A resolução do Conselho de Ministros aprova dois instrumentos previstos no regime jurídico de proteção de entidades críticas, estabelecido pelo Decreto-Lei n.º 22/2025, para prevenir, mitigar, responder e recuperar de incidentes que possam afetar serviços essenciais à sociedade e à economia.

A Avaliação Nacional de Risco é classificada com o grau mínimo “reservado” e não é divulgada no diploma, que remete o acesso às regras da informação classificada.

Já a Estratégia Nacional para a Resiliência das Entidades Críticas é um “documento de natureza pública” e deve servir como “instrumento de orientação estratégica” para reforçar a proteção destas entidades.

Na prática, estão em causa entidades públicas ou privadas cuja falha possa perturbar de forma significativa serviços essenciais em áreas como energia, transportes, setor bancário, mercados financeiros, saúde, água potável, águas residuais, infraestruturas digitais, Administração Pública, espaço, seguros e fundos de pensões, e produção, transformação e distribuição alimentar.

A estratégia define como entidade crítica uma entidade que opera infraestruturas em território nacional e cuja perturbação teria “efeitos perturbadores significativos” sobre a prestação de um ou mais serviços essenciais.

O documento aponta como riscos relevantes ameaças naturais, acidentais e deliberadas, incluindo terrorismo, alterações climáticas, cibercriminalidade, instabilidade geopolítica, pandemias, ataques híbridos, desinformação e falhas nas cadeias logísticas.

“O enquadramento normativo impõe obrigações concretas às entidades críticas, incluindo, sobretudo, a realização de avaliações de risco, a elaboração de planos de resiliência, a notificação de incidentes relevantes, a realização de exercícios regulares e a designação de agentes de ligação com as entidades legalmente previstas”, lê-se no documento.

Em simultâneo, estabelece mecanismos de supervisão, fiscalização e responsabilização, prevendo sanções para situações de incumprimento.

As entidades críticas devem fazer a sua avaliação de risco no prazo de nove meses após serem notificadas da designação e submeter o plano de resiliência para aprovação no prazo de 10 meses.

“Em caso de incidentes que perturbem significativamente, ou sejam suscetíveis de perturbar, a prestação de serviços essenciais ou o funcionamento das infraestruturas críticas, as entidades críticas devem notificar de imediato o Secretário-Geral do Sistema de Segurança Interna, fornecendo informação detalhada sobre o incidente no prazo máximo de 24 horas e, depois, um relatório pormenorizado no prazo de um mês”, detalha.

A coordenação e supervisão das medidas de reforço da resiliência cabem ao secretário-geral do Sistema de Segurança Interna, enquanto o Conselho Nacional de Planeamento Civil de Emergência tem competências na identificação e designação das entidades e infraestruturas críticas.

A resolução foi aprovada em Conselho de Ministros em 14 de maio e produz efeitos a partir dessa data.