20 DE JULHO DE 2022

173

civil;

c) Cooperar no âmbito da atividade de segurança interna;

d) Cooperar no âmbito da atividade de segurança do ciberespaço.

3 - Sobre as empresas que oferecem redes e serviços de comunicações eletrónicas impende um dever

especial de cooperação com a ARN para a prossecução das atribuições previstas no número anterior.

Secção II

Segurança das redes e serviços

Artigo 59.º

Segurança das redes e serviços

1 - As empresas que oferecem redes públicas de comunicações eletrónicas ou serviços de comunicações

eletrónicas acessíveis ao público devem adotar as medidas técnicas e organizacionais proporcionais para

gerir adequadamente os riscos para a segurança das redes e serviços, incluindo a cifragem, se adequada,

visando, em especial, impedir ou minimizar o impacto dos incidentes de segurança nos utilizadores e nas

outras redes e serviços.

2 - As medidas previstas no número anterior devem assegurar um nível de segurança adequado ao risco

existente tendo em conta o estado da técnica e atendendo à informação relevante emitida pelas entidades

competentes nacionais, da União Europeia ou internacionais e às avaliações nacionais ou europeias de risco

para a segurança das redes e serviços.

3 - As medidas previstas no n.º 1 devem, no mínimo, ter em conta todos os aspetos relevantes dos

seguintes elementos:

a) Em matéria de segurança das redes e dos recursos, a segurança física e ambiental, a segurança do

fornecimento, o controlo do acesso às redes e a integridade das redes;

b) Em matéria de gestão de incidentes de segurança, os procedimentos de gestão, a capacidade de

deteção de incidentes de segurança, os relatórios e as notificações, as divulgações ao público e quaisquer

outras comunicações relativas a incidentes de segurança;

c) Em matéria de gestão da continuidade operacional, a estratégia para a continuidade do serviço e os

planos de contingência, bem como as capacidades de recuperação em caso de desastres;

d) Em matéria de monitorização, auditorias e testes, as políticas de monitorização e de registo, os

exercícios relativos aos planos de contingência, os testes da rede e dos serviços, as avaliações de segurança

e a monitorização da conformidade, tendo por base as normas, especificações ou recomendações nacionais,

europeias e internacionais existentes sobre a matéria.

4 - O disposto no presente artigo não prejudica o disposto na legislação relativa ao tratamento de dados

pessoais e à proteção da privacidade no setor das comunicações eletrónicas.

Artigo 60.º

Incidentes de segurança

1 - As empresas que oferecem redes públicas de comunicações eletrónicas ou serviços de comunicações

eletrónicas acessíveis ao público devem:

a) Notificar a ARN e o CNCS, sem demora injustificada, de qualquer incidente de segurança com impacto

significativo no funcionamento das redes ou serviços;

b) Informar o público, pelos meios mais adequados, dos incidentes de segurança, quando tal seja

considerado pela ARN como de interesse público.

2 - As empresas que oferecem redes públicas de comunicações eletrónicas ou serviços de comunicações