Artigo 1.º
Objeto
1 -O presente regulamento aprova:
a)As regras de funcionamento da plataforma eletrónica, nomeadamente quanto ao procedimento de autoidentificação e respetiva qualificação das entidades, nos termos do n.º 7 do artigo 8.º do Regime Jurídico da Cibersegurança;
b)As regras das notificações obrigatórias de incidentes de cibersegurança, ou notificações voluntárias de informações pertinentes, previstas no n.º 6 do artigo 40.º e no artigo 45.º do Regime Jurídico da Cibersegurança;
c)As regras relativas às comunicações entre entidades e a autoridade de cibersegurança competente, nomeadamente do Relatório Anual, do Responsável de Cibersegurança, do Ponto de Contacto Permanente, nos termos do artigo 83.º do Regime Jurídico da Cibersegurança;
d)O Quadro Nacional de Referência de Cibersegurança (QNRCS) que consta no Anexo I ao presente regulamento, nos termos do n.º 2 do artigo 14.º do Regime Jurídico da Cibersegurança;
e)As regras para a produção da Matriz de Risco enquanto variável que permite definir os níveis de conformidade e respetivas medidas de cibersegurança mínimas a adotar pelas entidades essenciais e importantes, e que consta do Anexo II ao presente regulamento, nos termos da alínea e) do n.º 1 do artigo 20.º e do n.º 5 do artigo 26.º do Regime Jurídico da Cibersegurança;
f)As regras relativas à gestão dos riscos residuais, nos termos do n.º 1 do artigo 29.º do Regime Jurídico da Cibersegurança;
g)Os níveis de conformidade e respetivas medidas de cibersegurança mínimas, a adotar pelas entidades essenciais e importantes, e os critérios de verificação que as entidades devem observar, que constam do Anexo III ao presente regulamento e que advém do QNRCS, nos termos do n.º 5 do artigo 26.º do Regime Jurídico da Cibersegurança;
h)As regras relativas à comunicação do responsável de cibersegurança e do ponto de contacto permanente, nos termos do n.º 3 do artigo 31.º e do n.º 3 do artigo 32.º do Regime Jurídica da Cibersegurança;
2 -Os anexos ao presente regulamento e dos quais constam as matérias previstas nos números anteriores, fazem parte integrante do mesmo com igual valor jurídico.
Artigo 2.º
Âmbito de aplicação
1 -O presente regulamento aplica-se às entidades essenciais, importantes e públicas relevantes, nos termos e com os limites previstos no Regime Jurídico da Cibersegurança.
2 -O presente regulamento é aplicado pela autoridade de cibersegurança competente, sendo a mesma entendida nos termos da alínea b) do artigo 2.º do Regime Jurídico da Cibersegurança e na alínea b) do artigo 3.º deste regulamento.
Artigo 3.º
Definições
a)«Regime Jurídico da Cibersegurança», aprovado em anexo ao Decreto-Lei n.º 125/2025, de 4 de dezembro;
b)«Autoridade de cibersegurança competente» - O Centro Nacional de Cibersegurança (CNCS), ou, quando aplicável, a autoridade nacional setorial de cibersegurança competente nos termos da alínea a) do n.º 2 do artigo 15.º, sem prejuízo das reservas de competência exclusiva de entidades públicas com responsabilidades em matéria de investigação criminal, de produção de informações e de ciberdefesa;
c)«Níveis de Conformidade» - Sistema de classificação, graduado com os níveis básico, substancial e elevado, do qual resultam as medidas de cibersegurança mínimas que devem ser cumpridas pelas entidades abrangidas pelo Regime Jurídico da Cibersegurança, a partir da matriz de risco aprovada pelo presente regulamento;
d)«Critérios de Verificação» - Evidências factuais, documentais ou técnicas da aplicação de medidas de cibersegurança, previstas nos anexos iii e iv do presente Regulamento;
e)«Plataforma eletrónica» - A plataforma prevista, entre outros, no n.º 7 do artigo 8.º do Regime Jurídico da Cibersegurança;
f)«Área reservada» - Área digital de acesso reservado disponibilizada na plataforma eletrónica, adiante denominada como área reservada, prevista no n.º 4 do artigo 72.º do Regime Jurídico da Cibersegurança;
g)«Autenticação segura» - Os mecanismos de autenticação digital segura resultantes, nomeadamente, do Cartão de Cidadão, Chave Móvel Digital ou outros que sejam reconhecidos como equivalentes em território nacional;
h)«Registo provisório» - O registo criado em consequência do preenchimento do formulário de autoidentificação e até notificação da qualificação da entidade;
i)«Registo definitivo» - A consolidação do registo provisório quando se confirme que a entidade está inserida no âmbito de aplicação material, subjetivo e territorial do Regime Jurídico da Cibersegurança e é qualificada nos termos dos artigos 6.º e 7.º do mesmo regime.
CAPÍTULO II
PLATAFORMA ELETRÓNICA
SECÇÃO I
REGISTO E FUNCIONALIDADE PLATAFORMA
Artigo 4.º
Finalidades e Funcionalidades da plataforma
1 -A plataforma eletrónica prevista no n.º 7 do artigo 8.º do Regime Jurídico da Cibersegurança, visa, através do recurso a meios digitais, simplificar e agilizar os procedimentos de registo das entidades e dos meios de comunicação e notificação entre as entidades abrangidas pelo Regime Jurídico da Cibersegurança com a autoridade de cibersegurança competente.
2 -A plataforma referida no número anterior tem, designadamente, as seguintes funcionalidades:
a)A identificação e registo das entidades, nos termos dos nos n.os 1 e 6 do artigo 8.º do Regime Jurídico da Cibersegurança;
b)A notificação da qualificação de entidades, nos termos dos n.os 2 a 5 e 8 do artigo 8.º do Regime Jurídico da Cibersegurança;
c)A comunicação do relatório anual, nos termos dos n.os 2 e 4 do artigo 30.º do Regime Jurídico da Cibersegurança;
d)A comunicação do responsável de cibersegurança e do ponto de contacto permanente, nos termos do n.º e 3 do artigo 31.º e dos n.os 2 e 3 do artigo 32.º do Regime Jurídico da Cibersegurança;
e)A notificação de incidentes de cibersegurança e a notificação voluntária de informações pertinentes, nos termos dos n.os 1 e 6 do artigo 40.º e do artigo 45.º do Regime Jurídico da Cibersegurança;
f)A notificação de incidentes de cibersegurança, simultaneamente, à autoridade de cibersegurança competente, às autoridades especiais de cibersegurança, nos termos do n.º 7 do artigo 40.º do Regime Jurídico da Cibersegurança;
g)As notificações eletrónicas realizadas pelas autoridades de cibersegurança competentes para a prática dos atos da sua competência às entidades registadas, nos termos do n.º 2 do artigo 72.º do Regime Jurídico da Cibersegurança;
h)A concretização de qualquer outra comunicação a que as entidades estejam obrigadas por força do Regime Jurídico da Cibersegurança, nos termos do seu artigo 83.º do Regime Jurídico da Cibersegurança.
3 -A plataforma eletrónica deve permitir, ainda a notificação simultânea a outras entidades competentes, nomeadamente em matéria criminal ou de proteção de dados pessoais, em respeito pelos respetivos regimes jurídicos, através de soluções de interoperabilidade, a definir por protocolo entre as entidades em causa, nos termos do n.º 7 do artigo 40.º do Regime Jurídico da Cibersegurança.
4 -A plataforma eletrónica assegura a emissão de recibo de entrega sempre que as entidades submetam ou comunicam quaisquer elementos, informações ou documentos através da sua conta de utilizador individual, nos termos legalmente aplicáveis.
5 -O CNCS disponibiliza na plataforma eletrónica um instrumento de apoio às entidades de modo a aferirem se estão incluídas no âmbito de aplicação do Regime Jurídico da Cibersegurança e a respetiva qualificação.
6 -Sem prejuízo do número anterior, as informações e orientações previstas na solução automatizada e informativa não constituem autovinculação administrativa, nem dispensam o preenchimento do formulário de autoidentificação quando obrigatório, nos termos do n.º 1 do artigo 8.º do Regime Jurídico da Cibersegurança.
Artigo 5.º
Disponibilização da plataforma eletrónica
1 -A plataforma eletrónica prevista no presente regulamento é desenvolvida e gerida pelo CNCS, em respeito pelos princípios previstos no n.º 2 do artigo 14.º do Código do Procedimento Administrativo, nomeadamente quanto ao controlo e rastreabilidade de acessos.
2 -O CNCS garante a identificação correta e fiável das entidades e respetivos representantes através de mecanismo de autenticação digital segura, nos termos legalmente aplicáveis.
Artigo 6.º
Identificação e acesso à plataforma eletrónica
1 -A plataforma eletrónica permite a criação de uma conta de utilizador por entidade e respetiva área reservada, com um registo e dados de acesso únicos.
2 -O CNCS, enquanto entidade gestora da plataforma, define uma política de utilização segura relativa aos mecanismos de registo e atualização dos respetivos dados, garantindo, nomeadamente:
a)O elevado nível de qualidade dos dados de autenticação, nomeadamente alertando os utilizadores para o nível de segurança associado aos métodos de autenticação;
b)Que os dados de autenticação são exigíveis a cada acesso à respetiva conta de utilizador;
c)Que as entidades, enquanto mantiverem o registo ativo na plataforma, podem definir e atualizar os dados e respetivos dados de acesso;
d)Mecanismos de bloqueio ou cessação automática de acessos;
e)A dispensa de informação já disponível na plataforma eletrónica, em cumprimento do princípio da declaração única.
3 -O acesso à plataforma pode ser feito sem registo ou autenticação prévios nos casos legalmente previstos, nomeadamente para acesso a conteúdos, informações, ferramentas de apoio à decisão ou notificações voluntárias de informações pertinentes.
4 -As entidades com registo definitivo na plataforma eletrónica podem permitir o acesso às respetivas contas individuais ao responsável de cibersegurança ou à pessoa ou pessoas que assegurem as funções de ponto de contacto permanente, para o exercício das suas responsabilidades e competências.
Artigo 7.º
Mecanismos de autenticação e legitimidade de representação
1 -As entidades autenticam-se na plataforma eletrónica, nomeadamente, através dos respetivos representantes legais, com recurso a sistema de identificação eletrónico com nível de garantia elevado, nos termos do n.º 2 do artigo 84.º do Regime Jurídico da Cibersegurança, nomeadamente, cartão de cidadão ou Chave Móvel Digital e com possibilidade de utilização de certificação de determinado atributo profissional, através do Sistema de Certificação de Atributos Profissionais, nos termos da Lei n.º 7/2007, de 5 de fevereiro, e da Lei n.º 37/2014, de 26 de junho.
2 -As entidades, para os efeitos previstos no número anterior, podem fazer-se representar através dos meios legalmente admissíveis, nomeadamente por mandato.
3 -Para os efeitos previstos no número anterior, a plataforma eletrónica assegura, quando necessário, as soluções tecnológicas ou um mecanismo de submissão de documento comprovativo, da constituição de mandato ou atribuição de poderes específicos de representação, devendo o mesmo documento revestir a forma legalmente exigível para o negócio ou ato jurídico correspondente.
4 -A plataforma eletrónica assegura, nos termos legalmente previstos, a reciprocidade de meios de autenticação em uso em território nacional, mas gerados ou emitidos em estado da União Europeia.
5 -O CNCS assegura que a plataforma eletrónica admite os mecanismos autenticação adequados quando a entidade se faça representar por pessoa estrangeira e esta não disponha dos mecanismos de autenticação previstos no presente artigo.
Artigo 8.º
Autoidentificação
1 -A autoidentificação das entidades essenciais, importantes e públicas relevantes, com vista à sua qualificação, resulta do preenchimento de formulário(s) eletrónico(s) disponível(eis) na plataforma eletrónica, do(s) qual(is) devem constar os dados estritamente necessários à respetiva qualificação das entidades, nos termos conjugados dos artigos 6.º e 7.º e do n.º 1 do artigo 8.º do Regime Jurídico da Cibersegurança, designadamente:
a)Nome da entidade em causa;
b)Número de identificação fiscal;
c)Se aplicável, o setor e subsetor pertinentes referidos nos anexos i ou ii do Regime Jurídico da Cibersegurança;
d)Tipo de entidade, nos termos e para os efeitos do artigo 3.º e dos anexos i e ii do Regime Jurídico da Cibersegurança;
e)Estabelecimento, nos termos e para os efeitos do artigo 4.º do Regime Jurídico da Cibersegurança;
f)Endereço e dados de contacto atualizados, incluindo os endereços de correio eletrónico; e
g)Se aplicável, uma lista dos Estados-Membros da União Europeia em que prestam serviços abrangidos pelo âmbito de aplicação do Regime Jurídico da Cibersegurança;
h)Número de trabalhadores, nos termos do artigo 2.º do Anexo III ao Regime Jurídico da Cibersegurança;
j)A adesão ao serviço público de notificações eletrónicas previsto no Decreto-Lei n.º 93/2017, de 1 de agosto, na sua redação atual, quando tenha ocorrido.
2 -Para os efeitos do número anterior, o registo de nomes de domínio de topo, bem como as entidades que sejam prestadores de serviços de DNS, prestadores serviços de registo de nomes de domínio, prestadores de serviços de computação em nuvem, prestadores de serviços de centro de dados, fornecedores de redes de distribuição de conteúdos, prestadores de serviços geridos, prestadores de serviços de segurança geridos, bem como dos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais, asseguram o seu registo na plataforma eletrónica, fornecendo os seguintes elementos:
a)O endereço do respetivo estabelecimento principal e dos outros estabelecimentos legais que possui na União Europeia ou, caso não esteja estabelecida na União, do representante designado;
b)Contactos atualizados, incluindo endereços de correio eletrónico;
c)Os Estados-Membros onde presta serviços;
3 -No momento do preenchimento do formulário de autoidentificação é criado um registo provisório para a entidade que permite o acompanhamento do procedimento de qualificação.
4 -Para além dos dados requeridos nos números anteriores e quando não consiga obtê-los através dos mecanismos de interoperabilidades previstos no n.º 1 do artigo 87.º do RSC, a autoridade de cibersegurança competente pode solicitar, por uma única vez, após o preenchimento do formulário, informações ou documentos adicionais para comprovar um determinado dado ou grupo de dados.
5 -A plataforma eletrónica garante a identificação de erros ou falta de preenchimento, que, a existirem, deverão ser corrigidos antes da submissão final do formulário.
6 -Após a submissão, é gerado um recibo comprovativo correspondente à autoidentificação da entidade, acompanhado da data e hora da submissão.
Artigo 9.º
Qualificação de entidades
1 -Após a autoidentificação prevista no artigo anterior, a autoridade de cibersegurança competente, notifica as entidades da sua qualificação, na área reservada da plataforma eletrónica, observados os critérios previstos nos artigos 4.º, 6.º, 7.º e 9.º, bem como cumpridos os trâmites e formalidades previstos nos n.os 4 e 5 do artigo 8.º, todos do Regime Jurídico da Cibersegurança, quando aplicável, através da plataforma eletrónica.
2 -O disposto no número anterior não obsta que a autoridade de cibersegurança competente notifique a entidade que procedeu à respetiva autoidentificação de que está fora do âmbito de aplicação ou do não preenchimento dos requisitos de qualificação previstos no n.º 7 do artigo 3.º e nos artigos 4.º, 6.º e 7.º do Regime Jurídico da Cibersegurança.
3 -Nos casos em que a entidade que se autoidentificou esteja fora do âmbito de aplicação do Regime Jurídico da Cibersegurança, é extinto o registo provisório previsto no n.º 3 do artigo 8.º do presente Regulamento, no prazo máximo de 90 dias, sem prejuízo da conservação, por outros meios, do formulário de autoidentificação e da respetiva notificação de exclusão, pela autoridade de cibersegurança competente.
4 -Sem prejuízo do número anterior, mediante decisão do CNCS e após pedido fundamentado, podem ser conservados os registos de entidades que estejam fora do âmbito de aplicação do Regime Jurídico da Cibersegurança para efeitos de acesso a informações, funcionalidades ou comunicações disponibilizadas pela plataforma eletrónica.
5 -O parecer das autoridades nacionais setoriais de cibersegurança a que se refere o n.º 4 do artigo 8.º do Regime Jurídico da Cibersegurança é submetido na plataforma eletrónica pelas referidas autoridades, competindo ao CNCS disponibilizar os mecanismos de acesso para o efeito.
6 -As entidades podem reagir à notificação de qualificação nos termos gerais do Direito e através da plataforma eletrónica, nomeadamente através dos meios impugnatórios e prazos previstos no Código do Procedimento Administrativo.
7 -A qualificação das entidades pode ser alterada ou atualizada a qualquer momento, por decisão da autoridade de cibersegurança competente, com fundamento na alteração das circunstâncias ou das características das entidades, nos termos dos critérios previstos nos artigos 6.º e 7.º do Regime Jurídico da Cibersegurança.
8 -A alteração ou atualização da qualificação prevista no número anterior, é notificada nos termos definidos no presente regulamento, quando a entidade esteja registada na plataforma eletrónica ou, na sua ausência, por via postal.
Artigo 10.º
Registo definitivo na plataforma
Após a notificação da qualificação das entidades, nos termos dos artigos anteriores, o registo provisório na plataforma eletrónica é consolidado em definitivo, podendo a autoridade de cibersegurança competente notificar as entidades para a prestação das informações ou dados que não constem do formulário de autoidentificação e que sejam obrigatórios nos termos do artigo 35.º do Regime Jurídico da Cibersegurança.
Artigo 11.º
Atualização permanente da informação
Os dados e informações submetidos na plataforma eletrónica são da responsabilidade da respetiva entidade, devendo esta mantê-los permanentemente atualizados.
COMUNICAÇÕES COM AS AUTORIDADES DE CIBERSEGURANÇA
Artigo 12.º
Comunicações com as autoridades de cibersegurança
1 -As entidades essenciais, importantes e públicas relevantes efetuam, através da plataforma eletrónica, todas as comunicações previstas no Regime Jurídico da Cibersegurança, no presente Regulamento ou nos seus anexos, e dirigidas à autoridade de cibersegurança competente, nos termos do n.º 7 do artigo 8.º e do n.º 1 do artigo 84.º do mesmo Regime Jurídico, salvo previsão legal ou regulamentar em sentido contrário.
2 -As comunicações referidas no número anterior podem ser asseguradas por mecanismos automatizados de transmissão de informação, nomeadamente por recurso a interfaces de programação de aplicações (API - application programming interface).
3 -O CNCS disponibiliza, para os efeitos previstos no número anterior, manual de utilização de cada um dos interfaces de programação de aplicações.
4 -A plataforma eletrónica assegura que as autoridades nacionais setoriais têm acesso exclusivamente às informações que devam conhecer ou aceder, nos termos do Regime Jurídico da Cibersegurança.
5 -O disposto no n.º 1 do presente artigo aplica-se, igualmente, às comunicações e notificações em matéria de taxas de supervisão, nos termos do disposto na Portaria n.º XX/2026, de XXX.
Artigo 13.º
Comunicação de documentos
1 -As entidades essenciais comunicam à autoridade de cibersegurança competente, anualmente e através da sua área reservada na plataforma eletrónica, o relatório anual, com os elementos e nos prazos previstos nos n.os 1 e 2 do artigo 30.º do Regime Jurídico da Cibersegurança.
2 -As entidades importantes, sempre que lhes seja solicitado, remetem o seu relatório anual ao CNCS, na sua área reservada na plataforma eletrónica, nos termos previstos nos n.os 1 e 4 do artigo 30.º do Regime Jurídico da Cibersegurança.
3 -O CNCS, ouvidas as autoridades nacionais setoriais de cibersegurança, disponibilizará, na plataforma eletrónica e acessível às entidades essenciais e importantes, modelos para a apresentação do relatório anual nos termos do disposto no n.º 5 do artigo 30.º do Regime Jurídico da Cibersegurança.
4 -Quando resultar das medidas de cibersegurança mínimas ou do exercício dos poderes de supervisão nos termos das alíneas f) e g) do n.º 1 do artigo 54.º e das alíneas f) e g) do n.º 2 do artigo 55.º do Regime Jurídico de Cibersegurança, a obrigatoriedade de elaborar e comunicar à autoridade de cibersegurança competente, determinadas informações ou documentos, os mesmos são remetidos através da plataforma eletrónica, nos prazos estabelecidos para o efeito.
Artigo 14.º
Responsável de cibersegurança
1 -As entidades essenciais e importantes comunicam à autoridade de cibersegurança competente, através de formulário disponível na sua área reservada da plataforma eletrónica, a pessoa designada para as funções de responsável de cibersegurança, nos termos e com os prazos previstos nos n.os 3 a 7 do artigo 31.º do Regime Jurídico da Cibersegurança.
2 -A comunicação prevista no número anterior contém, nomeadamente, as seguintes informações:
a)Nome do responsável de segurança;
b)Cargo do responsável de segurança;
c)Endereço de correio eletrónico;
d)Número de telefone fixo, se aplicável;
e)Número de telefone móvel;
f)Despacho ou ato de designação do responsável de segurança, se aplicável.
Artigo 15.º
Ponto de contacto permanente
1 -As entidades essenciais e importantes comunicam à autoridade de cibersegurança competente, através de formulário disponível na área reservada da plataforma eletrónica, o ponto de contacto permanente, nos termos e com os prazos previstos nos n.os 2 a 6 do artigo 32.º do Regime Jurídico da Cibersegurança.
2 -A comunicação prevista no número anterior contém, nomeadamente, as seguintes informações:
a)Nome do elemento ou elementos da entidade que assume(m) a função de ponto de contacto permanente;
b)Endereço de correio eletrónico principal;
c)Endereço de correio eletrónico alternativo;
d)Número de telefone fixo principal, se aplicável;
e)Número de telefone móvel principal;
f)Número de telefone fixo alternativo, se aplicável;
g)Número de telefone móvel alternativo;
h)Outros contactos alternativos.
Artigo 16.º
Tratamento, conservação e atualização dos dados e respetiva destruição
1 -A autoridade de cibersegurança competente assegura que o tratamento de dados, através da plataforma eletrónica, respeita as regras em matéria de segurança da informação e, quando pessoais, a legislação aplicável em matéria de proteção de dados pessoais, nomeadamente o Regulamento (UE) n.º 679/2016, do Parlamento e do Conselho, de 27 de abril, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.
2 -Para os efeitos previstos no número anterior, a autoridade de cibersegurança competente define e publica no sítio da internet da plataforma eletrónica, uma política de tratamento de dados, sem prejuízo das demais obrigações que lhe compitam enquanto responsável pelo tratamento de dados.
3 -Os dados pessoais registados na plataforma eletrónica serão conservados durante toda a vigência do registo associado às entidades e pelo período de cinco anos após a extinção do mesmo registo, sem prejuízo do disposto nos n.os 2 e 3 do artigo 21.º da Lei n.º 58/2019, de 8 de agosto.
Artigo 17.º
Situações de falência do sistema
1 -Nos casos em que ocorra uma situação de falência do funcionamento da plataforma eletrónica e as entidades não possam aguardar pela disponibilidade da mesma para prática de determinados atos ou submissão de informações, poderão remeter as mesmas para o correio eletrónico da autoridade de cibersegurança competente ou contacto telefónico, disponíveis no sítio da internet da mesma, nos termos do n.º 3 do artigo 83.º do Regime Jurídica do Cibersegurança.
2 -Os atos praticados ou a informação submetida pelo endereço de correio eletrónico, nos termos do número anterior, considera-se validamente submetida no momento de receção da comunicação, para todos os efeitos.
Artigo 18.º
Mecanismos de interoperabilidade e acesso a informação
A plataforma eletrónica assegura os mecanismos de interoperabilidade adequados ao tratamento dos dados relevantes para a sua atividade, nomeadamente com outras plataformas ou bases de dados, nos termos do artigo 87.º do Regime Jurídico da Cibersegurança.
Artigo 19.º
Notificação eletrónica
1 -A autoridade de cibersegurança competente notifica eletronicamente as entidades essenciais, importantes e públicas relevantes, dos atos, decisões ou solicitações que pratique no âmbito das suas competências, nos termos do artigo 72.º do Regime Jurídico da Cibersegurança.
2 -As notificações previstas no número anterior são realizadas para a área reservada das entidades na plataforma eletrónica, gerando uma notificação automática para o endereço de correio eletrónico registado na mesma plataforma e, quando expressamente indicado pelas entidades, para o endereço de correio eletrónico do responsável de cibersegurança.
3 -As notificações eletrónicas devem conter, quando aplicável, os elementos previstos no n.º 2 do artigo 114.º do Código do Procedimento Administrativo, bem como assinatura digital ou certificado eletrónico que assegure a respetiva autenticidade do documento a notificar.
4 -As notificações eletrónicas consideram-se feitas na data da consulta eletrónica da área reservada ou, se esta não ocorrer, no termo do terceiro dia a contar da receção, nos termos do n.º 4 do artigo 72.º do Regime Jurídico da Cibersegurança.
5 -A presunção do n.º 4 do artigo 72.º do Regime Jurídico da Cibersegurança pode ser ilidida nos termos previstos no n.º 2 do artigo 113.º do Código do Procedimento Administrativo.
6 -O disposto nos números anteriores não se aplica à citação e à decisão final emitidas em processos contraordenacionais a instaurar ou em curso, que são realizadas por via postal nos termos do Direito aplicável, sem prejuízo da notificação eletrónica dos atos instrutórios no âmbito dos mesmos processos.
7 -A plataforma eletrónica assegura, ainda, a notificação eletrónica às entidades através do serviço público de notificações eletrónicas (SPNE), sempre que se verifique o destinatário a ele tenha aderido, nos termos do Decreto-Lei n.º 93/2017, de 1 de agosto, na redação atual.
8 -Para os efeitos previstos no número anterior, as entidades essenciais, importantes ou públicas relevantes devem indicar, no momento do registo, se aderiram ao SPNE e, em caso afirmativo, se pretendem ser notificadas através do mesmo.
CAPÍTULO III
NOTIFICAÇÃO DE INCIDENTES
Artigo 20.º
Notificação obrigatória de incidentes
1 -As entidades essenciais, importantes e públicas relevantes, sujeitas à notificação obrigatória de incidentes de cibersegurança, submetem à autoridade de cibersegurança competente, através de formulário disponível na área reservada da plataforma eletrónica:
a)Uma notificação inicial, nos termos e com a informação prevista no artigo 42.º do Regime Jurídico da Cibersegurança;
b)Uma notificação de fim do impacto significativo, nos termos e com a informação prevista no artigo 43.º do Regime Jurídico da Cibersegurança;
c)Um relatório final e intercalar, nos termos e com a informação prevista no artigo 44.º do Regime Jurídico da Cibersegurança;
2 -Sem prejuízo do número anterior, as entidades podem, ainda, submeter, sem necessidade de autenticação na plataforma eletrónica, notificações voluntárias de informações pertinentes nos termos do artigo seguinte.
Artigo 21.º
Notificação voluntária de informações pertinentes
1 -Qualquer pessoa singular ou coletiva pode submeter à autoridade de cibersegurança competente e através da plataforma eletrónica, notificações voluntárias de ocorrência de incidentes, ciberameaças, quase incidentes ou vulnerabilidades, nos termos do n.º 1 do artigo 45.º do Regime Jurídico da Cibersegurança.
2 -Para os efeitos previstos no n.º 3 do artigo 45.º do Regime Jurídico da Cibersegurança, a entidade ou pessoa notificante deve, sempre que tenha conhecimento ou acesso à informação, disponibilizar os elementos previstos no n.º 2 do artigo 42.º, no n.º 2 do artigo 43.º e nos n.os 2 e 4 do artigo 44.º do mesmo Regime Jurídico da Cibersegurança.
3 -A autoridade de cibersegurança competente, sempre que necessário, pode solicitar informações ou elementos adicionais.
4 -A notificação voluntária de informações pertinentes não requer autenticação ou registo da pessoa singular ou coletiva na plataforma eletrónica.
Artigo 22.º
Tramitação de notificações obrigatórias de incidentes
1 -A plataforma eletrónica assegura a consulta permanente de informação sobre o estado das notificações obrigatórias realizadas pelas entidades, sempre que as mesmas tenham sido feitas nas respetivas áreas reservadas, nos termos legalmente previstos.
2 -A plataforma eletrónica assegura, ainda, a possibilidade de associar as diferentes notificações previstas nas alíneas do n.º 1 do artigo 20.º do presente regulamento, sempre que relacionadas com um mesmo incidente.
3 -A plataforma eletrónica pode disponibilizar um mecanismo de emissão automatizada de alertas às entidades relativos ao decurso dos prazos previstos nos artigos 42.º a 44.º do Regime Jurídico da Cibersegurança.
CAPÍTULO IV
INSTRUMENTOS ESTRUTURANTES
SECÇÃO I
QUADRO NACIONAL DE REFERÊNCIA DE CIBERSEGURANÇA
Artigo 23.º
QNRCS
1 -O QNRCS, aprovado no presente Regulamento e constante do Anexo I, é o instrumento nacional de referência para a identificação das normas, padrões e boas práticas existentes em matéria de gestão da Cibersegurança e da Segurança Informação, nos termos do artigo 14.º do Regime Jurídico da Cibersegurança.
2 -O QNRCS é construído e atualizado atendendo aos princípios da prossecução do interesse público, da legalidade, da eficiência, da eficácia e da proporcionalidade, devendo minimizar, sempre que possível, o seu impacto nas atividades públicas, sociais e empresariais das entidades.
3 -As entidades devem aplicar o QNRCS visando uma perspetiva de melhoria contínua e evolutiva, de acordo com a sua maturidade e respetivo contexto.
4 -Compete ao CNCS atualizar, pelo menos, de cinco em cinco anos, o QNRCS, nos termos do n.º 2 do artigo 14.º do Regime Jurídico da Cibersegurança.
Artigo 24.º
Âmbito de aplicação subjetivo
1 -O QNRCS é aplicável às entidades essenciais, importantes e públicas relevantes, por força dos n.os 3 e 5 do artigo 14.º do Regime Jurídico da Cibersegurança e de acordo com as disposições do presente Regulamento.
2 -Sem prejuízo do número anterior, a autoridade de cibersegurança competente pode recomendar a aplicação do QNRCS às entidades que se encontram fora do âmbito de aplicação do Regime Jurídico da Cibersegurança.
3 -As autoridades nacionais setoriais de cibersegurança referidas na alínea a) do n.º 2 do artigo 15.º do Regime Jurídico da Cibersegurança podem ainda adotar normas complementares ao QNRCS, através de regulamento próprio, em articulação com o CNCS, nos termos do n.º 4 do artigo 14.º do referido regime.
Artigo 25.º
Organização e estrutura do QNRCS
1 -O QNRCS é estruturado em função do ciclo de vida da gestão da cibersegurança a realizar pelas entidades, tendo em consideração o fator humano, tecnológico e processual, com especial foco nos processos e procedimentos da gestão dos riscos.
2 -O QNRCS tem a seguinte estrutura, sem prejuízo da sua atualização:
a)Objetivos de cibersegurança;
c)Controlos de cibersegurança.
Artigo 26.º
Aplicação conjunta
1 -A aplicação do QNRCS pelas entidades essenciais e importantes, tendo em consideração os resultados da análise de risco efetuada, deve ser conjugada com as medidas de cibersegurança mínimas e em respeito aos níveis de conformidade previstos no anexo iii do presente Regulamento, nos termos do n.º 5 do artigo 14.º do Regime Jurídico da Cibersegurança.
2 -A aplicação do QNRCS, enquanto instrumento nacional de referência e no âmbito da adoção de medidas de cibersegurança aplicáveis, pode ter em conta os controlos de cibersegurança e as suas respetivas descrições e orientações, constantes do Anexo I ao presente Regulamento.
Artigo 27.º
Certificação voluntária
1 -Nos termos do n.º 3 do artigo 34.º do Regime Jurídico da Cibersegurança, as entidades essenciais e importantes podem beneficiar da presunção de cumprimento das medidas de cibersegurança previstas nos artigos 26.º a 29.º do mesmo regime jurídico e no artigo 30.º do presente Regulamento, quando apresentem à autoridade de cibersegurança competente um certificado emitido por um organismo de certificação devidamente acreditado, nos termos do n.º 3.
2 -Nos termos do n.º 3 do artigo 34.º do Regime Jurídico da Cibersegurança, as entidades públicas relevantes podem beneficiar da presunção de cumprimento das medidas de cibersegurança previstas no artigo 33.º do Regime Jurídico da Cibersegurança e no artigo 30.º do presente Regulamento, quando apresentem à autoridade de cibersegurança competente um certificado emitido por um organismo de certificação devidamente acreditado, nos termos do número seguinte.
3 -A certificação referida nos números anteriores atesta o cumprimento das medidas de cibersegurança correspondentes ao nível de conformidade ou superior exigido às entidades certificadas, tal como previsto nos artigos 26.º e 33.º do Regime Jurídico de Cibersegurança, aplicando, para o efeito, um esquema de certificação válido, na sua versão atualizada, nomeadamente:
a)Quadro Nacional de Referência para a Cibersegurança (EC QNRCS);
c)Para as entidades públicas relevantes, o Documento Normativo Português Especificação Técnica (DNP TS) 4577-1, Maturidade Digital - Selo Digital;
d)Outro esquema devidamente aprovado ou reconhecido pela Autoridade Nacional de Certificação de Cibersegurança.
4 -Os certificados referidos nos números 1 e 2 do presente artigo são submetidos voluntariamente pelas entidades à autoridade de cibersegurança competente ou sempre que solicitado, através da plataforma eletrónica prevista no presente Regulamento.
5 -Qualquer alteração do certificado, nomeadamente a sua revogação, suspensão ou caducidade, deve ser comunicada à autoridade de cibersegurança competente, através da plataforma eletrónica prevista no presente Regulamento, no prazo máximo de 20 dias úteis a contar da alteração.
SECÇÃO II
MATRIZ DE RISCO
Artigo 28.º
Matriz de Risco
1 -A matriz de risco, aprovada no presente regulamento e constante do Anexo II, é o quadro referencial que estabelece os valores de risco para o conjunto de cenários de risco que recaem sobre um setor e subsetor de atividade, considerando os ativos comuns, as principais ameaças e vulnerabilidades, nos termos do disposto na alínea m) do artigo 2.º, nos n.os 4 e 5 do artigo 26.º, no n.º 1 do artigo 27.º e no n.º 3 do artigo 53.º do Regime Jurídico da Cibersegurança.
2 -Os valores de risco referidos no número anterior, são determinados com base no nível de risco associado ao setor ou subsetor a que as entidades pertencem tendo em conta a sua dimensão e com a importância do setor ou subsetor, podendo ser atribuído um de três níveis de conformidade:
3 -Os critérios para a produção da matriz de risco são construídos e atualizados atendendo aos princípios da prossecução do interesse público, da legalidade, da eficiência, da eficácia e da proporcionalidade, devendo minimizar, sempre que possível, o seu impacto nas atividades públicas, sociais e empresariais das entidades.
4 -Considerando o setor de atividade, a dimensão da entidade e a matriz de risco definida são determinados os níveis de conformidade e as medidas de cibersegurança mínimas e específicas a adotar que constam do anexo iii.
5 -O CNCS pode disponibilizar na plataforma eletrónica um quadro de apoio à leitura para a utilização da matriz de risco.
Artigo 29.º
Âmbito de aplicação subjetivo
A matriz de risco é aplicável às entidades essenciais e importantes, nos termos do disposto do n.º 4 e 5 do artigo 26.º do Regime Jurídico da Cibersegurança.
MEDIDAS DE CIBERSEGURANÇA MÍNIMAS E DE EXECUÇÃO
Artigo 30.º
Medidas de Cibersegurança Mínimas
1 -As entidades essenciais, importantes e públicas relevantes aplicam, pelo menos, as medidas de cibersegurança mínimas, aprovadas no presente regulamento e constante dos Anexos III e IV, nos termos dos n.os 5 e 6 do artigo 26.º, artigo 27.º e artigo 33.º do Regime Jurídico da Cibersegurança.
2 -As entidades essenciais e importantes sujeitas aos níveis de conformidade substancial e elevado asseguram, ainda, a aplicação das medidas de cibersegurança mínimas dos níveis de conformidade respetivamente inferiores.
3 -As entidades públicas relevantes sujeitas às medidas de cibersegurança previstas para o Grupo A, nos termos definidos no Anexo IV do presente Regulamento, asseguram, igualmente, a aplicação das medidas de cibersegurança mínimas definidas para o Grupo B do mesmo anexo.
4 -Sem prejuízo do número anterior, o CNCS pode exigir às entidades essenciais, importantes e públicas relevantes, a obtenção de certificação, nacional, europeia ou internacional, que ateste o cumprimento das medidas de cibersegurança aplicáveis, nos termos do n.º 1 do artigo 34.º do Regime Jurídico da Cibersegurança.
5 -Sem prejuízo dos números anteriores e nos termos do n.º 3 do artigo 20.º do Regime Jurídico da Cibersegurança, as autoridades nacionais setoriais ou especiais de cibersegurança podem emitir disposições regulamentares, precedidas de parecer do CNCS, para a adoção de medidas de cibersegurança do setor. A autoridade de cibersegurança competente pode ainda recomendar, sem caráter vinculativo, a adoção de medidas mínimas de cibersegurança às entidades que se encontram fora do âmbito de aplicação do Regime Jurídico da Cibersegurança.
Artigo 31.º
Gestão do Risco Residual
1 -As entidades essenciais e importantes, procedem, nos termos do n.º 1 do artigo 29.º do Regime Jurídico de Cibersegurança, à análise e gestão periódicas dos riscos residuais relativos aos ativos que garantam a continuidade do funcionamento das redes e dos sistemas de informação que utilizam, nos termos do número seguinte.
2 -As entidades essenciais e importantes realizam a análise do risco residual com a seguinte periodicidade:
a)Durante o planeamento e introdução de alteração ou substituição a ativo ou ativos e em relação ao ativo ou ativos alterados ou substituídos. Após a ocorrência de um incidente com impacto significativo ou outra situação extraordinária, em relação aos ativos afetados;
b)Após a notificação, por parte do CNCS, de um risco, de uma ameaça ou de uma vulnerabilidade emergente que impliquem uma elevada probabilidade de ocorrência de um incidente com impacto significativo, dentro do prazo fixado pelo CNCS.
4 -Para os efeitos previstos no n. 3.º do artigo 29.º, as entidades essenciais e importantes documentam a preparação, a execução e a apresentação dos resultados da análise dos riscos e garantem que, para cada ativo, é incluída:
a)A identificação das ameaças, internas ou externas, intencionais ou não intencionais, incluindo, nomeadamente:
b)A caracterização do impacto e da probabilidade da ocorrência das ameaças identificadas na alínea anterior.
5 -A análise dos riscos deve ter em consideração:
a)O histórico de situações extraordinárias ocorridas;
b)O histórico de incidentes e, em especial, de incidentes significativos;
c)O número de utilizadores afetados pelos incidentes;
d)A duração dos incidentes;
e)A distribuição geográfica, no que se refere à zona afetada pelos incidentes;
f)As dependências intersetoriais para efeitos da prestação dos serviços, incluindo os constantes do anexo ao Regime Jurídico da Cibersegurança, nomeadamente o setor da energia e infraestruturas digitais.
Artigo 32.º
Lista de ativos publicamente acessíveis
1 -Para efeitos de comunicação das gamas de endereços de IP prevista na alínea c) do n.º 1 e alínea d) do n.º 2 do artigo 35.º do Regime Jurídico da Cibersegurança, as entidades essenciais, importantes e públicas relevantes, devem elaborar, manter atualizado e comunicar à autoridade de cibersegurança competente uma lista de todos os ativos essenciais para a prestação dos respetivos serviços, com base no seu inventário de ativos, que estejam diretamente acessíveis publicamente através da Internet.
2 -A lista de ativos acima referida, deve incluir a seguinte informação:
b)Nome do equipamento/Nome do software;
d)Endereço IP, se aplicável;
e)Fully Qualified Domain Names (FQDNs), se aplicável;
g)As dependências entre os ativos, quando existentes.
3 -Para os efeitos da alínea g) do número anterior existe dependência entre ativos, quando a indisponibilidade de um ativo compromete sequencialmente a continuidade da atividade ou utilização de outro ativo.
4 -As entidades devem comunicar ao CNCS a lista dos ativos, com a seguinte periodicidade:
a)Na sua versão inicial, no prazo de 20 dias úteis a contar da data da notificação prevista no n.º 5 do artigo 8.º Regime Jurídico da Cibersegurança;
b)Numa versão atualizada, anualmente, a ser entregue em conjunto com o relatório anual a que se refere o artigo n.º 2 do artigo 30.º do Regime Jurídico da Cibersegurança.
5 -O CNCS publica uma instrução técnica de apoio à identificação dos ativos essenciais para a prestação dos respetivos serviços e referidos no n.º 1 do presente artigo.
Artigo 33.º
Medidas de Execução
1 -As medidas de execução previstas nos artigos 56.º e 57.º do RJC são adotadas pela autoridade de cibersegurança competente, atendendo aos princípios da prossecução do interesse público, da legalidade, da eficiência, da eficácia e da proporcionalidade, devendo minimizar, sempre que possível, o seu impacto nas atividades públicas, sociais e empresariais das entidades supervisionadas, nos termos do n.º 2 do artigo 53.º do mesmo RJC.
2 -As medidas de bloqueio e redirecionamento previstas no artigo 57.º do RJC são adotadas pela autoridade de cibersegurança competente apenas em circunstâncias excecionais, designadamente para fazer face a uma ciberameaça significativa ou durante ou na sequência da ocorrência de um incidente de impacto significativo e quando a adoção de outras medidas menos gravosas não seja igualmente eficaz.
3 -As medidas de execução adotadas pela autoridade de cibersegurança competente são especialmente fundamentadas pelo CNCS e notificadas às entidades que as devam conhecer e aplicar, pelo meio disponível mais expedito, podendo recorrer-se à área reservada da plataforma eletrónica.
Artigo 34.º
Entrada em vigor
O presente Regulamento entra em vigor no quinto dia após a sua publicação.
Artigo 35.º
Produção de efeitos
2 -Entidades Importantes;
3 -Entidades Públicas Relevantes;
4 -Quaisquer outras entidades que utilizem redes e sistemas de informação.
O QNRCS pode ser utilizado em complemento com processos já existentes nas entidades, permitindo a identificação de lacunas na estratégia organizacional de cibersegurança e promovendo a definição de um caminho de melhoria contínua.
A estrutura central do QNRCS sistematiza um universo essencial de controlos de cibersegurança que as entidades podem utilizar para comparar com os controlos de cibersegurança já implementados.
a)Política de Gestão dos Riscos de Cibersegurança;
b)Política de Gestão do Risco da Cadeia de Abastecimento;
c)Política de Gestão do Ciclo de Vida de Ativos;
d)Política de Classificação e Gestão de Dados;
e)Política de Monitorização, Identificação e Documentação das Vulnerabilidades;
f)Política de Palavra-Passe;
g)Política de Gestão de Identidades, Autenticação e Controlo de Acessos;
h)Política de Uso Aceitável;
5 -CIS Critical Security Controls Version 8.1
O CSC é publicado pelo CIS. Este catálogo disponibiliza uma lista de ações, priorizada, que é regularmente revista pela comunidade académica, de forma a ser utilizável pelas entidades.
6 -NIST Special Publication 800-53 Rev.5
Publicado pela NIST93, é um catálogo de controlos para gestão dos riscos de cibersegurança e riscos de outra natureza, disponibilizando um processo de seleção de controlos para proteção da operação e dos ativos das organizações, gestão de incidentes, desastres naturais, falhas estruturais ou erro humano.
7 -Proteger
Pretende-se, como resultado do objetivo Proteger, proporcionar o desenvolvimento e a implementação de controlos de cibersegurança necessários à garantia de prestação de serviços ou bens, reforçando a capacidade da entidade limitar ou conter o impacto de uma eventual ocorrência de um incidente de cibersegurança. Através da implementação de controlos que protejam os processos organizativos e os ativos da entidade, independentemente da sua natureza tecnológica, a entidade garante a sua proteção em três dimensões: Pessoas, Processos e Tecnologia.
Esta capacidade potencia-se e assegura-se, na gestão da identidade eletrónica e respetivas autorizações, na realização de ações de formação e de sensibilização e na definição e implementação de procedimentos, processos e tecnologias de proteção da informação, entre outras.
8 -Detetar
No contexto do objetivo Detetar, pretende-se desenvolver práticas adequadas e atempadas à deteção da ocorrência de eventos segurança, ou seja, a deteção de eventos com um efeito adverso real na segurança das redes e dos sistemas de informação por via da monitorização contínua das redes e sistemas de informação e da implementação de processos de deteção.
9 -Responder
Pretende-se, com o objetivo Responder, desenvolver e implementar práticas de resposta a um incidente de cibersegurança. Estas práticas devem capacitar a entidade para a contenção dos impactos de um potencial incidente, e para mitigar o impacto do incidente, isto é, reduzir e eventualmente reverter os seus potenciais efeitos adversos, através do planeamento da resposta a incidentes, da comunicação com as partes interessadas relevantes, da análise e mitigação de incidentes e da melhoria por intermédio das lições aprendidas.
10 -Recuperar
No âmbito do objetivo Recuperar, pretende-se desenvolver e implementar práticas e manter planos de resiliência para restaurar qualquer capacidade e/ou serviço que tenha sido comprometido na sequência de um evento de cibersegurança. Estas práticas promovem a recuperação adequada das operações da entidade, para reduzir os impactos do incidente ocorrido. Entre outras, promove-se a execução de planos de continuidade de negócio, de recuperação, da execução de exercícios de simulação de situações de crise e de atualizações dos planos com vista à melhoria dos mesmos. Os controlos pertencentes a este objetivo visam assegurar a resiliência da entidade nas suas dimensões: Pessoas, Processos e Tecnologia. Os controlos tencionam que, no caso de existência de um incidente, a entidade consiga utilizar os controlos para suporte à recuperação em tempo útil da sua atividade.