Decreto-Lei n.º 125/2025 — Transpõe a Diretiva (UE) 2022/2555, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança…

2 - A autoridade de cibersegurança competente deve também exigir que a entidade em causa proceda à divulgação ao público do incidente significativo, quando estejam em causa as situações referidas no número anterior.

3 - A autoridade de cibersegurança competente deve informar o público de um incidente significativo, perante pedido de uma autoridade competente de outro Estado-Membro da União Europeia.

4 - A comunicação ao público prevista no presente artigo não prejudica a cooperação em sede de investigações criminais em curso, ou que estejam abrangidas pelos regimes de segredo de justiça e de segredo de Estado.

Artigo 52.º — Resposta a notificações

1 - A autoridade de cibersegurança competente responde à entidade notificante, sem demora injustificada e, se possível, no prazo de 24 horas após a receção da notificação inicial prevista no artigo 42.º

2 - A autoridade de cibersegurança competente fornece, na sua resposta, designadamente, as suas observações iniciais sobre o incidente significativo e, a pedido da entidade, orientações ou aconselhamento operacional sobre a aplicação de possíveis medidas de atenuação.

3 - Em situações de grave e comprovado risco do impacto do incidente notificado nos termos do artigo 40.º, a autoridade de cibersegurança competente pode impor, como medida de execução imediata, a interrupção da prestação de serviço à entidade essencial, importante ou pública relevante em causa, ou a cessação de uma conduta que infringe o presente decreto-lei, caso esta não o faça de forma voluntária.

4 - Nos casos de suspeita fundada da natureza criminosa do incidente significativo, a autoridade de cibersegurança competente deve fornecer igualmente orientações sobre a notificação do incidente significativo às autoridades policiais.

5 - O disposto nos números anteriores aplica-se, com as necessárias adaptações, aos incidentes, quase incidentes ou ciberameaças que tenham sido notificados, de forma voluntária, ao abrigo do artigo 45.º

CAPÍTULO VI — SUPERVISÃO E EXECUÇÃO

SECÇÃO I — MEDIDAS DE SUPERVISÃO E EXECUÇÃO

Artigo 53.º — Princípios

1 - A autoridade de cibersegurança competente, na qualidade de autoridade de supervisão e de execução, fiscaliza e supervisiona o cumprimento do presente decreto-lei e adota as medidas necessárias para garantir esse cumprimento.

2 - As atividades de supervisão e de execução são orientadas, designadamente, pelos princípios da prossecução do interesse público, da legalidade, da eficiência, da eficácia e da proporcionalidade, devendo minimizar, sempre que possível, o seu impacto nas atividades públicas, sociais e empresariais das entidades supervisionadas.

3 - A atividade de supervisão assenta em metodologias de avaliação de risco e, com fundamento nessa avaliação e nos princípios referidos no número anterior, pode determinar a afetação prioritária de recursos e as medidas a adotar em função da matriz de risco aplicável à entidade em causa, nomeadamente no que respeita à realização, frequência ou tipo de inspeções no local, às auditorias de segurança direcionadas ou verificações de segurança e ao tipo de informações a solicitar.

4 - As atividades de supervisão e de execução são exercidas com autonomia operacional, incluindo as que visam as entidades públicas relevantes.

5 - As atividades de supervisão e de execução respeitam as garantias dos particulares legal e constitucionalmente previstas.

Artigo 54.º — Medidas de supervisão relativas a entidades essenciais

1 - A autoridade de cibersegurança competente dispõe, relativamente a entidades essenciais, de poderes para as submeter às seguintes medidas:

2 - As auditorias direcionadas referidas na alínea b) do número anterior baseiam-se na análise de risco realizada pela autoridade de cibersegurança competente, na análise de risco realizada pela entidade auditada ou noutras informações disponíveis relacionadas com os riscos, nomeadamente as constantes das instruções técnicas de harmonização e as matrizes de risco elaboradas pelo CNCS, nos termos do n.º 4 do artigo 26.º, bem como das ordens, instruções e orientações da autoridade de cibersegurança competente.

3 - Os custos das auditorias direcionadas referidas nas alíneas b) do n.º 1 são suportados pela entidade auditada, salvo decisão contrária fundamentada da autoridade de cibersegurança competente.

4 - Os pedidos de informação e de prova referidos nas alíneas e) a g) do n.º 1 devem indicar a respetiva finalidade, especificar a informação solicitada e fixar um prazo adequado e razoável para a entidade essencial lhes dar resposta.

Artigo 55.º — Medidas de supervisão relativas a entidades importantes e públicas relevantes

1 - Sempre que obtenha provas, indícios ou informações de que uma entidade importante ou pública relevante não está a cumprir o presente decreto-lei, a autoridade de cibersegurança competente aplica as medidas de supervisão ex post previstas nos números seguintes.

2 - A autoridade de cibersegurança competente dispõe, relativamente a entidades importantes, de poderes para as submeter às seguintes medidas:

3 - As auditorias direcionadas referidas na alínea b) do número anterior baseiam-se na análise de risco realizada pela autoridade de cibersegurança competente, na análise de risco realizada pela entidade auditada ou noutras informações disponíveis relacionadas com os riscos, nomeadamente as constantes das instruções técnicas de harmonização e as matrizes de risco elaboradas pelo CNCS, nos termos do n.º 4 do artigo 26.º, bem como das ordens, instruções e orientações da autoridade de cibersegurança competente.

4 - Os custos das auditorias direcionadas referidas na alínea b) do n.º 2 são suportados pela entidade auditada, salvo decisão contrária fundamentada da autoridade de cibersegurança competente.

5 - Os pedidos de informação e de prova referidos nas alíneas e) a g) do n.º 2 devem indicar a respetiva finalidade, especificar a informação solicitada e fixar um prazo adequado e razoável para a entidade essencial lhes dar resposta.

Artigo 56.º — Medidas de execução

1 - A autoridade de cibersegurança competente pode, relativamente a entidades essenciais, importantes e públicas relevantes, adotar medidas que incluam o seguinte:

2 - Em caso de incumprimento, por qualquer entidade essencial, das medidas referidas nas alíneas a) a d) e f) do número anterior no prazo determinado pela autoridade de cibersegurança competente, esta pode, na medida do estritamente necessário:

3 - As suspensões ou inibições temporárias referidas no número anterior mantêm-se até ao momento em que a entidade corrija as deficiências ou cumpra as medidas referidas no n.º 1.

4 - As medidas referidas no n.º 2 não se aplicam às entidades públicas abrangidas pelo presente decreto-lei, sem prejuízo do exercício dos poderes de direção e tutela, nos termos gerais.

Artigo 57.º — Medidas de bloqueio e redirecionamento

1 - A autoridade de cibersegurança competente pode emitir ordens ou instruções com vista a neutralizar uma ciberameaça, ciberataque ou incidente para as redes e sistemas de informação das entidades essenciais, importantes ou públicas relevantes que resulte da utilização abusiva de nomes de domínio ou endereço de protocolo IP, nos termos dos números seguintes.

2 - Os tipos de abusos referidos no número anterior incluem, designadamente:

3 - Na medida do estritamente necessário para cessar a utilização abusiva de nomes de domínio, a autoridade de cibersegurança competente pode ordenar, de forma devidamente fundamentada:

4 - Na medida do estritamente necessário para cessar a utilização abusiva de endereços de protocolo IP, o CNCS pode ordenar às empresas que oferecem redes e serviços de comunicações eletrónicas o bloqueio ou redirecionamento de endereço de protocolo IP, dinâmico ou estático, para um servidor seguro do CNCS, quando estes endereços estejam manifestamente dedicados ou envolvidos nos tipos de ciberataques ou incidentes previstos nas alíneas a) a d) do n.º 2.

5 - As medidas referidas nos n.^os3 e 4 não podem exceder o período de 60 dias, podendo este ser renovado por igual período quando haja forte probabilidade, aferida mediante uma avaliação fundamentada, de os ciberataques ou incidentes com origem nos mesmos endereços persistirem ou serem retomados.

6 - O disposto no presente artigo aplica-se igualmente aos prestadores de serviços de registo de nomes de domínio.

Artigo 58.º — Garantias procedimentais

1 - A autoridade de cibersegurança competente apresenta uma fundamentação adequada das suas decisões de aplicação das medidas de execução, devendo também, nos termos gerais, proceder à audiência prévia da entidade em causa dentro de um prazo razoável, não inferior a 10 dias.

2 - Dispensa-se a audiência prévia referida no número anterior sempre que houver necessidade, devidamente fundamentada, de aplicação de medidas imediatas para prevenir ou responder a incidentes ou ciberameaças significativas.

3 - Ao aplicar qualquer uma das medidas de execução referidas nos números anteriores, a autoridade de cibersegurança competente deve respeitar as garantias procedimentais da entidade, atendendo às circunstâncias do caso concreto, e ponderar, designadamente:

4 - Para efeitos da alínea a) do número anterior, presumem-se graves:

SECÇÃO II — COOPERAÇÃO ENTRE AUTORIDADES COM COMPETÊNCIAS DE SUPERVISÃO

Artigo 59.º — Comunicação de incidentes e aplicação de medidas

1 - As autoridades nacionais setoriais de cibersegurança e as autoridades nacionais especiais de cibersegurança informam o CNCS da ocorrência de incidentes ou ciberameaças significativas, bem como da aplicação de medidas de supervisão e de execução em matéria de cibersegurança, nos termos do regime aplicável.

2 - A aplicação das medidas de supervisão e de execução em matéria de cibersegurança, nos termos do regime aplicável, pelas autoridades nacionais setoriais de cibersegurança e pelas autoridades nacionais especiais de cibersegurança é precedida de parecer não vinculativo do CNCS, com exceção, para as autoridades nacionais setoriais de cibersegurança, das medidas previstas na alínea i) do n.º 1 do artigo 56.º

3 - As autoridades nacionais setoriais de cibersegurança e as autoridades nacionais especiais de cibersegurança estão dispensadas de solicitar parecer ao CNCS nos termos do número anterior, quando esteja em causa o cumprimento de medidas de execução num prazo inferior a 24h, sem prejuízo de as medidas serem imediatamente comunicadas ao CNCS.

4 - A autoridade de cibersegurança competente informa as autoridades nacionais especiais de cibersegurança dos incidentes significativos ocorridos que possam afetar as entidades do setor financeiro.

5 - A transmissão da informação acima referida deve ser realizada através da plataforma mencionada no n.º 7 do artigo 8.º

Artigo 60.º — Cooperação no âmbito da segurança das infraestruturas críticas

1 - Sempre que o CNCS, as autoridades nacionais setoriais de cibersegurança ou as autoridades nacionais especiais de cibersegurança, consoante o caso, exerçam os seus poderes de supervisão relativamente a uma entidade referida no n.º 5 do artigo 3.º, devem informar as autoridades competentes que resultem da transposição da Diretiva (UE) 2022/2557, do Parlamento Europeu e o Conselho, de 14 de dezembro de 2022.

2 - As autoridades competentes que resultem da transposição da Diretiva (UE) 2022/2557, do Parlamento Europeu e o Conselho, de 14 de dezembro de 2022, podem, se for necessário, solicitar que o CNCS, as autoridades nacionais setoriais de cibersegurança ou as autoridades nacionais especiais de cibersegurança, consoante o caso, exerçam os seus poderes de supervisão, relativamente a uma entidade referida no n.º 5 do artigo 3.º

CAPÍTULO VII — REGIME SANCIONATÓRIO

Artigo 61.º — Contraordenações muito graves

1 - Constituem contraordenações muito graves ao abrigo do presente decreto-lei:

2 - As contraordenações referidas no número anterior são punidas com as seguintes coimas:

ii) De € 350,00 a € 200 000,00, se praticadas por uma pessoa singular;

ii) De € 350,00 a € 200 000,00, se praticadas por uma pessoa singular;

ii) De € 500,00 a € 16 000,00, se praticadas por pessoa singular;

ii) De € 500,00 a € 16 000,00, se praticadas por pessoa singular.

Artigo 62.º — Contraordenações graves

1 - Constituem contraordenações graves ao abrigo do presente decreto-lei:

2 - As contraordenações referidas no número anterior são punidas com as seguintes coimas:

ii) De € 250,00 a € 125 000,00, se praticadas por uma pessoa singular;

ii) De € 250,00 a € 125 000,00, se praticadas por uma pessoa singular;

ii) De € 375,00 a € 10 000,00, se praticadas por pessoa singular;

ii) De € 375,00 a € 10 000,00, se praticadas por pessoa singular.

Artigo 63.º — Contraordenações leves

1 - São contraordenações leves:

2 - As contraordenações referidas no número anterior são punidas com as seguintes coimas:

Artigo 64.º — Negligência

As contraordenações referidas no n.º 1 do artigo 61.º, no n.º 1 do artigo 62.º e nas alíneas a) e b) do n.º 1 do artigo 63.º são igualmente puníveis a título negligente, sendo os limites mínimos e máximos das coimas reduzidos a metade.

Artigo 65.º — Dispensa de aplicação das coimas

Todas as entidades essenciais, importantes e públicas relevantes podem, mediante pedido devidamente fundamentado, solicitar à autoridade de cibersegurança competente a dispensa da aplicação de coimas referidas no n.º 2 do artigo 61.º e no n.º 2 do artigo 62.º, com fundamento na inexistência de um procedimento interno de adaptação dessas entidades ao novo regime jurídico, durante 12 meses a contar da entrada em vigor do presente decreto-lei.

Artigo 66.º — Determinação da medida da coima

1 - A determinação da coima concreta faz-se em função da gravidade da ilicitude concreta do facto, da culpa do agente, da sua situação económica e do benefício económico que este retirou da prática da contraordenação.

2 - Na determinação da ilicitude concreta do facto e da culpa do agente atende-se às seguintes circunstâncias:

3 - Para efeitos da alínea a) do número anterior, presumem-se graves:

4 - O disposto na alínea f) do número anterior não prejudica a responsabilidade nos termos do Código Penal.

5 - Exceto em caso de dolo, a instauração de processo de contraordenação depende de prévia advertência do agente, por parte da autoridade de cibersegurança competente, para cumprimento da obrigação omitida ou reintegração da proibição violada em prazo razoável.

Artigo 67.º — Sanções acessórias e outras determinações

Caso a gravidade da infração e a culpa do infrator o justifiquem, a autoridade de cibersegurança competente pode determinar, em simultâneo com a coima:

Artigo 68.º — Sanções compulsórias

1 - Os destinatários de uma decisão da autoridade de cibersegurança competente ficam sujeitos ao pagamento de uma quantia pecuniária a pagar por cada dia de atraso no cumprimento, contado da data da respetiva notificação.

2 - Para efeitos do disposto no número anterior, considera-se sanção pecuniária compulsória a imposição ao agente do pagamento de uma quantia pecuniária por cada dia de incumprimento que se verifique para além do prazo fixado para o cumprimento da obrigação.

3 - A sanção pecuniária compulsória é fixada segundo critérios de razoabilidade e proporcionalidade, sendo o valor diário da sanção prevista no número anterior fixado em € 500,00, quando cometida por pessoa coletiva, e em € 100,00, quando cometida por pessoa singular.

4 - Os montantes diários fixados podem aumentar para cada dia de incumprimento, não podendo, em caso algum, ultrapassar a duração máxima de 30 dias.

Artigo 69.º — Prescrição do procedimento

1 - O procedimento pelas contraordenações graves e muito graves extingue-se por efeito da prescrição logo que sobre a prática da contraordenação haja decorrido o prazo de cinco anos, sem prejuízo das causas de interrupção e suspensão previstas nos termos gerais.

2 - O procedimento pelas contraordenações leves extingue-se por efeito da prescrição logo que sobre a prática da contraordenação haja decorrido o prazo de três anos, sem prejuízo das causas de interrupção e suspensão previstas nos termos gerais.

Artigo 70.º — Prescrição da coima e sanções acessórias

1 - O prazo de prescrição da coima e sanções acessórias é de:

2 - O prazo conta-se a partir do carácter definitivo ou do trânsito em julgado da decisão condenatória.

Artigo 71.º — Regra da competência das autoridades competentes

A instauração e instrução dos processos de contraordenação, bem como a aplicação das coimas, é da competência da autoridade de cibersegurança competente.

Artigo 72.º — Notificações

1 - As notificações realizadas pelas autoridades de cibersegurança competentes são feitas por via eletrónica, ou, a pedido fundamentado da entidade, por carta registada ou pessoalmente.

2 - A notificação por via eletrónica faz-se por meio de disponibilização da mesma em área digital de acesso reservado ao destinatário, integrada na plataforma prevista no n.º 7 do artigo 8.º e associada ao endereço de correio eletrónico nela registado pelo destinatário, e ainda, cumulativamente, através do serviço público de notificações eletrónicas (SPNE), sempre que se verifique que o destinatário a ele tenha aderido, nos termos do Decreto-Lei n.º 93/2017, de 1 de agosto, na sua redação atual.

3 - A disponibilização é acompanhada de envio de aviso ao destinatário para o endereço de correio eletrónico registado na plataforma prevista no n.º 7 do artigo 8.º, indicando-se a autoridade remetente e a forma de acesso à área reservada do destinatário.

4 - A notificação por via eletrónica considera-se feita na data da consulta eletrónica da área digital de acesso reservado da plataforma prevista no n.º 7 do artigo 8.º ou, se esta não ocorrer nos primeiros três dias a contar da receção, no termo desse prazo.

5 - A notificação postal presume-se feita no terceiro dia útil posterior ao do registo.

Artigo 73.º — Produto das coimas

O produto das coimas reverte em:

Artigo 74.º — Custas

1 - Pelos processos de contraordenação são, ainda, devidas custas relativas aos encargos com a sua tramitação, arquivo e disponibilização.

2 - As decisões da autoridade de cibersegurança competente sobre a matéria do processo devem fixar o montante das custas.

3 - As custas destinam-se a cobrir as despesas efetuadas no processo.

4 - O reembolso pelas despesas com notificações e comunicações, meios audiovisuais e materiais utilizados no processo é calculado:

5 - As custas compreendem, ainda, os seguintes encargos:

6 - Caso sejam facultadas cópias ou certidões do processo ou de partes deste, em suporte físico ou digital, a pedido do arguido, acresce ao valor referido nos números anteriores uma quantia calculada nos termos previstos nos mesmos números.

7 - As custas são suportadas pelo arguido e corresponsáveis nos termos do presente decreto-lei, em caso de aplicação de uma sanção de admoestação, de uma coima ou de uma sanção acessória.

8 - As custas revertem para o CNCS ou para a autoridade nacional setorial de cibersegurança, consoante a competência para a tramitação do processo de contraordenação.

Artigo 75.º — Cumprimento de dever omitido

Sempre que a contraordenação resulte da omissão de um dever, a aplicação da sanção e o pagamento da coima não dispensam o infrator do seu cumprimento se este ainda for possível.

Artigo 76.º — Suspensão da execução da coima

1 - A autoridade de cibersegurança competente suspende a execução da coima aplicada, atendendo à natureza não reiterada da conduta ilícita do agente, às circunstâncias do cometimento da infração e à sua conduta anterior e posterior ao crime, sempre que conclua que a simples censura do facto, a sujeição a sanções acessórias e a ameaça de coima realizam de forma adequada e suficiente as finalidades preventivas e corretivas da sanção.

2 - A autoridade de cibersegurança competente, se julgar conveniente à realização das finalidades da punição, subordina a suspensão da execução da coima ao cumprimento das sanções e determinações previstas no artigo 67.º, ou de outros deveres que considere relevantes.

3 - A decisão condenatória especifica sempre os fundamentos da suspensão e das suas condições, incluindo o respetivo prazo de duração.

4 - O período de suspensão é fixado entre um e três anos a contar da notificação da decisão condenatória ou da decisão judicial transitada em julgado que dela conhecer.

Artigo 77.º — Revogação da suspensão da execução da coima

1 - Se, durante o período da suspensão, o condenado deixar de cumprir qualquer das sanções ou determinações previstas no artigo 67.º ou cometer uma contraordenação muito grave ou grave, a autoridade de cibersegurança competente, após o devido procedimento, revoga a decisão de suspensão da execução da coima.

2 - A revogação determina o dever de pagamento imediato da coima, sem que o arguido possa exigir a reparação de quaisquer prestações efetuadas ou despesas suportadas, durante o cumprimento anterior das sanções acessórias que lhe foram aplicadas.

Artigo 78.º — Extinção da coima

A coima é declarada extinta se, decorrido o período da sua suspensão, não houver motivos que possam conduzir à sua revogação.

Artigo 79.º — Violação de dados pessoais

1 - Sempre que a autoridade de cibersegurança competente obtiver um grau razoável de certeza, no decurso de uma ação de supervisão ou da imposição de medida de execução, de que a infração das obrigações estabelecidas nos artigos 27.º a 29.º e nos artigos 40.º a 43.º por parte de uma entidade essencial ou importante pode implicar uma violação de dados pessoais, nos termos do ponto 12 do artigo 4.º do RGPD, a qual deve ser notificada nos termos do artigo 33.º do mesmo RGPD, aquela autoridade deve, sem demora injustificada, informar a CNPD.

2 - No caso de a CNPD aplicar uma coima, nos termos da alínea i) do n.º 2 do artigo 58.º do RGPD e restante direito nacional aplicável, a autoridade de cibersegurança competente fica impedida de aplicar uma coima em resultado da prática da mesma infração nos termos do presente decreto-lei, sem prejuízo do disposto no número seguinte.

3 - A autoridade de cibersegurança competente pode impor as medidas de execução, previstas nas alíneas a) a h) do n.º 1 do artigo 56.º, às entidades essenciais e importantes cuja violação das obrigações decorrentes do presente decreto-lei resulte num incidente de violação de dados pessoais.

Artigo 80.º — Impugnação das decisões da autoridade de cibersegurança competente

1 - Sem prejuízo do disposto no n.º 3, impugnada a decisão proferida pela autoridade de cibersegurança competente no âmbito de um processo de contraordenação, aquela remete os autos respetivos ao Ministério Público, preferencialmente por via eletrónica, no prazo de 20 dias úteis, podendo juntar alegações, bem como outros elementos ou informações que considere relevantes para a decisão da causa, e ainda oferecer meios de prova.

2 - A remessa dos autos por via eletrónica dispensa o envio dos respetivos originais, sem prejuízo do dever de exibição das peças processuais em suporte de papel e dos originais dos documentos dele constantes, quando existentes, sempre que o Ministério Público ou o juiz o determine.

3 - As decisões ou quaisquer medidas adotadas e aplicadas pela autoridade de cibersegurança competente no âmbito de processos de contraordenação são impugnáveis para os tribunais judiciais, devendo o recurso ser apresentado à autoridade de cibersegurança competente.

4 - A impugnação de quaisquer decisões proferidas pela autoridade de cibersegurança competente que, no âmbito de processos de contraordenação, determinem a aplicação de coimas, de sanções acessórias ou de sanções pecuniárias compulsórias, tem efeito suspensivo.

5 - A impugnação das demais decisões ou medidas da autoridade de cibersegurança competente adotadas no âmbito de processos de contraordenação tem efeito meramente devolutivo e obedece às regras previstas no presente artigo.

6 - A autoridade de cibersegurança competente, o Ministério Público e os arguidos podem opor-se a que o tribunal decida por despacho, sem audiência de julgamento.

7 - A autoridade de cibersegurança competente tem legitimidade para recorrer autonomamente de quaisquer sentenças e despachos que não sejam de mero expediente, incluindo os que versem sobre nulidades e outras questões prévias ou incidentais, ou sobre a aplicação de medidas cautelares, bem como para responder a recursos interpostos.

8 - As decisões dos tribunais judiciais que admitam recurso, nos termos previstos no regime do ilícito de mera ordenação social, aprovado pelo Decreto-Lei n.º 433/82, de 27 de outubro, na sua redação atual, são impugnáveis junto do Tribunal da Relação de Lisboa.

9 - O Tribunal da Relação, no âmbito da competência prevista no número anterior, decide em última instância, não cabendo recurso ordinário dos seus acórdãos.

Artigo 81.º — Direito subsidiário

Em matéria contraordenacional, em tudo que não estiver previsto do presente decreto-lei, aplica-se, subsidiariamente, o disposto no regime do ilícito de mera ordenação social, aprovado pelo Decreto-Lei n.º 433/82, de 27 de outubro, na sua redação atual.

CAPÍTULO VIII — DISPOSIÇÕES COMPLEMENTARES

SECÇÃO I — OUTRAS DISPOSIÇÕES

Artigo 82.º — Taxa de supervisão

1 - Pode ser cobrada às entidades essenciais e importantes uma taxa de supervisão por contrapartida dos atos de supervisão praticados, a fixar em função dos custos necessários à prestação de serviços de supervisão.

2 - As taxas de supervisão obedecem ao princípio da proporcionalidade e são fixadas de acordo com critérios objetivos e transparentes.

3 - O regime que regula as taxas referidas nos números anteriores é fixado por portaria dos membros do Governo responsáveis pelas áreas das finanças e da cibersegurança.

Artigo 83.º — Comunicações

1 - As comunicações entre as entidades com o CNCS, ou com as autoridades nacionais setoriais de cibersegurança referidas na alínea a) do n.º 2 do artigo 15.º, incluindo as notificações de incidentes nos termos dos artigos 40.º e seguintes, devem seguir o formato e o procedimento definido pelo CNCS em regulamento a aprovar pelo CNCS.

2 - Na ausência de disposição regulamentar aplicável, todas as comunicações dirigidas à autoridade de cibersegurança competente, no âmbito do presente decreto-lei, bem como o envio de informação, devem ser realizadas por meios eletrónicos.

3 - Nos casos em que a entidade não tenha temporariamente capacidade operacional para assegurar a comunicação prevista nos números anteriores, ou nos casos em que o sítio na Internet da autoridade de cibersegurança competente esteja indisponível, em resultado do incidente ou por outro motivo de natureza eminentemente técnica devidamente justificado, a notificação pode ser efetuada, a título excecional, através de correio eletrónico ou telefonicamente.

4 - O formato e procedimento referido no n.º 1 é adotado pelo CNCS, mediante prévia audição das autoridades nacionais setoriais de cibersegurança competentes, que também podem adotar formatos e procedimentos próprios, adaptados às suas especificidades, conforme referido no n.º 1.

5 - Os casos referidos no n.º 3 são objeto de instruções técnicas do CNCS, adotadas em articulação com as autoridades nacionais setoriais de cibersegurança.

Artigo 84.º — Segurança e integridade da informação

1 - O CNCS e as autoridades nacionais setoriais de cibersegurança competentes nos termos do disposto na alínea a) do n.º 2 do artigo 15.º mantêm e gerem a informação em matéria de segurança e integridade num sistema de informação seguro, em conformidade com as disposições respeitantes à segurança de informação classificada no âmbito nacional e no âmbito das organizações internacionais de que Portugal é parte.

2 - O acesso aos sistemas eletrónicos e sítios na Internet para tratamento das notificações previstas no presente decreto-lei deve ser efetuado preferencialmente com recurso a sistema de identificação eletrónico com nível de garantia elevado, nos termos definidos pelos artigos 8.º e 9.º do Regulamento (UE) n.º 910/2014, do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança, designadamente através do Cartão de Cidadão e da Chave Móvel Digital, conforme alterado pela Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, e pelo Regulamento (UE) 2024/1183, do Parlamento Europeu e do Conselho, de 11 de abril de 2024.

CAPÍTULO IX — DISPOSIÇÕES FINAIS

Artigo 85.º — Aprovação do plano nacional de resposta a crises e incidentes de cibersegurança em grande escala

O plano referido no artigo 13.º é aprovado no prazo de seis meses após a entrada em vigor do presente decreto-lei.

Artigo 86.º — Dotação de meios e independência operacional do CNCS

Por forma a prosseguir atribuições e a exercer as competências previstas no presente decreto-lei, o CNCS deve ser dotado dos meios necessários e beneficia de independência operacional em relação às entidades supervisionadas.

Artigo 87.º — Interoperabilidade e acesso a informação

1 - O CNCS acede gratuitamente às bases de dados e registos nacionais relevantes para a concretização das atribuições e exercício das competências previstas no presente decreto-lei e demais legislação em matéria de cibersegurança, em especial para a atribuição ou confirmação da qualificação das entidades.

2 - As entidades públicas responsáveis pelas bases de dados e registos nacionais previstos no número anterior disponibilizam o acesso às mesmas, mediante uma solução de interoperabilidade estipulada em protocolo e adequada para o efeito.

3 - A falta de assinatura dos protocolos referidos no número anterior não obsta ao acesso às informações relevantes pelo CNCS, devendo as entidades públicas responsáveis pelas bases de dados e registos nacionais prestar todas as informações necessárias sempre que solicitadas pelo CNCS.

ANEXO I

[a que se referem os n.^os1 e 2 e a alínea b) do n.º 2 do artigo 3.º, as alíneas a) e f) do n.º 1 e os n.^os2 e 3 do artigo 6.º, a alínea a) do n.º 2 do artigo 12.º e a alínea d) do n.º 1 do artigo 35.º]

Setores de importância crítica

Setor	Subsetor	Tipo de entidade
1. Energia	a) Eletricidade	Empresas de eletricidade na aceção do ponto 57 do artigo 2.º da Diretiva (UE) 2019/944 do Parlamento Europeu e do Conselho, que exercem a atividade de «comercialização» na aceção do ponto 12 do artigo 2.º da mesma diretiva
		Operadores da rede de distribuição na aceção do ponto 29 do artigo 2.º da Diretiva (UE) 2019/944
		Operadores da rede de transporte na aceção do ponto 35 do artigo 2.º da Diretiva (UE) 2019/944
		Produtores na aceção do artigo 2.º, ponto 38 da Diretiva (UE) 2019/944
		Operadores nomeados do mercado da eletricidade na aceção do ponto 8 do artigo 2.º do Regulamento (UE) 2019/943 do Parlamento Europeu e do Conselho
		Participantes no mercado na aceção do ponto 25 do artigo 2.º do Regulamento (UE) 2019/943, que prestam serviços de agregação, resposta da procura ou armazenamento de energia na aceção dos pontos 18, 20 e 59 do artigo 2.º da Diretiva (UE) 2019/944
		Os operadores de um ponto de carregamento que são responsáveis pela gestão e operação de um ponto de carregamento que presta um serviço de carregamento aos utilizadores finais, incluindo em nome e por conta de um prestador de serviços de mobilidade
	b) Sistemas de aquecimento e arrefecimento urbano	Operadores de sistemas de aquecimento urbano ou sistemas de arrefecimento urbano na aceção do ponto 19 do artigo 2.º da Diretiva (UE) 2018/2001, do Parlamento Europeu e do Conselho
	c) Petróleo	Operadores de oleodutos de petróleo
		Operadores de instalações de produção, refinamento e tratamento, armazenamento e transporte de petróleo
		Entidades centrais de armazenagem na aceção da alínea f) do artigo 2.º da Diretiva 2009/119/CE do Conselho
	d) Gás	Empresas de comercialização na aceção do ponto 8 do artigo 2.º da Diretiva 2009/73/CE do Parlamento Europeu e do Conselho
		Operadores da rede de distribuição na aceção do ponto 6 do artigo 2.º da Diretiva 2009/73/CE
		Operadores da rede de transporte na aceção do ponto 4 do artigo 2.º da Diretiva 2009/73/CE
		Operadores do sistema de armazenamento na aceção do ponto 10 do artigo 2.º da Diretiva 2009/73/CE
		Operadores da rede de GNL na aceção do ponto 12 do artigo 2.º da Diretiva 2009/73/CE
		Empresas de gás natural na aceção do ponto 1 do artigo 2.º da Diretiva 2009/73/CE
		Operadores de instalações de refinamento e tratamento de gás natural
	e) Hidrogénio	Operadores de produção, armazenamento e transporte de hidrogénio
2. Transportes	a) Transporte aéreo	Transportadoras aéreas na aceção do ponto 4 do artigo 3.º do Regulamento (CE) n.º 300/2008 utilizadas para fins comerciais
		Entidades gestoras aeroportuárias na aceção do ponto 2 do artigo 2.º da Diretiva 2009/12/CE do Parlamento Europeu e do Conselho, aeroportos na aceção do ponto 1 do artigo 2.º da mesma diretiva, incluindo os aeroportos principais enumerados na secção 2 do anexo ii do Regulamento (UE) n.º 1315/2013 do Parlamento Europeu e do Conselho, e as entidades que exploram instalações auxiliares existentes dentro dos aeroportos
		Operadores de controlo da gestão do tráfego aéreo que prestam serviços de controlo de tráfego aéreo (CTA) na aceção do ponto 1 do artigo 2.º do Regulamento (CE) n.º 549/2004 do Parlamento Europeu e do Conselho
	b) Transporte ferroviário	Gestores de infraestrutura na aceção do ponto 2 do artigo 3.º da Diretiva 2012/34/UE do Parlamento Europeu e do Conselho
		Empresas ferroviárias na aceção do ponto 1 do artigo 3.º da Diretiva 2012/34/UE, incluindo os operadores das instalações de serviço na aceção do ponto 12 do artigo 3.º dessa diretiva
	c) Transporte aquático	Companhias de transporte por vias navegáveis interiores, marítimo e costeiro de passageiros e de mercadorias, tal como definidas para o transporte marítimo no anexo i do Regulamento (CE) n.º 725/2004 do Parlamento Europeu e do Conselho, não incluindo os navios explorados por essas companhias
		Entidades gestoras dos portos na aceção do ponto 1 do artigo 3.º da Diretiva 2005/65/CE do Parlamento Europeu e do Conselho, incluindo as respetivas instalações portuárias na aceção do ponto 11 do artigo 2.º do Regulamento (CE) n.º 725/2004, e as entidades que gerem as obras e o equipamento existentes dentro dos portos
		Operadores de serviços de tráfego marítimo (VTS, do inglês, vessel traffic services) na aceção da alínea o) do artigo 3.º da Diretiva 2002/59/CE do Parlamento Europeu e do Conselho
	d) Transporte rodoviário	Autoridades rodoviárias na aceção do ponto 12 do artigo 2.º do Regulamento Delegado (UE) 2015/962 da Comissão, responsáveis pelo controlo da gestão do tráfego, com exceção das entidades públicas nas quais a gestão do tráfego ou a gestão de sistemas de transporte inteligentes constituem uma parte não essencial da sua atividade geral
		Operadores de sistemas de transporte inteligentes na aceção do ponto 1 do artigo 4.º da Diretiva 2010/40/UE do Parlamento Europeu e do Conselho
3. Setor bancário		Instituições de crédito, tal como definidas no ponto 1 do artigo 4.º do Regulamento (UE) n.º 575/2013 do Parlamento Europeu e do Conselho
4. Infraestruturas do mercado financeiro		Operadores de plataformas de negociação na aceção ponto 24 do artigo 4.º da Diretiva 2014/65/UE do Parlamento Europeu e do Conselho
		Contrapartes centrais (CCP) na aceção do ponto 1 do artigo 2.º do Regulamento (UE) n.º 648/2012 do Parlamento Europeu e do Conselho
5. Saúde		Prestadores de cuidados de saúde na aceção da alínea g) do artigo 3.º da Diretiva 2011/24/UE do Parlamento Europeu e do Conselho
		Laboratórios de referência da UE referidas no artigo 15.º do Regulamento (UE) 2022/2371, do Parlamento Europeu e do Conselho
		Entidades que realizam atividades de investigação e desenvolvimento de medicamentos na aceção do ponto 2 do artigo 1.º da Diretiva 2001/83/CE, do Parlamento Europeu e do Conselho
6. Água potável		Fornecedores e distribuidores de água destinada ao consumo humano na aceção da alínea a) do ponto 1 do artigo 2.º da Diretiva (UE) 2020/2184 do Parlamento Europeu e do Conselho, excluindo os distribuidores para os quais a distribuição de água para consumo humano constitui uma parte não essencial da sua atividade geral de distribuição de outros produtos de base e mercadorias
7. Águas residuais		Empresas que recolhem, eliminam ou tratam águas residuais urbanas, domésticas ou industriais na aceção dos pontos 1, 2 e 3 do artigo 2.º da Diretiva 91/271/CEE do Conselho, excluindo as empresas para as quais a recolha, eliminação ou tratamento de águas residuais urbanas, domésticas ou industriais constitui uma parte não essencial da sua atividade geral
8. Infraestruturas digitais		Fornecedores de pontos de troca de tráfego
		Prestadores de serviços de DNS, excluindo operadores de servidores de nomes raiz
		Registos de nomes de TLD
		Prestadores de serviços de computação em nuvem
		Prestadores de serviços de centro de dados
		Fornecedores de redes de distribuição de conteúdos
		Prestadores de serviços de confiança
		Fornecedores de redes públicas de comunicações eletrónicas
		Prestadores de serviços de comunicações eletrónicas acessíveis ao público
9. Gestão de serviços de tecnologias da informação ou comunicação (entre empresas)		Prestadores de serviços geridos
		Prestadores de serviços de segurança geridos
10. Espaço		Operadores de infraestruturas terrestres, detidas, geridas e operadas por Estados-Membros ou entidades privadas, que apoiam a prestação de serviços espaciais, excluindo os fornecedores de redes públicas de comunicações eletrónicas

ANEXO II

[a que se referem os n.^os1 e 2 e a alínea b) do n.º 2 do artigo 3.º, a alínea f) do n.º 1 e os n.^os2 e 3 do artigo 6.º, a alínea a) do n.º 2 do artigo 12.º e a alínea d) do n.º 1 do artigo 35.º]

Outros setores críticos

Setor	Subsetor	Tipo de entidade
1. Serviços postais e de estafeta		Prestadores de serviços postais na aceção da Lei n.º 17/2012, de 26 de abril, na sua redação atual, incluindo prestadores de serviços de estafeta
2. Gestão de resíduos		Empresas que realizam a gestão de resíduos na aceção do ponto 9 do artigo 3.º da Diretiva 2008/98/CE do Parlamento Europeu e do Conselho, mas excluindo as empresas para as quais a gestão de resíduos não constitui a atividade económica principal
3. Produção, fabrico e distribuição de produtos químicos		Empresas que realizam a produção de substâncias e a distribuição de substâncias ou misturas, referidas nos pontos 9 e 14 do artigo 3.º do Regulamento (CE) n.º 1907/2006 do Parlamento Europeu e do Conselho e empresas que realizam a produção de «artigos» na aceção do ponto 3 do artigo 3.º do mesmo regulamento, de substâncias ou misturas
4. Produção, transformação e distribuição de produtos alimentares		Empresas do setor alimentar, na aceção do ponto 2 do artigo 3.º do Regulamento (CE) n.º 178/2002 do Parlamento Europeu e do Conselho, que se dedicam à distribuição por grosso e à produção e transformação industriais
5. Indústria transformadora	a) Fabrico de dispositivos médicos e dispositivos médicos para diagnóstico in vitro	Entidades que fabricam dispositivos médicos na aceção do ponto 1 do artigo 2.º do Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho, e entidades que fabricam dispositivos médicos para diagnóstico in vitro na aceção do ponto 2 do artigo 2.º do Regulamento (UE) 2017/746 do Parlamento Europeu e do Conselho, com exceção das entidades que fabricam dispositivos médicos referidas no quinto travessão do ponto 5 do anexo i da Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União, que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (SRI 1)
	b) Fabricação de equipamentos informáticos, equipamentos para comunicação, produtos eletrónicos e óticos	Empresas que exercem qualquer uma das atividades económicas referidas na divisão 26 da secção C da NACE Rev. 2
	c) Fabricação de equipamento elétrico	Empresas que exercem qualquer uma das atividades económicas referidas na divisão 27 da secção C da NACE Rev. 2
	d) Fabricação de máquinas e equipamentos (não especificados)	Empresas que exercem qualquer uma das atividades económicas referidas na divisão 28 da secção C da NACE Rev. 2
	e) Fabricação de veículos automóveis, reboques e semirreboques	Empresas que exercem qualquer uma das atividades económicas referidas na divisão 29 da secção C da NACE Rev. 2
	f) Fabricação de outro equipamento de transporte	Empresas que exercem qualquer uma das atividades económicas referidas na divisão 30 da secção C da NACE Rev. 2
6. Prestação de serviços digitais		Prestadores de serviço de mercados em linha
		Prestadores de serviço de motores de pesquisa em linha
		Prestadores de serviço de plataformas de serviços de redes sociais
7. Investigação		Organismos de investigação

ANEXO III

[a que se referem a alínea a) do n.º 1 do artigo 3.º, as alíneas a) e c) do n.º 1 do artigo 6.º, a alínea f) do n.º 2 do artigo 7.º e a alínea i) do n.º 2 do artigo 12.º]

Artigo 1.º — Empresa

Entende-se por empresa qualquer entidade que, independentemente da sua forma jurídica, exerce uma atividade económica. São, nomeadamente, consideradas como tal as entidades que exercem uma atividade artesanal ou outras atividades a título individual ou familiar, as sociedades de pessoas ou as associações que exercem regularmente uma atividade económica.

Artigo 2.º — Categorias

1 - A categoria das micro, pequenas e médias empresas (PME) é constituída por empresas que empregam menos de 250 pessoas e cujo volume de negócios anual não excede 50 milhões de euros ou cujo balanço total anual não excede 43 milhões de euros.

2 - Na categoria das PME, uma pequena empresa é definida como uma empresa que emprega menos de 50 pessoas e cujo volume de negócios anual ou balanço total anual não excede 10 milhões de euros.

3 - Na categoria das PME, uma microempresa é definida como uma empresa que emprega menos de 10 pessoas e cujo volume de negócios anual ou balanço total anual não excede 2 milhões de euros.