NIS2 Portugal

As medidas de cibersegurança a adotar pelas entidades essenciais e importantes, tendo em consideração a matriz de risco em que estiverem inseridas nos termos do artigo anterior, abrangem, designadamente, as seguintes áreas: continuidade das atividades, como a gestão de cópias de segurança e a recuperação de desastres, e gestão de crises.

Related tasks

Implementing a crisis response strategy

Critical

High

Normal

Low

Cyber security management

Creating and documenting continuity plans

Critical

High

Normal

Low

Continuity management

Regular testing, evaluation, and recovery instructions for backups

Critical

High

Normal

Low

Backups

Documenting and delegating ownership of own backup processes

Critical

High

Normal

Low

Backups

Determining responsibilities for backing up important information assets

Critical

High

Normal

Low

Backups

Regular testing and review of continuity plans

Critical

High

Normal

Low

Continuity management

Addressing disasters in continuity planning

Critical

High

Normal

Low

Continuity management

Communication to stakeholders on continuity plans

Critical

High

Normal

Low

Continuity management

Requirement details

1- As entidades essenciais e importantes designam um responsável de cibersegurança para a gestão da cibersegurança e da segurança da informação, que seja titular dos órgãos de gestão, direção ou administração ou lhes responda organicamente e de forma direta.

2- O responsável de cibersegurança tem, pelo menos, as seguintes funções:

Propor as medidas de gestão dos riscos de cibersegurança, incluindo ao nível da cadeia de abastecimento, que devem ser aprovadas nos termos da alínea do n.° 1 do artigo 25.°;
Prestar informações relativas às medidas de gestão dos riscos de cibersegurança aos órgãos da entidade responsável pela sua supervisão nos termos da alínea b) do n.° 1 do artigo 25.°;
Auxiliar os órgãos da entidade no cumprimento das medidas de supervisão e de execução nos termos da alínea c) do n.° 1 do artigo 25.°;
Contribuir para a promoção de uma cultura de cibersegurança na entidade, propondo, nomeadamente, as ações de formação em cibersegurança previstas na alínea d) do n.° 1 do artigo 25.°;
Assegurar a gestão de riscos prevista no artigo 29.°;
Assegurar o cumprimento das obrigações referentes à elaboração do relatório anual nos termos do artigo 30.°;
Coordenar as ações do ponto de contacto permanente, previstas no artigo 32.°, quando esta função não seja assegurada por si.

3- As entidades essenciais e importantes comunicam à autoridade de cibersegurança competente, no prazo de 20 dias úteis a contar do início de funções, a pessoa designada para exercer as funções de responsável de cibersegurança, incluindo a informação referida em regulamento a aprovar pelo CNCS.

4- As entidades essenciais e importantes que tenham iniciado atividade antes da data de entrada em vigor do presente decreto-lei, efetuam a comunicação prevista no número anterior no prazo de 20 dias úteis a contar desta data.

5- As entidades essenciais e importantes comunicam, sem demora injustificada, às autoridades de cibersegurança competentes, a substituição do responsável de cibersegurança.

6- Relativamente às entidades essenciais e importantes que pertençam à administração direta, pode ser designado o mesmo responsável de cibersegurança para vários ministérios, áreas governativas ou secretarias regionais.

7- Relativamente às entidades essenciais e importantes inseridas no mesmo grupo empresarial, pode cada empresa estabelecer um elemento que funcione como ponto de contacto para a cibersegurança sob coordenação de um responsável de segurança comum ao grupo.

8- O exercício das funções de responsável de cibersegurança é compatível com a acumulações de outras funções dentro da mesma entidade, sem prejuízo do disposto no presente artigo.

Related tasks

Designation and responsibilities of the cybersecurity officer (Portugal)

Critical

High

Normal

Low

Cyber security management

Requirement details

1- O relatório final deve ser submetido à autoridade de cibersegurança competente, no prazo de 30 dias úteis a contar da data da notificação do fim de impacto significativo do incidente.

2- O relatório final deve incluir a seguinte informação:

Data e hora em que o incidente assumiu o impacto significativo;
Data e hora em que o incidente perdeu o impacto significativo;
Impacto do incidente, considerando:
1. Número de utilizadores afetados pela perturbação do serviço;
2. Duração do incidente;
3. Distribuição geográfica, no que se refere à zona afetada pelo incidente, incluindo a indicação de impacto transfronteiriço;
4. Descrição do incidente, com a indicação da categoria da causa e dos efeitos produzidos, de acordo com a taxonomia definida pelo CNCS, e o respetivo detalhe;
Indicação das medidas adotadas para mitigar o incidente;
Descrição da situação residual do impacto existente à data da notificação final, nomeadamente:
1. Número de utilizadores afetados pela perturbação do serviço;
2. Distribuição geográfica, no que se refere à zona afetada pelo incidente, incluindo a indicação de impacto transfronteiriço;
3. Tempo estimado para a recuperação total dos serviços ainda afetados;
4. Indicação, sempre que aplicável, da apresentação de notificação do incidente em causa às autoridades competentes, nomeadamente ao Ministério Público ou à CNPD e a outras autoridades setoriais, nos termos previstos nas disposições legais e regulamentares aplicáveis;
5. Outra informação que a entidade essencial e importante considere relevante.

3- Na hipótese de, decorrido o prazo para apresentação do relatório final, o incidente ainda se encontrar em curso, a entidade essencial, importante ou pública relevante em causa deve apresentar relatório intercalar a autoridade de cibersegurança competente, a pedido destas entidades e com periodicidade semanal até ao momento da apresentação do relatório final.

4- O relatório intercalar deve incluir a seguinte informação:

Atualização da informação transmitida na notificação inicial, caso exista;
Breve descrição das medidas adotadas para a resolução do incidente;
Descrição da situação de impacto existente no momento da perda de impacto significativo, nomeadamente:
1. Número de utilizadores afetados pela perturbação do serviço;
2. Duração do incidente;
3. Distribuição geográfica, no que se refere à zona afetada pelo incidente, incluindo a indicação de impacto transfronteiriço;
4. Tempo estimado para a recuperação total dos serviços.

Related tasks

The step-by-step process of notification of incidents to the authorities (Portugal)

Critical

High

Normal

Low

Incident management and response

Requirement details

1- As entidades essenciais e importantes asseguram a função do ponto de contacto permanente com uma disponibilidade contínua de 24 horas por dia e de sete dias por semana, limitada a períodos de ativação, iniciados e terminados mediante comunicação da autoridade de cibersegurança competente.

2- As entidades essenciais e importantes comunicam ao CNCS, pelo menos, um ponto de contacto permanente, que pode ser assegurado por um elemento ou uma equipa, de modo a assegurar:

Os fluxos de informação de nível operacional e técnico com a autoridade de cibersegurança competente, nomeadamente:
1. A articulação intersectorial, incluindo a eficácia da resposta a incidentes de segurança com impacto a nível dos setores;
2. A obtenção de informação operacional e técnica, na sequência de notificação de incidentes com impacto significativo submetida pela mesma ou por outra entidade;
3. A obtenção e atualização de informação de situação integrada no contexto de um incidente significativo;
A partilha de informação com a autoridade de cibersegurança competente, quando estejam ativados planos de emergência de proteção civil diretamente relacionados ou com impacto ao nível da cibersegurança bem como de planos no âmbito do planeamento civil de emergência da cibersegurança, dos planos de segurança das infraestruturas críticas nacionais ou europeias, ou dos planos de resiliência das entidades críticas nacionais ou europeias;
A operacionalização dos procedimentos fixados no âmbito de um plano de emergência de proteção civil quando tenham impacto no funcionamento das redes e sistemas de informação, ou do planeamento civil de emergência da cibersegurança;
A receção das orientações, recomendações, instruções técnicas e ordens emitidas pela autoridade de cibersegurança competente.

3- As entidades essenciais e importantes devem indicar à autoridade de cibersegurança competente, no prazo de 20 dias úteis a contar do início de funções, a pessoa ou pessoas que compõem a equipa que asseguram as funções de ponto de contacto permanente, bem como os respetivos meios de contacto principal e alternativos contendo a informação referida em regulamento a aprovar pelo CNCS.

4- As entidades essenciais e importantes que tenham iniciado atividade antes da data da entrada em vigor do presente decreto-lei devem efetuar a comunicação prevista no número anterior no prazo de 20 dias úteis a contar desta data.

5- As entidades essenciais e importantes devem comunicar imediatamente à autoridade de cibersegurança competente qualquer alteração à informação prevista no n.° 3.

6- As entidades essenciais e importantes devem assegurar que o ponto de contacto permanente dispõe de meios de contacto principais e alternativos para a comunicação com a autoridade de cibersegurança competente.

Related tasks

Designation of a 24/7 point of contact with CNCS (Portugal)

Critical

High

Normal

Low

Agreements and monitoring

Requirement details

The ISMS component hierachy

Framework

Requirements

Tasks

Policies

Never duplicate effort. Do it once - improve compliance across frameworks.

Start your compliance journey

How it works?

Use cases

Resources

Contact us

NIS2 Portugal

The ISMS component hierachy

Framework

Requirements

Tasks

Policies

Never duplicate effort. Do it once - improve compliance across frameworks.

Stay up-to-date on cyber security

Subscribe for our free, weekly newsletter

* Your email won't be sold nor disclosed forward. Confirmation has more info. Learn more

Start your compliance journey

Pysy kärryillä digiturvasta

Tilaa Digiturvauutiset sähköpostiisi

* Osoitetta ei myydä tai luovuteta eteenpäin. Vahvistusviestissä lisätietoja. Lue lisää

How it works?

Use cases

Resources

Contact us