14 DE FEVEREIRO DE 2025

57

2 – As taxas de supervisão obedecem ao princípio da proporcionalidade e são fixadas de acordo com

critérios objetivos e transparentes.

3 – O regime que regula as taxas referidas nos números anteriores é fixado por portaria dos membros do

Governo responsáveis pelas áreas das finanças e da cibersegurança.

Artigo 83.º

Comunicações

1 – As comunicações entre as entidades com o CNCS, ou com as autoridades nacionais setoriais de

cibersegurança referidas na alínea a) do n.º 2 no 15.º, incluindo as notificações de incidentes nos termos dos

artigos 40.º e seguintes, devem seguir o formato e o procedimento definido pelo CNCS em regulamento a

aprovar pelo CNCS.

2 – Na ausência de disposição regulamentar aplicável, todas as comunicações dirigidas à autoridade de

cibersegurança competente, no âmbito do presente decreto-lei, bem como o envio de informação, devem ser

realizadas por meios eletrónicos.

3 – Nos casos em que a entidade não tenha temporariamente capacidade operacional para assegurar a

comunicação prevista nos números anteriores, ou nos casos em que o sítio na internet da autoridade de

cibersegurança competente, esteja indisponível, em resultado do incidente ou por outro motivo de natureza

eminentemente técnica devidamente justificado, a notificação pode ser efetuada, a título excecional, através de

correio eletrónico ou telefonicamente.

4 – O formato e procedimento referido no n.º 1 é adotado pelo CNCS, mediante prévia audição das

autoridades nacionais setoriais de cibersegurança competentes, que também podem adotar formatos e

procedimentos próprios, adaptados às suas especificidades, conforme referido no n.º 1.

5 – Os casos referidos no n.º 3 são objeto de instruções técnicas do CNCS, adotadas em articulação com

as autoridades nacionais setoriais de cibersegurança.

Artigo 84.º

Segurança e integridade da informação

1 – O CNCS e as autoridades nacionais setoriais de cibersegurança competentes nos termos do disposto

na alínea a) do n.º 2 no artigo 15.º mantêm e gerem a informação em matéria de segurança e integridade num

sistema de informação seguro, em conformidade com as disposições respeitantes à segurança de informação

classificada no âmbito nacional e no âmbito das organizações internacionais de que Portugal é parte.

2 – O acesso aos sistemas eletrónicos e sítios de internet para tratamento das notificações previstas no

presente decreto-lei deve ser efetuado preferencialmente com recurso a sistema de identificação eletrónico com

nível de garantia elevado, nos termos definidos pelos artigos 8.º e 9.º do Regulamento (UE) n.º 910/2014, do

Parlamento Europeu e do Conselho, de 23 de julho, relativo à identificação eletrónica e aos serviços de

confiança, designadamente através do Cartão de Cidadão e da Chave Móvel Digital, conforme alterado pela

Diretiva (UE) 2022/2555, do Parlamento Europeu e do Conselho, de 14 de dezembro, e pelo Regulamento (UE)

n.º 2024/1183, do Parlamento Europeu e do Conselho, de 11 de abril.

CAPÍTULO IX

Disposições finais

Artigo 85.º

Aprovação do plano nacional de resposta a crises e incidentes de cibersegurança em grande escala

O plano referido no artigo 13.º é aprovado no prazo de 6 meses após a entrada em vigor do presente decreto-

lei.