A Assembleia Nacional aprovou, no dia 12, na globalidade, a Proposta de Lei da Cibersegurança que estabelece o regime jurídico da cibersegurança no país e define medidas para reforçar a protecção dos cidadãos, das instituições públicas e privadas, das empresas e das infra-estruturas críticas contra as ciberameaças e os ciberataques.
O documento define regras para garantir a integridade, a disponibilidade e a confidencialidade das redes e dos sistemas de informação, assim como a segurança das infra-estruturas críticas e dos serviços essenciais do país.
O diploma surge um ano após o Executivo ter aprovado, em 2025, a Estratégia Nacional de Cibersegurança, que define as políticas e prioridades para a prevenção e o combate às ameaças que afectam o ciberespaço nacional, e o Conselho Nacional de Cibersegurança, entidade que responde pela coordenação e supervisão da política nacional do sector.
Desafio dos recursos humanos
O consultor em Direito da Protecção de Dados Gaspar Micolo reconhece que um dos maiores desafios que se coloca ao país, após a aprovação final da proposta de Lei sobre Cibersegurança, tem a ver com os recursos humanos, por se encontrar num momento de viragem normativa no domínio da segurança digital.
O diploma vai substituir a Lei n.º 7/17, de 16 de Fevereiro, Lei da Protecção de Redes e Sistemas Informáticos.
A Lei de Cibersegurança, referiu, prevê maior coordenação e responsabilização de todos que fazem uso do ciberespaço.
No ano passado, com o Decreto Presidencial n.º 263/25, formalizou-se a criação do Centro Nacional de Cibersegurança, um instituto público autónomo, com poderes regulatórios, fiscalizadores e sancionatórios para garantir a segurança técnica e operacional do ciberespaço nacional.
No referido documento, disse, também se formaliza a criação do Departamento de Resposta a Emergências Informáticas (CERT), que é, no fundo, o órgão operacional responsável por garantir a monitorização contínua de incidentes com impacto nacional, incluindo a prevenção, detecção, análise e mitigação de ataques cibernéticos.
“Este, sim, é que vai precisar de recursos técnicos e humanos. Enquanto estes órgãos não entram em funcionamento, temos uma resposta muito deficiente face às ciberameaças”, notou.
Uso seguro do ambiente digital
Para Gaspar Micolo, cibersegurança é a protecção realizada no ciberespaço como garantia do uso seguro do ambiente digital, em que se mobilizam um conjunto de meios, instrumentos e abordagens que asseguram a sua utilização.
O especialista realçou que enquanto se regista uma maior profissionalização do cibercrime, verifica-se, por outro lado, um défice estrutural de competências básicas dos cidadãos para lidar com a tecnologia de forma segura.
Para o efeito, disse, basta ver os dados do Relatório sobre cibersegurança do Instituto Nacional de Estatística (INE), de 2021, que aponta que os ciberataques não só aumentaram como se tornaram cada vez mais sofisticados, atingindo tanto indivíduos como empresas.
Estes dados do INE, acrescenou, constam de uma realidade mundial, por ser um indicador importante para a resposta que coloca Angola no nível 4 do Índice Global de Cibersegurança (GCI) 2024, com uma pontuação de 39,5/100.
Este desempenho reflecte esforços na adopção de políticas de cibersegurança, mas também indica a necessidade de melhorias em áreas como legalidade, técnica, organização, desenvolvimento de capacidades e cooperação.
“O país precisa de respostas de vários actores que, juntos, farão a governança da cibersegurança, nomeadamente, reguladores, através do Centro Nacional de Cibersegurança, academia, sociedade civil, empresas, cidadãos e cooperação internacional”, sublinhou.
Muitos ataques não são reportados
O especialista considera que Angola tem sofrido muitos ciberataques, que na sua maior parte não são reportados. A Agência de Protecção de Dados(APD), por exemplo, exige que entidades públicas e privadas notifiquem sobre acidentes e incidentes informáticos que possam comprometer a segurança dos dados pessoais.
Essa exigência, segundo Gaspar Micolo, faz parte das obrigações legais impostas pela APD, que visa garantir a protecção dos direitos dos titulares dos dados e a conformidade com as normas de protecção de dados. A notificação deve ser feita imediatamente e incluir detalhes sobre a natureza da violação de dados, as consequências e as medidas adoptadas para reparar a violação.
A APD é responsável pela protecção de dados pessoais, em caso de incidentes, enquanto o futuro Centro Nacional de Cibersegurança assegura os dados de uma maneira geral, sobretudo para garantir que as organizações estejam preparadas para a resiliência e manutenção dos serviços essenciais.
Monitorização contínua de incidentes
O especialista Gaspar Micolo revelou que, actualmente, o país conta com instituições como o Instituto Nacional de Fomento da Sociedade da Informação (INFOSI), que tem desenvolvido, dentro das suas possibilidades, acções de prevenção e resposta aos incidentes cibernéticos. Defendeu, por isso, a necessidade de entrada em acção de estruturas mais robustas, como o Centro Nacional de Cibersegurança, o Departamento de Resposta a Emergências Informáticas (CERT) e os CSIRT, enquanto estruturas sectoriais destinadas a garantir a monitorização contínua de incidentes com impacto nacional, nomeadamente nas áreas de prevenção, detecção, análise e mitigação de ataques cibernéticos.
Estas estruturas, sublinhou, são fundamentais para garantir a cibersegurança, mas não têm funções de polícia. Explicou que cabe ao Serviço de Investigação Criminal (SIC), à Procuradoria-Geral da República (PGR) e aos tribunais actuar na responsabilização criminal dos autores de crimes cibernéticos.
No caso do SIC, acrescentou, existe uma Direcção de Combate ao Cibercrime, enquanto a PGR dispõe de um Gabinete de Cibercriminalidade e Prova Electrónica.
“Fico com a impressão de que tanto o SIC quanto a PGR estão a dar passos importantes na criação de condições técnicas e humanas, embora ainda insuficientes. O mesmo não noto nos tribunais, e isso é um problema. Os operadores da Justiça precisam de estar preparados para esta realidade. Mas também é preciso esclarecer que o cibercrime tem uma natureza complexa. O cibercriminoso pode estar num país fora de África e perpetrar acções criminosas com elevado impacto em Angola. Daí a necessidade de cooperação internacional. Aliás, muitos cibercrimes têm sido detectados graças à cooperação de estruturas como o SIC e a PGR com parceiros como a Interpol e a Afripol”, disse.
Gaspar Micolo observou, entretanto, que esse nível de envolvimento com experiências e mecanismos de actuação internacionais ainda não é notório entre os magistrados judiciais, apelando ao Conselho Superior da Magistratura Judicial para adoptar uma abordagem diferente em relação à cibercriminalidade.
“Por exemplo, no final de 2025, houve uma operação da Interpol contra o cibercrime que resultou na detenção de 260 suspeitos em 14 países africanos, incluindo Angola e a Guiné-Bissau. Se a resposta judicial não for efectiva, perde-se muito, pois só se poderá falar em governação da cibersegurança quando todos os actores cumprirem o seu papel”, alertou.
Aposta no capital humano
O capital humano deve estar no centro de qualquer estratégia tecnológica, uma vez que nenhuma ferramenta, por mais avançada que seja, é capaz de responder, por si só, aos desafios da cibersegurança, defende Gaspar Micolo.
Segundo o especialista, é indispensável contar com profissionais qualificados para planear, implementar, monitorizar e ajustar as soluções de segurança digital.
Por esta razão, a experiência humana é que interpreta os riscos e toma decisões estratégicas em tempo real, algo que sistemas automatizados ainda não conseguem substituir totalmente, apesar de reconhecer a utilização da inteligência artificial e outras tecnologias avançadas para prevenção, detecção, análise e mitigação de ataques cibernéticos.
Os sistemas de IA conseguem identificar padrões anómalos, antecipar ameaças e automatizar respostas a incidentes, aumentando significativamente a eficiência operacional. No entanto, acrescentou, a supervisão humana permanece crucial.
O especialista entende que os investimentos do país devem ir além do simples hardware ou software. “É necessário apostar na formação de capital humano”, apelou.
“Hoje, fica evidente que a insegurança é inevitável, ou seja, nenhum dado está totalmente seguro. Os ciberataques não só aumentam em número, como se tornam cada vez mais sofisticados, atingindo tanto indivíduos como empresas. A questão já não é “se” uma organização será atacada, mas “quando”. Por isso mesmo, as organizações públicas e privadas devem antes fazer com que a cibersegurança deixe de ser uma função restrita às equipas de TI. A protecção digital é hoje uma responsabilidade transversal, que precisa ser assumida como parte da cultura organizacional, envolvendo todos, do conselho de administração aos colaboradores da linha da frente”, concluiu.
Multas por falta de medidas adequadas de protecção de dados
O perito digital e investigador de crimes cibernéticos Hélio Pereira considera que as multas por incumprimento de medidas adequadas de protecção de dados já é uma realidade em Angola. Como exemplo, apontou as sanções de 100.000 USD e 75.000 USD aplicadas às empresas TAAG e BDA, respectivamente.
O perito revelou que recentemente a imprensa angolana noticiou mais de sete mil novos registos de suspeitas de burlas on-line em 2024. Estes números, alertou, têm de ser lidos com cuidado, porque reflectem, em parte, o aumento da conectividade e da digitalização, que é positivo, mas também confirmam que a superfície de ataque está a crescer mais rápido do que a capacidade de defesa.
“Temos exemplos concretos e públicos, em que a Agência de Protecção de Dados (APD) sancionou a TAAG, após um ataque ransomware ocorrido em Setembro de 2024. O BDA foi igualmente sancionado por falhas ligadas a um ataque ransomware em Fevereiro de 2023. E o caso da AGT, embora com forte componente de fraude interna e criminalidade económico-digital, mostra como sistemas críticos do Estado e processos tributários são alvos de exploração. Estes não são casos isolados, são sintomas de um padrão”, alertou.
Principal défice em Angola
O principal défice em Angola hoje, considera, não é apenas a ausência de software, é sobretudo a falta de centros de operações de segurança nacionais e sectoriais eficazes, equipas treinadas para resposta a incidentes, monitorização contínua, normas obrigatórias de reporte e capacidade forense com valor probatório em tribunal.
“A própria estratégia nacional e a proposta de Lei de Cibersegurança apontam nessa direcção, o que é um bom sinal, mas também confirma que essas lacunas ainda existem. Comprar tecnologia sem ter pessoas e processos para operar é como comprar um avião sem pilotos”, disse.
Para identificar estes casos, Hélio Pereira aconselhou a necessidade de estar atento a movimentos estranhos na rede, acessos fora do horário ou padrão habitual, contas de utilizadores comprometidas, ficheiros bloqueados ou inacessíveis, transferências financeiras suspeitas e fuga ou divulgação não autorizada de dados.
Na prática, explicou, detectar este sinal a tempo exige ferramentas adequadas e equipas de resposta disponíveis e treinadas. Sem isso, disse, a organização normalmente só percebe que foi atacada quando o dano já está feito.
Segundo o especialista, a própria APD, ao sancionar entidades como a TAAG e o BDA, deixou claro que a falha está, muitas vezes, não na sofisticação do ataque, mas na ausência de medidas básicas de protecção que deveriam já estar implementadas.
Em relação às detenções e julgamentos no país, referiu que a Direcção Nacional de Combate aos Crimes Informáticos do SIC, em coordenação com o gabinete de cibercrime da PGR, tem desenvolvido um grande e relevante trabalho. No caso da AGT, houve detenções sucessivas e o processo chegou a julgamento, mas com penas que muitos consideraram brandas, face à dimensão e impacto do crime.
Investimento no capital humano é inegociável
O especialista defende que o investimento no capital humano é inegociável. Sem analistas de segurança, peritos forenses digitais, magistrados que entendem cibercrime e quadros de compliance formados, tudo o resto falha. “Temos jovens com apetência tecnológica, o que falta é um programa nacional de certificação, formação e retenção de talento para assegurar a protecção obrigatória das infra-estruturas críticas, banca, energia, telecomunicações, administração fiscal com calendário auditável e consequências reais para quem não cumprir. Criar um centro operacional nacional, com reporte obrigatório de incidentes e partilha real de inteligência entre sectores é imprescindível”, disse.
Para Hélio Pereira, o investimento para a protecção de dados pode ser caro se for feito tarde e mal. “É muito mais barato se for feito cedo e por fases”, aconselhou.
“O erro habitual é pensar que protecção de dados é apenas comprar uma ferramenta. Não é. Envolve organização interna, formação de pessoas, controlo de quem acessa o quê, cópias de segurança, contratos com fornecedores e capacidade de responder quando algo corre mal”, salientou.
O especialista esclareceu que uma pequena empresa que queira um nível básico de protecção pode começar com um projecto faseado e moderado no primeiro ano, cobrindo avaliação inicial, formação e medidas essenciais. Uma de média dimensão já precisa de um orçamento anual recorrente mais significativo, que cubra ferramentas, auditorias e apoio especializado. Um banco, uma operadora ou um órgão crítico do Estado está numa ordem de grandeza muito diferente, com equipas dedicadas e capacidade de resposta permanente.
Angola regista evolução na cibersegurança
O perito digital considera que o País está a evoluir no capítulo da cibersegurança, mas ainda não está suficientemente madura. Apesar de existir progresso institucional e estratégia nacional, com a nova lei, a criação do Conselho Nacional de Cibersegurança e do Centro Nacional de Cibersegurança, além da actuação da Agência de Protecção de Dados.
Apesar destes avanços, referiu, o país continua em posição frágil quando comparado com referências internacionais, como no Global Cybersecurity Index 2024, onde Angola aparece no grupo 4 (“Evolving”) e com 39,64 pontos, sinal de que existe base legal e alguma cooperação, mas ainda com défices técnicos, organizacionais e de capacitação.
Acções do MINTCS estão no bom caminho
Hélio Pereira considera que as acções do Ministério das Telecomunicações, Tecnologias de Informação e Comunicação Social (MINTTICS) estão no bom caminho para fortalecer o mundo tecnológico angolano. O ministério, disse, impulsionou a Estratégia Nacional de Cibersegurança, a proposta de Lei da Cibersegurança, já aprovada em definitivo, a criação do Centro Nacional de Cibersegurança e do Conselho Nacional de Cibersegurança, e projectos relevantes de inclusão e infra-estrutura digital.
“Isso é real e merece reconhecimento. Mas política pública não é o mesmo que capacidade efectiva de defesa. Considero pontos positivos a aprovação da Estratégia Nacional de Cibersegurança como documento orientador; a proposta de Lei da Cibersegurança, como instância de coordenação, fortalecimento do quadro de protecção de dados e da APD, que já demonstrou capacidade sancionatória, aposta em cloud e data center do Governo, expansão da fibra óptica e inclusão digital através do programa Cidadão Digital e a manutenção de fóruns como o ANGOTIC, que ajudam a criar ecossistema, contactos e mercado local”.
No seu entender, o país já percebeu que a cibersegurança é um tema de soberania, economia e segurança nacional, mas o mais difícil é executar.
Angola, sublinhou, precisa menos de anúncios e mais de métricas públicas, equipas técnicas, fiscalização, investigação, cooperação internacional e cultura de segurança nas instituições e nos cidadãos.
Sem isso, alertou, o país vai continuar a modernizar-se digitalmente, mas com uma superfície de ataque cada vez maior. “Angola está a modernizar-se a um ritmo considerável, com mais conectividade, serviços digitais e dados circulando em sistemas, mas, ao mesmo tempo a superfície de ataque cresce todos os dias e ainda não estamos preparados o suficiente para o feito”, disse.
