Lei da Segurança Cibernética - Lei n.º 13/2026, de 1 de Julho

A Lei n.º 13/2026, de 1 de Julho, que aprova a Lei de Segurança Cibernética, foi aprovada pela Assembleia da República em 29 de Abril de 2026, promulgada pelo Presidente da República, Daniel Francisco Chapo, em 10 de Junho de 2026, e publicada no Boletim da República, I Série, n.º 123, de 1 de Julho de 2026. Esta lei surge como resposta à crescente digitalização da sociedade e ao aumento das ameaças no espaço cibernético nacional, visando estabelecer um quadro jurídico para a protecção das redes de comunicação de dados, dos sistemas de informação e das infra-estruturas críticas, com o intuito de reforçar a segurança digital dos cidadãos, das instituições e do Estado.

Neste contexto, surge a necessidade de reforçar a resiliência digital do país e de estabelecer mecanismos eficazes de prevenção, detecção, resposta e recuperação perante incidentes de segurança cibernética. Nos termos do artigo 2, o âmbito de aplicação da lei abrange a Administração Pública e o Sector Privado, os Operadores de Rede de Infra-estruturas Críticas, os Provedores Intermediários de Serviços, os Provedores de Serviços Digitais, os Operadores de Rede de Serviços Essenciais, os Provedores de Serviços de Segurança Cibernética, os Operadores de Plataformas Digitais, os Operadores de Comunicações Electrónicas, bem como as pessoas singulares e outras entidades que utilizam redes de comunicação de dados e sistemas de informação.

1. Objectivos da Lei

A presente Lei tem como objectivo estabelecer o regime jurídico aplicável à Segurança Cibernética, visando garantir a segurança do Estado, das instituições e do cidadão, bem como assegurar a protecção de redes de comunicação de dados, de sistemas de informação e de infra-estruturas críticas no espaço cibernético. Nos termos do artigo 4, a lei rege-se pelos seguintes princípios: (i) colaboração e cooperação; (ii) protecção dos direitos humanos; (iii) cadeia de valor; (iv) transparência; (v) divulgação de vulnerabilidades; (vi) responsabilidade; (vii) integridade; (viii) legalidade; (ix) proporcionalidade; (x) necessidade; e (xi) privacidade.

2. Criação do Sistema Nacional de Segurança Cibernética e Obrigações

Uma das principais inovações da lei consiste na criação do Sistema Nacional de Segurança Cibernética, integrado pelos seguintes órgãos, nos termos do artigo 6: (i) o Conselho Nacional de Segurança Cibernética (CNSC), órgão multissectorial presidido pelo Primeiro-Ministro, responsável pela coordenação político-estratégica em matéria de segurança cibernética (artigo 7); (ii) a Autoridade Nacional de Segurança Cibernética, cujas funções são exercidas pela Autoridade Reguladora de Tecnologias de Informação e Comunicação, competindo-lhe regular, supervisionar, fiscalizar e aplicar sanções no âmbito da segurança cibernética (artigos 10 e 11); e (iii) a Equipa Nacional de Resposta a Incidentes de Segurança Cibernética (nCSIRT.MZ), responsável pela coordenação operacional e estratégica na prevenção e resposta a incidentes cibernéticos, funcionando no âmbito da Entidade Reguladora de Tecnologias de Informação e Comunicação (artigo 13). Em situação de estado de sítio ou de emergência, as funções da Autoridade Nacional de Segurança Cibernética passam a ser exercidas pelo Centro de Coordenação Cibernética das Forças de Defesa e Segurança (artigo 12).

Por sua vez, a lei preconiza um conjunto de deveres para os operadores e prestadores de serviços abrangidos, incluindo a adopção de medidas de gestão de risco cibernético, mecanismos de prevenção e resposta a incidentes, procedimentos de recuperação de sistemas e protecção de dados e comunicações, nos termos dos artigos 17, 19, 21, 23, 25, 27, 29, 31 e 33. As referidas entidades ficam igualmente obrigadas a manter sigilo sobre todas as comunicações de informação transmitidas pelos utilizadores a si vinculados, podendo, no entanto, fornecer às entidades competentes comunicações com conteúdo criminoso ou que atentem contra a segurança do Estado, mediante decisão judicial ou administrativa devidamente fundamentada.

Em diversos sectores considerados críticos ou essenciais, é igualmente exigida a criação de Equipas de Resposta a Incidentes de Segurança Cibernética (CSIRTs) institucionais, bem como o registo junto da Autoridade Nacional de Segurança Cibernética, nos termos dos artigos 17, 19, 21, 23, 25, 27, 29, 31 e 33. A Rede Nacional de CSIRTs, prevista no artigo 15, constitui o fórum de troca de informação sobre incidentes cibernéticos entre o CSIRT Nacional, os CSIRTs sectoriais e os CSIRTs institucionais, operando sob coordenação da Entidade Reguladora de Tecnologias de Informação e Comunicação através do CSIRT Nacional.

3. Segurança das Redes, dos Sistemas de Informação e Requisitos Mínimos de Segurança

O Capítulo III da Lei estabelece o regime de segurança das redes e dos sistemas de informação, incumbindo as entidades abrangidas de assegurar a integridade, a confidencialidade e a privacidade das comunicações através da implementação de medidas de segurança lógica e física (artigo 34). São igualmente reguladas a segurança dos dados de tráfego e de localização, a preservação de provas e a conservação de dados por um período mínimo de 1 ano (artigos 37 a 40).

O Capítulo IV estabelece requisitos mínimos de segurança de cumprimento obrigatório para todas as entidades abrangidas pela lei, nos termos do artigo 48, os quais incluem, designadamente: a existência de uma política de segurança da informação, de uma metodologia de gestão do risco cibernético, de procedimentos de notificação de incidentes, de mecanismos de prevenção, correcção ou mitigação do risco, de infra-estrutura de cópias de segurança e reposição, de mecanismos de auditoria interna, bem como a nomeação de um responsável pela segurança de informação e a criação de uma equipa de detecção e resposta a incidentes. Os requisitos de segurança específicos aplicáveis a cada categoria de operador e prestador de serviços encontram-se detalhados nos artigos 50 a 56.

4. Notificação de Incidentes de Segurança Cibernética e Divulgação de Vulnerabilidades

O Capítulo IV, Secção II, consagra o regime de notificação obrigatória de incidentes de segurança cibernética com impacto significativo. As entidades abrangidas ficam obrigadas a notificar os incidentes ao respectivo CSIRT sectorial e ao CSIRT Nacional, dentro dos prazos determinados pela Autoridade Nacional de Segurança Cibernética, devendo os relatórios de resposta e resolução de incidentes incluir informação sobre as causas do incidente, o tempo gasto na sua resolução, as medidas aplicadas e o respectivo impacto, nos termos dos artigos 57 a 65.

O artigo 66 consagra o princípio da divulgação responsável de vulnerabilidades, permitindo que qualquer pessoa singular ou colectiva possa comunicar, publicar ou divulgar vulnerabilidades, desde que tal divulgação seja baseada na boa-fé, sem incorrer em responsabilidade, desde que observadas as condições previstas na lei, designadamente a concessão de um prazo mínimo de 90 dias para correcção da vulnerabilidade antes da sua publicação ou divulgação.

5. Fundo de Segurança Cibernética e Regime Sancionatório

O Capítulo V institui o Fundo de Segurança Cibernética (FSC), gerido pela Autoridade Nacional de Segurança Cibernética, com o objectivo de fortalecer a segurança cibernética nacional. Nos termos do artigo 67, n.º 3, as entidades registadas e licenciadas para a prestação de serviços de TIC contribuem para o FSC, sendo que o artigo 70, alínea c), fixa uma contribuição de 1% da receita bruta do ano anterior das Entidades do Sistema Nacional de Segurança Cibernética licenciadas no âmbito da prestação de serviços de segurança cibernética (artigos 67 a 71). O Capítulo VI estabelece o regime de supervisão, fiscalização, contravenções e sanções, prevendo, designadamente, a aplicação de multas que, nos casos de incumprimento dos requisitos de segurança, podem atingir entre 90 e 160 salários mínimos da função pública, e entre 80 e 100 salários mínimos nos casos de incumprimento das obrigações de notificação de incidentes (artigo 76). A lei entra em vigor 90 dias após a sua publicação, devendo o Governo proceder à sua regulamentação no prazo de 180 dias (artigos 79 e 80).

6. Considerações

A Lei da Segurança Cibernética representa um passo estruturante na consolidação do quadro jurídico moçambicano em matéria de governação digital e protecção do espaço cibernético. O diploma introduz mecanismos abrangentes de prevenção, detecção, resposta e recuperação perante ameaças cibernéticas, sustentados numa arquitectura institucional dedicada e num regime sancionatório efectivo.

O diploma procura, assim, promover uma cultura de segurança cibernética, garantir a resiliência das infra-estruturas e serviços essenciais do país e harmonizar o ordenamento jurídico moçambicano com as melhores práticas internacionais no domínio da segurança digital, contribuindo para o fortalecimento da confiança de cidadãos, empresas e Estado no ecossistema digital nacional.

JLA NL Lei da Segurança Cibernética PT.pdf

Fazer download de PDF • 398KB

*

Para mais informações, queira contactar-nos através de maputo@jlaadvogados.com