Despacho n.º 194/2025

1) O presente regulamento tem como objetivo principal estabelecer as diretrizes abrangentes para Cibersegurança, Segurança de Informação, Privacidade e Proteção de Dados Pessoais no IPCA, com os seguintes propósitos:

Para a finalidade deste Regulamento entende-se por:

Os princípios fundamentais, conceitos essenciais e inegociáveis, pelos quais o IPCA se rege são:

O IPCA estabelece os seguintes princípios gerais para garantir a Cibersegurança, Segurança de Informação, Privacidade e Proteção de Dados Pessoais:

Os princípios gerais são completados pelos princípios transversais que contribuem para a melhoria continua da Segurança da Informação:

1) A privacidade e a proteção de dados pessoais são prioritárias em todas as operações realizadas pelo IPCA, que mantém um compromisso constante com a conformidade legal e o respeito escrupuloso pela proteção de dados e privacidade dos seus titulares.

2) Com base na Política de Privacidade do IPCA e nas disposições do Regulamento Geral sobre a Proteção de Dados, o IPCA adota um compromisso abrangente, que contempla várias dimensões críticas. Estas dimensões incluem, mas não se limitam à adoção de práticas de segurança aplicáveis à recolha e tratamento de dados pessoais, à conservação de dados pessoais, à partilha de dados com terceiros, ao estabelecimento de políticas de acesso e controlo dos dados pessoais, bem como a utilização de cookies e outras tecnologias nos termos legalmente admissíveis.

3) Para assegurar o cumprimento desses termos e requisitos em vigor neste domínio, o IPCA estabeleceu a colaboração com um Encarregado de Proteção de Dados (EPD/DPO) devidamente designado.

4) O EPD/DPO tem a missão de, entre outras atividades, analisar, informar e aconselhar de forma independente, sobre as obrigações legais relacionadas com o Regulamento Geral sobre a Proteção de Dados, bem como sobre a aplicabilidade e manutenção da Política de Privacidade da organização.

5) O EPD/DPO cumpre ainda a função de ponto de contacto do IPCA com a Autoridade de Controlo (Comissão Nacional de Proteção de Dados), com os Titulares de Dados e, ainda, é responsável pela manutenção de um registo atualizado das atividades de tratamento do IPCA, medidas de segurança existentes e avaliações de impacto necessárias.

1) Nos termos do presente regulamento é criada a Administração de Segurança da Informação do IPCA, doravante ASI, que tem como missão gerir a segurança da informação cuja gestão visa apropriar-se adequadamente dos riscos correspondentes para assegurar a confidencialidade, integridade e disponibilidade da informação.

2) A ASI é responsável pela criação do Modelo de Administração de Segurança da Informação.

3) O Modelo identifica as Funções da ASI nos diversos processos da Gestão de Segurança da Informação

4) A estrutura da ASI, compreende:

1) O Presidente do IPCA desempenha um papel fundamental na gestão direta da segurança da informação, contando com o apoio de especialistas em segurança da informação e de uma equipa de secretariado, todos designados pela própria Presidência.

2) O Presidente do IPCA tem a responsabilidade de aprovar assuntos e documentos relacionados com a gestão de segurança de informação.

3) Periodicamente, o Presidente do IPCA revê, avalia e, quando necessário, redefine as responsabilidades e tarefas atribuídas ao ASI-CISO (Administrador de Segurança da Informação), seguindo os referenciais associados ao cargo estabelecidos no “Modelo de Administração de Segurança da Informação”.

4) É de responsabilidade do Presidente do IPCA nomear o responsável de segurança, conforme previsto no Decreto-Lei n.º 65/2021, designar os pontos de contacto permanente e efetuar a devida notificação ao CNCS.

1) O Comitê de Segurança da Informação (CSI) tem a responsabilidade de estabelecer diretrizes essenciais para alcançar os objetivos de segurança da informação, alinhados com os objetivos do IPCA.

2) O CSI é presidido pelo Presidente do IPCA ou em quem ele delegar, que nomeia seus membros, incluindo o Administrador de Segurança da Informação (ASI-CISO), o Data Protection Officer (DPO) e representantes de várias áreas.

3) O CSI supervisiona o cumprimento das medidas de segurança da informação por meio de revisões periódicas, análise de indicadores e gestão de um programa de auditorias internas para verificar a eficácia dos controlos de segurança da informação.

4) O CSI reúne-se e anualmente para avaliação e aprovação de um plano de atividades e investimentos para a ASI, bem como das políticas da Segurança da Informação e Cibersegurança.

5) O CSI reúne-se extraordinariamente por iniciativa do ASI-CISO ou da Presidência.

1) O ASI-CISO, nomeado pelo Presidente do IPCA, é o responsável pela efetiva implementação, operacionalização, manutenção e melhoria da Gestão de Segurança da Informação e dos seus controlos. Possui autoridade e responsabilidades definidas para direcionar as políticas de segurança de informação e alocar os recursos necessários para alcançar o desempenho esperado.

2) O ASI-CISO coordena a Equipa de Segurança da Informação e supervisiona a avaliação e tratamento de riscos de segurança da informação.

3) O ASI-CISO é responsável pela elaboração do Plano de Gestão da Segurança da Informação, Programa de Auditorias, Plano de Oportunidades de Melhoria.

4) O ASI-CISO deve participar anualmente na revisão pela gestão nas vertentes tática e operacional, de acordo com as diretrizes definidas no referido Modelo.

1) A Equipa de Segurança avalia riscos, implementa controlos e comunica políticas de segurança.

1) Os trabalhadores do IPCA estão sujeitos ao cumprimento das políticas, processos e procedimentos aplicáveis, definidos pela Equipa de Segurança da Informação.

2) Não é permitida a utilização de informação e/ou de sistemas e tecnologias de informação do IPCA para fins distintos daqueles para os quais foram autorizados pelo IPCA.

3) Os trabalhadores e os prestadores de serviço que utilizam os serviços e os sistemas de informação do IPCA quando detetam qualquer ponto fraco de segurança da informação, observado ou suspeito, nos sistemas ou serviços devem reportar o Incidente de Segurança de Informação de acordo com o processo documentado de Gestão de Incidentes de Segurança de Informação.

1) O Modelo de Administração de Segurança de Informação (MASI) é um documento que pretende estabelecer a Organização de Segurança da Informação do IPCA, designada como a estrutura funcional da gestão da Segurança da Informação (GSI). As funções são caracterizadas pelas suas responsabilidades na GSI e nos papéis de processos aplicáveis, assim como a relação da Organização de SI com outros processos que suportam as atividades de planeamento, operação, manutenção e melhoria contínua do sistema.

2) O MASI é aprovado pelo Comité de Segurança.

3) O âmbito de atuação da ASI é regido pelo quadro de funcionamento estabelecido no MASI, que salvaguarda os seguintes princípios:

1) A Presidente do IPCA deverá indicar, pelo menos, um ponto de contacto permanente, de modo a assegurar os fluxos de informação de nível operacional e técnico com o CNCS, nomeadamente:

1) De acordo com o n.º 3 do Artigo 9.º, a Presidente do IPCA terá a responsabilidade de nomear o responsável de segurança para a gestão do conjunto das medidas adotadas em matéria de requisitos de segurança e de notificação de incidentes, nos termos do Regime Jurídico da Segurança do Ciberespaço e do Decreto-Lei n.º 65/2021.

2) A pessoa designada para as funções de responsável de segurança deve ser indicada pelo IPCA ao CNCS, no prazo de 20 dias úteis a contar do início da respetiva atividade.

3) É da responsabilidade do responsável de segurança do IPCA a gestão do conjunto de medidas implementadas relacionadas com os requisitos de segurança e a notificação de incidentes, conforme estabelecido pela lei, pelo presente Regulamento, segundo as políticas aprovadas pelo Comité de Segurança e em estreita colaboração com o ASI-CISO.

4) O IPCA deve comunicar imediatamente ao CNCS a substituição do responsável de segurança.

1) O IPCA deve elaborar e manter atualizado um inventário de todos os ativos essenciais para a prestação dos respetivos serviços, devendo o mesmo ser assinado pelo responsável de segurança.

2) No inventário de ativos deve constar, para cada ativo, a informação definida em instruções técnicas emitidas pelo CNCS. regulamentação complementar em vigor, nomeadamente em instruções técnicas emitidas pelo CNCS e transpostas para a política de gestão de ativos e as demais políticas referidas na mesma.

3) O IPCA comunicar ao CNCS a lista dos ativos constantes do inventário, com a informação que venha a ser determinada nos termos do número anterior, com a seguinte periodicidade:

1) O IPCA deve elaborar e manter atualizado um plano de segurança, devidamente documentado e assinado pelo responsável de segurança, que contenha:

1) O IPCA elaborar um relatório anual que, em relação ao ano civil a que se reporta, contenha os seguintes elementos:

1) O IPCA, como entidade referida na alínea a) do n.º 2 do artigo 1.º do Decreto-Lei n.º 65/2021 deve cumprir as medidas técnicas e organizativas para gerir os riscos que se colocam à segurança das redes e dos sistemas de informação que utilizam, devendo, para o efeito, realizar uma análise dos riscos de acordo com o disposto no artigo seguinte.

2) As medidas referidas no número anterior devem garantir um nível de segurança adequado ao risco em causa, tendo em conta os progressos técnicos mais recentes, através da utilização de normas e especificações técnicas internacionalmente aceites aplicáveis à segurança das redes e dos sistemas de informação, sem imposição ou discriminação em favor da utilização de um determinado tipo de tecnologia.

1) O ASI-CISO é responsável pela realização anual de uma análise dos riscos em relação a todos os ativos que garantam a continuidade do funcionamento das redes e dos sistemas de informação que utilizam e também em relação aos ativos que garantam a prestação dos serviços essenciais, nos seguintes termos:

1) O IPCA notifica o CNCS da ocorrência de incidentes com impacto relevante ou substancial nos termos, respetivamente, dos artigos 15.º, 17.º e 19.º do Regime Jurídico da Segurança do Ciberespaço.

2) O IPCA deve implementar todos os meios e os procedimentos necessários à deteção, à avaliação do impacto e à notificação de incidentes com impacto relevante ou substancial.

3) O IPCA deve, perante qualquer incidente detetado ou a este comunicado pelos seus clientes, utilizadores ou outras entidades, atender aos parâmetros previstos, respetivamente, no n.º 4 do artigo 15.º, no n.º 4 do artigo 17.º e no n.º 4 do artigo 19.º do Regime Jurídico da Segurança do Ciberespaço, bem como aos constantes dos normativos complementares setoriais aplicáveis, para classificar os incidentes como tendo impacto relevante ou substancial.

4) Sempre que um ocorra um Incidente de Segurança da Informação que envolva dados pessoais, a Equipa de Segurança da Informação deve comunicar, imediatamente, o mesmo ao EPD/DPO, para que este possa analisar se se trata de uma violação de dados pessoais nos termos do Regulamento Geral sobre a Proteção de Dados e proceder em conformidade com a notificação do mesmo à Autoridade Supervisora e Titulares de Dados, conforme aplicável.

Por cada incidente que deva ser objeto de notificação ao abrigo do disposto no artigo anterior, o IPCA contactar o CNCS, seguindo todos os procedimentos desde a notificação inicial à notificação final, em total cumprimento com o Decreto-Lei n.º 65/2021, nos termos dos artigos 12.º a 15.º

Para efeitos do disposto nos artigos 13.º a 15.º, do Decreto-Lei n.º 65/2021, os incidentes são categorizados pelo IPCA tendo em conta o documento de classificação da Rede CSIRT referido no procedimento de classificação e comunicação de incidentes de segurança da informação, bem como o disposto no artigo 16.º do referido Decreto de Lei.

1) O CNCS presta à entidade notificante, IPCA, as informações relevantes relativas ao processamento do incidente notificado, nomeadamente informações que possam contribuir para o tratamento eficaz do incidente.

2) O IPCA deve dar resposta a qualquer pedido de informação adicional por parte do CNCS sobre os incidentes reportados.

3) O IPCA pode optar por enviar ao CNCS qualquer campo de informação antes do final dos prazos fixados para o efeito, desde que disponham de informação fiável para o fazer.

4) Sem prejuízo do disposto no presente capítulo, o IPCA deve seguir o formato e o procedimento de notificação de incidentes definido nos normativos complementares setoriais aplicáveis.

1) As comunicações entre o IPCA e o CNCS, incluindo as notificações de incidentes, devem seguir o formato e o procedimento definido em regulamentação complementar.

2) Na ausência de regulamentação complementar, todas as comunicações dirigidas ao CNCS no âmbito do Decreto-Lei n.º 65/2021, bem como o envio de informação, devem ser realizadas por meios eletrónicos e nos prazos definidos no referido decreto de lei.

3) O CNCS mantém e gere a informação em matéria de segurança e integridade num sistema de informação seguro, em conformidade com as disposições respeitantes à segurança de matérias classificadas no âmbito nacional e no âmbito das organizações internacionais de que Portugal é parte.

4) O acesso aos sistemas eletrónicos e sítios de Internet para tratamento das notificações previstas no presente decreto-lei deve ser efetuado preferencialmente com recurso a sistema de identificação eletrónico com nível de garantia «elevado», nos termos definidos pelos artigos 8.º e 9.º do Regulamento (UE) n.º 910/2014, do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança, designadamente através do Cartão de Cidadão e da Chave Móvel Digital.

5) Nos casos em que o IPCA não tenha temporariamente capacidade operacional para assegurar a comunicação prevista nos artigos 2 e 3 do Decreto-de-Lei n.º 65/2021, ou nos casos em que o sítio na Internet do CNCS esteja indisponível, em resultado do incidente ou por outro motivo de natureza eminentemente técnica devidamente justificado, a notificação pode ser efetuada, a título excecional, através de correio eletrónico ou telefonicamente, de acordo com instruções técnicas a emitir pelo CNCS.

1) Em caso de situações que possam afetar a segurança e o normal funcionamento das redes e dos sistemas de informação, a Equipa de Segurança da Informação do IPCA pode adotar as medidas excecionais que se revelem tecnicamente adequadas e proporcionais à mitigação e à resolução do incidente, sem prejuízo da imediata comunicação fundamentada das mesmas ao responsável de segurança, ao ponto de contacto permanente e ao ASI-CISO do IPCA.

2) As medidas excecionais de segurança a aplicar podem consistir, nomeadamente:

As dúvidas suscitadas pela aplicação do presente Regulamento e os casos omissos são resolvidos por despacho da Presidente do IPCA, tendo em consideração a legislação em vigor, atenção a lei e as normas e regulamentos vigentes no IPCA, bem como as instruções técnicas emitidas pelo CNCS.

1) As unidades orgânicas e outras unidades do IPCA abrangidas pelas n.os 2 e 3 do artigo 1.º poderão ser financeiramente responsáveis, perante o IPCA, pelo pagamento de coimas aplicadas ao IPCA no âmbito de processos de contraordenação que resultem do incumprimento, por parte daquelas unidades ou serviços, de qualquer obrigação prevista no presente Regulamento.

2) O disposto no número anterior não prejudica a responsabilização financeira e disciplinar individual pelo incumprimento das obrigações previstas no presente Regulamento, nos termos da lei geral.

1) Este regulamento substituirá qualquer regulamento anterior relacionado ao mesmo tema, excetuando as existentes e relacionadas, mas atinentes ao departamento de proteção de dados pessoais.

2) Com a entrada em vigor do presente regulamento, são revogadas todas as normas internas e regulamentos do IPCA que contrariem o nele disposto.

Este regulamento entrará em vigor no dia seguinte à sua publicação no Diário da República.

318488432