9 DE MAIO DE 2018

51

Os dados digitais em causa consistem em todos os dados armazenados, processados, recuperados ou

transmitidos numa rede de comunicações eletrónicas ou num dispositivo automatizado de processamento digital

de dados. A noção de segurança prevista no artigo 1.º da Loin.º 2018-133 consiste na «capacidade de resistir,

num dado nível de confiança, a ações que comprometam a disponibilidade, a autenticidade, integridade ou

confidencialidade dos dados armazenados, transmitidos ou processados».

O artigo 2.º da Loi n.º2018-133 especifica, em primeiro lugar, os operadores que estão isentos das

obrigações de segurança das redes e sistemas de informação, sendo eles os operadores na aceção do artigo

L.32-15° do CPCE e os prestadores cobertos pelo Regulamento da UE n.º 2014/910, de 23 de julho 2014,

relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno

e que revoga a Diretiva 1999/93/CE.

Os operadores de serviços essenciais não abrangidos pelos artigos 1.º a 4.º do Capítulo I da Lei estão sujeitos

ao previsto no Capítulo II.

A definição do requisito de segurança para redes de comunicações eletrónicas e dispositivos de

processamento automatizado de dados digitais aguarda a legislação complementar a ser aprovada o mais tardar

em 10 de maio de 2018, nos termos do artigo 4.º da Loi n.º2018-133.

Quanto aos operadores de serviços essenciais, que representam a grande novidade desta Diretiva

transposta, constam do Capítulo II («Disposições relativas à segurança de redes e sistemas de informação de

operadores de serviços essenciais»). São eles operadores, públicos ou privados, que prestam serviços

essenciais ao funcionamento da sociedade ou da economia e cuja continuidade pode ser seriamente afetada

por incidentes que afetam as redes e os sistemas de informação necessários à prestação de tais serviços. São

designados pelo Primeiro-Ministro, ou, por delegação, pela Agence Nationale de le Sécurité des Systèmes

d’Information (ANSSI), o mais tardar até 9 de novembro de 2018, nos termos do artigo 25.º («Disposições

transitórias») da Lei.

A obrigação de segurança para operadores de serviços essenciais será definida pela ANSSI, nos termos do

artigo 6.º da Lei, o qual estabelece apenas alguns princípios.

A implementação de medidas de segurança obrigatórias será efetuada às custas dessas empresas

classificadas como «Operadores de Serviços Essenciais» ou como «Operadores de Importância Vital».

As regras de segurança necessárias para a proteção de redes e sistemas de informação garantem um nível

de segurança adaptado ao risco existente, tendo em conta o «estado da arte». O diploma de desenvolvimento

deve especificar as medidas adequadas para evitar incidentes que comprometam a segurança de redes e

sistemas de informação utilizados para a prestação de serviços essenciais ou para limitar o impacto, a fim de

assegurar a continuidade da prestação destes serviços essenciais.

Os incidentes que afetam as redes e sistemas de informação necessários para a prestação de serviços

essenciais são notificados à ANSSI (artigo 7.º, I.º da Lei), que não terá que relatar todos os incidentes, mas

apenas aqueles que terão um impacto significativo na continuidade desses serviços.

As sanções por violação das obrigações de segurança das redes e dos sistemas de informação aplicam-se

aos responsáveis dos operadores de serviços essenciais e não à pessoa coletiva. As multas variam de 75.000,00

a 125.000,00 Euros (artigo 9.º).

O Capítulo III debruça-se sobre a «Segurança de Redes e Sistemas de Informação de Prestadores de

Serviços Digitais». Nos termos do artigo 10.º, um serviço digital consiste num serviço normalmente prestado

mediante remuneração, remotamente, eletronicamente e a pedido individual de um destinatário de serviços. O

operador de um serviço digital é qualquer pessoa jurídica que forneça um desses serviços. Esta definição visa

expressamente e limitativamente três (3) tipos de prestadores: (i) «mercados on-line», que permitem que

qualquer pessoa, operador económico ou não, conclua contratos de vendas ou de serviços on-line com

profissionais no sítio do local, ou no sítio de um profissional que utiliza os serviços de informática fornecidos pelo

mercado on-line. (ii) «motores de busca on-line» considerado como um serviço digital que permite aos

utilizadores pesquisar, em princípio, todos os sítios ou sítios de um determinado idioma, com base numa consulta

sobre qualquer assunto na forma de uma palavra-chave, frase ou outra entrada, e que a partir do qual é possível

encontrar informações relacionadas ao conteúdo solicitado. (iii) «serviços de computação em nuvem», como

sendo um serviço digital que permite o acesso a um conjunto flexível e variável de recursos de computação que

pode ser compartilhado.