14 DE FEVEREIRO DE 2025

13

b) «Autoridade de cibersegurança competente», o Centro Nacional de Cibersegurança (CNCS), ou, quando

aplicável, a autoridade nacional setorial de cibersegurança competente nos termos da alínea a) do n.º 2 do artigo

15.º, sem prejuízo das reservas de competência exclusiva de entidades públicas com responsabilidades em

matéria de investigação criminal, de produção de informações e de ciberdefesa;

c) «Ciberameaça», uma ciberameaça nos termos do ponto 8 do artigo 2.º do Regulamento (UE) 2019/881,

do Parlamento Europeu e do Conselho, de 17 de abril;

d) «Ciberameaça significativa», uma ciberameaça que, com base nas suas características técnicas, possa

ser considerada suscetível de ter um impacto grave nas redes e sistemas de informação de uma entidade ou

dos utilizadores dos serviços das entidades, causando danos materiais ou imateriais consideráveis;

e) «Cibersegurança», cibersegurança nos termos do ponto 1 do artigo 2.º do Regulamento (UE) 2019/881,

do Parlamento Europeu e do Conselho, de 17 de abril;

f) «Entidade», uma pessoa coletiva criada e reconhecida como tal pelo direito nacional do seu local de

estabelecimento, que, atuando em seu próprio nome, pode exercer direitos e estar sujeita a obrigações;

g) «Entidades competentes no âmbito da segurança do ciberespaço», o Comando de Operações de

Ciberdefesa do Estado Maior General das Forças Armadas, a Polícia Judiciária, o Serviço de Informações de

Segurança e o Serviço de Informações Estratégicas de Defesa;

h) «Entidade que presta serviços de registo de nomes de domínio», um agente de registo ou um agente que

atua em nome de agentes de registo, tal como um prestador ou revendedor de serviços de proteção da

privacidade ou de registo de servidores intermediários;

i) «Especificação técnica», uma especificação técnica nos termos do ponto 4 do artigo 2.º do Regulamento

(UE) n.º 1025/2012, do Parlamento Europeu e do Conselho, de 25 de outubro;

j) «Incidente», um evento que ponha em causa a disponibilidade, a autenticidade, a integridade ou a

confidencialidade de dados armazenados, transmitidos ou tratados ou dos serviços oferecidos por redes e

sistemas de informação ou acessíveis por intermédio destas;

k) «Crise ou incidente de cibersegurança em grande escala», um incidente que cause um nível de

perturbação superior à capacidade de resposta do Estado português, que tenha um impacto significativo em,

pelo menos, dois Estados-Membros da União Europeia, ou que, pelo seu alcance e impacto sistémico, reclame

coordenação intersectorial urgente;

l) «Incidente significativo», um incidente que:

i) Cause, ou seja, suscetível de causar, graves perturbações operacionais dos serviços ou perdas

financeiras à entidade em causa;

ii) Afete, ou seja, suscetível de afetar, outras pessoas singulares ou coletivas, causando danos materiais

ou imateriais consideráveis;

m) «Matriz de risco», o quadro referencial que estabelece os valores de risco para o conjunto de cenários de

risco que recai sobre um setor e subsetor de atividade, considerando os ativos comuns, as principais ameaças

e vulnerabilidades;

n) «Medidas de gestão dos riscos de cibersegurança ou medidas de cibersegurança», medidas de âmbito

técnico, operacional e organizacional, visando gerir os riscos que se colocam à segurança das redes e dos

sistemas de informação que utilizam nas suas operações ou na prestação dos seus serviços, bem como impedir

ou minimizar o impacto de incidentes nos destinatários dos seus serviços e noutros serviços;

o) «Mercado em linha», um mercado em linha nos termos da alínea n) do artigo 3.º do Decreto-Lei

n.º 57/2008, de 26 de março, na redação atual, que estabelece o regime aplicável às práticas comerciais

desleais;

p) «Motor de pesquisa em linha», um motor de pesquisa em linha nos termos conjugados do disposto no

ponto5 do artigo 2.º do Regulamento (UE) 2019/1150, do Parlamento Europeu e do Conselho, de 20 de junho,

e da alínea j) do artigo 3.º do Regulamento (UE) 2022/2065, do Parlamento e do Conselho, de 19 de outubro;

q) «Norma», uma norma nos termos do ponto 1 do artigo 2.o do Regulamento (UE) n.º 1025/2012, do

Parlamento Europeu e do Conselho, de 25 de outubro;

r) «Operações de cibersegurança», ações de operacionalização das medidas de gestão dos riscos de

cibersegurança;