O modelo de governação da cibersegurança em Portugal voltou a estar em discussão. Segundo noticiado pelo semanário Expresso a 7 de agosto e retomado por outros meios, o secretário-geral do Sistema de Informações da República Portuguesa (SIRP) terá manifestado ao primeiro-ministro a intenção de passar a tutelar o Centro Nacional de Cibersegurança (CNCS), hoje integrado no Gabinete Nacional de Segurança (GNS). Não há, até ao momento, confirmação oficial do Governo, do SIRP ou do CNCS sobre qualquer decisão nesse sentido — mas o debate surge num momento particularmente sensível: o novo Regime Jurídico da Cibersegurança entrou em vigor a 3 de abril de 2026 e o próprio diploma admite que o enquadramento institucional do CNCS terá de ser repensado.
Resposta rápida: A imprensa noticiou que os serviços de informações pretendem assumir a tutela do CNCS, atualmente sob a alçada do GNS e da Presidência do Conselho de Ministros. Não existe confirmação oficial nem decisão conhecida do primeiro-ministro. Para empresas e organismos abrangidos pelo Decreto-Lei n.º 125/2025, nada muda por agora: o CNCS mantém-se como autoridade nacional de cibersegurança e os prazos de registo, notificação de incidentes e medidas técnicas continuam a correr.
O que foi noticiado — e o que ainda não está confirmado
A informação partiu do Expresso e foi replicada por outras publicações nacionais. De acordo com essa cobertura, as estruturas de informações portuguesas pretendem passar a ter o CNCS sob a sua alçada, e o secretário-geral do SIRP, Vítor Sereno, já teria apresentado o pedido ao primeiro-ministro, sem garantias de que a pretensão avance. O argumento invocado assenta na intervenção do Serviço de Informações de Segurança (SIS) em situações mais graves e na experiência acumulada destes serviços na prevenção deste tipo de ameaças.
Importa sublinhar o que é facto verificado e o que é reporte jornalístico. Verificado: Vítor Sereno foi nomeado secretário-geral do SIRP em novembro de 2024, sistema que agrega o SIS, responsável pela segurança interna, e o Serviço de Informações Estratégicas de Defesa (SIED), vocacionado para ameaças externas. A tomada de posse ocorreu depois da audição parlamentar prévia, a 11 de dezembro de 2024, sucedendo a Graça Mira Gomes. Não verificado por fonte primária: o conteúdo e o teor de qualquer pedido formal ao Governo. Nenhuma entidade pública confirmou publicamente a existência de um processo de alteração da tutela.
Onde está hoje o CNCS na estrutura do Estado
O CNCS nasceu e cresceu dentro do GNS. A comissão instaladora foi criada pela Resolução do Conselho de Ministros n.º 42/2012, o centro foi formalmente instituído no âmbito do GNS pelo Decreto-Lei n.º 69/2014 e adotou a designação atual através do Decreto-Lei n.º 136/2017. Com a Lei n.º 46/2018, passou a acumular a competência de Autoridade Nacional de Cibersegurança, com o CERT.PT como ponto de contacto único internacional para resposta a incidentes. O GNS, por sua vez, depende da Presidência do Conselho de Ministros.
Esse desenho já estava a ser alterado antes desta notícia. A legislação consolidada do Diário da República regista que normas da orgânica do GNS relativas ao centro de cibersegurança foram revogadas pelo Decreto-Lei n.º 125/2025, com efeitos a partir de 3 de abril de 2026. E o próprio preâmbulo do diploma antecipa o debate: o novo regime implica «um reforço significativo da capacidade do CNCS e uma nova reflexão sobre o seu enquadramento institucional». Ou seja, a discussão sobre a tutela não é uma iniciativa isolada — está inscrita na lei em vigor.
O quadro institucional desenhado pela NIS2 em Portugal
O Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025, reforçou o Quadro Institucional da Segurança do Ciberespaço: o Conselho Superior de Segurança do Ciberespaço como órgão consultivo do primeiro-ministro; o CNCS como autoridade nacional de cibersegurança, ponto de contacto único europeu e internacional, autoridade nacional de certificação e entidade que integra a equipa nacional de resposta a incidentes; e o Secretário-Geral do Sistema de Segurança Interna como autoridade nacional de gestão de crises e incidentes de cibersegurança em grande escala. O regime abrange 17 setores e a Administração Pública.
Há um detalhe relevante para esta discussão: estão excluídas do âmbito de aplicação as entidades públicas nos domínios da Segurança Nacional, da Segurança Pública, da Defesa e dos Serviços de Informações, incluindo entidades com responsabilidades de investigação criminal e órgãos de polícia criminal. Uma eventual integração do regulador civil da cibersegurança numa estrutura de informações levantaria, portanto, questões de arquitetura jurídica que teriam de ser resolvidas em sede legislativa.
Cronologia dos factos relevantes
| Data | Facto |
|---|---|
| Nov./dez. 2024 | Vítor Sereno é indigitado e toma posse como secretário-geral do SIRP, após audição parlamentar. |
| 4 dez. 2025 | Publicação do Decreto-Lei n.º 125/2025, que transpõe a NIS2 e aprova o Regime Jurídico da Cibersegurança. |
| 11 mar. 2026 | SIS alerta para campanha de ciberespionagem contra contas de WhatsApp e Signal de decisores. |
| 3 abr. 2026 | Entrada em vigor do Regime Jurídico da Cibersegurança. |
| 7-8 abr. 2026 | Alerta internacional sobre operação do GRU contra routers; SIS associa-se ao aviso. |
| 22 jun. 2026 | Publicação do Regulamento do Regime Jurídico da Cibersegurança (Regulamento n.º 756/2026). |
| 7 ago. 2026 | Imprensa noticia pretensão do SIRP de assumir a tutela do CNCS. |
Os alertas do SIS que alimentam o argumento
Nos últimos meses, o SIS ganhou visibilidade pública com avisos de cibersegurança. Em março, comunicou uma campanha atribuída a um Estado estrangeiro. O objetivo seria obter acesso a contas de WhatsApp e Signal de governantes, diplomatas, militares e outros responsáveis com acesso a informação confidencial nacional e de países aliados, levando os utilizadores a partilhar dados sensíveis, como palavras-passe. O serviço deixou claro que «esta campanha não significa que o WhatsApp ou o Signal tenham sido comprometidos».
Em abril, seguiu-se um alerta coordenado internacionalmente. O SIS descreveu uma operação do serviço de informações militar russo GRU de escala global, destinada ao «comprometimento de routers, com o objetivo de intercetar e de exfiltrar informação sensível» de natureza governamental, militar e de infraestruturas críticas. A componente técnica está documentada na fonte primária norte-americana: o aviso público do FBI, com a referência I-260407-PSA, de 7 de abril de 2026, elaborado com a NSA e parceiros de 15 países, incluindo Portugal, indica que atores do 85.º GTsSS do GRU — conhecidos como APT28, Fancy Bear e Forest Blizzard — exploram desde pelo menos 2024 routers vulneráveis em todo o mundo, incluindo equipamentos TP-Link através da CVE-2023-50224. O Departamento de Justiça e o FBI desmantelaram uma rede de routers SOHO comprometidos usada para operações de sequestro de DNS.
Estes episódios ilustram a sobreposição prática entre inteligência e cibersegurança defensiva: a atribuição de campanhas a Estados é um trabalho típico de serviços de informações, enquanto a mitigação junto de operadores, empresas e cidadãos cabe ao CNCS e ao CERT.PT. É precisamente nessa fronteira que se joga o debate sobre a tutela.
Porque é que isto importa para empresas e cidadãos
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (transposição da NIS2), o interlocutor continua a ser o CNCS. O Regulamento do Regime Jurídico da Cibersegurança foi publicado após consulta pública realizada entre 10 de março e 22 de abril de 2026 e, com a sua publicação, iniciou-se a contagem do prazo legal de 24 meses para a produção de efeitos das medidas de cibersegurança e da obrigatoriedade de comunicação do relatório anual pelas entidades essenciais. O regulamento define ainda o funcionamento da plataforma eletrónica e os requisitos das comunicações com o CNCS, incluindo comunicação de responsabilidades, incidentes e inventário de ativos.
Há três razões pelas quais a discussão sobre governação não é meramente burocrática:
- Confiança na partilha de informação. A notificação de incidentes depende de as organizações confiarem que os dados comunicados servem fins de defesa e não de recolha de inteligência.
- Separação de funções. O CNCS acumula papéis de supervisão, certificação e resposta a incidentes, funções regulatórias com regras de transparência distintas das que regem os serviços de informações.
- Proteção de dados. Notificações de incidentes envolvem frequentemente dados pessoais, o que cruza este regime com o RGPD e com as competências da CNPD em caso de violação de dados.
Na prática, e enquanto não houver alteração legislativa, as PME e os organismos públicos devem manter o foco no cumprimento: identificação e registo na plataforma do CNCS, definição de responsáveis, avaliação de risco, plano de resposta a incidentes e revisão contratual com fornecedores. Qualquer mudança de tutela exigiria novo diploma e, previsivelmente, discussão parlamentar — não é algo que se concretize por via administrativa silenciosa.
Perguntas frequentes
O CNCS já passou para a tutela dos serviços de informações?
Não. Trata-se de uma pretensão noticiada pela imprensa, sem confirmação oficial nem decisão conhecida. O CNCS mantém-se integrado no Gabinete Nacional de Segurança, na dependência da Presidência do Conselho de Ministros.
Isto altera as obrigações do Decreto-Lei n.º 125/2025?
Não. O regime entrou em vigor a 3 de abril de 2026 e o respetivo regulamento foi publicado em junho de 2026. Os deveres de identificação, registo, notificação de incidentes e adoção de medidas de cibersegurança mantêm-se inalterados.
Os serviços de informações estão abrangidos pelo regime da NIS2 em Portugal?
Não. O Decreto-Lei n.º 125/2025 exclui do seu âmbito de aplicação as entidades públicas dos domínios da segurança nacional, segurança pública, defesa e serviços de informações, bem como órgãos de polícia criminal.
A quem devo reportar um incidente de cibersegurança?
As entidades abrangidas notificam o CNCS através da plataforma eletrónica prevista no regime. Se houver violação de dados pessoais, aplica-se em paralelo o dever de notificação à CNPD ao abrigo do RGPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Diário da República, pelo CNCS, pelo SIRP e SIS, pelo FBI e por órgãos de comunicação social nacionais.