28 DE FEVEREIRO DE 2025

29

Superior de Segurança do Ciberespaço (CSSC) e decorrido um período de consulta pública não inferior a 30

dias.

4 – A aprovação referida no número anterior é precedida ainda de apreciação da ENSC pela Assembleia da

República.

5 – A ENCS é revista e atualizada a cada 5 anos, após um processo de avaliação baseado em indicadores-

chave de impacto e desempenho, podendo este período ser reduzido por decisão do membro do Governo

responsável pela área da cibersegurança mediante proposta fundamentada do CNCS.

6 – A ENSC não prejudica a aprovação pelas entidades competentes, quando necessário, de instrumentos

que estabeleçam estratégias setoriais de cibersegurança, que devem ser revistas e atualizadas nos mesmos

termos aplicáveis à ENCS.

Artigo 13.º

Plano nacional de resposta a crises e incidentes de cibersegurança em grande escala

1 – O plano nacional de resposta a crises e incidentes de cibersegurança em grande escala estabelece os

objetivos e modalidades de gestão deste tipo de crises e incidentes.

2 – O plano nacional de resposta a crises e incidentes de cibersegurança em grande escala é aprovado por

resolução do Conselho de Ministros, por proposta conjunta do Secretário-Geral do Sistema de Segurança

Interna, da Polícia Judiciária, do Serviço de Informações de Segurança, do Serviço de Informações Estratégicas

de Defesa, do Comando de Operações de Ciberdefesa e do CNCS, cabendo a este último a sua implementação,

acompanhamento e monitorização, em colaboração estreita com as entidades que compõe o gabinete de crise

previsto no n.º 4 do artigo 16.º da Lei n.º 53/2008, de 29 de agosto, na redação que lhe é atribuída pela presente

lei, e ouvido o CSSC.

3 – O plano nacional de resposta a crises e incidentes de cibersegurança em grande escala deve garantir a

coerência com os quadros existentes de gestão geral de crises a nível nacional.

Artigo 14.º

Quadro Nacional de Referência para a Cibersegurança

1 – O QNRCS é o instrumento nacional de referência para a identificação das normas, padrões e boas

práticas existentes em matéria de gestão da cibersegurança e da segurança da informação.

2 – O QNRCS é aprovado por regulamento do CNCS, ouvido o CSSC, devendo ser regularmente atualizado,

pelo menos de cinco em cinco anos.

3 – As entidades essenciais e importantes devem ter em conta o QNRCS no âmbito da adoção de medidas

de cibersegurança previstas nos artigos 27.º e seguintes.

4 – As autoridades nacionais setoriais de cibersegurança referidas na alínea a) do n.º 2 do artigo 15.º podem

adotar normas complementares ao QNRCS, através de regulamento próprio, em articulação com o CNCS.

5 – Sem prejuízo dos números anteriores, a aplicação do QNRCS pelas entidades essenciais, importantes

e públicas relevantes é objeto de regulamento a aprovar pelo CNCS, prevendo medidas de cibersegurança

específicas e níveis de conformidade.

CAPÍTULO III

Quadro institucional da segurança do ciberespaço

Artigo 15.º

Organização

1 – O quadro institucional da segurança do ciberespaço é composto pelas seguintes entidades:

a) O CSSC, na qualidade de órgão consultivo do Primeiro-Ministro no domínio da cibersegurança;

b) O CNCS, na qualidade de: