28 DE FEVEREIRO DE 2025

53

corrigir um incidente, determinando os prazos para a sua execução e respetiva informação;

c) Ordens ou instruções vinculativas com vista à correção de deficiências ou infrações à presente lei;

d) Ordens ou instruções vinculativas com vista ao cumprimento do disposto no artigo 26.º e seguintes ou,

quando se trate de uma entidade pública relevante, do disposto no artigo 33.º, ou ainda com vista ao

cumprimento do disposto nos artigos 40.º e seguintes;

e) Ordens para que as entidades em causa informem as pessoas singulares ou coletivas a quem prestam

serviços ou que realizam atividades potencialmente afetadas por ciberameaça significativa da natureza desta,

bem como de quaisquer medidas de proteção ou corretivas que possam ser adotadas em resposta a essa

ciberameaça;

f) Ordens para que a entidade em causa aplique, num prazo razoável, as recomendações formuladas em

resultado de uma auditoria de segurança;

g) Designação de um supervisor com funções adequadamente circunscritas, durante um período limitado,

para supervisionar o cumprimento das obrigações previstas nos artigos 26.º e seguintes, e previstas nos artigos

40.º e seguintes, pela entidade em causa;

h) Ordens para que a entidade em causa publicite os aspetos das infrações à presente lei de uma forma

específica;

i) Aplicação de coimas nos termos do capítulo seguinte.

2 – Em caso de incumprimento, por qualquer entidade essencial, das medidas referidas nas alíneas a) a d)

e f) no prazo determinado pela autoridade de cibersegurança competente, esta pode, na medida do estritamente

necessário:

a) Suspender uma certificação, autorização ou licença relativa a uma parte ou à totalidade dos serviços

relevantes prestados ou das atividades realizadas pela entidade, ou ordenar a um organismo de certificação a

sua suspensão;

b) Solicitar ao órgão competente a suspensão da autorização ou da licença relativa a uma parte ou à

totalidade dos serviços relevantes prestados ou das atividades realizadas pela entidade;

3 – As suspensões ou inibições temporárias referidas no número anterior mantêm-se até ao momento em

que a entidade corrija as deficiências ou cumpra as medidas referidas no n.º 1.

4 – As medidas referidas no n.º 2 não se aplicam às entidades públicas abrangidas pela presente lei, sem

prejuízo do exercício dos poderes de direção e tutela, nos termos gerais.

Artigo 57.º

Medidas de bloqueio e redireccionamento

1 – A autoridade de cibersegurança competente pode emitir ordens ou instruções com vista a neutralizar

uma ciberameaça, ciberataque ou incidente para as redes e sistemas de informação das entidades essenciais,

importantes ou públicas relevantes que resulte da utilização abusiva de nomes de domínio ou endereço de

protocolo IP, nos termos dos números seguintes.

2 – Os tipos de abusos referidos no número anterior incluem, designadamente:

a) Ataques de negação de serviço distribuída (DDoS);

b) Servidores maliciosos (Comando e Controlo);

c) Equipamentos infetados (comunicação com Comando e Controlo);

d) Distribuição de código malicioso;

e) Utilização ilegítima de nome de terceiros;

f) Correio eletrónico não solicitado (SPAM).

3 – Na medida do estritamente necessário para cessar a utilização abusiva de nomes de domínio, a

autoridade de cibersegurança competente pode ordenar, de forma devidamente fundamentada: