Indisponibilidade do Microsoft 365 em Autarquias e Entidades Públicas

Sumário executivo

De 206 entidades públicas portuguesas com contratos Microsoft analisados, 188 (91%) usam ou provavelmente usam o Microsoft 365 e foram expostas à falha que começou a 12 de novembro de 2026. Destas, 18 têm impacto estimado crítico (17 unidades de saúde e a Proteção Civil da Madeira) e 65 elevado, sobretudo municípios, tribunais e organismos transversais do Estado.

O incidente, verificado em várias fontes. A Microsoft regista dois incidentes: EX1550543 (Exchange Online), aberto às 16h17 de 12/11, e MO1550821 (restantes serviços que dependem do Exchange), aberto às 18h26 (hora de Lisboa). O impacto começou nas Américas e foi estendido a “qualquer região” às 18h07; a imprensa portuguesa confirmou Portugal afetado ao fim da tarde. Às 08h06 de 13/11 o incidente continuava aberto, com recuperação parcial e instável. A Microsoft afirma não haver indício de atividade maliciosa.

O que esteve e está em baixo. Sobretudo o correio (Outlook web, desktop e móvel) e o que dele depende: calendários e agendamento no Teams, SharePoint, Viva Engage, Copilot, Defender XDR, Planner e To Do. Mensagens e reuniões do Teams funcionaram em grande parte. O Azure não teve eventos ativos: por isso sistemas alojados em Azure, servidores e bases de dados não foram atingidos.

O que isto significa para o setor público. Para a maioria dos serviços administrativos, a falha começou perto do fim do expediente de quinta: o impacto real concentra-se na manhã de sexta, 13/11, em pleno atendimento. Para serviços 24/7 (hospitais, proteção civil, acolhimento residencial, forças armadas ) o impacto foi contínuo durante a noite e persiste na manhã de 13/11.

A segunda parte deste documento transforma o plano de contingência numa versão aplicável por uma autarquia ou entidade pública, com o enquadramento do Regime Jurídico da Cibersegurança, do RGPD, do Código do Procedimento Administrativo e da contratação pública. A tabela entidade a entidade, com os 250 contratos classificados: https://docs.google.com/spreadsheets/d/1VZ0-fNyBspUVTl8LYN61PfmteK_XAwDQ1GVdhLeQk1Y/edit?usp=sharing
(o máximo da extração permitida pelo Base Gov)

Análise das entidades afetadas

A saúde concentra o risco: as 19 entidades de saúde da amostra estão todas expostas e 17 têm impacto crítico. O poder local é o grupo mais numeroso: 85 entidades (municípios, freguesias, entidades intermunicipais e empresas municipais), 80 delas expostas.

Método. Cada um dos 250 contratos foi classificado pelo objeto: exposição direta (o objeto refere Microsoft 365, Office 365, Exchange, Teams, SharePoint Online, Copilot, Intune ou Entra), provável (acordo global — Enterprise Agreement, Campus, OVS, Unified, licenciamento genérico — que normalmente inclui M365), baixa (Azure, SQL Server, Windows Server, Active Directory local, Dynamics) ou nula (Office perpétuo). Agregou-se por entidade, ficando a exposição mais alta. O nível de impacto combina essa exposição com a função do setor (serviço 24/7, atendimento ao cidadão, prazos legais, dados sensíveis), a dimensão do contrato e o horário da falha. Foram revistas manualmente 40 entidades com papel transversal ou contratos de grande valor.

Setor	Entidades	Expostas	Crítico	Elevado	Moderado	Baixo	Valor na amostra (M€)
Saúde	19	19	17	2	0	0	6,33
Defesa, segurança e proteção civil	5	4	1	3	0	1	1,09
Municípios	49	45	0	45	0	4	8,66
Administração central	22	17	0	5	12	5	9,28
Justiça e tribunais	4	4	0	4	0	0	2,98
Ação social	3	3	0	3	0	0	6,08
Infraestruturas, transportes, energia e mar	15	13	0	1	12	2	4,40
Entidades intermunicipais	7	7	0	1	6	0	1,00
Setor financeiro público	1	1	0	1	0	0	0,25
Ensino superior e investigação	30	27	0	0	27	3	4,63
Empresas e serviços municipais	20	20	0	0	20	0	0,78
Ensino básico, secundário e profissional	11	10	0	0	10	1	0,21
Freguesias	9	8	0	0	8	1	0,16
Ordens, associações e fundações	8	8	0	0	0	8	0,34
Reguladores e supervisão	3	2	0	0	2	1	0,58
Total	206	188	18	65	97	26	46,78

Impacto crítico: saúde e proteção civil

Hospitais e ULS operam 24/7 e ficaram sem correio desde o fim da tarde de quinta: referenciação, resultados, articulação com farmácia, fornecedores e outras unidades, e calendários internos. Na Austrália, durante esta mesma falha, clínicas recorreram a receitas em papel porque a autenticação multifator dependia do correio. Os dados são de saúde (art. 9.º do RGPD), o que obriga a avaliar a violação na vertente de disponibilidade.

ULS de Trás-os-Montes e Alto Douro — maior contrato de saúde da amostra (2,98 M€) e Teams Pro nos centros de saúde de uma região de baixa densidade.
ULS de Coimbra (inclui os Hospitais da Universidade), ULS de São João, ULS de Matosinhos, ULS Viseu Dão-Lafões, ULS Póvoa/Vila do Conde, ULS Estuário do Tejo, ULS Tâmega e Sousa, ULS Entre Douro e Vouga, ULS Médio Tejo, ULS Região de Leiria, ULS Alentejo Central, ULS Barcelos/Esposende, ULS Médio Ave.
Hospital do Divino Espírito Santo (Ponta Delgada), Hospital de Santo Espírito (Terceira) e IASAÚDE da Madeira.
Serviço Regional de Proteção Civil da Madeira — coordenação noturna de ocorrências degradada; rádio e telefone mantiveram-se.

A maioria das ULS comprou ao abrigo do concurso centralizado do SNS (adjudicatário Crayon), cujo objeto não detalha os produtos: a exposição é provável, não confirmada.

Impacto elevado: onde a falha se propaga

Organismos transversais do Estado: Agência para a Reforma Tecnológica do Estado (2,90 M€ na amostra, contrato de 2,68 M€ celebrado a 11/11, véspera da falha), ESPAP, Secretaria-Geral do Governo, IGFEJ (tecnologia da justiça) e AIRC (serviços informáticos a dezenas de autarquias). Uma falha nestas entidades pode afetar outros organismos — a confirmar caso a caso.
Serviços de atendimento de grande escala: IEFP (2,45 M€, rede nacional de centros de emprego), Santa Casa da Misericórdia de Lisboa (5,94 M€, maior valor da amostra), Casa Pia (acolhimento 24/7).
Tribunais: Supremo Tribunal de Justiça, Tribunal Constitucional, Tribunal de Contas (1,89 M€; vistos e prazos de contratação).
Municípios (45): atendimento e requerimentos por correio, notificações eletrónicas, comunicação com escolas. Destacam-se Barreiro (1,63 M€, inclui escolas e transportes municipais), Gondomar, Aveiro, Funchal, Viseu, Coimbra (1.400 utilizadores declarados) e Cascais (parque escolar — sexta é dia letivo).
Banco Português de Fomento: sujeito ao DORA, tem de classificar o incidente e avaliar o reporte ao Banco de Portugal.

Extrapolação para os 4998 contratos

A amostra não é aleatória: cobre apenas os últimos cinco meses e meio. Ao ritmo médio de 4998 contratos em cerca de 34 meses (≈145 por mês), esse período teria perto de 800 contratos; a extração tem 250, cerca de um terço. Com renovações anuais, cada entidade surge 2 a 4 vezes em quase três anos, o que aponta para 1.200 a 2.000 entidades distintas no universo total. Se a proporção de exposição da amostra (91%) se mantiver, 1.100 a 1.800 entidades públicas terão sido afetadas. É uma ordem de grandeza, não uma estimativa estatística; a análise do ficheiro completo resolveria a dúvida.

Limitações

O objeto do contrato nem sempre indica os produtos; “provável” significa que a inclusão do M365 é habitual nesse tipo de acordo, não que esteja confirmada.
Uma entidade classificada com exposição baixa pode usar M365 ao abrigo de outro contrato fora da amostra (ex.: Instituto de Informática, FCT).
O valor do contrato é um indicador grosseiro de dimensão: inclui contratos plurianuais e serviços.
Não há, até à hora de redação, informação pública sobre o impacto em entidades portuguesas concretas; os impactos descritos são estimativas por função.

Impacto típico numa autarquia ou entidade pública

O risco mais grave não é a perda de dados (que ficam – em tese – nos servidores da Microsoft) mas a paragem do atendimento e da coordenação, e a perda de visibilidade de segurança quando o risco de phishing é mais alto. Cada entidade deve preencher esta tabela com os seus próprios sistemas.

Sistema ou serviço	Dependência do M365	Impacto durante a falha
Correio institucional (Exchange Online)	Direta	Sem envio nem receção: requerimentos, notificações eletrónicas, comunicação com cidadãos, empresas e outros organismos
Teams	Parcial	Calendários e agendamento afetados; mensagens e chamadas funcionaram em grande parte
SharePoint / OneDrive	Direta	Documentos partilhados, intranet e processos de aprovação inacessíveis ou lentos
Autenticação (Entra ID) e MFA por correio	Direta ou indireta	Bloqueio de aplicações com início de sessão único ou códigos enviados por e-mail
Segurança (Defender XDR)	Direta	Perda de visibilidade quando os ataques oportunistas são mais prováveis
Centro de administração M365 / Intune	Direta	A equipa de informática não consegue gerir o incidente pela própria plataforma
Gestão documental e expediente (ex.: MyDoc, SmartDocs, Edoclink)	A confirmar	Nulo se não depender de Entra ID ou do Exchange para notificações
Plataformas de contratação pública (acinGov, Vortal, anoGov)	Nenhuma	Sem impacto direto; esclarecimentos e comunicações por correio podem atrasar
Proteção civil municipal (SIRESP, telefone)	Nenhuma	Sem impacto direto; coordenação documental por e-mail/Teams degradada
Telegestão de águas, semáforos, frota	Nenhuma	Sem impacto direto
Portal do munícipe e balcão online	A confirmar	Nulo se alojado fora do M365; formulários que enviam por e-mail falham
Escolas do concelho (Microsoft 365 Education)	Direta	Aulas e materiais em Teams, comunicação escola–famílias, num dia letivo

Parte I — Prevenir

A entidade deve conseguir atender, coordenar e cumprir prazos durante um dia útil inteiro sem Microsoft 365. As medidas abaixo estão ordenadas pelo que se faz primeiro.

1. Aprovação pelo órgão dirigente

O plano é aprovado pelo presidente da câmara (ou pelo dirigente máximo do organismo) e integrado nas medidas de gestão de risco de cibersegurança. O Regime Jurídico da Cibersegurança atribui essa aprovação e supervisão aos órgãos de direção. Ficam nomeados: responsável de cibersegurança, encarregado de proteção de dados (EPD), coordenador de informática e responsável de comunicação.

2. Mapear serviços críticos e tolerâncias

Para cada serviço, registar quanto tempo pode parar e de que depende. Numa autarquia, o mínimo a mapear:

atendimento ao munícipe (presencial, telefónico, correio, portal);
proteção civil municipal e articulação com bombeiros, ANEPC e forças de segurança;
ação social, habitação e apoio a populações vulneráveis;
escolas e refeições escolares;
águas, resíduos e transportes municipais (mesmo quando geridos por empresa municipal);
prazos legais: procedimentos administrativos, contratação pública, urbanismo, reuniões de órgãos, prestação de contas;
processamento de salários e pagamentos a fornecedores.

Rever o mapa uma vez por ano e sempre que se muda de fornecedor.

3. Canal de comunicação alternativo

O Outlook e o Teams não servem para avisar que o Outlook e o Teams estão em baixo. Preparar e testar:

lista de difusão por SMS para todos os trabalhadores e chefias, com os contactos guardados fora do M365 (cópia local cifrada e cópia em papel no gabinete do presidente e no serviço de proteção civil). Muitas autarquias já têm plataforma de SMS para alertas à população: avaliar se pode servir também para comunicação interna;
uma caixa de correio de contingência institucional noutro fornecedor, contratada e testada — nunca contas pessoais;
mensagens-tipo para trabalhadores, munícipes, juntas de freguesia, escolas e parceiros, prontas a publicar no sítio oficial, nas redes sociais e afixar nos balcões;
confirmar que o sítio institucional está alojado fora do M365, para servir de página de estado.

4. Alertas por um canal independente

Configurar no centro de administração do M365 o envio das notificações de estado do serviço para um endereço fora do M365. Identificar no plano a página pública status.cloud.microsoft, a conta Microsoft 365 Status no X e o contacto 24/7 do parceiro que vendeu o licenciamento (o adjudicatário do contrato).

5. Contas de acesso de emergência

Manter duas contas de Administrador Global de emergência, só na cloud, não associadas a pessoas, com chaves físicas FIDO2 guardadas em locais separados. Testar o acesso pelo menos semestralmente, fechar sessão após cada uso e registar cada utilização. Muitas autarquias pequenas têm a administração do tenant entregue ao fornecedor: confirmar que a entidade detém, ela própria, estas credenciais.

6. Cópias locais do que é crítico

Outlook em modo de cache nos postos de atendimento, secretaria e gabinetes.
Documentos indispensáveis marcados como “sempre disponível offline” no OneDrive.
Plano de contingência, contactos, minutas de ofícios e formulários de atendimento em papel ou em cópia local cifrada.
Cópia de segurança do M365 noutro fornecedor (protege contra perda de dados; não resolve uma falha de disponibilidade).

7. Segurança que não dependa do mesmo fornecedor

Verificar o que continua a funcionar quando o Defender XDR e o M365 caem: proteção dos postos, filtragem de correio, registos. A entidade não pode ficar sem visibilidade no período em que os ataques são mais prováveis.

8. SPF, DKIM e DMARC

Publicar uma política DMARC em modo p=reject no domínio institucional (cm-[concelho].pt, jf-[freguesia].pt ou equivalente). Impede que o nome da entidade seja usado em campanhas de phishing aos munícipes durante a confusão.

9. Contratos e futuras aquisições

Identificar no contrato em vigor quem é o adjudicatário, que nível de serviço está previsto e como se pedem os créditos. O SLA da Microsoft prevê créditos de 25%, 50% ou 100% da mensalidade do serviço afetado abaixo de 99,9%, 99% e 95% de disponibilidade mensal; têm de ser pedidos até ao fim do mês seguinte ao incidente.
Nas próximas peças de procedimento, exigir: plano de continuidade testado, contacto 24/7, apoio na ativação de alternativas, exportação de dados em formato aberto e plano de saída. O Regulamento dos Dados (Reg. UE 2023/2854) obriga os fornecedores de cloud a facilitar a mudança e, a partir de 12/01/2027, a fazê-lo sem encargos.
Evitar renovações sucessivas por ajuste direto sem avaliar alternativas; ponderar, para funções críticas, um segundo fornecedor.
Verificar se a apólice de seguros cobre interrupção por falha de fornecedor e não apenas ataques.

10. Conhecer as obrigações legais antes do incidente

Confirmar com o jurídico e com o CNCS a qualificação da entidade no RJCS, garantir que o responsável de cibersegurança e o ponto de contacto permanente têm acesso à plataforma de notificação, e ter o procedimento do EPD para avaliar violações de dados (secção «Obrigações legais»).

11. Treinar uma vez por ano

Exercício de mesa de duas horas, com executivo, chefias, informática, comunicação e proteção civil: “segunda-feira, 9h00, sem correio, sem Teams, sem SharePoint, sem previsão de recuperação”. Convidar as juntas de freguesia, as empresas municipais e os agrupamentos de escolas que partilham o mesmo fornecedor ou tenant.

Parte II — Reagir

Na primeira hora, a prioridade é confirmar a causa, avisar os trabalhadores por outro canal e manter o atendimento ao público a funcionar.

1. Confirmar e diagnosticar

Consultar status.cloud.microsoft e a conta Microsoft 365 Status; contactar o parceiro que gere o licenciamento.
Confirmar com outras entidades: a CIM, a associação de informática regional ou municípios vizinhos.
Anotar os números de incidente da Microsoft (nesta falha: EX1550543 e MO1550821) — servem para os créditos e para as notificações.
Não tentar “resolver” localmente: reinstalar o Outlook, repor palavras-passe, alterar acesso condicional ou desativar MFA acrescenta problemas e riscos.

2. Declarar o incidente e atribuir papéis

Papel	Quem, numa autarquia	Responsabilidade
Coordenação técnica	Chefe de divisão de informática ou parceiro externo	Diagnóstico, decisões técnicas, cronologia
Comunicação	Gabinete de comunicação	Mensagens a trabalhadores, munícipes, juntas, escolas e parceiros
Decisão	Presidente ou vereador com o pelouro	Adiar prazos e reuniões, ativar alternativas, autorizar notificações às autoridades
Avaliação legal	Responsável de cibersegurança e EPD	Notificação ao CNCS e avaliação RGPD, com decisão registada
Continuidade do atendimento	Chefe do atendimento ao munícipe	Procedimento em papel, registo de pedidos, informação ao balcão

3. Comunicar com os trabalhadores

Primeira mensagem por SMS, cedo e curta:

Falha global da Microsoft: correio, Teams e SharePoint com problemas. Não é um ataque à Câmara nem avaria do seu computador. Não reinstale nem mude a palavra-passe. Próxima informação às [hora]. Informática.

Mensagens seguintes: trabalhar com as cópias locais; verificar os itens enviados antes de reenviar; usar a caixa de contingência e o telefone para assuntos urgentes; registar pedidos e compromissos falhados. Cumprir a hora anunciada, mesmo sem novidades.

4. Manter o atendimento ao público

Ativar o procedimento em papel nos balcões: receber requerimentos, dar recibo com data e hora, registar para introdução posterior.
Afixar aviso nos balcões e publicar no sítio oficial e nas redes sociais que o correio eletrónico está indisponível e indicar o telefone e o atendimento presencial.
Informar as juntas de freguesia e as escolas, que muitas vezes dependem do mesmo correio.

5. Alerta anti-phishing no próprio dia

A trabalhadores e, no sítio oficial, aos munícipes:

a informática nunca pede palavras-passe ou códigos MFA, durante a falha ou depois;
nenhum pedido de pagamento urgente ou alteração de IBAN de fornecedor é aceite sem confirmação por telefone para um número já conhecido;
mensagens de “suporte Microsoft” ou de “compensação pela falha” são fraude;
a autarquia não pede dados bancários aos munícipes por e-mail ou SMS.

6. Proteger prazos

Identificar prazos que terminam durante a falha: procedimentos administrativos, contratação pública, urbanismo, candidaturas a fundos, reuniões de órgãos.
Guardar prova da indisponibilidade: capturas da página de estado da Microsoft, comunicações do fornecedor, registo interno com horas.
Pedir ao jurídico que avalie, prazo a prazo, o recurso ao art. 87.º, alínea f), do CPA ou ao justo impedimento (secção «Obrigações legais»).

7. Registar tudo desde o primeiro minuto

Em documento local: hora de início, serviços e utilizadores afetados, decisões e quem as tomou, comunicações enviadas, pedidos de munícipes por tratar e perdas estimadas. Este registo sustenta os créditos SLA, as notificações, a seguradora e a análise posterior.

8. Avaliar as notificações dentro dos prazos

O responsável de cibersegurança avalia se o incidente é significativo para a entidade (notificação inicial ao CNCS em 24 horas). O EPD avalia, separadamente, a violação de dados na vertente de disponibilidade (72 horas para a CNPD, se houver risco). Ambas as decisões ficam escritas, mesmo que a conclusão seja não notificar.

Parte III — Recuperar

O serviço regressa por fases e pode voltar a falhar: nesta falha, servidores repostos deixaram de responder assim que receberam tráfego. A entidade só declara o fim do incidente depois de algumas horas de estabilidade.

1. Recuperar com calma

Avisar que são normais mensagens atrasadas, duplicadas ou fora de ordem e conflitos de versões em ficheiros editados offline. Rever conflitos antes de apagar qualquer cópia.
Introduzir os requerimentos recebidos em papel com a data original de entrada.
Não reativar tudo de uma vez: integrações que repetem pedidos falhados podem gerar picos.

2. Verificar a segurança

Rever os registos de autenticação do Entra ID no período da falha.
Confirmar se alguém respondeu a mensagens de phishing ou alterou dados de pagamento de fornecedores.
Confirmar que nenhuma política de segurança ou de acesso condicional ficou desativada “temporariamente”.
Se houver conta comprometida, o incidente de disponibilidade passa a incidente de segurança, com novas obrigações de resposta e notificação.

3. Fechar as notificações

Notificação de fim do impacto significativo ao CNCS nas 24 horas seguintes e relatório final em 30 dias úteis, se a notificação inicial foi feita. Registo interno da avaliação RGPD, mesmo que não haja notificação à CNPD.

4. Pedir os créditos SLA

Pedir os créditos através do parceiro adjudicatário ou do centro de administração até 31 de dezembro de 2026, para a falha de 12-13 de novembro. O valor é pequeno face ao prejuízo, mas documenta o incumprimento e alimenta a avaliação do fornecedor na próxima aquisição.

5. Quantificar e aprender

Na semana seguinte:

quantificar horas de trabalho perdidas, atendimentos adiados, prazos em risco, reclamações e custos extraordinários;
fazer uma reunião de análise sem procura de culpados, com informática, atendimento, comunicação e proteção civil;
transformar as conclusões em ações com responsável e prazo e atualizar este plano;
ler o relatório pós-incidente da Microsoft quando for publicado e reavaliar o risco;
informar o executivo e, se relevante, a assembleia municipal.

6. Reduzir a concentração

Para as funções identificadas como críticas, decidir se se mantém a dependência de um único fornecedor e registar essa decisão. Interoperabilidade, portabilidade de dados e capacidade real de mudança passam a critérios de adjudicação, ao lado do preço.

Obrigações legais

Quatro regimes podem aplicar-se a uma entidade pública numa falha de fornecedor de cloud; a avaliação deve estar feita antes do próximo incidente. Esta secção não substitui parecer jurídico.

Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025)

Quem está abrangido. O art. 3.º, n.º 3, abrange a administração direta e indireta do Estado e das Regiões Autónomas, as entidades da administração autónoma (al. e)) e as entidades administrativas independentes. As autarquias locais não são nomeadas expressamente; a leitura corrente enquadra-as na administração autónoma. Cada autarquia deve confirmar a sua qualificação junto do CNCS e do jurídico.

Qualificação	Critério relevante para o setor público	Exemplos na amostra
Entidade essencial	Entidades públicas que desenvolvem, mantêm ou gerem infraestruturas de TIC, ou com elevado grau de integração digital (art. 6.º, n.º 1, al. d)); setores do anexo I acima dos limiares	ARTE, ESPAP, AIRC, entidades gestoras de água, ULS — a confirmar
Entidade pública relevante — Grupo A	Administração autónoma com mais de 250 trabalhadores; EPE acima dos limiares de média empresa; entidades administrativas independentes; tribunais e conselhos superiores (art. 7.º, n.º 2)	Municípios médios e grandes, STJ, Tribunal Constitucional, reguladores
Entidade pública relevante — Grupo B	Mesmas famílias com 75 a 249 trabalhadores; EPE médias (art. 7.º, n.º 3)	Municípios pequenos, institutos de menor dimensão
Exclusão	Defesa, segurança, polícia e informações (art. 3.º, n.º 7)	Ramos das Forças Armadas — confirmar âmbito

Notificar o quê. Entidades essenciais, importantes e públicas relevantes notificam ao CNCS os incidentes significativos: os que causam ou podem causar perturbação operacional grave ou perdas financeiras à entidade, ou danos consideráveis a terceiros (art. 2.º, al. l)). Uma falha do fornecedor pode ser significativa para a entidade cliente mesmo com a causa inteiramente do lado do fornecedor. Um dia sem atendimento eletrónico num município grande, ou uma ULS sem correio clínico durante a noite, são candidatos óbvios.

Notificação	Prazo	Destinatário
Inicial	24 horas após a verificação do incidente	CNCS, plataforma eletrónica
Fim do impacto significativo	24 horas após o fim do impacto	CNCS
Relatório final	30 dias úteis após a notificação inicial	CNCS

Confirmar os prazos e o formato no regulamento do CNCS. As entidades abrangidas têm também de informar os destinatários dos seus serviços afetados por incidentes significativos. Coimas por incumprimento: Grupo A de 16.000 € a 4.000.000 €; Grupo B de 8.000 € a 350.000 € (art. 61.º, n.º 2).

RGPD

A perda temporária de acesso a dados pessoais pode ser uma violação de dados na vertente de disponibilidade. O EPD avalia:

que categorias de dados ficaram inacessíveis e durante quanto tempo (dados de saúde, ação social, menores, processos de contraordenação pesam mais);
o risco para os titulares;
se houver risco, notificação à CNPD em 72 horas (art. 33.º); se o risco for elevado, comunicação aos titulares (art. 34.º);
em qualquer caso, registo interno da violação e da fundamentação (art. 33.º, n.º 5).

Prazos administrativos (Código do Procedimento Administrativo)

O art. 87.º, al. f), do CPA transfere para o dia útil seguinte o termo de um prazo que coincida com dia em que o serviço não funcione durante o período normal. Se uma falha de correio impede a prática de atos por via eletrónica, essa regra pode ser invocada — a avaliar pelo jurídico, caso a caso, com prova da indisponibilidade. Prazos judiciais e de contratação pública têm regras próprias, incluindo o justo impedimento.

Contratos e contratação pública

O cocontratante é normalmente um revendedor (Claranet, Inetum, Crayon, Rumos, RIS 2048, MEO, Vodafone, entre outros), que transmite os termos da Microsoft. Verificar no caderno de encargos se há níveis de serviço e sanções contratuais aplicáveis ao cocontratante.
Os créditos do SLA da Microsoft são o remédio contratual principal e têm de ser pedidos até ao fim do mês seguinte ao incidente.
Nas próximas aquisições: continuidade, portabilidade e plano de saída como requisitos (Parte I, ponto 9).

Plano de ação prioritário

As ações 1 a 3 são para hoje, com a falha ainda em curso; as restantes custam pouco e fazem-se em semanas.

#	Medida	Prioridade	Responsável	Prazo
1	Avaliar se a falha de 12-13/11 é incidente significativo e, se for, notificar o CNCS	Urgente	Responsável de cibersegurança	24 h após verificação
2	Avaliar a violação de dados (disponibilidade) e registar a decisão	Urgente	EPD	72 h
3	Enviar aviso anti-phishing a trabalhadores e publicar aviso aos munícipes	Urgente	Comunicação + Informática	Hoje
4	Pedir créditos SLA através do adjudicatário	Alta	Informática	31/12/2026
5	Configurar alertas de estado do M365 para endereço externo	Alta	Informática	Esta semana
6	Criar e testar lista SMS de trabalhadores e chefias	Alta	Informática + RH	2 semanas
7	Guardar contactos essenciais e plano fora do M365 (cifrado e em papel)	Alta	Informática	2 semanas
8	Rever contas de emergência: duas contas, FIDO2, credenciais na posse da entidade	Alta	Informática	2 semanas
9	Definir procedimento de atendimento em papel e aviso-tipo para os balcões	Alta	Atendimento ao munícipe	2 semanas
10	Ativar Outlook em cache e OneDrive offline nos postos críticos	Média	Informática	1 mês
11	Contratar caixa de correio institucional de contingência noutro fornecedor	Média	Informática + Contratação pública	1 mês
12	Publicar DMARC p=reject no domínio institucional	Média	Informática	1 mês
13	Confirmar qualificação RJCS; designar responsável de cibersegurança e ponto de contacto	Média	Presidente + Jurídico	1 mês
14	Mapear serviços críticos e tolerâncias, incluindo empresas municipais, juntas e escolas no mesmo tenant	Média	Chefias + Informática	2 meses
15	Verificar cobertura do seguro para falha de fornecedor cloud	Média	Serviços financeiros	2 meses
16	Incluir continuidade, portabilidade e plano de saída nas peças da próxima aquisição	Média	Contratação pública	Próxima renovação
17	Aprovar o plano no órgão executivo	Média	Presidente	2 meses
18	Exercício de mesa anual (dia útil sem M365)	Normal	Executivo + Informática + Proteção civil	1.º trimestre de 2027

Fontes

Incidente (consultadas na manhã de 13/11/2026):

Enquadramento legal:

Decreto-Lei n.º 125/2025, de 4 de dezembro (Diário da República) — arts. 2.º, 3.º, 6.º, 7.º e 61.º
DL 125/2025, articulado (PGD Lisboa), art. 7.º
NIS2 Portugal — entidades públicas relevantes e coimas
Código do Procedimento Administrativo, art. 87.º, al. f) — citado no Ac. TRC 255/16.9T8SCD.C1
Regulamento (UE) 2016/679 (RGPD), arts. 33.º e 34.º; Regulamento (UE) 2023/2854 (Regulamento dos Dados); Regulamento (UE) 2022/2554 (DORA) — EUR-Lex

Dados e documentos de base:

Extração de 250 contratos do portal BASE (ficheiro fornecido), publicados entre 29/05 e 12/11/2026
Plano de Contingência — Indisponibilidade Microsoft 365, Páginas Amarelas, 13/11/2026 (documento de partida)
CpC, “Apagão do Microsoft 365” e “Quando a cloud cai”, 13/11/2026