Motor do ecossistema · Notificação de incidentes
Notificar a tempo, a quem deve e com o que deve
Prazos, canais, conteúdos e decisões de notificação de incidentes em todos os regimes aplicáveis: RGPD, comunicações eletrónicas, cibersegurança e Ciber-Resiliência.
Relógio regulatório
Os prazos que contam
Cada regime tem o seu momento de contagem, o seu prazo e o seu destinatário.
Autoridade de cibersegurança competente, após a entidade concluir que existe ou pode vir a existir incidente significativo. Artigo 42.º do regime aprovado pelo Decreto-Lei n.º 125/2025.
CNPD, sem demora injustificada e, sempre que possível, até 72 horas após o conhecimento, salvo inexistência de risco. Artigo 33.º do RGPD.
Após o fim do impacto; é a única notificação exigida se o incidente for resolvido em duas horas. Artigos 41.º e 43.º do regime aprovado pelo Decreto-Lei n.º 125/2025.
30 dias úteis após a notificação do fim de impacto. Artigo 44.º do regime aprovado pelo Decreto-Lei n.º 125/2025.
Alerta precoce em 24 horas e notificação em 72 horas ao CSIRT coordenador e à ENISA. Artigo 14.º do Regulamento (UE) 2024/2847.
Titulares em caso de elevado risco (artigo 34.º do RGPD), assinantes (artigo 3.º-A da Lei n.º 41/2004) e destinatários dos serviços (artigo 48.º do RJC).
Método
Quatro decisões em sequência
- 01
É um incidente relevante?
Violação de dados pessoais, incidente significativo ou evento de produto.
- 02
Que regimes se aplicam?
Qualificação da entidade e da atividade afetada.
- 03
Que limiares se atingem?
Risco, elevado risco ou impacto significativo.
- 04
Que prazos, canais e conteúdos?
Relógio, autoridade e informação mínima.
A árvore de decisão calcula as datas limite a partir do momento indicado, sem guardar nem enviar as respostas.
O que evitar
Erros mais frequentes
Esperar pela informação completa
O RGPD admite a notificação por fases e o RJC prevê atualizações da notificação inicial. Esperar pela certeza pode significar perder o prazo.
Notificar apenas uma autoridade
A notificação ao abrigo do regime de cibersegurança não dispensa as obrigações perante a CNPD e outras autoridades.
Não documentar a decisão de não notificar
Todas as violações de dados pessoais devem ser documentadas, incluindo as que não são notificadas.
Produtos e serviços
Serviços de notificação
Triagem Regulatória Assistida
Sessão rápida para qualificar um incidente concreto e determinar que regimes se aplicam, que limiares se atingem, que prazos correm e a que autoridades notificar.
Ficha técnica NI-02Notificação Assistida
Apoio à redação e à submissão das notificações e comunicações, garantindo conteúdos mínimos completos, coerência entre autoridades e registo das submissões.
Ficha técnica NI-03Apoio ao Ponto de Contacto Permanente
Estruturação e apoio contínuo ao ponto de contacto permanente exigido pelo regime de cibersegurança, com procedimentos, escalas, formação e retaguarda regulatória.
Ficha técnica NI-04Matriz de Obrigações de Reporte à Medida
Mapeamento completo e personalizado das obrigações de notificação e reporte de incidentes aplicáveis à organização, com prazos, canais, conteúdos, responsáveis e evidências.
Ficha técnica NI-05Kit de Notificação Multirregime
Conjunto de minutas, listas de verificação e cartas de bolso para preparar, em minutos, notificações completas a cada autoridade e comunicações aos afetados.
Ficha técnica NI-06Triagem de Obrigações de Reporte CRA
Qualificação do fabricante e conceção do procedimento de reporte de vulnerabilidades ativamente exploradas e incidentes graves, articulado com as notificações dos clientes ao abrigo do RGPD.
Ficha técnicaA decisão de notificar não pode esperar
Garanta triagem, notificações completas e prazos cumpridos em todos os regimes aplicáveis.