II SÉRIE-A — NÚMERO 63

176

sempre que adequado, um prazo razoável para o respetivo cumprimento.

6 - No exercício das suas competências, a ARN deve fazer cumprir as determinações referidas no número

anterior, procedendo, ainda, à fiscalização do seu cumprimento, nos termos do artigo 175.º

7 - A Comissão pode solicitar às entidades envolvidas a prestação de qualquer informação necessária ao

desenvolvimento da atividade prevista nos n.os 3 a 5, bem como realizar inspeções sempre que a avaliação

de segurança seja realizada a propósito da instalação de uma determinada rede comunicações eletrónicas.

8 - A Comissão deve aprovar um regulamento interno que estabeleça as regras de organização e

funcionamento.

Artigo 63.º

Auditorias, inspeções e prestação de informações

1 - Compete à ARN determinar às empresas que oferecem redes públicas de comunicações eletrónicas

ou serviços de comunicações eletrónicas acessíveis ao público a realização, por entidade independente

qualificada e a expensas suas, de auditoria à segurança das suas redes e serviços, bem como o envio à ARN

de relatório com os resultados da mesma.

2 - Para efeitos do disposto no número anterior:

a) Compete à ARN estabelecer os requisitos a que devem obedecer as auditorias previstas no número

anterior, nomeadamente quanto ao seu âmbito, periodicidade, procedimentos e normas de referência, bem

como quanto aos requisitos aplicáveis às entidades auditoras;

b) As empresas que oferecem redes públicas de comunicações eletrónicas ou serviços de comunicações

eletrónicas acessíveis ao público devem:

i) Submeter previamente à ARN a aprovação da entidade auditora;

ii) Enviar à ARN, em prazo razoável, o plano de correção das não conformidades constantes do

relatório de auditoria.

3 - Pode ainda a ARN, ou outra entidade independente por si designada, efetuar inspeção ou auditoria de

segurança às redes e aos serviços, nomeadamente em caso de incidente de segurança.

4 - Tendo em vista avaliar a segurança das redes e serviços, compete à ARN, nos termos dos artigos

168.º e 169.º, exigir às empresas que oferecem redes públicas de comunicações eletrónicas ou serviços de

comunicações eletrónicas acessíveis ao público a prestação de todas as informações necessárias, incluindo

documentação referente a políticas de segurança.

Artigo 64.º

Instruções vinculativas e investigação

1 - Para efeitos do disposto nos artigos 59.º e 60.º e no âmbito das medidas técnicas de execução e dos

requisitos adicionais adotados, a ARN pode emitir instruções vinculativas às empresas que oferecem redes

públicas de comunicações eletrónicas ou serviços de comunicações eletrónicas acessíveis ao público,

incluindo a determinação das medidas necessárias para pôr fim a um incidente de segurança ou para evitar a

ocorrência de um incidente de segurança, se tiver sido identificada uma ameaça significativa, e a fixação de

prazos de execução.

2 - Compete à ARN investigar casos de incumprimento das disposições e obrigações constantes do

presente capítulo e os seus efeitos sobre a segurança das redes e serviços.

Artigo 65.º

Assistência e cooperação

1 - Para efeitos do disposto no presente capítulo, a ARN e as empresas que oferecem redes públicas de

comunicações eletrónicas ou serviços de comunicações eletrónicas acessíveis ao público dispõem da

assistência da Equipa de Resposta a Incidentes de Segurança Informática Nacional, no âmbito das suas

competências previstas no artigo 9.º da Lei n.º 46/2018, de 13 de agosto.