14 DE FEVEREIRO DE 2025

11

g) Instalação e distribuição de software malicioso.

4 – Sem prejuízo das regras aplicáveis em matéria de proteção de dados, os dados informáticos que sejam

comunicados ao proprietário ou pessoa encarregue da gestão do sistema de informação, produto e serviço de

tecnologias de informação e comunicação, ou à autoridade nacional de cibersegurança devem ser eliminados

no prazo de 10 dias contados a partir do momento em que a vulnerabilidade for corrigida, devendo garantir-se

a sua natureza secreta durante todo o procedimento.

5 – Não são igualmente puníveis os factos praticados com consentimento do proprietário ou administrador

de sistema de informação, produto ou serviço de tecnologias de informação e comunicação, sem prejuízo do

dever de notificação das vulnerabilidades eventualmente identificadas à autoridade nacional coordenadora

encarregada da resposta a incidentes de cibersegurança das vulnerabilidades eventualmente identificadas, nos

termos previstos no regime jurídico da cibersegurança.»

Artigo 8.º

Norma revogatória

São revogados:

a) O artigo 2.º-A do Decreto-Lei n.º 3/2012, de 16 de janeiro, na sua redação atual, que aprova a orgânica

do Gabinete Nacional de Segurança.

b) O regime jurídico da segurança do ciberespaço, aprovado pela Lei n.º 46/2018, de 13 de agosto;

c) A regulamentação do regime jurídico da segurança do ciberespaço, aprovada pelo Decreto-Lei

n.º 65/2021, de 30 de julho;

d) Os artigos 59.º a 65.º e as alíneas m) a t) do n.º 3 do artigo 178.º da Lei das Comunicações Eletrónicas,

aprovada pela Lei n.º 16/2022, de 16 de agosto, na sua redação atual.

Artigo 9.º

Norma transitória

1 – A entrada em vigor do presente decreto-lei não prejudica a validade das decisões tomadas pela

Comissão de Avaliação de Segurança ao abrigo do regime anterior, que continuam a produzir efeitos pelo

período de 180 dias após a data da entrada em vigor do presente decreto-lei, durante o qual deve ser realizada

nova avaliação de segurança.

2 – Com base na nova avaliação de segurança referida no número anterior, e ao abrigo do regime aprovado

em anexo ao presente decreto-lei, o membro do Governo responsável pela área da cibersegurança pode decidir

pela renovação, modificação ou substituição das decisões adotadas pela Comissão de Avaliação de Segurança

no âmbito do regime anterior.

Artigo 10.º

Produção de efeitos

O disposto nos n.os 1 e 2 do artigo 27.º, nos artigos 28.º a 30.º, 33.º e nas alíneas b), c) e f) do n.º 1 do artigo

61.º do regime jurídico da cibersegurança, aprovado em anexo ao presente decreto-lei, produz efeitos 24 meses

após a publicação da regulamentação referida nos artigos 8.º, 14.º, 26.º, 31.º, 32.º e 83.º do referido regime.

Artigo 11.º

Entrada em vigor

O presente decreto-lei entra em vigor 120 dias após a sua publicação.

Visto e aprovado em Conselho de Ministros de […].