Temos assistido ao recente crescimento e à sofisticação de ciberataques e ciberameaças tanto a entidades privadas como públicas. Instituições financeiras, operadores de serviços essenciais e digitais, sistemas de informação da Administração Pública e até frigoríficos de supermercados (como ocorreu recentemente, em França), estão vulneráveis à atuação dos hackers.
Com a consciência de que os ciberataques poderão comprometer a segurança e o interesse nacional, a cibersegurança vem sendo apontada como um pilar fundamental para o funcionamento do Estado e da economia e da confiança dos cidadãos na Administração Pública.
Em 4 de dezembro de 2025, foi aprovado o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), que transpõe a Diretiva da União Europeia 2022/2555, conhecida como NIS2, cujo principal objetivo é promover a resiliência e a capacidade de resposta a incidentes digitais em toda a União Europeia, e executa o Regulamento de Cibersegurança (Regulamento (UE) 2019/881 / Cybersecurity Act), consagrando do novo quadro jurídico aplicável em matéria de cibersegurança, que entrou em vigor a 4 de abril de 2026.
Estabeleceu-se uma arquitetura de convergência, de cooperação e de interoperabilidade entre as várias entidades nacionais competentes em matéria de cibersegurança e de segurança interna e externa e de fortalecimento da cooperação com o setor privado, com o propósito de maximização das capacidades públicas portuguesas para a prevenção, a deteção precoce, a mitigação, a repressão e a responsabilização de ciberameaças.
Destacam-se três instrumentos fundamentais para as políticas públicas de cibersegurança: a Estratégia Nacional de Segurança do Ciberespaço; o Plano Nacional de Resposta a Crises e Incidentes de Cibersegurança e o Quadro Nacional de Referência para a Cibersegurança, que reunirá e permitirá a divulgação de normas, padrões e boas práticas na gestão da Cibersegurança. Neste diploma, o Centro Nacional de Cibersegurança (CNCS) vê a sua função de autoridade nacional de cibersegurança reforçada.
Definiu-se “vulnerabilidade” como sendo uma fragilidade, suscetibilidade ou falha, que afeta redes e sistemas de informação, produtos ou serviços de tecnologias da informação ou comunicação, passível de ser explorada por uma ciberameaça.
O novo regime jurídico introduziu uma alteração significativa à Lei do Cibercrime (LC), ao aditar o artigo 8.º-A à Lei n.º 109/2009, de 15.09, com a epígrafe “Atos não puníveis por interesse público de cibersegurança”.
Genericamente, podemos dizer que se introduziu um novo regime legal que isenta de responsabilidade penal os chamados “white hat hackers”, também conhecidos como “hackers éticos”.
Quer isto dizer que atos ilícitos típicos e culposos integradores dos crimes de acesso ilegítimo ou de interceção ilegítima (artigos 6.º e 7.º da LC), não serão puníveis se se verificarem cumulativamente as circunstâncias ali previstas que passaremos a sintetizar.
Primeiro: o autor dos factos tem de atuar com a intenção de identificar a existência de vulnerabilidades, como o fim de, por via da respetiva divulgação, contribuir para a segurança do ciberespaço. Obviamente que se excluem casos em que tenha sido o próprio agente a criar as vulnerabilidades do sistema.
Segundo: exige-se que o agente atue sem qualquer intenção de obter vantagem económica na descoberta das vulnerabilidades, pretendendo-se, assim, excluir os chamados caçadores de recompensas.
Terceiro: o agente tem de comunicar, imediatamente e de forma secreta, a identificação das vulnerabilidades ao dono do sistema e à autoridade nacional de cibersegurança bem como ao titular dos dados, caso seja identificado.
Quarto: o agente deve atuar de forma proporcional, ou seja, apenas praticar os atos estritamente necessários à identificação das vulnerabilidades. Proíbem-se práticas de mecanismos de negação de serviço (DoS) ou negação de serviço distribuída (DDoS); engenharia social, definida como facto de enganar de responsáveis ou utilizadores dos sistemas de informação com vista à disponibilização de informação sensível ou sigilosa; ‘Phishing’ e variantes; roubo ou furto de palavras-passe ou outras informações sensíveis; eliminação ou alteração dolosa de dados informáticos; inflição dolosa de danos ao sistema de informação; Instalação e distribuição de software malicioso.
E quinto: com a sua atuação, o agente não poderá consubstanciar uma violação de dados pessoais protegidos ao abrigo da legislação aplicável em matéria de proteção de dados pessoais.
Ora, apesar de muito bem-intencionada a concretização legal da não punibilidade dos Hackers Éticos, por interesse público de cibersegurança, afigura-se-nos ser extremamente difícil de preencher, em concreto, todos os requisitos legais, pelo que prevemos uma reduzida aplicação prática.
Acresce que a atuação dos agentes cibernéticos poder-se-á enquadrar noutros ilícitos típicos, como a falsidade informática, dano informático ou a sabotagem informática ou na (previstos nos artigos 3.º, 4.º e 5.º da LC), que não se encontram abrangidos pela exclusão da responsabilidade penal.
Os textos nesta secção refletem a opinião pessoal dos autores. Não representam a VISÃO nem espelham o seu posicionamento editorial.
