Consulta pública sobre a Lei da Cibersegurança

Sumário

As inovações tecnológicas, nomeadamente a “internet plus”, “serviços de núvem”, “internet das coisas” e “inteligência artificial”, têm registado um rápido e amplo desenvolvimento, a tecnologia informática é inseparável das actividades dos diversos sectores e profissões, bem como da vida quotidiana dos cidadãos da RAEM. Contudo, estamos perante um cenário internacional marcado pela complexidade e mudanças constantes, o terrorismo que se tem alargado a uma escala global e os diversos tipos de crime que utilizam tecnologias cada vez mais avançadas, com carácter transfronteiriço e globalizado, bem como a diversificação dos ataques cibernéticos e invasões na rede.

Relativamente ao regime jurídico em matéria de informática e da rede, actualmente, existe somente a Lei n.º 11/2009 (Lei de combate à criminalidade informática) que regula os crimes cibernéticos e as respectivas penas, mas não há nenhuma lei nem regulamento que se destine exclusivamente à matéria de gestão preventiva com natureza administrativa no âmbito da cibersegurança, por isso é imprescindível preencher o vazio do regime vigente.

Com base no conceito de “mais vale prevenir do que remediar” e para promover o bom funcionamento dos sistemas de rede e garantir a integridade dos dados que nela transitam, a RAEM necessita sintonizar-se com a tendência global, criar um sistema de gestão preventivo sólido para as infra-estruturas críticas. Este conceito é caracterizado por um sistema de gestão preventivo com natureza administrativa, no qual se estipulam explicitamente os deveres e responsabilidades de todas as partes a este respeito. Deste modo, a “Lei da Cibersegurança” que o Governo pretende estabelecer é uma lei com objectivo de “protecção”, “prevenção” e “gestão”.

A “Lei da Cibersegurança” vai ser aplicável aos operadores das infra-estruturas críticas, dos sectores público e privado. O sector público integra os órgãos, serviços e entidades públicos; o sector privado integra as entidades particulares, a saber:

1. Entidades estabelecidas e exploradas mediante um título de concessão, de licença ou de adjudicação de prestação de serviços à Administração: fornecimento e distribuição de água, electricidade e gás natural, abastecimento público grossista de combustíveis, tratamento de águas residuais e recolha e tratamento de resíduos, abastecimento público grossista de produtos alimentares sujeitos a controlos sanitários e fitossanitários, abate de animais em matadouros legais, portos e transportes marítimos, aeroporto, heliportos e transportes aéreos, transportes terrestres, difusão sonora e televisiva (com excepção da televisão por satélite e dos operadores cuja actividade se cinja à difusão de conteúdos de entretenimento), jogos de fortuna e azar em casinos;
2. Entidades estabelecidas e exploradas mediante um título de licença administrativa: hospitais privados; sector bancário, financeiro e de seguros; operação das redes públicas de telecomunicações fixas ou móveis e prestação de serviços de acesso à internet (especificamente designados por operadores da rede pública; e outras entidades licenciadas nos domínios das actividades referidas no ponto 1;
3. Sociedades de capitais exclusivamente públicos; e
4. Pessoas colectivas qualificadas de utilidade pública administrativa por meio de diploma legal, com excepção daquelas cujas finalidades se cinjam às actividades humanitárias, assistenciais, educativas, culturais e/ou recreativas.

Conteúdo a apresentar para sugestões e opiniões junto do público durante a realização da consulta pública:

1. Criação do sistema de cibersegurança.
2. Definições relativas às infra-estruturas críticas e à cibersegurança.
3. Âmbito de aplicação do sistema de cibersegurança (Operadores públicos das infra-estruturas críticas e Operadores privados das infra-estruturas críticas).
4. Entidades supervisoras do Governo: Comissão Permanente para a Cibersegurança, Centro de Alerta e Resposta a Incidentes da Cibersegurança e as entidades supervisoras do Governo nos diversos domínios.
5. Deveres legais (deveres de carácter orgânico, deveres de carácter procedimental, preventivo e reactivo, deveres de auto-avaliação e relato e dever de colaboração).
6. Deveres específicos dos operadores da rede pública.
7. Deveres dos operadores públicos das infra-estruturas críticas (órgãos públicos).
8. Incumprimento dos deveres e respectivas sanções administrativas e responsabilidades disciplinares.
9. Ponderações especiais sobre a data da entrada em vigor.
10. Regulamentação.