28 DE FEVEREIRO DE 2025

33

avaliação de segurança deve, no seu teor, abrangência e intensidade, respeitar o princípio da proporcionalidade,

considerando, designadamente, o grau de risco apurado, o grau de incidência, global e específica, sobre cada

equipamento, componente ou serviço em causa, o prejuízo sofrido pelo fabricante e fornecedor afetado, e ainda

os prejuízos económicos e sociais potencialmente decorrentes da decisão.

8 – A Comissão de Avaliação de Segurança do Ciberespaço pode solicitar a qualquer entidade, pública ou

privada, a prestação de qualquer informação necessária à elaboração de avaliações de segurança.

9 – A decisão do membro do Governo responsável pela área da cibersegurança prevista no n.º 3 define os

prazos razoáveis e, quando aplicável, o âmbito geográfico da medida a aplicar, de forma que as entidades

públicas ou privadas em causa procedam à sua implementação.

10 – Os documentos ou informações produzidas no âmbito dos trabalhos da Comissão de Avaliação de

Segurança do Ciberespaço são considerados como informação classificada no grau de segurança reservado,

salvo se o presidente da Comissão considerar necessário atribuir um grau de classificação de segurança

superior, e sem prejuízo destes documentos ou informações poderem ser classificadas como segredo de Estado

nos termos da Lei Orgânica n.º 2/2014, de 6 de agosto, na sua redação atual.

11 – No exercício das suas competências, o CNCS ou, quando aplicável, a autoridade nacional setorial ou

nacional especial, procede à fiscalização do cumprimento das solicitações da Comissão de Avaliação de

Segurança do Ciberespaço e da decisão do membro do Governo responsável pela área da cibersegurança

previstas no presente artigo, sancionando o seu incumprimento nos termos da alínea d) do n.º 1 do artigo 63.º

e da alínea a) do n.º 1 do artigo 61.º, respetivamente.

12 – O apoio técnico, administrativo e logístico da Comissão de Avaliação de Segurança do Ciberespaço,

assim como os respetivos encargos associados, são prestados e suportados pelo GNS.

Artigo 19.º

Centro Nacional de Cibersegurança

1 – O CNCS é a autoridade nacional de cibersegurança, tendo por missão garantir que o País alcança e

mantém um nível elevado de cibersegurança, através da promoção da melhoria contínua da cibersegurança

nacional e da cooperação internacional, bem como da definição e implementação das medidas e instrumentos

necessários à antecipação, deteção, reação e recuperação de situações que, face à iminência ou ocorrência de

incidentes, ponham em causa o interesse nacional, o funcionamento das entidades essenciais, entidades

importantes e entidades públicas relevantes.

2 – O CNCS é ainda o ponto de contacto único para efeitos de cooperação ao nível da União Europeia, bem

como ao nível internacional em matéria de cibersegurança, sem prejuízo das competências atribuídas a outras

autoridades em matéria de cooperação em matéria penal, designadamente as competências da Polícia

Judiciária para a cooperação internacional que lhe são conferidas pelo disposto nos artigos 20.º a 26.º e no

artigo 29.º da Lei do Cibercrime, e em matéria de produção de informações referentes a segurança interna e

externa do Estado português e dos seus aliados.

3 – O CNCS integra o «CERT.PT», previsto no artigo 22.º, que atua como equipa de resposta a incidentes

de cibersegurança nacional.

4 – O CNCS é igualmente a autoridade nacional de certificação de cibersegurança, nomeadamente para

efeitos do disposto no artigo 58.º do Regulamento (UE) 2019/881, do Parlamento Europeu e do Conselho, de

17 de abril, sem prejuízo das competências do GNS no que diz respeito à certificação e acreditação dos sistemas

de informação e comunicação que tratam informação classificada, nos termos do Decreto-Lei n.º 3/2012, de 16

de janeiro, na sua redação atual.

Artigo 20.º

Competências do CNCS

1 – O CNCS, no âmbito das responsabilidades atribuídas nos n.os 1 e 2 do artigo 19.º, prossegue as

atribuições e exerce as competências descritas nas alíneas seguintes:

a) Desenvolver as capacidades nacionais de prevenção, monitorização, deteção, reação, análise e correção

destinadas a fazer face a incidentes de cibersegurança, a ciberataques, e a ciberameaças;