A nova Lei da Cibersegurança dá ao País uma arquitectura moderna para proteger redes, serviços e dados. O desafio, agora, é passar do papel à prática.
Durante muitos anos, falar de cibersegurança era falar de informática: servidores, palavras-passe, antivírus. Era um assunto para a equipa técnica, resolvido longe das reuniões de administração. Essa imagem já não corresponde ao País em que vivemos.
Hoje pagamos contas pelo telemóvel, recebemos o salário por transferência, marcamos consultas, tratamos de documentos e falamos com familiares do outro lado do Atlântico através de redes que raramente vemos. Quando essas redes falham, não pára apenas um computador. Pára um balcão bancário, atrasa-se uma cadeia de abastecimento, fica sem resposta um serviço público. A segurança digital tornou-se uma condição para que a vida económica e social decorra com normalidade.
É com este pano de fundo que deve ser lida a Lei n.º 9/26, de 28 de Setembro, a nova Lei da Cibersegurança, publicada no Diário da República (I Série, n.º 183) e em vigor desde a data da publicação. O diploma revoga a Lei n.º 7/17, de 16 de Fevereiro, Lei de Protecção das Redes e Sistemas Informáticos, e faz mais do que actualizá-la. Onde antes predominavam regras sobre conservação de dados e intercepção de comunicações, existe agora um regime assente em governação, gestão do risco, notificação de incidentes e resposta coordenada.
Porque era necessária uma nova lei? Vale a pena recordar de onde partimos. Num contexto em que os serviços públicos, o sistema financeiro, as telecomunicações e a economia digital dependem cada vez mais de infra-estruturas tecnológicas, a capacidade de prevenir e responder a incidentes cibernéticos tornou-se uma questão de interesse nacional.O relatório de fundamentação da proposta de lei reconhecia que o Índice Global de Cibersegurança de 2024, da União Internacional de Telecomunicações, atribuía a Angola 39,5 pontos numa escala de 100, e apontava como causas a ausência de uma estratégia nacional e de órgãos especializados.
A nova lei procura responder a estas lacunas.Consolida a arquitetura institucional da cibersegurança em Angola, integrando no Sistema Nacional de Cibersegurança o Conselho Nacional de Cibersegurança, enquanto órgão de coordenação política, o Centro Nacional de Cibersegurança, responsável pela regulação, supervisão e fiscalização, e a Rede Nacional de CSIRT, destinada a assegurar a articulação entre as equipas de resposta a incidentes sectoriais e institucionais. O CERT.ao integra a estrutura operacional do Centro Nacional de Cibersegurança e assegura a coordenação da resposta nacional a incidentes. Pela primeira vez, Angola dispõe de uma estrutura pensada de raiz para o ciberespaço.
O diploma é igualmente claro quanto a quem tem responsabilidades. Identifica categorias de entidades, dos operadores de infra-estruturas críticas e de serviços essenciais aos centros de dados, às plataformas de computação em nuvem, aos prestadores de serviços digitais e de cibersegurança e aos operadores de comunicações, a que se soma a Administração Pública. Cada categoria tem obrigações próprias e, com excepção da Administração Pública, todas devem registar-se no Centro Nacional de Cibersegurança no prazo de 180 dias, isto é, até 27 de Março de 2027.
Há ainda uma opção que merece aplauso: a lei abrange também acções praticadas fora do País que tenham como alvo o ciberespaço angolano. Num domínio em que os ataques ignoram fronteiras, seria estranho que a resposta jurídica as respeitasse. Mais do que uma solução técnica, esta opção traduz uma compreensão adequada da natureza global das ameaças digitais e da necessidade de proteger interesses nacionais num ambiente sem fronteiras.
A confiança também é infra-estrutura
Uma economia digital só cresce quando quem a utiliza confia nela. O cidadão que adere à banca móvel, a empresa que transfere os seus sistemas para a nuvem, o investidor que escolhe onde instalar capacidade: todos fazem, de forma mais ou menos consciente, a mesma pergunta. O que acontece se algo correr mal?
A nova lei começa a responder a essa pergunta. Os clientes de centros de dados e de serviços de nuvem, por exemplo, passam a ter direito a ser notificados dos incidentes que os afectem, a conhecer a cobertura de seguro do serviço e a receber um resumo das políticas de continuidade e recuperação. São garantias que até aqui dependiam da força negocial de cada cliente e que agora decorrem da lei.
Angola segue, assim, um caminho que outros já percorreram. Na União Europeia, a Directiva NIS2 alargou as obrigações de segurança a um vasto conjunto de entidades essenciais e importantes; nos Estados Unidos, a protecção das infra-estruturas críticas assenta na cooperação entre o Estado e os operadores privados; e vários países africanos têm reforçado as suas estratégias nacionais. O movimento é comum: a cibersegurança saiu dos departamentos técnicos e entrou nas políticas de segurança, de desenvolvimento e de atracção de investimento.
Para Angola, este alinhamento tem um valor particular. O País está ligado por cabos submarinos à América e à Europa, tem um ecossistema de centros de dados em crescimento e uma economia que digitaliza rapidamente a banca, o comércio e os serviços públicos. A ambição de se afirmar como plataforma regional de telecomunicações e serviços digitais é legítima. Mas nenhuma empresa coloca dados, clientes ou capacidade num território onde não sabe como os incidentes são tratados. Regras claras e uma autoridade identificável são, também elas, infra-estrutura.
Soberania digital não significa isolamento. Significa ter capacidade para proteger, governar e manter a funcionar o espaço digital de que dependem o Estado, as empresas e os cidadãos, assegurando que a transformação digital assenta em confiança, resiliência e autonomia estratégica.
