Regulamento

Regulamento n.º 183/2022

Regulamento que configura instrução técnica relativa a comunicações entre as entidades e o Centro Nacional de Cibersegurança

Artigo 1.º

Envio e tratamento de informação

1 -O envio de informação ao CNCS no âmbito dos artigos 4.º, 5.º, 6.º e 8.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, deve ser realizada por meios eletrónicos para o endereço de correio eletrónico [email protected], ou via API (application programming interface) disponibilizada pelo CNCS para o efeito.
2 -Caso as entidades pretendam enviar a informação protegida por método criptográfico, podem proteger a informação utilizando a chave pública de PGP, associada ao endereço de correio eletrónico referido no número anterior, publicada no sítio na Internet do CNCS.
3 -O CNCS mantém e gere a informação recebida nos números anteriores, num sistema de informação seguro em conformidade com as disposições respeitantes à segurança de matérias classificadas com o grau de segurança Reservado na marca Nacional, salvo quando necessário grau de segurança superior.

Artigo 2.º

Ponto de contacto permanente

1 -O ponto de contacto permanente deve ser comunicado ao CNCS nos termos dos n.os 3, 4 e 5, do artigo 4.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021.
2 -A informação a constar da comunicação a realizar ao CNCS deve conter o nome da pessoa ou pessoas responsáveis, ou serviço disponível ou equipa operacional, por assegurar as funções de ponto de contacto permanente, e indicação dos meios de contacto principais e alternativos, nomeadamente contendo, no mínimo, a seguinte informação:
1. a)Nome da entidade;
2. b)Endereço de correio eletrónico principal;
3. c)Endereço de correio eletrónico alternativo;
4. d)Número de telefone fixo principal, se aplicável;
5. e)Número de telefone móvel principal;
6. f)Número de telefone fixo alternativo, se aplicável;
7. g)Número de telefone móvel alternativo;
8. h)Outros contactos alternativos.
3 -Esta comunicação deve ser realizada para o endereço de correio eletrónico indicado no n.º 1 do artigo 1.º da presente Instrução, preenchendo e juntando o formulário, constante do anexo I à presente Instrução, e disponível no sítio na Internet do Centro Nacional de Cibersegurança, que deve ser descarregado após a publicação da presente Instrução.

Artigo 3.º

Responsável de segurança

1 -A indicação da pessoa designada para as funções de responsável de segurança deve ser comunicada ao CNCS nos termos dos n.os 2, 3 e 4 do artigo 5.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021.
2 -A informação a constar da comunicação a realizar ao CNCS deve conter o nome da pessoa designada para assegurar as funções de responsável de segurança nomeadamente contendo, no mínimo, a seguinte informação:
1. a)Nome da entidade;
2. b)Nome do responsável de segurança;
3. c)Cargo do responsável de segurança;
4. d)Endereço de correio eletrónico;
5. e)Número de telefone fixo, se aplicável;
6. f)Número de telefone móvel.
3 -Esta comunicação deve ser realizada para o endereço de correio eletrónico indicado no n.º 1 do artigo 1.º da presente Instrução, preenchendo e juntando o formulário, constante do anexo II à presente Instrução, e disponível no sítio na Internet do Centro Nacional de Cibersegurança, que deve ser descarregado após a publicação da presente Instrução.

Artigo 4.º

Inventário de ativos

1 -Para os efeitos do disposto na presente instrução, entende -se por «Ativo» todo o sistema de informação e comunicação, os equipamentos e os demais recursos físicos e lógicos considerados essenciais, geridos ou detidos pela entidade, que suportam, direta ou indiretamente, um ou mais serviços.
2 -Para cada ativo identificado de acordo com o n.º 1 do artigo 6.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021 aplica-se o seguinte:
1. 2.1 -A entidade deve efetuar o inventário dos seus equipamentos de acordo com as seguintes regras:
2. a)Os dispositivos físicos e sistemas devem ser inventariados com a seguinte informação:
  1. i)Número de inventário;
  2. ii)Nome e modelo do equipamento;
  3. iii)Número de série;
  4. iv)Localização.
3. b)Os dispositivos ligados à rede devem ter a seguinte informação complementar:
  1. i)Endereço IP;
  2. ii)Endereço de hardware.
4. c)Os responsáveis dos dispositivos e sistemas devem ser identificados com, pelo menos, os seguintes elementos:
  1. i)Nome;
  2. ii)Contacto;
  3. iii)Departamento.
5. d)Os dispositivos físicos e sistemas devem ser classificados de acordo com a sua criticidade para a entidade.
6. 2.2 -A entidade deve elaborar o inventário de todas as suas aplicações, identificando:
7. a)Informação necessária ao inventário de uma aplicação, nomeadamente:
  1. i)Nome do software;
  2. ii)Versão;
  3. iii)Fabricante.
8. b)Os responsáveis pelas aplicações com, pelo menos, os seguintes elementos:
  1. i)Nome;
  2. ii)Contacto;
  3. iii)Departamento.
9. c)A classificação em função da criticidade da aplicação para a entidade;
10. d)Quando aplicável, o tipo de contrato de suporte em vigor com o fornecedor da aplicação ou plataforma de software.
3 -Para efeitos do n.º 3 do artigo 6.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, as entidades devem comunicar ao CNCS, com base no inventário de ativos a que se refere o n.º 1 do artigo 6.º do referido normativo, para todos os ativos diretamente acessíveis publicamente através da Internet, uma lista com a seguinte informação:
1. a)Serviço suportado;
2. b)Nome do equipamento/Nome do software;
3. c)Modelo/Versão;
4. d)Endereço IP, se aplicável;
5. e)Fully Qualified Domain Names (FQDNs), se aplicável;
6. f)Fabricante.
4 -A lista a que se refere o número anterior deve ser remetida para o endereço de correio eletrónico indicado no n.º 1 do artigo 1.º da presente Instrução, preenchendo e juntando o formulário, constante do anexo III à presente Instrução, e disponível no sítio na Internet do Centro Nacional de Cibersegurança, que deve ser descarregado após a publicação da presente Instrução.

Artigo 5.º

Relatório anual

1 -O relatório anual deve ser comunicado ao CNCS nos termos dos n.os 2 e 3 do artigo 8.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, contendo a informação referida no n.º 1 do mesmo artigo.
2 -O relatório anual deve ser remetido para o endereço de correio eletrónico indicado no n.º 1 do artigo 1.º da presente Instrução, preenchendo e juntando um ficheiro PDF, o qual deverá respeitar a estrutura constante do anexo IV à presente Instrução, e disponível no sítio na Internet do Centro Nacional de Cibersegurança, que deve ser descarregado após a publicação da presente Instrução.

Artigo 6.º

Notificações de incidentes

1 -O envio das notificações de incidentes e de informação adicional, de acordo com os termos dos artigos 11.º a 16.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, com produção de efeitos prevista no n.º 2 do artigo 23.º, deve ser realizado através do sítio na Internet do Centro Nacional de Cibersegurança ( cncs.gov.pt) na funcionalidade «Notificação de Incidentes», mediante o preenchimento do modelo de reporte estabelecido para o efeito, ou via API (application programming interface) disponibilizada pelo CNCS para o efeito.
2 -Nos casos em que a entidade em resultado do incidente ou por outro motivo de natureza eminentemente técnica devidamente justificado, não tem temporariamente capacidade operacional para assegurar a notificação no sítio na Internet do Centro Nacional de Cibersegurança, ou nos casos em que o mesmo esteja indisponível, a notificação poderá ser efetuada, a título excecional, através:
1. a)De correio eletrónico remetido para o seguinte endereço: [email protected];
2. b)Por telefone através do número (+351) 210 497 399;
3. c)Por telefone através do número (+351) 910 599 284, em disponibilidade contínua (24 horas por dia e sete dias por semana).
3 -Caso as entidades pretendam enviar a notificação protegida por método criptográfico, podem proteger a informação utilizando a chave pública de PGP, associada ao endereço de correio eletrónico referido na alínea a) do número anterior, publicada no sítio na Internet do CNCS.
4 -O CNCS mantém e gere a informação recebida nos números anteriores, num sistema de informação seguro em conformidade com as disposições respeitantes à segurança de matérias classificadas com o grau de segurança Reservado na marca Nacional, salvo quando necessário grau de segurança superior.
ANEXO I
(a que se refere o artigo 2.º)
Ponto de contacto permanente
(ver documento original)
ANEXO II
(a que se refere o artigo 3.º)
Responsável de segurança
(ver documento original)
ANEXO III
(a que se refere o artigo 4.º)
Lista de ativos
(ver documento original)
ANEXO IV
(a que se refere o artigo 5.º)
Relatório anual
1 -Designação da entidade:
2 -Ano civil e período de tempo do relatório:
3 -Descrição sumária das principais atividades desenvolvidas em matéria de segurança das redes e dos serviços de informação:
4 -Estatística trimestral de todos os incidentes, com indicação do número e do tipo dos incidentes:
5 -Análise agregada dos incidentes de segurança com impacto relevante ou substancial, com informação sobre:
1. 5.1 -Número de utilizadores afetados pela perturbação do serviço
2. 5.2 -Duração dos incidentes
3. 5.3 -Distribuição geográfica, no que se refere à zona afetada pelo incidente, incluindo a indicação de impacto transfronteiriço
6 -Recomendações de atividades, de medidas ou de práticas que promovam a melhoria da segurança das redes e dos sistemas de informação:
7 -Problemas identificados e medidas implementadas na sequência dos incidentes:
8 -Qualquer outra informação relevante:
Data:
Responsável de segurança:
Assinatura do Responsável de segurança:
314959368

Artigo 6.º

Notificações de incidentes

1 -O envio das notificações de incidentes e de informação adicional, de acordo com os termos dos artigos 11.º a 16.º do Decreto-Lei n.º 65/2021, de 30 de julho de 2021, com produção de efeitos prevista no n.º 2 do artigo 23.º, deve ser realizado através do sítio na Internet do Centro Nacional de Cibersegurança ( cncs.gov.pt) na funcionalidade «Notificação de Incidentes», mediante o preenchimento do modelo de reporte estabelecido para o efeito, ou via API (application programming interface) disponibilizada pelo CNCS para o efeito.
2 -Nos casos em que a entidade em resultado do incidente ou por outro motivo de natureza eminentemente técnica devidamente justificado, não tem temporariamente capacidade operacional para assegurar a notificação no sítio na Internet do Centro Nacional de Cibersegurança, ou nos casos em que o mesmo esteja indisponível, a notificação poderá ser efetuada, a título excecional, através:
1. a)De correio eletrónico remetido para o seguinte endereço: [email protected];
2. b)Por telefone através do número (+351) 210 497 399;
3. c)Por telefone através do número (+351) 910 599 284, em disponibilidade contínua (24 horas por dia e sete dias por semana).
3 -Caso as entidades pretendam enviar a notificação protegida por método criptográfico, podem proteger a informação utilizando a chave pública de PGP, associada ao endereço de correio eletrónico referido na alínea a) do número anterior, publicada no sítio na Internet do CNCS.
4 -O CNCS mantém e gere a informação recebida nos números anteriores, num sistema de informação seguro em conformidade com as disposições respeitantes à segurança de matérias classificadas com o grau de segurança Reservado na marca Nacional, salvo quando necessário grau de segurança superior.
ANEXO I
(a que se refere o artigo 2.º)
Ponto de contacto permanente
(ver documento original)
ANEXO II
(a que se refere o artigo 3.º)
Responsável de segurança
(ver documento original)
ANEXO III
(a que se refere o artigo 4.º)
Lista de ativos
(ver documento original)
ANEXO IV
(a que se refere o artigo 5.º)
Relatório anual
1 -Designação da entidade:
2 -Ano civil e período de tempo do relatório:
3 -Descrição sumária das principais atividades desenvolvidas em matéria de segurança das redes e dos serviços de informação:
4 -Estatística trimestral de todos os incidentes, com indicação do número e do tipo dos incidentes:
5 -Análise agregada dos incidentes de segurança com impacto relevante ou substancial, com informação sobre:
1. 5.1 -Número de utilizadores afetados pela perturbação do serviço
2. 5.2 -Duração dos incidentes
3. 5.3 -Distribuição geográfica, no que se refere à zona afetada pelo incidente, incluindo a indicação de impacto transfronteiriço
6 -Recomendações de atividades, de medidas ou de práticas que promovam a melhoria da segurança das redes e dos sistemas de informação:
7 -Problemas identificados e medidas implementadas na sequência dos incidentes:
8 -Qualquer outra informação relevante:
Data:
Responsável de segurança:
Assinatura do Responsável de segurança:
314959368