1) O ASI-CISO é responsável pela realização anual de uma análise dos riscos em relação a todos os ativos que garantam a continuidade do funcionamento das redes e dos sistemas de informação que utilizam e também em relação aos ativos que garantam a prestação dos serviços essenciais, nos seguintes termos:
- a)Análise dos riscos de âmbito global, com a seguinte periodicidade:
- i)Pelo menos uma vez por ano;
- ii)Após a notificação, por parte do CNCS, de um risco, de uma ameaça ou de uma vulnerabilidade emergentes que implique uma elevada probabilidade de ocorrência de um incidente com impacto relevante, dentro do prazo fixado pelo CNCS;
- b)Análise dos riscos de âmbito parcial, com a seguinte periodicidade:
- i)Durante o planeamento e preparação da introdução de uma alteração ao ativo ou ativos, em relação ao ativo ou ativos envolvidos;
- ii)Após a ocorrência de um incidente com impacto relevante ou outra situação extraordinária, em relação aos ativos afetados;
- iii)Após a notificação, por parte do CNCS, de um risco, de uma ameaça ou de uma vulnerabilidade emergentes que impliquem uma elevada probabilidade de ocorrência de um incidente com impacto relevante, dentro do prazo fixado pelo CNCS;
2) O ASI-CISO deve garantir a documentação, preparação, execução e a apresentação dos resultados da análise dos riscos;
3) A análise do risco deve abranger para cada ativo:
- a)A identificação das ameaças, internas ou externas, intencionais ou não intencionais, incluindo, nomeadamente:
- i)Falha de sistema;
- ii)Fenómeno natural;
- iii)Erro humano;
- iv)Ataque malicioso;
- v)Falha no fornecimento de bens ou serviços por terceiro;
- b)A caracterização do impacto e da probabilidade da ocorrência das ameaças identificadas na alínea anterior.
4) A análise dos riscos deve ter em consideração:
- a)O histórico de situações extraordinárias ocorridas;
- b)O histórico de incidentes e, em especial, de incidentes com impacto relevante;
- c)O número de utilizadores afetados pelos incidentes;
- d)O tipo de dados e de titulares de dados afetados;
- e)A duração dos incidentes;
- f)A distribuição geográfica, no que se refere à zona afetada pelos incidentes;
- g)As dependências intersetoriais para efeitos da prestação dos serviços, incluindo os constantes do anexo ao Regime Jurídico da Segurança do Ciberespaço e o setor das comunicações eletrónicas.
5) A análise dos riscos deve ainda ter em consideração a avaliação integrada dos riscos para a segurança das redes e dos sistemas de informação a nível nacional, europeu e internacional, publicada anualmente ou notificada ao IPCA pelo CNCS.
6) Na sequência de cada análise dos riscos, o IPCA deve adotar as medidas técnicas e organizativas adequadas para gerir os riscos que se colocam à segurança das redes e dos sistemas de informação que utilizam, e que resultem, nomeadamente:
- a)De normativo complementar setorial aprovado pelo CNCS, sem prejuízo da aplicação de outro normativo nacional e da União Europeia em matéria da segurança das redes e dos sistemas de informação;
- b)Do Quadro Nacional de Referência de Cibersegurança, e respetivas disposições complementares, elaborado pelo CNCS, na ausência ou em complemento do normativo setorial previsto na alínea anterior.
7) Os riscos para a segurança das redes e dos sistemas de informação caracterizados como residuais devem ser tratados pelo IPCA nos termos do número anterior.
8) O IPCA deve rever e, se necessário, atualizar o seu plano de segurança, nos termos previstos no artigo 7.º, em função da evolução do contexto de atuação e da ocorrência de incidentes.
9) As medidas a adotar ao abrigo do disposto no n.º 6 do presente artigo devem permitir:
- a)A prevenção, a gestão e a redução dos riscos;
- b)O reforço da robustez e da resiliência dos ativos, incluindo a respetiva proteção contra as ameaças identificadas e a respetiva recuperação ou redundância, de forma a assegurar um rápido restabelecimento do funcionamento das redes e dos sistemas de informação;
- c)Uma resposta eficaz a incidentes, a ameaças ou a vulnerabilidades.
10) Para efeitos do disposto no presente artigo, o CNCS pode emitir instruções técnicas com vista a uma harmonização da matriz de risco a adotar pelo IPCA.