados e garantir a integridade, confidencialidade e disponibilidade das informações.

Número ou marcador · p. 9 4. As entidades da Administração Pública e do Sector Privado devem estabelecer um CSIRT institucional.

Número ou marcador · p. 9 5. As medidas técnicas e organizacionais são objecto de

Texto do artigo · p. 9 regulamentação específica.

Número ou marcador · p. 9 Artigo 51

Texto do artigo · p. 9 (Requisitos de Segurança para Operadores de Infra-estruturas Críticas)

Número ou marcador · p. 9 1. Os Operadores de Infra-estruturas Críticas devem tomar as medidas técnicas e organizacionais adequadas previstas na presente Lei e em regulamento específico, tendo em conta os progressos técnicos mais recentes, para garantir um nível de segurança adequado ao risco em causa nas redes e sistemas de informação.

Número ou marcador · p. 9 2. O responsável pela área administrativa dos Operadores de Infra-estruturas Críticas, deve nomear o responsável e o auditor interno da segurança cibernética para melhor gestão de riscos cibernéticos.

Número ou marcador · p. 9 3. Os Operadores de Infra-estruturas Críticas Privados devem

Texto do artigo · p. 9 estabelecer um CSIRT institucional.

Número ou marcador · p. 9 Artigo 52

Texto do artigo · p. 9 (Requisitos de Segurança para os Operadores de Serviços Essenciais)

Número ou marcador · p. 9 1. Os Operadores de Serviços Essenciais devem cumprir as medidas técnicas e organizacionais adequadas e proporcionais para gerir os riscos que se colocam à segurança das redes e dos sistemas de informação que utilizam.

Número ou marcador · p. 9 2. As medidas técnicas e organizacionais previstas no número 1 do presente artigo devem garantir um nível de segurança adequado ao risco em causa, tendo em conta os progressos técnicos mais recentes.

Número ou marcador · p. 9 3. Os Operadores de Serviços Essenciais devem tomar as

Texto do artigo · p. 9 medidas adequadas para evitar os incidentes que afectam a segurança das redes e dos sistemas de informação utilizados para a prestação dos seus serviços essenciais e para reduzir o seu impacto, a fim de assegurar a continuidade desses serviços.

Número ou marcador · p. 9 Artigo 53

Texto do artigo · p. 9 (Requisitos de segurança para Provedores de Serviços Digitais)

Número ou marcador · p. 9 1. Os Provedores de Serviços Digitais devem tomar as medidas técnicas e organizacionais, adequadas e proporcionais para gerir os riscos que se colocam à segurança das redes e dos sistemas de informação que utilizam no contexto da oferta dos serviços digitais.

Número ou marcador · p. 9 2. As medidas técnicas referidas no número 1 do presente artigo, devem garantir um nível de segurança das redes e dos sistemas de informação adequado ao risco em causa, tendo em conta os progressos técnicos mais recentes e devem ter em conta os seguintes factores:

Número ou marcador · p. 9 a) a segurança dos sistemas, infra-estruturas e das instalações;

Número ou marcador · p. 9 b) o tratamento dos incidentes;

Número ou marcador · p. 9 c) a gestão da continuidade das actividades;

Número ou marcador · p. 9 d) o acompanhamento, a auditoria e os testes realizados;

Número ou marcador · p. 9 e) a conformidade com as normas internacionais.

Número ou marcador · p. 9 3. Os Provedores de Serviços Digitais devem tomar medidas

Texto do artigo · p. 9 para prevenir incidentes que afectam a segurança das suas redes e sistemas de informação.

Número ou marcador · p. 9 Artigo 54

Texto do artigo · p. 9 (Requisitos de segurança para os Provedores Intermediários de Serviços Digitais)

Número ou marcador · p. 9 1. Os Provedores Intermediários de Serviços Digitais devem identificar e tomar as medidas técnicas e organizacionais, adequadas e proporcionais para gerir os riscos que se colocam à segurança das redes e dos sistemas de informação que utilizam no contexto da oferta dos serviços digitais.

Número ou marcador · p. 9 2. As medidas técnicas, organizacionais referidas no número 1 do presente artigo, devem garantir um nível de segurança das redes e dos sistemas de informação adequado ao risco em causa, obedecendo os progressos técnicos mais recentes, tendo em conta os seguintes factores:

Número ou marcador · p. 9 a) segurança dos sistemas, Infra-estruturas Críticas e das instalações;

Número ou marcador · p. 9 b) tratamento dos incidentes;

Número ou marcador · p. 9 c) gestão da continuidade das actividades;

Número ou marcador · p. 9 d) acompanhamento, a auditoria e os testes realizados;

Número ou marcador · p. 9 e) conformidade com as normas internacionais.

Número ou marcador · p. 9 3. Os Provedores Intermediários de Serviços Digitais devem aplicar medidas para evitar os incidentes que afectam a segurança das suas redes e sistemas de informação para assegurar a continuidade desses serviços.

Número ou marcador · p. 9 4. As medidas técnicas e organizacionais referidas nos

Texto do artigo · p. 9 números 1, 2 e 3 do presente artigo são estabelecidas nos termos a regulamentar.

Número ou marcador · p. 9 Artigo 55

Texto do artigo · p. 9 (Requisitos de segurança para Operadores de Centros de Dados)

Número ou marcador · p. 9 1. Um operador de Centro de Dados é uma entidade responsável por monitorar, gerir e manter a infra-estrutura física e lógica de uma instalação de processamento de dados.

Número ou marcador · p. 9 2. O Operador de Centro de Dados deve tomar medidas

Texto do artigo · p. 9 adequadas para garantir a integridade, confidencialidade e a disponibilidade dos dados armazenados, reduzindo os riscos de tempo de inactividade.

Número ou marcador · p. 9 Artigo 56

Texto do artigo · p. 9 (Requisitos de segurança para Operadores de Plataformas de Computação em Nuvem)

Número ou marcador · p. 9 1. Os Operadores de Plataformas de Computação em Nuvem devem garantir a segurança no armazenamento de dados na nuvem, em conformidade com as boas práticas reconhecidas internacionalmente.

Número ou marcador · p. 10 2. Os requisitos de segurança são definidos nos termos da regulamentação específica.

Número ou marcador · p. 10 SECÇÃO II Notificação de Incidentes de Segurança Cibernética

Número ou marcador · p. 10 Artigo 57

Texto do artigo · p. 10 (Incidentes de segurança cibernética de impacto significativo)

Número ou marcador · p. 10 1. Considera-se que um incidente de segurança cibernética tem um impacto significativo, em termos de grau de danos ou de custos para uma organização, se atender, a pelo menos, uma das seguintes condições:

Número ou marcador · p. 10 a) o impacto do incidente de segurança cibernética, é classificado em menos ou mais grave, de acordo com o grau de consequências determinado na avaliação do risco realizado;

Número ou marcador · p. 10 b) devido ao incidente de segurança cibernética, a prestação do serviço essencial não pode continuar depois de decorrido o tempo máximo de interrupção admissível do serviço, de acordo com o nível de serviço ou requisitos relevantes para a continuidade dos negócios ou serviço;

Número ou marcador · p. 10 c) a continuidade do serviço de algum outro prestador de serviço essencial é interrompida devido ao incidente de segurança cibernético;

Número ou marcador · p. 10 d) para resolver o incidente de segurança cibernética, é necessário aplicar qualquer das medidas extraordinárias estabelecidas na avaliação do risco realizado ou em outro documento, se houver, que descreva a reintegração da continuidade do serviço ou da segurança do sistema de informação;

Número ou marcador · p. 10 e) os serviços oferecidos pela Infra-estrutura Crítica, ou o provedor de outro serviço ou usuários do serviço sofrem ou podem sofrer danos devido ao incidente de segurança cibernética.

Número ou marcador · p. 10 2. O impacto significativo de incidentes cibernéticos é objecto

Texto do artigo · p. 10 de regulamentação específica.

Número ou marcador · p. 10 Artigo 58

Texto do artigo · p. 10 (Notificação de incidentes para a Administração Pública e Sector Privado)

Número ou marcador · p. 10 1. As entidades devem notificar ao respectivo CSIRT Sectorial e ao CSIRT Nacional os incidentes com um impacto significativo na segurança das redes de comunicação de dados e dos sistemas de informação, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética.

Número ou marcador · p. 10 2. As notificações das entidades da Administração Pública devem incluir informações que permitam ao CSIRT do Governo e ao CSIRT Nacional determinar o impacto dos incidentes.

Número ou marcador · p. 10 3. A notificação não acarreta responsabilidades acrescidas para a parte notificante.

Número ou marcador · p. 10 4. A fim de determinar a relevância do impacto de um incidente deve-se ter em conta os seguintes parâmetros:

Número ou marcador · p. 10 a) o número de utilizadores afectados;

Número ou marcador · p. 10 b) a duração do incidente;

Número ou marcador · p. 10 c) a distribuição geográfica, no que se refere à zona afectada pelo incidente.

Número ou marcador · p. 10 5. A Autoridade Nacional de Segurança Cibernética deve

Texto do artigo · p. 10 prestar ao notificante as informações relevantes relativas ao seguimento da sua notificação.

Número ou marcador · p. 10 6. A Autoridade Nacional de Segurança Cibernética, após consultar o notificante, deve divulgar incidentes específicos de acordo com o interesse público, salvaguardando a segurança e os interesses dos Operadores de Infra-estruturas Críticas.

Número ou marcador · p. 10 7. As entidades da Administração Pública devem submeter ao CSIRT da Administração Pública, o CSIRT do Governo, e para o CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.

Número ou marcador · p. 10 8. O relatório da resposta e da resolução de incidentes inclui

Texto do artigo · p. 10 informações relativas às causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.

Número ou marcador · p. 10 Artigo 59

Texto do artigo · p. 10 (Notificação de incidentes para Operadores de Infra-estruturas Críticas)

Número ou marcador · p. 10 1. Os Operadores de Infra-estruturas Críticas devem notificar ao respectivo CSIRT sectorial e ao CSIRT Nacional os incidentes com um impacto significativo na segurança das redes e dos sistemas de informação, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética.

Número ou marcador · p. 10 2. A notificação dos Operadores de Infra-estruturas Críticas deve incluir informação que permite ao CSIRT sectorial e ao CSIRT Nacional determinar o impacto dos incidentes.

Número ou marcador · p. 10 3. A notificação não acarreta responsabilidades acrescidas para a parte notificante.

Número ou marcador · p. 10 4. A fim de determinar a relevância do impacto de um incidente deve-se ter em conta, os seguintes parâmetros:

Número ou marcador · p. 10 a) o número de utilizadores afectados pelo incidente, em particular os utilizadores que dependem do serviço para prestarem os seus próprios serviços;

Número ou marcador · p. 10 b) a duração do incidente;

Número ou marcador · p. 10 c) a distribuição geográfica, no que se refere à zona afectada pelo incidente;

Número ou marcador · p. 10 d) o nível de gravidade da perturbação do funcionamento do serviço;

Número ou marcador · p. 10 e) a extensão do impacto nas actividades económicas e sociais.

Número ou marcador · p. 10 5. A Autoridade Nacional de Segurança Cibernética deve prestar ao notificante as informações relevantes relativas ao seguimento da sua notificação.

Número ou marcador · p. 10 6. A Autoridade Nacional de Segurança Cibernética deve divulgar os incidentes específicos de acordo com o interesse público, salvaguardando a segurança e os interesses dos Operadores de Infra-estruturas Críticas.

Número ou marcador · p. 10 7. Os Operadores de Infra-estruturas Críticas devem submeter ao CSIRT sectorial e ao CSIRT Nacional o relatório mensal sobre a resposta e resolução do incidente.

Número ou marcador · p. 10 8. O relatório de resposta e resolução de incidentes inclui

Texto do artigo · p. 10 informações sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.

Número ou marcador · p. 10 Artigo 60

Texto do artigo · p. 10 (Notificação de incidentes para os Operadores de Serviços Essenciais)

Número ou marcador · p. 10 1. Os Operadores de Serviços Essenciais devem notificar ao respectivo CSIRT Sectorial e ao CSIRT Nacional os incidentes com um impacto significativo na continuidade dos serviços essenciais por si prestados, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética.

Número ou marcador · p. 11 2. A notificação deve incluir informação que permite à Autoridade Nacional de Segurança Cibernética determinar o impacto dos incidentes.

Número ou marcador · p. 11 3. A notificação não acarreta responsabilidades acrescidas para a parte notificante.

Número ou marcador · p. 11 4. A fim de determinar a relevância do impacto de um incidente deve-se ter em conta, os seguintes parâmetros:

Número ou marcador · p. 11 a) o número de utilizadores afectados pelo incidente, em particular os que dependem do serviço para prestarem os seus próprios serviços;

Número ou marcador · p. 11 b) a duração do incidente;

Número ou marcador · p. 11 c) a distribuição geográfica, no que se refere à zona afectada pelo incidente;

Número ou marcador · p. 11 d) o nível de gravidade da perturbação do funcionamento do serviço;

Número ou marcador · p. 11 e) a extensão do impacto nas actividades económicas e sociais.

Número ou marcador · p. 11 5. A Autoridade Nacional de Segurança Cibernética deve:

Número ou marcador · p. 11 a) informar os pontos de contacto únicos dos outros CSIRTs, caso o incidente tenha um impacto significativo na continuidade dos serviços essenciais;

Número ou marcador · p. 11 b) salvaguardar a segurança e os interesses do Operador de Serviços Essenciais, bem como a confidencialidade da informação prestada na sua notificação;

Número ou marcador · p. 11 c) prestar ao Operador de Serviços Essenciais as informações relevantes, relativas ao seguimento da sua notificação;

Número ou marcador · p. 11 d) transmitir as notificações referidas no número 1, do presente artigo, aos pontos de contacto únicos dos outros CSIRT;

Número ou marcador · p. 11 e) divulgar informação relativa a incidentes específicos de acordo com o interesse público.

Número ou marcador · p. 11 6. O Operador de Serviços Essenciais que depende de um terceiro prestador de serviços para a prestação de um serviço essencial, notifica todos os impactos importantes na continuidade dos seus serviços, decorrentes dos incidentes cibernéticos.

Número ou marcador · p. 11 7. Os Operadores de Serviços Essenciais submetem ao CSIRT Sectorial e ao CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.

Número ou marcador · p. 11 8. O relatório da resposta e da resolução de incidentes inclui

Texto do artigo · p. 11 informação sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.

Número ou marcador · p. 11 Artigo 61

Texto do artigo · p. 11 (Notificação de incidentes para Provedores de Serviços Digitais)

Número ou marcador · p. 11 1. Os Provedores de Serviços Digitais devem notificar ao respectivo CSIRT sectorial e ao CSIRT Nacional os incidentes com um impacto significativo na continuidade dos serviços essenciais por si prestados, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética.

Número ou marcador · p. 11 2. A notificação referida no número 1 do presente artigo, inclui informação que permite à Autoridade Nacional de Segurança Cibernética determinar o impacto do incidente.

Número ou marcador · p. 11 3. A notificação não acarreta responsabilidades acrescidas para a parte notificante.

Número ou marcador · p. 11 4. A fim de determinar se o impacto de um incidente é

Texto do artigo · p. 11 substancial, são tidos em conta os seguintes parâmetros:

Número ou marcador · p. 11 a) o número de utilizadores afectados pelo incidente, em particular os utilizadores que dependem do serviço para prestarem os seus próprios serviços;

Número ou marcador · p. 11 b) a duração do incidente;

Número ou marcador · p. 11 c) a distribuição geográfica, no que se refere à zona afectada pelo incidente;

Número ou marcador · p. 11 d) o nível de gravidade da perturbação do funcionamento do serviço;

Número ou marcador · p. 11 e) a extensão do impacto nas actividades económicas e sociais.

Número ou marcador · p. 11 5. A Autoridade Nacional de Segurança Cibernética, após consultar o notificante, pode divulgar incidentes específicos de acordo com o interesse público.

Número ou marcador · p. 11 6. Os Provedores de Serviços Digitais são obrigados a submeter ao CSIRT sectorial e para o CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.

Número ou marcador · p. 11 7. O relatório da resposta e da resolução de incidentes inclui

Texto do artigo · p. 11 informação sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.

Número ou marcador · p. 11 Artigo 62

Texto do artigo · p. 11 (Notificação de incidentes para os Provedores Intermediários de Serviços)

Número ou marcador · p. 11 1. Os Provedores Intermediários de Serviços Digitais devem notificar a Autoridade Nacional de Segurança Cibernética dos incidentes com impacto substancial na prestação dos serviços digitais, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética.

Número ou marcador · p. 11 2. A notificação referida no número 1 do presente artigo, inclui informação que permite à Autoridade Nacional de Segurança Cibernética determinar a importância dos impactos transfronteiriços.

Número ou marcador · p. 11 3. A notificação não acarreta responsabilidades acrescidas para a parte notificante.

Número ou marcador · p. 11 4. A fim de determinar se o impacto de um incidente é substancial, são tidos em conta os seguintes parâmetros:

Número ou marcador · p. 11 a) o número de utilizadores afectados pelo incidente, em particular os utilizadores que dependem do serviço para prestarem os seus próprios serviços;

Número ou marcador · p. 11 b) a duração do incidente;

Número ou marcador · p. 11 c) a distribuição geográfica, no que se refere à zona afectada pelo incidente;

Número ou marcador · p. 11 d) o nível de gravidade da perturbação do funcionamento do serviço;

Número ou marcador · p. 11 e) a extensão do impacto nas actividades económicas e sociais.

Número ou marcador · p. 11 5. A Autoridade Nacional de Segurança Cibernética, após consultar o notificante, pode divulgar incidentes específicos de acordo com o interesse público.

Número ou marcador · p. 11 6. Os Provedores Intermediários de Serviços Digitais são obrigados a submeter ao CSIRT sectorial e para o CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.

Número ou marcador · p. 11 7. O relatório da resposta e da resolução de incidentes inclui

Texto do artigo · p. 11 informação sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.

Número ou marcador · p. 11 Artigo 63

Texto do artigo · p. 11 (Notificação de incidentes para Operadores de Centros de Dados)

Número ou marcador · p. 11 1. Os Operadores de Centros de Dados devem:

Número ou marcador · p. 11 a) notificar à Autoridade Nacional de Segurança Cibernética dos incidentes com impacto substancial na prestação dos serviços, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética;

Número ou marcador · p. 12 b) notificar seus assinantes atempadamente, justificando quaisquer incidentes de segurança cibernética, incluindo o vazamento de dados e o que afecta ou pode afectar o conteúdo do assinante;

Número ou marcador · p. 12 c) notificar ao CSIRT Nacional atempadamente de qualquer incidente de segurança cibernética ou vazamento de dados que tenham conhecimento e o que afecta ou pode afectar o conteúdo do assinante;

Número ou marcador · p. 12 d) adoptar regras e políticas internas para garantir a continuidade do negócio, recuperação de desastres e gestão de riscos, devendo fornecer aos assinantes um resumo dessas regras e políticas;

Número ou marcador · p. 12 e) submeter ao CSIRT sectorial e ao CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.

Número ou marcador · p. 12 2. O relatório da resposta e da resolução de incidentes inclui informação sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.

Número ou marcador · p. 12 Artigo 64

Texto do artigo · p. 12 (Notificação de incidentes para Operadores de Plataformas de Computação em Nuvem)

Número ou marcador · p. 12 1. Os Operadores de Plataformas de Computação em Nuvem devem:

Número ou marcador · p. 12 a) notificar a Autoridade Nacional de Segurança Cibernética dos incidentes com impacto substancial na prestação dos serviços, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética nos termos regulamentares;

Número ou marcador · p. 12 b) notificar aos seus assinantes atempadamente, justificando quaisquer incidentes de segurança cibernética, incluindo vazamento de dados e o que afecta ou pode afectar o conteúdo do assinante;

Número ou marcador · p. 12 c) notificar ao CSIRT Nacional de imediato de qualquer incidente de segurança cibernética e vazamento de dados de que tenha conhecimento;

Número ou marcador · p. 12 d) adoptar regras e políticas internas para a continuidade do negócio, recuperação de desastres, gestão de riscos e fornecer aos assinantes dos serviços um resumo dessas regras e políticas;

Número ou marcador · p. 12 e) submeter ao CSIRT Sectorial e ao CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.

Número ou marcador · p. 12 2. O relatório de resposta e resolução de incidentes inclui

Texto do artigo · p. 12 informação sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.

Número ou marcador · p. 12 Artigo 65

Texto do artigo · p. 12 (Notificação voluntária de incidentes)

Número ou marcador · p. 12 1. Sem prejuízo da obrigação de notificação de incidentes prevista na presente Lei, quaisquer entidades podem notificar, ao CSIRT institucional, CSIRT Sectorial ou CSIRT Nacional, a título voluntário, os incidentes com impacto significativo na continuidade dos serviços por si prestados.

Número ou marcador · p. 12 2. No tratamento das notificações voluntárias, aplica-se

Texto do artigo · p. 12 às disposições relativas à notificação de incidentes para os Operadores de Serviços Essenciais com as necessárias adaptações.

Número ou marcador · p. 12 3. A notificação voluntária não pode dar origem à imposição à entidade notificante de obrigações às quais esta não teria sido sujeita se não tivesse procedido a essa notificação.

Número ou marcador · p. 12 Artigo 66

Texto do artigo · p. 12 (Divulgação Responsável de Vulnerabilidades)

Número ou marcador · p. 12 1. A pessoa singular ou colectiva pode comunicar, publicar ou divulgar vulnerabilidades, desde que tal divulgação seja baseada na boa-fé, não sendo considerada como tendo violado as disposições legais sobre confidencialidade, integridade e disponibilidade de dados e sistemas de informação, ou que tenha incorrido em violação de leis, regulamentos, contratos e códigos de conduta profissional pelo facto de ter divulgado tais informações.

Número ou marcador · p. 12 2. Para efeitos da presente Lei, considera-se que a divulgação de uma vulnerabilidade é de boa-fé, tendo em conta o seguinte:

Número ou marcador · p. 12 a) se não tiver sido feita sob coacção ou ameaça de publicação de informação não tiver sido solicitada a recompensa;

Número ou marcador · p. 12 b) ter sido dado um prazo razoável de, pelo menos 90 dias de calendário, para corrigir a vulnerabilidade antes de publicar ou divulgar;

Número ou marcador · p. 12 c) quando no processo de identificação, a pessoa que tomou as precauções necessárias para prevenir incidentes referente à privacidade, degradação ou falhas no serviço, destruição ou manipulação dos dados;

Número ou marcador · p. 12 d) se a pessoa que divulga uma vulnerabilidade considera o impacto de tal divulgação e toma os devidos cuidados para minimizar o dano que pode ser causado por tal divulgação.

Número ou marcador · p. 12 3. A partir do processo de identificação de vulnerabilidades

Texto do artigo · p. 12 baseado na boa fé, são excluídos os métodos que possam levar à negação de serviço, evidência física, uso de código malicioso, engenharia social e alteração, remoção ou destruição de dados.

Número ou marcador · p. 12 CAPÍTULO V

Texto do artigo · p. 12 Fundo de Segurança Cibernética

Número ou marcador · p. 12 Artigo 67

Texto do artigo · p. 12 (Fundo)

Número ou marcador · p. 12 1. É instituído pela presente Lei um Fundo de Segurança Cibernética, abreviadamente designado por (FSC) com o objectivo de prover recursos financeiros para promover e fortalecer a segurança cibernética do País.

Número ou marcador · p. 12 2. O FSC é gerido pela Autoridade Nacional de Segurança Cibernética.

Número ou marcador · p. 12 3. As entidades registadas e licenciadas para a prestação de serviços de TIC’s devem contribuir para o FSC.

Número ou marcador · p. 12 4. As regras de funcionamento do FSC são estabelecidas em

Texto do artigo · p. 12 regulamentação específica.

Número ou marcador · p. 12 Artigo 68

Texto do artigo · p. 12 (Objectivos do FSC)

Texto do artigo · p. 12 São objectivos do FSC:

Número ou marcador · p. 12 a) incrementar os recursos financeiros destinados à promoção da segurança cibernética, com vista a garantir um espaço cibernético inclusivo, seguro e resiliente;

Número ou marcador · p. 13 b) providenciar recursos numa base competitiva às instituições públicas ou privadas que promovam actividades enquadradas nas linhas orientadoras estabelecidas pelo Governo em matérias de segurança cibernética;

Número ou marcador · p. 13 c) promover a formação contínua para desenvolvimento de capacidade nacional em matérias de segurança cibernética.

Número ou marcador · p. 13 Artigo 69

Texto do artigo · p. 13 (Beneficiários)

Texto do artigo · p. 13 São beneficiários do FSC:

Número ou marcador · p. 13 a) as instituições públicas e privadas, academia e sociedade civil, em conformidade com os critérios de elegibilidade a serem definidos em regulamento específico;

Número ou marcador · p. 13 b) os trabalhadores das entidades ou empresas contribuentes do FSC, através do acesso a programa de formação contínua estruturados pela empresa para actualização tecnológica em matérias de segurança cibernética;

Número ou marcador · p. 13 c) as Entidades do Sistema Nacional de Segurança Cibernética contribuentes do fundo, encorajando-as a dedicar maior atenção à melhoria da qualidade dos serviços e a formação dos seus trabalhadores, como forma de melhorar a sua capacidade produtiva;

Número ou marcador · p. 13 d) as entidades que pretendam estabelecer CSIRTs sectoriais e institucionais.

Número ou marcador · p. 13 Artigo 70

Texto do artigo · p. 13 (Fontes de receitas)

Texto do artigo · p. 13 Constituem fontes de receitas do FSC:

Número ou marcador · p. 13 a) as comparticipações e subvenções que sejam atribuídas pelo Estado e por outras pessoas colectivas do direito público;

Número ou marcador · p. 13 b) as doações dos parceiros de cooperação destinadas ao financiamento da área de segurança cibernética;

Número ou marcador · p. 13 c) 1% da receita bruta do ano anterior das Entidades do Sistema Nacional de Segurança Cibernética, licenciadas no âmbito do exercício da actividade de prestação de serviços de segurança cibernética;

Número ou marcador · p. 13 d) outras fontes de receitas ou financiamento que lhe vierem a ser destinados.

Número ou marcador · p. 13 Artigo 71

Texto do artigo · p. 13 (Gestão)

Texto do artigo · p. 13 A Autoridade Nacional de Segurança Cibernética é responsável pela gestão do FSC, de acordo com a Legislação Orçamental.

Número ou marcador · p. 13 CAPÍtULo Vi

Texto do artigo · p. 13 Supervisão, Fiscalização, Contravenções e Sanções

Número ou marcador · p. 13 Artigo 72

Texto do artigo · p. 13 (Supervisão)

Texto do artigo · p. 13 Compete a Autoridade Nacional de Segurança Cibernética garantir a realização da supervisão nos sectores abrangidos pela presente Lei.

Número ou marcador · p. 13 Artigo 73

Texto do artigo · p. 13 (Fiscalização)

Texto do artigo · p. 13 Compete a Autoridade Nacional de Segurança Cibernética realizar acções de fiscalização das actividades em matéria de segurança cibernética.

Número ou marcador · p. 13 Artigo 74

Texto do artigo · p. 13 (Auditoria)

Texto do artigo · p. 13 A Autoridade Nacional de Segurança Cibernética estabelece os padrões técnicos que servem de base para realização de auditoria de segurança cibernética e de segurança de informação, nos termos a regulamentar.

Número ou marcador · p. 13 Artigo 75

Texto do artigo · p. 13 (Contravenções)

Texto do artigo · p. 13 Constituem contravenções à presente Lei:

Número ou marcador · p. 13 a) a violação da responsabilidade do responsável de uma Infra-estrutura Crítica de informação registada de notificar a Autoridade Nacional de Segurança Cibernética no prazo de 7 dias, a contar da mudança de propriedade legal da Infra-estrutura Crítica de informação registada;

Número ou marcador · p. 13 b) a falha do responsável de uma Infra-estrutura Crítica de informação em relatar um incidente de segurança cibernética;

Número ou marcador · p. 13 c) a recusa ou obstrução da investigação do responsável de uma infra-estrutura de informação crítica em fazer com que uma auditoria seja realizada na infra-estrutura de informação crítica;

Número ou marcador · p. 13 d) a recusa do responsável de uma Infra-estrutura Crítica de informação em apresentar uma cópia do relatório de auditoria à Autoridade de Segurança Cibernética;

Número ou marcador · p. 13 e) o incumprimento das directrizes regulatórias emanada pela Autoridade Nacional de Segurança Cibernética;

Número ou marcador · p. 13 f) a recusa da instituição em relatar um incidente de segurança cibernética ao órgão competente;

Número ou marcador · p. 13 g) a violação do dever de licenciar os serviços previstos na presente Lei;

Número ou marcador · p. 13 h) o uso intencional de uma licença não concedida ao Provedor de Serviço;

Número ou marcador · p. 13 i) o incumprimento dos requisitos e medidas de segurança cibernética;

Número ou marcador · p. 13 j) a utilização indevida, por parte do Provedor de Serviços, de mecanismos ou recursos de interceptação na execução de um mandado de interceptação emitido por tribunal de jurisdição competente;

Número ou marcador · p. 13 k) a omissão, pelo Provedor de Serviços, da adopção das medidas necessárias para permitir a desencriptação de uma comunicação de telecomunicações, nos termos de um mandado de interceptação emitido pelo tribunal competente;

Número ou marcador · p. 13 l) o incumprimento, pelo Provedor de Serviços, da obrigação de reter as informações do assinante pelo período de um ano;

Número ou marcador · p. 13 m) o incumprimento, pelo Provedor de Serviços, da obrigação de reter os dados de tráfego pelo período de um ano;

Número ou marcador · p. 14 n) a violação da responsabilidade do Provedor de Serviços em não reter dados de tráfego por um período de um ano;

Número ou marcador · p. 14 o) o uso ilegal de dados retidos para uma finalidade diferente da declarada em um mandado de interceptação;

Número ou marcador · p. 14 p) a violação de obrigação do responsável ou Operador de uma Infra-estrutura Crítica de informação, um CSIRT designado ou um Provedor de Serviço Digital em apresentar informações relevantes à Autoridade Competente;

Número ou marcador · p. 14 q) a recusa do Provedor de Serviços em cumprir com uma decisão da Autoridade Nacional de Segurança Cibernética para bloquear, filtrar ou remover qualquer conteúdo que ameaça ou afecta a segurança cibernética do País;

Número ou marcador · p. 14 r) o incumprimento de uma directiva emanada pela Autoridade Nacional de Segurança Cibernética;

Número ou marcador · p. 14 s) o incumprimento diário por parte do responsável de uma Infra-estrutura de informação Crítica, do CSIRT designado ou de um prestador de serviço digital em cumprir um pedido de envio de informação relevante a Autoridade Competente com a finalidade de garantir a segurança cibernética do País;

Número ou marcador · p. 14 t) o incumprimento da obrigação de requisitos de segurança previstos nos artigos 48, 50, 51, 52, 53, 54, 55 e 56, da presente Lei.

Número ou marcador · p. 14 u) o incumprimento da obrigação de notificação de incidentes de segurança previsto nos artigos 58, 59, 60, 61, 62, 63, 64 e 65, da presente Lei.

Número ou marcador · p. 14 v) o incumprimento das instruções e alertas de segurança cibernética emitidas pela Autoridade Nacional de Segurança Cibernética previsto na alínea h), do artigo 11, da presente Lei.

Número ou marcador · p. 14 w) todos os factos ilícitos que preencham um tipo legal correspondente à violação de disposições legais relativas à segurança cibernética para as quais, caiba multa, suspensão de licenças, certificados, autorizações ou proibição de operação ou sanção estabelecidas em legislação específica.

Número ou marcador · p. 14 Artigo 76

Texto do artigo · p. 14 (Sanções)

Texto do artigo · p. 14 Sem prejuízo de aplicação da pena mais grave no âmbito da legislação penal, as infracções previstas no presente artigo são puníveis, nos seguintes termos:

Número ou marcador · p. 14 a) a violação do disposto na alínea h), do artigo 75, da presente Lei é punível com a multa de 35 salários mínimos em vigor na Função Pública;

Número ou marcador · p. 14 b) a violação do disposto na alínea q), do artigo 75, da presente Lei é punível com a multa de 2 a 17 salários mínimos em vigor na Função Pública;

Número ou marcador · p. 14 c) a violação do disposto nas alíneas j) e k), do artigo 75, da presente Lei é punível com a multa de 7 salários mínimos em vigor na Função Pública;

Número ou marcador · p. 14 d) a violação do disposto nas alíneas a), b), c), d), l), m), n), o), p) e s) do artigo 75, da presente Lei é punível com a multa de 1 a 7 salários mínimos em vigor na Função Pública;

Número ou marcador · p. 14 e) a violação do disposto nas alíneas e), f) e i), do artigo 75, em vigor na da presente Lei é punível com a multa de 1 a 4 salários mínimos em vigor na Função Pública;

Número ou marcador · p. 14 f) a violação do disposto nas alíneas r) e t), do artigo 75, da presente Lei é punível com a multa de 1 salário mínimo da Função Pública por semana;

Número ou marcador · p. 14 g) a violação do disposto na alínea g), do artigo 75 da presente Lei é punível com a multa de 64 salários mínimos em vigor na Função Pública;

Número ou marcador · p. 14 h) a violação da obrigação de requisitos de segurança previsto nos artigos 48, 50, 51, 52, 53, 54, 55 e 56, da presente Lei é punível com uma multa de 90 a 160 salários mínimos em vigor na Função Pública;

Número ou marcador · p. 14 i) a violação da obrigação de notificação de incidentes de segurança previsto nos artigos 58, 59, 60, 61, 62, 63, 64 e 65, da presente Lei é punível com a multa de 80 a 100 salários mínimos em vigor na Função Pública;

Número ou marcador · p. 14 j) a violação da observância das instruções e alertas de segurança cibernética emitidas pela Autoridade Nacional de Segurança Cibernética tal como previsto na alínea h), do artigo 11, da presente Lei é punível com a multa de 60 a 90 salários mínimos em vigor na Função Pública.

Número ou marcador · p. 14 CAPÍTULO VII

Texto do artigo · p. 14 Disposições finais

Número ou marcador · p. 14 Artigo 77

Texto do artigo · p. 14 (Regime subsidiário)

Texto do artigo · p. 14 É aplicável subsidiariamente à presente Lei, em tudo que se mostre omisso, o regime jurídico aplicável às transacções electrónicas e demais legislação complementar.

Número ou marcador · p. 14 Artigo 78

Texto do artigo · p. 14 (Unidades Especializadas em Operações Cibernéticas)

Número ou marcador · p. 14 1. As unidades especializadas em operações cibernéticas para as actividades de defesa nacional, segurança interna e segurança do Estado são criadas para prestarem serviços de defesa e segurança cibernética, e para fins de defesa nacional.

Número ou marcador · p. 14 2. As unidades especializadas em operações cibernéticas

Texto do artigo · p. 14 trabalham em coordenação com o Centro de Coordenação Cibernética das Forças de Defesa e Segurança.

Número ou marcador · p. 14 Artigo 79

Texto do artigo · p. 14 (Regulamentação)

Número ou marcador · p. 14 1. As matérias de Segurança Cibernética relacionadas com as actividades de defesa nacional, segurança interna e segurança do Estado são estabelecidas em regulamentação específica.

Número ou marcador · p. 14 2. Compete ao Conselho de Ministros regulamentar a presente

Texto do artigo · p. 14 Lei no prazo de 180 dias a contar da data da sua publicação.

Número ou marcador · p. 14 Artigo 80

Texto do artigo · p. 14 (Entrada em vigor)

Texto do artigo · p. 14 A presente Lei entra em vigor 90 dias após a sua publicação. Aprovada pela Assembleia da República, aos 29 de Abril

Texto do artigo · p. 14 de 2026.

Texto do artigo · p. 14 A Presidente da Assembleia da República, Margarida Adamugi Talapa.

Texto do artigo · p. 14 Promulgada, aos 10 de Junho de 2026. Publique se. O Presidente da República, DAnieL FrAncisco chAPo.

Número ou marcador · p. 15 Anexo I Glossário A

Texto do artigo · p. 15 Activo de Informação – todo elemento que agrega valor ao negócio podendo ser uma informação digital ou física, hardware, software, pessoa ou ambiente físico, meios de armazenamento, transmissão e processamento bem como os sistemas de informação, cuja quebra da confidencialidade, integridade ou disponibilidade trará prejuízo.

Texto do artigo · p. 15 Ameaça Cibernética – qualquer factor ou acção capaz de interferir e causar danos à integridade, à confidencialidade, à autenticidade e à disponibilidade de dados e informações numa organização.

Texto do artigo · p. 15 C

Texto do artigo · p. 15 Crime cibernético – é todo o acto em que os sistemas de computadores, redes, dispositivos electrónicos e dados servem de meio para atingir um objectivo criminoso.

Texto do artigo · p. 15 D

Texto do artigo · p. 15 Defesa cibernética – refere-se ao conjunto de medidas, estratégias, políticas e tecnologias adoptadas para proteger sistemas de computadores, redes, dispositivos e dados contra ameaças cibernéticas.

Texto do artigo · p. 15 E

Texto do artigo · p. 15 Engenharia social – é o acto de manipular uma pessoa através de técnicas psicológicas e habilidades sociais para atingir objectivos específicos.

Texto do artigo · p. 15 Equipa de Resposta a Incidentes de Segurança Cibernética (CSIRT) – a equipa que actua por referência a uma comunidade de utilizadores definida, em representação de uma entidade, prestando um conjunto de serviços de segurança que inclua, designadamente, o serviço de tratamento e resposta a incidentes de segurança das redes e dos sistemas de informação.

Texto do artigo · p. 15 Espaço cibernético – espaço não físico, criado por redes de comunicações, onde as pessoas podem comunicar.

Texto do artigo · p. 15 I

Texto do artigo · p. 15 Infraestrutura crítica – a componente, sistema ou parte deste situado em território nacional que é essencial para a manutenção de funções vitais para a sociedade, a saúde, a segurança e o bemestar económico ou social, e cuja perturbação ou destruição teria um impacto significativo, dada a impossibilidade de continuar a assegurar essas funções.

Texto do artigo · p. 15 O

Texto do artigo · p. 15 Operador de Rede de Infra-estruturas Críticas – é uma entidade pública ou privada responsável pela gestão, operação e manutenção de sistemas e activos essenciais (como energia, transportes, água e comunicações).

Texto do artigo · p. 15 Operador de Rede de Serviços Essenciais – é uma entidade pública ou privada que fornece serviços cruciais, cuja interrupção impacta gravemente a saúde, segurança ou economia.

Texto do artigo · p. 15 Operadores de plataformas digitais – entidades que gerem infraestruturas baseadas na Internet e aplicações, conectando fornecedores de serviços ou produtos a clientes finais.

Texto do artigo · p. 15 Operadores de comunicações electrónicas – são entidades que fornecem redes, serviços de telefonia, Internet, televisão e transmissão de dados através de infraestruturas físicas (fibra, satélite, torres) ou virtuais.

Texto do artigo · p. 15 P

Texto do artigo · p. 15 Prestador de serviços do sistema de nomes de domínio – uma entidade que presta serviços do sistema de nomes de domínio (DNS) na Internet.

Texto do artigo · p. 15 Provedor Intermediário de Serviço de “mera conduta” – consiste na transmissão de informações fornecidas por um destinatário do serviço numa rede de comunicações ou no fornecimento de acesso a uma rede de comunicações.

Texto do artigo · p. 15 Provedor Intermediário de Serviço de “caching” – consiste na transmissão numa rede de comunicações de informação fornecida por um destinatário do serviço, envolvendo o armazenamento automático, intermédio e temporário dessa informação, com o único objectivo de tornar mais eficiente a transmissão posterior da informação a outros destinatários mediante solicitação.

Texto do artigo · p. 15 Provedor Intermediário de Serviço de “hospedagem” – consiste no armazenamento de informações fornecidas por e a pedido de um destinatário do serviço.

Texto do artigo · p. 15 Provedores de Serviços de Segurança Cibernética – são entidades privadas que monitoram, gerenciam e protegem a infraestrutura de Tecnologias de Informação, redes e dados de outras organizações, oferecem vigilância contínua, detecção de ameaças e resposta a incidentes.

Texto do artigo · p. 15 Provedores de Serviços Digitais – entidades que oferecem acesso, armazenamento, processamento ou transmissão de dados e conteúdos via Internet.

Texto do artigo · p. 15 Provedores Intermediários de Serviços – qualquer pessoa que, em representação de outra pessoa, envia, recebe ou armazena mensagens de dados. São aqueles que prestam serviço de acesso à rede ou que prestam serviços a partir dela (provedores de acesso, provedores de conteúdos, provedores de aplicativos e provedores de hospedagem).

Texto do artigo · p. 15 R

Texto do artigo · p. 15 Rede e sistema de informação – é o conjunto de dispositivos interligados ou associados, em que um ou mais de entre eles desenvolve, em execução de um programa, o tratamento automatizado de dados informáticos, bem como a rede de comunicações electrónicas que suporta a comunicação entre eles e o conjunto de dados informáticos armazenados, tratados, recuperados ou transmitidos por aquele ou aqueles dispositivos, tendo em vista o seu funcionamento, utilização, protecção e manutenção.

Texto do artigo · p. 15 S

Texto do artigo · p. 15 Segurança Cibernética – é o conjunto de políticas, conceitos de segurança, ferramentas, garantias de segurança, directrizes, abordagens de gestão de risco, acções, capacitações, boas práticas, que podem ser usadas para proteger o ambiente cibernético e activos das pessoas e organizações.

Texto do artigo · p. 15 Segurança das redes e dos sistemas de informação – a capacidade das redes e dos sistemas de informação para resistir, com um dado nível de confiança, a acções que comprometam a confidencialidade, a integridade, a disponibilidade, a autenticidade e o não repúdio dos dados armazenados, transmitidos ou tratados, ou dos serviços conexos oferecidos por essas redes ou por esses sistemas de informação, ou acessíveis através deles.

Texto do artigo · p. 16 Serviço essencial – um serviço essencial para a manutenção de actividades sociais ou económicas cruciais, que dependa de redes e sistemas de informação e em relação ao qual a ocorrência de um incidente possa ter efeitos perturbadores relevantes na prestação desse serviço.

Texto do artigo · p. 16 Serviços digitais – são serviços oferecidos por meio electrónicos, em que todas as informações são transmitidas e acedidas por meio de uma rede de dados, como a Internet.

Texto do artigo · p. 16 Sistema de informação – é o conjunto organizado de recursos humanos, tecnológicos, processos e dados, utilizado para recolher, processar, gerir e disseminar informações de forma a apoiar a tomada de decisões, a coordenação, o controle e a análise em uma organização.

Texto do artigo · p. 16 Sistema de nomes de domínio (DNS) – um sistema de nomes distribuídos hierarquicamente numa rede que encaminha pesquisas sobre nomes de domínio.

Texto do artigo · p. 16 T

Texto do artigo · p. 16 Tratamento de incidentes – todos os procedimentos de apoio à detecção, análise, contenção e resposta a um incidente.

Texto do artigo · p. 16 V

Texto do artigo · p. 16 Vulnerabilidade – qualquer fragilidade em um sistema de informação, seus procedimentos de segurança, sua implementação ou em seus controles interno, o que poderia permitir a materialização de uma ameaça.

Número ou marcador · p. 16 Anexo II Sectores, subsectores e tipos de entidades dos operadores de serviços essenciais

Texto do artigo · p. 16 # Sector Subsector Tipo de Entidade 1 Energia Electricidade Empresa de electricidade que exerce a actividade de produção ou de comercialização. Operadores da rede de distribuição. Operadores da rede de transporte. Petróleo Operadores de oleodutos de petróleo. Operadores de instalações de produção, refinamento e tratamento, armazenamento e transporte de petróleo. Gás Empresas de comercialização. Operadores da rede de distribuição. Operadores da rede de transporte. Operadores do sistema de armazenamento. Operadores da rede de gás natural em estado líquido (GNL). Empresas de gás natural. Operadores de instalações de refinamento e tratamento de gás natural. 2 Água Fornecimento e distribuição de água potável. Fornecedores e distribuidores de água destinada ao consumo humano, mas excluindo os distribuidores para os quais a distribuição de água para consumo humano é apenas uma parte da sua actividade geral de distribuição de outros produtos de base e mercadorias não considerados serviços essenciais. Colecta e Tratamento de Águas Residuais Retenção de águas Sistemas de Retenção de águas. 3 Transportes Transporte aéreo Transportadoras aéreas, companhias, agentes, operadores. Entidades gestoras aeroportuárias, aeroportos e as entidades que exploram instalações anexas existentes dentro dos aeroportos. Operadores de controlo da gestão do tráfego aéreo que prestam serviços de controlo de tráfego aéreo. Transporte marítimo e por Vias navegáveis interiores Companhias de transporte por vias navegáveis interiores, marítimo e costeiro de passageiros e de mercadorias, não incluindo os navios explorados por essas companhias. Entidades gestoras dos portos, incluindo as respectivas instalações portuárias e as entidades que gerem as obras e os equipamentos existentes dentro dos portos. Operadores de serviços de tráfego marítimo.

#	Sector	Subsector	Tipo de Entidade
1	Energia	Electricidade	Empresa de electricidade que exerce a actividade de produção ou de comercialização.
Operadores da rede de distribuição.
Operadores da rede de transporte.
Petróleo	Operadores de oleodutos de petróleo.
Operadores de instalações de produção, refinamento e tratamento, armazenamento e transporte de petróleo.
Gás	Empresas de comercialização.
Operadores da rede de distribuição.
Operadores da rede de transporte.
Operadores do sistema de armazenamento.
Operadores da rede de gás natural em estado líquido (GNL).
Empresas de gás natural.
Operadores de instalações de refinamento e tratamento de gás natural.
2	Água	Fornecimento e distribuição de água potável.	Fornecedores e distribuidores de água destinada ao consumo humano, mas excluindo os distribuidores para os quais a distribuição de água para consumo humano é apenas uma parte da sua actividade geral de distribuição de outros produtos de base e mercadorias não considerados serviços essenciais.
Colecta e Tratamento de Águas Residuais
Retenção de águas	Sistemas de Retenção de águas.
3	Transportes	Transporte aéreo	Transportadoras aéreas, companhias, agentes, operadores.
Entidades gestoras aeroportuárias, aeroportos e as entidades que exploram instalações anexas existentes dentro dos aeroportos.
Operadores de controlo da gestão do tráfego aéreo que prestam serviços de controlo de tráfego aéreo.
Transporte marítimo e por Vias navegáveis interiores	Companhias de transporte por vias navegáveis interiores, marítimo e costeiro de passageiros e de mercadorias, não incluindo os navios explorados por essas companhias.
Entidades gestoras dos portos, incluindo as respectivas instalações portuárias e as entidades que gerem as obras e os equipamentos existentes dentro dos portos.
Operadores de serviços de tráfego marítimo.

Texto do artigo · p. 17 # Sector Subsector Tipo de Entidade 3 Transportes Transporte terrestres Autoridades rodoviárias e ferroviárias. Transportadores, companhias, agentes e operadores Operadores de serviço de tráfego rodoviário e ferroviário Operadores de sistemas de transporte inteligentes. 4 Finanças Banca Instituições de crédito. Seguros Bolsa e Valores Operadores de plataformas de negociação. 5 Infra-estruturas do mercado financeiro Contrapartes centrais. 6 Saúde Instalações de prestação de cuidados de saúde Prestadores de cuidados de saúde. Instalações de Controlo e Logística Armazéns de Medicamentos Prestadores de serviços de distribuição de Medicamentos 7 Infra-estruturas de Telecomunicações Operadoras de Telecomunicações 8 Infra-estruturas de Internet Registos de nomes de domínio de topo Pontos de troca de tráfego (IXP). Prestadores de serviços de Sistema de Nomes de Domínio (Domínio .MZ) Provedores de Serviços de Internet Rede Tecnológica Privada do Estado

#	Sector	Subsector	Tipo de Entidade
3	Transportes	Transporte terrestres	Autoridades rodoviárias e ferroviárias.
Transportadores, companhias, agentes e operadores
Operadores de serviço de tráfego rodoviário e ferroviário
Operadores de sistemas de transporte inteligentes.
4	Finanças	Banca	Instituições de crédito.
Seguros
Bolsa e Valores	Operadores de plataformas de negociação.
5	Infra-estruturas do mercado financeiro		Contrapartes centrais.
6	Saúde	Instalações de prestação de cuidados de saúde	Prestadores de cuidados de saúde.
Instalações de Controlo e Logística	Armazéns de Medicamentos Prestadores de serviços de distribuição de Medicamentos
7	Infra-estruturas de Telecomunicações		Operadoras de Telecomunicações
8	Infra-estruturas de Internet		Registos de nomes de domínio de topo
Pontos de troca de tráfego (IXP).
Prestadores de serviços de Sistema de Nomes de Domínio (Domínio .MZ)
Provedores de Serviços de Internet
Rede Tecnológica Privada do Estado

Texto do artigo · p. 17 ASSEMBLEIA DA REPÚBLICA

Texto do artigo · p. 17 Lei n.º 14/2026

Texto do artigo · p. 17 de 1 de Julho

Texto do artigo · p. 17 Havendo necessidade de estabelecer o regime jurídico dos crimes cibernéticos com vista a assegurar a protecção, a recolha de prova e a responsabilização criminal, visando garantir a cooperação internacional sobre a matéria, ao abrigo do disposto no número 1 do Artigo 178, da Constituição da República, a Assembleia da República, determina:

Número ou marcador · p. 17 CAPÍTULO I

Texto do artigo · p. 17 Disposições Gerais

Número ou marcador · p. 17 Artigo 1

Texto do artigo · p. 17 (Objecto)

Texto do artigo · p. 17 A presente Lei estabelece as disposições penais materiais e processuais, bem como as disposições relativas à cooperação internacional em matéria penal no domínio dos crimes cibernéticos e da recolha de prova em suporte electrónico.

Número ou marcador · p. 17 Artigo 2

Texto do artigo · p. 17 (Âmbito de aplicação)

Texto do artigo · p. 17 A presente Lei aplica-se a todas as pessoas singulares e colectivas, públicas ou privadas, que utilizam redes de comunicação de dados e sistemas de informação.

Número ou marcador · p. 17 Artigo 3

Texto do artigo · p. 17 (Definições)

Texto do artigo · p. 17 As definições dos termos e expressões utilizadas na presente Lei, constam do Glossário em anexo que dela é parte integrante.

Número ou marcador · p. 17 CAPÍTULO II

Texto do artigo · p. 17 Disposições Penais Materiais

Número ou marcador · p. 17 Artigo 4

Texto do artigo · p. 17 (Acesso ilegítimo)

Número ou marcador · p. 17 1. Quem, sem permissão legal ou sem para tanto estar autorizado pelo proprietário ou por outro titular do direito sobre o sistema ou de parte dele, se introduzir num dispositivo alheio, fixo ou móvel, ligado ou não à rede de computadores, com o fim de obter informação não pública de correio ou comunicações electrónicas privadas, acesso a dados privados, segredos comerciais ou industriais, informações sigilosas ou o acesso remoto não autorizado ao dispositivo é punido com pena de prisão de 1 a 2 anos e multa até 1 ano.

Número ou marcador · p. 17 2. Na mesma pena incorre quem, ilegitimamente, produzir, vender, distribuir ou por qualquer outra forma disseminar ou introduzir num ou mais sistemas informáticos dispositivos, programas, um conjunto executável de instruções, um código ou outros dados informáticos destinados a produzir as acções não autorizadas descritas no número 1 do presente artigo.

Número ou marcador · p. 17 3. Para efeitos do disposto nos números 1 e 2 do presente artigo,

Texto do artigo · p. 17 o procedimento criminal não depende de queixa, salvo quando estejam em causa dados relativos à vida privada.

Número ou marcador · p. 17 Artigo 5

Texto do artigo · p. 17 (Intercepção ilegítima)

Número ou marcador · p. 17 1. Quem, sem permissão legal ou sem para tanto estar autorizado pelo proprietário ou por outro titular do direito sobre o sistema ou de parte dele, e através de meios técnicos, interceptar transmissões de dados informáticos que se processam no interior de um sistema informático, a ele destinadas ou dele provenientes, é punido com pena de prisão de até 3 anos e multa de até dois anos.

Número ou marcador · p. 18 2. Incorre na mesma pena quem ilegitimamente produzir, vender, distribuir ou por qualquer outra forma disseminar ou introduzir num ou mais sistemas informáticos, dispositivos, programas ou outros dados informáticos destinados a produzir as acções não autorizadas descritas no número 1 do presente artigo.

Número ou marcador · p. 18 Artigo 6

Texto do artigo · p. 18 (Interferência em dados)

Texto do artigo · p. 18 autorizado pelo proprietário ou por outro titular sobre o sistema ou de parte dele, alterar, deteriorar, inutilizar, apagar, suprimir, destruir ou, de qualquer forma, alterar dados informáticos, é punido com pena de prisão de 1 a 2 anos e multa correspondente.

Número ou marcador · p. 18 2. Quem, mediante a introdução ou transmissão de dados informáticos ou, por qualquer outra forma, instalar vulnerabilidades, interferir no funcionamento de sistema informático, causando intencionalmente dano à infra-estrutura crítica, ou interrupção de fornecimento de serviços críticos, é punido com pena de prisão de 3 anos e multa correspondente.

Número ou marcador · p. 18 Artigo 7 (Interferência em sistemas)

Número ou marcador · p. 18 1. Quem, sem permissão legal ou sem para tanto estar autorizado pelo proprietário ou por outro titular do direito sobre o sistema ou de parte dele, entravar, impedir, interromper ou perturbar gravemente o funcionamento de um sistema informático, através da introdução, transmissão, deterioração, danificação, alteração, eliminação, impedimento do acesso ou supressão de programas ou outros dados informáticos ou de qualquer outra forma de interferência em sistema informático, é punido com pena de prisão até 2 anos e multa até 1 ano.

Número ou marcador · p. 18 2. À mesma infracção é aplicada a pena de prisão de 3 anos e multa correspondente, se a acção for praticada contra infraestruturas, ou serviços críticos.

Número ou marcador · p. 18 3. Se da conduta resultar dano relevante, afectação de serviços essenciais ou prejuízo significativo para terceiros, o agente é punido com pena de prisão de 2 a 8 anos.

Número ou marcador · p. 18 Artigo 8

Texto do artigo · p. 18 (Uso abusivo de dispositivos)

Texto do artigo · p. 18 Quem, ilegitimamente, produzir, vender, distribuir, importar ou por qualquer outra forma disseminar ou introduzir num ou mais sistemas informáticos dispositivos, programas ou outros dados informáticos destinados a produzir as acções não autorizadas descritas nos artigos 4 e 5, da presente Lei, é punido com pena de prisão de 1 a 2 anos.

Número ou marcador · p. 18 Artigo 9

Texto do artigo · p. 18 (Falsidade informática)

Número ou marcador · p. 18 1. Quem introduzir, modificar, apagar ou suprimir de forma intencional e ilegítima dados informáticos, produzindo dados ou documentos falsos ou não genuínos, com a intenção de que estes sejam considerados ou utilizados para fins legais como se

Texto do artigo · p. 18 o fossem, é punido com pena de prisão de 1 a 5 anos e multa até 1 ano.

Número ou marcador · p. 18 2. Quem, actuando com intenção de causar prejuízo a outrem ou de obter um benefício ilegítimo, para si ou para terceiro, usar documento produzido a partir de dados informáticos que foram objecto dos actos referidos no número 1 do presente artigo, ou

Texto do artigo · p. 18 cartão ou outro dispositivo no qual se encontrem registados ou incorporados os dados objecto dos actos referidos no número 1, do presente artigo, é punido com as penas previstas nos números 1 e 3, do presente artigo.

Número ou marcador · p. 18 3. Quem importar, distribuir, vender ou detiver para fins comerciais qualquer dispositivo que permita o acesso a sistema de comunicações ou a serviço de acesso condicionado, sobre o qual tenha sido praticada qualquer das acções previstas nos números anteriores, é punido com pena de prisão de 2 a 8 anos.

Número ou marcador · p. 18 4. A pena referida no número 1, do presente artigo, é também aplicável a quem, com objectivo de tirar proveito, manipular, falsificar ou usar indevidamente a identidade de outrém.

Número ou marcador · p. 18 5. A ocorrência de danos morais ou patrimoniais em qualquer

Texto do artigo · p. 18 dos casos previstos no presente artigo constitui circunstância agravante.

Número ou marcador · p. 18 Artigo 10

Texto do artigo · p. 18 (Burla informática e nas comunicações)

Número ou marcador · p. 18 1. Quem, com intenção de obter para si ou para terceiro enriquecimento ilegítimo, causar a outra pessoa prejuízo patrimonial, interferindo no resultado de tratamento de dados ou mediante estruturação incorrecta de programa informático, utilização incorrecta ou incompleta de dados, utilização de dados sem autorização ou intervenção por qualquer outro modo não autorizada no processamento, é punido com pena de prisão de até 3 anos e multa correspondente.

Número ou marcador · p. 18 2. A mesma pena é aplicável a quem, com intenção de obter

Texto do artigo · p. 18 para si ou para terceiro um benefício ilegítimo, causar a outrem prejuízo patrimonial, usando programas, dispositivos electrónicos ou outros meios que, separadamente ou em conjunto, se destinem a diminuir, alterar ou impedir, total ou parcialmente, o normal funcionamento ou exploração de serviços de telecomunicações.

Número ou marcador · p. 18 Artigo 11

Texto do artigo · p. 18 (Espionagem cibernética)

Número ou marcador · p. 18 1. Quem aceder, ilicitamente ou sem autorização, ao sistema informático governamental para a obtenção de informações classificadas ou estratégicas, com motivações políticas, económicas ou militares, para fins de inteligência estrangeira, é punido com pena de prisão de 3 a 10 anos.

Número ou marcador · p. 18 2. Quem invadir redes corporativas para apropriação de

Texto do artigo · p. 18 segredos industriais ou estratégias comerciais e comprometimento de infra-estruturas críticas e serviços críticos, é punido com a pena de 2 a 8 anos.

Número ou marcador · p. 18 Artigo 12

Texto do artigo · p. 18 (Terrorismo e extremismo violento cibernéticos)

Número ou marcador · p. 18 1. Quem atacar ou ameaçar atacar, invadir ou ameaçar invadir, destruir ou adulterar dados ou sistemas informáticos de infra-estruturas críticas, perturbando total ou parcialmente o seu funcionamento ou o fornecimento de seus serviços, é punido com pena de prisão de 2 a 8 anos.

Número ou marcador · p. 18 2. É punido com a mesma pena de prisão prevista no número 1

Texto do artigo · p. 18 do presente artigo, quem mobilizar ou recrutar, produzir e difundir conteúdos, através do sistema informático, com motivações políticas, económicas e religiosas, visando causar pânico, medo ou terror.

Número ou marcador · p. 19 Artigo 13

Texto do artigo · p. 19 (Extorsão cibernética)

Número ou marcador · p. 19 1. Quem ameaçar divulgar informações comprometedoras, ataques a sistemas informáticos, ou vazamento de dados pessoais no espaço digital em troca de pagamento, é punido com a pena de prisão até 2 anos e multa correspondente.

Número ou marcador · p. 19 2. A infracção referida no número 1 do presente artigo é punida

Texto do artigo · p. 19 com a pena de prisão de até 3 anos e multa correspondente, quando a vítima se tratar de titular ou membro de órgão de soberania, membro do governo, titular de órgão público e titular de órgão de Administração da Justiça.

Número ou marcador · p. 19 Artigo 14

Texto do artigo · p. 19 (Punição da tentativa)

Texto do artigo · p. 19 A tentativa de prática dos ilícitos previstos na presente Lei é punível nos termos do Código Penal.

Número ou marcador · p. 19 Artigo 15

Texto do artigo · p. 19 (Conteúdo sexual infantil no ambiente digital)

Fonte textual acessível e tabelas

Texto do artigo, página 8: termos previstos em regulamentação específica.
Número ou marcador, página 9: Artigo 50
Texto do artigo, página 9: (Requisitos de Segurança para a Administração Pública e Sector Privado)
Número ou marcador, página 9: 1. As entidades da Administração Pública e do Sector Privado devem tomar as medidas técnicas e organizacionais adequadas previstas na presente Lei e em regulamento específico, tendo em conta os progressos técnicos mais recentes, para garantir um nível de segurança adequado ao risco em causa nas redes e sistemas de informação.
Número ou marcador, página 9: 2. O responsável pela área administrativa das entidades da Administração Pública e do Sector Privado deve nomear o responsável e o auditor interno da segurança cibernética para melhor gestão de riscos cibernéticos.
Número ou marcador, página 9: 3. As entidades da Administração Pública e do Sector Privado devem criar uma Política de Segurança de Informação Institucional, para proteger os dados e garantir a integridade, confidencialidade e disponibilidade das informações.
Número ou marcador, página 9: 4. As entidades da Administração Pública e do Sector Privado devem estabelecer um CSIRT institucional.
Número ou marcador, página 9: 5. As medidas técnicas e organizacionais são objecto de
Texto do artigo, página 9: regulamentação específica.
Número ou marcador, página 9: Artigo 51
Texto do artigo, página 9: (Requisitos de Segurança para Operadores de Infra-estruturas Críticas)
Número ou marcador, página 9: 1. Os Operadores de Infra-estruturas Críticas devem tomar as medidas técnicas e organizacionais adequadas previstas na presente Lei e em regulamento específico, tendo em conta os progressos técnicos mais recentes, para garantir um nível de segurança adequado ao risco em causa nas redes e sistemas de informação.
Número ou marcador, página 9: 2. O responsável pela área administrativa dos Operadores de Infra-estruturas Críticas, deve nomear o responsável e o auditor interno da segurança cibernética para melhor gestão de riscos cibernéticos.
Número ou marcador, página 9: 3. Os Operadores de Infra-estruturas Críticas Privados devem
Texto do artigo, página 9: estabelecer um CSIRT institucional.
Número ou marcador, página 9: Artigo 52
Texto do artigo, página 9: (Requisitos de Segurança para os Operadores de Serviços Essenciais)
Número ou marcador, página 9: 1. Os Operadores de Serviços Essenciais devem cumprir as medidas técnicas e organizacionais adequadas e proporcionais para gerir os riscos que se colocam à segurança das redes e dos sistemas de informação que utilizam.
Número ou marcador, página 9: 2. As medidas técnicas e organizacionais previstas no número 1 do presente artigo devem garantir um nível de segurança adequado ao risco em causa, tendo em conta os progressos técnicos mais recentes.
Número ou marcador, página 9: 3. Os Operadores de Serviços Essenciais devem tomar as
Texto do artigo, página 9: medidas adequadas para evitar os incidentes que afectam a segurança das redes e dos sistemas de informação utilizados para a prestação dos seus serviços essenciais e para reduzir o seu impacto, a fim de assegurar a continuidade desses serviços.
Número ou marcador, página 9: Artigo 53
Texto do artigo, página 9: (Requisitos de segurança para Provedores de Serviços Digitais)
Número ou marcador, página 9: 1. Os Provedores de Serviços Digitais devem tomar as medidas técnicas e organizacionais, adequadas e proporcionais para gerir os riscos que se colocam à segurança das redes e dos sistemas de informação que utilizam no contexto da oferta dos serviços digitais.
Número ou marcador, página 9: 2. As medidas técnicas referidas no número 1 do presente artigo, devem garantir um nível de segurança das redes e dos sistemas de informação adequado ao risco em causa, tendo em conta os progressos técnicos mais recentes e devem ter em conta os seguintes factores:
Número ou marcador, página 9: a) a segurança dos sistemas, infra-estruturas e das instalações;
Número ou marcador, página 9: b) o tratamento dos incidentes;
Número ou marcador, página 9: c) a gestão da continuidade das actividades;
Número ou marcador, página 9: d) o acompanhamento, a auditoria e os testes realizados;
Número ou marcador, página 9: e) a conformidade com as normas internacionais.
Número ou marcador, página 9: 3. Os Provedores de Serviços Digitais devem tomar medidas
Texto do artigo, página 9: para prevenir incidentes que afectam a segurança das suas redes e sistemas de informação.
Número ou marcador, página 9: Artigo 54
Texto do artigo, página 9: (Requisitos de segurança para os Provedores Intermediários de Serviços Digitais)
Número ou marcador, página 9: 1. Os Provedores Intermediários de Serviços Digitais devem identificar e tomar as medidas técnicas e organizacionais, adequadas e proporcionais para gerir os riscos que se colocam à segurança das redes e dos sistemas de informação que utilizam no contexto da oferta dos serviços digitais.
Número ou marcador, página 9: 2. As medidas técnicas, organizacionais referidas no número 1 do presente artigo, devem garantir um nível de segurança das redes e dos sistemas de informação adequado ao risco em causa, obedecendo os progressos técnicos mais recentes, tendo em conta os seguintes factores:
Número ou marcador, página 9: a) segurança dos sistemas, Infra-estruturas Críticas e das instalações;
Número ou marcador, página 9: b) tratamento dos incidentes;
Número ou marcador, página 9: c) gestão da continuidade das actividades;
Número ou marcador, página 9: d) acompanhamento, a auditoria e os testes realizados;
Número ou marcador, página 9: e) conformidade com as normas internacionais.
Número ou marcador, página 9: 3. Os Provedores Intermediários de Serviços Digitais devem aplicar medidas para evitar os incidentes que afectam a segurança das suas redes e sistemas de informação para assegurar a continuidade desses serviços.
Número ou marcador, página 9: 4. As medidas técnicas e organizacionais referidas nos
Texto do artigo, página 9: números 1, 2 e 3 do presente artigo são estabelecidas nos termos a regulamentar.
Número ou marcador, página 9: Artigo 55
Texto do artigo, página 9: (Requisitos de segurança para Operadores de Centros de Dados)
Número ou marcador, página 9: 1. Um operador de Centro de Dados é uma entidade responsável por monitorar, gerir e manter a infra-estrutura física e lógica de uma instalação de processamento de dados.
Número ou marcador, página 9: 2. O Operador de Centro de Dados deve tomar medidas
Texto do artigo, página 9: adequadas para garantir a integridade, confidencialidade e a disponibilidade dos dados armazenados, reduzindo os riscos de tempo de inactividade.
Número ou marcador, página 9: Artigo 56
Texto do artigo, página 9: (Requisitos de segurança para Operadores de Plataformas de Computação em Nuvem)
Número ou marcador, página 9: 1. Os Operadores de Plataformas de Computação em Nuvem devem garantir a segurança no armazenamento de dados na nuvem, em conformidade com as boas práticas reconhecidas internacionalmente.
Número ou marcador, página 10: 2. Os requisitos de segurança são definidos nos termos da regulamentação específica.
Número ou marcador, página 10: SECÇÃO II Notificação de Incidentes de Segurança Cibernética
Número ou marcador, página 10: Artigo 57
Texto do artigo, página 10: (Incidentes de segurança cibernética de impacto significativo)
Número ou marcador, página 10: 1. Considera-se que um incidente de segurança cibernética tem um impacto significativo, em termos de grau de danos ou de custos para uma organização, se atender, a pelo menos, uma das seguintes condições:
Número ou marcador, página 10: a) o impacto do incidente de segurança cibernética, é classificado em menos ou mais grave, de acordo com o grau de consequências determinado na avaliação do risco realizado;
Número ou marcador, página 10: b) devido ao incidente de segurança cibernética, a prestação do serviço essencial não pode continuar depois de decorrido o tempo máximo de interrupção admissível do serviço, de acordo com o nível de serviço ou requisitos relevantes para a continuidade dos negócios ou serviço;
Número ou marcador, página 10: c) a continuidade do serviço de algum outro prestador de serviço essencial é interrompida devido ao incidente de segurança cibernético;
Número ou marcador, página 10: d) para resolver o incidente de segurança cibernética, é necessário aplicar qualquer das medidas extraordinárias estabelecidas na avaliação do risco realizado ou em outro documento, se houver, que descreva a reintegração da continuidade do serviço ou da segurança do sistema de informação;
Número ou marcador, página 10: e) os serviços oferecidos pela Infra-estrutura Crítica, ou o provedor de outro serviço ou usuários do serviço sofrem ou podem sofrer danos devido ao incidente de segurança cibernética.
Número ou marcador, página 10: 2. O impacto significativo de incidentes cibernéticos é objecto
Texto do artigo, página 10: de regulamentação específica.
Número ou marcador, página 10: Artigo 58
Texto do artigo, página 10: (Notificação de incidentes para a Administração Pública e Sector Privado)
Número ou marcador, página 10: 1. As entidades devem notificar ao respectivo CSIRT Sectorial e ao CSIRT Nacional os incidentes com um impacto significativo na segurança das redes de comunicação de dados e dos sistemas de informação, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética.
Número ou marcador, página 10: 2. As notificações das entidades da Administração Pública devem incluir informações que permitam ao CSIRT do Governo e ao CSIRT Nacional determinar o impacto dos incidentes.
Número ou marcador, página 10: 3. A notificação não acarreta responsabilidades acrescidas para a parte notificante.
Número ou marcador, página 10: 4. A fim de determinar a relevância do impacto de um incidente deve-se ter em conta os seguintes parâmetros:
Número ou marcador, página 10: a) o número de utilizadores afectados;
Número ou marcador, página 10: b) a duração do incidente;
Número ou marcador, página 10: c) a distribuição geográfica, no que se refere à zona afectada pelo incidente.
Número ou marcador, página 10: 5. A Autoridade Nacional de Segurança Cibernética deve
Texto do artigo, página 10: prestar ao notificante as informações relevantes relativas ao seguimento da sua notificação.
Número ou marcador, página 10: 6. A Autoridade Nacional de Segurança Cibernética, após consultar o notificante, deve divulgar incidentes específicos de acordo com o interesse público, salvaguardando a segurança e os interesses dos Operadores de Infra-estruturas Críticas.
Número ou marcador, página 10: 7. As entidades da Administração Pública devem submeter ao CSIRT da Administração Pública, o CSIRT do Governo, e para o CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.
Número ou marcador, página 10: 8. O relatório da resposta e da resolução de incidentes inclui
Texto do artigo, página 10: informações relativas às causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.
Número ou marcador, página 10: Artigo 59
Texto do artigo, página 10: (Notificação de incidentes para Operadores de Infra-estruturas Críticas)
Número ou marcador, página 10: 1. Os Operadores de Infra-estruturas Críticas devem notificar ao respectivo CSIRT sectorial e ao CSIRT Nacional os incidentes com um impacto significativo na segurança das redes e dos sistemas de informação, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética.
Número ou marcador, página 10: 2. A notificação dos Operadores de Infra-estruturas Críticas deve incluir informação que permite ao CSIRT sectorial e ao CSIRT Nacional determinar o impacto dos incidentes.
Número ou marcador, página 10: 3. A notificação não acarreta responsabilidades acrescidas para a parte notificante.
Número ou marcador, página 10: 4. A fim de determinar a relevância do impacto de um incidente deve-se ter em conta, os seguintes parâmetros:
Número ou marcador, página 10: a) o número de utilizadores afectados pelo incidente, em particular os utilizadores que dependem do serviço para prestarem os seus próprios serviços;
Número ou marcador, página 10: b) a duração do incidente;
Número ou marcador, página 10: c) a distribuição geográfica, no que se refere à zona afectada pelo incidente;
Número ou marcador, página 10: d) o nível de gravidade da perturbação do funcionamento do serviço;
Número ou marcador, página 10: e) a extensão do impacto nas actividades económicas e sociais.
Número ou marcador, página 10: 5. A Autoridade Nacional de Segurança Cibernética deve prestar ao notificante as informações relevantes relativas ao seguimento da sua notificação.
Número ou marcador, página 10: 6. A Autoridade Nacional de Segurança Cibernética deve divulgar os incidentes específicos de acordo com o interesse público, salvaguardando a segurança e os interesses dos Operadores de Infra-estruturas Críticas.
Número ou marcador, página 10: 7. Os Operadores de Infra-estruturas Críticas devem submeter ao CSIRT sectorial e ao CSIRT Nacional o relatório mensal sobre a resposta e resolução do incidente.
Número ou marcador, página 10: 8. O relatório de resposta e resolução de incidentes inclui
Texto do artigo, página 10: informações sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.
Número ou marcador, página 10: Artigo 60
Texto do artigo, página 10: (Notificação de incidentes para os Operadores de Serviços Essenciais)
Número ou marcador, página 10: 1. Os Operadores de Serviços Essenciais devem notificar ao respectivo CSIRT Sectorial e ao CSIRT Nacional os incidentes com um impacto significativo na continuidade dos serviços essenciais por si prestados, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética.
Número ou marcador, página 11: 2. A notificação deve incluir informação que permite à Autoridade Nacional de Segurança Cibernética determinar o impacto dos incidentes.
Número ou marcador, página 11: 3. A notificação não acarreta responsabilidades acrescidas para a parte notificante.
Número ou marcador, página 11: 4. A fim de determinar a relevância do impacto de um incidente deve-se ter em conta, os seguintes parâmetros:
Número ou marcador, página 11: a) o número de utilizadores afectados pelo incidente, em particular os que dependem do serviço para prestarem os seus próprios serviços;
Número ou marcador, página 11: b) a duração do incidente;
Número ou marcador, página 11: c) a distribuição geográfica, no que se refere à zona afectada pelo incidente;
Número ou marcador, página 11: d) o nível de gravidade da perturbação do funcionamento do serviço;
Número ou marcador, página 11: e) a extensão do impacto nas actividades económicas e sociais.
Número ou marcador, página 11: 5. A Autoridade Nacional de Segurança Cibernética deve:
Número ou marcador, página 11: a) informar os pontos de contacto únicos dos outros CSIRTs, caso o incidente tenha um impacto significativo na continuidade dos serviços essenciais;
Número ou marcador, página 11: b) salvaguardar a segurança e os interesses do Operador de Serviços Essenciais, bem como a confidencialidade da informação prestada na sua notificação;
Número ou marcador, página 11: c) prestar ao Operador de Serviços Essenciais as informações relevantes, relativas ao seguimento da sua notificação;
Número ou marcador, página 11: d) transmitir as notificações referidas no número 1, do presente artigo, aos pontos de contacto únicos dos outros CSIRT;
Número ou marcador, página 11: e) divulgar informação relativa a incidentes específicos de acordo com o interesse público.
Número ou marcador, página 11: 6. O Operador de Serviços Essenciais que depende de um terceiro prestador de serviços para a prestação de um serviço essencial, notifica todos os impactos importantes na continuidade dos seus serviços, decorrentes dos incidentes cibernéticos.
Número ou marcador, página 11: 7. Os Operadores de Serviços Essenciais submetem ao CSIRT Sectorial e ao CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.
Número ou marcador, página 11: 8. O relatório da resposta e da resolução de incidentes inclui
Texto do artigo, página 11: informação sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.
Número ou marcador, página 11: Artigo 61
Texto do artigo, página 11: (Notificação de incidentes para Provedores de Serviços Digitais)
Número ou marcador, página 11: 1. Os Provedores de Serviços Digitais devem notificar ao respectivo CSIRT sectorial e ao CSIRT Nacional os incidentes com um impacto significativo na continuidade dos serviços essenciais por si prestados, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética.
Número ou marcador, página 11: 2. A notificação referida no número 1 do presente artigo, inclui informação que permite à Autoridade Nacional de Segurança Cibernética determinar o impacto do incidente.
Número ou marcador, página 11: 3. A notificação não acarreta responsabilidades acrescidas para a parte notificante.
Número ou marcador, página 11: 4. A fim de determinar se o impacto de um incidente é
Texto do artigo, página 11: substancial, são tidos em conta os seguintes parâmetros:
Número ou marcador, página 11: a) o número de utilizadores afectados pelo incidente, em particular os utilizadores que dependem do serviço para prestarem os seus próprios serviços;
Número ou marcador, página 11: b) a duração do incidente;
Número ou marcador, página 11: c) a distribuição geográfica, no que se refere à zona afectada pelo incidente;
Número ou marcador, página 11: d) o nível de gravidade da perturbação do funcionamento do serviço;
Número ou marcador, página 11: e) a extensão do impacto nas actividades económicas e sociais.
Número ou marcador, página 11: 5. A Autoridade Nacional de Segurança Cibernética, após consultar o notificante, pode divulgar incidentes específicos de acordo com o interesse público.
Número ou marcador, página 11: 6. Os Provedores de Serviços Digitais são obrigados a submeter ao CSIRT sectorial e para o CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.
Número ou marcador, página 11: 7. O relatório da resposta e da resolução de incidentes inclui
Texto do artigo, página 11: informação sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.
Número ou marcador, página 11: Artigo 62
Texto do artigo, página 11: (Notificação de incidentes para os Provedores Intermediários de Serviços)
Número ou marcador, página 11: 1. Os Provedores Intermediários de Serviços Digitais devem notificar a Autoridade Nacional de Segurança Cibernética dos incidentes com impacto substancial na prestação dos serviços digitais, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética.
Número ou marcador, página 11: 2. A notificação referida no número 1 do presente artigo, inclui informação que permite à Autoridade Nacional de Segurança Cibernética determinar a importância dos impactos transfronteiriços.
Número ou marcador, página 11: 3. A notificação não acarreta responsabilidades acrescidas para a parte notificante.
Número ou marcador, página 11: 4. A fim de determinar se o impacto de um incidente é substancial, são tidos em conta os seguintes parâmetros:
Número ou marcador, página 11: a) o número de utilizadores afectados pelo incidente, em particular os utilizadores que dependem do serviço para prestarem os seus próprios serviços;
Número ou marcador, página 11: b) a duração do incidente;
Número ou marcador, página 11: c) a distribuição geográfica, no que se refere à zona afectada pelo incidente;
Número ou marcador, página 11: d) o nível de gravidade da perturbação do funcionamento do serviço;
Número ou marcador, página 11: e) a extensão do impacto nas actividades económicas e sociais.
Número ou marcador, página 11: 5. A Autoridade Nacional de Segurança Cibernética, após consultar o notificante, pode divulgar incidentes específicos de acordo com o interesse público.
Número ou marcador, página 11: 6. Os Provedores Intermediários de Serviços Digitais são obrigados a submeter ao CSIRT sectorial e para o CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.
Número ou marcador, página 11: 7. O relatório da resposta e da resolução de incidentes inclui
Texto do artigo, página 11: informação sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.
Número ou marcador, página 11: Artigo 63
Texto do artigo, página 11: (Notificação de incidentes para Operadores de Centros de Dados)
Número ou marcador, página 11: 1. Os Operadores de Centros de Dados devem:
Número ou marcador, página 11: a) notificar à Autoridade Nacional de Segurança Cibernética dos incidentes com impacto substancial na prestação dos serviços, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética;
Número ou marcador, página 12: b) notificar seus assinantes atempadamente, justificando quaisquer incidentes de segurança cibernética, incluindo o vazamento de dados e o que afecta ou pode afectar o conteúdo do assinante;
Número ou marcador, página 12: c) notificar ao CSIRT Nacional atempadamente de qualquer incidente de segurança cibernética ou vazamento de dados que tenham conhecimento e o que afecta ou pode afectar o conteúdo do assinante;
Número ou marcador, página 12: d) adoptar regras e políticas internas para garantir a continuidade do negócio, recuperação de desastres e gestão de riscos, devendo fornecer aos assinantes um resumo dessas regras e políticas;
Número ou marcador, página 12: e) submeter ao CSIRT sectorial e ao CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.
Número ou marcador, página 12: 2. O relatório da resposta e da resolução de incidentes inclui informação sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.
Número ou marcador, página 12: Artigo 64
Texto do artigo, página 12: (Notificação de incidentes para Operadores de Plataformas de Computação em Nuvem)
Número ou marcador, página 12: 1. Os Operadores de Plataformas de Computação em Nuvem devem:
Número ou marcador, página 12: a) notificar a Autoridade Nacional de Segurança Cibernética dos incidentes com impacto substancial na prestação dos serviços, dentro do prazo determinado pela Autoridade Nacional de Segurança Cibernética nos termos regulamentares;
Número ou marcador, página 12: b) notificar aos seus assinantes atempadamente, justificando quaisquer incidentes de segurança cibernética, incluindo vazamento de dados e o que afecta ou pode afectar o conteúdo do assinante;
Número ou marcador, página 12: c) notificar ao CSIRT Nacional de imediato de qualquer incidente de segurança cibernética e vazamento de dados de que tenha conhecimento;
Número ou marcador, página 12: d) adoptar regras e políticas internas para a continuidade do negócio, recuperação de desastres, gestão de riscos e fornecer aos assinantes dos serviços um resumo dessas regras e políticas;
Número ou marcador, página 12: e) submeter ao CSIRT Sectorial e ao CSIRT Nacional o relatório mensal da resposta e da resolução do incidente.
Número ou marcador, página 12: 2. O relatório de resposta e resolução de incidentes inclui
Texto do artigo, página 12: informação sobre as causas do incidente de segurança cibernética, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto.
Número ou marcador, página 12: Artigo 65
Texto do artigo, página 12: (Notificação voluntária de incidentes)
Número ou marcador, página 12: 1. Sem prejuízo da obrigação de notificação de incidentes prevista na presente Lei, quaisquer entidades podem notificar, ao CSIRT institucional, CSIRT Sectorial ou CSIRT Nacional, a título voluntário, os incidentes com impacto significativo na continuidade dos serviços por si prestados.
Número ou marcador, página 12: 2. No tratamento das notificações voluntárias, aplica-se
Texto do artigo, página 12: às disposições relativas à notificação de incidentes para os Operadores de Serviços Essenciais com as necessárias adaptações.
Número ou marcador, página 12: 3. A notificação voluntária não pode dar origem à imposição à entidade notificante de obrigações às quais esta não teria sido sujeita se não tivesse procedido a essa notificação.
Número ou marcador, página 12: Artigo 66
Texto do artigo, página 12: (Divulgação Responsável de Vulnerabilidades)
Número ou marcador, página 12: 1. A pessoa singular ou colectiva pode comunicar, publicar ou divulgar vulnerabilidades, desde que tal divulgação seja baseada na boa-fé, não sendo considerada como tendo violado as disposições legais sobre confidencialidade, integridade e disponibilidade de dados e sistemas de informação, ou que tenha incorrido em violação de leis, regulamentos, contratos e códigos de conduta profissional pelo facto de ter divulgado tais informações.
Número ou marcador, página 12: 2. Para efeitos da presente Lei, considera-se que a divulgação de uma vulnerabilidade é de boa-fé, tendo em conta o seguinte:
Número ou marcador, página 12: a) se não tiver sido feita sob coacção ou ameaça de publicação de informação não tiver sido solicitada a recompensa;
Número ou marcador, página 12: b) ter sido dado um prazo razoável de, pelo menos 90 dias de calendário, para corrigir a vulnerabilidade antes de publicar ou divulgar;
Número ou marcador, página 12: c) quando no processo de identificação, a pessoa que tomou as precauções necessárias para prevenir incidentes referente à privacidade, degradação ou falhas no serviço, destruição ou manipulação dos dados;
Número ou marcador, página 12: d) se a pessoa que divulga uma vulnerabilidade considera o impacto de tal divulgação e toma os devidos cuidados para minimizar o dano que pode ser causado por tal divulgação.
Número ou marcador, página 12: 3. A partir do processo de identificação de vulnerabilidades
Texto do artigo, página 12: baseado na boa fé, são excluídos os métodos que possam levar à negação de serviço, evidência física, uso de código malicioso, engenharia social e alteração, remoção ou destruição de dados.
Número ou marcador, página 12: CAPÍTULO V
Texto do artigo, página 12: Fundo de Segurança Cibernética
Número ou marcador, página 12: Artigo 67
Texto do artigo, página 12: (Fundo)
Número ou marcador, página 12: 1. É instituído pela presente Lei um Fundo de Segurança Cibernética, abreviadamente designado por (FSC) com o objectivo de prover recursos financeiros para promover e fortalecer a segurança cibernética do País.
Número ou marcador, página 12: 2. O FSC é gerido pela Autoridade Nacional de Segurança Cibernética.
Número ou marcador, página 12: 3. As entidades registadas e licenciadas para a prestação de serviços de TIC’s devem contribuir para o FSC.
Número ou marcador, página 12: 4. As regras de funcionamento do FSC são estabelecidas em
Texto do artigo, página 12: regulamentação específica.
Número ou marcador, página 12: Artigo 68
Texto do artigo, página 12: (Objectivos do FSC)
Texto do artigo, página 12: São objectivos do FSC:
Número ou marcador, página 12: a) incrementar os recursos financeiros destinados à promoção da segurança cibernética, com vista a garantir um espaço cibernético inclusivo, seguro e resiliente;
Número ou marcador, página 13: b) providenciar recursos numa base competitiva às instituições públicas ou privadas que promovam actividades enquadradas nas linhas orientadoras estabelecidas pelo Governo em matérias de segurança cibernética;
Número ou marcador, página 13: c) promover a formação contínua para desenvolvimento de capacidade nacional em matérias de segurança cibernética.
Número ou marcador, página 13: Artigo 69
Texto do artigo, página 13: (Beneficiários)
Texto do artigo, página 13: São beneficiários do FSC:
Número ou marcador, página 13: a) as instituições públicas e privadas, academia e sociedade civil, em conformidade com os critérios de elegibilidade a serem definidos em regulamento específico;
Número ou marcador, página 13: b) os trabalhadores das entidades ou empresas contribuentes do FSC, através do acesso a programa de formação contínua estruturados pela empresa para actualização tecnológica em matérias de segurança cibernética;
Número ou marcador, página 13: c) as Entidades do Sistema Nacional de Segurança Cibernética contribuentes do fundo, encorajando-as a dedicar maior atenção à melhoria da qualidade dos serviços e a formação dos seus trabalhadores, como forma de melhorar a sua capacidade produtiva;
Número ou marcador, página 13: d) as entidades que pretendam estabelecer CSIRTs sectoriais e institucionais.
Número ou marcador, página 13: Artigo 70
Texto do artigo, página 13: (Fontes de receitas)
Texto do artigo, página 13: Constituem fontes de receitas do FSC:
Número ou marcador, página 13: a) as comparticipações e subvenções que sejam atribuídas pelo Estado e por outras pessoas colectivas do direito público;
Número ou marcador, página 13: b) as doações dos parceiros de cooperação destinadas ao financiamento da área de segurança cibernética;
Número ou marcador, página 13: c) 1% da receita bruta do ano anterior das Entidades do Sistema Nacional de Segurança Cibernética, licenciadas no âmbito do exercício da actividade de prestação de serviços de segurança cibernética;
Número ou marcador, página 13: d) outras fontes de receitas ou financiamento que lhe vierem a ser destinados.
Número ou marcador, página 13: Artigo 71
Texto do artigo, página 13: (Gestão)
Texto do artigo, página 13: A Autoridade Nacional de Segurança Cibernética é responsável pela gestão do FSC, de acordo com a Legislação Orçamental.
Número ou marcador, página 13: CAPÍtULo Vi
Texto do artigo, página 13: Supervisão, Fiscalização, Contravenções e Sanções
Número ou marcador, página 13: Artigo 72
Texto do artigo, página 13: (Supervisão)
Texto do artigo, página 13: Compete a Autoridade Nacional de Segurança Cibernética garantir a realização da supervisão nos sectores abrangidos pela presente Lei.
Número ou marcador, página 13: Artigo 73
Texto do artigo, página 13: (Fiscalização)
Texto do artigo, página 13: Compete a Autoridade Nacional de Segurança Cibernética realizar acções de fiscalização das actividades em matéria de segurança cibernética.
Número ou marcador, página 13: Artigo 74
Texto do artigo, página 13: (Auditoria)
Texto do artigo, página 13: A Autoridade Nacional de Segurança Cibernética estabelece os padrões técnicos que servem de base para realização de auditoria de segurança cibernética e de segurança de informação, nos termos a regulamentar.
Número ou marcador, página 13: Artigo 75
Texto do artigo, página 13: (Contravenções)
Texto do artigo, página 13: Constituem contravenções à presente Lei:
Número ou marcador, página 13: a) a violação da responsabilidade do responsável de uma Infra-estrutura Crítica de informação registada de notificar a Autoridade Nacional de Segurança Cibernética no prazo de 7 dias, a contar da mudança de propriedade legal da Infra-estrutura Crítica de informação registada;
Número ou marcador, página 13: b) a falha do responsável de uma Infra-estrutura Crítica de informação em relatar um incidente de segurança cibernética;
Número ou marcador, página 13: c) a recusa ou obstrução da investigação do responsável de uma infra-estrutura de informação crítica em fazer com que uma auditoria seja realizada na infra-estrutura de informação crítica;
Número ou marcador, página 13: d) a recusa do responsável de uma Infra-estrutura Crítica de informação em apresentar uma cópia do relatório de auditoria à Autoridade de Segurança Cibernética;
Número ou marcador, página 13: e) o incumprimento das directrizes regulatórias emanada pela Autoridade Nacional de Segurança Cibernética;
Número ou marcador, página 13: f) a recusa da instituição em relatar um incidente de segurança cibernética ao órgão competente;
Número ou marcador, página 13: g) a violação do dever de licenciar os serviços previstos na presente Lei;
Número ou marcador, página 13: h) o uso intencional de uma licença não concedida ao Provedor de Serviço;
Número ou marcador, página 13: i) o incumprimento dos requisitos e medidas de segurança cibernética;
Número ou marcador, página 13: j) a utilização indevida, por parte do Provedor de Serviços, de mecanismos ou recursos de interceptação na execução de um mandado de interceptação emitido por tribunal de jurisdição competente;
Número ou marcador, página 13: k) a omissão, pelo Provedor de Serviços, da adopção das medidas necessárias para permitir a desencriptação de uma comunicação de telecomunicações, nos termos de um mandado de interceptação emitido pelo tribunal competente;
Número ou marcador, página 13: l) o incumprimento, pelo Provedor de Serviços, da obrigação de reter as informações do assinante pelo período de um ano;
Número ou marcador, página 13: m) o incumprimento, pelo Provedor de Serviços, da obrigação de reter os dados de tráfego pelo período de um ano;
Número ou marcador, página 14: n) a violação da responsabilidade do Provedor de Serviços em não reter dados de tráfego por um período de um ano;
Número ou marcador, página 14: o) o uso ilegal de dados retidos para uma finalidade diferente da declarada em um mandado de interceptação;
Número ou marcador, página 14: p) a violação de obrigação do responsável ou Operador de uma Infra-estrutura Crítica de informação, um CSIRT designado ou um Provedor de Serviço Digital em apresentar informações relevantes à Autoridade Competente;
Número ou marcador, página 14: q) a recusa do Provedor de Serviços em cumprir com uma decisão da Autoridade Nacional de Segurança Cibernética para bloquear, filtrar ou remover qualquer conteúdo que ameaça ou afecta a segurança cibernética do País;
Número ou marcador, página 14: r) o incumprimento de uma directiva emanada pela Autoridade Nacional de Segurança Cibernética;
Número ou marcador, página 14: s) o incumprimento diário por parte do responsável de uma Infra-estrutura de informação Crítica, do CSIRT designado ou de um prestador de serviço digital em cumprir um pedido de envio de informação relevante a Autoridade Competente com a finalidade de garantir a segurança cibernética do País;
Número ou marcador, página 14: t) o incumprimento da obrigação de requisitos de segurança previstos nos artigos 48, 50, 51, 52, 53, 54, 55 e 56, da presente Lei.
Número ou marcador, página 14: u) o incumprimento da obrigação de notificação de incidentes de segurança previsto nos artigos 58, 59, 60, 61, 62, 63, 64 e 65, da presente Lei.
Número ou marcador, página 14: v) o incumprimento das instruções e alertas de segurança cibernética emitidas pela Autoridade Nacional de Segurança Cibernética previsto na alínea h), do artigo 11, da presente Lei.
Número ou marcador, página 14: w) todos os factos ilícitos que preencham um tipo legal correspondente à violação de disposições legais relativas à segurança cibernética para as quais, caiba multa, suspensão de licenças, certificados, autorizações ou proibição de operação ou sanção estabelecidas em legislação específica.
Número ou marcador, página 14: Artigo 76
Texto do artigo, página 14: (Sanções)
Texto do artigo, página 14: Sem prejuízo de aplicação da pena mais grave no âmbito da legislação penal, as infracções previstas no presente artigo são puníveis, nos seguintes termos:
Número ou marcador, página 14: a) a violação do disposto na alínea h), do artigo 75, da presente Lei é punível com a multa de 35 salários mínimos em vigor na Função Pública;
Número ou marcador, página 14: b) a violação do disposto na alínea q), do artigo 75, da presente Lei é punível com a multa de 2 a 17 salários mínimos em vigor na Função Pública;
Número ou marcador, página 14: c) a violação do disposto nas alíneas j) e k), do artigo 75, da presente Lei é punível com a multa de 7 salários mínimos em vigor na Função Pública;
Número ou marcador, página 14: d) a violação do disposto nas alíneas a), b), c), d), l), m), n), o), p) e s) do artigo 75, da presente Lei é punível com a multa de 1 a 7 salários mínimos em vigor na Função Pública;
Número ou marcador, página 14: e) a violação do disposto nas alíneas e), f) e i), do artigo 75, em vigor na da presente Lei é punível com a multa de 1 a 4 salários mínimos em vigor na Função Pública;
Número ou marcador, página 14: f) a violação do disposto nas alíneas r) e t), do artigo 75, da presente Lei é punível com a multa de 1 salário mínimo da Função Pública por semana;
Número ou marcador, página 14: g) a violação do disposto na alínea g), do artigo 75 da presente Lei é punível com a multa de 64 salários mínimos em vigor na Função Pública;
Número ou marcador, página 14: h) a violação da obrigação de requisitos de segurança previsto nos artigos 48, 50, 51, 52, 53, 54, 55 e 56, da presente Lei é punível com uma multa de 90 a 160 salários mínimos em vigor na Função Pública;
Número ou marcador, página 14: i) a violação da obrigação de notificação de incidentes de segurança previsto nos artigos 58, 59, 60, 61, 62, 63, 64 e 65, da presente Lei é punível com a multa de 80 a 100 salários mínimos em vigor na Função Pública;
Número ou marcador, página 14: j) a violação da observância das instruções e alertas de segurança cibernética emitidas pela Autoridade Nacional de Segurança Cibernética tal como previsto na alínea h), do artigo 11, da presente Lei é punível com a multa de 60 a 90 salários mínimos em vigor na Função Pública.
Número ou marcador, página 14: CAPÍTULO VII
Texto do artigo, página 14: Disposições finais
Número ou marcador, página 14: Artigo 77
Texto do artigo, página 14: (Regime subsidiário)
Texto do artigo, página 14: É aplicável subsidiariamente à presente Lei, em tudo que se mostre omisso, o regime jurídico aplicável às transacções electrónicas e demais legislação complementar.
Número ou marcador, página 14: Artigo 78
Texto do artigo, página 14: (Unidades Especializadas em Operações Cibernéticas)
Número ou marcador, página 14: 1. As unidades especializadas em operações cibernéticas para as actividades de defesa nacional, segurança interna e segurança do Estado são criadas para prestarem serviços de defesa e segurança cibernética, e para fins de defesa nacional.
Número ou marcador, página 14: 2. As unidades especializadas em operações cibernéticas
Texto do artigo, página 14: trabalham em coordenação com o Centro de Coordenação Cibernética das Forças de Defesa e Segurança.
Número ou marcador, página 14: Artigo 79
Texto do artigo, página 14: (Regulamentação)
Número ou marcador, página 14: 1. As matérias de Segurança Cibernética relacionadas com as actividades de defesa nacional, segurança interna e segurança do Estado são estabelecidas em regulamentação específica.
Número ou marcador, página 14: 2. Compete ao Conselho de Ministros regulamentar a presente
Texto do artigo, página 14: Lei no prazo de 180 dias a contar da data da sua publicação.
Número ou marcador, página 14: Artigo 80
Texto do artigo, página 14: (Entrada em vigor)
Texto do artigo, página 14: A presente Lei entra em vigor 90 dias após a sua publicação. Aprovada pela Assembleia da República, aos 29 de Abril
Texto do artigo, página 14: de 2026.
Texto do artigo, página 14: A Presidente da Assembleia da República, Margarida Adamugi Talapa.
Texto do artigo, página 14: Promulgada, aos 10 de Junho de 2026. Publique se. O Presidente da República, DAnieL FrAncisco chAPo.
Número ou marcador, página 15: Anexo I Glossário A
Texto do artigo, página 15: Activo de Informação – todo elemento que agrega valor ao negócio podendo ser uma informação digital ou física, hardware, software, pessoa ou ambiente físico, meios de armazenamento, transmissão e processamento bem como os sistemas de informação, cuja quebra da confidencialidade, integridade ou disponibilidade trará prejuízo.
Texto do artigo, página 15: Ameaça Cibernética – qualquer factor ou acção capaz de interferir e causar danos à integridade, à confidencialidade, à autenticidade e à disponibilidade de dados e informações numa organização.
Texto do artigo, página 15: C
Texto do artigo, página 15: Crime cibernético – é todo o acto em que os sistemas de computadores, redes, dispositivos electrónicos e dados servem de meio para atingir um objectivo criminoso.
Texto do artigo, página 15: D
Texto do artigo, página 15: Defesa cibernética – refere-se ao conjunto de medidas, estratégias, políticas e tecnologias adoptadas para proteger sistemas de computadores, redes, dispositivos e dados contra ameaças cibernéticas.
Texto do artigo, página 15: E
Texto do artigo, página 15: Engenharia social – é o acto de manipular uma pessoa através de técnicas psicológicas e habilidades sociais para atingir objectivos específicos.
Texto do artigo, página 15: Equipa de Resposta a Incidentes de Segurança Cibernética (CSIRT) – a equipa que actua por referência a uma comunidade de utilizadores definida, em representação de uma entidade, prestando um conjunto de serviços de segurança que inclua, designadamente, o serviço de tratamento e resposta a incidentes de segurança das redes e dos sistemas de informação.
Texto do artigo, página 15: Espaço cibernético – espaço não físico, criado por redes de comunicações, onde as pessoas podem comunicar.
Texto do artigo, página 15: I
Texto do artigo, página 15: Infraestrutura crítica – a componente, sistema ou parte deste situado em território nacional que é essencial para a manutenção de funções vitais para a sociedade, a saúde, a segurança e o bemestar económico ou social, e cuja perturbação ou destruição teria um impacto significativo, dada a impossibilidade de continuar a assegurar essas funções.
Texto do artigo, página 15: O
Texto do artigo, página 15: Operador de Rede de Infra-estruturas Críticas – é uma entidade pública ou privada responsável pela gestão, operação e manutenção de sistemas e activos essenciais (como energia, transportes, água e comunicações).
Texto do artigo, página 15: Operador de Rede de Serviços Essenciais – é uma entidade pública ou privada que fornece serviços cruciais, cuja interrupção impacta gravemente a saúde, segurança ou economia.
Texto do artigo, página 15: Operadores de plataformas digitais – entidades que gerem infraestruturas baseadas na Internet e aplicações, conectando fornecedores de serviços ou produtos a clientes finais.
Texto do artigo, página 15: Operadores de comunicações electrónicas – são entidades que fornecem redes, serviços de telefonia, Internet, televisão e transmissão de dados através de infraestruturas físicas (fibra, satélite, torres) ou virtuais.
Texto do artigo, página 15: P
Texto do artigo, página 15: Prestador de serviços do sistema de nomes de domínio – uma entidade que presta serviços do sistema de nomes de domínio (DNS) na Internet.
Texto do artigo, página 15: Provedor Intermediário de Serviço de “mera conduta” – consiste na transmissão de informações fornecidas por um destinatário do serviço numa rede de comunicações ou no fornecimento de acesso a uma rede de comunicações.
Texto do artigo, página 15: Provedor Intermediário de Serviço de “caching” – consiste na transmissão numa rede de comunicações de informação fornecida por um destinatário do serviço, envolvendo o armazenamento automático, intermédio e temporário dessa informação, com o único objectivo de tornar mais eficiente a transmissão posterior da informação a outros destinatários mediante solicitação.
Texto do artigo, página 15: Provedor Intermediário de Serviço de “hospedagem” – consiste no armazenamento de informações fornecidas por e a pedido de um destinatário do serviço.
Texto do artigo, página 15: Provedores de Serviços de Segurança Cibernética – são entidades privadas que monitoram, gerenciam e protegem a infraestrutura de Tecnologias de Informação, redes e dados de outras organizações, oferecem vigilância contínua, detecção de ameaças e resposta a incidentes.
Texto do artigo, página 15: Provedores de Serviços Digitais – entidades que oferecem acesso, armazenamento, processamento ou transmissão de dados e conteúdos via Internet.
Texto do artigo, página 15: Provedores Intermediários de Serviços – qualquer pessoa que, em representação de outra pessoa, envia, recebe ou armazena mensagens de dados. São aqueles que prestam serviço de acesso à rede ou que prestam serviços a partir dela (provedores de acesso, provedores de conteúdos, provedores de aplicativos e provedores de hospedagem).
Texto do artigo, página 15: R
Texto do artigo, página 15: Rede e sistema de informação – é o conjunto de dispositivos interligados ou associados, em que um ou mais de entre eles desenvolve, em execução de um programa, o tratamento automatizado de dados informáticos, bem como a rede de comunicações electrónicas que suporta a comunicação entre eles e o conjunto de dados informáticos armazenados, tratados, recuperados ou transmitidos por aquele ou aqueles dispositivos, tendo em vista o seu funcionamento, utilização, protecção e manutenção.
Texto do artigo, página 15: S
Texto do artigo, página 15: Segurança Cibernética – é o conjunto de políticas, conceitos de segurança, ferramentas, garantias de segurança, directrizes, abordagens de gestão de risco, acções, capacitações, boas práticas, que podem ser usadas para proteger o ambiente cibernético e activos das pessoas e organizações.
Texto do artigo, página 15: Segurança das redes e dos sistemas de informação – a capacidade das redes e dos sistemas de informação para resistir, com um dado nível de confiança, a acções que comprometam a confidencialidade, a integridade, a disponibilidade, a autenticidade e o não repúdio dos dados armazenados, transmitidos ou tratados, ou dos serviços conexos oferecidos por essas redes ou por esses sistemas de informação, ou acessíveis através deles.
Texto do artigo, página 16: Serviço essencial – um serviço essencial para a manutenção de actividades sociais ou económicas cruciais, que dependa de redes e sistemas de informação e em relação ao qual a ocorrência de um incidente possa ter efeitos perturbadores relevantes na prestação desse serviço.
Texto do artigo, página 16: Serviços digitais – são serviços oferecidos por meio electrónicos, em que todas as informações são transmitidas e acedidas por meio de uma rede de dados, como a Internet.
Texto do artigo, página 16: Sistema de informação – é o conjunto organizado de recursos humanos, tecnológicos, processos e dados, utilizado para recolher, processar, gerir e disseminar informações de forma a apoiar a tomada de decisões, a coordenação, o controle e a análise em uma organização.
Texto do artigo, página 16: Sistema de nomes de domínio (DNS) – um sistema de nomes distribuídos hierarquicamente numa rede que encaminha pesquisas sobre nomes de domínio.
Texto do artigo, página 16: T
Texto do artigo, página 16: Tratamento de incidentes – todos os procedimentos de apoio à detecção, análise, contenção e resposta a um incidente.
Texto do artigo, página 16: V
Texto do artigo, página 16: Vulnerabilidade – qualquer fragilidade em um sistema de informação, seus procedimentos de segurança, sua implementação ou em seus controles interno, o que poderia permitir a materialização de uma ameaça.
Número ou marcador, página 16: Anexo II Sectores, subsectores e tipos de entidades dos operadores de serviços essenciais

Texto do artigo, página 16: # Sector Subsector Tipo de Entidade 1 Energia Electricidade Empresa de electricidade que exerce a actividade de produção ou de comercialização. Operadores da rede de distribuição. Operadores da rede de transporte. Petróleo Operadores de oleodutos de petróleo. Operadores de instalações de produção, refinamento e tratamento, armazenamento e transporte de petróleo. Gás Empresas de comercialização. Operadores da rede de distribuição. Operadores da rede de transporte. Operadores do sistema de armazenamento. Operadores da rede de gás natural em estado líquido (GNL). Empresas de gás natural. Operadores de instalações de refinamento e tratamento de gás natural. 2 Água Fornecimento e distribuição de água potável. Fornecedores e distribuidores de água destinada ao consumo humano, mas excluindo os distribuidores para os quais a distribuição de água para consumo humano é apenas uma parte da sua actividade geral de distribuição de outros produtos de base e mercadorias não considerados serviços essenciais. Colecta e Tratamento de Águas Residuais Retenção de águas Sistemas de Retenção de águas. 3 Transportes Transporte aéreo Transportadoras aéreas, companhias, agentes, operadores. Entidades gestoras aeroportuárias, aeroportos e as entidades que exploram instalações anexas existentes dentro dos aeroportos. Operadores de controlo da gestão do tráfego aéreo que prestam serviços de controlo de tráfego aéreo. Transporte marítimo e por Vias navegáveis interiores Companhias de transporte por vias navegáveis interiores, marítimo e costeiro de passageiros e de mercadorias, não incluindo os navios explorados por essas companhias. Entidades gestoras dos portos, incluindo as respectivas instalações portuárias e as entidades que gerem as obras e os equipamentos existentes dentro dos portos. Operadores de serviços de tráfego marítimo.

#	Sector	Subsector	Tipo de Entidade
1	Energia	Electricidade	Empresa de electricidade que exerce a actividade de produção ou de comercialização.
Operadores da rede de distribuição.
Operadores da rede de transporte.
Petróleo	Operadores de oleodutos de petróleo.
Operadores de instalações de produção, refinamento e tratamento, armazenamento e transporte de petróleo.
Gás	Empresas de comercialização.
Operadores da rede de distribuição.
Operadores da rede de transporte.
Operadores do sistema de armazenamento.
Operadores da rede de gás natural em estado líquido (GNL).
Empresas de gás natural.
Operadores de instalações de refinamento e tratamento de gás natural.
2	Água	Fornecimento e distribuição de água potável.	Fornecedores e distribuidores de água destinada ao consumo humano, mas excluindo os distribuidores para os quais a distribuição de água para consumo humano é apenas uma parte da sua actividade geral de distribuição de outros produtos de base e mercadorias não considerados serviços essenciais.
Colecta e Tratamento de Águas Residuais
Retenção de águas	Sistemas de Retenção de águas.
3	Transportes	Transporte aéreo	Transportadoras aéreas, companhias, agentes, operadores.
Entidades gestoras aeroportuárias, aeroportos e as entidades que exploram instalações anexas existentes dentro dos aeroportos.
Operadores de controlo da gestão do tráfego aéreo que prestam serviços de controlo de tráfego aéreo.
Transporte marítimo e por Vias navegáveis interiores	Companhias de transporte por vias navegáveis interiores, marítimo e costeiro de passageiros e de mercadorias, não incluindo os navios explorados por essas companhias.
Entidades gestoras dos portos, incluindo as respectivas instalações portuárias e as entidades que gerem as obras e os equipamentos existentes dentro dos portos.
Operadores de serviços de tráfego marítimo.

Texto do artigo, página 17: # Sector Subsector Tipo de Entidade 3 Transportes Transporte terrestres Autoridades rodoviárias e ferroviárias. Transportadores, companhias, agentes e operadores Operadores de serviço de tráfego rodoviário e ferroviário Operadores de sistemas de transporte inteligentes. 4 Finanças Banca Instituições de crédito. Seguros Bolsa e Valores Operadores de plataformas de negociação. 5 Infra-estruturas do mercado financeiro Contrapartes centrais. 6 Saúde Instalações de prestação de cuidados de saúde Prestadores de cuidados de saúde. Instalações de Controlo e Logística Armazéns de Medicamentos Prestadores de serviços de distribuição de Medicamentos 7 Infra-estruturas de Telecomunicações Operadoras de Telecomunicações 8 Infra-estruturas de Internet Registos de nomes de domínio de topo Pontos de troca de tráfego (IXP). Prestadores de serviços de Sistema de Nomes de Domínio (Domínio .MZ) Provedores de Serviços de Internet Rede Tecnológica Privada do Estado

#	Sector	Subsector	Tipo de Entidade
3	Transportes	Transporte terrestres	Autoridades rodoviárias e ferroviárias.
Transportadores, companhias, agentes e operadores
Operadores de serviço de tráfego rodoviário e ferroviário
Operadores de sistemas de transporte inteligentes.
4	Finanças	Banca	Instituições de crédito.
Seguros
Bolsa e Valores	Operadores de plataformas de negociação.
5	Infra-estruturas do mercado financeiro		Contrapartes centrais.
6	Saúde	Instalações de prestação de cuidados de saúde	Prestadores de cuidados de saúde.
Instalações de Controlo e Logística	Armazéns de Medicamentos Prestadores de serviços de distribuição de Medicamentos
7	Infra-estruturas de Telecomunicações		Operadoras de Telecomunicações
8	Infra-estruturas de Internet		Registos de nomes de domínio de topo
Pontos de troca de tráfego (IXP).
Prestadores de serviços de Sistema de Nomes de Domínio (Domínio .MZ)
Provedores de Serviços de Internet
Rede Tecnológica Privada do Estado

Texto do artigo, página 17: ASSEMBLEIA DA REPÚBLICA
Texto do artigo, página 17: Lei n.º 14/2026
Texto do artigo, página 17: de 1 de Julho
Texto do artigo, página 17: Havendo necessidade de estabelecer o regime jurídico dos crimes cibernéticos com vista a assegurar a protecção, a recolha de prova e a responsabilização criminal, visando garantir a cooperação internacional sobre a matéria, ao abrigo do disposto no número 1 do Artigo 178, da Constituição da República, a Assembleia da República, determina:
Número ou marcador, página 17: CAPÍTULO I
Texto do artigo, página 17: Disposições Gerais
Número ou marcador, página 17: Artigo 1
Texto do artigo, página 17: (Objecto)
Texto do artigo, página 17: A presente Lei estabelece as disposições penais materiais e processuais, bem como as disposições relativas à cooperação internacional em matéria penal no domínio dos crimes cibernéticos e da recolha de prova em suporte electrónico.
Número ou marcador, página 17: Artigo 2
Texto do artigo, página 17: (Âmbito de aplicação)
Texto do artigo, página 17: A presente Lei aplica-se a todas as pessoas singulares e colectivas, públicas ou privadas, que utilizam redes de comunicação de dados e sistemas de informação.
Número ou marcador, página 17: Artigo 3
Texto do artigo, página 17: (Definições)
Texto do artigo, página 17: As definições dos termos e expressões utilizadas na presente Lei, constam do Glossário em anexo que dela é parte integrante.
Número ou marcador, página 17: CAPÍTULO II
Texto do artigo, página 17: Disposições Penais Materiais
Número ou marcador, página 17: Artigo 4
Texto do artigo, página 17: (Acesso ilegítimo)
Número ou marcador, página 17: 1. Quem, sem permissão legal ou sem para tanto estar autorizado pelo proprietário ou por outro titular do direito sobre o sistema ou de parte dele, se introduzir num dispositivo alheio, fixo ou móvel, ligado ou não à rede de computadores, com o fim de obter informação não pública de correio ou comunicações electrónicas privadas, acesso a dados privados, segredos comerciais ou industriais, informações sigilosas ou o acesso remoto não autorizado ao dispositivo é punido com pena de prisão de 1 a 2 anos e multa até 1 ano.
Número ou marcador, página 17: 2. Na mesma pena incorre quem, ilegitimamente, produzir, vender, distribuir ou por qualquer outra forma disseminar ou introduzir num ou mais sistemas informáticos dispositivos, programas, um conjunto executável de instruções, um código ou outros dados informáticos destinados a produzir as acções não autorizadas descritas no número 1 do presente artigo.
Número ou marcador, página 17: 3. Para efeitos do disposto nos números 1 e 2 do presente artigo,
Texto do artigo, página 17: o procedimento criminal não depende de queixa, salvo quando estejam em causa dados relativos à vida privada.
Número ou marcador, página 17: Artigo 5
Texto do artigo, página 17: (Intercepção ilegítima)
Número ou marcador, página 17: 1. Quem, sem permissão legal ou sem para tanto estar autorizado pelo proprietário ou por outro titular do direito sobre o sistema ou de parte dele, e através de meios técnicos, interceptar transmissões de dados informáticos que se processam no interior de um sistema informático, a ele destinadas ou dele provenientes, é punido com pena de prisão de até 3 anos e multa de até dois anos.
Número ou marcador, página 18: 2. Incorre na mesma pena quem ilegitimamente produzir, vender, distribuir ou por qualquer outra forma disseminar ou introduzir num ou mais sistemas informáticos, dispositivos, programas ou outros dados informáticos destinados a produzir as acções não autorizadas descritas no número 1 do presente artigo.
Número ou marcador, página 18: Artigo 6
Texto do artigo, página 18: (Interferência em dados)
Texto do artigo, página 18: autorizado pelo proprietário ou por outro titular sobre o sistema ou de parte dele, alterar, deteriorar, inutilizar, apagar, suprimir, destruir ou, de qualquer forma, alterar dados informáticos, é punido com pena de prisão de 1 a 2 anos e multa correspondente.
Número ou marcador, página 18: 2. Quem, mediante a introdução ou transmissão de dados informáticos ou, por qualquer outra forma, instalar vulnerabilidades, interferir no funcionamento de sistema informático, causando intencionalmente dano à infra-estrutura crítica, ou interrupção de fornecimento de serviços críticos, é punido com pena de prisão de 3 anos e multa correspondente.
Número ou marcador, página 18: Artigo 7 (Interferência em sistemas)
Número ou marcador, página 18: 1. Quem, sem permissão legal ou sem para tanto estar autorizado pelo proprietário ou por outro titular do direito sobre o sistema ou de parte dele, entravar, impedir, interromper ou perturbar gravemente o funcionamento de um sistema informático, através da introdução, transmissão, deterioração, danificação, alteração, eliminação, impedimento do acesso ou supressão de programas ou outros dados informáticos ou de qualquer outra forma de interferência em sistema informático, é punido com pena de prisão até 2 anos e multa até 1 ano.
Número ou marcador, página 18: 2. À mesma infracção é aplicada a pena de prisão de 3 anos e multa correspondente, se a acção for praticada contra infraestruturas, ou serviços críticos.
Número ou marcador, página 18: 3. Se da conduta resultar dano relevante, afectação de serviços essenciais ou prejuízo significativo para terceiros, o agente é punido com pena de prisão de 2 a 8 anos.
Número ou marcador, página 18: Artigo 8
Texto do artigo, página 18: (Uso abusivo de dispositivos)
Texto do artigo, página 18: Quem, ilegitimamente, produzir, vender, distribuir, importar ou por qualquer outra forma disseminar ou introduzir num ou mais sistemas informáticos dispositivos, programas ou outros dados informáticos destinados a produzir as acções não autorizadas descritas nos artigos 4 e 5, da presente Lei, é punido com pena de prisão de 1 a 2 anos.
Número ou marcador, página 18: Artigo 9
Texto do artigo, página 18: (Falsidade informática)
Número ou marcador, página 18: 1. Quem introduzir, modificar, apagar ou suprimir de forma intencional e ilegítima dados informáticos, produzindo dados ou documentos falsos ou não genuínos, com a intenção de que estes sejam considerados ou utilizados para fins legais como se
Texto do artigo, página 18: o fossem, é punido com pena de prisão de 1 a 5 anos e multa até 1 ano.
Número ou marcador, página 18: 2. Quem, actuando com intenção de causar prejuízo a outrem ou de obter um benefício ilegítimo, para si ou para terceiro, usar documento produzido a partir de dados informáticos que foram objecto dos actos referidos no número 1 do presente artigo, ou
Texto do artigo, página 18: cartão ou outro dispositivo no qual se encontrem registados ou incorporados os dados objecto dos actos referidos no número 1, do presente artigo, é punido com as penas previstas nos números 1 e 3, do presente artigo.
Número ou marcador, página 18: 3. Quem importar, distribuir, vender ou detiver para fins comerciais qualquer dispositivo que permita o acesso a sistema de comunicações ou a serviço de acesso condicionado, sobre o qual tenha sido praticada qualquer das acções previstas nos números anteriores, é punido com pena de prisão de 2 a 8 anos.
Número ou marcador, página 18: 4. A pena referida no número 1, do presente artigo, é também aplicável a quem, com objectivo de tirar proveito, manipular, falsificar ou usar indevidamente a identidade de outrém.
Número ou marcador, página 18: 5. A ocorrência de danos morais ou patrimoniais em qualquer
Texto do artigo, página 18: dos casos previstos no presente artigo constitui circunstância agravante.
Número ou marcador, página 18: Artigo 10
Texto do artigo, página 18: (Burla informática e nas comunicações)
Número ou marcador, página 18: 1. Quem, com intenção de obter para si ou para terceiro enriquecimento ilegítimo, causar a outra pessoa prejuízo patrimonial, interferindo no resultado de tratamento de dados ou mediante estruturação incorrecta de programa informático, utilização incorrecta ou incompleta de dados, utilização de dados sem autorização ou intervenção por qualquer outro modo não autorizada no processamento, é punido com pena de prisão de até 3 anos e multa correspondente.
Número ou marcador, página 18: 2. A mesma pena é aplicável a quem, com intenção de obter
Texto do artigo, página 18: para si ou para terceiro um benefício ilegítimo, causar a outrem prejuízo patrimonial, usando programas, dispositivos electrónicos ou outros meios que, separadamente ou em conjunto, se destinem a diminuir, alterar ou impedir, total ou parcialmente, o normal funcionamento ou exploração de serviços de telecomunicações.
Número ou marcador, página 18: Artigo 11
Texto do artigo, página 18: (Espionagem cibernética)
Número ou marcador, página 18: 1. Quem aceder, ilicitamente ou sem autorização, ao sistema informático governamental para a obtenção de informações classificadas ou estratégicas, com motivações políticas, económicas ou militares, para fins de inteligência estrangeira, é punido com pena de prisão de 3 a 10 anos.
Número ou marcador, página 18: 2. Quem invadir redes corporativas para apropriação de
Texto do artigo, página 18: segredos industriais ou estratégias comerciais e comprometimento de infra-estruturas críticas e serviços críticos, é punido com a pena de 2 a 8 anos.
Número ou marcador, página 18: Artigo 12
Texto do artigo, página 18: (Terrorismo e extremismo violento cibernéticos)
Número ou marcador, página 18: 1. Quem atacar ou ameaçar atacar, invadir ou ameaçar invadir, destruir ou adulterar dados ou sistemas informáticos de infra-estruturas críticas, perturbando total ou parcialmente o seu funcionamento ou o fornecimento de seus serviços, é punido com pena de prisão de 2 a 8 anos.
Número ou marcador, página 18: 2. É punido com a mesma pena de prisão prevista no número 1
Texto do artigo, página 18: do presente artigo, quem mobilizar ou recrutar, produzir e difundir conteúdos, através do sistema informático, com motivações políticas, económicas e religiosas, visando causar pânico, medo ou terror.
Número ou marcador, página 19: Artigo 13
Texto do artigo, página 19: (Extorsão cibernética)
Número ou marcador, página 19: 1. Quem ameaçar divulgar informações comprometedoras, ataques a sistemas informáticos, ou vazamento de dados pessoais no espaço digital em troca de pagamento, é punido com a pena de prisão até 2 anos e multa correspondente.
Número ou marcador, página 19: 2. A infracção referida no número 1 do presente artigo é punida
Texto do artigo, página 19: com a pena de prisão de até 3 anos e multa correspondente, quando a vítima se tratar de titular ou membro de órgão de soberania, membro do governo, titular de órgão público e titular de órgão de Administração da Justiça.
Número ou marcador, página 19: Artigo 14
Texto do artigo, página 19: (Punição da tentativa)
Texto do artigo, página 19: A tentativa de prática dos ilícitos previstos na presente Lei é punível nos termos do Código Penal.
Número ou marcador, página 19: Artigo 15
Texto do artigo, página 19: (Conteúdo sexual infantil no ambiente digital)

Sobreposições Diploma Capítulo Artigo

O PDF é carregado apenas quando pedido.

Melhorar a leitura

Reportar um problema neste documento

O relatório fica ligado ao trecho, página e região de origem resolvidos novamente pelo servidor.

O texto derivado não está disponível para um relatório preciso. Consulte o PDF associado como fonte.

Diplomas nesta edição

Lei n.º 13/2026 ASSEMBLEIA DA REPÚBLICA
Lei n.º 14/2026 ASSEMBLEIA DA REPÚBLICA

BOLETIM DA REPÚBLICA

Reportar um problema neste documento

Diplomas nesta edição