1 - As empresas que oferecem redes públicas de comunicações eletrónicas ou serviços de comunicações eletrónicas acessíveis ao público devem:
a) Notificar a ARN e o Centro Nacional de Cibersegurança (CNCS), sem demora injustificada, de qualquer incidente de segurança com impacto significativo no funcionamento das redes ou serviços;
b) Informar o público, pelos meios mais adequados, dos incidentes de segurança, quando tal seja considerado pela ARN como de interesse público.
2 - As empresas que oferecem redes públicas de comunicações eletrónicas ou serviços de comunicações eletrónicas acessíveis ao público, em caso de ameaça específica e significativa de incidente de segurança nessas redes ou serviços, devem informar gratuitamente os seus utilizadores potencialmente afetados pela ameaça de qualquer possível medida de prevenção ou de resposta que os utilizadores possam adotar e, se adequado, da própria ameaça.
3 - Compete à ARN:
a) Informar as autoridades competentes dos demais Estados-Membros e a Agência da União Europeia para a Cibersegurança (ENISA) dos incidentes de segurança, sempre que entenda adequado;
b) Informar o público, pelos meios mais adequados, dos incidentes de segurança, quando tal seja considerado pela ARN como de interesse público;
c) Apresentar, anualmente, à Comissão Europeia e à ENISA um relatório resumido sobre as notificações de incidentes de segurança, efetuadas nos termos da alínea a) do n.º 1, bem como das medidas tomadas.
4 - Sempre que adequado, a ARN pode informar as autoridades competentes nacionais dos incidentes de segurança relevantes no âmbito das respetivas atribuições, incluindo as autoridades judiciárias e policiais e a Comissão Nacional de Proteção de Dados (CNPD).
5 - O presente artigo não prejudica o disposto na legislação relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas.