28 DE FEVEREIRO DE 2025

19

na sua redação atual, da Lei n.º 58/2019, de 8 de agosto, e da Lei n.º 59/2019, de 8 de agosto;

d) Tratamento de dados pessoais e proteção da privacidade no setor das comunicações eletrónicas,

designadamente no âmbito do disposto na Lei n.º 41/2004, de 18 de agosto na sua redação atual.

e) Identificação e designação de infraestruturas críticas nacionais e europeias, designadamente no âmbito

do Decreto-Lei n.º 20/2022, de 28 de janeiro;

f) Luta contra o abuso sexual e a exploração sexual de crianças e a pornografia infantil, designadamente no

âmbito da Lei n.º 103/2015, de 24 de agosto;

g) Proteção do utente de serviços públicos essenciais, designadamente no âmbito da Lei n.º 23/96, de 26

de julho, na sua redação atual;

h) Segurança e emergência no setor das comunicações eletrónicas, designadamente no âmbito do disposto

na Lei das Comunicações Eletrónicas, aprovada pela Lei n.º 16/2022, de 16 de agosto, na sua redação atual;

i) Segredo de Estado e Informação Classificada, designadamente no âmbito do disposto na Lei Orgânica

n.º 2/2014, de 6 de agosto, alterada pela Lei n.º 1/2015, de 8 de janeiro.

Artigo 2.º

Definições

Para efeitos da presente lei, entende-se por:

a) «Ativo», todo o sistema de informação e comunicação, os equipamentos e os demais recursos físicos e

lógicos geridos ou detidos pela entidade, que suportam, direta ou indiretamente, um ou mais serviços;

b) «Autoridade de cibersegurança competente», o Centro Nacional de Cibersegurança (CNCS), ou, quando

aplicável, a autoridade nacional setorial de cibersegurança competente, nos termos da alínea a) do n.º 2 do

artigo 15.º, sem prejuízo das reservas de competência exclusiva de entidades públicas com responsabilidades

em matéria de investigação criminal, de produção de informações e de ciberdefesa;

c) «Ciberameaça», uma ciberameaça nos termos do ponto 8 do artigo 2.º do Regulamento (UE) 2019/881,

do Parlamento Europeu e do Conselho, de 17 de abril;

d) «Ciberameaça significativa», uma ciberameaça que, com base nas suas características técnicas, possa

ser considerada suscetível de ter um impacto grave nas redes e sistemas de informação de uma entidade ou

dos utilizadores dos serviços das entidades, causando danos materiais ou imateriais consideráveis;

e) «Cibersegurança», cibersegurança nos termos do ponto 1 do artigo 2.º do Regulamento (UE) 2019/881,

do Parlamento Europeu e do Conselho, de 17 de abril;

f) «Entidade», uma pessoa coletiva criada e reconhecida como tal pelo direito nacional do seu local de

estabelecimento, que, atuando em seu próprio nome, pode exercer direitos e estar sujeita a obrigações;

g) «Entidades competentes no âmbito da segurança do ciberespaço», o Comando de Operações de

Ciberdefesa do Estado-Maior-General das Forças Armadas, a Polícia Judiciária, o Serviço de Informações de

Segurança e o Serviço de Informações Estratégicas de Defesa»;

h) «Entidade que presta serviços de registo de nomes de domínio», um agente de registo ou um agente que

atua em nome de agentes de registo, tal como um prestador ou revendedor de serviços de proteção da

privacidade ou de registo de servidores intermediários;

i) «Especificação técnica», uma especificação técnica nos termos do ponto 4 do artigo 2.º do Regulamento

(UE) n.º 1025/2012, do Parlamento Europeu e do Conselho, de 25 de outubro;

j) «Incidente», um evento que ponha em causa a disponibilidade, a autenticidade, a integridade ou a

confidencialidade de dados armazenados, transmitidos ou tratados ou dos serviços oferecidos por redes e

sistemas de informação ou acessíveis por intermédio destas;

k) «Crise ou incidente de cibersegurança em grande escala», um incidente que cause um nível de

perturbação superior à capacidade de resposta do Estado português, que tenha um impacto significativo em,

pelo menos, dois Estados-Membros da União Europeia, ou que, pelo seu alcance e impacto sistémico, reclame

coordenação intersectorial urgente;

l) «Incidente significativo», um incidente que:

i) Cause, ou seja suscetível de causar, graves perturbações operacionais dos serviços ou perdas