II SÉRIE-A — NÚMERO 182

4

alterada pela Lei n.º 79/2021, de 24 de novembro.

e) Proceder à segunda alteração à Lei das Comunicações Eletrónicas, aprovada pela Lei n.º 16/2022, de 16

de agosto, alterada pelo Decreto-Lei n.º 114/2024, de 20 de dezembro.

Artigo 3.º

Sentido e extensão relativos ao disposto na alínea a) do artigo anterior

A autorização legislativa referida na alínea a) do artigo anterior é concedida com o seguinte sentido e

extensão:

a) Ampliar o âmbito de aplicação do regime jurídico da cibersegurança, excluindo as entidades nos domínios

da segurança nacional, da segurança pública, da defesa e dos serviços de informações, mas abrangendo uma

parte substancial da Administração Pública, incluindo os serviços técnicos e administrativos dos órgãos de

soberania, e ainda as designadas entidades essenciais, importantes e públicas relevantes, distinguidas

mediante um conjunto de critérios relacionados com a importância, a dimensão e a tipologia da entidade,

incluindo, designadamente:

i) No que respeita às entidades essenciais, o respetivo grau de exposição a riscos, a dimensão da

entidade, a importância da sua atividade e a probabilidade de ocorrência de incidentes e a sua

gravidade, social e económica;

ii) No que respeita a entidades importantes, a não aplicação dos critérios aplicáveis às entidades

essenciais;

iii) No que respeita a entidades públicas relevantes de Grupo A, a não aplicação dos critérios aplicáveis às

entidades essenciais ou importantes, a natureza da entidade pública e a sua dimensão;

iv) No que respeita a entidades públicas relevantes de Grupo B, a não aplicação dos critérios aplicáveis às

entidades essenciais ou importantes, a natureza da entidade pública e a sua dimensão;

b) Habilitar o desenvolvimento dos instrumentos estruturantes da segurança do ciberespaço, incluindo:

i) A Estratégia Nacional de Segurança do Ciberespaço, que definirá as prioridades e os objetivos

estratégicos nacionais em matéria de cibersegurança;

ii) O Plano Nacional de Resposta a Crises e Incidentes de Cibersegurança em grande escala, regulando

e aperfeiçoando a gestão deste tipo de incidentes;

iii) O Quadro Nacional de Referência para a Cibersegurança, reunindo e divulgando as normas, padrões e

boas práticas na gestão da cibersegurança;

c) Prever um novo quadro institucional da segurança do ciberespaço, incluindo, designadamente:

i) O Conselho Superior de Segurança do Ciberespaço, na qualidade de órgão consultivo do Primeiro-

Ministro no domínio da cibersegurança;

ii) O CNCS, na qualidade de autoridade nacional de cibersegurança;

iii) O Gabinete Nacional de Segurança e a Autoridade Nacional de Comunicações, na qualidade de

autoridades nacionais setoriais de cibersegurança;

iv) A Autoridade de Supervisão de Seguros e Fundos de Pensões, a Comissão do Mercado de Valores

Mobiliários e o Banco de Portugal, na qualidade de autoridades nacionais especiais de cibersegurança;

d) Prever um novo regime aplicável às avaliações de segurança e propostas emitidas pela Comissão de

Avaliação de Segurança do Ciberespaço, bem como às decisões, cuja competência é atribuída ao membro do

Governo responsável pela área da cibersegurança, de aplicação de restrições provisórias à utilização, a

cessação de utilização ou exclusão de equipamentos, componentes ou serviços de tecnologias de informação

e comunicação, considerados de elevado risco para a segurança do ciberespaço nacional;

e) Estabelecer um novo regime de gestão dos riscos de cibersegurança, incluindo, designadamente: