RegulamentoSem vigência

Norma regulamentar da Autoridade de Supervisão de Seguros e Fundos de Pensões n.º 9/2024-R

Artigo 1.º

Objeto

A presente norma regulamentar tem por objeto regular a comunicação de incidentes de carácter severo relacionados com as tecnologias de informação e comunicação (TIC) pelas entidades sujeitas à supervisão da Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) previstas no artigo seguinte.

Artigo 2.º

Âmbito de aplicação

1 -A presente norma regulamentar aplica-se:

a)Às empresas de seguros e de resseguros com sede em Portugal;

b)Às sociedades gestoras de fundos de pensões autorizadas em Portugal;

c)Aos mediadores de seguros, de resseguros e de seguros a título acessório residentes ou com sede em Portugal, que empreguem, no mínimo, 250 pessoas ou cujo volume de negócios anual é superior a 50 milhões de euros e o balanço total anual é superior a 43 milhões de euros, com exceção dos mediadores de seguros que também sejam instituições de crédito.

2 -A aplicação da presente norma regulamentar às entidades referidas nas alíneas a) e c) do número anterior inclui o exercício da respetiva atividade através de sucursal ou em regime de livre prestação de serviços no território de outros Estados membros da União Europeia.

Artigo 3.º

Definições

a)"Cliente", o tomador do seguro, segurado, beneficiário ou terceiro lesado, no âmbito da atividade seguradora e de distribuição de seguros, bem como o associado, contribuinte, participante ou beneficiário, no âmbito da atividade de gestão de fundos de pensões e de distribuição no âmbito de fundos de pensões;

b)"Duração de um incidente", o tempo decorrido entre o momento em que o incidente ocorre, ou é detetado caso não seja possível identificar o momento da ocorrência, e o momento em que o incidente é resolvido;

c)"Função crítica ou importante", uma função cuja perturbação comprometeria significativamente o desempenho financeiro de uma entidade mencionada no n.º 1 do artigo anterior ou continuidade dos seus serviços e das suas atividades, ou a interrupção, anomalia ou falha dessa função comprometeria significativamente o contínuo cumprimento das condições e obrigações decorrentes da respetiva autorização, ou das suas restantes obrigações legais ou regulamentares;

d)"Incidente relacionado com as TIC", uma ocorrência ou uma série de ocorrências conexas não previstas pelas entidades mencionadas no n.º 1 do artigo anterior que compromete a segurança dos sistemas de rede e de informação e têm um impacto adverso na disponibilidade, autenticidade, integridade ou confidencialidade dos dados ou nos serviços prestados pelas entidades;

e)"Incidente de carácter severo relacionado com as TIC", um incidente relacionado com as TIC que cumpre os critérios previstos no artigo seguinte;

f)"Risco associado às TIC", qualquer circunstância razoavelmente identificável relacionada com a utilização de sistemas de rede e de informação que, caso se materialize, pode comprometer a segurança dos sistemas de rede e de informação, de qualquer instrumento ou processo dependente de tecnologia, do funcionamento e da execução de processos ou da prestação de serviços, causando efeitos adversos no ambiente digital ou físico;

g)"Serviço crítico", o serviço de TIC ou um sistema de rede e de informação que suporta funções críticas ou importantes das entidades mencionadas no artigo anterior;

h)"Serviço de TIC", o serviço digital e de dados prestado por meio de sistemas de TIC a um ou mais utilizadores internos ou externos, de forma contínua, incluindo equipamentos informáticos enquanto serviço e serviços de equipamento informático, o que inclui a prestação de apoio técnico através de atualizações de programas informáticos ou microprogramas pelo fornecedor de equipamentos informáticos, com exclusão dos serviços telefónicos analógicos tradicionais;

i)"Sistema de rede e de informação", um sistema de rede e de informação na aceção do ponto 1 do artigo 6.º da Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022;

j)"Tempo de indisponibilidade do serviço", o tempo decorrido entre o momento em que o serviço se encontra, totalmente ou parcialmente, indisponível e o momento em que o serviço é restaurado ao nível prestado antes do incidente.

Artigo 4.º

Classificação de incidentes relacionados com as TIC

1 -As entidades previstas no n.º 1 do artigo 2.º classificam um incidente relacionado com as TIC como severo de acordo com os seguintes critérios:

a)Existe um acesso bem-sucedido, mal-intencionado e não autorizado às redes e sistemas de informação da entidade de apoio a funções críticas ou importantes; ou

b)O incidente afeta serviços críticos da entidade e, cumulativamente, verificam-se duas ou mais das seguintes situações:

2 -Para efeitos das subalíneas i), ii) e iv) da alínea b) do número anterior, quando não seja possível calcular com precisão os critérios aí referidos, as entidades devem ter em conta estimativas com base na informação disponível.

3 -Para efeitos da subalínea v) da alínea b) do n.º 1, considera-se que o incidente tem impacto reputacional quando pelo menos uma das seguintes situações se verifica:

a)O incidente é noticiado nos meios de comunicação social;

b)O incidente deu origem a múltiplas reclamações de diferentes clientes relativamente a serviços de contacto direto com clientes ou a relações de negócio críticas;

c)A entidade, em resultado do incidente, não consegue dar cumprimento ou é suscetível de não dar cumprimento a exigências regulatórias;

d)A entidade, em resultado do incidente, é ou poderá ser suscetível a uma perda de clientes com um impacto material na sua atividade.

4 -Na avaliação do impacto de um incidente em termos reputacionais, as entidades devem tomar em consideração o nível de visibilidade que o incidente adquiriu ou é suscetível de adquirir relativamente a cada um dos critérios referidos no número anterior.

Artigo 5.º

Comunicação de incidentes de carácter severo relacionados com as TIC

1 -As entidades previstas no n.º 1 do artigo 2.º comunicam à ASF, nos prazos definidos no artigo seguinte, incidentes de carácter severo relacionado com as TIC, através da apresentação dos seguintes elementos:

a)Notificação inicial;

b)Relatório intercalar;

c)Relatório final.

2 -As entidades previstas no n.º 1 do artigo 2.º devem assegurar que a informação prestada é completa e rigorosa e, quando tal não seja possível nos casos das alíneas a) e b) do número anterior, que são apresentados valores estimados com base na informação disponível.

3 -Quando apresentarem o relatório intercalar ou final, as entidades previstas no n.º 1 do artigo 2.º devem atualizar, sempre que possível, a informação prestada anteriormente, através dos formulários constantes no n.º 1 do artigo 7.º

4 -Quando, após reavaliação, concluam que o incidente comunicado nunca cumpriu os critérios de classificação previstos no artigo anterior, as entidades previstas no n.º 1 do artigo 2.º devem apenas apresentar à ASF um relatório final com a informação relacionada com a reclassificação do incidente como não severo, através do formulário constante na alínea c) do n.º 1 do artigo 7.º

5 -Deve ser designado pelo órgão de administração das entidades previstas no n.º 1 do artigo 2.º um responsável pela comunicação de incidentes de carácter severo relacionados com as TIC, que, no caso das entidades referidas nas alíneas a) e b) daquela disposição, pode ser o responsável pela função de segurança da informação.

6 -Sem prejuízo da manutenção da responsabilidade das entidades previstas no n.º 1 do artigo 2.º, a comunicação de incidentes nos termos do presente artigo pode ser subcontratada a um terceiro prestador de serviços, em conformidade com o regime aplicável em matéria de subcontratação.

7 -O responsável a que se referem os números anteriores deve, juntamente com a comunicação prevista na alínea a) do n.º 1, tomar conhecimento da informação relativa ao tratamento de dados pessoais constante do formulário referente a essa comunicação.

8 -Quando um incidente afete mais do que uma entidade ou todas as entidades do mesmo grupo, os elementos referidos no n.º 1 podem ser apresentados, de forma agregada, através de um reporte, desde que as entidades em causa se encontrem sujeitas à presente norma regulamentar, a origem do incidente seja a mesma e o incidente seja classificado como severo em todas as entidades.

Artigo 6.º

Prazos

1 -A notificação inicial a que se refere a alínea a) do n.º 1 do artigo anterior deve ser apresentada à ASF no prazo de quatro horas desde o momento em que o incidente é classificado como severo ou, no máximo, no prazo de 24 horas desde o momento em que o incidente é detetado.

2 -O relatório intercalar a que se refere a alínea b) do n.º 1 do artigo anterior deve ser apresentado à ASF no prazo de 72 horas desde a submissão da notificação inicial, mesmo que o estado do incidente não tenha mudado significativamente, podendo as entidades previstas no n.º 1 do artigo 2.º apresentar uma versão atualizada do relatório intercalar caso se verifique a recuperação das respetivas atividades regulares.

3 -O relatório final a que se refere a alínea c) do n.º 1 do artigo anterior deve ser apresentado à ASF no prazo de um mês desde o momento da submissão do relatório intercalar ou da sua última versão atualizada.

Artigo 7.º

Meio de comunicação

1 -A apresentação dos elementos de informação referidos no n.º 1 do artigo 5.º à ASF é efetuada através do preenchimento de formulários próprios, constantes nas seguintes hiperligações:

a)Formulário - Notificação inicial (https://forms.office.com/Pages/ResponsePage.aspx?id=EW-uIfimIU6DNL4A94Bzre8JdA96YRdAv-0d0WZsq8hUNjIzR08yTjNGSVk4NlZSMllKS0c4WFZWRi4u&rb147882c77924153bcb6d2cb13b57a71=RI-CE-2024MMNN-R);

b)Formulário - Relatório intercalar (https://forms.office.com/Pages/ResponsePage.aspx?id=EW-uIfimIU6DNL4A94Bzre8JdA96YRdAv-0d0WZsq8hURDRWVDFOODg3RTk1Q1cxWUdGWVgwU0IzWi4u&r8b9f153d02314982b8efac40982276bc=RI-CE-2024MM-NN-Rin);

c)Formulário - Relatório final (https://forms.office.com/Pages/ResponsePage.aspx?id=EW-uIfimIU6DNL4A94Bzre8JdA96YRdAv-0d0WZsq8hUODlNWVRaT1hJUFVHUko1T1lPQkQ2TjZLUC4u&rd44f60e519e848919b0454e02a0f8bc8=RI-CE-2024MMNN-RF).

2 -Caso as entidades previstas no n.º 1 do artigo 2.º não consigam proceder à apresentação pontual dos elementos de informação referidos no n.º 1 do artigo 5.º, ou em caso de indisponibilidade dos formulários referidos no número anterior, as entidades devem comunicar o incidente de carácter severo relacionado com as TIC através de outro meio seguro, após consulta à ASF para o efeito.

3 -Os formulários referidos no n.º 1 do artigo 5.º, bem como as alterações aos mesmos, são disponibilizados no sítio da ASF na Internet, após aprovação pelo Conselho de Administração desta Autoridade.

Artigo 8.º

Início de vigência

A presente norma regulamentar entra em vigor no dia imediato ao da sua publicação.

26 de setembro de 2024. - O Conselho de Administração: Margarida Corrêa de Aguiar, presidente - Diogo Alarcão, vogal.

318176428

Artigo 3.º

Definições

e)"Incidente de carácter severo relacionado com as TIC", um incidente relacionado com as TIC que cumpre os critérios previstos no artigo seguinte;

g)"Serviço crítico", o serviço de TIC ou um sistema de rede e de informação que suporta funções críticas ou importantes das entidades mencionadas no artigo anterior;