Camada das funções designadas · Cibersegurança
A função de cibersegurança, exercida com mandato e método
Apoio à pessoa que exerce a função de cibersegurança em organizações com atividade em Portugal, no quadro do Regime Jurídico da Cibersegurança, incluindo a articulação com funções de grupo sediadas noutros países.
O regime em números
Três prazos, um relógio só
Fonte: Decreto-Lei n.º 125/2025, artigos 31.º e 41.º a 44.º. A contagem concreta depende da qualificação do incidente.
Dificuldades
Seis dificuldades que resolvemos
Não sabemos se estamos abrangidos
O setor, a dimensão e a natureza do serviço determinam a qualificação.
Ver ficha técnica CSO-01A função foi designada sem mandato
Sem tempo, sem orçamento e sem acesso ao órgão de gestão.
Ver ficha técnica CSO-01A função de grupo desconhece as regras portuguesas
Decisões tomadas noutro país, obrigações cumpridas em Portugal.
Ver ficha técnica CSO-03As medidas existem, as evidências não
Prova organizada por área, pronta para auditoria ou cliente.
Ver ficha técnica CSO-05O órgão de gestão desconhece a sua responsabilidade
O regime atribui-lhe deveres próprios, incluindo formação.
Ver ficha técnica CSO-04Nunca testámos a sequência de notificação
Prazos paralelos que só se dominam com treino.
Ver ficha técnicaEnquadramento
Obrigações por categoria de entidade
As obrigações materiais são equivalentes; o que varia é o modo de supervisão e o quadro sancionatório.
| Categoria | Quem abrange, em regra | Obrigações nucleares |
|---|---|---|
| Entidade essencial | Setores de elevada criticidade, com dimensão relevante | Medidas do artigo 27.º, notificação dos artigos 41.º a 44.º, responsável designado e ponto de contacto permanente |
| Entidade importante | Outros setores críticos e entidades de menor dimensão nos setores listados | As mesmas obrigações materiais, com supervisão e coimas distintas |
| Entidade pública relevante | Entidades da administração pública nos termos dos artigos 6.º e 7.º | Obrigações equiparadas, com especificidades de regime |
Síntese dos artigos 6.º, 7.º, 27.º, 31.º, 32.º e 41.º a 44.º do Decreto-Lei n.º 125/2025. Não dispensa a leitura do diploma.
O que fazemos
Serviços
Cybersecurity Officer Externo ou de Apoio
Exercício externo da função de cibersegurança, ou apoio ao responsável designado, com plano anual, evidências e reporte ao órgão de gestão.
Ver ficha técnica CSO-02Avaliação de Enquadramento no Regime
Determinação fundamentada da qualificação da entidade e das obrigações que dela decorrem, incluindo setor, dimensão e serviços prestados.
Ver ficha técnica CSO-03Programa de Medidas de Gestão de Riscos
Conceção e acompanhamento do programa de medidas técnicas, operacionais e organizativas exigidas às entidades abrangidas, com evidências por área.
Ver ficha técnica CSO-04Prontidão e Coordenação da Notificação
Preparação da sequência de comunicação de incidentes, do alerta inicial ao relatório final, com os prazos legais e os destinatários em paralelo.
Ver ficha técnica CSO-05Governação e Órgãos de Gestão
Definição do modelo de governação da cibersegurança e capacitação do órgão de gestão quanto às suas responsabilidades próprias.
Ver ficha técnica CSO-06Cibersegurança de Produtos e da Cadeia Digital
Análise dos deveres aplicáveis a produtos com elementos digitais e das exigências de segurança a impor e a cumprir na cadeia de fornecimento.
Ver ficha técnica CSO-07Exercícios, Simulacros e Capacitação da Equipa
Conceção e condução de exercícios que testam a decisão, a comunicação e os prazos, com relatório de lições aprendidas.
Ver ficha técnica CSO-08Percurso Profissional e Mentoria
Acompanhamento individual de quem exerce a função, com plano de competências, revisão de casos reais e preparação para a interlocução com a autoridade.
Ver ficha técnicaGrupos internacionais
Função local, decisão internacional
Quando a função de cibersegurança do grupo está sediada fora de Portugal, a obrigação continua a ser cumprida aqui. A repartição de responsabilidades tem de ficar escrita.
Quem é designado em Portugal
A designação e a comunicação à autoridade são atos da entidade portuguesa.
Quem decide o quê
Matriz de decisão entre a sede e a entidade local, incluindo o acionamento em incidente.
Quem cumpre os prazos
Os prazos portugueses correm independentemente do fuso horário da sede.
Uma função designada não é, por si só, uma função exercida
Comece por verificar o enquadramento da sua organização ou peça uma proposta para estruturar a função.