DL n.º 125/2025, de 04 de Dezembro

::: DL n.º 125/2025, de 04 de Dezembro Procuradoria-Geral Distrital de Lisboa --> --> Área reservada SIMP Procuradoria-Geral Regional de Lisboa PGR Lisboa PGRL Legislação Jurisprudência Contactos Início // Índice // Contactos // Links | Login Actualidade | Jurisprudência | Legislação Fórum |--> Institucional | --> pesquisa:

Jurisp. Relação Lisboa Interv. do MP Legislação Peças processuais Docs. da PGD Textos Comarcas Actualidade Destaques Por razões técnicas, este site será interrompido hoje, a partir das 19,00h.

O serviço será reposto amanhã de manhã. Pedimos desculpa pelo incómodo causado. --> CIDADÃO Menores e Família Trabalho e cível Incapacidades Em situação de crime Em situação de morte Em defesa da comunidade INFORMAÇÃO JURÍDICA Legislação Jurisprudência Fórum --> ACTIVIDADE Docs. da PGDL Cláusulas contratuais nulas MP na Relação de Lisboa --> O MP NO DISTRITO Os magistrados A PGD de Lisboa Os círculos judiciais As comarcas --> Início legislação Exibe diploma Legislação DL n.º 125/2025, de 04 de Dezembro REGIME JURÍDICO DA CIBERSEGURANÇA (versão actualizada) O diploma ainda não sofreu alterações --> Procurar no presente diploma:

A expressão exacta Ir para o art.:

Artigo 1.ºObjeto

Artigo 2.ºDefinições

Artigo 3.ºÂmbito de aplicação subjetivo

Artigo 4.ºDelimitação territorial do âmbito de aplicação subjetivo

Artigo 5.ºÂmbito extraterritorial

Artigo 6.ºEntidades essenciais e entidades importantes

Artigo 7.ºEntidades públicas relevantes

Artigo 8.ºProcedimento de qualificação das entidades

Artigo 9.ºConcurso de qualificações e medidas de cibersegurança

Artigo 10.ºTratamento de dados pessoais

Artigo 11.ºInstrumentos estruturantes da Segurança do Ciberespaço

Artigo 12.ºEstratégia Nacional de Segurança do Ciberespaço

Artigo 13.ºPlano nacional de resposta a crises e incidentes de cibersegurança em grande escala

Artigo 14.ºQuadro Nacional de Referência para a Cibersegurança

Artigo 15.ºOrganização

Artigo 16.ºConselho Superior de Segurança do Ciberespaço

Artigo 17.ºCompetências do Conselho Superior de Segurança do Ciberespaço

Artigo 18.ºComissão de Avaliação de Segurança do Ciberespaço

Artigo 19.ºCentro Nacional de Cibersegurança

Artigo 20.ºCompetências do Centro Nacional de Cibersegurança

Artigo 21.ºAutoridade de gestão de crises de cibersegurança

Artigo 22.ºEquipa de Resposta a Incidentes de Cibersegurança

Artigo 23.ºCooperação entre autoridades nacionais

Artigo 24.ºCooperação com o setor privado

Artigo 25.ºObrigações dos órgãos de gestão, direção e administração

Artigo 26.ºSistema de gestão de riscos de cibersegurança

Artigo 27.ºMedidas de cibersegurança

Artigo 28.ºCadeia de abastecimento

Artigo 29.ºGestão do risco residual

Artigo 30.ºRelatório anual

Artigo 31.ºResponsável de cibersegurança

Artigo 32.ºPonto de contacto permanente

Artigo 33.ºMedidas de cibersegurança aplicáveis às entidades públicas relevantes

Artigo 34.ºCertificação da cibersegurança

Artigo 35.ºDever de registo

Artigo 36.ºBase de dados relativos ao registo de nomes de domínio

Artigo 37.ºAcesso ao registo de nomes de domínio

Artigo 38.ºVulnerabilidades em sistemas de informação

Artigo 39.ºComunicação de vulnerabilidades

Artigo 40.ºNotificação obrigatória

Artigo 41.ºTipos de notificações

Artigo 42.ºNotificação inicial

Artigo 43.ºNotificação do fim de impacto significativo

Artigo 44.ºRelatórios final e intercalar

Artigo 45.ºNotificações voluntárias de informações pertinentes

Artigo 46.ºPedidos de informação

Artigo 47.ºProteção da informação

Artigo 48.ºComunicação aos destinatários dos serviços

Artigo 49.ºComunicação entre autoridades

Artigo 50.ºComunicação a entidades no âmbito da União Europeia ou dos seus Estados-Membros

Artigo 51.ºInformação ao público

Artigo 52.ºResposta a notificações

Artigo 53.ºPrincípios

Artigo 54.ºMedidas de supervisão relativas a entidades essenciais

Artigo 55.ºMedidas de supervisão relativas a entidades importantes e públicas relevantes

Artigo 56.ºMedidas de execução

Artigo 57.ºMedidas de bloqueio e redireccionamento

Artigo 58.ºGarantias procedimentais

Artigo 59.ºComunicação de incidentes e aplicação de medidas

Artigo 60.ºCooperação no âmbito da segurança das infraestruturas críticas

Artigo 61.ºContraordenações muito graves

Artigo 62.ºContraordenações graves

Artigo 63.ºContraordenações leves

Artigo 64.ºNegligência

Artigo 65.ºDispensa de aplicação das coimas

Artigo 66.ºDeterminação da medida da coima

Artigo 67.ºSanções acessórias e outras determinações

Artigo 68.ºSanções compulsórias

Artigo 69.ºPrescrição do procedimento

Artigo 70.ºPrescrição da coima e sanções acessórias

Artigo 71.ºRegra da competência das autoridades competentes

Artigo 72.ºNotificações

Artigo 73.ºProduto das coimas

Artigo 74.ºCustas

Artigo 75.ºCumprimento de dever omitido

Artigo 76.ºSuspensão da execução da coima

Artigo 77.ºRevogação da suspensão da execução da coima

Artigo 78.ºExtinção da coima

Artigo 79.ºViolação de dados pessoais

Artigo 80.ºImpugnação das decisões da autoridade de cibersegurança competente

Artigo 81.ºDireito subsidiário

Artigo 82.ºTaxa de supervisão

Artigo 83.ºComunicações

Artigo 84.ºSegurança e integridade da informação

Artigo 85.ºAprovação do plano nacional de resposta a crises e incidentes de cibersegurança em grande escala

Artigo 86.ºDotação de meios e independência operacional do CNCS

Artigo 87.ºInteroperabilidade e acesso a informação

ANEXO I ANEXO II ANEXO III Nº de artigos : 90 Ver índice sistemático do diploma Imprimir todo o diploma SUMÁRIO Transpõe a Diretiva (UE) 2022/2555, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União. _____________________ Decreto-Lei n.º 125/2025, de 4 de dezembro O presente decreto-lei aprova o regime jurídico da cibersegurança, transpondo a Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, destinada a garantir um elevado nível comum de cibersegurança em toda a União.

A preservação da cibersegurança desempenha um papel crucial em matéria de segurança nacional e internacional, no funcionamento do Estado e dos agentes económicos, bem como na construção da confiança dos cidadãos no processo de modernização digital da Administração Pública.

A transposição para o ambiente digital de funções essenciais das atividades institucionais e da vivência pessoal e profissional dos cidadãos justifica o reforço do quadro regulamentar e organizacional de cibersegurança, executado em harmonia com todo o espaço e em defesa contra ciberameaças comuns.

Esta iniciativa legislativa ocorre perante a consciência, não só da gravidade premente colocada pelas múltiplas ciberameaças, como do elevado potencial disruptivo das suas ações hostis contra ativos digitais, sendo imperioso um reforço da capacitação nacional para a prevenção de atos que possam condicionar a segurança e o interesse nacional, bem como as múltiplas dinâmicas funcionais e produtivas da sociedade portuguesa.

De facto, perante o aumento assinalável da quantidade e da sofisticação das ameaças, bem como a crescente utilização e dependência do uso das tecnologias de informação e comunicação por toda a sociedade, afigura-se indispensável assegurar a generalização da cibersegurança na cultura organizacional do tecido empresarial português e nas entidades, órgãos e serviços que constituem a Administração Pública.

Com efeito, o aumento da ocorrência de incidentes de cibersegurança pode comprometer a segurança e o interesse nacional, acarretar perigo para a vida humana, perdas de natureza financeira, bem como comprometer a confidencialidade, a integridade e a disponibilidade da informação, das redes e dos sistemas de informação da Administração Pública, dos operadores de infraestruturas críticas, dos operadores de serviços essenciais e dos prestadores de serviços digitais. Em face destas ameaças e considerando o disposto na Diretiva a transpor, o regime aprovado pelo presente decreto-lei expande significativamente o conjunto de entidades abrangidas pelo regime, priorizando, por um lado, a generalização da prevenção dos riscos de cibersegurança, mas graduando a exigência regulatória em função da dimensão da entidade e da importância da sua atividade, bem como privilegiando a proporcionalidade das medidas aplicáveis. O seu âmbito de aplicação abrange uma parte significativa da Administração Pública, adaptando o regime à dimensão e tipologia da entidade pública em causa. É ainda de assinalar que, tal como admitido pela Diretiva a transpor, o regime aprovado pelo presente decreto-lei exclui do seu âmbito de aplicação as entidades públicas nos domínios da segurança nacional, da segurança pública, da defesa e dos serviços de informações, incluindo as entidades com responsabilidades de investigação criminal e os órgãos de polícia criminal.

Entre os aspetos relevantes do regime aprovado pelo presente decreto-lei, encontra-se ainda o aprofundamento de três instrumentos fundamentais para as políticas públicas de cibersegurança: a Estratégia Nacional de Segurança do Ciberespaço, definindo as prioridades e os objetivos estratégicos nacionais em matéria de cibersegurança; o Plano Nacional de Resposta a Crises e Incidentes de Cibersegurança em grande escala, regulando e aperfeiçoando a gestão deste tipo de incidentes; e o Quadro Nacional de Referência para a Cibersegurança, que reunirá e permitirá a divulgação de normas, padrões e boas práticas na gestão da Cibersegurança.

Acresce que o quadro institucional do regime aprovado pelo presente decreto-lei é alargado em relação ao regime anterior, conforme imposto pela Diretiva a transpor. Nesse sentido, o Centro Nacional de Cibersegurança (CNCS) reforça a sua função de autoridade nacional de cibersegurança, destacando-se ainda o estabelecimento de autoridades de supervisão «setoriais» e «especiais», que exercem supervisão sobre setores específicos da economia, assim se garantindo a estabilidade na supervisão de cada um dos setores abrangidos, bem como aliviando as tarefas transversais cometidas ao CNCS.

No plano interadministrativo, o modelo proposto estabelece uma arquitetura de convergência, de cooperação e de interoperabilidade entre as várias entidades nacionais competentes em matéria de cibersegurança e de segurança interna e externa, fomentando, em particular, a transversalidade dos fluxos de informação relevante e a partilha de contributos táticos na resposta a incidentes entre as entidades nacionais competentes em matéria de cibersegurança, numa lógica de maximização das capacidades públicas portuguesas para a prevenção, a deteção precoce, a mitigação, a repressão e a responsabilização de ciberameaças.

O fortalecimento da cooperação com o setor privado é outro dos eixos do desenho institucional previsto no regime aprovado presente pelo decreto-lei, fomentando-se a colaboração entre as autoridades competentes e os privados nas várias matérias relevantes.

Quanto ao modelo de gestão dos riscos previsto no regime aprovado pelo presente decreto-lei, este consiste na fixação de padrões pré-definidos de risco, aplicáveis a cada setor e tipo de entidade, e na aplicação de medidas de prevenção correspondentes, acrescendo ainda uma análise do risco residual. Este modelo permite desonerar as autoridades de uma análise casuística do risco de cada entidade abrangida, facilitando ainda que as entidades abrangidas conheçam a categoria em que se inserem e, assim, as medidas mínimas que devem adotar.

Nestes termos, o modelo proposto introduz simplicidade, previsibilidade e uma melhor adequação das medidas obrigatórias ao quadro de ameaças aplicável a cada setor de atividade.

Por outro lado, o modelo fomenta a criação de um mercado de certificação em cibersegurança, o que terá utilidade económica e permitirá generalizar uma presunção de conformidade das entidades.

Por fim, quanto ao modelo de supervisão previsto no regime aprovado pelo presente decreto-lei, este, refletindo o disposto na Diretiva a transpor, prevê um regime dual, diferenciando o tratamento a dar às entidades essenciais e importantes em função dos riscos de cibersegurança associados a cada categoria, em cumprimento, mais uma vez, do princípio da proporcionalidade.

O presente decreto-lei tem, assim, como objetivo a consagração do novo quadro jurídico aplicável em matéria de cibersegurança, sem prejuízo de a entrada em vigor deste regime implicar necessariamente um reforço significativo da capacidade do CNCS e uma nova reflexão sobre o seu enquadramento institucional.

O presente decreto-lei foi submetido a consulta pública entre 22 de novembro e 31 de dezembro de 2024.

Foram ouvidos os órgãos de governo próprio das Regiões Autónomas, o Centro Nacional de Cibersegurança, a Ordem dos Advogados, o Conselho Superior do Ministério Público, a Comissão Nacional de Proteção de Dados e a Comissão de Acesso aos Documentos Administrativos.

Assim:

No uso da autorização legislativa concedida pelo artigo 1.º da Lei n.º 59/2025, de 22 de outubro, e nos termos das alíneas a) e b) do n.º 1 do artigo 198.º da Constituição, o Governo decreta o seguinte:

Artigo 1.ºObjeto

1 - O presente decreto-lei aprova o regime jurídico da cibersegurança, transpondo, para a ordem jurídica interna a Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União, que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 1).

2 - O presente decreto-lei procede ainda à:

3 - O disposto no presente decreto-lei não prejudica as medidas e o quadro legal vigente destinados a salvaguardar as funções essenciais do Estado, nomeadamente as medidas e disposições referentes à preservação da segurança e do interesse nacional, à produção de informações para a segurança interna e externa do Estado português, à proteção do segredo de Estado e da informação classificada, e ainda a salvaguardar a manutenção da ordem pública e a permitir a investigação, a deteção e a repressão de infrações criminais, sem prejuízo do previsto nos artigos 7.º e 8.º

Artigo 2.ºRegime jurídico da cibersegurança

É aprovado, em anexo ao presente decreto-lei e do qual faz parte integrante, o regime jurídico da cibersegurança.

Artigo 3.ºAlteração à Lei n.º 53/2008, de 29 de agosto

O artigo 16.º da Lei de Segurança Interna, aprovada pela Lei n.º 53/2008, de 29 de agosto , na sua redação atual, passa ter a seguinte redação: «Artigo 16.º [...] 1 - [...] 2 - [...] 3 - [...] 4 - Ao Secretário-Geral do Sistema de Segurança Interna compete convocar, nos termos do artigo 25.º-A, um gabinete de crise na sequência da atribuição de um grau de ameaça elevado pelo Serviço de Informações de Segurança, ou equivalente nível de alerta nacional para Cibersegurança, ou quando for informado pelo Centro Nacional de Cibersegurança ou por qualquer entidade competente, designadamente forças e serviços de segurança, sobre a ocorrência de uma ciberameaça significativa ou de crise ou incidente suscetível de ser considerado em grande escala.»

Artigo 4.ºAlteração à Lei n.º 109/2009, de 15 de setembro

O artigo 2.º da Lei do Cibercrime, aprovada pela Lei n.º 109/2009, 15 de setembro , na sua redação atual, passa a ter a seguinte redação: «Artigo 2.º [...] [...]

Artigo 5.ºAlteração à Lei n.º 16/2022, de 16 de agosto

O artigo 13.º da Lei das Comunicações Eletrónicas, aprovada pela Lei n.º 16/2022, de 16 de agosto , na sua redação atual, passa a ter a seguinte redação: «Artigo 13.º [...] 1 - [...] 2 - Não obstante o disposto no número anterior, o artigo 177.º, a alínea q) do n.º 3 do artigo 178.º, o artigo 179.º, o artigo 180.º, o artigo 181.º, o artigo 182.º e o artigo 183.º da Lei das Comunicações Eletrónicas, aprovada em anexo à presente lei, entram em vigor no dia seguinte ao da sua publicação.»

Artigo 6.ºAditamento à Lei n.º 53/2008, de 29 de agosto

É aditado o artigo 25.º-A à Lei de Segurança Interna, aprovada pela Lei n.º 53/2008, de 29 de agosto , na sua redação atual, com a seguinte redação: «Artigo 25.º-A Gabinete de crise 1 - O gabinete de crise referido no n.º 4 do artigo 16.º é composto por representantes da Polícia Judiciária, do Serviço de Informações de Segurança, do Serviço de Informações Estratégicas de Defesa, do Centro Nacional de Cibersegurança e do Comando de Operações de Ciberdefesa, ou de outras entidades com relevância em razão da matéria.

2 - O gabinete de crise referido no número anterior visa assegurar, de forma coordenada e sem prejuízo das competências legalmente atribuídas a cada entidade, a condução de crises de cibersegurança com impacto na segurança interna e, em situações de ocorrências com impacto transnacional, garantir a interoperabilidade funcional com entidades congéneres da União Europeia.»

Artigo 7.ºAditamento à Lei n.º 109/2009, de 15 de setembro

É aditado o artigo 8.º-A à Lei do Cibercrime, aprovada pela Lei n.º 109/2009, 15 de setembro , na sua redação atual, com a seguinte redação: «Artigo 8.º-A Atos não puníveis por interesse público de cibersegurança 1 - Não são puníveis factos suscetíveis de consubstanciar os crimes de acesso ilegítimo e de interceção ilegítima previstos, respetivamente, nos artigos 6.º e 7.º, se verificadas, cumulativamente, as seguintes circunstâncias:

2 - A comunicação prevista na alínea c) do número anterior deve ser feita também à autoridade nacional de cibersegurança, que a remete à Polícia Judiciária sempre que revista relevância criminal.

3 - Para efeitos de determinação da proporcionalidade da atuação do agente, tomar-se-á em conta se a mesma era necessária à deteção da vulnerabilidade e se a extensão dos sistemas ou dados informáticos acedidos, consultados e/ou copiados era imposta pelo interesse em contribuir para a segurança do ciberespaço, sendo expressamente vedado o uso das seguintes práticas:

4 - Sem prejuízo das regras aplicáveis em matéria de proteção de dados, os dados informáticos que sejam comunicados ao proprietário ou pessoa encarregue da gestão do sistema de informação, produto e serviço de tecnologias de informação e comunicação, ou à autoridade nacional de cibersegurança devem ser eliminados no prazo de 10 dias contados a partir do momento em que a vulnerabilidade for corrigida, devendo garantir-se a sua natureza secreta durante todo o procedimento.

5 - Não são igualmente puníveis os factos praticados com consentimento do proprietário ou administrador de sistema de informação, produto ou serviço de tecnologias de informação e comunicação, sem prejuízo do dever de notificação das vulnerabilidades eventualmente identificadas à autoridade nacional coordenadora encarregada da resposta a incidentes de cibersegurança das vulnerabilidades eventualmente identificadas, nos termos previstos no regime jurídico da cibersegurança.»

Artigo 8.ºNorma transitória

1 - A entrada em vigor do presente decreto-lei não prejudica a validade das decisões tomadas pela Comissão de Avaliação de Segurança ao abrigo do regime anterior, que continuam a produzir efeitos pelo período de 180 dias após a data da entrada em vigor do presente decreto-lei, durante o qual deve ser realizada nova avaliação de segurança.

2 - Com base na nova avaliação de segurança referida no número anterior, e ao abrigo do regime aprovado em anexo ao presente decreto-lei, o membro do Governo responsável pela área da cibersegurança pode decidir pela renovação, modificação ou substituição das decisões adotadas pela Comissão de Avaliação de Segurança no âmbito do regime anterior.

3 - Mantêm-se em vigor, até à respetiva substituição ou revogação pelas entidades competentes, os regulamentos e atos adotados pela Autoridade Nacional de Comunicações, em matéria de segurança e de integridade das redes e serviços, que tenham sido adotados ao abrigo da Lei n.º 5/2004, de 10 de fevereiro, da Lei n.º 16/2022, de 18 de agosto, e do Decreto-Lei n.º 65/2021, de 30 de julho, que não sejam incompatíveis com o disposto no presente decreto-lei.

Artigo 9.ºNorma revogatória

São revogados:

Artigo 10.ºProdução de efeitos

1 - O disposto na alínea d) do artigo 9.º produz efeitos após a substituição ou revogação, pelas entidades competentes, dos regulamentos e atos adotados pela ANACOM, em matéria de segurança e de integridade das redes e serviços, ao abrigo da Lei n.º 5/2004, de 10 de fevereiro, da Lei n.º 16/2022, de 18 de agosto, e do Decreto-Lei n.º 65/2021, de 30 de julho, e que não sejam incompatíveis com o disposto no presente decreto-lei.

2 - O disposto nos n.os 1 e 2 do artigo 27.º, nos artigos 28.º a 30.º, no artigo 33.º e nas alíneas b), c) e f) do n.º 1 do artigo 61.º do regime jurídico da cibersegurança, aprovado em anexo ao presente decreto-lei, produz efeitos 24 meses após a publicação da regulamentação referida nos artigos 8.º, 14.º, 26.º, 31.º, 32.º e 83.º do referido regime.

Artigo 11.ºEntrada em vigor

O presente decreto-lei entra em vigor 120 dias após a sua publicação.

Visto e aprovado em Conselho de Ministros de 5 de novembro de 2025. - Luís Montenegro - Paulo Artur dos Santos de Castro de Campos Rangel - Joaquim Miranda Sarmento - António Leitão Amaro - Manuel Castro Almeida.

Promulgado em 28 de novembro de 2025.

Publique-se.

O Presidente da República, Marcelo Rebelo de Sousa.

Referendado em 28 de novembro de 2025.

O Primeiro-Ministro, Luís Montenegro.

ANEXO (a que se refere o artigo 2.º) Regime jurídico da cibersegurança

CAPÍTULO I

DISPOSIÇÕES GERAIS

Artigo 1.ºObjeto

1 - O presente decreto-lei estabelece o regime jurídico da cibersegurança, transpondo, para a ordem jurídica interna, a Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União, que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 1).

2 - O disposto no presente decreto-lei não prejudica o cumprimento do disposto na legislação aplicável em matéria de:

Artigo 2.ºDefinições

Para efeitos do presente decreto-lei, entende-se por:

Artigo 3.ºÂmbito de aplicação subjetivo

1 - O presente decreto-lei aplica-se às entidades privadas de um dos tipos que constam nos anexos i ou ii ao presente decreto-lei e do qual fazem parte integrante, que, respeitados os critérios de âmbito territorial fixados no artigo seguinte:

2 - O presente decreto-lei aplica-se igualmente às entidades de um dos tipos que constam nos anexos i ou ii ao presente decreto-lei que, independentemente da sua natureza e dimensão e respeitados os critérios de âmbito territorial fixados no artigo seguinte, preencham pelo menos um dos seguintes requisitos:

3 - O presente decreto-lei aplica-se à Administração Pública, abrangendo:

4 - O presente decreto-lei aplica-se às seguintes entidades:

5 - O presente decreto-lei aplica-se às entidades que, independentemente da sua dimensão, sejam identificadas como entidades críticas nos termos do disposto da Diretiva (UE) 2022/2557, do Parlamento Europeu e o Conselho, de 14 de dezembro de 2022, relativa à resiliência das entidades críticas, sem prejuízo da alínea f) do n.º 3.

6 - O presente decreto-lei aplica-se às instituições de ensino superior.

7 - O presente decreto-lei não é aplicável:

8 - Às entidades referidas na alínea b) do n.º 2 do artigo 15.º aplica-se o presente decreto-lei apenas no que respeita ao exercício das suas competências na qualidade de autoridades nacionais especiais de cibersegurança.

9 - O presente decreto-lei não prejudica o disposto no Regulamento (UE) 2022/2554, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro.

Artigo 4.ºDelimitação territorial do âmbito de aplicação subjetivo

1 - O presente decreto-lei aplica-se às entidades referidas nos n.os 1 e 2 do artigo anterior que:

2 - Para efeitos da subalínea i) da alínea c) do número anterior, considera-se que a entidade tem estabelecimento principal no território nacional quando:

3 - Nos termos do artigo 20.º, o CNCS, perante um pedido de assistência mútua proveniente de outro Estado-Membro da União Europeia e em relação a uma entidade a que se refere a alínea c) do n.º 1, pode, dentro dos limites desse pedido, tomar medidas de supervisão e execução adequadas em relação à entidade em causa.

Artigo 5.ºÂmbito extraterritorial

1 - A fim de evitar ciberameaças significativas para a segurança das redes e sistemas de informação de um grande número de utilizadores, o CNCS pode, ouvido o Conselho Superior de Segurança do Ciberespaço (CSSC), adotar medidas de execução corretivas ou restritivas, incluindo a ordem de suspensão do serviço no território nacional, dirigidas a um prestador de serviços sem estabelecimento ou representação no território nacional que não ofereça as medidas adequadas de cibersegurança.

2 - Salvo quando as medidas forem urgentes, o CNCS apresenta uma fundamentação preliminar das decisões ao prestador de serviços, concedendo um prazo de resposta não inferior a 10 dias.

3 - Para efeitos da determinação e fundamentação das medidas de execução previstas nos números anteriores, o CNCS terá em consideração as ações e medidas, bem como a sua eficácia e extensão, tomadas pelas autoridades de cibersegurança europeias e internacionais.

4 - A autoridade de cibersegurança competente, nos termos das suas competências e na medida do necessário, pode, relativamente a uma entidade com conexão relevante com o território nacional, prestar assistência às autoridades competentes dos Estados-Membros da União Europeia, a pedido fundamentado destas, designadamente mediante:

5 - A autoridade de cibersegurança competente apenas pode recusar a assistência pedida nos termos do número anterior se esta exceder as suas competências, for desproporcional em relação às suas funções de supervisão ou comprometer interesses essenciais do Estado português em matérias de segurança nacional, segurança pública ou defesa.

Artigo 6.ºEntidades essenciais e entidades importantes

1 - Para efeitos do presente decreto-lei, consideram-se entidades essenciais:

2 - Para efeitos do presente decreto-lei, são entidades importantes as entidades dos tipos referidos nos anexos i e ii ao presente decreto-lei que não sejam consideradas entidades essenciais ao abrigo do número anterior.

3 - Para efeitos do presente decreto-lei, são também entidades importantes as entidades de um dos tipos constantes nos anexos i ou ii ao presente decreto-lei, referidas nas alíneas b) a e) do n.º 2 do artigo 3.º, que justifiquem tal qualificação com base no respetivo grau de exposição da entidade aos riscos, na dimensão da entidade e na probabilidade de ocorrência de incidentes e a sua gravidade, incluindo o seu impacto social e económico.

4 - A atribuição das qualificações de entidades essenciais e entidades importantes previstas nos números anteriores resulta dos mecanismos previstos no artigo 8.º

Artigo 7.ºEntidades públicas relevantes

1 - As entidades públicas que não sejam qualificadas como entidades essenciais ou importantes nos termos do artigo anterior, consideram-se entidades públicas relevantes, integrando-se em dois grupos para efeitos de aplicação de regimes específicos nos termos do presente decreto-lei e restante regulamentação emitida pelo CNCS.

2 - São consideradas entidades públicas relevantes do Grupo A:

3 - São consideradas entidades públicas relevantes do Grupo B:

4 - A atribuição da qualificação de entidade pública relevante prevista nos números anteriores resulta dos mecanismos de qualificação previstos no artigo seguinte.

Artigo 8.ºProcedimento de qualificação das entidades

1 - As entidades previstas no artigo 3.º identificam-se em plataforma eletrónica disponibilizada pelo CNCS, no prazo de 30 dias após o início da sua atividade ou, caso a entidade já se encontre em atividade aquando da entrada em vigor do presente decreto-lei, no prazo de 60 dias após a disponibilização da referida plataforma eletrónica, sendo responsáveis por manter essa informação devidamente atualizada.

2 - A qualificação das entidades pelo CNCS com base nos critérios previstos nas alíneas a) a c) e e) do n.º 1 e no n.º 2 do artigo 6.º, e ainda no artigo 7.º, resulta do mecanismo previsto no número anterior.

3 - A qualificação das entidades pelo CNCS com base nos critérios previstos nas alíneas d) e f) do n.º 1 e no n.º 3 do artigo 6.º, é comunicada com a antecedência mínima de 60 dias ao membro do Governo responsável pela área da cibersegurança e revista pelo menos de dois em dois anos.

4 - A qualificação prevista no número anterior é devidamente fundamentada pelo CNCS, sendo precedida de audiência prévia da entidade em causa e, quando aplicável, de parecer das autoridades nacionais setoriais de cibersegurança referidas na alínea a) do n.º 2 do artigo 15.º 5 - O CNCS, ou, quando aplicável, as autoridades nacionais setoriais de cibersegurança competentes nos termos da alínea a) do n.º 2 do artigo 15.º, notifica a entidade da sua qualificação nos termos dos n.os 2 e 3, no prazo máximo de 30 dias a contar da data da referida qualificação.

6 - Os prestadores de serviços de registos de nomes de domínio devem identificar-se e comunicar a informação prevista no n.º 2 do artigo 35.º através da plataforma eletrónica disponibilizada pelo CNCS, no prazo de 30 dias após o início da sua atividade.

7 - As regras de funcionamento da plataforma eletrónica referida no presente artigo são definidas através de regulamento a aprovar pelo CNCS.

8 - O procedimento de qualificação referido no presente artigo não prejudica, para as entidades abrangidas, o cumprimento do dever previsto no artigo 35.º

Artigo 9.ºConcurso de qualificações e medidas de cibersegurança

1 - Caso uma entidade se enquadre simultaneamente em mais do que uma qualificação, aplica-se o regime que resultar mais exigente para gerir os riscos que se colocam à segurança das redes e sistemas de informação, de acordo com a seguinte ordem:

2 - O CNCS pode associar à qualificação da entidade, nos termos do disposto no n.º 4 do artigo 26.º e do artigo 33.º, medidas de cibersegurança e demais medidas técnicas e organizativas resultantes dos instrumentos previstos do presente decreto-lei, cujo incumprimento pode determinar a aplicação das sanções correspondentes nos termos do regime sancionatório previsto no capítulo vii.

Artigo 10.ºTratamento de dados pessoais

1 - As entidades que integram o quadro institucional da segurança do ciberespaço, nos termos do artigo 15.º, tratam dados pessoais na medida do estritamente necessário para assegurar o cumprimento de obrigações legais e a prossecução de missões de interesse público ou de autoridade pública em que estão investidos, nos termos do disposto nas alíneas c) ou e) do n.º 1 e no n.º 3 do artigo 6.º do RGPD e em conformidade com o presente decreto-lei e demais legislação nacional aplicável.

2 - Sem prejuízo do disposto no artigo 29.º da Lei n.º 58/2019, de 8 de agosto, as entidades que integram o quadro institucional da segurança do ciberespaço podem proceder ao tratamento das categorias especiais de dados pessoais para, na medida do estritamente necessário e nos termos da alínea g) do n.º 2 do artigo 9.º do RGPD:

CAPÍTULO II

INSTRUMENTOS ESTRUTURANTES

Artigo 11.ºInstrumentos estruturantes da Segurança do Ciberespaço

São instrumentos estruturantes da Segurança do Ciberespaço, observando as disposições legais e regulamentares nacionais e internacionais aplicáveis:

Artigo 12.ºEstratégia Nacional de Segurança do Ciberespaço

1 - A ENSC define o enquadramento, as prioridades, os objetivos estratégicos nacionais e um quadro de governação definidor das funções e responsabilidades das partes interessadas a nível nacional com relevância para a execução da ENSC.

2 - A ENSC inclui, designadamente:

3 - A ENSC é aprovada por resolução do Conselho de Ministros, sob proposta do CNCS, ouvido o CSSC e decorrido um período de consulta pública não inferior a 30 dias.

4 - A aprovação referida no número anterior é precedida ainda de apreciação da ENSC pela Assembleia da República.

5 - A ENSC é revista e atualizada a cada cinco anos, após um processo de avaliação baseado em indicadores-chave de impacto e desempenho, podendo este período ser reduzido por decisão do membro do Governo responsável pela área da cibersegurança mediante proposta fundamentada do CNCS.

6 - A ENSC não prejudica a aprovação pelas entidades competentes, quando necessário, de instrumentos que estabeleçam estratégias setoriais de cibersegurança, que devem ser revistas e atualizadas nos mesmos termos aplicáveis à ENSC.

Artigo 13.ºPlano nacional de resposta a crises e incidentes de cibersegurança em grande escala

1 - O plano nacional de resposta a crises e incidentes de cibersegurança em grande escala estabelece os objetivos e modalidades de gestão deste tipo de crises e incidentes.

2 - O plano nacional de resposta a crises e incidentes de cibersegurança em grande escala é aprovado por resolução do Conselho de Ministros, por proposta conjunta do Secretário-Geral do Sistema de Segurança Interna, da Polícia Judiciária, do Serviço de Informações de Segurança, do Serviço de Informações Estratégicas de Defesa, do Comando de Operações de Ciberdefesa e do CNCS, cabendo a este último a sua implementação, acompanhamento e monitorização, em colaboração estreita com as entidades que compõe o gabinete de crise previsto no n.º 4 do artigo 16.º da Lei n.º 53/2008, de 29 de agosto, na redação que lhe é atribuída pelo presente decreto-lei, e ouvido o CSSC.

3 - O plano nacional de resposta a crises e incidentes de cibersegurança em grande escala deve garantir a coerência com os quadros existentes de gestão geral de crises a nível nacional.

Artigo 14.ºQuadro Nacional de Referência para a Cibersegurança

1 - O QNRCS é o instrumento nacional de referência para a identificação das normas, padrões e boas práticas existentes em matéria de gestão da cibersegurança e da segurança da informação.

2 - O QNRCS é aprovado por regulamento do CNCS, ouvido o CSSC, devendo ser regularmente atualizado, pelo menos de cinco em cinco anos.

3 - As entidades essenciais e importantes devem ter em conta o QNRCS no âmbito da adoção de medidas de cibersegurança previstas nos artigos 27.º e seguintes.

4 - As autoridades nacionais setoriais de cibersegurança referidas na alínea a) do n.º 2 do artigo 15.º podem adotar normas complementares ao QNRCS, através de regulamento próprio, em articulação com o CNCS.

5 - Sem prejuízo dos números anteriores, a aplicação do QNRCS pelas entidades essenciais, importantes e públicas relevantes é objeto de regulamento a aprovar pelo CNCS, prevendo medidas de cibersegurança específicas e níveis de conformidade.

CAPÍTULO III

QUADRO INSTITUCIONAL DA SEGURANÇA DO CIBERESPAÇO

Artigo 15.ºOrganização

1 - O quadro institucional da segurança do ciberespaço é composto pelas seguintes entidades:

2 - Integram ainda o quadro institucional da segurança do ciberespaço:

3 - A organização do quadro institucional da segurança do ciberespaço não prejudica a articulação informal das autoridades referidas no presente artigo, nomeadamente mediante a participação em instâncias multilaterais de coordenação no que respeita à defesa da segurança do ciberespaço, como o Gabinete de Oficiais de Ligação do Ciberespaço para a cooperação tático-operacional (G5).

Artigo 16.ºConselho Superior de Segurança do Ciberespaço

1 - O CSSC é o órgão de coordenação estratégica que apoia o Primeiro-Ministro em matéria de segurança do ciberespaço.

2 - O CSSC é composto por:

3 - O CSSC é ainda composto por um representante do Governo Regional dos Açores e um representante do Governo Regional da Madeira.

4 - O presidente, por sua iniciativa ou a pedido de qualquer dos membros do CSSC, pode convocar outros titulares de órgãos públicos ou convidar outras entidades e personalidades de reconhecido mérito para participar em reuniões.

5 - O presidente é substituído nas suas ausências e impedimentos pelo membro do Governo que designar.

Artigo 17.ºCompetências do Conselho Superior de Segurança do Ciberespaço

1 - São competências do CSSC:

2 - O relatório anual de avaliação da execução da ENSC é enviado à Assembleia da República até 30 de junho do ano posterior àquele a que se reporta.

3 - Os Serviços de Informações instruem o CSSC a respeito da avaliação da ameaça vigente para o ciberespaço nacional e para o ciberespaço internacional, sempre que for conveniente ou revisto o grau de ameaça atribuído pelo Serviço de Informações de Segurança.

Artigo 18.ºComissão de Avaliação de Segurança do Ciberespaço

1 - A Comissão de Avaliação de Segurança do Ciberespaço funciona junto do CSSC e é responsável pela realização de avaliações de segurança de equipamentos, componentes ou serviços de tecnologias de informação e comunicação, utilizados em redes e sistemas de informação públicos ou privados, de fabricantes ou fornecedores que possam ser considerados de elevado risco para a segurança do ciberespaço de interesse nacional, designadamente nos contextos da segurança interna e externa, da defesa nacional, da integridade do processo democrático e de outras funções de soberania, e ainda da operação de infraestruturas críticas e da prestação de serviços essenciais.

2 - A Comissão de Avaliação de Segurança do Ciberespaço tem a seguinte composição:

3 - O membro do Governo responsável pela área da cibersegurança pode determinar a aplicação de restrições provisórias à utilização, a cessação de utilização ou exclusão de equipamentos, componentes ou serviços de tecnologias de informação e comunicação, utilizados em redes e sistemas de informação públicos ou privados, considerados de elevado risco para a segurança do ciberespaço de interesse nacional, mediante proposta da Comissão de Avaliação de Segurança do Ciberespaço, fundamentada em avaliação de segurança realizada nos termos do disposto nos números seguintes.

4 - A avaliação de segurança deve ser devidamente fundamentada, tendo em conta os riscos técnicos dos equipamentos, componentes ou serviços, o seu contexto de utilização ou e a exposição dos seus fabricantes ou fornecedores à influência indevida de países estrangeiros, para tal considerando, designadamente, informação relevante emitida pelas entidades competentes nacionais e da União Europeia ou constante das avaliações nacionais ou europeias de risco para a segurança das redes e sistemas de informação, bem como outros riscos securitários relevantes.

5 - Para avaliar o nível de exposição dos fabricantes ou fornecedores à influência indevida de um país estrangeiro, podem ser considerados os seguintes elementos:

6 - As avaliações de segurança podem ser realizadas ou revistas a pedido do membro do Governo responsável pela área da cibersegurança, bem como, em aplicação do mecanismo português de salvaguarda de ativos estratégicos essenciais, a pedido do membro do Governo responsável pela área em que o ativo estratégico em causa esteja integrado.

7 - A proposta da Comissão de Avaliação de Segurança do Ciberespaço realizada na sequência da avaliação de segurança deve, no seu teor, abrangência e intensidade, respeitar o princípio da proporcionalidade, considerando, designadamente, o grau de risco apurado, o grau de incidência, global e específica, sobre cada equipamento, componente ou serviço em causa, o prejuízo sofrido pelo fabricante e fornecedor afetado, e ainda os prejuízos económicos e sociais potencialmente decorrentes da decisão.

8 - A Comissão de Avaliação de Segurança do Ciberespaço pode solicitar a qualquer entidade, pública ou privada, a prestação de qualquer informação necessária à elaboração de avaliações de segurança.

9 - A decisão do membro do Governo responsável pela área da cibersegurança prevista no n.º 3 define os prazos razoáveis e, quando aplicável, o âmbito geográfico da medida a aplicar, de forma que as entidades públicas ou privadas em causa procedam à sua implementação.

10 - Os documentos ou informações produzidas no âmbito dos trabalhos da Comissão de Avaliação de Segurança do Ciberespaço são considerados como informação classificada no grau de segurança reservado, salvo se o presidente da Comissão considerar necessário atribuir um grau de classificação de segurança superior, e sem prejuízo destes documentos ou informações poderem ser classificadas como segredo de Estado nos termos da Lei Orgânica n.º 2/2014, de 6 de agosto, na sua redação atual.

11 - No exercício das suas competências, o CNCS ou, quando aplicável, a autoridade nacional setorial ou nacional especial, procede à fiscalização do cumprimento das solicitações da Comissão de Avaliação de Segurança do Ciberespaço e da decisão do membro do Governo responsável pela área da cibersegurança previstas no presente artigo, sancionando o seu incumprimento nos termos da alínea d) do n.º 1 do artigo 63.º e da alínea a) do n.º 1 do artigo 61.º, respetivamente.

12 - O apoio técnico, administrativo e logístico da Comissão de Avaliação de Segurança do Ciberespaço, assim como os respetivos encargos associados, são prestados e suportados pelo GNS.

Artigo 19.ºCentro Nacional de Cibersegurança

1 - O CNCS é a autoridade nacional de cibersegurança, tendo por missão garantir que o país alcança e mantém um nível elevado de cibersegurança, através da promoção da melhoria contínua da cibersegurança nacional e da cooperação internacional, bem como da definição e implementação das medidas e instrumentos necessários à antecipação, deteção, reação e recuperação de situações que, face à iminência ou ocorrência de incidentes, ponham em causa o interesse nacional, o funcionamento das entidades essenciais, entidades importantes e entidades públicas relevantes.

2 - O CNCS é ainda o ponto de contacto único para efeitos de cooperação ao nível da União Europeia, bem como ao nível internacional em matéria de cibersegurança, sem prejuízo das competências atribuídas a outras autoridades em matéria de cooperação em matéria penal, designadamente as competências da Polícia Judiciária para a cooperação internacional que lhe são conferidas pelo disposto nos artigos 20.º a 26.º e 29.º da Lei do Cibercrime, e em matéria de produção de informações referentes a segurança interna e externa do Estado Português e dos seus aliados.

3 - O CNCS integra o «CERT.PT», previsto no artigo 22.º, que atua como equipa de resposta a incidentes de cibersegurança nacional.

4 - O CNCS é igualmente a autoridade nacional de certificação de cibersegurança, nomeadamente para efeitos do disposto no artigo 58.º do Regulamento (UE) 2019/881, do Parlamento Europeu e do Conselho, de 17 de abril de 2019, sem prejuízo das competências do GNS no que diz respeito à certificação e acreditação dos sistemas de informação e comunicação que tratam informação classificada, nos termos do Decreto-Lei n.º 3/2012, de 16 de janeiro, na sua redação atual.

Artigo 20.ºCompetências do Centro Nacional de Cibersegurança

1 - O CNCS, no âmbito das responsabilidades atribuídas nos n.os 1 e 2 do artigo 19.º, prossegue as atribuições e exerce as competências descritas nas alíneas seguintes:

2 - O CNCS tem, no exercício das responsabilidades atribuídas pelo n.º 4 do artigo 19.º, prossegue as atribuições e exerce as competências descritas nas alíneas seguintes:

3 - Qualquer disposição regulamentar de cibersegurança emitida pelas autoridades nacionais setoriais ou especiais de cibersegurança é precedida de parecer do CNCS.

4 - As entidades públicas e privadas prestam a sua colaboração ao CNCS para o exercício das respetivas atribuições e competências ao abrigo do presente decreto-lei, no respeito pelo princípio da proporcionalidade.

5 - O dever de cooperação previsto no número anterior pode incluir o acesso físico às instalações das entidades para a realização de diligências integradas em ações de supervisão ou de resposta a incidentes, sem prejuízo do cumprimento de requisitos de acesso previstos noutros regimes especiais de segurança da informação e respeitadas as exigências previstas no Código do Procedimento Administrativo.

6 - O CNCS atua em estreita cooperação com as estruturas nacionais responsáveis pela ciberespionagem, ciberdefesa, cibercrime e ciberterrorismo.

Artigo 21.ºAutoridade de gestão de crises de cibersegurança

1 - O Secretário-Geral do Sistema de Segurança Interna é a autoridade nacional de gestão de crises e incidentes de cibersegurança em grande escala, também designada por autoridade de gestão de crises de cibersegurança.

2 - A declaração de crises e incidentes de cibersegurança em grande escala depende da atribuição de um grau de ameaça elevado pelo Serviço de Informações de Segurança, nos termos previstos no plano de coordenação, controlo e comando operacional das Forças e Serviços de Segurança, aprovado pela Deliberação do Conselho de Ministros n.º DB 14/2010, de 5 de março, ou da comunicação, pelo CNCS, da ocorrência de uma crise ou incidente de cibersegurança em grande escala, nos termos da alínea g) do n.º 1 do artigo anterior.

3 - O Secretário-Geral do Sistema de Segurança Interna convoca o gabinete de crise de cibersegurança, nos termos do n.º 4 do artigo 16.º da Lei n.º 53/2008, de 29 de agosto, na sua redação atual.

Artigo 22.ºEquipa de Resposta a Incidentes de Cibersegurança

1 - O «CERT.PT» é a equipa nacional de resposta a incidentes de cibersegurança.

2 - O «CERT.PT» está integrado no CNCS e dispõe de autonomia técnica e operacional.

3 - O «CERT.PT» exerce as seguintes competências:

4 - No exercício das suas competências, o «CERT.PT» pode determinar a priorização de certas tarefas através de uma abordagem baseada no risco, considerando, designadamente, a avaliação de ameaça vigente e produzida pelo Serviço de Informações de Segurança.

5 - As entidades públicas e privadas prestam a sua colaboração ao «CERT.PT» para o exercício das respetivas atribuições e competências ao abrigo do presente decreto-lei.

6 - A colaboração referida no número anterior pode incluir o acesso físico às instalações e a partilha de informação entre as entidades que prestam serviços de resposta a incidentes a terceiros e o «CERT.PT», e ações conjuntas, por iniciativa deste, para efeitos da alínea e) do n.º 3.

Artigo 23.ºCooperação entre autoridades nacionais

1 - O CNCS, o Secretário-Geral do Sistema de Segurança Interna e as autoridades nacionais setoriais de cibersegurança, no exercício das suas atribuições e competências ao abrigo do presente decreto-lei, atuam em cooperação estreita com:

2 - A obtenção de informação ao abrigo da cooperação prevista no número anterior deve respeitar a legislação aplicável em matéria de proteção de dados pessoais, designadamente, o RGPD, a Lei n.º 26/2016, de 22 de agosto, na sua redação atual, a Lei n.º 58/2019, de 8 de agosto, e a Lei n.º 59/2019, de 8 de agosto.

3 - A cooperação prevista na alínea b) do n.º 1 não põe em causa o segredo de justiça.

4 - O acesso a informação nos termos da cooperação prevista, designadamente, nas subalíneas i) e ii) da alínea b) do n.º 1, relativa a processos que estejam a ser objeto de investigação, pode ser recusado com os fundamentos previstos no n.º 1 do artigo 89.º do Código de Processo Penal.

5 - A Polícia Judiciária e o Serviço de Informações de Segurança designam um elemento de ligação permanente junto do CNCS.

6 - Os termos da cooperação técnica e operacional entre o CNCS, o Comando de Operações de Ciberdefesa, a Polícia Judiciária, o Serviço de Informações de Segurança e o Serviço de Informações Estratégicas de Defesa são definidos por mútuo acordo no âmbito do G5.

7 - As autoridades referidas no presente artigo devem responder aos pedidos de informação no prazo de cinco dias após a data em que as informações tiverem sido solicitadas, salvo motivo devidamente justificado.

Artigo 24.ºCooperação com o setor privado

1 - As entidades que integrem o quadro institucional da segurança do ciberespaço, nos termos do artigo 15.º, devem estabelecer relações de cooperação com as entidades abrangidas pelo presente decreto-lei e, quando pertinente, com outras entidades interessadas do setor privado, com vista a alcançar os objetivos do regime jurídico da cibersegurança.

2 - As relações de cooperação devem abranger, pelo menos, os seguintes aspetos relativos à partilha de informação, adoção de boas práticas, desenvolvimento ou melhoria de sistemas de classificação e de taxonomias comuns ou normalizadas quanto a:

4 - Podem ser celebrados, entre as entidades referidas no n.º 1 bem como, quando pertinente, com os seus fornecedores ou prestadores de serviços, acordos de partilha de informações sobre cibersegurança, para os seguintes fins:

5 - As partes signatárias dos acordos de partilha de informação, quando necessário, tomam medidas para proteger a natureza sensível das informações partilhadas e limitar a sua distribuição, em conformidade com o designado TLP (Traffic Light Protocol, na expressão e sigla de língua inglesa).

6 - As entidades essenciais e importantes são obrigadas a notificar a autoridade de cibersegurança competente da sua participação nos acordos referidos no n.º 4, aquando da sua celebração, ou, quando aplicável, da sua retirada de tais acordos, assim que esta produza efeitos.

7 - Os acordos referidos no n.º 4, quando celebrados por entidades essenciais e importantes abrangidas pelo Regulamento (UE) 2022/2554, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro, são comunicados às respetivas autoridades nacionais especiais de cibersegurança.

8 - O CNCS assegura e gere uma plataforma em linha para a partilha de informações.

CAPÍTULO IV

GESTÃO DOS RISCOS DE CIBERSEGURANÇA E OUTROS DEVERES SECÇÃO I GESTÃO DA CIBERSEGURANÇA E DA SEGURANÇA DA INFORMAÇÃO

Artigo 25.ºObrigações dos órgãos de gestão, direção e administração

1 - Os órgãos de gestão, direção e administração das entidades essenciais e importantes:

2 - Os titulares dos órgãos de gestão, direção e administração podem responder por ação ou omissão, com dolo ou culpa grave, nos termos da legislação aplicável, pelas infrações previstas no presente decreto-lei.

3 - A responsabilidade e poderes necessários para o cumprimento das obrigações referidas no presente artigo não podem ser delegados, exceto num dos titulares dos órgãos de gestão, direção e administração.

Artigo 26.ºSistema de gestão de riscos de cibersegurança

1 - As entidades essenciais e importantes são responsáveis por garantir a segurança das redes e dos sistemas de informação, tomando as medidas técnicas, operacionais e organizativas adequadas para gerir os riscos que se colocam à segurança das redes e dos sistemas de informação que utilizam nas suas operações e para impedir ou minimizar o impacto de incidentes nos destinatários dos seus serviços e noutros serviços.

2 - As medidas de cibersegurança adotadas devem basear-se numa abordagem sistémica que abranja todos os riscos para as entidades essenciais e importantes e que vise proteger todos os ativos que garantam a continuidade do funcionamento das redes e os sistemas de informação que suportam os serviços essenciais, incluindo o seu ambiente físico, contra incidentes.

3 - As medidas devem ainda:

4 - De forma a orientar a política de gestão de riscos de cibersegurança por parte das entidades essenciais e importantes, o CNCS pode emitir instruções técnicas de harmonização e, sempre que necessário, elaborar e atualizar a matriz de risco aplicável àquelas entidades.

5 - Considerando o setor de atividade e a dimensão da entidade e a matriz de risco definida, o CNCS, através de regulamento a aprovar pelo CNCS, define medidas de cibersegurança mínimas e específicas e níveis de conformidade a adotar pelas entidades essenciais e entidades importantes.

6 - As medidas de cibersegurança mínimas não prejudicam a adoção de outras medidas que sejam necessárias e proporcionais, em resultado da análise e gestão dos riscos residuais de cibersegurança, nos termos do artigo seguinte.

7 - As entidades públicas relevantes devem adotar as medidas técnicas, operacionais e organizativas adequadas que sejam determinadas pelo CNCS, de acordo com o grupo a que pertençam, nos termos do artigo 33.º 8 - Sempre que seja alterada a qualificação das entidades, nos termos do artigo 8.º, ou as medidas de cibersegurança mínimas previstas no n.º 5 do presente artigo, em função da atualização da matriz de risco, as entidades essenciais e importantes dispõem de um prazo de seis meses para a respetiva adaptação à nova qualificação ou às novas medidas de cibersegurança mínimas, podendo o prazo ser prorrogado até um ano pela Autoridade Nacional de Cibersegurança, mediante pedido fundamento da entidade.

Artigo 27.ºMedidas de cibersegurança

1 - As medidas de cibersegurança a adotar pelas entidades essenciais e importantes, tendo em consideração a matriz de risco em que estiverem inseridas nos termos do artigo anterior, abrangem, designadamente, as seguintes áreas:

2 - As entidades essenciais e importantes devem adotar ainda, sem demora injustificada, todas as medidas de cibersegurança corretivas necessárias, adequadas e proporcionais, que sejam indispensáveis ao suprimento de falhas ou omissões no cumprimento das medidas previstas no número anterior.

3 - As autoridades nacionais setoriais de cibersegurança podem emitir disposições regulamentares para adoção de medidas de cibersegurança específicas do sector, sem prejuízo do disposto no n.º 3 do artigo 20.º

Artigo 28.ºCadeia de abastecimento

As medidas de cibersegurança relativas à segurança da cadeia de abastecimento, incluindo aspetos de segurança respeitantes às relações entre cada entidade e os respetivos fornecedores ou prestadores de serviços diretos, devem considerar, designadamente:

Artigo 29.ºGestão do risco residual

1 - As entidades essenciais e importantes devem realizar uma análise e gestão de riscos em relação a todos os ativos que garantam a continuidade do funcionamento das redes e sistemas de informação que utilizam, incluindo aos ativos que garantam a prestação dos serviços essenciais, com a periodicidade e os elementos técnicos e documentais a definir por regulamento da autoridade de cibersegurança competente, para além do cumprimento das medidas de cibersegurança mínimas nos termos do n.º 5 do artigo 26.º 2 - Com base na análise e gestão de riscos referida no número anterior, as entidades essenciais e importantes devem adotar as medidas de cibersegurança adequadas e proporcionais de forma a gerir os riscos que se colocam à segurança das redes e dos sistemas de informação que utilizam, incluindo os riscos residuais, tendo em conta o QNRCS, os progressos técnicos mais recentes e, se aplicáveis, as normas europeias e internacionais pertinentes.

3 - As entidades essenciais e importantes devem documentar a preparação, a execução e a apresentação dos resultados da análise dos riscos.

Artigo 30.ºRelatório anual

1 - As entidades essenciais e importantes devem elaborar e manter um relatório anual que contenha os seguintes elementos em relação ao ano civil a que se reportam:

2 - As entidades essenciais remetem o relatório anual à autoridade de cibersegurança competente, devidamente assinado pelo responsável de cibersegurança, nos seguintes termos:

3 - Para efeitos do disposto na subalínea ii) da alínea a) do número anterior, o relatório anual deve abranger também o período entre a data de início de atividade e o final do ano civil anterior ao que se reporta.

4 - As entidades importantes devem comunicar o relatório anual ao CNCS sempre que solicitado.

5 - O CNCS, ouvidas as autoridades nacionais setoriais de cibersegurança, pode adotar modelos para a apresentação do relatório referido nos números anteriores.

Artigo 31.ºResponsável de cibersegurança

1 - As entidades essenciais e importantes designam um responsável de cibersegurança para a gestão da cibersegurança e da segurança da informação, que seja titular dos órgãos de gestão, direção ou administração ou lhes responda organicamente e de forma direta.

2 - O responsável de cibersegurança tem, pelo menos, as seguintes funções:

3 - As entidades essenciais e importantes comunicam à autoridade de cibersegurança competente, no prazo de 20 dias úteis a contar do início de funções, a pessoa designada para exercer as funções de responsável de cibersegurança, incluindo a informação referida em regulamento a aprovar pelo CNCS.

4 - As entidades essenciais e importantes que tenham iniciado atividade antes da data de entrada em vigor do presente decreto-lei, efetuam a comunicação prevista no número anterior no prazo de 20 dias úteis a contar desta data.

5 - As entidades essenciais e importantes comunicam, sem demora injustificada, às autoridades de cibersegurança competentes, a substituição do responsável de cibersegurança.

6 - Relativamente às entidades essenciais e importantes que pertençam à administração direta, pode ser designado o mesmo responsável de cibersegurança para vários ministérios, áreas governativas ou secretarias regionais.

7 - Relativamente às entidades essenciais e importantes inseridas no mesmo grupo empresarial, pode cada empresa estabelecer um elemento que funcione como ponto de contacto para a cibersegurança sob coordenação de um responsável de segurança comum ao grupo.

8 - O exercício das funções de responsável de cibersegurança é compatível com a acumulações de outras funções dentro da mesma entidade, sem prejuízo do disposto no presente artigo.

Artigo 32.ºPonto de contacto permanente

1 - As entidades essenciais e importantes asseguram a função do ponto de contacto permanente com uma disponibilidade contínua de 24 horas por dia e de sete dias por semana, limitada a períodos de ativação, iniciados e terminados mediante comunicação da autoridade de cibersegurança competente.

2 - As entidades essenciais e importantes comunicam ao CNCS, pelo menos, um ponto de contacto permanente, que pode ser assegurado por um elemento ou uma equipa, de modo a assegurar:

3 - As entidades essenciais e importantes devem indicar à autoridade de cibersegurança competente, no prazo de 20 dias úteis a contar do início de funções, a pessoa ou pessoas que compõem a equipa que asseguram as funções de ponto de contacto permanente, bem como os respetivos meios de contacto principal e alternativos contendo a informação referida em regulamento a aprovar pelo CNCS.

4 - As entidades essenciais e importantes que tenham iniciado atividade antes da data da entrada em vigor do presente decreto-lei devem efetuar a comunicação prevista no número anterior no prazo de 20 dias úteis a contar desta data.

5 - As entidades essenciais e importantes devem comunicar imediatamente à autoridade de cibersegurança competente qualquer alteração à informação prevista no n.º 3.

6 - As entidades essenciais e importantes devem assegurar que o ponto de contacto permanente dispõe de meios de contacto principais e alternativos para a comunicação com a autoridade de cibersegurança competente.

Artigo 33.ºMedidas de cibersegurança aplicáveis às entidades públicas relevantes

1 - As entidades públicas relevantes devem cumprir com as medidas de cibersegurança estabelecidas pelo CNCS nos termos do número seguinte.

2 - O CNCS estabelece, através de regulamento, as medidas de cibersegurança que devem ser cumpridas por parte das entidades públicas relevantes, considerando os critérios previstos no disposto nos n.os 2 e 3 do artigo 26.º e em termos proporcionais e adequados ao grupo a que pertencem, de acordo com o disposto no artigo 7.º 3 - As entidades públicas relevantes estão sujeitas às medidas de supervisão e de execução previstas nos artigos 55.º e 56.º, respetivamente.

4 - É aplicável às entidades públicas relevantes o disposto no n.º 8 do artigo 26.º

Artigo 34.ºCertificação da cibersegurança

1 - O CNCS pode exigir às entidades essenciais, importantes e públicas relevantes a obtenção de certificação, nacional, europeia ou internacional, que ateste o cumprimento das medidas de cibersegurança do presente decreto-lei, nomeadamente em conformidade com esquemas de certificação elaborados a partir do Documento Normativo Português - Especificação Técnica (DNP TS) 4577-1, Maturidade Digital - Selo Digital e do QNRCS, assegurando, em todo caso, uma matriz de equivalência com esquemas de certificação de referência existentes.

2 - O CNCS pode ainda exigir às entidades essenciais, importantes e públicas relevantes, nos termos do n.º 1 do artigo 24.º da Diretiva (UE) 2022/2555, do Parlamento e do Conselho, de 14 de dezembro de 2022, a utilização de produtos, serviços e processos, todos de TIC, desenvolvidos pela entidade ou fornecidos por terceiros, certificados no âmbito de sistemas nacionais e europeus de certificação da cibersegurança, adotados nos termos do artigo 49.º do Regulamento (UE) 2019/881, do Parlamento Europeu e do Conselho, de 17 de abril de 2019.