Quanto custa não cumprir: as multas da lei 13/2026

O que dá dentes a uma lei de segurança cibernética é o seu regime sancionatório. Na Lei n.º 13/2026 esse regime está nos artigos 75 e 76: o primeiro tipifica as contravenções, o segundo fixa as molduras das multas. Os valores são expressos em salários mínimos e chegam a 160 salários mínimos para as infracções mais graves. Vale a pena perceber cada patamar e, também, as incoerências que o regime deixou por resolver.

Como funciona o regime

O artigo 75 identifica as condutas que constituem contravenção, isto é, o incumprimento das obrigações estabelecidas na lei. O artigo 76 associa a cada tipo de incumprimento uma moldura, um intervalo entre um mínimo e um máximo de salários mínimos, dentro do qual a sanção concreta é fixada em função da gravidade, da culpa e das circunstâncias.

Expressar as multas em salários mínimos, e não em meticais fixos, tem uma consequência importante: o valor real acompanha as actualizações do salário mínimo, pelo que a dissuasão não se desvaloriza com o tempo. Para conhecer o montante actual, use a calculadora de multas, que converte os salários mínimos no valor em meticais.

Os patamares principais

Requisitos de segurança: 90 a 160 salários mínimos

O patamar mais alto pune o incumprimento dos requisitos de segurança, o núcleo substantivo da lei, ligado aos dez requisitos mínimos do artigo 48. A moldura vai de 90 a 160 salários mínimos. Faz sentido que seja a mais severa: falhar nos controlos de segurança é falhar naquilo que a lei existe para proteger. Uma organização que não implemente medidas de segurança adequadas expõe-se ao topo da tabela.

Notificação de incidentes: 80 a 100 salários mínimos

Não notificar, ou notificar mal, um incidente de segurança é sancionado com uma moldura de 80 a 100 salários mínimos. O legislador coloca a falha de transparência quase ao nível da falha de segurança, e por boa razão: um incidente não comunicado impede a resposta coordenada e amplia o dano. É por isso que o procedimento de notificação tem de estar montado e testado antes de 29 de Setembro.

Operar sem licença: 64 salários mínimos

Exercer actividade abrangida sem o devido registo ou licença junto da Autoridade Nacional de Segurança Cibernética é sancionado com 64 salários mínimos. É o patamar de entrada, mas não é despiciendo: pune-se a ausência do acto formal que coloca a entidade sob supervisão. Sem registo, a organização está fora do sistema e essa exclusão tem preço.

As incoerências do regime

Um regime sancionatório recente raramente sai perfeito, e o da Lei 13/2026 não é excepção. Um aspecto que merece atenção é a possibilidade de sanções duplicadas ou sobrepostas: certas condutas podem, pela forma como estão redigidas os artigos 75 e 76, enquadrar-se em mais do que uma previsão sancionatória, deixando dúvidas sobre se se aplica uma só multa ou o cúmulo de várias.

Esta sobreposição levanta questões práticas. Um mesmo facto, por exemplo uma falha de segurança que resulta num incidente não notificado, viola o dever de segurança e o dever de notificação em simultâneo? Aplicam-se as duas molduras? A resposta terá impacto directo no valor final e é, hoje, uma zona cinzenta que o regulamento ou a prática do regulador terão de clarificar.

Para as organizações, a lição é de prudência: assumir o cenário mais oneroso ao avaliar o risco e, sobretudo, evitar a infracção na origem, que é sempre mais barato do que discutir a moldura depois.

O cálculo é simples; o incumprimento, caro

Some os patamares e percebe-se a mensagem. Uma organização que opere sem registo, falhe nos requisitos de segurança e não notifique um incidente pode acumular sanções que, no topo das molduras, se aproximam de valores muito elevados quando convertidas em meticais. O detalhe completo das contravenções e molduras está em multas da Lei 13/2026, e a conversão para valores concretos na calculadora de multas.

A conclusão é directa: cumprir sai sempre mais barato do que pagar. E cumprir começa antes de 29 de Setembro.