Por Thais Gomes
Durante muito tempo, a cibersegurança foi tratada pelas empresas como uma questão essencialmente técnica. Cabia ao departamento de Tecnologias de Informação proteger os sistemas, actualizar equipamentos e responder quando alguma coisa corria mal.
Com a aprovação da Lei n.º 13/2026, de Segurança Cibernética, esta realidade começa a mudar.
As duas leis foram publicadas em 1 de Julho de 2026 e entram em vigor 90 dias após a publicação, ou seja, em 29 de Setembro de 2026. A Lei de Segurança Cibernética será ainda objecto de regulamentação no prazo de 180 dias.
Mas afinal, o que muda para as empresas?
A cibersegurança passa a ser uma questão de gestão
A Lei de Segurança Cibernética aplica-se ao sector privado e abrange, entre outros, provedores intermediários de serviços, provedores de serviços digitais, operadores de serviços essenciais, provedores de serviços de segurança cibernética, operadores de plataformas digitais e operadores de comunicações electrónicas.
Para estas entidades, já não será suficiente dizer que “a segurança é responsabilidade do departamento de informática”.
A lei prevê medidas como gestão de riscos cibernéticos, políticas de segurança da informação, procedimentos de resposta a incidentes, mecanismos de backup e recuperação, auditorias internas, formação dos trabalhadores e definição de responsabilidades.
Em determinados casos, será necessário ainda designar um responsável pela cibersegurança e um auditor interno, bem como estabelecer uma política institucional de segurança da informação e um CSIRT institucional.
Isto significa que a cibersegurança deixa de ser apenas uma preocupação tecnológica e passa a integrar a governação, gestão de risco e compliance da empresa.
E há uma outra mudança: algumas empresas terão de se registar
Este talvez seja um dos aspectos menos discutidos, mas com impacto directo sobre determinadas actividades empresariais.
A nova lei estabelece obrigações de registo junto da Autoridade Nacional de Segurança Cibernética para diferentes categorias de entidades.
Por exemplo, provedores intermediários de serviços electrónicos devem registar-se para exercer a actividade; o mesmo acontece com operadores de serviços essenciais, provedores de serviços digitais e operadores de plataformas digitais.
Também os operadores de plataformas de computação em nuvem e os provedores de serviços de segurança cibernética estão sujeitos a registo. No caso dos provedores de serviços de segurança cibernética, a própria lei caracteriza a actividade como uma actividade licenciada.
Isto é particularmente relevante para empresas que trabalham com cloud computing, centros de dados, plataformas digitais, serviços de segurança cibernética e outros serviços tecnológicos.
Mas é importante fazer uma distinção: isto não significa que todas as empresas passarão a precisar de uma licença de cibersegurança. As obrigações de registo e licenciamento dependem da categoria e da actividade exercida.
Por isso, uma das primeiras perguntas que cada empresa deverá fazer é:
“Em que categoria a minha actividade se enquadra e quais são as obrigações que dela resultam?”
E o Fundo de Segurança Cibernética?
Há ainda um impacto financeiro que merece atenção.
A Lei n.º 13/2026 cria o Fundo de Segurança Cibernética (FSC), destinado a financiar e fortalecer a segurança cibernética no País. A lei estabelece que as entidades registadas e licenciadas para a prestação de serviços de TIC devem contribuir para o Fundo.
A própria lei estabelece como uma das fontes de receita do FSC uma contribuição correspondente a “1% da receita bruta do ano anterior das entidades do Sistema Nacional de Segurança Cibernética licenciadas para o exercício da actividade de prestação de serviços de segurança cibernética”. As regras de funcionamento do Fundo serão definidas por regulamentação específica.
Este ponto merece atenção das empresas porque introduz uma dimensão que vai além do investimento interno em segurança.
A questão já não é apenas:
“Quanto vamos gastar para proteger os nossos sistemas?”
Passa também a ser:
“Que custos regulatórios e financeiros resultam da actividade que exercemos?”
E aqui será fundamental acompanhar a regulamentação que irá detalhar o funcionamento do Fundo e das respectivas contribuições.
Quanto custa estar em conformidade?
Implementar estas obrigações terá custos.
Será necessário, dependendo da actividade e do nível de risco, investir em pessoas, tecnologias, auditorias, avaliação de riscos, formação, mecanismos de backup e recuperação, resposta a incidentes e eventualmente em serviços especializados.
Mas existe também o custo de não cumprir.
A Lei de Segurança Cibernética prevê, por exemplo, multas de 90 a 160 salários mínimos da Função Pública pela violação de determinados requisitos de segurança e de 80 a 100 salários mínimos pela violação de obrigações de notificação de incidentes.
Por isso, compliance cibernético não deve ser visto simplesmente como uma despesa.
É também uma forma de gestão de risco empresarial, pois estamos, verdadeiramente perante uma questão de governação empresarial dado que a Nova Lei de Segurança Cibernética vai exigir organização, responsabilidade, investimento e capacidade de demonstrar conformidade.
Para algumas empresas, haverá novas obrigações de registo. Para outras, licenciamento. Para determinadas entidades, contribuição para o Fundo de Segurança Cibernética. Para todas as organizações abrangidas, haverá uma necessidade crescente de tratar a segurança como parte da gestão do negócio.
A verdadeira questão, por isso, talvez não seja:
“Quanto custa cumprir a Nova Lei de Segurança Cibernética?”
Mas sim:
“Quanto poderá custar à empresa não estar preparada?”
