- 1 -As entidades previstas no n.º 1 do artigo 2.º comunicam à ASF, nos prazos definidos no artigo seguinte, incidentes de carácter severo relacionado com as TIC, através da apresentação dos seguintes elementos:
- a)Notificação inicial;
- b)Relatório intercalar;
- c)Relatório final.
- 2 -As entidades previstas no n.º 1 do artigo 2.º devem assegurar que a informação prestada é completa e rigorosa e, quando tal não seja possível nos casos das alíneas a) e b) do número anterior, que são apresentados valores estimados com base na informação disponível.
- 3 -Quando apresentarem o relatório intercalar ou final, as entidades previstas no n.º 1 do artigo 2.º devem atualizar, sempre que possível, a informação prestada anteriormente, através dos formulários constantes no n.º 1 do artigo 7.º
- 4 -Quando, após reavaliação, concluam que o incidente comunicado nunca cumpriu os critérios de classificação previstos no artigo anterior, as entidades previstas no n.º 1 do artigo 2.º devem apenas apresentar à ASF um relatório final com a informação relacionada com a reclassificação do incidente como não severo, através do formulário constante na alínea c) do n.º 1 do artigo 7.º
- 5 -Deve ser designado pelo órgão de administração das entidades previstas no n.º 1 do artigo 2.º um responsável pela comunicação de incidentes de carácter severo relacionados com as TIC, que, no caso das entidades referidas nas alíneas a) e b) daquela disposição, pode ser o responsável pela função de segurança da informação.
- 6 -Sem prejuízo da manutenção da responsabilidade das entidades previstas no n.º 1 do artigo 2.º, a comunicação de incidentes nos termos do presente artigo pode ser subcontratada a um terceiro prestador de serviços, em conformidade com o regime aplicável em matéria de subcontratação.
- 7 -O responsável a que se referem os números anteriores deve, juntamente com a comunicação prevista na alínea a) do n.º 1, tomar conhecimento da informação relativa ao tratamento de dados pessoais constante do formulário referente a essa comunicação.
- 8 -Quando um incidente afete mais do que uma entidade ou todas as entidades do mesmo grupo, os elementos referidos no n.º 1 podem ser apresentados, de forma agregada, através de um reporte, desde que as entidades em causa se encontrem sujeitas à presente norma regulamentar, a origem do incidente seja a mesma e o incidente seja classificado como severo em todas as entidades.
Artigo 5.º — Comunicação de incidentes de carácter severo relacionados com as TIC
Vigente desde: 07/10/2024
Histórico de Alterações
Original
Versão 1Versão em vigor
Em vigor desde 07/10/2024