A Lei de Segurança Cibernética em Moçambique passa a ter um quadro jurídico próprio com a Lei n.º 13/2026, de 1 de Julho, publicada no Boletim da República, I Série, n.º 123, em 1 de Julho de 2026. O diploma abrange a Administração Pública, o sector privado, operadores de infra-estruturas críticas, serviços essenciais, provedores de serviços digitais, plataformas digitais, comunicações electrónicas e também pessoas singulares que utilizam redes de comunicação de dados e sistemas de informação, informa a redacção do InforMoz, com base no Instituto Nacional de Tecnologias de Informação e Comunicação (INTIC).
A lei foi aprovada no âmbito da construção de um novo regime nacional de segurança digital e entra em vigor 90 dias depois da publicação, em 29 de Setembro de 2026. O diploma cria regras de prevenção e resposta a incidentes, formaliza a estrutura nacional de CSIRTs, estabelece obrigações específicas para diferentes operadores e coloca o INTIC no centro da coordenação institucional da segurança cibernética. A regulamentação necessária para a aplicação operacional da lei deverá ser aprovada no prazo de 180 dias contados da publicação.
Quem fica abrangido pela nova Lei de Segurança Cibernética
O âmbito da Lei n.º 13/2026 é amplo. O artigo 2 inclui directamente entidades públicas e privadas e não limita as novas regras às empresas de telecomunicações ou aos organismos do Estado.
Entre os abrangidos encontram-se:
- Administração Pública e sector privado;
- operadores de redes de infra-estruturas críticas e de serviços essenciais;
- provedores intermediários de serviços e provedores de serviços digitais;
- provedores de serviços de segurança cibernética;
- operadores de plataformas digitais e de comunicações electrónicas;
- pessoas singulares e outras entidades que utilizem redes de comunicação de dados e sistemas de informação.
O próprio diploma define a segurança cibernética como um conjunto de políticas, ferramentas, garantias de segurança, directrizes, mecanismos de gestão de risco, capacitação e boas práticas destinadas à protecção do ambiente cibernético e dos activos de pessoas singulares e colectivas.
Na prática jurídica, a lei estabelece diferentes níveis de responsabilidade: um utilizador comum está abrangido pelo quadro geral, enquanto operadores de plataformas, serviços digitais, infra-estruturas críticas e outras entidades reguladas recebem obrigações institucionais específicas.
A lei também fixa princípios que devem orientar a sua aplicação, entre eles colaboração e cooperação, protecção dos direitos humanos, transparência, responsabilidade, legalidade, proporcionalidade, necessidade, integridade e privacidade.
INTIC passa a exercer papel central na segurança cibernética
A Lei n.º 13/2026 organiza o Sistema Nacional de Segurança Cibernética em órgãos e entidades próprios.
A estrutura inclui o Conselho Nacional de Segurança Cibernética, a Autoridade Nacional de Segurança Cibernética e a Equipa Nacional de Resposta a Incidentes de Segurança Cibernética, o CSIRT Nacional. A lei também integra a Rede Nacional de CSIRTs, operadores de infra-estruturas críticas, provedores intermediários, serviços digitais, plataformas digitais, centros de dados, serviços de computação em nuvem e outros operadores previstos no diploma.
O Conselho Nacional de Segurança Cibernética é definido pela lei como órgão multissectorial de coordenação e governação específica nesta matéria e é presidido pelo Primeiro-Ministro.
O INTIC informou ainda que a legislação estabelece formalmente o instituto como Autoridade Nacional de Segurança Cibernética e institucionaliza tanto o CSIRT Nacional como a Rede Nacional de Segurança Cibernética.
“A Lei de Segurança Cibernética estabelece medidas de prevenção, protecção e resposta a incidentes.”
— INTIC, ao explicar o novo regime durante o Bootcamp de Direito e Tecnologia da Universidade Eduardo Mondlane, em Maputo, em 27 de Agosto de 2026.
A Rede Nacional de CSIRTs funcionará como mecanismo de troca de informação sobre incidentes. Segundo o texto da lei, os CSIRTs institucionais partilham informações sobre incidentes e medidas de mitigação com os CSIRTs sectoriais e com o CSIRT Nacional; os CSIRTs sectoriais, por sua vez, comunicam essas informações ao CSIRT Nacional.
Empresas passam a ter obrigações de segurança institucional
Uma das mudanças mais relevantes para o sector empresarial está nas medidas organizacionais exigidas às entidades abrangidas.
O texto legal determina que entidades da Administração Pública e do sector privado criem uma Política de Segurança de Informação Institucional, destinada a proteger os dados e assegurar integridade, confidencialidade e disponibilidade das informações.
Também deverá ser designado um responsável pela segurança cibernética e um auditor interno para a gestão dos riscos cibernéticos. O diploma prevê ainda o estabelecimento de CSIRT institucional pelas entidades abrangidas nas condições definidas pela lei. As medidas técnicas e organizacionais mais detalhadas ficam dependentes de regulamentação específica.
Para entidades que gerem infra-estruturas críticas, as exigências são mais específicas. Entre as obrigações expressamente previstas encontram-se:
- estabelecer um CSIRT institucional;
- adoptar uma abordagem de gestão de riscos para identificar, compreender e mitigar riscos;
- implementar medidas de protecção dos activos essenciais;
- manter procedimentos que permitam recuperar de incidentes cibernéticos;
- preservar o sigilo das comunicações de informação dos utilizadores.
Os operadores de infra-estruturas críticas também devem efectuar o registo junto da Autoridade Nacional de Segurança Cibernética para exercer as suas actividades.
O novo modelo deixa de tratar a resposta a incidentes apenas como uma tarefa técnica interna das organizações e integra-a numa estrutura nacional de comunicação e coordenação.
O que muda para plataformas digitais
A Lei n.º 13/2026 contém uma secção própria sobre operadores de plataformas digitais. O artigo 24 define o operador de plataforma digital como uma pessoa colectiva pública ou privada que fornece aplicações de Internet e explora profissionalmente, com fins económicos, plataformas digitais.
O artigo seguinte estabelece obrigações específicas para esse tipo de operador, incluindo o registo dos utilizadores da plataforma. A presença das plataformas digitais dentro do Sistema Nacional de Segurança Cibernética significa ainda que estas passam a integrar formalmente o quadro institucional regulado pela nova legislação.
A lei deve ser lida em conjunto com o quadro regulatório já existente para operadores de plataformas digitais e provedores intermediários. O próprio INTIC mantém entre a legislação sectorial o Decreto n.º 59/2023, de 27 de Outubro, relativo ao registo e licenciamento de provedores intermediários de serviços electrónicos e operadores de plataformas digitais, posteriormente alterado pelo Decreto n.º 44/2025.
Serviços digitais também terão de se registar
O diploma define igualmente regras próprias para provedores de serviços digitais. Trata-se, segundo o artigo 22, de pessoas colectivas públicas ou privadas que prestam serviços por meios electrónicos, com transmissão e acesso às informações através de redes de dados.
Entre as obrigações expressamente previstas no artigo 23 estão o registo dos utilizadores, a criação de CSIRT institucional e a aplicação de medidas destinadas à governação do risco cibernético, identificação e protecção contra riscos, detecção, resposta e recuperação de ataques. O texto também determina colaboração com as autoridades competentes quando necessário.
Para exercer a actividade, o provedor de serviços digitais deve registar-se na Autoridade Nacional de Segurança Cibernética.
Esta obrigação de registo também alcança outros operadores definidos pela legislação, de acordo com as respectivas secções aplicáveis.
Incidentes cibernéticos passam a integrar uma cadeia nacional de comunicação
Outro eixo central da Lei de Segurança Cibernética é a resposta coordenada a incidentes.
O artigo 36 determina que reguladores sectoriais e governos provinciais estabeleçam CSIRTs sectoriais e provinciais e assegurem a criação de CSIRTs institucionais. Os sectores que possuem infra-estruturas críticas, assim como instituições públicas, privadas, académicas, organizações da sociedade civil e municípios abrangidos pela norma devem estabelecer estruturas institucionais de resposta nos termos da lei.
O INTIC resumiu o mecanismo da seguinte forma: os CSIRTs institucionais reportam incidentes aos respectivos CSIRTs sectoriais, que os encaminham ao CSIRT Nacional.
Esta cadeia pretende concentrar a informação necessária para coordenar respostas e acompanhar ameaças que possam afectar mais de uma instituição ou sector.
O CSIRT Nacional já existia antes da publicação da Lei n.º 13/2026. O novo diploma, porém, dá enquadramento legal à sua posição dentro do Sistema Nacional de Segurança Cibernética e à Rede Nacional de CSIRTs. O Governo também está a preparar a Estratégia Nacional de Segurança Cibernética 2026–2030, com base na avaliação da estratégia anterior, referente ao período 2021–2025.
Protecção das comunicações e das redes
A segurança das próprias redes recebe tratamento específico.
O artigo 34 determina que entidades e operadores de plataformas de comunicação de dados assegurem integridade, confidencialidade e privacidade das comunicações através de medidas de segurança lógica e física previstas no quadro jurídico aplicável.
Já a segurança do Sistema de Nomes de Domínio, o DNS, fica sob responsabilidade da entidade reguladora de tecnologias de informação e comunicação, que deverá utilizar ferramentas destinadas a prevenir ataques contra o DNS e fraudes na Internet. Os mecanismos específicos ainda dependem de regulamentação.
Para operadores de infra-estruturas críticas, a lei exige sigilo das comunicações transmitidas pelos utilizadores. A disponibilização de comunicações com conteúdo criminoso ou que atentem contra a segurança do Estado está sujeita às condições jurídicas estabelecidas no próprio diploma, incluindo decisão judicial ou administrativa devidamente fundamentada nos casos previstos.
Lei de Segurança Cibernética e Lei de Crimes Cibernéticos não são o mesmo diploma
Moçambique publicou dois diplomas no mesmo Boletim da República de 1 de Julho: a Lei n.º 13/2026, de Segurança Cibernética, e a Lei n.º 14/2026, de Crimes Cibernéticos.
A primeira estabelece a estrutura preventiva, institucional e regulatória da segurança cibernética. A segunda contém disposições penais materiais e processuais para prevenção, investigação e repressão de crimes praticados através de tecnologias de informação e comunicação, além de regras sobre recolha de prova electrónica e cooperação internacional.
Essa distinção é relevante porque obrigações organizacionais impostas a empresas e operadores pela Lei n.º 13/2026 não devem ser confundidas com tipos criminais, poderes de investigação ou procedimentos de recolha de prova estabelecidos pela Lei n.º 14/2026.
“Proteger as crianças no ambiente digital é proteger o futuro de Moçambique.”
— Américo Muchanga, ministro das Comunicações e Transformação Digital, numa intervenção sobre protecção de crianças no ambiente digital divulgada pelo INTIC em Setembro de 2026.
Quando a nova lei começa a valer
A publicação oficial ocorreu em 1 de Julho de 2026. Segundo o INTIC, as Leis n.º 13/2026 e n.º 14/2026 entram em vigor 90 dias depois, em 29 de Setembro de 2026.
Até lá, empresas, instituições públicas, operadores de plataformas digitais, serviços digitais e responsáveis por infra-estruturas críticas abrangidos pelo diploma têm como referência o texto publicado no Boletim da República. Parte dos detalhes operacionais deverá ser definida posteriormente por regulamentos.
A lei determina que a respectiva regulamentação seja aprovada no prazo de 180 dias contado a partir de 1 de Julho de 2026.
Puedes leer sobre esto y otra información útil en nuestro sitio web. También te recomendamos leer: PrEP injectável em Maputo: como funciona a injecção contra o HIV aplicada apenas duas vezes por ano