A entrada em vigor da Lei de Segurança Cibernética e da Lei dos Crimes Cibernéticos, em 29 de Setembro de 2026, estabelece novas responsabilidades para as instituições públicas e privadas na protecção do espaço digital nacional. Entre as principais medidas destaca-se a implementação de Equipas Institucionais de Resposta a Incidentes de Segurança Cibernética (CSIRTs), como parte dos esforços para prevenir, detectar, tratar e responder a ameaças que possam comprometer infra-estruturas críticas e a prestação de serviços essenciais em Moçambique.

O reforço do quadro jurídico e institucional, a modernização das infra-estruturas digitais e o desenvolvimento de capacidades nacionais de resposta a incidentes assumem particular importância num contexto marcado pelo crescimento das fraudes electrónicas, burlas informáticas e ataques cibernéticos. A crescente utilização de plataformas digitais, serviços bancários electrónicos, carteiras móveis e redes de telecomunicações tem ampliado a exposição dos cidadãos, empresas e instituições públicas a diferentes formas de criminalidade informática, com consequências económicas, sociais e institucionais.

Crescimento das ameaças cibernéticas exige maior capacidade de resposta

Dados divulgados pelas autoridades nacionais revelam a dimensão deste desafio. Em 2024, Moçambique registou 173.770 ataques cibernéticos, que deram origem a 1.061 processos relacionados com este tipo de criminalidade nas instâncias judiciais. Em 2025, o Ministério Público reportou cerca de 39.600 incidentes cibernéticos, sendo que as fraudes envolvendo instrumentos de pagamento electrónico e as burlas informáticas através das comunicações representaram, em conjunto, 78% dos processos de crimes cibernéticos analisados pela Procuradoria-Geral da República.

No sector financeiro, dados apresentados em Julho de 2026, durante um fórum promovido pelo Absa Bank, indicaram que o país chega a registar entre 8.000 e 9.000 tentativas de ataques cibernéticos por dia, com incidência nos canais de banca remota e nos sistemas de pagamentos móveis.

No sector das telecomunicações, o Relatório de Segurança e Resiliência das Telecomunicações 2025, divulgado pelo Instituto Nacional das Comunicações de Moçambique (INCM), registou 195.045 ocorrências de fraude, representando uma redução de aproximadamente 64% em relação ao ano anterior. Apesar desta evolução, os prejuízos financeiros directos foram estimados em 128,31 milhões de meticais.

Entre as modalidades de fraude identificadas destacam-se as chamadas internacionais de curta duração, conhecidas como Wangiri, os esquemas SIMBOX, o registo fraudulento de cartões SIM, as mensagens fraudulentas destinadas à obtenção de credenciais bancárias e códigos de acesso às carteiras móveis, bem como práticas de engenharia social.

Infra-estruturas críticas: sectores abrangidos pela Lei

A Lei n.º 13/2026 define como infra-estrutura crítica qualquer componente, sistema ou activo situado em território nacional cuja interrupção ou destruição possa comprometer funções essenciais para a sociedade, a saúde, a segurança e o bem-estar económico e social.

O Anexo II da Lei identifica os sectores e subsectores abrangidos pelo regime de protecção dos serviços essenciais, nomeadamente:

• Energia: electricidade, petróleo e gás;
• Água: fornecimento e distribuição de água potável, recolha e tratamento de águas residuais e sistemas de retenção de águas;
• Transportes: transporte aéreo, marítimo, por vias navegáveis interiores e terrestre;
• Finanças: banca, seguros e bolsa de valores;
• Infra-estruturas do mercado financeiro: sistemas e entidades de suporte ao funcionamento do mercado financeiro;
• Saúde: instalações de prestação de cuidados de saúde, controlo e logística, incluindo armazéns e serviços de distribuição de medicamentos;
• Infra-estruturas de telecomunicações: operadoras de telecomunicações;
• Infra-estruturas de Internet: registos de nomes de domínio de topo, pontos de troca de tráfego (IXP), prestadores de serviços de Sistema de Nomes de Domínio (DNS), domínio .mz, provedores de serviços de Internet e Rede Tecnológica Privada do Estado.

A identificação destes sectores permite estabelecer prioridades de protecção e orientar a adopção de medidas de segurança adequadas à importância dos serviços prestados e aos riscos associados à sua interrupção.

CSIRTs Institucionais: uma obrigação para reforçar a resposta a incidentes

Um dos aspectos centrais da Lei de Segurança Cibernética é a obrigatoriedade de criação de Equipas Institucionais de Resposta a Incidentes de Segurança Cibernética (CSIRTs), estruturas especializadas responsáveis pela prevenção, detecção, análise, tratamento e resposta a incidentes que afectem as redes e os sistemas de informação das respectivas instituições.

Nos termos do artigo 17, os operadores de infra-estruturas críticas têm a obrigação de estabelecer CSIRTs Institucionais, adoptar medidas de gestão de riscos cibernéticos, proteger os activos essenciais e dispor de procedimentos que permitam recuperar rapidamente de incidentes.

De igual modo, o artigo 21 estabelece que os operadores de serviços essenciais devem criar CSIRTs Institucionais, implementar medidas de identificação e gestão de riscos, prevenir ataques e assegurar a recuperação dos sistemas afectados, de modo a garantir a continuidade dos serviços prestados.

O artigo 36 reforça esta orientação ao determinar que os sectores com infra-estruturas críticas, bem como instituições dos sectores público e privado, academia, sociedade civil e municípios, devem estabelecer equipas institucionais de resposta a incidentes.

Estas equipas deverão funcionar de forma articulada com os CSIRTs Sectoriais e o CSIRT Nacional (nCSIRT.mz), que assegura a coordenação operacional e estratégica da resposta nacional a incidentes. Através desta estrutura, pretende-se facilitar a partilha de informações sobre ameaças e vulnerabilidades, melhorar a comunicação entre instituições e promover respostas coordenadas a situações que possam comprometer serviços essenciais.

Neste contexto, o INTIC, IP, enquanto Autoridade Nacional de Segurança Cibernética, através do nCSIRT.mz, desempenha um papel fundamental na coordenação da Rede Nacional de CSIRTs, na supervisão das equipas e na promoção de boas práticas e padrões técnicos de segurança cibernética.

Cooperação internacional e Medidas de Construção de Confiança

A protecção das infra-estruturas críticas constitui igualmente uma dimensão importante das Medidas de Construção de Confiança (CBMs – Confidence-Building Measures) no domínio da segurança cibernética, no quadro da União Africana e do Mecanismo Global das Nações Unidas para a Segurança Cibernética Internacional, dos quais Moçambique faz parte.

Estas iniciativas promovem a transparência, a cooperação, a partilha de informações sobre ameaças e incidentes e o desenvolvimento de mecanismos de comunicação entre os Estados, contribuindo para prevenir conflitos e fortalecer a confiança no espaço cibernético internacional.

A protecção das infra-estruturas críticas, neste contexto, assume particular relevância por permitir reduzir os riscos de interrupção de serviços essenciais, reforçar a capacidade de resposta a incidentes e promover a cooperação entre os países perante ameaças que ultrapassam fronteiras nacionais.

A consolidação destes mecanismos internacionais complementa os esforços nacionais de implementação da Lei de Segurança Cibernética e de fortalecimento das capacidades institucionais para a protecção do espaço digital.

Apelo ao cumprimento da Lei de Segurança Cibernética

Perante os desafios decorrentes do crescimento das ameaças digitais, torna-se fundamental que as entidades proprietárias e/ou operadoras de infra-estruturas críticas, bem como os provedores de serviços essenciais, assumam a protecção dos seus sistemas e redes de informação como uma prioridade institucional.

Neste sentido, exorta-se estas entidades a cumprirem as disposições estabelecidas na Lei n.º 13/2026, de 1 de Julho, particularmente no que respeita à criação e operacionalização dos CSIRTs Institucionais, à adopção de medidas de gestão de riscos, à notificação de incidentes e à implementação de mecanismos de prevenção, resposta e recuperação.

O cumprimento destas obrigações contribuirá para fortalecer a capacidade nacional de resposta a ameaças cibernéticas, proteger os serviços essenciais, salvaguardar os interesses dos cidadãos e assegurar a continuidade das actividades económicas e sociais.

A protecção das infra-estruturas críticas é, assim, uma responsabilidade partilhada e um compromisso que ultrapassa as fronteiras nacionais, constituindo uma das dimensões das CBMs dos Estados-Membros da União Africana e do Mecanismo Global das Nações Unidas para a Segurança Cibernética Internacional, reforçando a importância da cooperação nacional, regional e internacional na construção de um espaço digital seguro e resiliente.