( ← Voltar a Notas Informativas sobre Ciberdireito)

Sobre o Regime Jurídico da Segurança do Ciberespaço - Decreto-Lei n.º 65/2021, de 30 de julho - Entrada em vigor a 7 de novembro de 2021

O Decreto-Lei n.º 65/2021, de 30 de julho procede, tal como resulta do seu artigo 1.º n.º 1, à:

1. Regulamentação da Lei n.º 46/2018, de 13 de agosto, que estabelece o regime jurídico da segurança do ciberespaço (Regime Jurídico da Segurança do Ciberespaço), transpondo a Diretiva (UE) 2016/1148, do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União;
2. Execução, na ordem jurídica nacional, das obrigações decorrentes do Regulamento (UE) 2019/881, do Parlamento Europeu e do Conselho, de 17 de abril de 2019, permitindo a implementação de um quadro nacional de certificação da Cibersegurança.

No artigo 2.º n.º 1 daquele Decreto-Lei prevê-se que o mesmo se aplica às entidades previstas nas alíneas a) a d) do n.º 1 do artigo 2.º do Regime Jurídico da Segurança do Ciberespaço, sem prejuízo do disposto nos números seguintes.

Nas alíneas a) a d) do n.º 1 do artigo 2.º do Regime Jurídico da Segurança do Ciberespaço (Lei n.º 46/2018, de 13 de agosto), estão previstas as seguintes entidades:

1. Administração Pública;
2. Operadores de infraestruturas criticas;
3. Operadores de serviços essenciais;
4. Prestadores de serviços digitais.

Esclarece o n.º 2 do artigo 2.º do Regime Jurídico da Segurança do Ciberespaço, que para efeitos da presente lei, integram a Administração Pública:

1. O Estado;
2. As regiões autónomas;
3. As autarquias locais;
4. As entidades administrativas independentes;
5. Os institutos públicos;
6. As empresas públicas;
7. As associações públicas.

A primeira dificuldade consiste em determinar se a Universidade do Porto é ou não um instituto público.

A natureza da U.Porto tem vindo desde o ano de 2009, com a publicação do Decreto-Lei n.º 96/2009, que a transformou em fundação pública com regime de direito privado, a sofrer várias alterações.Tal natureza reflete-se no seu regime de funcionamento com especial incidência na gestão financeira da instituição.

No aspeto organizatório é pacifica a qualificação da instituição como pertencente à «administração autónoma» por oposição à «administração indireta do Estado».

O que acontece é que à Administração Indireta do Estado corresponde uma forma particular de organização administrativa, o instituto público, como decorre Lei n.º 3/2004, de 15 de janeiro - LEI QUADRO DOS INSTITUTOS PÚBLICOS – sendo que é neste contexto que se questiona a qualificação das Universidades enquanto tal, ou seja, como institutos públicos. Este contexto é agravado pelo facto de a Universidade do Porto ter sido instituída como fundação pública, questionando-se, também e por isso, se deve haver uma distinção entre instituto público e fundação pública com regime de direito privado. Se a este contexto juntarmos um dado normativo que se refere à exclusão das Universidades-fundação do regime da LEI QUADRO DAS FUNDAÇÕES (artigo 6.º n.º 8), obtemos a dimensão total do problema.

Portanto, as Universidades pertencem à Administração Autónoma e os institutos públicos à Administração Indireta; a Universidade do Porto tem a forma de uma fundação pública com regime de direito privado e as Universidades-fundação estão excluídas do âmbito de aplicação da lei-quadro das fundações.

Mas como as Universidades, apesar de constituídas por professores, investigadores e estudantes, titulares de direitos fundamentais, acaba por ser um serviço público que presta serviços à comunidade, o artigo 48.º n.º 1 al. a) da LEI QUADRO DOS INSTITUTOS PÚBLICOS prevê que gozam de regime especial, com derrogação do regime comum na estrita medida necessária à sua especificidade, as universidades e escolas de ensino superior politécnico, qualificando-as como institutos públicos. Esta norma é representativa de uma corrente doutrinária que considerava as Universidades como institutos sujeitos a um regime específico.

Reafirmando a sua natureza especial, o artigo 9.º n.º 2 do RJIES  prevê que [e]m tudo o que não contrariar a presente lei e demais leis especiais, e ressalvado o disposto no capítulo vi do título iii, as instituições de ensino superior públicas estão sujeitas ao regime aplicável às demais pessoas coletivas de direito público de natureza administrativa, designadamente à lei quadro dos institutos públicos, que vale como direito subsidiário naquilo que não for incompatível com as disposições da presente lei.

Assim sendo, não obstante a Universidade ter sido instituída como fundação pública com regime de direito privado, é qualificada por lei como instituto público de regime especial, porque presta um serviço público, sujeitando-se, subsidiariamente, ao regime jurídico aplicável a este tipo de entidades. Por essa razão, deve ser abrangida pelo âmbito de aplicação do Decreto-Lei n.º 65/2021, de 30 de julho.

Em conformidade, é necessário designar um Responsável de Cibersegurança, nos termos do nº 1 do art.º 6º, na medida em que o n.º 2 do artigo 2.º do Regime Jurídico da Segurança do Ciberespaço, integra no âmbito da Administração Pública todas as entidades que, independentemente do seu grau de autonomia face ao Estado, são consideradas como tal: regiões autónomas; autarquias locais; entidades administrativas independentes; institutos públicos; empresas públicas; associações públicas.”