Angola passou a contar com um novo regime jurídico da cibersegurança, com a entrada em vigor da Lei n.º 9/26, de 28 de Setembro. O diploma estabelece regras para a protecção de redes, sistemas de informação, infra-estruturas críticas e serviços essenciais, com o objectivo de reforçar a prevenção e a resposta a ameaças e ataques informáticos.

Publicada no Diário da República, I Série, n.º 183, a nova lei entrou em vigor na data da sua publicação e revogou a Lei n.º 7/17, de 16 de Fevereiro, anteriormente dedicada à protecção das redes e dos sistemas informáticos.

O que muda com a nova Lei da Cibersegurança?

A Lei n.º 9/26 estabelece o regime jurídico da cibersegurança em Angola e define medidas destinadas a proteger cidadãos e instituições, públicas e privadas, contra ciberameaças e ciberataques.

Entre os seus objectivos estão a preservação da confidencialidade, integridade, autenticidade e disponibilidade da informação, bem como a capacidade de prevenir, detectar e responder a incidentes que possam comprometer o funcionamento dos sistemas digitais.

O diploma abrange pessoas singulares e colectivas, públicas e privadas, que utilizem o ciberespaço angolano. Prevê igualmente a aplicação a actos praticados fora do território nacional quando sejam dirigidos ao ciberespaço angolano.

Contudo, as obrigações concretas variam consoante a natureza da actividade, o tipo de entidade e o enquadramento previsto na lei. Por isso, a aplicação do diploma não significa que todas as organizações estejam sujeitas exactamente aos mesmos requisitos.

Obrigações para empresas e instituições

A lei estabelece diferentes deveres para a Administração Pública, operadores de infra-estruturas críticas, prestadores de serviços essenciais, prestadores de serviços digitais e outras entidades abrangidas.

Entre as medidas previstas encontram-se a avaliação e gestão de riscos, a adopção de mecanismos de segurança adequados, a criação de procedimentos para responder a incidentes e a implementação de planos de continuidade e recuperação dos serviços.

Determinadas entidades devem ainda estabelecer equipas de resposta a incidentes de segurança informática, designadas CSIRT, indicar responsáveis pela cibersegurança e comunicar ameaças ou incidentes às estruturas competentes, nos termos previstos no diploma.

A lei contempla igualmente requisitos relativos à segurança dos serviços de computação em nuvem, à conservação de registos técnicos necessários, à formação dos colaboradores e à protecção dos dados tratados nos sistemas de informação.

A aplicação destas obrigações deve respeitar os princípios da legalidade, proporcionalidade, adequação, necessidade e protecção de dados pessoais, entre outros previstos no diploma.

Supervisão, fiscalização e sanções

A Lei da Cibersegurança prevê mecanismos de supervisão, fiscalização e auditoria para acompanhar o cumprimento das obrigações estabelecidas.

O regime contempla também responsabilidade e sanções para as infracções previstas na lei. A aplicação de uma sanção depende, contudo, da conduta em causa, do enquadramento legal e dos procedimentos aplicáveis.

Neste contexto, as organizações abrangidas devem avaliar os seus sistemas, identificar os riscos relevantes e verificar se os procedimentos internos correspondem aos requisitos legais que lhes são aplicáveis.

Prazo para registo das entidades abrangidas

O diploma estabelece um regime transitório de 180 dias, a contar da sua entrada em vigor, para o registo das entidades sujeitas a essa obrigação.

Tendo a lei sido publicada a 28 de Setembro de 2026, o prazo de 180 dias termina, em princípio, a 27 de Março de 2027.

Este prazo diz respeito às entidades legalmente obrigadas ao registo e não deve ser confundido com um período geral de suspensão da aplicação da lei, que entrou em vigor na data da publicação.

O que devem fazer as organizações?

Perante o novo quadro legal, as organizações devem começar por identificar se estão abrangidas e quais as obrigações específicas aplicáveis à sua actividade.

A avaliação deverá considerar os sistemas utilizados, os riscos de segurança, os mecanismos de controlo de acesso, os procedimentos de resposta a incidentes e os planos de continuidade dos serviços. Também será importante acompanhar a regulamentação complementar prevista na lei, que deverá detalhar determinados requisitos técnicos.

A adequação ao novo regime exige, assim, uma análise do diploma e das condições concretas de funcionamento de cada entidade.

Consulte a Lei da Cibersegurança na íntegra

A Lei n.º 9/26, de 28 de Setembro, representa uma referência legal importante para a segurança dos sistemas de informação em Angola. Conhecer as suas disposições é essencial para compreender os direitos, deveres e responsabilidades previstos no novo regime.

Consulte a Lei nº 9/26 e verifique as disposições aplicáveis à sua actividade.