Regulamento

Norma regulamentar da Autoridade de Supervisão de Seguros e Fundos de Pensões n.º 9/2024-R

Comunicação de incidentes de carácter severo relacionados com as TIC.

Objeto

A presente norma regulamentar tem por objeto regular a comunicação de incidentes de carácter severo relacionados com as tecnologias de informação e comunicação (TIC) pelas entidades sujeitas à supervisão da Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) previstas no artigo seguinte.

Artigo 2.º

Âmbito de aplicação

1 -A presente norma regulamentar aplica-se:
1. a)Às empresas de seguros e de resseguros com sede em Portugal;
2. b)Às sociedades gestoras de fundos de pensões autorizadas em Portugal;
3. c)Aos mediadores de seguros, de resseguros e de seguros a título acessório residentes ou com sede em Portugal, que empreguem, no mínimo, 250 pessoas ou cujo volume de negócios anual é superior a 50 milhões de euros e o balanço total anual é superior a 43 milhões de euros, com exceção dos mediadores de seguros que também sejam instituições de crédito.
2 -A aplicação da presente norma regulamentar às entidades referidas nas alíneas a) e c) do número anterior inclui o exercício da respetiva atividade através de sucursal ou em regime de livre prestação de serviços no território de outros Estados membros da União Europeia.

Artigo 3.º

Definições

Para efeitos da presente norma regulamentar, entende-se por:

a)"Cliente", o tomador do seguro, segurado, beneficiário ou terceiro lesado, no âmbito da atividade seguradora e de distribuição de seguros, bem como o associado, contribuinte, participante ou beneficiário, no âmbito da atividade de gestão de fundos de pensões e de distribuição no âmbito de fundos de pensões;
b)"Duração de um incidente", o tempo decorrido entre o momento em que o incidente ocorre, ou é detetado caso não seja possível identificar o momento da ocorrência, e o momento em que o incidente é resolvido;
c)"Função crítica ou importante", uma função cuja perturbação comprometeria significativamente o desempenho financeiro de uma entidade mencionada no n.º 1 do artigo anterior ou continuidade dos seus serviços e das suas atividades, ou a interrupção, anomalia ou falha dessa função comprometeria significativamente o contínuo cumprimento das condições e obrigações decorrentes da respetiva autorização, ou das suas restantes obrigações legais ou regulamentares;
d)"Incidente relacionado com as TIC", uma ocorrência ou uma série de ocorrências conexas não previstas pelas entidades mencionadas no n.º 1 do artigo anterior que compromete a segurança dos sistemas de rede e de informação e têm um impacto adverso na disponibilidade, autenticidade, integridade ou confidencialidade dos dados ou nos serviços prestados pelas entidades;
e)"Incidente de carácter severo relacionado com as TIC", um incidente relacionado com as TIC que cumpre os critérios previstos no artigo seguinte;
f)"Risco associado às TIC", qualquer circunstância razoavelmente identificável relacionada com a utilização de sistemas de rede e de informação que, caso se materialize, pode comprometer a segurança dos sistemas de rede e de informação, de qualquer instrumento ou processo dependente de tecnologia, do funcionamento e da execução de processos ou da prestação de serviços, causando efeitos adversos no ambiente digital ou físico;
g)"Serviço crítico", o serviço de TIC ou um sistema de rede e de informação que suporta funções críticas ou importantes das entidades mencionadas no artigo anterior;
h)"Serviço de TIC", o serviço digital e de dados prestado por meio de sistemas de TIC a um ou mais utilizadores internos ou externos, de forma contínua, incluindo equipamentos informáticos enquanto serviço e serviços de equipamento informático, o que inclui a prestação de apoio técnico através de atualizações de programas informáticos ou microprogramas pelo fornecedor de equipamentos informáticos, com exclusão dos serviços telefónicos analógicos tradicionais;
i)"Sistema de rede e de informação", um sistema de rede e de informação na aceção do ponto 1 do artigo 6.º da Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022;
j)"Tempo de indisponibilidade do serviço", o tempo decorrido entre o momento em que o serviço se encontra, totalmente ou parcialmente, indisponível e o momento em que o serviço é restaurado ao nível prestado antes do incidente.

Artigo 4.º

Classificação de incidentes relacionados com as TIC

1 -As entidades previstas no n.º 1 do artigo 2.º classificam um incidente relacionado com as TIC como severo de acordo com os seguintes critérios:
1. a)Existe um acesso bem-sucedido, mal-intencionado e não autorizado às redes e sistemas de informação da entidade de apoio a funções críticas ou importantes; ou
2. b)O incidente afeta serviços críticos da entidade e, cumulativamente, verificam-se duas ou mais das seguintes situações:
  1. i)O número de clientes afetados pelo incidente é superior a 10 % do total de clientes que utilizam o serviço afetado ou é superior a cem mil clientes;
  2. ii)A duração do incidente é superior a 24 horas ou o tempo de indisponibilidade do serviço crítico é superior a duas horas;
  3. iii)O incidente afeta a disponibilidade, autenticidade, integridade ou confidencialidade dos dados, com impacto ou potencial impacto negativo na implementação dos objetivos de negócio ou no cumprimento de exigências regulatórias;
  4. iv)O incidente tem impacto económico, nomeadamente quando os custos e as perdas diretos e indiretos incorridos pela entidade devido ao incidente excedam ou são suscetíveis de exceder os cem mil euros, excluindo eventuais montantes recuperáveis;
  5. v)O incidente tem impacto em termos de reputação, nos termos previstos nos n.os 3 e 4.
2 -Para efeitos das subalíneas i), ii) e iv) da alínea b) do número anterior, quando não seja possível calcular com precisão os critérios aí referidos, as entidades devem ter em conta estimativas com base na informação disponível.
3 -Para efeitos da subalínea v) da alínea b) do n.º 1, considera-se que o incidente tem impacto reputacional quando pelo menos uma das seguintes situações se verifica:
1. a)O incidente é noticiado nos meios de comunicação social;
2. b)O incidente deu origem a múltiplas reclamações de diferentes clientes relativamente a serviços de contacto direto com clientes ou a relações de negócio críticas;
3. c)A entidade, em resultado do incidente, não consegue dar cumprimento ou é suscetível de não dar cumprimento a exigências regulatórias;
4. d)A entidade, em resultado do incidente, é ou poderá ser suscetível a uma perda de clientes com um impacto material na sua atividade.
4 -Na avaliação do impacto de um incidente em termos reputacionais, as entidades devem tomar em consideração o nível de visibilidade que o incidente adquiriu ou é suscetível de adquirir relativamente a cada um dos critérios referidos no número anterior.

Artigo 5.º

Comunicação de incidentes de carácter severo relacionados com as TIC

1 -As entidades previstas no n.º 1 do artigo 2.º comunicam à ASF, nos prazos definidos no artigo seguinte, incidentes de carácter severo relacionado com as TIC, através da apresentação dos seguintes elementos:
1. a)Notificação inicial;
2. b)Relatório intercalar;
3. c)Relatório final.
2 -As entidades previstas no n.º 1 do artigo 2.º devem assegurar que a informação prestada é completa e rigorosa e, quando tal não seja possível nos casos das alíneas a) e b) do número anterior, que são apresentados valores estimados com base na informação disponível.
3 -Quando apresentarem o relatório intercalar ou final, as entidades previstas no n.º 1 do artigo 2.º devem atualizar, sempre que possível, a informação prestada anteriormente, através dos formulários constantes no n.º 1 do artigo 7.º
4 -Quando, após reavaliação, concluam que o incidente comunicado nunca cumpriu os critérios de classificação previstos no artigo anterior, as entidades previstas no n.º 1 do artigo 2.º devem apenas apresentar à ASF um relatório final com a informação relacionada com a reclassificação do incidente como não severo, através do formulário constante na alínea c) do n.º 1 do artigo 7.º
5 -Deve ser designado pelo órgão de administração das entidades previstas no n.º 1 do artigo 2.º um responsável pela comunicação de incidentes de carácter severo relacionados com as TIC, que, no caso das entidades referidas nas alíneas a) e b) daquela disposição, pode ser o responsável pela função de segurança da informação.
6 -Sem prejuízo da manutenção da responsabilidade das entidades previstas no n.º 1 do artigo 2.º, a comunicação de incidentes nos termos do presente artigo pode ser subcontratada a um terceiro prestador de serviços, em conformidade com o regime aplicável em matéria de subcontratação.
7 -O responsável a que se referem os números anteriores deve, juntamente com a comunicação prevista na alínea a) do n.º 1, tomar conhecimento da informação relativa ao tratamento de dados pessoais constante do formulário referente a essa comunicação.
8 -Quando um incidente afete mais do que uma entidade ou todas as entidades do mesmo grupo, os elementos referidos no n.º 1 podem ser apresentados, de forma agregada, através de um reporte, desde que as entidades em causa se encontrem sujeitas à presente norma regulamentar, a origem do incidente seja a mesma e o incidente seja classificado como severo em todas as entidades.

Artigo 6.º

Prazos

1 -A notificação inicial a que se refere a alínea a) do n.º 1 do artigo anterior deve ser apresentada à ASF no prazo de quatro horas desde o momento em que o incidente é classificado como severo ou, no máximo, no prazo de 24 horas desde o momento em que o incidente é detetado.
2 -O relatório intercalar a que se refere a alínea b) do n.º 1 do artigo anterior deve ser apresentado à ASF no prazo de 72 horas desde a submissão da notificação inicial, mesmo que o estado do incidente não tenha mudado significativamente, podendo as entidades previstas no n.º 1 do artigo 2.º apresentar uma versão atualizada do relatório intercalar caso se verifique a recuperação das respetivas atividades regulares.
3 -O relatório final a que se refere a alínea c) do n.º 1 do artigo anterior deve ser apresentado à ASF no prazo de um mês desde o momento da submissão do relatório intercalar ou da sua última versão atualizada.

Artigo 7.º

Meio de comunicação

1 -A apresentação dos elementos de informação referidos no n.º 1 do artigo 5.º à ASF é efetuada através do preenchimento de formulários próprios, constantes nas seguintes hiperligações:
1. a)Formulário - Notificação inicial ( forms.office.com);
2. b)Formulário - Relatório intercalar ( forms.office.com);
3. c)Formulário - Relatório final ( forms.office.com).
2 -Caso as entidades previstas no n.º 1 do artigo 2.º não consigam proceder à apresentação pontual dos elementos de informação referidos no n.º 1 do artigo 5.º, ou em caso de indisponibilidade dos formulários referidos no número anterior, as entidades devem comunicar o incidente de carácter severo relacionado com as TIC através de outro meio seguro, após consulta à ASF para o efeito.
3 -Os formulários referidos no n.º 1 do artigo 5.º, bem como as alterações aos mesmos, são disponibilizados no sítio da ASF na Internet, após aprovação pelo Conselho de Administração desta Autoridade.

Artigo 8.º

Início de vigência

A presente norma regulamentar entra em vigor no dia imediato ao da sua publicação.

26 de setembro de 2024. - O Conselho de Administração: Margarida Corrêa de Aguiar, presidente - Diogo Alarcão, vogal.

318176428

Artigo 3.º

Definições

Para efeitos da presente norma regulamentar, entende-se por:

a)"Cliente", o tomador do seguro, segurado, beneficiário ou terceiro lesado, no âmbito da atividade seguradora e de distribuição de seguros, bem como o associado, contribuinte, participante ou beneficiário, no âmbito da atividade de gestão de fundos de pensões e de distribuição no âmbito de fundos de pensões;
b)"Duração de um incidente", o tempo decorrido entre o momento em que o incidente ocorre, ou é detetado caso não seja possível identificar o momento da ocorrência, e o momento em que o incidente é resolvido;
c)"Função crítica ou importante", uma função cuja perturbação comprometeria significativamente o desempenho financeiro de uma entidade mencionada no n.º 1 do artigo anterior ou continuidade dos seus serviços e das suas atividades, ou a interrupção, anomalia ou falha dessa função comprometeria significativamente o contínuo cumprimento das condições e obrigações decorrentes da respetiva autorização, ou das suas restantes obrigações legais ou regulamentares;
d)"Incidente relacionado com as TIC", uma ocorrência ou uma série de ocorrências conexas não previstas pelas entidades mencionadas no n.º 1 do artigo anterior que compromete a segurança dos sistemas de rede e de informação e têm um impacto adverso na disponibilidade, autenticidade, integridade ou confidencialidade dos dados ou nos serviços prestados pelas entidades;
e)"Incidente de carácter severo relacionado com as TIC", um incidente relacionado com as TIC que cumpre os critérios previstos no artigo seguinte;
f)"Risco associado às TIC", qualquer circunstância razoavelmente identificável relacionada com a utilização de sistemas de rede e de informação que, caso se materialize, pode comprometer a segurança dos sistemas de rede e de informação, de qualquer instrumento ou processo dependente de tecnologia, do funcionamento e da execução de processos ou da prestação de serviços, causando efeitos adversos no ambiente digital ou físico;
g)"Serviço crítico", o serviço de TIC ou um sistema de rede e de informação que suporta funções críticas ou importantes das entidades mencionadas no artigo anterior;
h)"Serviço de TIC", o serviço digital e de dados prestado por meio de sistemas de TIC a um ou mais utilizadores internos ou externos, de forma contínua, incluindo equipamentos informáticos enquanto serviço e serviços de equipamento informático, o que inclui a prestação de apoio técnico através de atualizações de programas informáticos ou microprogramas pelo fornecedor de equipamentos informáticos, com exclusão dos serviços telefónicos analógicos tradicionais;
i)"Sistema de rede e de informação", um sistema de rede e de informação na aceção do ponto 1 do artigo 6.º da Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022;
j)"Tempo de indisponibilidade do serviço", o tempo decorrido entre o momento em que o serviço se encontra, totalmente ou parcialmente, indisponível e o momento em que o serviço é restaurado ao nível prestado antes do incidente.