CNCS: Centro Nacional de Cibersegurança

O que faz

Coordena a resposta a incidentes de segurança informática que afectam o Estado e as infra-estruturas críticas, emite alertas, define requisitos mínimos de segurança e promove formação e sensibilização.

Funciona também como equipa de resposta a incidentes nacional, o ponto de contacto para quem sofre um ataque relevante e para a articulação com equipas congéneres noutros países.

Quem tem de comunicar incidentes

É a parte com consequências práticas. A lei impõe a operadores de infra-estruturas críticas e a entidades da administração o dever de notificar incidentes de segurança relevantes. Não é opcional nem depende de haver dados pessoais envolvidos.

Não é a CNPD

É a confusão mais frequente entre siglas próximas, e a divisão é clara. A CNPD é a autoridade de protecção de dados: actua quando há dados pessoais em causa, no âmbito do RGPD. Este centro trata da segurança dos sistemas, haja ou não dados pessoais.

Um mesmo ataque informático pode gerar obrigações perante as duas: notificação de incidente a uma, notificação de violação de dados à outra, e são procedimentos distintos, com prazos distintos.

Nem é a polícia

A investigação criminal do cibercrime cabe à PJ, através da sua unidade especializada. Este centro coordena a resposta técnica e a prevenção; a perseguição do crime é de outra entidade.

Onde a sigla aparece

Em alertas de segurança dirigidos a organismos públicos, em requisitos de contratação de serviços informáticos pelo Estado e em notícias sobre ataques a entidades portuguesas. Ganha visibilidade quando um hospital, uma câmara ou uma empresa de dimensão nacional é atacada, e é nessas alturas que se percebe que o dever de notificar existe.

Uma sigla recente para um problema que não o é

O centro é bastante mais novo do que a ameaça que trata, e essa distância explica que muitas entidades ainda descubram as suas obrigações depois de sofrerem o primeiro incidente, e não antes.