27 DE JULHO DE 2018 27

e) A extensão do impacto nas atividades económicas e societais.

5- A obrigação de notificar um incidente só se aplica se o prestador de serviços digitais tiver acesso a

informação necessária para avaliar o impacto de um incidente em função dos fatores a que se refere o n.º 2 do

artigo anterior.

6- Se os incidentes referidos no n.º 1 disserem respeito a dois ou mais Estados-Membros, o Centro Nacional

de Cibersegurança informa os pontos de contacto únicos dos outros Estados-Membros afetados.

7- No caso referido no número anterior, o Centro Nacional de Cibersegurança salvaguarda a segurança e

os interesses do prestador de serviços digitais.

8- O Centro Nacional de Cibersegurança, após consultar o notificante, pode divulgar incidentes específicos

de acordo com o interesse público.

9- O presente artigo não se aplica às microempresas nem às pequenas empresas, tal como definidas pelo

Decreto-Lei n.º 372/2007, de 6 de novembro, na sua redação atual.

10- Os elementos constantes dos n.ºs 1 a 5 são objeto de Regulamento de Execução da Comissão Europeia.

Artigo 20.º

Notificação voluntária de incidentes

1- Sem prejuízo da obrigação de notificação de incidentes prevista na presente lei, quaisquer entidades

podem notificar, a título voluntário, os incidentes com impacto importante na continuidade dos serviços por si

prestados.

2- No tratamento das notificações voluntárias, aplica-se o disposto no artigo 17.º, com as necessárias

adaptações.

3- A notificação voluntária não pode dar origem à imposição à entidade notificante de obrigações às quais

esta não teria sido sujeita se não tivesse procedido a essa notificação.

CAPÍTULO IV

Fiscalização e sanções

Artigo 21.º

Competências de fiscalização e sancionatórias

As competências de fiscalização e de aplicação das sanções previstas na presente lei cabem ao Centro

Nacional de Cibersegurança.

Artigo 22.º

Contraordenações

As infrações ao disposto na presente lei constituem contraordenações, nos termos dos artigos seguintes.

Artigo 23.º

Infrações muito graves

1- Constituem infrações muito graves:

a) O incumprimento da obrigação de implementar requisitos de segurança tal como previsto nos artigos 14.º,

16.º e 18.º;

b) O incumprimento de instruções de cibersegurança emitidas pelo Centro Nacional de Cibersegurança tal

como previsto no n.º 5 do artigo 7.º.

2- As contraordenações referidas no número anterior são punidas com coima de € 5000 a € 25 000, tratando-

se de uma pessoa singular, e de € 10 000 a € 50 000, no caso de se tratar de uma pessoa coletiva.