Desde 28 de Setembro de 2026, Angola dispõe de uma Lei da Cibersegurança. A Lei n.º 9/26 entrou em vigor na data da sua publicação e revoga a Lei n.º 7/17, de 16 de Fevereiro.

A cibersegurança passa a ter enquadramento legal específico em Angola, com deveres de prevenção, registo e notificação de incidentes e um regime sancionatório próprio. A lei abrange qualquer organização que opere no ciberespaço angolano, e as coimas podem chegar a 400 milhões de Kwanzas por infracção.

O essencial da nova Lei

A lei visa proteger os cidadãos e as instituições contra ciberameaças e ciberataques, bem como assegurar a integridade, a disponibilidade, a autenticidade e a confidencialidade das redes e dos sistemas de informação do País. A ciberdefesa e a ordem interna são remetidas para diploma próprio.

Para o efeito, institui o Sistema Nacional de Cibersegurança, integrado por três órgãos: o Conselho Nacional de Cibersegurança; o Centro Nacional de Cibersegurança, responsável pelo registo, pela fiscalização e pela aplicação de sanções, e que tem no CERT.ao a sua estrutura operacional; e a Rede Nacional de CSIRT, que articula as equipas de resposta a incidentes de segurança informática (CSIRT, do inglês Computer Security Incident Response Team) dos diversos sectores e instituições. O Centro Nacional de Cibersegurança e o Conselho Nacional de Cibersegurança foram criados, e a Estratégia Nacional de Cibersegurança foi aprovada, por decretos presidenciais de Dezembro de 2025. A Rede Nacional de CSIRT carece ainda de regulamento.

Os deveres previstos pelo novo diploma não se limitam às empresas: qualquer cidadão ou instituição que se envolva numa ameaça ou num incidente susceptível de comprometer a segurança das redes e dos sistemas de informação deve comunicá-lo de imediato às autoridades competentes ou às entidades responsáveis pelos sistemas afectados. Em contrapartida, a lei salvaguarda o sigilo das comunicações, cuja restrição depende de decisão judicial, limita o tratamento de dados pessoais ao estritamente necessário e proíbe que o registo de utilizadores dos serviços digitais seja usado para a recolha massiva de dados.

Os requisitos técnicos (gestão de acessos, monitorização, cópias de segurança, criptografia e resposta a incidentes) serão concretizados em regulamento, com recurso a normas técnicas internacionalmente reconhecidas e em conformidade com a neutralidade tecnológica, sem imposição de soluções ou fornecedores específicos.

Organizações abrangidas

A lei aplica-se a todas as pessoas singulares e colectivas, públicas e privadas, que utilizem o ciberespaço angolano, incluindo actos praticados no estrangeiro que se destinem a Angola. Os fornecedores internacionais de serviços de nuvem ou de software com clientes angolanos poderão ter de avaliar o seu enquadramento.

Seis categorias de prestadores estão sujeitas a obrigações reforçadas e devem registar-se no Centro Nacional de Cibersegurança no prazo de 180 dias, que termina, em princípio, em Março de 2027:

A não inclusão nestas categorias não exclui, porém, todos os deveres. A obrigação de notificar incidentes estende-se a outras entidades, em função da dimensão, do risco ou do impacto económico e social da sua actividade. Por outro lado, o conceito de serviço digital poderá abranger, por exemplo, instituições financeiras com aplicações móveis ou portais de clientes.

Governação e responsabilidade

Uma das alterações mais importantes situa-se no plano da governação. Nos serviços essenciais, a lei exige a designação de um responsável pela cibersegurança e atribui ao órgão de gestão a aprovação e o acompanhamento das medidas de gestão do risco. Nas infra-estruturas críticas, impõe processos internos com responsabilidades definidas e a documentação das decisões relevantes.

Nos serviços essenciais, entre as medidas exigidas contam-se as cópias de segurança, a recuperação de desastres, a continuidade de negócio, a gestão de crises, a segurança da cadeia de fornecimento, o controlo de acessos, a autenticação multifactor e a criptografia adequada ao risco. Neste sentido, as organizações que já observam normas internacionais, como a ISO/IEC 27001, relativa aos sistemas de gestão da segurança da informação, já têm um bom ponto de partida.

O incumprimento da lei constitui contra-ordenação punida com coimas, que podem ser aplicadas também a pessoas singulares. Constitui infracção muito grave a omissão ou falsificação de informações em relatórios de auditoria ou de gestão de riscos.

Notificação de incidentes

Os incidentes com impacto significativo devem ser notificados ao CERT.ao e ao CSIRT do respectivo sector, nos seguintes termos:

Os centros de dados e os prestadores de serviços de nuvem devem, além disso, informar os seus clientes dos incidentes que os afectem, bem como do seguro e das políticas de continuidade que disponibilizam. A lei admite igualmente a notificação voluntária, da qual não decorrem obrigações adicionais para a entidade notificante. Para a Administração Pública e para os operadores de infra-estruturas críticas, a notificação, por si só, não constitui reconhecimento de responsabilidade civil, administrativa ou criminal. A obrigação de notificação não se aplica às redes e sistemas de informação directamente relacionados com o comando e controlo das entidades que superintendem as áreas da Defesa Nacional, Segurança e Ordem Interna, nem aos que processem informação classificada.

A lei consagra ainda a protecção à comunicação responsável de vulnerabilidades. Qualquer pessoa, singular ou colectiva, pode comunicar, de boa-fé, vulnerabilidades aos órgãos competentes em matéria de cibersegurança, sem que, por esse facto, seja considerada como tendo violado deveres de confidencialidade, leis, regulamentos, contratos ou códigos de conduta profissional. Considera-se de boa-fé a comunicação que não seja feita sob coacção, ameaça de divulgação ou exigência indevida de recompensa, e em que a pessoa tenha tomado as precauções necessárias para evitar danos aos dados e aos serviços. Ficam excluídos desta protecção métodos como a negação de serviço, a intrusão física, o uso de código malicioso, a engenharia social e a alteração, remoção, destruição ou cópia não autorizada de dados.

Poderes do CERT.ao, supervisão e fiscalização

A lei atribui ao CERT.ao e aos CSIRT sectoriais poderes de actuação perante ciberameaças e incidentes. Perante uma ciberameaça ou um incidente de impacto significativo, o CERT.ao notifica a entidade afectada, o regulador sectorial e o CSIRT competente. Mediante decisão fundamentada e proporcional, pode exigir aos operadores de infra-estruturas críticas informação sobre incidentes e a adopção de medidas preventivas ou correctivas, bem como solicitar a preservação do estado do sistema de informação e dos registos técnicos. Perante um sistema comprometido por ciberataque ou em risco iminente, pode ainda recomendar ou determinar a limitação temporária do seu uso, em decisão fundamentada, registada e comunicada ao operador.

As entidades públicas e privadas abrangidas pela lei devem facultar ao CERT.ao e aos CSIRT a informação técnica e operacional necessária à prevenção, detecção, análise e resposta a incidentes, sem que essa entrega constitua violação de deveres de confidencialidade previstos em lei, regulamento, contrato ou código de conduta profissional. Porém, estes poderes têm limites: sem autorização judicial, não abrangem o acesso ao conteúdo de comunicações privadas, a dados pessoais não indispensáveis à gestão do incidente nem a dados protegidos por segredo profissional, salvo nos casos expressamente previstos na lei. A informação entregue é reservada e confidencial, e só pode ser utilizada para prevenção, resposta, recuperação, fiscalização ou outro procedimento legalmente competente.

A supervisão compete ao órgão regulador da cibersegurança, em articulação com os reguladores sectoriais, e compreende poderes de fiscalização e de auditoria. A aplicação das sanções cabe ao Centro Nacional de Cibersegurança, com respeito pelo contraditório e pela ampla defesa. A responsabilidade civil rege-se pelos termos gerais do direito, e a responsabilidade penal, pelo Código Penal e demais legislação aplicável.

O custo do incumprimento

As coimas são fixadas em múltiplos do salário mínimo nacional ( doravante “SMN”). Considerando o SMN geral de Kz. 100.000 (aplicável desde Setembro de 2025 a todas as empresas, com excepção das microempresas e das startups), uma pessoa colectiva fica sujeita a coimas que podem atingir 400 milhões de Kwanzas por contra-ordenação muito grave.

(Valores calculados com base no salário mínimo nacional geral de Kz. 100.000, fixado pelo Decreto Presidencial n.º 152/24, de 17 de Julho, uma vez que a Lei da Cibersegurança não especifica a referência aplicável. Para as microempresas e startups, cujo salário mínimo é de Kz. 50.000, os montantes seriam reduzidos a metade, caso esse valor fosse o aplicável.)

Nas infracções leves, ou na primeira contra-ordenação com impacto reduzido, pode ser aplicada apenas uma advertência. Às coimas podem acrescer as seguintes sanções acessórias:

• suspensão temporária de actividades até que a entidade cumpra os requisitos, em caso de reincidência ou de contra-ordenação grave;

• proibição de participar em procedimentos de contratação pública do respectivo sector, por um período até três anos, em caso de contra-ordenação muito grave e reiterada.

A decisão definitiva que aplique coima e sanção acessória por contra-ordenação grave ou muito grave pode ainda ser objecto de publicidade, quando necessário à protecção do interesse público, à prevenção de novas infracções ou à salvaguarda da confiança e segurança no ambiente digital. As coimas devem ser pagas no prazo máximo de 30 dias, contados a partir da data de notificação da decisão que as aplicou.

Três zonas cinzentas que merecem atenção

Vários aspectos do regime dependem de regulamentação. Até à sua publicação, destacam-se três pontos que merecem atenção.

1. Segredo profissional e dever de confidencialidade: A lei prevê que a entrega de informação ao CERT.ao ou aos CSIRT não constitui violação de deveres de confidencialidade. Prevê também que, sem autorização judicial, as medidas do CERT.ao não podem abranger dados protegidos por segredo profissional, salvo nos casos expressamente previstos na lei. A lei não esclarece se a primeira regra afasta o segredo profissional ou se este se mantém, nem o que devem entregar e o que podem reter as entidades sujeitas a deveres de sigilo, como as instituições financeiras e as sociedades de advogados.

2. Um incidente, várias notificações: A notificação ao CERT.ao ou a um CSIRT sectorial não substitui as notificações legalmente devidas, quando aplicável, à autoridade de protecção de dados pessoais, aos reguladores sectoriais, às autoridades judiciárias ou aos destinatários dos serviços. O prazo de notificação será fixado em diploma próprio.

3. Responsabilidade ao longo da cadeia de fornecimento: A lei qualifica como contra-ordenação grave o incumprimento dos requisitos de segurança pelos «fornecedores de tecnologia e serviços» perante os seus clientes, mas não define quem são esses fornecedores nem que requisitos lhes são exigíveis. Por outro lado, o prestador de serviços essenciais que dependa de um prestador de serviços digitais deve notificar ao CSIRT sectorial e ao CERT.ao os impactos importantes na continuidade dos seus serviços decorrentes de incidentes que afectem este último. A lei não esclarece como se repartem as responsabilidades entre cliente e fornecedor.

Relevância para o sector financeiro

A lei não menciona expressamente os bancos, as seguradoras, as sociedades gestoras, as fintechs ou outras instituições financeiras. Porém, a definição de infra-estruturas críticas da lei abrange as infra-estruturas essenciais para as funções vitais da economia, e a de prestador de serviços digitais abrange as aplicações de internet exploradas profissionalmente e com fins económicos e sociais. O enquadramento de cada entidade depende, por isso, da sua actividade.

Neste contexto, destacam-se os seguintes aspectos relevantes para o sector financeiro:

• Supervisão sectorial: A notificação ao CERT.ao não substitui as notificações devidas aos reguladores sectoriais, e a supervisão da lei é exercida em articulação com eles. As exigências da lei somam-se, assim, às dos respectivos reguladores sectoriais (eg. BNA, ARSEG e CMC).

• Dados de clientes: A violação de dados pessoais, do segredo das comunicações, de dados sensíveis ou de informação protegida por dever de sigilo profissional ou de confidencialidade é uma das condições que a lei prevê para qualificar um incidente como de impacto significativo.

• Seguros: Os prestadores de serviços de centros de dados devem contratar e manter seguro adequado à cobertura dos riscos decorrentes da prestação dos seus serviços.

Roteiro sugerido até Março de 2027

Tendo em conta o prazo de 180 dias para o registo, recomendamos às organizações abrangidas o seguinte roteiro:

1. Outubro e Novembro de 2026 — enquadramento: Verificar se a organização está abrangida e em que categoria, e documentar devidamente a análise.

2. Novembro de 2026 — governação : Designar o responsável pela cibersegurança e o ponto focal, e submeter a matéria ao órgão de gestão.

3. Dezembro de 2026 e Janeiro de 2027 — diagnóstico: Confrontar as medidas existentes com os requisitos mínimos da lei.

4. Janeiro e Fevereiro de 2027 — resposta a incidentes: Aprovar o plano de resposta e o mapa de notificações (para instituições financeiras: planos de respostas e mapas de notificações devem ser também compatíveis com as exigências dos reguladores sectoriais).

5. Fevereiro de 2027 — contratos: Rever os contratos com fornecedores e clientes, nomeadamente com prestadores de serviços de nuvem, de pagamentos e de centros de dados, de modo a prever a notificação recíproca de incidentes, a cooperação com o CERT.ao, os seguros e os direitos de auditoria.

6. Até Março de 2027— registo: Submeter o registo junto do Centro Nacional de Cibersegurança.

Como a JAP Advogados pode ajudar

A JAP Advogados assessora empresas e instituições financeiras na aplicação da Lei n.º 9/26 de 28 de Setembro, incluindo o enquadramento na lei, a avaliação da eficácia e da conformidade do sistema de cibersegurança implementado, a governação, a resposta a incidentes, a revisão de contratos e políticas, e a formação de administradores e equipas.

Contacte-nos para avaliarmos o impacto da lei na sua organização.

Fonte: Lei n.º 9/26, de 28 de Setembro — Lei da Cibersegurança, Diário da República, I Série, n.º 183. Este artigo tem carácter informativo e não dispensa aconselhamento jurídico específico.