Introdução ao conteúdo de consulta>

Deveres e responsabilidades da cibersegurança

Deveres de cibersegurança

Deveres de carácter orgânico

Criar unidades especializadas na gestão da cibersegurança e designar os respectivos responsáveis.
Proceder à verifcação de antecedentes (vetting) de idoneidade e experiência profissional dos responsáveis e técnicos em lugares-chave.
Estabelecer mecanismos e meios para apresentar reclamações e denúncias relacionadas com a cibersegurança.

Deveres de carácter procedimental, preventivo e reactivo

Estabelecer o regime de gestão da cibersegurança e os procedimentos operacionais internos.
Implementar medidas internas de protecção, monitorização, alerta e resposta às emergências de cibersegurança.
Informar o “Centro de Alerta e Resposta a Incidentes de Cibersegurança” da ocorrência de incidentes, dando conhecimento do facto à respectiva entidade de supervisão e desenvolver as acções de resposta à emergência.

Deveres de auto-avaliação e relato

Proceder, com o próprio pessoal ou com a intervenção de entidades profissionais a quem deleguem, a avaliação da segurança da própria rede e dos riscos, e submeter um relatório à respectiva entidade de supervisão.

Dever de colaboração

Aquando da verificação do cumprimento dos deveres de carácter procedimental, preventivo e reactivo, facultar a entrada do pessoal do “Centro de Alerta e Resposta a Incidentes de Cibersegurança” ou da respectiva entidade de supervisão nas suas instalações, e disponibilizar-lhes as informações necessárias para efeitos de fscalização.

Deveres específcos dos operadores da rede pública

Solicitar aos utentes os dados de identificação verdadeiros (“Real Name System”), na altura da celebração de contratos ou da confirmação da prestação de serviços para acesso à rede, registo de nomes de domínio, serviços das redes públicas de telecomunicações fxas ou móveis.
Conservar, durante um ano, os registos WebLogs das translações entre os endereços IP internet e os endereços das redes internas, ao disponibilizarem aos utentes serviço de acesso à internet. (Proceder à reserva de registos WebLogs).

Funcionamento do “Real Name System”

O pessoal dos operadoras da rede ao disponibilizar serviços aos seus utentes deve solicitar-lhes os dados de identifcação, os quais devem ser conservados na instituição em causa e regulados pela “Lei da Protecção de Dados Pessoais”.
Este regime não afecta o acesso à rede em Macau dos cartões SIM comprados no exterior pelos turistas (por exemplo os serviços de roaming).

Sanções administrativas a aplicar aos operadores das infra-estruturas críticas que não cumprem os deveres

Sanções Principais

O incumprimento dos deveres, por acção ou omissão, constituirá infracção administrativa a ser punida com pena de multa, sem prejuízo da responsabilidade penal prevista na demais legislação e regulamentação:

Pelos actos menos graves, uma multa de 50.000 a 150.000 patacas.
(Se não houver risco material nem reincidência, aplica-se apenas a advertência, caso o infractor consiga a sanação, no prazo fxado, das irregularidades.)
Pelos actos graves, com uma multa de 150.000 a 5.000.000 de patacas.

Sanções Acessórias

Pelos actos graves, poderão ser aplicadas, separada ou cumulativamente:

A privação do direito à participação em concursos públicos para aquisição de bens e serviços, abertos por entidades públicas;
A privação do direito aos subsídios ou benefícios concedidos por entidades públicas;
A suspensão, parcial ou total, da eficácia de autorização, licença, contrato de concessão ou alvará.

Responsabilidades disciplinares do pessoal dos órgãos públicos no âmbito da cibersegurança

Data de entrada em vigor

A lei entra em vigor 30 dias após a sua publicação.

Para que os operadores da rede disponham de um período de preparação sufciente, é estipulada uma outra data para a entrada em vigor do “Real Name System” e da conservação do Weblogs.

Optimizado para Internet Explorer 9.0 ou superior e 1280 x 1024 para melhores resultados de vizualização