Saltar para o conteúdo principal

Artigo 27.º — Medidas de cibersegurança

Vigente desde: 04/12/2025
  1. 1 -As medidas de cibersegurança a adotar pelas entidades essenciais e importantes, tendo em consideração a matriz de risco em que estiverem inseridas nos termos do artigo anterior, abrangem, designadamente, as seguintes áreas:
    1. a)Tratamento de incidentes;
    2. b)Continuidade das atividades, como a gestão de cópias de segurança e a recuperação de desastres, e gestão de crises;
    3. c)Segurança da cadeia de abastecimento, incluindo aspetos de segurança respeitantes às relações entre cada entidade e os respetivos fornecedores ou prestadores de serviços diretos;
    4. d)Segurança na aquisição, desenvolvimento e manutenção das redes e sistemas de informação, incluindo o tratamento e a divulgação de vulnerabilidades;
    5. e)Políticas e procedimentos para avaliar a eficácia das medidas de gestão dos riscos de cibersegurança;
    6. f)Práticas básicas de ciber-higiene e formação em cibersegurança, incluindo os titulares de órgãos máximos de gestão e trabalhadores;
    7. g)Políticas e procedimentos relativos à utilização de criptografia e, se for caso disso, de cifragem, sem prejuízo das competências conferidas a outras entidades em matéria de criptografia no âmbito nacional ou perante outras organizações internacionais de que Portugal seja membro;
    8. h)Segurança dos recursos humanos, políticas seguidas em matéria de controlo do acesso e gestão de ativos;
    9. i)Utilização de autenticação multifator ou de autenticação contínua, comunicações seguras e sistemas seguros de comunicações de emergência no seio da entidade.
  2. 2 -As entidades essenciais e importantes devem adotar ainda, sem demora injustificada, todas as medidas de cibersegurança corretivas necessárias, adequadas e proporcionais, que sejam indispensáveis ao suprimento de falhas ou omissões no cumprimento das medidas previstas no número anterior.
  3. 3 -As autoridades nacionais setoriais de cibersegurança podem emitir disposições regulamentares para adoção de medidas de cibersegurança específicas do sector, sem prejuízo do disposto no n.º 3 do artigo 20.º

Histórico de Alterações

Original

Versão 1Versão em vigor

Em vigor desde 04/12/2025

Referências (2)

Referenciado por (9)

Comparar versões deste artigo
Jurisprudência relacionada