- 1 -As entidades previstas no n.º 1 do artigo 2.º classificam um incidente relacionado com as TIC como severo de acordo com os seguintes critérios:
- a)Existe um acesso bem-sucedido, mal-intencionado e não autorizado às redes e sistemas de informação da entidade de apoio a funções críticas ou importantes; ou
- b)O incidente afeta serviços críticos da entidade e, cumulativamente, verificam-se duas ou mais das seguintes situações:
- i)O número de clientes afetados pelo incidente é superior a 10 % do total de clientes que utilizam o serviço afetado ou é superior a cem mil clientes;
- ii)A duração do incidente é superior a 24 horas ou o tempo de indisponibilidade do serviço crítico é superior a duas horas;
- iii)O incidente afeta a disponibilidade, autenticidade, integridade ou confidencialidade dos dados, com impacto ou potencial impacto negativo na implementação dos objetivos de negócio ou no cumprimento de exigências regulatórias;
- iv)O incidente tem impacto económico, nomeadamente quando os custos e as perdas diretos e indiretos incorridos pela entidade devido ao incidente excedam ou são suscetíveis de exceder os cem mil euros, excluindo eventuais montantes recuperáveis;
- v)O incidente tem impacto em termos de reputação, nos termos previstos nos n.os 3 e 4.
- 2 -Para efeitos das subalíneas i), ii) e iv) da alínea b) do número anterior, quando não seja possível calcular com precisão os critérios aí referidos, as entidades devem ter em conta estimativas com base na informação disponível.
- 3 -Para efeitos da subalínea v) da alínea b) do n.º 1, considera-se que o incidente tem impacto reputacional quando pelo menos uma das seguintes situações se verifica:
- a)O incidente é noticiado nos meios de comunicação social;
- b)O incidente deu origem a múltiplas reclamações de diferentes clientes relativamente a serviços de contacto direto com clientes ou a relações de negócio críticas;
- c)A entidade, em resultado do incidente, não consegue dar cumprimento ou é suscetível de não dar cumprimento a exigências regulatórias;
- d)A entidade, em resultado do incidente, é ou poderá ser suscetível a uma perda de clientes com um impacto material na sua atividade.
- 4 -Na avaliação do impacto de um incidente em termos reputacionais, as entidades devem tomar em consideração o nível de visibilidade que o incidente adquiriu ou é suscetível de adquirir relativamente a cada um dos critérios referidos no número anterior.
Artigo 4.º — Classificação de incidentes relacionados com as TIC
Vigente desde: 07/10/2024
Histórico de Alterações
Original
Versão 1Versão em vigor
Em vigor desde 07/10/2024