DL n.º 22/2025, de 19 de Março

::: DL n.º 22/2025, de 19 de Março Procuradoria-Geral Distrital de Lisboa --> --> Área reservada SIMP Procuradoria-Geral Regional de Lisboa PGR Lisboa PGRL Legislação Jurisprudência Contactos Início // Índice // Contactos // Links | Login Actualidade | Jurisprudência | Legislação Fórum |--> Institucional | --> pesquisa:

Jurisp. Relação Lisboa Interv. do MP Legislação Peças processuais Docs. da PGD Textos Comarcas Actualidade Destaques Por razões técnicas, este site será interrompido hoje, a partir das 19,00h.

O serviço será reposto amanhã de manhã. Pedimos desculpa pelo incómodo causado. --> CIDADÃO Menores e Família Trabalho e cível Incapacidades Em situação de crime Em situação de morte Em defesa da comunidade INFORMAÇÃO JURÍDICA Legislação Jurisprudência Fórum --> ACTIVIDADE Docs. da PGDL Cláusulas contratuais nulas MP na Relação de Lisboa --> O MP NO DISTRITO Os magistrados A PGD de Lisboa Os círculos judiciais As comarcas --> Início legislação Exibe diploma Legislação DL n.º 22/2025, de 19 de Março IDENTIFICAÇÃO, DESIGNAÇÃO E REFORÇO DA RESILIÊNCIA DAS ENTIDADES CRÍTICAS (versão actualizada) O diploma ainda não sofreu alterações --> Procurar no presente diploma:

A expressão exacta Ir para o art.:

Artigo 1.ºObjeto e âmbito de aplicação

Artigo 2.ºDefinições

Artigo 3.ºEntidades competentes

Artigo 4.ºCompetências do Conselho Nacional de Planeamento Civil de Emergência

Artigo 5.ºCompetências do Secretário-Geral do Sistema de Segurança Interna

Artigo 6.ºPontos de contacto com a Comissão Europeia

Artigo 7.ºEntidades sectoriais

Artigo 8.ºDeveres de cooperação

Artigo 9.ºCooperação no âmbito da cibersegurança

Artigo 10.ºSegurança da informação

Artigo 11.ºAvaliação nacional de risco

Artigo 12.ºEstratégia nacional para a resiliência das entidades críticas

Artigo 13.ºIdentificação de entidades críticas

Artigo 14.ºEfeito perturbador significativo

Artigo 15.ºProposta de designação de entidades críticas

Artigo 16.ºDesignação de entidade crítica

Artigo 17.ºNotificação da designação de entidade crítica

Artigo 18.º

Entidades críticas nos sectores dos serviços bancários, das infraestruturas do mercado financeiro e das infraestruturas digitais

Artigo 19.ºRevisão da designação de entidades críticas

Artigo 20.ºSubstituição da entidade crítica

Artigo 21.ºVenda ou cedência de infraestruturas críticas

Artigo 22.ºRevogação da designação da entidade crítica

Artigo 23.ºAvaliação de risco da entidade crítica

Artigo 24.ºPlano de resiliência

Artigo 25.ºAprovação do plano de resiliência

Artigo 26.ºRevisão do plano de resiliência

Artigo 27.ºAgentes de ligação da entidade crítica

Artigo 28.ºNotificação de incidentes

Artigo 29.ºExercícios

Artigo 30.ºPlano de segurança

Artigo 31.ºAgente de ligação da infraestrutura crítica

Artigo 32.ºMedidas especiais de segurança

Artigo 33.ºPedido de verificação de antecedentes

Artigo 34.ºÂmbito da verificação de antecedentes

Artigo 35.ºPlano de intervenção das forças de segurança

Artigo 36.ºArticulação entre planos

Artigo 37.ºInterdição de sobrevoo

Artigo 38.ºIdentificação e designação das entidades críticas de especial relevância europeia

Artigo 39.ºCompetências sancionatórias e de fiscalização

Artigo 40.ºPoderes de fiscalização

Artigo 41.ºAções de fiscalização

Artigo 42.ºRelatório da ação de fiscalização

Artigo 43.ºPoderes sancionatórios

Artigo 44.ºPrestação de informação

Artigo 45.ºFiscalização

Artigo 46.ºCompetência

Artigo 47.ºClassificação das contraordenações

Artigo 48.ºInfrações leves

Artigo 49.ºInfrações graves

Artigo 50.ºInfração muito grave

Artigo 51.ºCoimas e sanções pecuniárias compulsórias

Artigo 52.ºCumprimento do dever omitido

Artigo 53.ºAdvertência

Artigo 54.ºProcessamento e aplicação das coimas

Artigo 55.ºPlataforma eletrónica de registo

Artigo 56.ºDisposições transitórias

Artigo 57.ºNorma revogatória

ANEXO Nº de artigos : 58 Ver índice sistemático do diploma Imprimir todo o diploma SUMÁRIO Transpõe a Diretiva (UE) 2022/2557, relativa à identificação, designação e reforço da resiliência das entidades críticas. _____________________ Decreto-Lei n.º 22/2025, de 19 de março O Decreto-Lei n.º 20/2022, de 28 de janeiro, veio estabelecer os procedimentos para a identificação, designação, proteção e aumento da resiliência das infraestruturas críticas nacionais e europeias, concluindo-se, deste modo, a consolidação no direito nacional da transposição da Diretiva (UE) 2008/114/CE do Conselho, de 8 de dezembro de 2008, iniciada com o Decreto-Lei n.º 62/2011, de 9 de maio.

Não obstante, constatou-se que as entidades envolvidas na prestação de serviços essenciais se encontram, cada vez mais, sujeitas a requisitos divergentes impostos ao abrigo do direito nacional, verificando-se a necessidade de, face a um conjunto diversificado de riscos, melhorar a respetiva capacidade para prestar serviços essenciais. Nesta circunstância, o Parlamento Europeu e o Conselho entenderam por necessário alterar o quadro jurídico em vigor.

Assim, foi aprovada a Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, com vista ao aumento da resiliência das entidades críticas, estabelecendo regras mínimas harmonizadas para assegurar a prestação de serviços essenciais no mercado interno e melhorando a cooperação transfronteiriça entre autoridades competentes.

Com efeito, as entidades críticas que prestem serviços indispensáveis à manutenção de funções societais e atividades económicas vitais, designadamente no sector da energia, da saúde, da segurança pública, ou da produção, transformação e distribuição de produtos alimentares, devem ser capazes de prevenir, proteger, reagir, gerir e recuperar de incidentes com potencial para perturbar a prestação de serviços essenciais, sejam eles ataques híbridos, catástrofes, ameaças terroristas ou emergências de saúde pública.

A transposição ora operada dá resposta a esta exigência, identificando entidades intervenientes e definindo o quadro de responsabilidades no processo de identificação das entidades críticas.

O presente decreto-lei determina, ainda, as regras aplicáveis ao reforço da segurança das infraestruturas críticas operadas pelas entidades críticas.

Foram ouvidos a Associação Nacional de Municípios Portugueses, o Gabinete Nacional de Segurança, a Polícia de Segurança Pública, a Guarda Nacional Republicana, o Banco de Portugal, a Autoridade de Supervisão de Seguros e Fundos de Pensões e a Comissão do Mercado de Valores Mobiliários.

Foi promovida a audição do Sistema de Informações da República Portuguesa, da Polícia Marítima, da Comissão de Planeamento de Emergência da Energia, da Comissão de Planeamento de Emergência do Transporte Aéreo, da Comissão de Planeamento de Emergência dos Transportes Terrestres, da Comissão de Planeamento de Emergência do Transporte Marítimo, da Comissão de Planeamento de Emergência da Saúde, da Comissão de Planeamento de Emergência da Água e Resíduos, da Comissão de Planeamento de Emergência da Cibersegurança, da Comissão de Planeamento de Emergência das Comunicações, da Agência Espacial Portuguesa, da Comissão de Planeamento de Emergência da Agricultura e do Município do Porto.

Assim:

Nos termos da alínea a) do n.º 1 do artigo 198.º da Constituição, o Governo decreta o seguinte:

CAPÍTULO I

DISPOSIÇÕES GERAIS

Artigo 1.ºObjeto e âmbito de aplicação

1 - O presente decreto-lei transpõe para a ordem jurídica interna a Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa à resiliência das entidades críticas e que revoga a Diretiva 2008/114/CE do Conselho.

2 - O presente decreto-lei estabelece, ainda, os procedimentos de identificação, designação e reforço da resiliência das entidades críticas nacionais e de especial relevância europeia, que prestam serviços essenciais para a manutenção de funções societais ou atividades económicas vitais, da saúde e segurança pública ou do ambiente.

3 - O presente decreto-lei não se aplica às entidades da Administração Pública que exerçam as suas atividades nos domínios da segurança nacional, da segurança pública, da defesa, e às demais entidades excluídas no anexo ao presente decreto-lei e do qual faz parte integrante.

Artigo 2.ºDefinições

Para efeitos do presente decreto-lei, entende-se por:

Artigo 3.ºEntidades competentes

Para efeitos do disposto no presente decreto-lei, são entidades competentes o Conselho Nacional de Planeamento Civil de Emergência, em matéria de identificação e designação das entidades críticas e respetivas infraestruturas críticas, e o Secretário-Geral do Sistema de Segurança Interna, em matéria de reforço de resiliência das entidades críticas.

Artigo 4.ºCompetências do Conselho Nacional de Planeamento Civil de Emergência

1 - Compete ao Conselho Nacional de Planeamento Civil de Emergência:

2 - Para efeitos do disposto no número anterior, o Conselho Nacional de Planeamento Civil de Emergência pode solicitar parecer às entidades que considere relevantes.

Artigo 5.ºCompetências do Secretário-Geral do Sistema de Segurança Interna

1 - Compete ao Secretário-Geral do Sistema de Segurança Interna:

2 - O Secretário-Geral do Sistema de Segurança Interna pode solicitar colaboração às entidades que considere relevantes, para efeitos do disposto no número anterior.

3 - O Secretário-Geral do Sistema de Segurança Interna assegura e mantém atualizada a plataforma eletrónica de registo de informação de entidades críticas e infraestruturas críticas.

Artigo 6.ºPontos de contacto com a Comissão Europeia

1 - O Conselho Nacional de Planeamento Civil de Emergência constitui-se como o ponto de contacto nacional com a Comissão Europeia nas matérias relativas à identificação e designação de entidades críticas e assegura a representação de Portugal no Grupo para a Resiliência das Entidades Críticas que assiste a Comissão Europeia, no quadro da Diretiva (UE) 2022/2557, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022.

2 - O Conselho Nacional de Planeamento Civil de Emergência assegura ainda o envio:

Artigo 7.ºEntidades sectoriais

1 - As entidades sectoriais são responsáveis por propor ao Conselho Nacional de Planeamento Civil de Emergência, para aprovação:

2 - As entidades sectoriais consultam as entidades com competências de regulação ou supervisão, dos sectores ou subsectores respetivos, e que não integrem as entidades sectoriais.

3 - As entidades sectoriais podem ainda, no âmbito das respetivas atribuições, solicitar a colaboração de outras entidades consideradas relevantes.

Artigo 8.ºDeveres de cooperação

1 - As entidades competentes cooperam entre si para promover a aplicação do presente decreto-lei.

2 - As entidades sectoriais cooperam com as entidades competentes e as entidades críticas no aumento da resiliência destas últimas.

3 - As entidades competentes, as entidades sectoriais e as entidades críticas partilham o acesso às melhores práticas e metodologias disponíveis, bem como, sempre que possível, informação sobre os novos avanços técnicos relacionados com a resiliência das entidades críticas e, ainda, informações sobre ameaças e riscos.

Artigo 9.ºCooperação no âmbito da cibersegurança

1 - As entidades competentes cooperam com as autoridades competentes em matéria de cibersegurança, nomeadamente no que se refere à partilha de informação relativa a:

2 - Sempre que as autoridades competentes em matéria de cibersegurança exerçam as suas competências relativamente às entidades críticas indicadas no artigo 18.º, devem informar o Secretário-Geral do Sistema de Segurança Interna.

3 - Quando aplicável, o Secretário-Geral do Sistema de Segurança Interna pode solicitar às autoridades competentes em matéria de cibersegurança para exercerem as suas competências de supervisão e execução relativamente às entidades críticas indicadas no artigo 18.º

Artigo 10.ºSegurança da informação

1 - As informações relacionadas com a designação e reforço de resiliência das entidades críticas e respetivas infraestruturas críticas são objeto de avaliação com vista à eventual classificação de segurança, nos termos da legislação e normas de segurança aplicáveis à proteção e salvaguarda da informação classificada.

2 - A classificação da informação produzida no âmbito do presente decreto-lei, bem como a tramitação da informação classificada, compete:

3 - Sem prejuízo do disposto nos números anteriores, a designação das entidades críticas e das respetivas infraestruturas críticas, e a avaliação nacional de risco, no todo ou em parte, têm o grau de classificação de segurança mínimo de «Reservado».

4 - O grau de classificação de segurança atribuído é comunicado à entidade crítica, para todos os efeitos legais.

5 - Os agentes de ligação da entidade crítica, os agentes de ligação da infraestrutura crítica e as demais pessoas que, por força do presente decreto-lei, tratem informação classificada de grau «Confidencial» ou superior, de qualquer marca, têm de ser detentores, a todo o tempo, de uma credenciação de segurança emitida pela Autoridade Nacional de Segurança.

6 - O tratamento da informação classificada, nomeadamente a sua produção, utilização, partilha, arquivo ou armazenamento por parte das entidades críticas deve respeitar o regime da informação classificada, nomeadamente os requisitos das áreas de segurança da informação e dos sistemas de informação e comunicação.

CAPÍTULO II

QUADRO NACIONAL PARA A RESILIÊNCIA DAS ENTIDADES CRÍTICAS

Artigo 11.ºAvaliação nacional de risco

1 - A avaliação nacional de risco visa apoiar o processo de identificação das entidades críticas e a adoção de medidas de resiliência por parte destas entidades.

2 - A avaliação nacional de risco e as suas atualizações são aprovadas por resolução do Conselho de Ministros, sob proposta do Secretário-Geral do Sistema de Segurança Interna.

3 - A proposta a que se refere o número anterior é elaborada pelo Secretário-Geral do Sistema de Segurança Interna com os contributos das seguintes entidades:

4 - A avaliação nacional de risco, tendo em conta a lista de serviços essenciais, avalia os riscos naturais e de origem humana pertinentes, incluindo os de natureza intersectorial ou transfronteiriça, de saúde pública, de ameaças antagonistas designadamente ameaças híbridas ou outras infrações terroristas como previsto na Lei n.º 52/2003, de 22 de agosto, na sua redação atual.

5 - Na avaliação nacional de risco devem ser tidos em conta, pelo menos, os seguintes elementos:

7 - A avaliação nacional de risco é atualizada, pelo menos, de quatro em quatro anos, cabendo ao Secretário-Geral do Sistema de Segurança Interna transmitir à Comissão Europeia as informações pertinentes sobre os tipos de riscos identificados e os resultados da sua avaliação, discriminados por sector e subsector estabelecidos no anexo ao presente decreto-lei.

Artigo 12.ºEstratégia nacional para a resiliência das entidades críticas

1 - A estratégia nacional para a resiliência das entidades críticas estabelece o enquadramento, as medidas políticas, os objetivos estratégicos e as linhas de ação nesta matéria, considerando a avaliação nacional de risco.

2 - A estratégia nacional para a resiliência das entidades críticas e as sucessivas revisões são aprovadas por resolução do Conselho de Ministros, sob proposta do Secretário-Geral do Sistema de Segurança Interna em colaboração com o Conselho Nacional de Planeamento Civil de Emergência.

3 - A estratégia nacional para a resiliência das entidades críticas contempla os seguintes elementos:

4 - A estratégia nacional para a resiliência das entidades críticas é concebida de modo a integrar, sem descontinuidades, as políticas existentes e, sempre que possível, ter em conta as estratégias nacionais e sectoriais, planos ou documentos similares pertinentes.

5 - A estratégia nacional para a resiliência das entidades críticas é revista, pelo menos, de quatro em quatro anos e é comunicada pelo Secretário-Geral do Sistema de Segurança Interna à Comissão Europeia no prazo de três meses a contar da sua adoção.

Artigo 13.ºIdentificação de entidades críticas

No processo de identificação de entidades críticas são considerados os resultados da avaliação nacional de risco e da estratégia nacional para a resiliência das entidades críticas, sendo aplicados, cumulativamente, os seguintes critérios:

Artigo 14.ºEfeito perturbador significativo

Ao determinar a importância de um efeito perturbador produzido por um incidente, são considerados os seguintes critérios:

Artigo 15.ºProposta de designação de entidades críticas

1 - Com base nos critérios de identificação previamente aprovados nos termos do artigo 4.º, as entidades sectoriais submetem ao Conselho Nacional de Planeamento Civil de Emergência uma proposta fundamentada quanto às entidades que devem ser designadas como entidades críticas.

2 - Após avaliação e aprovação das propostas das entidades sectoriais, o Conselho Nacional de Planeamento Civil de Emergência comunica às entidades candidatas a sua potencial designação como entidades críticas, notificando-as para se pronunciarem, querendo, fixando um prazo não inferior a 10 dias para o efeito.

3 - No caso de a entidade candidata se pronunciar desfavoravelmente, o Conselho Nacional de Planeamento Civil de Emergência remete a pronúncia à entidade sectorial para, no prazo de 60 dias, reanalisar e adequar a proposta fundamentada, se necessário.

Artigo 16.ºDesignação de entidade crítica

1 - Decorrido o prazo referido no n.º 2 ou no n.º 3, ambos do artigo anterior, o Conselho Nacional de Planeamento Civil de Emergência procede à designação das entidades críticas e respetivas infraestruturas críticas no prazo máximo de 30 dias.

2 - O Conselho Nacional de Planeamento Civil de Emergência pode designar outras entidades críticas e respetivas infraestruturas críticas para além das propostas pelas entidades sectoriais quando se verifique pelo menos uma das seguintes situações:

3 - A designação das entidades críticas referidas no número anterior é precedida da comunicação prevista no n.º 2 do artigo 15.º

Artigo 17.ºNotificação da designação de entidade crítica

1 - O Conselho Nacional de Planeamento Civil de Emergência notifica a entidade da sua designação como entidade crítica, no prazo máximo de 10 dias após a respetiva designação, informando-a das obrigações a cumprir ao abrigo do presente decreto-lei.

2 - Da notificação de designação de entidade crítica é dado conhecimento simultâneo às seguintes entidades:

3 - A comunicação prevista na alínea c) do número anterior deve especificar, sendo esse o caso, que a entidade crítica em causa se encontra abrangida pelo artigo 18.º

Artigo 18.º

Entidades críticas nos sectores dos serviços bancários, das infraestruturas do mercado financeiro e das infraestruturas digitais 1 - Às entidades críticas pertencentes aos sectores dos serviços bancários, das infraestruturas do mercado financeiro, do segurador e dos fundos de pensões e das infraestruturas digitais, não se aplicam os capítulos iii, iv e v do presente decreto-lei.

2 - Para efeitos da adoção de medidas com vista ao reforço da resiliência das entidades críticas designadas no sector das infraestruturas digitais aplica-se o disposto na legislação em vigor em matéria de cibersegurança.

Artigo 19.ºRevisão da designação de entidades críticas

1 - As entidades sectoriais reveem o processo de identificação das entidades críticas de quatro em quatro anos, a contar do prazo fixado no n.º 3 do artigo 56.º, procedendo à identificação:

2 - Sem prejuízo da revisão referida no número anterior, cada entidade sectorial monitoriza permanentemente alterações substanciais, em curso ou previstas, passíveis de ter impacto na prestação do serviço essencial ou serviços essenciais do seu sector ou subsector, e avalia a existência de entidades candidatas a serem designadas como entidades críticas ou entidades críticas cuja designação seja passível de ser revogada.

Artigo 20.ºSubstituição da entidade crítica

1 - Para efeitos do presente decreto-lei, considera-se que há substituição da entidade crítica quando se verifica uma das seguintes situações:

2 - A entidade crítica que for substituída nos termos do número anterior deve comunicar tal facto às entidades competentes, bem como às respetivas entidades sectoriais, com pelo menos 10 dias de antecedência relativamente à produção de efeitos, indicando os dados de identificação da entidade que a substituirá.

3 - A entidade crítica que for substituída transmite à entidade adquirente, ou cessionária, a informação constante do plano de resiliência que seja relevante, designadamente em matéria de segurança.

4 - O Conselho Nacional de Planeamento Civil de Emergência notifica a nova entidade do seu estatuto de entidade crítica, bem como dos direitos e deveres que lhe são aplicáveis, no prazo de 30 dias a contar da data da receção da comunicação a que se refere o n.º 2.

5 - A entidade crítica notificada nos termos do número anterior deve:

6 - O plano de resiliência atualizado deve refletir as alterações decorrentes da substituição e as medidas adotadas para garantir a continuidade e a qualidade do serviço essencial.

Artigo 21.ºVenda ou cedência de infraestruturas críticas

1 - A venda ou cedência, por parte de uma entidade crítica, de uma ou mais das suas infraestruturas críticas é objeto de comunicação prévia às entidades competentes.

2 - A comunicação a que se refere o número anterior deve ser realizada com, pelo menos, 30 dias de antecedência relativamente à produção de efeitos do negócio jurídico em causa, identificando a entidade adquirente.

3 - Em face da alienação prevista, o Conselho Nacional de Planeamento Civil de Emergência solicita à respetiva entidade sectorial a reavaliação da qualidade de entidade crítica.

4 - A entidade sectorial decide também a necessidade de avaliação relativamente à entidade adquirente, aplicando-se o previsto no n.º 1 do artigo 15.º

Artigo 22.ºRevogação da designação da entidade crítica

1 - A designação como entidade crítica pode ser revogada pelo Conselho Nacional de Planeamento Civil de Emergência, na sequência de proposta fundamentada:

3 - No caso previsto no número anterior, o Conselho Nacional de Planeamento Civil de Emergência solicita à entidade sectorial a análise do pedido de revogação.

4 - Nos casos previstos nos n.os 1 e 2, a revogação é notificada à entidade crítica, sendo dado conhecimento ao Secretário-Geral do Sistema de Segurança Interna, à respetiva entidade sectorial, às entidades competentes no âmbito da cibersegurança, às entidades previstas no n.º 2 do artigo 7.º, e aos presidentes das câmaras municipais quanto às infraestruturas críticas daquela entidade designadas e localizadas nas respetivas áreas geográficas de responsabilidade.

5 - A notificação referida do número anterior é realizada num prazo máximo de 10 dias após a revogação da designação da entidade crítica, devendo prever a informação de que a partir da data de receção aquela entidade deixa de estar sujeita às obrigações constantes no presente decreto-lei.

CAPÍTULO III

RESILIÊNCIA DAS ENTIDADES CRÍTICAS

Artigo 23.ºAvaliação de risco da entidade crítica

1 - No prazo de nove meses a contar da data da receção da notificação da sua designação como entidade crítica, a entidade em causa efetua a respetiva avaliação de risco.

2 - A avaliação de risco deve ter em conta os elementos pertinentes da avaliação nacional de risco, bem como as relações de interdependência com outros sectores, na medida em que os serviços essenciais desta são afetados por outros sectores ou os outros sectores são afetados pelos serviços essenciais que esta fornece.

3 - Sempre que uma entidade crítica tiver outras avaliações de risco ou elaborado documentos em conformidade com as obrigações estabelecidas noutros atos jurídicos que sejam relevantes para a sua avaliação de risco, pode utilizar essas avaliações e documentos para efeitos do cumprimento dos requisitos previstos no presente artigo.

4 - A avaliação de risco efetuada pela entidade crítica inclui obrigatoriamente a avaliação dos riscos específicos relativos a cada uma das suas infraestruturas críticas.

5 - As avaliações de risco da entidade crítica são atualizadas, pelo menos de quatro em quatro anos, e sempre que se justifique.

Artigo 24.ºPlano de resiliência

1 - Cada entidade crítica elabora e implementa um plano de resiliência, que tem por base a avaliação de risco prevista no artigo anterior, a qual deve constar em anexo ao plano.

2 - O plano de resiliência integra medidas técnicas, de segurança e de organização necessárias para assegurar a sua resiliência, incluindo as medidas necessárias para:

3 - O plano de resiliência engloba um plano de segurança por cada infraestrutura crítica, a elaborar nos termos do artigo 30.º 4 - Por iniciativa própria, ou a pedido da entidade crítica, o Secretário-Geral do Sistema de Segurança Interna, mediante consulta prévia à entidade reguladora do sector de atividade em causa, quando exista, pode dispensar a elaboração do plano de resiliência ou de algum dos seus componentes ou anexos, caso o respetivo conteúdo se encontre previsto em instrumentos sectoriais específicos.

5 - O Secretário-Geral do Sistema de Segurança Interna produz e divulga orientações para a elaboração dos planos de resiliência das entidades críticas.

Artigo 25.ºAprovação do plano de resiliência

1 - No prazo de 10 meses a contar da data da receção da notificação a que se refere o artigo 17.º, as entidades críticas submetem o seu plano de resiliência à aprovação do Secretário-Geral do Sistema de Segurança Interna.

2 - A aprovação do plano de resiliência implica a aprovação de cada um dos planos de segurança das infraestruturas críticas que o integram.

3 - A aprovação do plano de resiliência carece dos pareceres, emitidos a pedido do Secretário-Geral do Sistema de Segurança Interna, das seguintes entidades:

4 - As entidades referidas nas alíneas do número anterior podem, com vista à emissão do respetivo parecer, efetuar visitas técnicas à entidade para verificação das medidas previstas nos respetivos planos de resiliência.

5 - Os pareceres referidos no número anterior são emitidos no prazo máximo de 90 dias a contar do pedido do Secretário-Geral do Sistema de Segurança Interna.

6 - O Secretário-Geral do Sistema de Segurança Interna pode solicitar a colaboração de outras entidades públicas com competência em razão da matéria.

7 - Findo o prazo referido no n.º 5, o Secretário-Geral do Sistema de Segurança Interna emite decisão no prazo de 20 dias.

8 - Caso a decisão seja de não aprovação, o Secretário-Geral do Sistema de Segurança Interna notifica a entidade crítica sobre as alterações a efetuar ao plano de resiliência, estabelecendo um prazo não inferior a 30 dias para nova submissão.

Artigo 26.ºRevisão do plano de resiliência

1 - O plano de resiliência é revisto no prazo máximo de quatro anos a contar da sua aprovação, ou sempre que se justifique, nomeadamente em caso de:

2 - Face a circunstâncias excecionais devidamente fundamentadas, a entidade crítica pode solicitar ao Secretário-Geral do Sistema de Segurança Interna a prorrogação do prazo de entrega do plano de resiliência.

Artigo 27.ºAgentes de ligação da entidade crítica

1 - As entidades críticas designam, como agente de ligação, uma pessoa responsável pela articulação institucional, em matéria de resiliência, com as entidades previstas no presente decreto-lei e comunicam essa designação ao Secretário-Geral do Sistema de Segurança Interna, ao Conselho Nacional de Planeamento Civil de Emergência e à respetiva entidade sectorial, no prazo de 10 dias após a designação da entidade como entidade crítica.

2 - Ao agente de ligação da entidade crítica compete:

3 - O Secretário-Geral do Sistema de Segurança Interna promove, diretamente ou através dos demais órgãos e entidades que integram o Sistema de Segurança Interna, a troca de informações pertinentes relativas às ameaças e riscos para as entidades críticas com os respetivos agentes de ligação, sem prejuízo dos regimes legais aplicáveis aos segredos de Estado e de justiça.

Artigo 28.ºNotificação de incidentes

1 - Perante incidentes que perturbem significativamente, ou sejam suscetíveis de perturbar, a prestação de serviços essenciais ou o funcionamento das infraestruturas críticas que os asseguram, as entidades críticas acionam os seus planos e notificam de imediato o Secretário-Geral do Sistema de Segurança Interna.

2 - As entidades críticas notificam ainda o Secretário-Geral do Sistema de Segurança Interna, no mais curto prazo de tempo possível, e até ao máximo de 24 horas, dos seguintes elementos de informação, ou a sua estimativa, quando tal não for possível apurar com rigor neste prazo:

3 - A notificação de incidentes ao Secretário-Geral do Sistema de Segurança Interna nos termos do presente artigo não dispensa nem substitui a comunicação imediata aos órgãos de polícia criminal territorialmente competentes sempre que existam suspeitas da prática de crime, para efeitos de preservação dos meios de prova e articulação subsequente nos termos da Lei n.º 49/2008, de 27 de agosto, na sua redação atual.

4 - No prazo máximo de um mês, as entidades críticas remetem ao Secretário-Geral do Sistema de Segurança Interna um relatório pormenorizado contemplando todas as informações disponíveis necessárias para complementar a notificação inicial e fornecer uma visão completa do incidente.

5 - Se um incidente tiver ou puder ter um impacto significativo na continuidade da prestação de serviços essenciais a um ou mais Estados-Membros, o Secretário-Geral do Sistema de Segurança Interna informa, de imediato, os pontos de contacto único dos países visados.

6 - O Secretário-Geral do Sistema de Segurança Interna notifica, de imediato, a Comissão Europeia perante incidentes que tenham ou possam ter impacto significativo na continuidade da prestação de serviços essenciais a seis ou mais Estados-Membros.

7 - O Secretário-Geral do Sistema de Segurança Interna estabelece instruções relativamente aos mecanismos de notificação.

Artigo 29.ºExercícios

1 - As entidades críticas realizam, pelo menos, um exercício durante a vigência do plano de resiliência aprovado, visando testar a adequação das medidas, procedimentos e ações constantes dos mesmos.

2 - Durante o período referido no número anterior, são testados obrigatoriamente todos os planos de segurança, devendo ser envolvidas as forças de segurança e os serviços municipais de proteção civil territorialmente competentes.

3 - A realização do exercício a que se referem os números anteriores é objeto de comunicação ao Secretário-Geral do Sistema de Segurança Interna, com a antecedência mínima de 20 dias.

4 - As entidades sectoriais promovem a realização de exercícios ao seu nível, envolvendo as entidades críticas, o Secretário-Geral do Sistema de Segurança Interna e o Conselho Nacional de Planeamento Civil de Emergência, bem como outras entidades relevantes em razão da matéria.

5 - Após a realização dos exercícios previstos nos n.os 1 e 3, é elaborado relatório que é remetido ao Secretário-Geral do Sistema de Segurança Interna no prazo máximo de 30 dias.

6 - O Secretário-Geral do Sistema de Segurança Interna, em articulação com o Conselho Nacional de Planeamento Civil de Emergência e com as entidades sectoriais, promove a realização de exercícios transversais, podendo envolver entidades críticas e outras entidades relevantes em razão da matéria, assim como, quando pertinente, entidades de outros Estados-Membros da União Europeia.

SECÇÃO I DAS INFRAESTRUTURAS CRÍTICAS

Artigo 30.ºPlano de segurança

1 - Cada infraestrutura crítica dispõe de um plano de segurança que prevê as medidas técnicas de segurança e de organização necessárias, tendo por base a avaliação de risco prevista no artigo 23.º 2 - O plano de segurança inclui:

3 - As contramedidas e procedimentos de segurança permanentes previstos na alínea c) do número anterior incluem, quando aplicável:

4 - O plano de segurança de cada infraestrutura crítica é parte integrante do plano de resiliência da entidade crítica que a opera, correspondendo cada plano de segurança a um anexo do plano de resiliência.

Artigo 31.ºAgente de ligação da infraestrutura crítica

1 - A entidade crítica designa um agente de ligação para cada infraestrutura crítica que detêm ou exploram, a quem compete:

2 - A entidade crítica comunica essa designação ao Secretário-Geral do Sistema de Segurança Interna no prazo de 10 dias após a sua designação como entidade crítica, ou sempre que ocorra nova designação, cabendo ao Secretário-Geral do Sistema de Segurança Interna transmitir essa informação à Autoridade Nacional de Emergência e Proteção Civil ou ao serviço regional de proteção civil territorialmente competente, às forças de segurança e aos serviços de proteção civil territorialmente competentes.

3 - Pode ser designado o mesmo agente de ligação de uma infraestrutura para várias infraestruturas críticas, desde que fiquem asseguradas as funções previstas no n.º 1, bem como a disponibilidade de contacto em caso de incidente.

4 - O agente de ligação da entidade crítica pode constituir-se simultaneamente como agente de ligação de uma ou várias infraestruturas críticas, nomeadamente quando a elevada complexidade e dimensão das infraestruturas o recomende ou as funções referidas no n.º 2 requeiram especiais competências e conhecimentos técnicos das infraestruturas e do seu funcionamento.

Artigo 32.ºMedidas especiais de segurança

As medidas especiais de segurança, sempre que tecnicamente possíveis, contemplam:

Artigo 33.ºPedido de verificação de antecedentes

1 - As entidades críticas, através de pedido fundamentado, solicitam ao Secretário-Geral do Sistema de Segurança Interna a verificação de antecedentes relativos a pessoas que:

2 - O pedido de verificação de antecedentes é necessariamente acompanhado por declaração, escrita ou eletrónica, da pessoa objeto de verificação, autorizando o Secretário-Geral do Sistema de Segurança Interna a promover a verificação de antecedentes e a solicitar quaisquer informações naquele âmbito às autoridades nacionais e internacionais.

3 - Os pedidos de verificação de antecedentes devem ser proporcionais e estritamente limitados ao necessário, sendo realizadas exclusivamente para avaliar um potencial risco de segurança para a entidade crítica em questão.

4 - As entidades críticas, em momento prévio ao pedido de verificação de antecedentes, desenvolvem todos os esforços com vista à confirmação das informações referidas nas alíneas a) a c) do n.º 1 do artigo seguinte.

5 - Compete ao Secretário-Geral do Sistema de Segurança Interna decidir, em face do objeto e da fundamentação apresentada, sobre a admissibilidade dos pedidos de verificação de antecedentes.

6 - Sempre que tiver conhecimento de informação relativa a um potencial risco de segurança para uma entidade crítica, o Secretário-Geral do Sistema de Segurança Interna pode promover verificações de antecedentes.

Artigo 34.ºÂmbito da verificação de antecedentes

1 - A verificação de antecedentes incide sobre os seguintes elementos, cujos comprovativos são apresentados pela pessoa visada:

2 - No âmbito da verificação de antecedentes, o Secretário-Geral do Sistema de Segurança Interna recorre aos elementos que se encontrem à disposição das autoridades nacionais competentes e que sejam pertinentes para avaliar um potencial risco de segurança para a entidade crítica em questão.

3 - O Secretário-Geral do Sistema de Segurança Interna pode ainda solicitar informação às autoridades nacionais e europeias inseridas no Sistema Europeu de Informação sobre Registos Criminais e demais autoridades internacionais.

4 - O Secretário-Geral do Sistema de Segurança Interna notifica a entidade crítica sobre o resultado da verificação de antecedentes.

Artigo 35.ºPlano de intervenção das forças de segurança

1 - A força de segurança territorialmente competente elabora e comunica, ao Secretário-Geral do Sistema de Segurança Interna, um plano de intervenção para cada infraestrutura crítica situada na sua área de responsabilidade.

2 - O Secretário-Geral do Sistema de Segurança Interna, ouvidas as forças e serviços de segurança, define conteúdos para a elaboração dos planos de intervenção, com vista à sua uniformidade.

Artigo 36.ºArticulação entre planos

Os planos de intervenção elaborados pelas forças de segurança, bem como os planos municipais de emergência de proteção civil elaborados pela autoridade de proteção civil territorialmente competente, têm em conta a existência de infraestruturas críticas localizadas nas áreas geográficas da sua competência.

Artigo 37.ºInterdição de sobrevoo

1 - As forças de segurança territorialmente competentes podem, no âmbito da elaboração do respetivo plano de intervenção, e após auscultação da entidade crítica, propor a implementação de medidas restritivas do espaço aéreo situado por cima das respetivas infraestruturas críticas e área envolvente.

2 - A entidade crítica pode, por iniciativa própria, requerer ao Secretário-Geral do Sistema de Segurança Interna a implementação de medidas restritivas do espaço aéreo situado por cima das respetivas infraestruturas críticas, tendo como fundamento a avaliação de risco.

3 - Nos casos referidos no n.º 1, o Secretário-Geral do Sistema de Segurança Interna remete a proposta à Autoridade Aeronáutica Nacional, para avaliação.

4 - Nos casos referidos no n.º 2, e sustentado no parecer positivo da força de segurança territorialmente competente, o Secretário-Geral do Sistema de Segurança Interna remete o pedido à Autoridade Aeronáutica Nacional para avaliação.

5 - Quando não estejam em causa situações de urgência, a decisão resultante da avaliação prevista no número anterior é precedida de parecer, não vinculativo, da Autoridade Nacional para a Aviação Civil, a emitir no prazo que lhe for fixado para o efeito pela Autoridade Aeronáutica Nacional.

6 - Sem prejuízo do número anterior, a Autoridade Aeronáutica Nacional comunica à Autoridade Nacional para a Aviação Civil a decisão resultante da avaliação prevista no n.º 4.

CAPÍTULO IV

ENTIDADES CRÍTICAS DE ESPECIAL RELEVÂNCIA EUROPEIA

Artigo 38.ºIdentificação e designação das entidades críticas de especial relevância europeia

1 - São entidades críticas de especial relevância europeia as entidades que, cumulativamente:

2 - As entidades sectoriais identificam, com base nos critérios previstos no número anterior, as entidades críticas com potencial para serem designadas como entidades críticas de especial relevância europeia.

3 - As entidades sectoriais informam o Conselho Nacional de Planeamento Civil de Emergência das entidades críticas selecionadas nos termos do número anterior, quais os serviços essenciais prestados e em que Estados-Membros, informação que será remetida pelo Conselho Nacional de Planeamento Civil de Emergência à Comissão Europeia.

4 - Caso a Comissão Europeia determine que a entidade crítica é de especial relevância europeia, compete ao Conselho Nacional de Planeamento Civil de Emergência, em seu nome, proceder à notificação da entidade crítica dessa qualidade.

5 - Da notificação referida no número anterior, é dado conhecimento simultâneo:

CAPÍTULO V

FISCALIZAÇÃO SECÇÃO I COMPETÊNCIAS

Artigo 39.ºCompetências sancionatórias e de fiscalização

As competências de fiscalização e de aplicação das sanções previstas no presente decreto-lei cabem ao Secretário-Geral do Sistema de Segurança Interna.

Artigo 40.ºPoderes de fiscalização

No exercício das suas competências de fiscalização compete ao Secretário-Geral do Sistema de Segurança Interna, designadamente:

Artigo 41.ºAções de fiscalização

1 - Para avaliar o cumprimento das obrigações decorrentes do presente decreto-lei, bem como a efetiva implementação das medidas adotadas pelas entidades críticas de acordo com o plano de resiliência aprovado, compete ao Secretário-Geral do Sistema de Segurança Interna determinar a realização dos seguintes tipos de ações de fiscalização:

2 - Compete, ainda, ao Secretário-Geral do Sistema de Segurança Interna determinar a supervisão remota das medidas adotadas pelas entidades críticas.

3 - As ações de fiscalização previstas no n.º 1 são conduzidas com observância do princípio do contraditório e objeto de comunicação prévia, ao agente de ligação da entidade crítica visada, com a antecedência mínima de sete dias.

4 - Da comunicação referida no número anterior deve constar o tipo de ação a realizar, os seus objetivos gerais, a data prevista para o seu início e a equipa designada para o efeito.

5 - A comunicação prévia referida nos números anteriores pode ser dispensada, por despacho fundamentado do Secretário-Geral do Sistema de Segurança Interna, em caso de necessidade ou quando a ação de fiscalização for determinada com caráter de urgência.

Artigo 42.ºRelatório da ação de fiscalização

1 - De cada ação de fiscalização é elaborado um relatório final que integra os resultados do exercício do contraditório, do qual, após homologação pelo Secretário-Geral do Sistema de Segurança Interna, é dado conhecimento ao agente de ligação da entidade crítica.

2 - Sem prejuízo da possibilidade de imposição de sanções prevista no artigo seguinte, o Secretário-Geral do Sistema de Segurança Interna pode, no relatório final, recomendar às entidades críticas visadas a adoção, dentro de um prazo razoável, de medidas concretas para remediar qualquer desconformidade com as obrigações impostas pelo presente decreto-lei.

3 - As medidas a que se refere o número anterior devem ser necessárias e proporcionais, tendo em conta a gravidade da violação verificada.

4 - As entidades visadas estão obrigadas a transmitir as informações sobre o grau de implementação das medidas propostas.

Artigo 43.ºPoderes sancionatórios

1 - Na sequência da realização das ações de fiscalização e no exercício dos seus poderes sancionatórios compete ao Secretário-Geral do Sistema de Segurança Interna determinar a instauração de processos de contraordenação e a aplicação das coimas e outras sanções previstas no presente decreto-lei.

2 - Incumbe ainda ao Secretário-Geral do Sistema de Segurança Interna participar às autoridades competentes em razão da matéria, os factos de que venha a tomar conhecimento no desempenho das suas funções e que indiciem a prática de infrações cuja apreciação e punição não seja da sua competência.

Artigo 44.ºPrestação de informação

O Secretário-Geral do Sistema de Segurança Interna, se necessário, solicita às entidades críticas designadas ao abrigo do presente decreto-lei:

Artigo 45.ºFiscalização

No exercício das suas funções de fiscalização, o Secretário-Geral do Sistema de Segurança Interna é coadjuvado pelas autoridades policiais e outras autoridades ou serviços públicos cuja colaboração solicite.

Artigo 46.ºCompetência

1 - A aplicação de advertência, de coimas, bem como o arquivamento dos processos de contraordenação, são da competência do Secretário-Geral do Sistema de Segurança Interna.

2 - As competências previstas no número anterior podem ser delegadas, com possibilidade de subdelegação.

SECÇÃO II COIMAS

Artigo 47.ºClassificação das contraordenações

Para determinação da coima aplicável e tendo em conta a relevância dos interesses violados, as contraordenações classificam-se em leves, graves e muito graves.

Artigo 48.ºInfrações leves

Constituem infrações leves:

Artigo 49.ºInfrações graves

Constituem infrações graves:

Artigo 50.ºInfração muito grave

Constitui infração muito grave o incumprimento da obrigação de submissão dos planos e respetivas revisões, prevista na alínea b) do n.º 5 do artigo 20.º e no n.º 1 do artigo 25.º

Artigo 51.ºCoimas e sanções pecuniárias compulsórias

O montante das coimas e os respetivos escalões, bem como das sanções pecuniárias compulsórias, são definidos em diploma próprio.

Artigo 52.ºCumprimento do dever omitido

1 - Sempre que a contraordenação consista na omissão de um dever, o pagamento da coima não dispensa o infrator do seu cumprimento, se este ainda for possível.

2 - Nos casos referidos no número anterior, o infrator pode ser sujeito à injunção de cumprir o dever em causa, sob pena de aplicação de uma sanção pecuniária compulsória.

3 - Para efeitos do disposto no número anterior, considera-se sanção pecuniária compulsória a imposição ao agente do pagamento de uma quantia pecuniária por cada dia de incumprimento que se verifique para além do prazo fixado para o cumprimento da obrigação.

Artigo 53.ºAdvertência

1 - Previamente à instauração do processo contraordenacional, o Secretário-Geral do Sistema de Segurança Interna pode advertir o infrator, com a indicação da infração verificada, das medidas recomendadas para reparar a situação e do prazo para o seu cumprimento.

2 - O Secretário-Geral do Sistema de Segurança Interna notifica ou entrega imediatamente a advertência ao infrator para que a irregularidade seja sanada, avisando-o de que o incumprimento das medidas recomendadas determina a instauração de processo de contraordenação e influi na determinação da medida da coima.

3 - Sanada a irregularidade, o processo é arquivado.

4 - A decisão de aplicação de advertência prevista no presente artigo não constitui uma decisão condenatória.

Artigo 54.ºProcessamento e aplicação das coimas

1 - O processamento das contraordenações e a aplicação das coimas compete ao Secretário-Geral do Sistema de Segurança Interna.

2 - O produto das coimas é repartido da seguinte forma:

CAPÍTULO VI

DISPOSIÇÕES FINAIS E TRANSITÓRIAS

Artigo 55.ºPlataforma eletrónica de registo

1 - O Secretário-Geral do Sistema de Segurança Interna cria a plataforma eletrónica de registo de informação de entidades críticas e infraestruturas críticas e assegura o seu funcionamento.

2 - A plataforma eletrónica de registo integra informação classificada e compreende:

3 - Para além do Secretário-Geral do Sistema de Segurança Interna, o Conselho Nacional de Planeamento Civil de Emergência, as forças de segurança, os serviços de informações de segurança, a Autoridade Nacional de Emergência e Proteção Civil, os serviços regionais de proteção civil e o Centro Nacional de Cibersegurança acedem e asseguram a atualização da informação da plataforma eletrónica de registo no âmbito das suas competências.

4 - Mediante avaliação por parte do Secretário-Geral do Sistema de Segurança Interna podem ainda aceder e efetuar registos na plataforma eletrónica de registo as entidades sectoriais e outras entidades que se afigurem relevantes.

Artigo 56.ºDisposições transitórias

1 - Até 17 de janeiro de 2026 são aprovadas a estratégia nacional para a resiliência das entidades críticas e a avaliação nacional de risco.

2 - Até à aprovação dos documentos referidos no número anterior mantêm-se em vigor os procedimentos para identificação, designação, proteção e aumento da resiliência das infraestruturas críticas nacionais e europeias estabelecidos pelo Decreto-Lei n.º 20/2022, de 28 de janeiro.

3 - Até 17 de julho de 2026 são designadas as entidades críticas para os sectores e subsectores estabelecidos no anexo ao presente decreto-lei.

4 - Os planos de segurança dos operadores de infraestruturas críticas, aprovados até à data da entrada em vigor do presente decreto-lei, mantêm-se válidos até à concretização do processo de designação das entidades críticas e da aprovação dos respetivos planos de resiliência.

5 - Os operadores de infraestruturas críticas que não venham a ser designados como entidades críticas ao abrigo do presente decreto-lei são notificados da cessação das suas obrigações pelo Conselho Nacional de Planeamento Civil de Emergência.

Artigo 57.ºNorma revogatória

Sem prejuízo do disposto no n.º 2 do artigo anterior, são revogados os capítulos i e ii do Decreto-Lei n.º 20/2022, de 28 de janeiro .

Visto e aprovado em Conselho de Ministros de 9 de janeiro de 2025. - Luís Montenegro - Inês Carmelo Rosa Calado Lopes Domingos - Joaquim Miranda Sarmento - Manuel Castro Almeida - Nuno Melo - Rita Alarcão Júdice - Margarida Blasco - Fernando Alexandre - Ana Paula Martins - Miguel Martinez de Castro Pinto Luz - Maria da Graça Carvalho - Margarida Balseiro Lopes - José Manuel Fernandes.

Promulgado em 10 de março de 2025.

Publique-se.

O Presidente da República, Marcelo Rebelo de Sousa.

Referendado em 12 de março de 2025.

O Primeiro-Ministro, Luís Montenegro.

ANEXO [a que se referem o n.º 3 do artigo 1.º, as alíneas c), d) e j) do artigo 2.º, a alínea c) do n.º 5 e o n.º 7 do artigo 11.º, a alínea c) do artigo 13.º, a alínea b) do artigo 14.º e o n.º 3 do artigo 56.º] Sectores e subsectores de entidades críticas, serviços essenciais e respetivas entidades sectoriais (ver documento original) Páginas: © Copyright 2026. Todos os direitos reservados Desenvolvido por Javali