1 -Constituem contraordenações:
a)A prestação de informação à autoridade competente ou aos clientes que não seja completa, verdadeira, atual, clara, objetiva e lícita ou a omissão dessa prestação;
b)A não colaboração com as autoridades competentes no âmbito de exercícios de gestão de crises e contingência que envolvam cenários de ciberataques;
c)A violação dos seguintes deveres:
i)De implementar um quadro de governação interna e de controlo que garanta uma gestão eficaz e prudente do risco associado às TIC;
ii)Relativos ao exercício de funções, competências e responsabilidades de membro dos órgãos de administração e dos quadros superiores responsáveis pelas TIC das entidades financeiras;
iii)De dispor de um quadro de gestão do risco associado às TIC nos termos devidos;
iv)De documentar e de rever o quadro de gestão do risco associado às TIC nos termos devidos;
v)De implementar protocolos, ferramentas, políticas, estratégias e procedimentos no domínio das TIC nos termos devidos;
vi)De utilizar sistemas, protocolos, ferramentas, soluções, processos, políticas e planos no domínio das TIC nos termos devidos;
vii)De atualizar sistemas, protocolos e ferramentas no domínio das TIC nos termos devidos;
viii)De conceber protocolos, ferramentas, políticas, sistemas, métodos e procedimentos no domínio das TIC nos termos devidos;
ix)De adquirir protocolos, ferramentas e políticas no domínio das TIC nos termos devidos;
x)De executar protocolos, ferramentas, políticas, controlos, procedimentos e planos no domínio das TIC nos termos devidos;
xi) De documentar políticas, controlos, procedimentos, estratégias e métodos no domínio das TIC nos termos devidos;
xii) De desenvolver políticas, procedimentos e métodos no domínio das TIC nos termos devidos;
xiii) De estabelecer estruturas de gestão de redes e infraestruturas, políticas, controlos e procedimentos no domínio das TIC nos termos devidos;
xiv) De dispor de estratégias, mecanismos, sistemas, planos, recursos e equipamentos no domínio das TIC nos termos devidos;
xv) De testar mecanismos, planos e políticas no domínio das TIC nos termos devidos;
xvi) De manter planos, recursos e equipamentos no domínio das TIC nos termos devidos;
xvii) De rever políticas e planos no domínio das TIC nos termos devidos;
xviii) De atribuir a responsabilidade pela gestão e supervisão do risco associado às TIC a uma função de controlo;
xix) De assegurar a segregação e independência das funções responsáveis pela gestão, controlo e de auditoria interna do risco associado às TIC;
xx) De sujeição periódica a auditorias internas do quadro de gestão do risco associado às TIC e dos planos de resposta e recuperação em matéria de TIC;
xxi) De estabelecer um processo formal de acompanhamento das conclusões da análise da auditoria interna no quadro da gestão do risco associado às TIC;
xxii) De identificação, classificação, documentação e avaliação de risco, bem como de efetuar as respetivas revisões e atualizações, no âmbito do quadro de gestão de risco associado às TIC;
xxiii) De monitorizar e controlar continuamente a segurança e o funcionamento dos sistemas e das ferramentas de TIC;
xxiv) De realizar a análise do impacto na atividade das exposições a perturbações graves;
xxv) De ter uma função de gestão de crises nos termos devidos;
xxvi) De manter registos das atividades nos termos devidos;
xxvii) De manter capacidades de TIC redundantes nos termos devidos ou de avaliar essa necessidade;
xxviii) De manter um local de tratamento de dados secundário nos termos devidos;
xxix) Relativos à recolha de informações e à realização de avaliações sobre vulnerabilidades e incidentes relacionados com as TIC;
xxx) De dispor de planos e políticas de comunicação de crises nos termos devidos;
xxxi) Relativos ao quadro simplificado de gestão de risco associado às TIC;
xxxii) De desenvolver programas de sensibilização para a segurança das TIC, bem como de formação em matéria de resiliência operacional digital, nos termos devidos;
xxxiii) Relativos à gestão e classificação de incidentes relacionados com as TIC;
xxxiv) Relativos à gestão do risco associado às TIC devido a terceiros;
xxxv) Relativos aos testes de resiliência operacional digital.
2 -Constitui, ainda, contraordenação a violação de deveres não referidos nos números anteriores, mas consagrados no Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022 e na legislação ou regulamentação europeia ou nacional aplicável em matéria de resiliência operacional digital.