Art.º 6 · Regulamento n.º 303/2019 — Obrigações das empresas

1 -Ao abrigo do disposto no artigo 54.º-A da LCE e nos termos previstos no presente regulamento:
1. a)As empresas devem adotar as medidas técnicas e organizacionais adequadas à prevenção, gestão e redução dos riscos para a segurança das redes e serviços visando, em especial, impedir ou minimizar o impacto dos incidentes de segurança nas redes interligadas, a nível nacional e internacional, e nos utilizadores, devendo as mesmas ser adequadas aos riscos existentes tendo em conta o estado da técnica;
2. b)As empresas que oferecem redes de comunicações públicas devem adotar as medidas adequadas para garantir a integridade das respetivas redes, assegurando a continuidade da prestação dos serviços que nelas se suportam.
2 -As medidas técnicas e organizacionais e os requisitos adicionais adotados pelas empresas para cumprimento do disposto na lei e no presente regulamento devem:
1. a)Ser conformes com as decisões da Comissão Europeia adotadas ao abrigo do procedimento previsto no artigo 13.º-A da Diretiva n.º 2002/21/CE, do Parlamento Europeu e do Conselho, de 7 de março de 2002, relativa a um quadro regulamentar comum para as redes e serviços de comunicações eletrónicas, na sua atual redação;
2. b)Ser baseadas, na ausência das decisões previstas na alínea anterior, nas normas, especificações e recomendações nacionais, europeias e internacionais existentes sobre a matéria, nomeadamente:
  1. i)NP ISO/IEC 27001:2013 (Tecnologia de Informação - Técnicas de segurança - Sistemas de Gestão de Segurança da Informação - Requisitos) e suas revisões;
  2. ii)ISO/IEC 27001:2013 (Information technology - Security techniques - Information security management systems - Requirements) e suas revisões;
  3. iii)ISO/IEC 27002:2013 (Information technology - Security techniques - Code of practice for information security controls) e suas revisões;
  4. iv)ISO/IEC 27011:2016 ou Recomendação ITU-T X.1051 (04/2016) (Information technology - Security techniques - Code of practice for Information security controls based on ISO/IEC 27002 for telecommunications organizations) e suas revisões;
  5. v)Recomendação ITU-T X.1053 (11/2017) (Code of practice for information security controls based on ITU-T X.1051 for small and medium-sized telecommunication organizations) e suas revisões;
  6. vi)ISO/IEC 27005:2018 (Information technology - Security techniques - Information security risk management) e suas revisões;
  7. vii)Recomendação ITU-T X.1055 (11/2008) (Risk management and risk profile guidelines for telecommunication organizations) e suas revisões;
  8. viii)Recomendação ITU-T X.1056 (01/2009) (Security incident management guidelines for telecommunications organizations) e suas revisões;
  9. ix)Recomendação ITU-T X.1057 (05/2011) (Asset management guidelines in telecommunication organizations) e suas revisões;
  10. x)ISO 22301:2012 (Societal security - Business continuity management systems - Requirements) e suas revisões;
  11. xi)Outra norma, especificação ou recomendação nacional, europeia ou internacional adequada;
3. c)Ter em consideração os documentos técnicos publicados pela ENISA em resultado dos trabalhos desenvolvidos ao nível da aplicação da Diretiva n.º 2002/21/CE do Parlamento Europeu e do Conselho, de 7 de março de 2002, relativa a um quadro regulamentar comum para as redes e serviços de comunicações eletrónicas, na sua atual redação.
3 -As medidas técnicas e organizacionais e os requisitos adicionais adotados pelas empresas para cumprimento do disposto na lei e no presente regulamento devem ainda ter em consideração:
1. a)As recomendações formuladas pela ANACOM, nomeadamente quanto à concretização das medidas de segurança previstas no presente regulamento;
2. b)As instruções técnicas aplicáveis à construção ou ampliação de infraestruturas aptas, à utilização de infraestruturas aptas e à instalação de equipamentos e sistemas de redes de comunicações eletrónicas em infraestruturas aptas, fixadas ao abrigo do disposto no Decreto-Lei n.º 123/2009, de 21 de maio, na sua atual redação.
4 -As empresas devem assegurar que as medidas técnicas e organizacionais e os requisitos adicionais adotados para cumprimento do disposto na lei e no presente regulamento são mantidos atualizados.

Artigo 6.º — Obrigações das empresas