II SÉRIE-A — NÚMERO 182

44

2 – A comunicação referida no número anterior inclui as informações recebidas através das notificações

feitas nos termos dos artigos 42.º e seguintes.

3 – Compete ao CNCS, na qualidade de ponto de contacto único, apresentar trimestralmente à ENISA um

relatório de síntese que inclua dados anonimizados e agregados sobre os incidentes significativos, os incidentes,

as ciberameaças e os quase incidentes notificados nos termos dos artigos 40.º e 45.º.

Artigo 51.º

Informação ao público

1 – A autoridade de cibersegurança competente deve informar o público da ocorrência de um incidente

significativo, após consulta com a entidade em causa, quando:

a) For necessário esclarecer o público para evitar o incidente ou para responder a um incidente em curso;

b) A divulgação do incidente significativo seja de interesse público.

2 – A autoridade de cibersegurança competente deve também exigir que a entidade em causa proceda à

divulgação ao público do incidente significativo, quando estejam em causa as situações referidas no número

anterior.

3 – A autoridade de cibersegurança competente deve informar o público de um incidente significativo,

perante pedido de uma autoridade competente de outro Estado-Membro da União Europeia.

4 – A comunicação ao público prevista no presente artigo não prejudica a cooperação em sede de

investigações criminais em curso, ou que estejam abrangidas pelos regimes de segredo de justiça e de segredo

de Estado.

Artigo 52.º

Resposta a notificações

1 – A autoridade de cibersegurança competente responde à entidade notificante, sem demora injustificada

e, se possível, no prazo de 24 horas após a receção da notificação inicial prevista no artigo 42.º.

2 – A autoridade de cibersegurança competente fornece, na sua resposta, designadamente, as suas

observações iniciais sobre o incidente significativo e, a pedido da entidade, orientações ou aconselhamento

operacional sobre a aplicação de possíveis medidas de atenuação.

3 – Em situações de grave e comprovado risco do impacto do incidente notificado nos termos do artigo 40.º,

a autoridade de cibersegurança competente pode impor, como medida de execução imediata, a interrupção da

prestação de serviço à entidade essencial, importante ou pública relevante em causa, ou a cessação de uma

conduta que infringe o presente decreto-lei, caso esta não o faça de forma voluntária.

4 – Nos casos de suspeita fundada da natureza criminosa do incidente significativo, a autoridade de

cibersegurança competente deve fornecer igualmente orientações sobre a notificação do incidente significativo

às autoridades policiais.

5 – O disposto nos números anteriores aplica-se, com as necessárias adaptações, aos incidentes, quase

incidentes ou ciberameaças que tenham sido notificados, de forma voluntária, ao abrigo do artigo 45.º.

CAPÍTULO VI

Supervisão e execução

Secção I

Medidas de supervisão e execução

Artigo 53.º

Princípios

1 – A autoridade de cibersegurança competente, na qualidade de autoridade de supervisão e de execução,