Cybersecurity Officer
Enquadramento
Um regime que fixa o resultado exigido e normas técnicas que fornecem o método.
Regime nacional
Um regime, uma função
O Decreto-Lei n.º 125/2025 aprovou o Regime Jurídico da Cibersegurança, transpondo para a ordem jurídica interna a Diretiva (UE) 2022/2555. Além das medidas de gestão de riscos e dos deveres de notificação, o regime institui duas funções distintas: o responsável de cibersegurança, previsto no artigo 31.º, e o ponto de contacto permanente, previsto no artigo 32.º.
A designação é comunicada à autoridade no prazo fixado no mesmo artigo e as funções atribuídas ao responsável incluem o aconselhamento, o acompanhamento das medidas e a interlocução com o Centro Nacional de Cibersegurança. Este website trata do exercício dessas funções; a obrigação de designar, os prazos e as consequências do incumprimento são tratados em detalhe no website dedicado.
Obrigação de designação e prazos em responsaveldeciberseguranca.pt; ponto de contacto permanente em pontodecontacto.pt; notificação de incidentes em incidentesdeciberseguranca.pt.
Instrumentos
Plano europeu
| Instrumento | Objeto | Relevância para a função |
|---|---|---|
| Diretiva (UE) 2022/2555 (NIS 2) | Nível comum de cibersegurança na União | Origem do regime português e critério de interpretação |
| Regulamento (UE) 2024/2847 | Produtos com elementos digitais | Deveres de comunicação de vulnerabilidades e incidentes, aplicáveis desde 11 de setembro de 2026 |
| Regulamento (UE) 2022/2554 (DORA) | Resiliência operacional digital no setor financeiro | Regime setorial que se cumula com o quadro geral |
| RGPD e Lei n.º 58/2019 | Proteção de dados pessoais | Um mesmo incidente pode gerar deveres perante o CNCS e perante a CNPD |
Normas
Plano técnico
O regime fixa o resultado exigido, não o método. O método vem das normas técnicas, designadamente da ISO/IEC 27001 e do Quadro Nacional de Referência para a Cibersegurança do CNCS, que traduzem as áreas de medidas em controlos verificáveis e em evidências organizadas.
Uma função designada não é, por si só, uma função exercida
Comece por verificar o enquadramento da sua organização ou peça uma proposta para estruturar a função.