Art.º 11 · Regulamento n.º 296/2024 — Análise de riscos e implementação dos requisitos de segurança

1 -A UC deve elaborar e realizar uma análise dos riscos em relação a todos os ativos que garantam a continuidade do funcionamento das redes e dos sistemas de informação que utiliza, nos seguintes termos:
1. a)Análise dos riscos de âmbito global, com a seguinte periodicidade:
  1. i)Pelo menos uma vez por ano;
  2. ii)Após a notificação, por parte do CNCS, de um risco, de uma ameaça ou de uma vulnerabilidade emergentes que implique uma elevada probabilidade de ocorrência de um incidente com impacto relevante ou substancial, dentro do prazo fixado pelo CNCS;
2. b)Análise dos riscos de âmbito parcial, com a seguinte periodicidade:
  1. i)Durante o planeamento e preparação da introdução de uma alteração ao ativo ou ativos, em relação ao ativo ou ativos envolvidos;
  2. ii)Após a ocorrência de um incidente com impacto relevante ou substancial ou outra situação extraordinária, em relação aos ativos afetados;
  3. iii)Após a notificação, por parte do CNCS, de um risco, de uma ameaça ou de uma vulnerabilidade emergentes que impliquem uma elevada probabilidade de ocorrência de um incidente com impacto relevante, dentro do prazo fixado pelo CNCS.
2 -Compete ao serviço responsável pela cibersegurança da UC, sob a orientação e supervisão do respetivo responsável de segurança, documentar a preparação, a execução e elaboração do relatório com os resultados, devendo conservar em arquivo o respetivo relatório.
3 -A UC deve rever e, se necessário, atualizar o seu plano de segurança, nos termos previstos no artigo 8.º, em função da evolução do contexto de atuação e da ocorrência de incidentes.
4 -A UC deve adotar as instruções técnicas emitidas pelo CNCS com vista a uma harmonização da matriz de risco.

Artigo 11.º — Análise de riscos e implementação dos requisitos de segurança