NIS2 Portugal

As medidas de cibersegurança a adotar pelas entidades essenciais e importantes, tendo em consideração a matriz de risco em que estiverem inseridas nos termos do artigo 26.º, abrangem, designadamente, as seguintes áreas: continuidade das atividades, como a gestão de cópias de segurança e a recuperação de desastres, e gestão de crises.

Related tasks

Implementing a crisis response strategy

Critical

High

Normal

Low

Cyber security management

Creating and documenting continuity plans

Critical

High

Normal

Low

Continuity management

Regular testing, evaluation, and recovery instructions for backups

Critical

High

Normal

Low

Backups

Documenting and delegating ownership of own backup processes

Critical

High

Normal

Low

Backups

Determining responsibilities for backing up important information assets

Critical

High

Normal

Low

Backups

Regular testing and review of continuity plans

Critical

High

Normal

Low

Continuity management

Addressing disasters in continuity planning

Critical

High

Normal

Low

Continuity management

Communication to stakeholders on continuity plans

Critical

High

Normal

Low

Continuity management

Requirement details

1- O relatório final deve ser submetido à autoridade de cibersegurança competente, no prazo de um mês a contar da data da notificação do fim de impacto significativo do incidente.

2- O relatório final deve incluir a seguinte informação:

Data e hora em que o incidente assumiu o impacto significativo;
Data e hora em que o incidente perdeu o impacto significativo;
Impacto do incidente, considerando:
- i) Número de utilizadores afetados pela perturbação do serviço;
- ii) Duração do incidente;
- iii) Distribuição geográfica, no que se refere à zona afetada pelo incidente, incluindo a indicação de impacto transfronteiriço;
- iv) Descrição do incidente, com a indicação da categoria da causa e dos efeitos produzidos, de acordo com a taxonomia definida pelo CNCS, e o respetivo detalhe;
Indicação das medidas adotadas para mitigar o incidente;
Descrição da situação residual do impacto existente à data da notificação final, nomeadamente:
- i) Número de utilizadores afetados pela perturbação do serviço;
- ii) Distribuição geográfica, no que se refere à zona afetada pelo incidente, incluindo a indicação de impacto transfronteiriço;
- iii)Tempo estimado para a recuperação total dos serviços ainda afetados;
- iv) Indicação, sempre que aplicável, da apresentação de notificação do incidente em causa às autoridades competentes, nomeadamente ao Ministério Público ou à CNPD e a outras autoridades setoriais, nos termos previstos nas disposições legais e regulamentares aplicáveis;
- v) Outra informação que a entidade essencial e importante considere relevante.

3- Na hipótese de, decorrido o prazo para apresentação do relatório final, o incidente ainda se encontrar em curso, a entidade essencial, importante ou pública relevante em causa deve apresentar relatório intercalar a autoridade de cibersegurança competente, a pedido destas entidades e com periodicidade semanal até ao momento da apresentação do relatório final.

4- O relatório intercalar deve incluir a seguinte informação:

Atualização da informação transmitida na notificação inicial, caso exista;
Breve descrição das medidas adotadas para a resolução do incidente;
Descrição da situação de impacto existente no momento da perda de impacto significativo, nomeadamente:
- i) Número de utilizadores afetados pela perturbação do serviço;
- ii) Duração do incidente;
- iii) Distribuição geográfica, no que se refere à zona afetada pelo incidente, incluindo a indicação de impacto transfronteiriço;
- iv) Tempo estimado para a recuperação total dos serviços.

Related tasks

The step-by-step process of notification of incidents to the authorities (Portugal)

Critical

High

Normal

Low

Incident management and response

Requirement details

1- As entidades essenciais e importantes asseguram a função do ponto de contacto permanente com uma disponibilidade contínua de 24 horas por dia e de sete dias por semana, limitada a períodos de ativação, iniciados e terminados mediante comunicação da autoridade de cibersegurança competentes.

2- As entidades essenciais e importantes comunicam ao CNCS, pelo menos, um ponto de contacto permanente, que pode ser assegurado por um elemento ou uma equipa, de modo a assegurar:

Os fluxos de informação de nível operacional e técnico com a autoridade de cibersegurança competente, nomeadamente:
- i) A articulação intersectorial, incluindo a eficácia da resposta a incidentes de segurança com impacto a nível dos setores;
- ii) A obtenção de informação operacional e técnica, na sequência de notificação de incidentes com impacto significativo submetida pela mesma ou por outra entidade;
- iii) A obtenção e atualização de informação de situação integrada no contexto de um incidente significativo.
A partilha de informação com a autoridade de cibersegurança competente, quando estejam ativados planos de emergência de proteção civil diretamente relacionados ou com impacto ao nível da cibersegurança bem como de planos no âmbito do planeamento civil de emergência da cibersegurança, dos planos de segurança das infraestruturas críticas nacionais ou europeias, ou dos planos de resiliência das entidades críticas nacionais ou europeias;
A operacionalização dos procedimentos fixados no âmbito de um plano de emergência de proteção civil quando tenham impacto no funcionamento das redes e sistemas de informação, ou do planeamento civil de emergência da cibersegurança;
A receção das orientações, recomendações, instruções técnicas e ordens emitidas pela autoridade de cibersegurança competente.

3- As entidades essenciais e importantes devem indicar à autoridade de cibersegurança competente, no prazo de 20 dias úteis a contar do início de funções, a pessoa ou pessoas que compõem a equipa que asseguram as funções de ponto de contacto permanente, bem como os respetivos meios de contacto principal e alternativos contendo a informação referida em regulamento emitido pelo CNCS.

4- As entidades essenciais e importantes que tenham iniciado atividade antes da data de entrada em vigor do presente decreto-lei devem efetuar a comunicação prevista no número anterior no prazo de 20 dias úteis a contar desta data.

5- As entidades essenciais e importantes devem comunicar imediatamente à autoridade de cibersegurança competente, qualquer alteração à informação prevista no n.º 3.

Related tasks

Designation of a 24/7 point of contact with CNCS (Portugal)

Critical

High

Normal

Low

Agreements and monitoring

Requirement details

The ISMS component hierachy

Framework

Requirements

Tasks

Policies

Never duplicate effort. Do it once - improve compliance across frameworks.

Start your compliance journey

How it works?

Use cases

Resources

Contact us

NIS2 Portugal

The ISMS component hierachy

Framework

Requirements

Tasks

Policies

Never duplicate effort. Do it once - improve compliance across frameworks.

Stay up-to-date on cyber security

Subscribe for our free, weekly newsletter

* Your email won't be sold nor disclosed forward. Confirmation has more info. Learn more

Start your compliance journey

Pysy kärryillä digiturvasta

Tilaa Digiturvauutiset sähköpostiisi

* Osoitetta ei myydä tai luovuteta eteenpäin. Vahvistusviestissä lisätietoja. Lue lisää

How it works?

Use cases

Resources

Contact us