Setor Público Local · RCS
Responsável de Cibersegurança nas autarquias: designar é criar capacidade.
Segundo o esclarecimento prestado pelo CNCS à Cyberprotech, o Responsável de Cibersegurança (RCS) deve integrar os quadros da entidade. O CISOaaS/vCISO presta apoio ao RCS interno e aos órgãos de gestão, sem substituir a designação legal. A função exige informação, meios e reporte efetivo.
Função e governação
A função não se esgota no ato de designação.
O ato formal deve ser acompanhado por condições organizacionais e operacionais. A solução depende da categoria da entidade, da sua estrutura e da interpretação aplicável; não deve ser copiada mecanicamente entre entidades.
- Reporte e acesso aos órgãos competentes
- Acesso à informação e aos responsáveis
- Meios e disponibilidade adequados ao risco
- Coordenação documentada com PCP, equipas e prestadores
Governar antes de delegar
Responsabilidade clara, apoio especializado e reporte efetivo.
A governação liga decisão, risco, meios e acompanhamento. Não deve existir apenas no organograma ou num documento isolado.
Órgãos competentes
Mantêm as responsabilidades de aprovação, supervisão, decisão e disponibilização de meios que lhes sejam aplicáveis.
Responsável de Cibersegurança (RCS)
Coordena e acompanha a gestão dos riscos e as funções previstas no modelo aplicável, com reporte efetivo e registos verificáveis.
Ponto de Contacto Permanente (PCP)
Assegura disponibilidade e articulação operacional permanente. Pode articular-se com o RCS, mas é uma função distinta e deve ser tratada como tal.
Serviços e dependências
Uma função ligada à decisão, ao risco e à execução.
A designação deve corresponder a capacidade real de reporte, acesso, coordenação e acompanhamento.
Mandato
- Ato de designação
- Competências e limites
- Reporte direto
- Substituição e continuidade
Acesso e meios
- Informação de risco
- Interlocutores internos
- Ferramentas e apoio
- Formação e atualização
Coordenação
- Equipas TIC e segurança
- PCP e resposta a incidentes
- Fornecedores e serviços partilhados
- Proteção de dados e continuidade
Demonstração
- Reportes e decisões
- Registo de riscos
- Medidas acompanhadas
- Revisões e melhoria
Implementação municipal
Da fotografia inicial à melhoria continuada.
Cada etapa deve produzir uma decisão, uma execução verificável ou uma evidência que permita acompanhar o progresso.
- 01
Confirmar
Validar o enquadramento e as exigências aplicáveis à entidade.
- 02
Desenhar
Definir mandato, reporte, meios, interlocutores e articulação.
- 03
Designar
Formalizar a pessoa singular e os elementos exigidos pelo modelo aplicável.
- 04
Exercer
Acompanhar riscos, medidas, incidentes, evidências e decisões.
- 05
Rever
Avaliar capacidade, conflitos, disponibilidade, resultados e necessidade de alteração.
Resultados utilizáveis
Entregáveis que apoiam decisão e execução.
A função precisa de mandato, meios, informação e registos que permitam demonstrar o seu exercício efetivo.
- 01Proposta de mandato e ato de designação
- 02Matriz de reporte, informação e interlocutores
- 03Plano de atividade da função
- 04Registo de riscos, decisões e medidas acompanhadas
- 05Modelo de articulação com PCP e resposta a incidentes
- 06Relatório periódico e registo de revisão
Exercício efetivo
Três perspetivas que se confirmam entre si.
Formal
Designação, aceitação, mandato, reporte e substituição documentados.
Funcional
Acessos, reuniões, decisões, coordenação e intervenções demonstráveis.
Evolutiva
Revisões, formação, melhoria e adaptação da função ao risco.
Primeiros passos
Começar com informação suficiente para decidir melhor.
A primeira decisão não é escolher uma sigla. É confirmar o enquadramento, compreender a estrutura e garantir que a pessoa designada consegue cumprir a função.
Abrir o Verificador RJCS- 01Confirmar se e como a função se aplica à entidade
- 02Identificar a linha de reporte e os decisores
- 03Avaliar disponibilidade, competências e conflitos
- 04Definir articulação com PCP, TIC, fornecedores e proteção de dados
- 05Documentar mandato, meios e evidências esperadas
Continue no percurso B2G
Do contexto à função e à resposta.
Escolha o tema seguinte sem perder a ligação ao enquadramento, à entidade e à implementação.
Continue no ecossistema
Conhecer, preparar e implementar.
Relacione este contexto com conhecimento técnico, instrumentos de trabalho, capacidades de execução e acompanhamento.
Perguntas frequentes
Orientar sem antecipar respostas oficiais.
Todas as autarquias têm de designar um RCS?
Não deve ser generalizada a mesma resposta a todas as entidades. Primeiro deve confirmar-se o enquadramento, a categoria e as regras concretamente aplicáveis.
O RCS substitui a responsabilidade dos órgãos?
Não. A função apoia coordenação e acompanhamento, sem eliminar os deveres de decisão e supervisão atribuídos aos órgãos competentes.
RCS e PCP são a mesma função?
Não. O Responsável de Cibersegurança (RCS) e o Ponto de Contacto Permanente (PCP) têm finalidades distintas, ainda que a organização possa prever articulação entre ambos.
Uma pessoa externa pode ser RCS?
Segundo o esclarecimento prestado pelo CNCS à Cyberprotech, o Responsável de Cibersegurança (RCS) deve integrar os quadros da entidade. O CISOaaS/vCISO presta apoio ao RCS interno e aos órgãos de gestão, sem substituir a designação legal. Esta interpretação aplica-se às entidades essenciais e importantes, privadas ou públicas, incluindo autarquias assim classificadas. A classificação e as disposições específicas aplicáveis devem ser confirmadas para cada entidade.
Fontes primárias
Confirme sempre na fonte oficial.
Conteúdo informativo atualizado na sequência do esclarecimento recebido do CNCS. O artigo 31.º respeita a entidades essenciais e importantes, sem prejuízo dos regimes específicos previstos na lei. Não substitui a análise jurídica da situação da entidade.