RegulamentoEm vigor

Regulamento n.º 756/2026

Artigo 1.º

Objeto

1 -O presente Regulamento aprova:

a)As regras de funcionamento da plataforma eletrónica, nomeadamente quanto ao procedimento de auto-identificação e respetiva qualificação das entidades, nos termos do n.º 7 do artigo 8.º do Regime Jurídico da Cibersegurança;

b)As regras das notificações obrigatórias de incidentes de cibersegurança ou notificações voluntárias de informações pertinentes, previstas no n.º 6 do artigo 40.º e no artigo 45.º do Regime Jurídico da Cibersegurança;

c)As regras relativas às comunicações entre entidades e a autoridade de cibersegurança competente, nomeadamente do Relatório Anual, do Responsável de Cibersegurança, do Ponto de Contacto Permanente, nos termos do artigo 83.º do Regime Jurídico da Cibersegurança;

d)O Quadro Nacional de Referência de Cibersegurança (QNRCS) que consta no Anexo I ao presente Regulamento, nos termos do n.º 2 do artigo 14.º do Regime Jurídico da Cibersegurança;

e)As regras para a produção da Matriz de Risco enquanto variável que permite definir os níveis de conformidade e respetivas medidas de cibersegurança mínimas a adotar pelas entidades essenciais e importantes e que consta do Anexo II ao presente Regulamento, nos termos da alínea e) do n.º 1 do artigo 20.º e do n.º 5 do artigo 26.º do Regime Jurídico da Cibersegurança;

f)As regras relativas à gestão dos riscos residuais, nos termos do n.º 1 do artigo 29.º do Regime Jurídico da Cibersegurança;

g)Os níveis de conformidade e respetivas medidas de cibersegurança mínimas, obrigatórias para as entidades essenciais e importantes e os critérios de verificação que as entidades devem considerar, que constam do Anexo III ao presente Regulamento e que advêm do QNRCS, nos termos do n.º 5 do artigo 26.º do Regime Jurídico da Cibersegurança;

h)As regras relativas à comunicação do responsável de cibersegurança e do ponto de contacto permanente, nos termos do n.º 3 do artigo 31.º e do n.º 3 do artigo 32.º do Regime Jurídico da Cibersegurança;

2 -Os anexos ao presente Regulamento, e dos quais constam as matérias previstas nos números anteriores, fazem parte integrante do mesmo com igual valor jurídico.

Artigo 2.º

Âmbito de aplicação

1 -O presente Regulamento aplica-se às entidades essenciais, importantes e públicas relevantes, nos termos e com os limites previstos no Regime Jurídico da Cibersegurança.

2 -O presente Regulamento é aplicado pela autoridade de cibersegurança competente, sendo a mesma entendida nos termos da alínea b) do artigo 2.º do Regime Jurídico da Cibersegurança e na alínea b) do artigo 3.º deste Regulamento.

Artigo 3.º

Definições

a), aprovado em anexo ao Decreto-Lei n.º 125/2025, de 4 de dezembro;

b)- O Centro Nacional de Cibersegurança (CNCS), ou, quando aplicável, a autoridade nacional setorial de cibersegurança competente nos termos da alínea a) do n.º 2 do artigo 15.º do Regime Jurídico da Cibersegurança, sem prejuízo das reservas de competência exclusiva de entidades públicas com responsabilidades em matéria de investigação criminal, de produção de informações e de ciberdefesa;

c)- Sistema de classificação, graduado com os níveis básico, substancial e elevado, do qual resultam as medidas de cibersegurança mínimas que devem ser cumpridas pelas entidades abrangidas pelo Regime Jurídico da Cibersegurança, a partir da matriz de risco aprovada pelo presente Regulamento;

d)- Evidências factuais, documentais ou técnicas da aplicação de medidas de cibersegurança, previstas nos anexos iii e iv ao presente Regulamento;

e)- A plataforma prevista, entre outros, no n.º 7 do artigo 8.º do Regime Jurídico da Cibersegurança;

f)- Área digital de acesso reservado disponibilizada na plataforma eletrónica, prevista no n.º 4 do artigo 72.º do Regime Jurídico da Cibersegurança;

g)- Os mecanismos de autenticação digital segura resultantes, nomeadamente, do Cartão de Cidadão, Chave Móvel Digital ou outros que sejam reconhecidos como equivalentes em território nacional;

h)- O registo criado em consequência do preenchimento do formulário de autoidentificação e válido até à notificação da qualificação da entidade;

i)- A consolidação do registo provisório quando se confirme que a entidade está inserida no âmbito de aplicação material, subjetivo e territorial do Regime Jurídico da Cibersegurança e é qualificada nos termos dos artigos 6.º e 7.º do mesmo regime. CAPÍTULO II PLATAFORMA ELETRÓNICA SECÇÃO I REGISTO E FUNCIONALIDADE PLATAFORMA

Artigo 4.º

Finalidades e Funcionalidades da plataforma

1 -A plataforma eletrónica prevista no n.º 7 do artigo 8.º do Regime Jurídico da Cibersegurança, desenvolvida e gerida pelo CNCS, visa, através do recurso a meios digitais, simplificar e agilizar os procedimentos de registo das entidades e dos meios de comunicação e notificação entre as entidades abrangidas pelo Regime Jurídico da Cibersegurança com a autoridade de cibersegurança competente.

2 -Têm acesso à plataforma eletrónica, o CNCS, enquanto Autoridade Nacional de Cibersegurança, as demais autoridades de cibersegurança competentes, previstas na alínea a) do n.º 2 do artigo 15.º do Regime Jurídico da Cibersegurança e outras autoridades competentes, para os efeitos previstos no mesmo Regime.

3 -A plataforma eletrónica tem, designadamente, as seguintes funcionalidades:

a)A identificação e registo das entidades, nos termos dos nos n.os 1 e 6 do artigo 8.º do Regime Jurídico da Cibersegurança;

b)A tramitação do procedimento de qualificação de entidades e respetiva notificação, nos termos dos n.os 2 a 5 e 8 do artigo 8.º do Regime Jurídico da Cibersegurança;

c)A comunicação do relatório anual, nos termos dos n.os 2 e 4 do artigo 30.º do Regime Jurídico da Cibersegurança;

d)A comunicação do responsável de cibersegurança e do ponto de contacto permanente, nos termos do n.º 3 do artigo 31.º e dos n.os 2 e 3 do artigo 32.º do Regime Jurídico da Cibersegurança;

e)A notificação de incidentes de cibersegurança e a notificação voluntária de informações pertinentes, nos termos dos n.os 1 e 6 do artigo 40.º e do artigo 45.º do Regime Jurídico da Cibersegurança;

f)A notificação de incidentes de cibersegurança, simultaneamente, à autoridade de cibersegurança competente e às autoridades especiais de cibersegurança, nos termos do n.º 7 do artigo 40.º do Regime Jurídico da Cibersegurança;

g)A divulgação de informação, pela autoridade de cibersegurança competente, sobre a ocorrência de um incidente significativo, nos termos do artigo 51.º do Regime Jurídico da Cibersegurança;

h)As notificações eletrónicas realizadas pelas autoridades de cibersegurança competentes para a prática dos atos da sua competência às entidades registadas, nos termos do n.º 2 do artigo 72.º do Regime Jurídico da Cibersegurança;

4 -A plataforma eletrónica deve permitir, ainda, a notificação simultânea a outras entidades competentes, nomeadamente em matéria criminal ou de proteção de dados pessoais, em respeito pelos respetivos regimes jurídicos, através de soluções de interoperabilidade, a definir por protocolo entre as entidades em causa, nos termos do n.º 7 do artigo 40.º do Regime Jurídico da Cibersegurança.

5 -A plataforma eletrónica assegura a emissão de recibo de entrega sempre que as entidades submetam ou comuniquem quaisquer elementos, informações ou documentos através da sua conta de entidade, nos termos legalmente aplicáveis.

6 -O CNCS disponibiliza na plataforma eletrónica um instrumento de apoio às entidades de modo a aferirem se estão incluídas no âmbito de aplicação do Regime Jurídico da Cibersegurança e a respetiva qualificação.

7 -Sem prejuízo do número anterior, as informações e orientações previstas na solução automatizada e informativa não constituem autovinculação administrativa, nem dispensam o preenchimento do formulário de autoidentificação quando obrigatório, nos termos do n.º 1 do artigo 8.º do Regime Jurídico da Cibersegurança.

Artigo 5.º

Disponibilização da plataforma eletrónica

1 -A plataforma eletrónica prevista no presente Regulamento respeita os princípios previstos no n.º 2 do artigo 14.º do Código do Procedimento Administrativo, nomeadamente quanto ao controlo e rastreabilidade de acessos, sendo disponibilizada em língua portuguesa e em língua inglesa.

2 -Para os efeitos previstos no número anterior, a plataforma assegura que as entidades acedem à informação sobre as operações realizadas pelos utilizadores associados aos perfis com acesso à conta de entidade, nomeadamente:

a)Operações efetuadas;

b)identificação do utilizador associado a cada operação;

c)data e hora de execução das mesmas.

3 -O CNCS garante a identificação correta e fiável das entidades e respetivos representantes através de mecanismo de autenticação digital segura, nos termos legalmente aplicáveis.

4 -O CNCS mantém e gere a informação em matéria de segurança e integridade na plataforma como sistema de informação seguro, em conformidade com as disposições respeitantes à segurança de informação classificada no âmbito nacional e no âmbito das organizações internacionais de que Portugal é parte.

Artigo 6.º

Identificação e acesso à plataforma eletrónica

1 -A plataforma eletrónica permite a criação de uma conta por entidade e respetiva área reservada, com um registo e dados de acesso únicos.

2 -O CNCS, enquanto entidade gestora da plataforma, define uma política de utilização segura relativa aos mecanismos de registo e atualização dos respetivos dados, garantindo, nomeadamente:

a)O elevado nível de qualidade dos dados de autenticação, nomeadamente alertando os utilizadores para o nível de segurança associado aos métodos de autenticação;

b)Que os dados de autenticação são exigíveis a cada acesso à respetiva conta de utilizador;

c)Que as entidades, enquanto mantiverem o registo ativo na plataforma, podem definir e atualizar os dados e respetivos dados de acesso;

d)Mecanismos de bloqueio ou cessação automática de acessos;

e)A dispensa de informação já disponível na plataforma eletrónica, em cumprimento do princípio da declaração única.

3 -O acesso à plataforma pode ser feito sem registo ou autenticação prévios nos casos legalmente previstos, nomeadamente para acesso a conteúdos, informações, ferramentas de apoio à decisão ou notificações voluntárias de informações pertinentes.

4 -Os requisitos de autenticação segura, para os efeitos do n.º 2 do artigo 12.º do presente Regulamento, são definidos mediante instrução técnica, prevista no n.º 3 do mesmo artigo.

5 -As entidades com registo definitivo na plataforma eletrónica podem permitir o acesso à respetiva conta de entidade, para além do representante legal, ao responsável de cibersegurança ou à pessoa ou pessoas que assegurem as funções de ponto de contacto permanente.

6 -As permissões associadas aos perfis para acessos do representante legal, do responsável de cibersegurança e do ponto de contacto permanente são definidas pelo CNCS, enquanto gestor da plataforma eletrónica.

Artigo 7.º

Mecanismos de autenticação e legitimidade de representação

1 -As entidades autenticam-se na plataforma eletrónica, nomeadamente, através dos respetivos representantes legais, com recurso a sistema de identificação eletrónico com nível de garantia elevado, nos termos do n.º 2 do artigo 84.º do Regime Jurídico da Cibersegurança, nomeadamente, Cartão de Cidadão ou Chave Móvel Digital e com possibilidade de utilização de certificação de determinado atributo profissional, através do Sistema de Certificação de Atributos Profissionais, nos termos da Lei n.º 7/2007, de 5 de fevereiro, e da Lei n.º 37/2014, de 26 de junho.

2 -As entidades, para os efeitos previstos no número anterior, podem fazer-se representar através dos meios legalmente admissíveis, nomeadamente por mandato.

3 -Para os efeitos previstos no número anterior, a plataforma eletrónica assegura, quando necessário, as soluções tecnológicas ou um mecanismo de submissão de documento comprovativo, da constituição de mandato ou atribuição de poderes específicos de representação, devendo o mesmo documento revestir a forma legalmente exigível para o negócio ou ato jurídico correspondente.

4 -A plataforma eletrónica assegura, quando disponível e nos termos legalmente previstos, a reciprocidade de meios de autenticação em uso em território nacional, mas gerados ou emitidos em estado da União Europeia.

5 -O CNCS assegura que a plataforma eletrónica admite os mecanismos autenticação adequados quando a entidade se faça representar por pessoa estrangeira e esta não disponha dos mecanismos de autenticação previstos no presente artigo.

6 -O representante legal, antes de cessar funções, assegura na plataforma a identificação de novo representante legal para a entidade.

7 -Sem prejuízo do número anterior, na impossibilidade de o representante legal proceder à indicação de novo representante legal, a entidade remete, por correio eletrónico para o endereço indicado na plataforma eletrónica, pedido de substituição de representante legal.

Artigo 8.º

Autoidentificação

1 -A autoidentificação das entidades essenciais, importantes e públicas relevantes, com vista à sua qualificação, resulta do preenchimento de formulário(s) eletrónico(s) disponível(eis) na plataforma eletrónica, do(s) qual(is) devem constar os dados estritamente necessários à respetiva qualificação das entidades, nos termos conjugados dos artigos 6.º e 7.º e do n.º 1 do artigo 8.º do Regime Jurídico da Cibersegurança, designadamente:

a)Nome da entidade em causa;

b)Número de identificação fiscal;

c)Se aplicável, o(s) setor(es) e subsetor(es) pertinentes referidos nos anexos i ou ii ao Regime Jurídico da Cibersegurança;

d)Tipo de entidade, nos termos e para os efeitos do artigo 3.º e dos anexos i e ii ao Regime Jurídico da Cibersegurança;

e)Estabelecimento, nos termos e para os efeitos do artigo 4.º do Regime Jurídico da Cibersegurança;

f)Endereço e dados de contacto atualizados, incluindo os endereços de correio eletrónico; e

g)Se aplicável, uma lista dos Estados-Membros da União Europeia em que prestam serviços abrangidos pelo âmbito de aplicação do Regime Jurídico da Cibersegurança;

h)Número de trabalhadores, nos termos do artigo 2.º do Anexo III ao Regime Jurídico da Cibersegurança;

j)A adesão ao serviço público de notificações eletrónicas previsto no Decreto-Lei n.º 93/2017, de 1 de agosto, na sua redação atual, quando tenha ocorrido.

2 -Para os efeitos do número anterior, o registo de nomes de domínio de topo, bem como as entidades que sejam prestadores de serviços de DNS, prestadores serviços de registo de nomes de domínio, prestadores de serviços de computação em nuvem, prestadores de serviços de centro de dados, fornecedores de redes de distribuição de conteúdos, prestadores de serviços geridos, prestadores de serviços de segurança geridos, bem como dos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais, asseguram o seu registo na plataforma eletrónica, fornecendo, adicionalmente, os seguintes elementos:

a)O endereço do respetivo estabelecimento principal e dos outros estabelecimentos legais que possui na União Europeia ou, caso não esteja estabelecida na União, do representante designado que tenha estabelecimento no território nacional;

b)Contactos atualizados, incluindo endereços de correio eletrónico;

c)Os Estados-Membros onde presta serviços.

3 -No momento do preenchimento do formulário de autoidentificação é criado um registo provisório por entidade, independentemente do número de setores ou subsetores de atividade, que permite o acompanhamento do procedimento de qualificação.

4 -Para além dos dados requeridos nos números anteriores e quando não consiga obtê-los através dos mecanismos de interoperabilidades previstos no n.º 1 do artigo 87.º do Regime Jurídico da Cibersegurança, a autoridade de cibersegurança competente pode solicitar, por uma única vez, após o preenchimento do formulário, informações ou documentos adicionais para comprovar um determinado dado ou grupo de dados.

5 -A plataforma eletrónica garante a identificação de erros ou falta de preenchimento, que, a existirem, deverão ser corrigidos antes da submissão final do formulário.

6 -Após a submissão, é gerado um recibo comprovativo correspondente à auto-identificação da entidade, acompanhado da data e hora da submissão.

Artigo 9.º

Qualificação de entidades

1 -A decisão de qualificação observa os critérios previstos nos artigos 4.º, 6.º, 7.º e 9.º, bem como os trâmites e formalidades previstos nos n.os 4 e 5 do artigo 8.º, todos do Regime Jurídico da Cibersegurança, quando aplicáveis.

2 -Após a auto-identificação prevista no artigo anterior, as entidades são notificadas pela autoridade de cibersegurança competente, na plataforma eletrónica e por correio eletrónico, para se pronunciarem quanto ao projeto de decisão de qualificação, no prazo de 10 dias úteis, nos termos do artigo 121.º e seguintes do Código do Procedimento Administrativo para audiência dos interessados.

3 -A audiência dos interessados deve ser realizada na plataforma eletrónica, através de campo disponibilizado para o efeito.

4 -Decorrido o prazo para a audiência dos interessados sem que haja pronúncia das entidades ou após a sua apreciação pela autoridade de cibersegurança competente, é proferida decisão final de qualificação, a notificar às entidades através da plataforma eletrónica.

5 -A notificação final de qualificação contém, ainda, quando aplicável, a indicação do nível de conformidade e as respetivas medidas de cibersegurança obrigatórias aplicáveis à entidade notificada.

6 -O disposto no número anterior não obsta que a autoridade de cibersegurança competente notifique a entidade que procedeu à respetiva autoidentificação de que está fora do âmbito de aplicação ou do não preenchimento dos requisitos de qualificação previstos no n.º 7 do artigo 3.º e nos artigos 4.º, 6.º e 7.º do Regime Jurídico da Cibersegurança.

7 -Nos casos em que a entidade que se autoidentificou esteja fora do âmbito de aplicação do Regime Jurídico da Cibersegurança, é extinto o registo provisório previsto no n.º 3 do artigo 8.º do presente Regulamento, no prazo máximo de 90 dias, sem prejuízo da conservação, por outros meios e pelo tempo que se afigure necessário para o efeito, do formulário de autoidentificação e da respetiva notificação de exclusão, pela autoridade de cibersegurança competente.

8 -Sem prejuízo do número anterior, mediante decisão do CNCS e após pedido fundamentado da entidade, podem ser conservados os registos de entidades que estejam fora do âmbito de aplicação do Regime Jurídico da Cibersegurança para efeitos de acesso a informações, funcionalidades ou comunicações disponibilizadas pela plataforma eletrónica.

9 -O parecer das autoridades nacionais setoriais de cibersegurança a que se refere o n.º 4 do artigo 8.º do Regime Jurídico da Cibersegurança é submetido na plataforma eletrónica pelas referidas autoridades, competindo ao CNCS disponibilizar os mecanismos de acesso para o efeito.

10 -As entidades podem reagir à decisão final de qualificação nos termos gerais de Direito e através da plataforma eletrónica, nomeadamente através dos meios impugnatórios e prazos previstos no Código do Procedimento Administrativo.

11 -A qualificação das entidades pode ser alterada ou atualizada a qualquer momento, por decisão da autoridade de cibersegurança competente, com fundamento na alteração das circunstâncias ou das características das entidades, nos termos dos critérios previstos nos artigos 6.º e 7.º do Regime Jurídico da Cibersegurança.

12 -A alteração ou atualização da qualificação prevista no número anterior é notificada nos termos definidos no presente Regulamento, quando a entidade esteja registada na plataforma eletrónica ou, na sua ausência, por via postal.

Artigo 10.º

Registo definitivo na plataforma

1 -Após a notificação da qualificação das entidades, nos termos dos artigos anteriores, o registo provisório na plataforma eletrónica é consolidado em definitivo, podendo a autoridade de cibersegurança competente notificar as entidades para a prestação das informações ou dados que não constem do formulário de autoidentificação e que sejam obrigatórios nos termos do artigo 35.º do Regime Jurídico da Cibersegurança.

2 -As entidades financeiras abrangidas simultaneamente pelo Regime Jurídico da Cibersegurança, pelo Regulamento (UE) 2022/2554 e pela Lei n.º 73/2025, de 23 de dezembro, após o seu registo e qualificação nos termos dos artigos anteriores, realizam as comunicações e notificações respeitantes à resiliência operacional digital do setor financeiro, incluindo as relativas a incidentes severos relacionados com TIC e a ciberameaças significativas, às autoridades competentes designadas nos termos da legislação especial aplicável.

3 -As entidades financeiras devem assegurar as obrigações previstas no Regime Jurídico da Cibersegurança e nos termos do presente Regulamento, em matéria de designação do Responsável de Cibersegurança, ponto de contacto permanente e notificação de incidentes, sem prejuízo dos mecanismos de cooperação, interoperabilidade e partilha de informação das autoridades especiais de cibersegurança com o CNCS legalmente previstos.

Artigo 11.º

Atualização permanente da informação

Os dados e informações submetidos na plataforma eletrónica são da responsabilidade da respetiva entidade, devendo esta mantê-los permanentemente atualizados.

SECÇÃO II

COMUNICAÇÕES COM AS AUTORIDADES DE CIBERSEGURANÇA

Artigo 12.º

Comunicações com as autoridades de cibersegurança

1 -As entidades essenciais, importantes e públicas relevantes efetuam, através da plataforma eletrónica, todas as comunicações previstas no Regime Jurídico da Cibersegurança, no presente Regulamento ou nos seus anexos, e dirigidas à autoridade de cibersegurança competente, nos termos do n.º 7 do artigo 8.º e do n.º 1 do artigo 83.º do mesmo Regime Jurídico, salvo previsão legal ou regulamentar em sentido contrário.

2 -As comunicações referidas no número anterior podem ser asseguradas por mecanismos automatizados de transmissão de informação, nomeadamente por recurso a interfaces de programação de aplicações (API - application programming interface).

3 -O CNCS disponibiliza, para os efeitos previstos no número anterior, instrução técnica de configuração e utilização de cada um dos interfaces de programação de aplicações.

4 -A plataforma eletrónica assegura que as autoridades nacionais setoriais têm acesso exclusivamente às informações que devam conhecer ou aceder, nos termos do Regime Jurídico da Cibersegurança.

5 -O disposto no n.º 1 do presente artigo aplica-se, igualmente, às comunicações e notificações em matéria de taxas de supervisão, nos termos constantes da portaria prevista no artigo 82.º do Regime Jurídico da Cibersegurança.

Artigo 13.º

Comunicação de documentos

1 -As entidades essenciais comunicam à autoridade de cibersegurança competente, anualmente e através da sua área reservada na plataforma eletrónica, o relatório anual, com os elementos e nos prazos previstos nos n.os 1 e 2 do artigo 30.º do Regime Jurídico da Cibersegurança.

2 -As entidades importantes, sempre que lhes seja solicitado, remetem o seu relatório anual ao CNCS, na sua área reservada na plataforma eletrónica, nos termos previstos nos n.os 1 e 4 do artigo 30.º do Regime Jurídico da Cibersegurança.

3 -O CNCS, ouvidas as autoridades nacionais setoriais de cibersegurança, disponibilizará, na plataforma eletrónica e acessíveis às entidades essenciais e importantes, modelos de utilização obrigatória para a apresentação do relatório anual nos termos do disposto no n.º 5 do artigo 30.º do Regime Jurídico da Cibersegurança.

4 -Quando resultar das medidas de cibersegurança mínimas ou do exercício dos poderes de supervisão nos termos das alíneas f) e g) do n.º 1 do artigo 54.º e das alíneas f) e g) do n.º 2 do artigo 55.º do Regime Jurídico da Cibersegurança, a obrigatoriedade de elaborar e comunicar à autoridade de cibersegurança competente, determinadas informações ou documentos, os mesmos são remetidos através da plataforma eletrónica, nos prazos estabelecidos para o efeito.

Artigo 14.º

Responsável de cibersegurança

1 -As entidades essenciais e importantes comunicam à autoridade de cibersegurança competente, através de formulário disponível na sua área reservada da plataforma eletrónica, a pessoa designada para as funções de responsável de cibersegurança, nos termos e com os prazos previstos nos n.os 3 a 7 do artigo 31.º do Regime Jurídico da Cibersegurança.

2 -Sem prejuízo do disposto no número anterior, nos casos previstos no n.º 4 do artigo 31.º do Regime Jurídico da Cibersegurança, o prazo conta-se a partir da notificação da qualificação da entidade, nos termos do n.º 5 do artigo 8.º do mesmo regime.

3 -A comunicação prevista no n.º 1 contém, nomeadamente, as seguintes informações:

a)Nome do responsável de cibersegurança;

b)Cargo do responsável de cibersegurança;

c)Endereço de correio eletrónico;

d)Número de telefone fixo, se aplicável;

e)Número de telefone móvel;

f)Despacho ou ato de designação do responsável de cibersegurança, se aplicável.

Artigo 15.º

Ponto de contacto permanente

1 -As entidades essenciais e importantes comunicam à autoridade de cibersegurança competente, através de formulário disponível na área reservada da plataforma eletrónica, o ponto de contacto permanente, nos termos e com os prazos previstos nos n.os 2 a 6 do artigo 32.º do Regime Jurídico da Cibersegurança.

2 -Sem prejuízo do disposto no número anterior, nos casos previstos no n.º 4 do artigo 32.º do Regime Jurídico da Cibersegurança, o prazo conta-se a partir da notificação da qualificação da entidade, nos termos do n.º 5 do artigo 8.º do mesmo regime.

3 -A comunicação prevista no n.º 1 contém, nomeadamente, as seguintes informações:

a)Identificação da equipa ou entidade terceira que assume(m) a função de ponto de contacto permanente;

b)Endereço de correio eletrónico principal;

c)Endereço de correio eletrónico alternativo;

d)Número de telefone fixo principal, se aplicável;

e)Número de telefone móvel principal;

f)Número de telefone fixo alternativo, se aplicável;

g)Número de telefone móvel alternativo;

h)Outros contactos alternativos.

Artigo 16.º

Tratamento, conservação e atualização dos dados e respetiva destruição

1 -A autoridade de cibersegurança competente assegura que o tratamento de dados, através da plataforma eletrónica, respeita as regras em matéria de segurança da informação e, quando pessoais, a legislação aplicável em matéria de proteção de dados pessoais, nomeadamente o Regulamento (UE) n.º 679/2016, do Parlamento e do Conselho, de 27 de abril, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.

2 -Para os efeitos previstos no número anterior, a autoridade de cibersegurança competente define e publica no sítio da internet da plataforma eletrónica, uma política de tratamento de dados, sem prejuízo das demais obrigações que lhe sejam atribuídas enquanto responsável pelo tratamento de dados.

3 -Os dados submetidos pelas entidades e registados na plataforma eletrónica serão conservados durante toda a vigência do registo associado às entidades e pelo período de cinco anos após a extinção do mesmo registo, sem prejuízo do disposto nos n.os 2 e 3 do artigo 21.º da Lei n.º 58/2019, de 8 de agosto.

Artigo 17.º

Situações de indisponibilidade técnica

1 -Nos casos em que ocorra uma indisponibilidade técnica da plataforma eletrónica e as entidades não possam aguardar pela disponibilidade da mesma para prática de determinados atos ou submissão de informações, poderão remeter as mesmas para o correio eletrónico da autoridade de cibersegurança competente ou contacto telefónico, disponíveis no sítio da Internet da mesma, nos termos do n.º 3 do artigo 83.º do Regime Jurídico da Cibersegurança.

2 -Caso as entidades pretendam enviar a informação protegida por método criptográfico, podem proteger a informação utilizando a chave pública de PGP, associada ao endereço de correio eletrónico referido no número anterior, identificada nos contactos dos sítios na Internet do CNCS e da plataforma eletrónica.

3 -Os atos praticados ou a informação submetida pelo endereço de correio eletrónico, nos termos dos números anteriores, considera-se validamente submetida no momento de receção da comunicação, devendo a autoridade de cibersegurança competente assegurar resposta automática de confirmação da mesma, bem como a sua integração na área reservada da plataforma quando disponível.

4 -Nas circunstâncias excecionais de justo impedimento motivadas por indisponibilidade generalizada de infraestruturas ou plataformas digitais nacionais, nomeadamente por ausência de energia elétrica ou serviço de telecomunicações, as entidades podem praticar os atos, enviar os documentos ou informações assim que restabelecido o regular funcionamento dos serviços afetados.

5 -A plataforma eletrónica assegura informação atempada sobre indisponibilidades de acesso planeadas por motivos técnicos.

Artigo 18.º

Mecanismos de interoperabilidade e acesso a informação

A plataforma eletrónica assegura, quando disponíveis, os mecanismos de interoperabilidade adequados ao tratamento dos dados relevantes para a sua atividade, nomeadamente com outras plataformas ou bases de dados, nos termos do artigo 87.º do Regime Jurídico da Cibersegurança.

SECÇÃO III

NOTIFICAÇÕES ELETRÓNICAS

Artigo 19.º

Notificações eletrónicas às entidades

1 -A autoridade de cibersegurança competente notifica eletronicamente as entidades essenciais, importantes e públicas relevantes, dos atos, decisões ou solicitações que pratique no âmbito das suas competências, nos termos do artigo 72.º do Regime Jurídico da Cibersegurança.

2 -As notificações previstas no número anterior são realizadas para a área reservada das entidades na plataforma eletrónica, gerando uma notificação automática para o endereço de correio eletrónico registado na mesma plataforma e, quando expressamente indicado pelas entidades, para o endereço de correio eletrónico do responsável de cibersegurança.

3 -As notificações eletrónicas devem conter, quando aplicável, os elementos previstos no n.º 2 do artigo 114.º do Código do Procedimento Administrativo, bem como assinatura digital ou certificado eletrónico que assegure a respetiva autenticidade do documento a notificar.

4 -As notificações eletrónicas consideram-se feitas na data da consulta eletrónica da área reservada ou, se esta não ocorrer, no termo do terceiro dia a contar da receção, nos termos do n.º 4 do artigo 72.º do Regime Jurídico da Cibersegurança.

5 -O disposto nos números anteriores não se aplica à citação e à decisão final emitidas em processos contraordenacionais a instaurar ou em curso, que são realizadas por via postal nos termos de Direito aplicável, sem prejuízo da notificação eletrónica dos atos instrutórios no âmbito dos mesmos processos.

6 -A plataforma eletrónica assegura, ainda, a notificação eletrónica às entidades através do serviço público de notificações eletrónicas (SPNE), quando disponível e sempre que se verifique o destinatário a ele tenha aderido, nos termos do Decreto-Lei n.º 93/2017, de 1 de agosto, na redação atual.

7 -Para os efeitos previstos no número anterior, as entidades essenciais, importantes ou públicas relevantes devem indicar, no momento do registo, se aderiram ao SPNE e, em caso afirmativo, se pretendem ser notificadas através do mesmo. CAPÍTULO III NOTIFICAÇÃO DE INCIDENTES

Artigo 20.º

Notificação obrigatória de incidentes

1 -As entidades essenciais, importantes e públicas relevantes, quando ocorra um incidente com impacto significativo, submetem à autoridade de cibersegurança competente, através de formulário disponível na área reservada da plataforma eletrónica:

a)Uma notificação inicial, nos termos e com a informação prevista no artigo 42.º do Regime Jurídico da Cibersegurança;

b)Uma notificação de fim do impacto significativo, nos termos e com a informação prevista no artigo 43.º do Regime Jurídico da Cibersegurança;

c)Um relatório final ou intercalar, nos termos e com a informação prevista no artigo 44.º do Regime Jurídico da Cibersegurança;

2 -Sem prejuízo do número anterior, as entidades podem, ainda, submeter, sem necessidade de autenticação na plataforma eletrónica, notificações voluntárias de informações pertinentes nos termos do artigo seguinte.

3 -O impacto de um incidente é definido como significativo:

a)Nos termos do Regulamento de Execução (UE) n.º 2024/2690, de 17 de outubro, para as entidades pertinentes aí previstas;

b)Nos termos gerais previstos na alínea l) do artigo 2.º do Regime Jurídico da Cibersegurança, densificados por via de instrução técnica a aprovar pela Autoridade Nacional de Cibersegurança, para as restantes entidades integradas no âmbito subjetivo do Regime Jurídico da Cibersegurança.

4 -Quando as entidades não consigam proceder às notificações de incidentes, por falta temporária de capacidade operacional própria, em resultado do incidente ou por outro motivo de natureza eminentemente técnica devidamente justificado, a notificação pode ser efetuada, a título excecional, através de correio eletrónico ou telefonicamente, estando os devidos meios de contacto disponibilizados no sítio de internet da autoridade de cibersegurança competente. Nos casos em que a plataforma eletrónica esteja indisponível aquando do envio da notificação, aplicam-se os procedimentos previstos no artigo 17.º do presente Regulamento.

Artigo 21.º

Notificação voluntária de informações pertinentes

1 -Qualquer pessoa singular ou coletiva pode submeter à autoridade de cibersegurança competente e através da plataforma eletrónica, notificações voluntárias de ocorrência de incidentes, ciberameaças, quase incidentes ou vulnerabilidades, nos termos do n.º 1 do artigo 45.º do Regime Jurídico da Cibersegurança.

2 -Para os efeitos previstos no n.º 3 do artigo 45.º do Regime Jurídico da Cibersegurança, a entidade ou pessoa notificante deve, sempre que tenha conhecimento ou acesso à informação, disponibilizar os elementos previstos no n.º 2 do artigo 42.º, no n.º 2 do artigo 43.º e nos n.os 2 e 4 do artigo 44.º do mesmo Regime Jurídico da Cibersegurança.

3 -A autoridade de cibersegurança competente, pode, sempre que necessário, solicitar informações ou elementos adicionais relativamente ao incidente em questão.

4 -A notificação voluntária de informações pertinentes não carece de autenticação ou registo da pessoa singular ou coletiva na plataforma eletrónica.

Artigo 22.º

Tramitação de notificações obrigatórias de incidentes

1 -A plataforma eletrónica assegura a consulta e extração, permanente e atualizada de informação, quando disponível, sobre o estado ou conteúdo das notificações obrigatórias realizadas pelas entidades, sempre que as mesmas tenham sido feitas nas respetivas áreas reservadas, nos termos legalmente previstos.

2 -A plataforma eletrónica assegura, ainda, a possibilidade de associar as diferentes notificações previstas nas alíneas do n.º 1 do artigo 20.º do presente Regulamento, sempre que relacionadas com um mesmo incidente.

3 -A plataforma eletrónica disponibiliza um mecanismo de emissão automatizada de alertas às entidades relativos ao decurso dos prazos previstos nos artigos 42.º a 44.º do Regime Jurídico da Cibersegurança, sempre que tais prazos sejam contabilizáveis pela Autoridade de Cibersegurança Competente.

4 -A ausência ou impossibilidade de emissão automatizada de alertas não dispensa o cumprimento atempado pelas entidades das obrigações previstas no Regime Jurídico da Cibersegurança. CAPÍTULO IV INSTRUMENTOS ESTRUTURANTES SECÇÃO I QUADRO NACIONAL DE REFERÊNCIA DE CIBERSEGURANÇA

Artigo 23.º

QNRCS

1 -O QNRCS, aprovado no presente Regulamento e constante do Anexo I, é o instrumento nacional de referência para a identificação das normas, padrões e boas práticas existentes em matéria de gestão da Cibersegurança e da Segurança Informação, nos termos do artigo 14.º do Regime Jurídico da Cibersegurança.

2 -O QNRCS é construído e atualizado atendendo aos princípios da prossecução do interesse público, da legalidade, da eficiência, da eficácia e da proporcionalidade, devendo minimizar, sempre que possível, o seu impacto nas atividades públicas, sociais e empresariais das entidades.

3 -As entidades devem considerar o QNRCS visando uma perspetiva de melhoria contínua e evolutiva.

4 -Compete ao CNCS atualizar, pelo menos, de cinco em cinco anos, o QNRCS, nos termos do n.º 2 do artigo 14.º do Regime Jurídico da Cibersegurança.

Artigo 24.º

Âmbito de aplicação subjetivo

1 -As entidades essenciais, importantes e públicas relevantes devem considerar o QNRCS, nos termos dos n.os 3 e 5 do artigo 14.º do Regime Jurídico da Cibersegurança e de acordo com as disposições do presente Regulamento.

2 -Sem prejuízo do número anterior, a autoridade de cibersegurança competente pode recomendar a utilização do QNRCS às entidades que se encontram fora do âmbito de aplicação do Regime Jurídico da Cibersegurança.

3 -As autoridades nacionais setoriais de cibersegurança referidas na alínea a) do n.º 2 do artigo 15.º do Regime Jurídico da Cibersegurança podem ainda adotar normas complementares ao QNRCS, através de regulamento próprio, em articulação com o CNCS, nos termos do n.º 4 do artigo 14.º do referido regime.

Artigo 25.º

Organização e estrutura do QNRCS

1 -O QNRCS é estruturado em função do ciclo de vida da gestão da cibersegurança a realizar pelas entidades, tendo em consideração o fator humano, tecnológico e processual, com especial foco nos processos e procedimentos da gestão dos riscos.

2 -O QNRCS tem a seguinte estrutura, sem prejuízo da sua atualização:

a)Objetivos de cibersegurança;

b)Categorias;

c)Controlos de cibersegurança.

Artigo 26.º

Aplicação conjunta

A aplicação facultativa do QNRCS pelas entidades essenciais e importantes deve ser conjugada com as medidas de cibersegurança mínimas e respetivos níveis de conformidade previstos no anexo iii do presente Regulamento.

Artigo 27.º

Certificação voluntária

1 -Nos termos do n.º 3 do artigo 34.º do Regime Jurídico da Cibersegurança, as entidades essenciais e importantes podem beneficiar da presunção de cumprimento das medidas de cibersegurança previstas nos artigos 26.º a 28.º do mesmo regime jurídico e no artigo 30.º do presente Regulamento, quando apresentem à autoridade de cibersegurança competente um certificado emitido por um organismo de certificação devidamente acreditado, nos termos do n.º 3.

2 -Nos termos do n.º 3 do artigo 34.º do Regime Jurídico da Cibersegurança, as entidades públicas relevantes podem beneficiar da presunção de cumprimento das medidas de cibersegurança previstas no artigo 33.º do Regime Jurídico da Cibersegurança e no artigo 30.º do presente Regulamento, quando apresentem à autoridade de cibersegurança competente um certificado emitido por um organismo de certificação devidamente acreditado, nos termos do número seguinte.

3 -A autoridade de cibersegurança competente, e como referido nos números anteriores, pode atestar o cumprimento das medidas de cibersegurança correspondentes ao nível de conformidade ou superior, exigido às entidades certificadas, tal como previsto nos artigos 26.º e 33.º do Regime Jurídico da Cibersegurança, através da certificação em referenciais de cibersegurança na sua versão atualizada, nomeadamente:

a)Esquema de Certificação da conformidade com o Quadro Nacional de Referência para a Cibersegurança (EC QNRCS);

b)ISO/IEC 27001, quando o âmbito da certificação abrange integralmente os sistemas de informação e redes associadas aos serviços prestados pela entidade no âmbito do Regime Jurídico da Cibersegurança; c) Para as entidades públicas relevantes, o Documento Normativo Português Especificação Técnica (DNP TS) 4577-1, Maturidade Digital - Selo Digital;

c)Outro esquema devidamente aprovado ou reconhecido pela Autoridade Nacional de Certificação de Cibersegurança.

4 -Os certificados válidos referidos nos n.os 1 e 2 do presente artigo são submetidos voluntariamente pelas entidades à autoridade de cibersegurança competente ou sempre que solicitado, através da plataforma eletrónica prevista no presente Regulamento.

5 -O certificado previsto no número anterior, quando relativo ao referencial ISO/IEC 27001 contém a correspondente declaração de aplicabilidade.

6 -Qualquer alteração do certificado, nomeadamente a sua revogação, suspensão, renovação ou alteração de âmbito deve ser comunicada à autoridade de cibersegurança competente, através da plataforma eletrónica prevista no presente Regulamento, no prazo máximo de 72 horas para a revogação, e de 10 dias úteis para a suspensão, renovação ou alteração de âmbito todos os prazos a contar da respetiva alteração.

7 -O CNCS, enquanto autoridade nacional de certificação em cibersegurança, aprova e publica através de instrução técnica, uma matriz de equivalência entre os esquemas de certificação previstos no presente artigo e as medidas de cibersegurança mínimas constantes dos anexos iii e iv. SECÇÃO II MATRIZ DE RISCO

Artigo 28.º

Matriz de Risco

1 -A matriz de risco, aprovada no presente Regulamento e constante do Anexo II, é o quadro referencial que estabelece os valores de risco para o conjunto de cenários de risco que recaem sobre um setor e subsetor de atividade, considerando os ativos comuns, as principais ameaças e vulnerabilidades, nos termos do disposto na alínea m) do artigo 2.º, no n.os 5 do artigo 26.º e no n.º 3 do artigo 53.º do Regime Jurídico da Cibersegurança.

2 -Considerando o setor de atividade, a dimensão da entidade e a matriz de risco definida são determinados os níveis de conformidade e as medidas de cibersegurança mínimas e específicas a adotar que constam do anexo iii.

3 -Os valores de risco referidos no n.º 1 são determinados com base no nível de risco associado ao setor ou subsetor a que as entidades pertencem tendo em conta a sua dimensão e com a importância do setor ou subsetor, podendo ser atribuído um de três níveis de conformidade:

a)Básico;

b)Substancial;

c)Elevado.

4 -Os critérios para a produção da matriz de risco são construídos e atualizados atendendo aos princípios da prossecução do interesse público, da legalidade, da eficiência, da eficácia e da proporcionalidade, devendo minimizar, sempre que possível, o seu impacto nas atividades públicas, sociais e empresariais das entidades.

5 -O CNCS disponibiliza na plataforma eletrónica um glossário de apoio à leitura da Matriz de Risco.

Artigo 29.º

Cenários de Risco

O CNCS emite anualmente, através de instrução técnica, nos termos do n.º 4 do artigo 26.º do Regime Jurídico da Cibersegurança, as orientações relevantes de forma a orientar a política de gestão de riscos da cibersegurança das entidades essenciais e importantes, nomeadamente:

a) Cenários de risco;

b) Vetores de ameaça;

c) Informações quanto aos ativos.

SECÇÃO III

MEDIDAS DE CIBERSEGURANÇA MÍNIMAS E DE EXECUÇÃO

Artigo 30.º

Medidas de Cibersegurança Mínimas

1 -As entidades essenciais, importantes e públicas relevantes aplicam, pelo menos, as medidas de cibersegurança mínimas, aprovadas no presente Regulamento e constante dos anexos iii e iv, nos termos dos n.os 5 e 6 do artigo 26.º, artigo 27.º e artigo 33.º do Regime Jurídico da Cibersegurança.

2 -As entidades essenciais e importantes sujeitas aos níveis de conformidade substancial e elevado asseguram, ainda, a aplicação das medidas de cibersegurança mínimas dos níveis de conformidade respetivamente inferiores.

3 -As entidades públicas relevantes sujeitas às medidas de cibersegurança previstas para o Grupo A, nos termos definidos no Anexo IV do presente Regulamento, asseguram, igualmente, a aplicação das medidas de cibersegurança mínimas definidas para o Grupo B do mesmo anexo.

4 -Caso as entidades essenciais ou importantes se encontrem em mais do que um nível de conformidade, aplica-se o nível de conformidade que se revelar mais exigente para gerir os riscos que se colocam à segurança das redes e sistemas de informação de acordo com a seguinte ordem descendente:

a)Elevado;

b)Substancial;

c)Básico.

5 -O CNCS pode exigir às entidades essenciais, importantes e públicas relevantes, a obtenção de certificação, nacional, europeia ou internacional, que ateste o cumprimento das medidas de cibersegurança aplicáveis, nos termos do n.º 1 do artigo 34.º do Regime Jurídico da Cibersegurança.

6 -A decisão prevista no número anterior é fundamentada, nomeadamente em função do risco ou essencialidade do serviço ou da entidade, é sujeita a audiência dos interessados nos termos do Código do Procedimento Administrativo e define o prazo de adaptação das entidades, não superior a 24 meses.

7 -Nos termos do n.º 3 do artigo 20.º do Regime Jurídico da Cibersegurança, as autoridades nacionais setoriais ou especiais de cibersegurança podem emitir disposições regulamentares, precedidas de parecer do CNCS, para a adoção de medidas de cibersegurança do setor.

8 -A autoridade de cibersegurança competente pode ainda recomendar, sem caráter vinculativo, a adoção de medidas mínimas de cibersegurança às entidades que se encontram fora do âmbito de aplicação do Regime Jurídico da Cibersegurança.

Artigo 31.º

Gestão do Risco

1 -As entidades essenciais e importantes, procedem, nos termos do n.º 1 do artigo 29.º do Regime Jurídico da Cibersegurança, à análise e gestão periódicas dos riscos e dos riscos residuais, relativos aos ativos que garantam a continuidade do funcionamento das redes e dos sistemas de informação que utilizam, incluindo os ativos que garantam a prestação dos serviços essenciais.

2 -As entidades essenciais e importantes realizam a análise dos riscos com a seguinte periodicidade:

a)Pelo menos uma vez por ano;

b)Após a notificação, por parte do CNCS, de um risco, de uma ameaça ou de uma vulnerabilidade emergentes que implique uma elevada probabilidade de ocorrência de um incidente com impacto relevante, dentro do prazo fixado pelo CNCS.

3 -A análise dos riscos pelas entidades essenciais e importantes deve ter em consideração:

a)O histórico de situações extraordinárias ocorridas;

b)O histórico de incidentes e, em especial, de incidentes com impacto relevante;

c)O número de utilizadores afetados pelos incidentes;

d)A duração dos incidentes;

e)A distribuição geográfica, no que se refere à zona afetada pelos incidentes;

f)As dependências intersetoriais para efeitos da prestação dos serviços;

g)Os elementos constantes da instrução técnica referida no artigo 29.º do presente Regulamento.

4 -As entidades essenciais e importantes realizam ainda a análise do risco residual, após a adoção de medidas de cibersegurança, nos termos do disposto nos n.os 1 e 2 do artigo 29.º do Regime Jurídico da Cibersegurança.

Artigo 32.º

Lista de ativos publicamente acessíveis

1 -Para efeitos de comunicação das gamas de endereços de IP prevista na alínea c) do n.º 1 e alínea d) do n.º 2 do artigo 35.º do Regime Jurídico da Cibersegurança, as entidades essenciais, importantes e públicas relevantes, devem elaborar, manter atualizado e comunicar à autoridade de cibersegurança competente, através da plataforma eletrónica, uma lista de todos os ativos, com base no seu inventário de ativos, que estejam diretamente acessíveis publicamente através da Internet.

a)A lista de ativos acima referida, que constitui informação classificada de grau reservado deve incluir a seguinte informação: Serviço suportado;

b)Nome do equipamento/Nome do software;

c)Modelo/Versão;

d)Sistema operativo;

e)Software do servidor aplicacional;

f)Endereço IP, se aplicável;

g)Fully Qualified Domain Names (FQDNs), se aplicável;

h)Fabricante;

2 -Para os efeitos da alínea i) do número anterior, existe dependência entre ativos quando a indisponibilidade de um ativo compromete sequencialmente a continuidade da atividade ou utilização de outro ativo.

3 -As entidades devem comunicar à autoridade de cibersegurança competente a lista dos ativos, com a seguinte periodicidade:

a)Na sua versão inicial, até 31 de janeiro do ano seguinte ao ano em que ocorra a notificação prevista no n.º 5 do artigo 8.º Regime Jurídico da Cibersegurança ou no prazo de seis meses após a mesma notificação consoante o que se vença primeiro;

b)Numa versão atualizada, anualmente, a ser entregue simultaneamente com o relatório anual a que se refere o n.º 2 do artigo 30.º do Regime Jurídico da Cibersegurança, quando sejam entidades essenciais;

c)Numa versão atualizada, anualmente, e até ao último dia útil do mês de janeiro, do ano civil seguinte ao qual a mesma se reporta, quando sejam entidades importantes e públicas relevantes.

4 -O CNCS publica uma instrução técnica de apoio à identificação dos ativos essenciais para a prestação dos respetivos serviços e referidos no n.º 1 do presente artigo.

Artigo 33.º

Medidas de Execução

1 -As medidas de execução previstas nos artigos 56.º e 57.º do Regime Jurídico da Cibersegurança são adotadas pela autoridade de cibersegurança competente, atendendo aos princípios da prossecução do interesse público, da legalidade, da eficiência, da eficácia e da proporcionalidade, devendo minimizar, sempre que possível, o seu impacto nas atividades públicas, sociais e empresariais das entidades supervisionadas, nos termos do n.º 2 do artigo 53.º do mesmo RJC.

2 -As medidas de bloqueio e redirecionamento previstas no artigo 57.º do RJC são adotadas pela autoridade de cibersegurança competente apenas em circunstâncias manifestamente excecionais, designadamente para fazer face a uma ciberameaça significativa ou durante ou na sequência da ocorrência de um incidente de impacto significativo e quando a adoção de outras medidas menos gravosas não seja adequadamente eficaz.

3 -As medidas de execução adotadas pela autoridade de cibersegurança competente são especialmente fundamentadas pelo CNCS e notificadas às entidades que as devam conhecer e aplicar, pelo meio disponível mais expedito, podendo recorrer-se à área reservada da plataforma eletrónica.

4 -A autoridade de cibersegurança competente tem em consideração, na fundamentação prevista no número anterior, os elementos ou informações fornecidas pelas entidades responsáveis pela implementação das medidas de bloqueio ou redirecionamento, bem como propostas de medidas alternativas. CAPÍTULO V DISPOSIÇÕES FINAIS

Artigo 34.º

Entrada em vigor

O presente Regulamento entra em vigor no dia seguinte após a sua publicação.

Artigo 35.º

Produção de efeitos

1 -O presente Regulamento produz efeitos na data da sua entrada em vigor, sem prejuízo do disposto no n.º 2 do artigo 10.º do Decreto-Lei n.º 125/2025, de 4 de dezembro.

2 -As disposições do presente Regulamento que careçam de instruções técnicas ou outros normativos a aprovar pela autoridade de cibersegurança competente, produzem efeitos à data da publicação dos mesmos.

a)Metadados descritivos (título, autor, palavras-chave);

b)Metadados estruturais (formato, esquema);

c)Metadados administrativos (acessos, políticas de armazenamento da informação);

d)Metadados técnicos (arquivo, informações de codificação e local de armazenamento). Referências NIST CSF 2.0 - ID.AM-07 CyFun 2025-ID.AM-07 ID.GA-7 - Sistemas, hardware, software, serviços e dados são geridos ao longo dos seus ciclos de vida Descrição A entidade gere todos os aspetos relacionados com o ciclo de vida dos seus sistemas, hardware, software, serviços e dados ao longo dos seus ciclos de vida, desde a sua aquisição/criação até à sua eventual destruição. Este ciclo é monitorizado por forma a assegurar que os ativos da entidade são protegidos e mantidos em todas as suas fases da vida da forma mais eficiente e considerando o seu nível de risco. No ciclo de vidaé incluída a manutenção do software da entidade, que é sujeita a processos de aprovação. A manutenção é registada de forma a impedir a existência de acessos e utilização não autorizados. A entidade executa as tarefas de manutenção dos seus ativos críticos, de forma regular e atempada. A manutenção é registada, efetuada e supervisionada por pessoal da entidade com as autorizações e competências adequadas. A entidade tem procedimentos de autorização, monitorização, registo e de controlo do hardware, sendo este mantido, substituído e removido de acordo com o risco. Referências ISO/IEC 27001:2022 - 7.1, 7.5.2, 8.1, 9.1 ISO/IEC 27002:2022 - 5.10, 5.11, 5.19, 5.37, 7.2, 7.9, 7.10, 7.13, 7.14, 8.7, 8.11, 8.12, 8.15, 8.21 NIST CSF 2.0- PR.PS-03, PR.PS-02, ID.AM-08 CIS CSC v8.1-1,4,7 CyFun 2025-ID.AM-08 ID.GA-8 - Os dados são destruídos de acordo com a Política de Classificação e Gestão de Dados definida. Descrição As informações digitais e físicas são sujeitas aos métodos apropriados de destruição, de acordo com a classificação de informação. Referências ISO/IEC 27001:2022 - 7.5.2, 7.5.3., 8.1 ISO/IEC 27002:2022 - 5.10, 7.10, 7.14, 8.10 NIST SP-800-53 Rev.5 - MP-4 NIST CSF 2.0 - ID.AM-08 ID.GA-9 - A entidade implementa um processo de gestão de alterações. Descrição A entidade implementa um processo formal de gestão de alterações, assegurando que todas as alterações nos sistemas de informação, planeadas ou não planeadas, e que possam ter impacto na infraestrutura, sistemas, aplicações, serviços ou processos internos, são geridas de forma controlada e segura. As alterações incluem, mas não se limitam a: Atualizações de software, patches de segurança e correções de vulnerabilidades; Alteração de configurações de servidores, redes ou bases de dados; Implementação de novas políticas de segurança, como regras de firewall; Alteração de permissões de acesso para utilizadores: Substituição ou atualização de hardware; Introdução de novas aplicações ou descontinuação de sistemas antigos. Referências ISO/IEC 27001:2022 - 7.5.3, 8.1 ISO/IEC 27002:2022 - 8.9, 8.19, 8.32, 8.33 NIST SP-800-53 Rev.5 - CM-9 NIST CSF 2.0-ID.RA-07 CIS CSC v8.1-4, 5, 12

3 -Sem prejuízo do número anterior, as entidades devem enviar à autoridade de cibersegurança competente a informação que seja determinada ou determinável com base nos critérios ou requisitos já existentes na legislação ou regulamentação em vigor. ANEXO I QNRCS Sumário Executivo O Quadro Nacional de Referência para a Cibersegurança aprovado pelo Centro Nacional de Cibersegurança (CNCS) é considerado um instrumento nacional de referência para a identificação das normas, padrões e boas práticas existentes em matéria de gestão da Cibersegurança. A segunda versão do Quadro Nacional de Referência para a Cibersegurança, doravante designado QNRCS, encontra-se alinhada com o novo Regime Jurídico da Cibersegurança (RJC) mais concretamente o Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpõe a Diretiva da União Europeia (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022 (Diretiva SRI 2) relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União. O QNRCS, identificado no RJC como um instrumento estruturante da segurança do ciberespaço, tem como missão providenciar às entidades um referencial que sistematiza e disponibiliza bases para um conjunto de controlos e medidas de cibersegurança. Este referencial é composto por um conjunto de controlos de cibersegurança que as entidades podem adotar para incrementar a sua ciber-resiliência, com base em normas internacionais comummente utilizadas (NIST Cybersecurity Framework (CSF) 2.0; CyberFundamentals Framework; ISO/IEC 27001:2022; ISO/IEC 27002:2022; CIS Critical Security Controls Version 8.1 e NIST Special Publication 800-53 Rev.5). O QNRCS é constituído por controlos e medidas de cibersegurança das redes e sistemas de informação, nas suas diversas componentes, que visam cumprir seis objetivos: Gerir, Identificar, Proteger, Detetar, Responder e Recuperar. A versão atualizada do QNRCS, procura refletir uma nova realidade e ambiente de cibersegurança que está em constante mudança. Nesse sentido, o documento incorpora novos referenciais, cumpre com as orientações e medidas definidas no novo RJC e descreve controlos e medidas de cibersegurança que pretendem refletir uma realidade complexa e heterogénea. Esta versão do QNRCS incorpora novos controlos de acordo com o RJC e normativos internacionais, sendo também reflexo de uma análise dos incidentes mais relevantes em Portugal nos últimos anos. Esta versão pretende igualmente simplificar as orientações e exemplos para a aplicação das medidas de cibersegurança pelas entidades. Na sequência da evolução do QNRCS, foi acrescentado um novo objetivo (Gerir) à sua estrutura com o propósito de incluir controlos e medidas que reflitam as condições transversais que as entidades podem implementar para garantir o cumprimento dos restantes objetivos. Assim, este novo objetivo integra categorias relacionadas com o contexto organizacional, a gestão dos riscos da entidade e da sua cadeia de abastecimento, as funções, responsabilidades e autoridades nesta matéria, políticas e atividades de supervisão. Esta alteração decorre dos referenciais nos quais o QNRCS se suporta, e das boas práticas, mais concretamente, de uma evolução por parte da Cybersecurity Framework do National Institute of Standards and Technology (NIST). De notar, que esta versão do QNRCS pretende continuar a ser implementada por toda a comunidade, contribuindo assim para um desenvolvimento económico sustentável. Finalmente, nos termos do disposto do n.º 2 do artigo 14.º do Decreto-Lei n.º 125/2025 o QNRCS será atualizado, pelo menos, de cinco em cinco anos.

4 -2 - Abreviaturas: Abreviatura Definição CIS Center for Internet Security - Centro de segurança para a Internet. CSC Critical Security Controls - Controlos críticos de segurança. CERT Computer Emergency Response Team - Equipa de Resposta a Emergências Informáticas. CSIRT Computer Security Incident Response Team - Equipa de Resposta a Incidentes de Segurança Informática. DNS Domain Name System - Sistema de resolução de nomes de domínio. HTTP Hypertext Transfer Protocol - Protocolo de Transferência de Hipertexto IA Inteligência Artificial. IoT Internet of Things - Internet das coisas. IP Internet Protocol - Protocolo de Internet comunicações. ISO/IEC International Organization for Standardization/International Electrotechnical Commission - Entidade internacional de normalização/Comissão eletrotécnica internacional. MFA Multi factor authentication- Autenticação Multi-fator. NIST National Institute of Standards and Technology - Instituto Nacional de Padrões e Tecnologia (Norte-americano). RGPD Regulamento Geral de Proteção de Dados. SGSI Sistema de Gestão de Segurança da Informação. SLA Service Level Agreement - Acordo de Nível de Serviço. SOC Security Operations Center - Centro de Operações de Segurança. SRI Segurança das Redes e da Informação. VPN Virtual Private Network - Rede privada virtual. TIC Tecnologias de Informação e Comunicação. TO Tecnologia Operacional.

a)Política de Gestão dos Riscos de Cibersegurança;

b)Política de Gestão do Risco da Cadeia de Abastecimento;

c)Política de Gestão do Ciclo de Vida de Ativos;

d)Política de Classificação e Gestão de Dados;

e)Política de Monitorização, Identificação e Documentação das Vulnerabilidades;

f)Política de Palavra-Passe;

g)Política de Gestão de Identidades, Autenticação e Controlo de Acessos;

h)Política de Uso Aceitável;

5 -CIS Critical Security Controls Version 8.1: O CSC é publicado pelo CIS. Este catálogo disponibiliza uma lista de ações que é regularmente revista pela comunidade académica, de forma a ser utilizável pelas entidades.

6 -NIST Special Publication 800-53 Rev.5: Publicado pela NIST93 este é um catálogo de controlos para gestão dos riscos de cibersegurança e riscos de outra natureza, disponibilizando um processo de seleção de controlos para proteção da operação e dos ativos das organizações, gestão de incidentes, desastres naturais, falhas estruturais ou erro humano.

7 -Detetar: No contexto do objetivo Detetar, pretende-se desenvolver práticas adequadas e atempadas à deteção da ocorrência de eventos segurança, ou seja, a deteção de eventos com um efeito adverso real na segurança das redes e dos sistemas de informação por via da monitorização contínua das redes e sistemas de informação e da implementação de processos de deteção.

8 -Responder: Pretende-se, com o objetivo Responder, desenvolver e implementar práticas de resposta a um incidente de cibersegurança. Estas práticas devem capacitar a entidade para a contenção dos impactos de um potencial incidente, e para mitigar o impacto do incidente, isto é, reduzir e eventualmente reverter os seus potenciais efeitos adversos, através do planeamento da resposta a incidentes, da comunicação com as partes interessadas relevantes, da análise e mitigação de incidentes e da melhoria por intermédio das lições aprendidas.

9 -Recuperar: No âmbito do objetivo Recuperar, pretende-se desenvolver e implementar práticas e manter planos de resiliência para restaurar qualquer capacidade e/ou serviço que tenha sido comprometido na sequência de um evento de cibersegurança. Estas práticas promovem a recuperação adequada das operações da entidade, para reduzir os impactos do incidente ocorrido. Entre outras, promove-se a execução de planos de continuidade de negócio, de recuperação, da execução de exercícios de simulação de situações de crise e de atualizações dos planos com vista à melhoria dos mesmos. Os controlos pertencentes a este objetivo visam assegurar a resiliência da entidade nas suas dimensões: Pessoas, Processos e Tecnologia. Os controlos tencionam que, no caso de existência de um incidente, a entidade consiga utilizar os controlos para suporte à recuperação em tempo útil da sua atividade.