II SÉRIE-A — NÚMERO 182

18

de conteúdos, prestadores de serviços geridos, aos prestadores de serviços de segurança geridos, bem como

prestadores de serviços de mercados em linha, de motores de pesquisa em linha ou de plataformas de serviços

de redes sociais:

i) Tenham o seu estabelecimento principal no território nacional;

ii) Não tendo estabelecimento na União Europeia, o seu representante tenha estabelecimento no território

nacional.

2 – Para efeitos da subalínea i) da alínea c) do número anterior, considera-se que a entidade tem

estabelecimento principal no território nacional quando:

a) As decisões relacionadas com as medidas de gestão dos riscos de cibersegurança são

predominantemente tomadas em território nacional;

b) As operações de cibersegurança são levadas a cabo em território nacional, se não for possível determinar

se as decisões relacionadas com as medidas de gestão de risco de cibersegurança foram nele tomadas de

forma predominante ou em outro Estado-Membro da União Europeia;

c) O estabelecimento da entidade com maior número de trabalhadores se situa no território nacional, se não

for possível determinar se as operações de cibersegurança são nele levadas a cabo.

3 – Nos termos do artigo 20.º, o CNCS, perante um pedido de assistência mútua proveniente de outro

Estado-Membro da União Europeia e em relação a uma entidade a que se refere a alínea c) do n.º 1, pode,

dentro dos limites desse pedido, tomar medidas de supervisão e execução adequadas em relação à entidade

em causa.

Artigo 5.º

Âmbito extraterritorial

1 – A fim de evitar ciberameaças significativas para a segurança das redes e sistemas de informação de um

grande número de utilizadores, o CNCS pode, ouvido o Conselho Superior de Segurança do Ciberespaço, adotar

medidas de execução corretivas ou restritivas, incluindo a ordem de suspensão do serviço no território nacional,

dirigidas a um prestador de serviços sem estabelecimento ou representação no território nacional que não

ofereça as medidas adequadas de cibersegurança.

2 – Salvo quando as medidas forem urgentes, o CNCS apresenta uma fundamentação preliminar das

decisões ao prestador de serviços, concedendo um prazo de resposta não inferior a 10 dias.

3 – Para efeitos da determinação e fundamentação das medidas de execução previstas nos números

anteriores, o CNCS terá em consideração as ações e medidas, bem como a sua eficácia e extensão, tomadas

pelas autoridades de cibersegurança europeias e internacionais.

4 – A autoridade de cibersegurança competente, nos termos das suas competências e na medida do

necessário, pode, relativamente a uma entidade com conexão relevante com o território nacional, prestar

assistência às autoridades competentes dos Estados-Membros da União Europeia, a pedido fundamentado

destas, designadamente mediante:

a) Prestação de informações relativamente a uma medida de supervisão ou execução tomada em relação a

essa entidade, através do respetivo ponto de contacto único;

b) Aplicação de medidas de supervisão ou execução nos termos do disposto no capítulo VI, se necessário

conjuntamente com a autoridade competente do respetivo Estado-Membro da União Europeia;

c) Prestação de apoio à autoridade competente do respetivo Estado-Membro da União Europeia quanto à

aplicação por esta de medidas de supervisão ou execução, podendo este apoio incluir as formas de assistência

referidas nas alíneas anteriores.

5 – A autoridade de cibersegurança competente apenas pode recusar a assistência pedida nos termos no

número anterior se esta exceder as suas competências, for desproporcional em relação às suas funções de