RegulamentoSem vigência

Regulamento n.º 183/2022

Artigo 1.º

Envio e tratamento de informação

1 -O envio de informação ao CNCS no âmbito dos artigos 4.º, 5.º, 6.º e 8.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, deve ser realizada por meios eletrónicos para o endereço de correio eletrónico [email protected], ou via API (application programming interface) disponibilizada pelo CNCS para o efeito.

2 -Caso as entidades pretendam enviar a informação protegida por método criptográfico, podem proteger a informação utilizando a chave pública de PGP, associada ao endereço de correio eletrónico referido no número anterior, publicada no sítio na Internet do CNCS.

3 -O CNCS mantém e gere a informação recebida nos números anteriores, num sistema de informação seguro em conformidade com as disposições respeitantes à segurança de matérias classificadas com o grau de segurança Reservado na marca Nacional, salvo quando necessário grau de segurança superior.

Artigo 2.º

Ponto de contacto permanente

1 -O ponto de contacto permanente deve ser comunicado ao CNCS nos termos dos n.os 3, 4 e 5, do artigo 4.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021.

2 -A informação a constar da comunicação a realizar ao CNCS deve conter o nome da pessoa ou pessoas responsáveis, ou serviço disponível ou equipa operacional, por assegurar as funções de ponto de contacto permanente, e indicação dos meios de contacto principais e alternativos, nomeadamente contendo, no mínimo, a seguinte informação:

a)Nome da entidade;

b)Endereço de correio eletrónico principal;

c)Endereço de correio eletrónico alternativo;

d)Número de telefone fixo principal, se aplicável;

e)Número de telefone móvel principal;

f)Número de telefone fixo alternativo, se aplicável;

g)Número de telefone móvel alternativo;

h)Outros contactos alternativos.

3 -Esta comunicação deve ser realizada para o endereço de correio eletrónico indicado no n.º 1 do artigo 1.º da presente Instrução, preenchendo e juntando o formulário, constante do anexo I à presente Instrução, e disponível no sítio na Internet do Centro Nacional de Cibersegurança, que deve ser descarregado após a publicação da presente Instrução.

Artigo 3.º

Responsável de segurança

1 -A indicação da pessoa designada para as funções de responsável de segurança deve ser comunicada ao CNCS nos termos dos n.os 2, 3 e 4 do artigo 5.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021.

2 -A informação a constar da comunicação a realizar ao CNCS deve conter o nome da pessoa designada para assegurar as funções de responsável de segurança nomeadamente contendo, no mínimo, a seguinte informação:

a)Nome da entidade;

b)Nome do responsável de segurança;

c)Cargo do responsável de segurança;

d)Endereço de correio eletrónico;

e)Número de telefone fixo, se aplicável;

f)Número de telefone móvel.

3 -Esta comunicação deve ser realizada para o endereço de correio eletrónico indicado no n.º 1 do artigo 1.º da presente Instrução, preenchendo e juntando o formulário, constante do anexo II à presente Instrução, e disponível no sítio na Internet do Centro Nacional de Cibersegurança, que deve ser descarregado após a publicação da presente Instrução.

Artigo 4.º

Inventário de ativos

1 -Para os efeitos do disposto na presente instrução, entende -se por «Ativo» todo o sistema de informação e comunicação, os equipamentos e os demais recursos físicos e lógicos considerados essenciais, geridos ou detidos pela entidade, que suportam, direta ou indiretamente, um ou mais serviços.

2 -Para cada ativo identificado de acordo com o n.º 1 do artigo 6.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021 aplica-se o seguinte:

a)Os dispositivos físicos e sistemas devem ser inventariados com a seguinte informação:

b)Os dispositivos ligados à rede devem ter a seguinte informação complementar:

c)Os responsáveis dos dispositivos e sistemas devem ser identificados com, pelo menos, os seguintes elementos:

d)Os dispositivos físicos e sistemas devem ser classificados de acordo com a sua criticidade para a entidade.

3 -Para efeitos do n.º 3 do artigo 6.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, as entidades devem comunicar ao CNCS, com base no inventário de ativos a que se refere o n.º 1 do artigo 6.º do referido normativo, para todos os ativos diretamente acessíveis publicamente através da Internet, uma lista com a seguinte informação:

a)Serviço suportado;

b)Nome do equipamento/Nome do software;

c)Modelo/Versão;

d)Endereço IP, se aplicável;

e)Fully Qualified Domain Names (FQDNs), se aplicável;

f)Fabricante.

4 -A lista a que se refere o número anterior deve ser remetida para o endereço de correio eletrónico indicado no n.º 1 do artigo 1.º da presente Instrução, preenchendo e juntando o formulário, constante do anexo III à presente Instrução, e disponível no sítio na Internet do Centro Nacional de Cibersegurança, que deve ser descarregado após a publicação da presente Instrução.

Artigo 5.º

Relatório anual

1 -O relatório anual deve ser comunicado ao CNCS nos termos dos n.os 2 e 3 do artigo 8.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, contendo a informação referida no n.º 1 do mesmo artigo.

2 -O relatório anual deve ser remetido para o endereço de correio eletrónico indicado no n.º 1 do artigo 1.º da presente Instrução, preenchendo e juntando um ficheiro PDF, o qual deverá respeitar a estrutura constante do anexo IV à presente Instrução, e disponível no sítio na Internet do Centro Nacional de Cibersegurança, que deve ser descarregado após a publicação da presente Instrução.

Artigo 6.º

Notificações de incidentes

1 -O envio das notificações de incidentes e de informação adicional, de acordo com os termos dos artigos 11.º a 16.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, com produção de efeitos prevista no n.º 2 do artigo 23.º, deve ser realizado através do sítio na Internet do Centro Nacional de Cibersegurança (https://www.cncs.gov.pt) na funcionalidade «Notificação de Incidentes», mediante o preenchimento do modelo de reporte estabelecido para o efeito, ou via API (application programming interface) disponibilizada pelo CNCS para o efeito.

2 -Nos casos em que a entidade em resultado do incidente ou por outro motivo de natureza eminentemente técnica devidamente justificado, não tem temporariamente capacidade operacional para assegurar a notificação no sítio na Internet do Centro Nacional de Cibersegurança, ou nos casos em que o mesmo esteja indisponível, a notificação poderá ser efetuada, a título excecional, através:

a)De correio eletrónico remetido para o seguinte endereço: [email protected];

b)Por telefone através do número (+351) 210 497 399;

c)Por telefone através do número (+351) 910 599 284, em disponibilidade contínua (24 horas por dia e sete dias por semana).

3 -Caso as entidades pretendam enviar a notificação protegida por método criptográfico, podem proteger a informação utilizando a chave pública de PGP, associada ao endereço de correio eletrónico referido na alínea a) do número anterior, publicada no sítio na Internet do CNCS.

4 -O CNCS mantém e gere a informação recebida nos números anteriores, num sistema de informação seguro em conformidade com as disposições respeitantes à segurança de matérias classificadas com o grau de segurança Reservado na marca Nacional, salvo quando necessário grau de segurança superior. ANEXO I (a que se refere o artigo 2.º) Ponto de contacto permanente (ver documento original) ANEXO II (a que se refere o artigo 3.º) Responsável de segurança (ver documento original) ANEXO III (a que se refere o artigo 4.º) Lista de ativos (ver documento original) ANEXO IV (a que se refere o artigo 5.º) Relatório anual

5 -Análise agregada dos incidentes de segurança com impacto relevante ou substancial, com informação sobre:

6 -Recomendações de atividades, de medidas ou de práticas que promovam a melhoria da segurança das redes e dos sistemas de informação:

7 -Problemas identificados e medidas implementadas na sequência dos incidentes:

8 -Qualquer outra informação relevante: Data: Responsável de segurança: Assinatura do Responsável de segurança: 314959368

RegulamentoSem vigência

Regulamento n.º 183/2022

Artigo 1.º

Envio e tratamento de informação

Artigo 2.º

Ponto de contacto permanente

1 -O ponto de contacto permanente deve ser comunicado ao CNCS nos termos dos n.os 3, 4 e 5, do artigo 4.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021.

a)Nome da entidade;

b)Endereço de correio eletrónico principal;

c)Endereço de correio eletrónico alternativo;

d)Número de telefone fixo principal, se aplicável;

e)Número de telefone móvel principal;

f)Número de telefone fixo alternativo, se aplicável;

g)Número de telefone móvel alternativo;

h)Outros contactos alternativos.

Artigo 3.º

Responsável de segurança

a)Nome da entidade;

b)Nome do responsável de segurança;

c)Cargo do responsável de segurança;

d)Endereço de correio eletrónico;

e)Número de telefone fixo, se aplicável;

f)Número de telefone móvel.

3 -Esta comunicação deve ser realizada para o endereço de correio eletrónico indicado no n.º 1 do artigo 1.º da presente Instrução, preenchendo e juntando o formulário, constante do anexo II à presente Instrução, e disponível no sítio na Internet do Centro Nacional de Cibersegurança, que deve ser descarregado após a publicação da presente Instrução.

Artigo 4.º

Inventário de ativos

2 -Para cada ativo identificado de acordo com o n.º 1 do artigo 6.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021 aplica-se o seguinte:

a)Os dispositivos físicos e sistemas devem ser inventariados com a seguinte informação:

b)Os dispositivos ligados à rede devem ter a seguinte informação complementar:

c)Os responsáveis dos dispositivos e sistemas devem ser identificados com, pelo menos, os seguintes elementos:

d)Os dispositivos físicos e sistemas devem ser classificados de acordo com a sua criticidade para a entidade.

a)Serviço suportado;

b)Nome do equipamento/Nome do software;

c)Modelo/Versão;

d)Endereço IP, se aplicável;

e)Fully Qualified Domain Names (FQDNs), se aplicável;

f)Fabricante.

Artigo 5.º

Relatório anual

Artigo 6.º

Notificações de incidentes

a)De correio eletrónico remetido para o seguinte endereço: [email protected];

b)Por telefone através do número (+351) 210 497 399;

c)Por telefone através do número (+351) 910 599 284, em disponibilidade contínua (24 horas por dia e sete dias por semana).

5 -Análise agregada dos incidentes de segurança com impacto relevante ou substancial, com informação sobre:

6 -Recomendações de atividades, de medidas ou de práticas que promovam a melhoria da segurança das redes e dos sistemas de informação:

7 -Problemas identificados e medidas implementadas na sequência dos incidentes:

8 -Qualquer outra informação relevante: Data: Responsável de segurança: Assinatura do Responsável de segurança: 314959368