Art.º 22 · Regulamento n.º 303/2019 — Formato e Procedimentos

1 -Por cada violação de segurança ou perda de integridade que deva ser objeto de notificação ao abrigo do disposto no artigo anterior, as empresas devem submeter à ANACOM:
1. a)Uma notificação inicial, nos termos dos n.os 4 e 5 do presente artigo;
2. b)Uma notificação final, nos termos dos n.os 8 e 9 do presente artigo;
3. c)Sempre que exigida, em conformidade com o disposto no n.º 6 do presente artigo, uma notificação de fim de violação de segurança ou perda de integridade com impacto significativo, nos termos dos n.os 6 e 7 do presente artigo.
2 -Na circunstância prevista na alínea c) do n.º 2 do artigo anterior, as empresas apenas devem submeter à ANACOM uma notificação final nos termos previstos nos n.os 8 e 9 do presente artigo, com as devidas adaptações.
3 -Na circunstância prevista na alínea g) do n.º 2 do artigo anterior, pode ser dirigida à ANACOM uma única série de notificações, nos termos previstos no n.º 1 do presente artigo, desde que as mesmas:
1. a)Abranjam todo o impacto da violação de segurança ou perda de integridade;
2. b)Sejam apresentadas em representação de todas as empresas.
4 -A notificação inicial deve ser enviada logo que seja possível e desde que a empresa possa concluir que existe ou existirá impacto significativo, até uma hora após a verificação da circunstância prevista no artigo anterior que, no caso concreto, determinou a obrigação de notificação, devendo a empresa, sem prejuízo do cumprimento deste prazo, dar prioridade à mitigação e à resolução da violação de segurança ou perda de integridade, começando, quando aplicável, pelo restabelecimento da oferta de redes e serviços essenciais para assegurar a continuidade da prestação dos serviços relevantes.
5 -A notificação prevista no número anterior deve incluir a seguinte informação:
1. a)Nome, número de telefone e endereço de correio eletrónico de um representante da empresa, para efeito de um eventual contacto por parte da ANACOM;
2. b)Data e hora do início ou, em caso de impossibilidade de o determinar, da deteção da violação de segurança ou perda de integridade;
3. c)Data e hora em que a violação de segurança ou perda de integridade assumiu o impacto significativo;
4. d)Data e hora em que a violação de segurança ou perda de integridade perdeu o impacto significativo ou, caso o mesmo se mantenha, o prazo estimado para a sua perda;
5. e)Breve descrição da violação de segurança ou perda de integridade, incluindo a indicação da categoria da causa raiz e, na medida do possível, o seu detalhe;
6. f)Estimativa possível do seu impacto, em termos de:
  1. i)Redes e serviços afetados;
  2. ii)Acesso aos serviços de emergência;
  3. iii)Número de assinantes ou de acessos afetados;
  4. iv)Clientes relevantes afetados, quando aplicável;
  5. v)Área geográfica afetada, em km2;
7. g)Observações.
6 -Após a perda de impacto significativo da violação de segurança ou da perda de integridade e sempre que a mesma não tenha já sido comunicada na notificação inicial, as empresas devem submeter à ANACOM, logo que possível, dentro do prazo máximo de duas horas após aquela ter ocorrido, uma notificação de fim de violação de segurança ou perda de integridade com impacto significativo.
7 -A notificação referida no número anterior deve incluir a seguinte informação:
1. a)Atualização da informação transmitida na notificação inicial;
2. b)Breve descrição das medidas adotadas para a resolução da violação de segurança ou perda de integridade;
3. c)Indicação dos concelhos onde houve assinantes, acessos ou área geográfica afetados;
4. d)Descrição da situação do impacto existente no momento do fim de impacto significativo, nomeadamente:
  1. i)Redes e serviços ainda afetados;
  2. ii)Número de assinantes ou de acessos ainda afetados;
  3. iii)Clientes relevantes ainda afetados, quando aplicável;
  4. iv)Área geográfica ainda afetada, em km2;
  5. v)Concelhos onde ainda existam assinantes, acessos ou área geográfica afetados;
  6. vi)Tempos estimados para a recuperação total dos assinantes, acessos, clientes relevantes ou área geográfica ainda afetados.
8 -A notificação final deve ser assinada pelo responsável da segurança e enviada no prazo de 20 dias úteis a contar do momento em que a violação de segurança ou perda de integridade deixou de assumir um impacto significativo.
9 -A notificação prevista no número anterior deve incluir a seguinte informação:
1. a)Identificador único da violação de segurança ou perda de integridade atribuído pela ANACOM aquando da notificação inicial;
2. b)Data e hora em que a violação de segurança ou perda de integridade assumiu o impacto significativo;
3. c)Data e hora em que a violação de segurança ou perda de integridade perdeu o impacto significativo;
4. d)Data e hora do início ou, em caso de impossibilidade de o determinar, da deteção da violação de segurança ou perda de integridade e data e hora do respetivo fim, caso sejam diferentes das datas e horas transmitidas, respetivamente, ao abrigo das alíneas b) e c);
5. e)Impacto da violação de segurança ou perda de integridade em termos de:
  1. i)Redes (incluindo as interligações nacionais e internacionais) e respetivas infraestruturas (incluindo sistemas), com indicação, no caso de ativos classificados nas classes A ou B, do respetivo identificador único, e serviços afetados;
  2. ii)Acesso aos serviços de emergência pelo número único de emergência europeu 112 (incluindo o acesso pelo número nacional de emergência 115);
  3. iii)Número de assinantes ou de acessos afetados, por rede e serviço;
  4. iv)Clientes relevantes afetados, quando aplicável;
  5. v)Percentagem do número de assinantes ou de acessos afetados em relação ao total de assinantes ou de acessos, por rede e serviço;
  6. vi)Área geográfica afetada, em km2;
  7. vii)Freguesias e respetivos concelhos onde houve assinantes, acessos ou área geográfica afetados;
6. f)Descrição da violação de segurança ou perda de integridade, com indicação da categoria da causa raiz e o respetivo detalhe;
7. g)Indicação das medidas adotadas para mitigar a violação de segurança ou perda de integridade;
8. h)Indicação das medidas adotadas para a resolução da violação de segurança ou perda de integridade, incluindo, no caso de violações de segurança ou perdas de integridade com tempos de restauração parciais, a cronologia e o detalhe das etapas de restauração;
9. i)Indicação das medidas adotadas e/ou planeadas para impedir ou minimizar a ocorrência de violações de segurança ou perdas de integridade similares no futuro (no âmbito do planeamento e/ou da exploração, do plano de contingência, dos acordos de interligação, dos acordos de níveis de serviços e de outras áreas pertinentes) e da data em que as mesmas foram ou serão tornadas efetivas;
10. j)Quando seja o caso, a informação disponibilizada ao público relativamente à violação de segurança ou perda de integridade, incluindo eventuais atualizações da mesma, bem como a data e a hora dessas comunicações;
11. k)Descrição da situação residual do impacto existente à data da notificação final, nomeadamente:
  1. i)Redes e serviços ainda afetados;
  2. ii)Número de assinantes ou de acessos ainda afetados;
  3. iii)Clientes relevantes ainda afetados, quando aplicável;
  4. iv)Área geográfica ainda afetada, em km2;
  5. v)Freguesias e respetivos concelhos onde ainda existam assinantes, acessos ou área geográfica afetados;
  6. vi)Tempos estimados para a recuperação total dos assinantes, acessos, clientes relevantes ou área geográfica ainda afetados;
12. l)Quando seja o caso, indicação da apresentação de denúncia ao Ministério Público;
13. m)Outra informação relevante;
14. n)Observações.
10 -Nos casos em que exista uma situação residual do impacto existente à data da notificação final, descrita ao abrigo do disposto na alínea k) do número anterior, as empresas devem comunicar à ANACOM, logo que possível, a recuperação total dessa situação residual.
11 -Para os efeitos do disposto nos n.os 5, 7 e 9, as violações de segurança ou perdas de integridade podem ter as seguintes categorias de causas raiz:
1. a)Acidente ou fenómeno natural;
2. b)Erro humano;
3. c)Ataque malicioso;
4. d)Manutenção ou falha de hardware ou de software;
5. e)Falha no fornecimento de bens ou serviços por terceiro.
12 -A informação incluída nas notificações previstas no presente artigo relativamente ao número de assinantes ou de acessos deve, sempre que possível, obedecer às definições fixadas no âmbito das obrigações de entrega de informação periódica à ANACOM.
13 -As notificações previstas no presente artigo devem ser realizadas através dos seguintes meios:
1. a)Por meios eletrónicos, nos termos a determinar pela ANACOM ao abrigo do disposto no n.º 1 do artigo 5.º;
2. b)Adicionalmente e no que respeita à notificação inicial e à notificação de fim de violação de segurança ou perda de integridade com impacto significativo, por telefone através do número a indicar pela ANACOM.
14 -Qualquer alteração aos contactos previstos no número anterior deve ser comunicada às empresas e publicada no sítio institucional da ANACOM na Internet, com uma antecedência mínima de 20 dias úteis.
15 -As empresas cujas redes ou serviços sejam afetados no seu funcionamento pela mesma violação de segurança ou perda de integridade, devem cooperar entre si para a correta deteção e avaliação de impacto dessa violação de segurança ou perda de integridade e, no caso previsto na alínea g) do n.º 2 do artigo anterior, para a respetiva notificação.
16 -Tendo em vista o cabal cumprimento do disposto no presente Capítulo, as empresas devem implementar todos os meios e os procedimentos necessários à deteção, à avaliação do impacto e à notificação das violações de segurança ou perdas de integridade que preencham as circunstâncias previstas no artigo anterior.

Artigo 22.º — Formato e Procedimentos