II SÉRIE-A — NÚMERO 182

2

PROPOSTA DE LEI N.º 50/XVI/1.ª

AUTORIZA O GOVERNO A TRANSPOR A DIRETIVA (UE) 2022/2555, RELATIVA A MEDIDAS

DESTINADAS A GARANTIR UM ELEVADO NÍVEL COMUM DE CIBERSEGURANÇA NA UNIÃO

Exposição de motivos

A presente proposta de lei visa autorizar o Governo a aprovar o regime jurídico da cibersegurança,

transpondo a Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro, destinada a

garantir um elevado nível comum de cibersegurança em toda a União.

A preservação da cibersegurança desempenha um papel crucial em matéria de segurança nacional e

internacional, no funcionamento do Estado e dos agentes económicos, bem como na construção da confiança

dos cidadãos no processo de modernização digital da Administração Pública.

A transposição para o ambiente digital de funções essenciais das atividades institucionais e da vivência

pessoal e profissional dos cidadãos justifica o reforço do quadro regulamentar e organizacional de

cibersegurança, executado em harmonia com todo o espaço e em defesa contra ciberameaças comuns.

Esta iniciativa legislativa ocorre perante a consciência, não só da gravidade premente colocada pelas

múltiplas ciberameaças, como do elevado potencial disruptivo das suas ações hostis contra ativos digitais, sendo

imperioso um reforço da capacitação nacional para a prevenção de atos que possam condicionar a segurança

e o interesse nacional, bem como as múltiplas dinâmicas funcionais e produtivas da sociedade portuguesa.

De facto, perante o aumento assinalável da quantidade e da sofisticação das ameaças, bem como a

crescente utilização e dependência do uso das tecnologias de informação e comunicação por toda a sociedade,

afigura-se indispensável assegurar a generalização da cibersegurança na cultura organizacional do tecido

empresarial português e nas entidades, órgãos e serviços que constituem a Administração Pública.

Com efeito, o aumento da ocorrência de incidentes de cibersegurança pode comprometer a segurança e o

interesse nacional, acarretar perigo para a vida humana, perdas de natureza financeira, bem como comprometer

a confidencialidade, a integridade e a disponibilidade da informação, das redes e dos sistemas de informação

da Administração Pública, dos operadores de infraestruturas críticas, dos operadores de serviços essenciais e

dos prestadores de serviços digitais. Em face destas ameaças e considerando o disposto na Diretiva a transpor,

o regime aprovado pelo decreto-lei autorizado pela presente proposta de lei expande significativamente o

conjunto de entidades abrangidas pelo regime, priorizando, por um lado, a generalização da prevenção dos

riscos de cibersegurança, mas graduando a exigência regulatória em função da dimensão da entidade e da

importância da sua atividade, bem como privilegiando a proporcionalidade das medidas aplicáveis. O seu âmbito

de aplicação abrange uma parte significativa da Administração Pública, adaptando o regime à dimensão e

tipologia da entidade pública em causa. É ainda de assinalar que, tal como admitido pela Diretiva a transpor, o

regime aprovado pelo decreto-lei autorizado exclui do seu âmbito de aplicação as entidades públicas nos

domínios da segurança nacional, da segurança pública, da defesa e dos serviços de informações.

Entre os aspetos relevantes do regime aprovado pelo decreto-lei autorizado, encontra-se ainda o

aprofundamento de três instrumentos fundamentais para as políticas públicas de cibersegurança: a Estratégia

Nacional de Segurança do Ciberespaço, definindo as prioridades e os objetivos estratégicos nacionais em

matéria de cibersegurança; o Plano Nacional de Resposta a Crises e Incidentes de Cibersegurança em grande

escala, regulando e aperfeiçoando a gestão deste tipo de incidentes; e o Quadro Nacional de Referência para a

Cibersegurança, que reunirá e permitirá a divulgação de normas, padrões e boas práticas na gestão da

cibersegurança.

Acresce que o quadro institucional do regime aprovado pelo decreto-lei autorizado é alargado em relação ao

regime anterior, conforme imposto pela Diretiva a transpor. Nesse sentido, o Centro Nacional de Cibersegurança

(CNCS) reforça a sua função de autoridade nacional de cibersegurança, destacando-se ainda o estabelecimento

de autoridades de supervisão «setoriais» e «especiais», que exercem supervisão sobre setores específicos da

economia, assim se garantindo a estabilidade na supervisão de cada um dos setores abrangidos, bem como

aliviando as tarefas transversais cometidas ao CNCS.

No plano interadministrativo, o modelo proposto estabelece uma arquitetura de convergência, de cooperação

e de interoperabilidade entre as várias entidades nacionais competentes em matéria de cibersegurança e de