O que protege, quem abrange e o que exige às empresas e às instituições?

Imagine uma empresa que, numa manhã, perde o acesso às encomendas e à facturação. Os trabalhadores estão presentes, os produtos existem, mas as entregas param. Num hospital, uma falha semelhante pode impedir a consulta de informação clínica. A cibersegurança começa a perceber-se quando olhamos para aquilo que deixa de funcionar.

É neste contexto que importa compreender a Lei n.º 9/26, de 28 de Setembro, que estabelece o novo regime jurídico da cibersegurança em Angola. Em vigor desde a publicação, o diploma revoga a Lei n.º 7/17, de 16 de Fevereiro, sobre a protecção das redes e sistemas informáticos, e organiza a prevenção, a resposta e a responsabilidade perante os riscos digitais.

Em linguagem simples, a cibersegurança procura assegurar que só quem está autorizado pode aceder à informação, que esta permanece correcta e que pode ser utilizada quando necessária. Protege também a autenticidade dos dados e dos sistemas. Abrange a defesa contra ataques, mas igualmente a preparação para falhas operacionais, acessos indevidos e interrupções. Interessa ao cidadão que faz um pagamento, ao trabalhador que utiliza uma aplicação e à empresa que depende dela.

O âmbito da lei é amplo: abrange pessoas singulares e colectivas, públicas e privadas, que utilizem o ciberespaço angolano. Alcança ainda actos praticados fora do território nacional quando dirigidos a esse espaço. Estabelece um dever geral de utilização responsável e de comunicação imediata das ameaças ou incidentes previstos no diploma às autoridades competentes ou aos responsáveis pelos sistemas afectados.

Dentro desse âmbito, existem exigências diferenciadas. A Administração Pública, os operadores de infra-estruturas críticas e os prestadores de serviços essenciais têm obrigações próprias. Estão em causa, designadamente, sistemas e serviços cuja interrupção pode comprometer funções vitais da sociedade, a economia ou o bem-estar da população. O mesmo sucede com os serviços digitais, os centros de dados, a computação em nuvem, os serviços de cibersegurança e as comunicações electrónicas. Por isso, cada organização precisa de identificar o regime que lhe corresponde, considerando a actividade, a dimensão e o risco.

A lei prevê um Sistema Nacional de Cibersegurança que integra o Conselho Nacional de Cibersegurança, o Centro Nacional de Cibersegurança e a Rede Nacional de CSIRT, equipas especializadas na resposta a incidentes. O CERT.ao, a equipa nacional de resposta a emergências informáticas, é a estrutura operacional do Centro. A organização e o funcionamento destes órgãos remetem para acto normativo próprio; as competências de fiscalização e aplicação das sanções administrativas são atribuídas ao Centro.

Para as entidades abrangidas pelos deveres de segurança, o trabalho começa por conhecer os sistemas e avaliar os riscos. As medidas devem ser adequadas e proporcionais. Conforme o regime aplicável, incluem controlo de acessos, actualizações, cópias de segurança, testes, formação e planos de recuperação. Uma cópia que nunca foi testada pode existir no relatório e falhar precisamente no dia em que se torna necessária.

A gestão tem responsabilidades concretas. Para os operadores de serviços essenciais, a lei exige a designação de um responsável pela cibersegurança e que o órgão de gestão aprove e acompanhe as medidas de gestão de risco. A consequência prática é clara: orçamento, prioridades, responsabilidades e continuidade do serviço precisam de ser discutidos por quem dirige a organização.

A preparação envolve igualmente os trabalhadores. Uma mensagem aparentemente legítima pode induzir alguém a entregar uma palavra-passe ou a abrir um ficheiro perigoso. A formação deve ajudá-los a reconhecer essas situações e a saber a quem comunicar uma suspeita. Recomendo que as empresas criem procedimentos simples, conhecidos pelas equipas e exercitados antes de uma emergência.

Quando ocorre um incidente, a lei estabelece obrigações de notificação para as entidades abrangidas. O impacto pode ser significativo pela perturbação do serviço, pelas perdas, pelo número de pessoas afectadas ou pelo comprometimento de informação protegida, entre outros critérios. A comunicação permite coordenar a resposta e reduzir danos. A empresa precisa de saber quem recolhe os factos, quem avalia o impacto e quem comunica.

Há aqui uma cautela essencial: a lei remete os prazos e vários procedimentos de notificação para regulamentação, preservando a comunicação imediata nos casos de elevado impacto. Não estabelece um prazo universal de 24 ou 72 horas para todos os incidentes. A obrigação concreta deve ser lida no regime aplicável à entidade e articulada com as restantes normas que a vinculam.

A notificação ao CERT.ao ou à equipa sectorial competente também não substitui as comunicações legalmente devidas à autoridade de protecção de dados pessoais, aos reguladores sectoriais, às autoridades judiciárias ou aos destinatários dos serviços. Uma fuga de dados de clientes pode, assim, exigir actuação em mais de uma frente. A coordenação entre informática, gestão, área jurídica e responsáveis pelo cumprimento das obrigações legais torna-se indispensável.

Os direitos dos cidadãos fazem parte deste quadro. A lei protege o sigilo das comunicações privadas e condiciona a ingerência das autoridades públicas à decisão judicial competente, nos termos legais. O tratamento de dados pessoais pelos órgãos do sistema deve limitar-se ao estritamente necessário para as finalidades previstas. A segurança digital tem de ser construída com respeito pela privacidade, pela proporcionalidade e pelas garantias de defesa.

A contratação de serviços externos merece atenção. Utilizar a nuvem significa confiar a terceiros recursos de armazenamento ou processamento. A lei prevê deveres específicos para esses prestadores, incluindo segurança, continuidade e recuperação. Do lado do cliente, é prudente verificar como recuperará a informação, como será avisado de uma falha e que apoio receberá numa mudança de fornecedor.

Esta dependência prolonga-se pela cadeia de fornecimento. Um incidente num prestador pode afectar entregas e pagamentos de várias empresas. Recomendo que os contratos esclareçam os acessos concedidos, as responsabilidades e os procedimentos de comunicação e recuperação. A exigência deve acompanhar a importância do serviço: uma relação comercial segura exige que as cláusulas possam ser cumpridas na prática.

O incumprimento pode ter consequências relevantes. A lei distingue contra-ordenações leves, graves e muito graves e prevê advertências e coimas. Nas muito graves, as coimas para pessoas colectivas variam entre 2.000 e 4.000 salários mínimos nacionais. Nas condições previstas, podem acrescer suspensão de actividades ou proibição de participação em contratação pública relacionada com o sector. A responsabilidade civil e criminal segue os regimes gerais aplicáveis.

Sofrer um ataque não demonstra, por si só, que uma empresa violou a lei. É necessário apreciar a conduta, os deveres aplicáveis e os pressupostos da responsabilidade. Para a gestão, isto reforça a importância de documentar avaliações de risco, decisões, medidas adoptadas e resposta ao incidente. Essa documentação deve permitir compreender o que foi efectivamente feito.

Outro ponto exige precisão: o prazo transitório de 180 dias, contado da entrada em vigor, destina-se ao registo das entidades a ele sujeitas. Não constitui uma autorização geral para adiar todas as obrigações durante seis meses. A lei remete ainda aspectos técnicos e institucionais para diplomas próprios, cujo desenvolvimento deve ser acompanhado por cada organização.

Para começar, recomendo que a direcção identifique o enquadramento da empresa, os serviços de que depende e a informação que precisa de proteger. Depois, deve atribuir responsabilidades, rever os contratos mais sensíveis e testar a capacidade de recuperação. As lacunas encontradas devem dar origem a um plano com prioridades, responsáveis e recursos. Nas empresas menores, esta preparação pode começar de forma simples e proporcional.

A aplicação da nova lei exigirá capacidade técnica, orientações institucionais claras e investimento continuado. O seu valor será percebido na continuidade dos serviços e na confiança de quem os utiliza. Quando uma empresa se prepara para continuar a funcionar, protege igualmente quem depende dela. É nessa ligação entre segurança, responsabilidade e vida económica que a lei ganha sentido para todos nós.