1 - As entidades essenciais e importantes, procedem, nos termos do n.º 1 do artigo 29.º do Regime Jurídico de Cibersegurança, à análise e gestão periódicas dos riscos residuais relativos aos ativos que garantam a continuidade do funcionamento das redes e dos sistemas de informação que utilizam, nos termos do número seguinte.
2 - As entidades essenciais e importantes realizam a análise do risco residual com a seguinte periodicidade:
a) Durante o planeamento e introdução de alteração ou substituição a ativo ou ativos e em relação ao ativo ou ativos alterados ou substituídos. Após a ocorrência de um incidente com impacto significativo ou outra situação extraordinária, em relação aos ativos afetados;
b) Após a notificação, por parte do CNCS, de um risco, de uma ameaça ou de uma vulnerabilidade emergente que impliquem uma elevada probabilidade de ocorrência de um incidente com impacto significativo, dentro do prazo fixado pelo CNCS.
4 - Para os efeitos previstos no n. 3.º do artigo 29.º, as entidades essenciais e importantes documentam a preparação, a execução e a apresentação dos resultados da análise dos riscos e garantem que, para cada ativo, é incluída:
a) A identificação das ameaças, internas ou externas, intencionais ou não intencionais, incluindo, nomeadamente:
i) Falha de sistema;
ii) Fenómeno natural;
iii) Erro humano;
iv) Ataque malicioso;
v) Falha no fornecimento de bens ou serviços por terceiro;
b) A caracterização do impacto e da probabilidade da ocorrência das ameaças identificadas na alínea anterior.
5 - A análise dos riscos deve ter em consideração:
a) O histórico de situações extraordinárias ocorridas;
b) O histórico de incidentes e, em especial, de incidentes significativos;
c) O número de utilizadores afetados pelos incidentes;
d) A duração dos incidentes;
e) A distribuição geográfica, no que se refere à zona afetada pelos incidentes;
f) As dependências intersetoriais para efeitos da prestação dos serviços, incluindo os constantes do anexo ao Regime Jurídico da Cibersegurança, nomeadamente o setor da energia e infraestruturas digitais.