Saltar para o conteúdo principal

Artigo 21.º — Circunstâncias

Vigente desde: 22/08/2018
  1. 1 -Para efeitos do disposto no artigo anterior, devem ser objeto de notificação todas as violações de segurança ou perdas de integridade que causem uma perturbação grave no funcionamento das redes e serviços, com impacto significativo na continuidade desse funcionamento, de acordo com as circunstâncias e as regras previstas nos números seguintes.
  2. 2 -Para efeitos do disposto nos números anteriores, as empresas devem notificar a ANACOM:
    1. a)De qualquer violação de segurança ou perda de integridade cujo impacto se inclua num dos seguintes patamares:

      (ver documento original)

    2. b)De qualquer violação de segurança ou perda de integridade que afete a entrega aos PASP, direta ou indiretamente, das chamadas para o número único de emergência europeu 112, bem como das chamadas para o número nacional de emergência 115, por um período igual ou superior a 15 minutos;
    3. c)De qualquer violação de segurança ou perda de integridade recorrente, sempre que o impacto acumulado das suas ocorrências num período de quatro semanas preencha uma das condições previstas nas alíneas anteriores;
    4. d)De qualquer violação de segurança ou perda de integridade que se verifique numa data em que seja particularmente relevante o normal e contínuo funcionamento das redes e serviços, nos termos previstos no n.º 4 do presente artigo, desde que:
      1. i)Tenha uma duração igual ou superior a uma hora;
      2. ii)Afete um número de assinantes ou de acessos igual ou superior a 1.000 ou, nos termos da alínea e) do n.º 3 do presente artigo, uma área geográfica igual ou superior a 100 km2;
    5. e)De qualquer violação de segurança ou perda de integridade que impacte no funcionamento de todas as redes e serviços oferecidos por uma empresa na totalidade do território de uma ilha das Regiões Autónomas dos Açores ou da Madeira, desde que tenha uma duração igual ou superior a 30 minutos, independentemente do número de assinantes ou de acessos afetados e da área geográfica afetada;
    6. f)De qualquer violação de segurança ou perda de integridade, detetada pelas empresas ou a estas comunicada pelos seus clientes, que impacte no funcionamento das redes e serviços através dos quais sejam prestados serviços relevantes à sociedade e aos cidadãos, por parte dos seus clientes, de natureza pública ou privada, de âmbito nacional ou regional, previstos no n.º 5 do presente artigo, desde que tenha uma duração igual ou superior a 30 minutos;
    7. g)De qualquer violação de segurança ou perda de integridade cujo impacto acumulado sobre um conjunto de empresas que se encontrem nas condições previstas no n.º 2 do artigo 3.º da Lei n.º 19/2012, de 8 de maio, alterada pela Lei n.º 23/2018, de 5 de junho, preencha uma das condições previstas na alínea a) e, na parte que remete para esta alínea, na alínea c), ambas do presente n.º 2.
  3. 3 -Para efeitos do disposto no número anterior:
    1. a)O impacto de uma violação de segurança ou perda de integridade deve ser aferido por referência a todas as redes e a todos os serviços de uma empresa que sejam afetados pela mesma;
    2. b)O número de assinantes ou de acessos afetados por uma violação de segurança ou perda de integridade corresponde à soma do número de assinantes ou de acessos que são afetados pela mesma nas várias redes e serviços;
    3. c)O número de assinantes de um serviço que seja suportado noutro serviço só é contabilizado quando o serviço de suporte não seja afetado;
    4. d)O número de assinantes ou de acessos afetados corresponde ao número de assinantes ou de acessos que sejam abrangidos pela violação de segurança ou perda de integridade ou, na impossibilidade da sua determinação, a uma estimativa baseada nos elementos estatísticos detidos pela empresa;
    5. e)O critério relativo à área geográfica afetada só deve ser aplicado caso o critério relativo ao número de assinantes ou de acessos afetados seja inaplicável ou, no caso concreto, fundamentadamente impossível de determinar ou estimar.
  4. 4 -Para os efeitos previstos na alínea d) do n.º 2 e sem prejuízo da identificação pela ANACOM de outras datas, devidamente notificadas às empresas com uma antecedência mínima de cinco dias úteis, considera-se como datas relevantes as seguintes:
    1. a)Dia de eleições nacionais (legislativas, presidenciais, europeias ou autárquicas);
    2. b)Dia de referendos nacionais;
    3. c)Dia de exercício nacional de redes ou serviços de comunicações eletrónicas, ao abrigo do disposto na alínea c) do artigo 54.º-D da Lei das Comunicações Eletrónicas e do n.º 3 do artigo 12.º do presente regulamento;
    4. d)Dia de eleições regionais, no que respeita a violações de segurança ou perdas de integridade ocorridas na região em causa.
  5. 5 -Para os efeitos previstos na alínea f) do n.º 2, considera-se como clientes relevantes:
    1. a)O SIRESP;
    2. b)A RNSI;
    3. c)O SRPCBA;
    4. d)A partir da data da notificação da sua identificação, pela ANACOM, às empresas:
      1. i)Os operadores de serviços essenciais a identificar no âmbito da aplicação do diploma de transposição da Diretiva (UE) n.º 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União;
      2. ii)Os proprietários ou operadores de infraestruturas críticas designadas ao abrigo do disposto no Decreto-Lei n.º 62/2011, de 9 de maio, e na demais legislação aplicável;
    5. e)Outras entidades a identificar pela ANACOM, devidamente notificadas às empresas com uma antecedência mínima de cinco dias úteis.
Comparar versões deste artigo