(1)

No que diz respeito aos prestadores de serviços de DNS, aos registos de nomes de domínio de topo (TLD), aos prestadores de serviços de computação em nuvem, aos prestadores de serviços de centro de dados, aos fornecedores de redes de distribuição de conteúdos, aos prestadores de serviços geridos, aos prestadores de serviços de segurança geridos, aos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais e aos prestadores de serviços de confiança, tal como abrangidos pelo artigo 3.o da Diretiva (UE) 2022/2555 (entidades pertinentes), o presente regulamento visa estabelecer os requisitos técnicos e metodológicos das medidas referidas no artigo 21.o, n.o 2, da Diretiva (UE) 2022/2555 e especificar mais pormenorizadamente os casos em que um incidente deve ser considerado significativo, tal como referido no artigo 23.o, n.o 3, dessa diretiva.

(2)

Tendo em conta a natureza transfronteiriça das suas atividades e a fim de assegurar um quadro coerente para os prestadores de serviços de confiança, para além de estabelecer os requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança, o presente regulamento deve ainda, no que diz respeito a tais prestadores, especificar mais pormenorizadamente os casos em que um incidente deve ser considerado significativo.

(3)

Nos termos do artigo 21.o, n.o 5, terceiro parágrafo, da Diretiva (UE) 2022/2555, os requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança estabelecidos no anexo do presente regulamento baseiam-se em normas europeias e internacionais, como a ISO/IEC 27001, a ISO/IEC 27002 e a ETSI EN 319401, e em especificações técnicas, como a CEN/TS 18026:2024, pertinentes para a segurança dos sistemas de rede e informação.

(4)

No que diz respeito à execução e aplicação dos requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança estabelecidos no anexo do presente regulamento, em consonância com o princípio da proporcionalidade, ao cumprir tais requisitos há que ter devidamente em conta os diferentes níveis de exposição das entidades pertinentes, tais como o caráter crítico da entidade pertinente, os riscos a que está exposta, a sua dimensão e estrutura e a probabilidade de ocorrência de incidentes e a respetiva gravidade, incluindo o seu impacto societal e económico.

(5)

Em consonância com o princípio da proporcionalidade, caso, por força da respetiva dimensão, as entidades pertinentes não consigam aplicar alguns dos requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança, tais entidades devem poder tomar outras medidas compensatórias adequadas para alcançar o objetivo desses requisitos. A título de exemplo, ao definirem funções, responsabilidades e autoridades para a segurança do sistema de rede e informação no seio da entidade pertinente, as microentidades podem ter dificuldade em separar deveres e áreas de responsabilidade conflituantes. Essas entidades devem poder considerar medidas compensatórias, como a supervisão específica por parte da direção da entidade ou um reforço da monitorização e do registo.

(6)

Determinados requisitos técnicos e metodológicos estabelecidos no anexo do presente regulamento devem ser aplicados pelas entidades pertinentes se for caso disso, quando aplicável ou na medida do possível. Se uma entidade pertinente considerar que a aplicação de determinados requisitos técnicos e metodológicos previstos no anexo do presente regulamento não é adequada, aplicável ou viável, deve documentar de forma compreensível a sua fundamentação nesse sentido. As autoridades nacionais competentes podem, no exercício da supervisão, ter em conta o período adequado necessário para que as entidades pertinentes apliquem os requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança.

(7)

A Agência da União Europeia para a Cibersegurança (ENISA) ou as autoridades nacionais competentes ao abrigo da Diretiva (UE) 2022/2555 podem fornecer orientações para apoiar as entidades pertinentes na identificação, análise e avaliação dos riscos para efeitos da aplicação dos requisitos técnicos e metodológicos no que se refere à criação e manutenção de um quadro adequado de gestão dos riscos. Essas orientações podem incluir, em especial, avaliações de risco nacionais e setoriais, bem como avaliações de risco específicas para um determinado tipo de entidade. As orientações podem ainda incluir ferramentas ou modelos para o desenvolvimento de um quadro de gestão dos riscos a nível das entidades pertinentes. Os quadros, orientações ou outros mecanismos previstos no direito nacional dos Estados-Membros, bem como as normas europeias e internacionais pertinentes, também podem ajudar as entidades pertinentes a demonstrar o cumprimento do presente regulamento. Além disso, a ENISA ou as autoridades nacionais competentes ao abrigo da Diretiva (UE) 2022/2555 podem apoiar as entidades pertinentes na identificação e aplicação de soluções adequadas para lidar com os riscos identificados nessas avaliações de risco. Essas orientações não prejudicam a obrigação das entidades pertinentes de identificar e documentar os riscos para a segurança dos sistemas de rede e informação, nem a obrigação dessas entidades de aplicar os requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança estabelecidos no anexo do presente regulamento, em conformidade com as suas necessidades e recursos.

(8)

As medidas de segurança da rede relacionadas com i) a transição para protocolos de comunicação de camadas de rede de última geração, ii) a implantação de normas modernas de comunicação por correio eletrónico, acordadas a nível internacional e interoperáveis, e iii) a aplicação das melhores práticas em matéria de segurança do DNS, segurança do encaminhamento da Internet e de higiene do encaminhamento, acarretam desafios específicos no que diz respeito à identificação das melhores normas e técnicas de implantação disponíveis. A fim de alcançar o mais rapidamente possível um elevado nível comum de cibersegurança em todas as redes, a Comissão, com a assistência da ENISA e em colaboração com as autoridades competentes, a indústria — incluindo a indústria das telecomunicações — e outras partes interessadas, deve apoiar o desenvolvimento de um fórum multilateral encarregado de identificar as referidas melhores normas e técnicas de implantação disponíveis. Essas orientações multilaterais não devem afetar a obrigação das entidades pertinentes de aplicar os requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança estabelecidos no anexo do presente regulamento.

(9)

Nos termos do artigo 21.o, n.o 2, alínea a), da Diretiva (UE) 2022/2555, para além de políticas de análise dos riscos, as entidades essenciais e importantes devem dispor de políticas de segurança dos sistemas de informação. Para o efeito, as entidades pertinentes devem estabelecer uma política de segurança dos sistemas de rede e informação, bem como políticas temáticas, como, por exemplo, políticas em matéria de controlo do acesso, que devem ser coerentes com a política de segurança dos sistemas de rede e informação. A política de segurança dos sistemas de rede e informação deve ser o documento de mais alto nível que define a abordagem global das entidades pertinentes no que toca à segurança dos sistemas de rede e informação, e deve ser aprovada pelos órgãos de direção dessas entidades. As políticas temáticas devem ser aprovadas por um nível adequado da direção. A política deve estabelecer indicadores e medidas que permitam monitorizar a respetiva aplicação e o estado atual do nível de maturidade das entidades pertinentes em termos de segurança das redes e da informação, em especial para facilitar a supervisão da aplicação das medidas de gestão dos riscos de cibersegurança através dos órgãos de direção.

(10)

Para efeitos dos requisitos técnicos e metodológicos estabelecidos no anexo do presente regulamento, o termo «utilizador» deve abranger todas as pessoas singulares e coletivas que tenham acesso aos sistemas de rede e informação da entidade.

(11)

A fim de identificar e de fazer face aos riscos que se colocam à segurança dos sistemas de rede e informação, as entidades pertinentes devem estabelecer e manter um quadro adequado de gestão dos riscos. No âmbito do quadro de gestão dos riscos, as entidades pertinentes devem estabelecer, aplicar e acompanhar um plano de tratamento dos riscos. As entidades pertinentes podem recorrer ao plano de tratamento dos riscos para identificar as opções e medidas de tratamento dos riscos e definir a respetiva prioridade. No que toca ao tratamento dos riscos, as opções incluem, em especial, evitar, reduzir ou, em casos excecionais, aceitar o risco. A escolha das opções de tratamento dos riscos deve ter em conta os resultados da avaliação dos riscos realizada pela entidade pertinente e estar em conformidade com a política desta em matéria de segurança dos sistemas de rede e informação. Para executar as opções de tratamento dos riscos escolhidas, as entidades pertinentes devem tomar as medidas adequadas de tratamento dos riscos.

(12)

Para detetar eventos, quase incidentes e incidentes, as entidades pertinentes devem monitorizar os respetivos sistemas de rede e informação e tomar medidas para avaliar tais eventos, quase incidentes e incidentes. Essas medidas devem permitir a deteção atempada de ataques de rede com base em padrões anómalos de tráfego de entrada ou saída e de ataques de negação de serviço.

(13)

Ao realizarem uma análise de impacto na atividade, as entidades pertinentes são incentivadas a efetuar uma análise exaustiva que estabeleça, se for caso disso, os períodos de interrupção máximos toleráveis, os objetivos em termos de tempo de recuperação, os objetivos em termos de ponto de recuperação e os objetivos de prestação de serviços.

(14)

A fim de atenuar os riscos decorrentes da cadeia de abastecimento das entidades pertinentes e da respetiva relação com os seus fornecedores, as entidades pertinentes devem estabelecer uma política de segurança da cadeia de abastecimento que reja as suas relações com os seus fornecedores e prestadores de serviços diretos. Estas entidades devem especificar, nos contratos que celebram com os seus fornecedores ou prestadores de serviços diretos, cláusulas de segurança adequadas, que se for caso disso exijam, por exemplo, medidas de gestão dos riscos de cibersegurança em conformidade com o artigo 21.o, n.o 2, da Diretiva (UE) 2022/2555 ou outros requisitos legais semelhantes.

(15)

As entidades pertinentes devem realizar regularmente testes de segurança baseados numa política e em procedimentos específicos, a fim de verificar se as medidas de gestão dos riscos de cibersegurança são aplicadas e funcionam corretamente. Os testes de segurança podem ser realizados em sistemas de rede e informação específicos ou a nível de toda a entidade pertinente e podem incluir testes automatizados ou manuais, testes de penetração, análises das vulnerabilidades, testes estáticos e dinâmicos da segurança das aplicações, testes de configuração ou auditorias de segurança. As entidades pertinentes podem realizar testes de segurança aos seus sistemas de rede e informação aquando da respetiva criação, na sequência de melhorias ou modificações das infraestruturas ou das aplicações que considerem significativas, ou após a manutenção. Os resultados dos testes de segurança devem contribuir para as políticas e os procedimentos das entidades pertinentes para avaliar a eficácia das medidas de gestão dos riscos de cibersegurança, bem como para análises independentes das suas políticas de segurança das redes e da informação.

(16)

A fim de evitar que a exploração de vulnerabilidades não corrigidas nos sistemas de rede e informação cause perturbações e danos significativos, as entidades pertinentes devem estabelecer e aplicar procedimentos adequados de gestão das correções de segurança que estejam alinhados com os respetivos procedimentos de gestão de alterações, gestão de vulnerabilidades e gestão dos riscos, bem como com outros procedimentos pertinentes. As entidades pertinentes devem tomar medidas proporcionadas face aos seus recursos para garantir que as correções de segurança não introduzem vulnerabilidades ou instabilidades adicionais. Em caso de inacessibilidade prevista do serviço devido à aplicação de correções de segurança, as entidades pertinentes são incentivadas a informar devidamente os clientes com antecedência.

(17)

As entidades pertinentes devem gerir os riscos decorrentes da aquisição de produtos ou serviços de TIC junto de fornecedores ou prestadores de serviços e obter garantias de que os produtos ou serviços de TIC a adquirir atingem determinados níveis de proteção da cibersegurança, por exemplo, através de certificados europeus de cibersegurança e de declarações UE de conformidade para produtos de TIC ou serviços de TIC emitidos ao abrigo de um sistema europeu de certificação da cibersegurança adotado nos termos do artigo 49.o do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho (2). Sempre que estabeleçam requisitos de segurança a aplicar aos produtos de TIC a adquirir, as entidades pertinentes devem ter em conta os requisitos de cibersegurança essenciais estabelecidos num regulamento do Parlamento Europeu e do Conselho relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais.

(18)

A fim de se proteger contra ciberameaças e de apoiar a prevenção e contenção das violações de dados, as entidades pertinentes devem aplicar soluções de segurança da rede. As soluções típicas para a segurança da rede incluem a utilização de barreiras de segurança (firewalls) para proteger as redes internas das entidades pertinentes, a limitação das ligações e do acesso aos serviços aos casos em que sejam absolutamente necessários, a utilização de redes privadas virtuais para efeitos de acesso remoto e a autorização da ligação de prestadores de serviços apenas após um pedido de autorização e por um período determinado, como a duração de uma operação de manutenção.

(19)

Para protegerem as suas redes e os seus sistemas de informação contra software malicioso e não autorizado, as entidades pertinentes devem aplicar controlos que impeçam ou detetem a utilização de software não autorizado e, se for caso disso, devem utilizar software de deteção e resposta. As entidades pertinentes devem também ponderar a aplicação de medidas para minimizar a superfície de ataque, reduzir as vulnerabilidades suscetíveis de serem exploradas por atacantes, controlar a execução de aplicações nos pontos terminais e implementar filtros de correio eletrónico e de aplicações Web para reduzir a exposição a conteúdos maliciosos.

(20)

Nos termos do artigo 21.o, n.o 2, alínea g), da Diretiva (UE) 2022/2555, os Estados-Membros devem assegurar que as entidades essenciais e importantes aplicam práticas básicas de ciber-higiene e ministram formação em cibersegurança. As práticas básicas de ciber-higiene podem incluir princípios de «confiança zero», a atualização do software, a configuração dos dispositivos, a segmentação da rede, a gestão da identidade e do acesso ou a sensibilização dos utilizadores, a organização de formações para o seu pessoal e o aumento da sensibilização para as ciberameaças, a mistificação da interface (phishing) ou as técnicas de engenharia social. As práticas de ciber-higiene fazem parte de diferentes requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança estabelecidos no anexo do presente regulamento. No que diz respeito às práticas básicas de ciber-higiene para os utilizadores, as entidades pertinentes devem ter em conta práticas como a política de secretária e de ecrã vazios, a utilização de autenticação multifatores e de outros meios de autenticação, a segurança da utilização do correio eletrónico e da navegação na Web, a proteção contra a mistificação da interface (phishing) e a engenharia social e práticas seguras de trabalho à distância.

(21)

Para impedir o acesso não autorizado aos seus ativos, as entidades pertinentes devem estabelecer e aplicar uma política temática que aborde o acesso das pessoas e dos sistemas de rede e informação, tais como aplicações.

(22)

A fim de evitar que os trabalhadores possam utilizar abusivamente, por exemplo, os direitos de acesso no seio da entidade pertinente para prejudicar e causar danos, as entidades pertinentes devem considerar a aplicação de medidas adequadas de gestão da segurança aos trabalhadores e sensibilizar o pessoal para esses riscos. As entidades pertinentes devem estabelecer, comunicar e manter um processo disciplinar para o tratamento de violações das respetivas políticas de segurança do sistema de rede e informação, que pode ser integrado noutros processos disciplinares por si estabelecidos. A verificação dos antecedentes dos trabalhadores e, quando aplicável, dos fornecedores e prestadores de serviços diretos das entidades pertinentes, deverá contribuir para o objetivo de segurança dos recursos humanos nas entidades pertinentes, podendo essas verificações incluir medidas como a verificação do registo criminal ou das anteriores funções profissionais da pessoa, conforme adequado às funções a desempenhar pela pessoa na entidade pertinente, e em consonância com a política desta em matéria de segurança dos sistemas de rede e informação.

(23)

A autenticação multifatores pode reforçar a cibersegurança das entidades e deve ser considerada pelas mesmas, em especial nos casos em que os utilizadores acedem a sistemas de rede e informação a partir de locais remotos, ou quando acedem a informações sensíveis ou a contas privilegiadas e a contas de administração de sistemas. A autenticação multifatores pode ser combinada com outras técnicas, de modo a exigir fatores adicionais em circunstâncias específicas, com base em regras e padrões predefinidos, como o acesso a partir de um local ou de um dispositivo pouco habituais ou num momento invulgar.

(24)

As entidades pertinentes devem gerir e proteger os ativos que consideram valiosos através de uma boa gestão de ativos, que também deve servir de base à análise dos riscos e à gestão da continuidade das atividades. As entidades pertinentes devem gerir os ativos corpóreos e incorpóreos, criar um inventário de ativos, atribuir-lhes um nível de classificação definido, assegurar o seu tratamento, acompanhá-los e tomar medidas para os proteger ao longo do seu ciclo de vida.

(25)

A gestão de ativos deve incluir a sua classificação por tipo, sensibilidade, nível de risco e requisitos de segurança, bem como a aplicação de medidas e controlos adequados para garantir a sua disponibilidade, integridade, confidencialidade e autenticidade. Ao classificarem os ativos por nível de risco, as entidades pertinentes devem poder aplicar medidas de segurança e controlos adequados para os proteger, como a cifragem, o controlo do acesso, incluindo o controlo do perímetro e o controlo do acesso físico e lógico, as cópias de segurança, o registo e a monitorização, a retenção e a eliminação. Ao realizarem uma análise de impacto na atividade, as entidades pertinentes podem determinar o nível de classificação com base nas consequências que uma situação de perturbação dos ativos tem para elas. Todos os trabalhadores das entidades que tratem ativos devem estar familiarizados com as políticas e instruções de tratamento de ativos.

(26)

A granularidade do inventário de ativos deve ser adequada às necessidades das entidades pertinentes. Um inventário de ativos abrangente pode incluir, para cada ativo, pelo menos um identificador único, o proprietário do ativo, uma descrição do ativo, a respetiva localização, o tipo de ativo, o tipo e a classificação das informações tratadas no ativo, a data da última atualização ou correção do ativo, a classificação do ativo ao abrigo da avaliação de risco e o fim de vida do ativo. Ao identificarem o proprietário de um ativo, as entidades pertinentes devem também identificar a pessoa responsável pela proteção do referido ativo.

(27)

A atribuição e a organização das funções, responsabilidades e autoridades em matéria de cibersegurança devem proporcionar uma estrutura coerente para a governação e a execução da cibersegurança nas entidades pertinentes e garantir uma comunicação eficaz em caso de incidentes. Ao definirem e atribuírem responsabilidades para determinadas funções, as entidades pertinentes devem considerar funções como a de responsável principal pela segurança da informação, responsável pela segurança da informação, responsável pelo tratamento de incidentes, auditor ou funções equivalentes comparáveis. As entidades pertinentes podem atribuir funções e responsabilidades a partes externas, tais como terceiros prestadores de serviços de TIC.

(28)

Em conformidade com o artigo 21.o, n.o 2, da Diretiva (UE) 2022/2555, as medidas de gestão dos riscos de cibersegurança devem basear-se numa abordagem que contemple todos os riscos e que vise a proteção dos sistemas de rede e informação e do ambiente físico desses sistemas contra eventos, como roubos, incêndios, inundações, falhas de telecomunicações ou de energia, ou contra o acesso físico não autorizado, bem como danos causados e interferências praticadas nas informações e nas instalações de tratamento de informações de uma entidade essencial ou importante, que possam comprometer a disponibilidade, a autenticidade, a integridade ou a confidencialidade dos dados armazenados, transmitidos ou tratados, ou dos serviços oferecidos pelos sistemas de rede e informação ou a que estes deem acesso. Por conseguinte, os requisitos técnicos e metodológicos das medidas de gestão dos riscos de cibersegurança devem também abordar a segurança física e ambiental dos sistemas de rede e informação, incorporando medidas para proteger esses sistemas de falhas do sistema, erros humanos, ações maliciosas ou fenómenos naturais. Outros exemplos de ameaças físicas e ambientais incluem terramotos, explosões, sabotagem, ameaças internas, perturbações da ordem pública, resíduos tóxicos e emissões para o ambiente. A prevenção de perdas, de danos ou do comprometimento dos sistemas de rede e informação ou da interrupção das suas operações devido a falhas e perturbações dos serviços de utilidade pública de apoio deve contribuir para o objetivo de continuidade das atividades nas entidades pertinentes. Por outro lado, a proteção contra ameaças físicas e ambientais deve contribuir para a segurança da manutenção dos sistemas de rede e informação nas entidades pertinentes.

(29)

As entidades pertinentes devem conceber e aplicar medidas de proteção contra ameaças físicas e ambientais, determinar limiares mínimos e máximos de controlo das ameaças físicas e ambientais e monitorizar os parâmetros ambientais. Devem considerar, por exemplo, a possibilidade de instalar sistemas para detetar, numa fase precoce, a inundação das zonas em que se encontram os sistemas de rede e informação. No que diz respeito ao risco de incêndio, as entidades pertinentes devem ponderar a criação de um compartimento corta-fogo separado para o centro de dados, a utilização de materiais resistentes ao fogo, sensores para monitorizar a temperatura e a humidade, a ligação do edifício a um sistema de alarme de incêndio com uma notificação automática ao corpo de bombeiros local e sistemas de deteção precoce e extinção de incêndios. As entidades pertinentes devem ainda realizar regularmente exercícios de simulação de incêndios e inspeções de incêndios. Além disso, a fim de assegurar o fornecimento de energia, as entidades pertinentes devem considerar a proteção contra sobretensões e o fornecimento de um nível conforme de energia de emergência, em conformidade com as normas pertinentes. Ademais, uma vez que o sobreaquecimento representa um risco para a disponibilidade dos sistemas de rede e informação, as entidades pertinentes, e sobretudo os prestadores de serviços de centro de dados, podem considerar sistemas de ar condicionado adequados, contínuos e redundantes.

(30)

O presente regulamento procura especificar mais pormenorizadamente os casos em que um incidente deve ser considerado significativo para efeitos do artigo 23.o, n.o 3, da Diretiva (UE) 2022/2555. Os critérios devem permitir que as entidades pertinentes consigam avaliar se um incidente é significativo, a fim de o notificarem em conformidade com a Diretiva (UE) 2022/2555. Além disso, sem prejuízo do artigo 5.o da Diretiva (UE) 2022/2555, os critérios estabelecidos no presente regulamento devem ser considerados exaustivos. O presente regulamento especifica os casos em que um incidente deve ser considerado significativo, definindo tanto casos horizontais como casos relativos a tipos específicos de entidades.

(31)

Nos termos do artigo 23.o, n.o 4, da Diretiva (UE) 2022/2555, as entidades pertinentes são obrigadas a notificar incidentes significativos nos prazos fixados nessa disposição. Esses prazos de notificação começam a decorrer a partir do momento em que a entidade toma conhecimento dos incidentes significativos em questão. Por conseguinte, a entidade pertinente é obrigada a notificar incidentes que, com base na sua avaliação inicial, possam causar graves perturbações operacionais dos serviços ou perdas financeiras a essa entidade ou afetar outras pessoas singulares ou coletivas, causando danos materiais ou imateriais consideráveis. Deste modo, quando tiver detetado um evento suspeito, ou depois de um potencial incidente lhe ter sido comunicado por um terceiro, como uma pessoa singular, um cliente, uma entidade, uma autoridade, um órgão de comunicação social ou outra fonte, a entidade pertinente deve avaliar o evento suspeito em tempo útil, a fim de determinar se constitui um incidente e, em caso afirmativo, determinar a sua natureza e gravidade. Nesse sentido, considera-se que a entidade pertinente tomou «conhecimento» do incidente significativo quando, após essa avaliação inicial, tiver um grau razoável de certeza da ocorrência de um incidente significativo.

(32)

A fim de determinar se um incidente é significativo, as entidades pertinentes devem, se for caso disso, contabilizar o número de utilizadores afetados pelo incidente, tendo em conta os clientes empresariais e finais com os quais têm uma relação contratual, bem como as pessoas singulares e coletivas associadas a clientes empresariais. Caso uma entidade pertinente seja incapaz de calcular o número de utilizadores afetados, deve ter-se em conta, para efeitos do cálculo do número total de utilizadores afetados pelo incidente, a estimativa da entidade pertinente do possível número máximo de utilizadores afetados. O caráter significativo de um incidente que envolva um serviço de confiança deve ser determinado não só com base no número de utilizadores, mas também com base no número de partes confiantes (relying parties), uma vez que estas também podem ser afetadas — em termos de perturbações operacionais e de danos materiais ou imateriais — por um incidente significativo que envolva um serviço de confiança. Assim, ao determinarem se um incidente é significativo, os prestadores de serviços de confiança devem ter igualmente em conta, quando aplicável, o número de partes confiantes. Para o efeito, por «partes confiantes» entende-se as pessoas singulares ou coletivas que recorrem a um serviço de confiança.

(33)

As operações de manutenção das quais decorra uma disponibilidade limitada ou a indisponibilidade dos serviços não devem ser consideradas incidentes significativos se a disponibilidade limitada ou a indisponibilidade do serviço ocorrerem de acordo com uma operação de manutenção programada. Além disso, não se considera um incidente significativo o facto de um serviço ficar indisponível devido a interrupções programadas, nomeadamente interrupções ou situações de indisponibilidade com base num acordo contratual predeterminado.

(34)

A duração de um incidente que afete a disponibilidade de um serviço deve ser medida desde o início da perturbação da prestação adequada desse serviço até ao momento da recuperação. Se uma entidade pertinente for incapaz de determinar o momento em que a perturbação teve início, a duração do incidente deve ser medida a partir do momento em que o incidente foi detetado, ou a partir do momento em que o incidente foi registado nos registos da rede ou do sistema ou noutras fontes de dados, consoante o que ocorrer primeiro.

(35)

A indisponibilidade total de um serviço deve ser medida desde o momento em que o serviço se torna totalmente indisponível para os utilizadores até ao momento em que é restabelecido, no que toca às atividades ou operações regulares, o nível de serviço prestado antes do incidente. Se uma entidade pertinente for incapaz de determinar em que momento teve início a indisponibilidade total de um serviço, a indisponibilidade deve ser medida a partir do momento em que foi detetada por essa entidade.

(36)

Para efeitos da determinação das perdas financeiras diretas resultantes de um incidente, as entidades pertinentes devem ter em conta todas as perdas financeiras em que incorreram em resultado do incidente, tais como os custos de substituição ou relocalização de software, hardware ou infraestruturas, os custos com pessoal, incluindo os custos associados à substituição ou relocalização do pessoal, ao recrutamento de pessoal suplementar, à remuneração de horas extraordinárias e ao restabelecimento de competências perdidas ou comprometidas, as taxas por incumprimento de obrigações contratuais, os custos de reparação e indemnização dos clientes, os prejuízos causados pela perda de receitas, os custos associados à comunicação interna e externa, os custos de consultoria, incluindo custos associados a aconselhamento jurídico, a serviços forenses e a serviços de recurso, e outros custos associados ao incidente. No entanto, não devem ser considerados perdas financeiras resultantes de um incidente as coimas e os custos necessários para o funcionamento corrente da empresa, incluindo os custos de manutenção geral de infraestruturas, equipamentos, hardware e software, os custos de atualização das competências do pessoal, os custos internos ou externos para melhorar a atividade após o incidente, incluindo atualizações, melhorias e iniciativas de avaliação dos riscos, bem como prémios de seguros. As entidades pertinentes devem calcular os montantes das perdas financeiras com base nos dados disponíveis e, caso não seja possível determinar os montantes reais das perdas financeiras, devem estimar esses montantes.

(37)

As entidades pertinentes devem também ser obrigadas a comunicar incidentes que tenham causado, ou sejam suscetíveis de causar, a morte de pessoas singulares ou danos consideráveis à saúde de pessoas singulares, uma vez que tais incidentes constituem casos particularmente graves de danos materiais ou imateriais consideráveis. A título de exemplo, um incidente que afete uma entidade pertinente pode causar a indisponibilidade de serviços de cuidados de saúde ou de emergência, ou a perda de confidencialidade ou de integridade de dados com efeitos na saúde de pessoas singulares. Para determinar se um incidente causou, ou é suscetível de causar, danos consideráveis à saúde de uma pessoa singular, as entidades pertinentes devem ter em conta se o incidente causou ou é suscetível de causar lesões graves e problemas de saúde. Para o efeito, as entidades pertinentes não devem ser obrigadas a recolher informações adicionais às quais não tenham acesso.

(38)

Deve considerar-se que existe uma disponibilidade limitada sobretudo quando o tempo de resposta de um serviço prestado por uma entidade pertinente é consideravelmente superior à média, ou quando não estejam disponíveis todas as funcionalidades do serviço em questão. Sempre que possível, com vista a avaliar os atrasos no tempo de resposta, devem ser utilizados critérios objetivos baseados nos tempos médios de resposta dos serviços prestados pelas entidades pertinentes. Uma funcionalidade de um serviço pode ser, por exemplo, uma funcionalidade de conversação ou uma funcionalidade de pesquisa de imagens.

(39)

O acesso bem-sucedido, presumivelmente malicioso e não autorizado aos sistemas de rede e informação de uma entidade pertinente deve ser considerado um incidente significativo, sempre que esse acesso seja suscetível de causar graves perturbações operacionais. O incidente deve ser considerado significativo sempre que, por exemplo, um perpetrador de ciberameaças se pré-posicione nos sistemas de rede e informação de uma entidade pertinente com vista a causar perturbações futuras nos serviços.

(40)

Os incidentes recorrentes que tenham a mesma causa primária aparente e que, individualmente, não cumpram os critérios de um incidente significativo, devem ser considerados, coletivamente, um incidente significativo, desde que cumpram coletivamente o critério das perdas financeiras e tenham ocorrido pelo menos duas vezes no espaço de seis meses. Esses incidentes recorrentes podem indicar deficiências e debilidades significativas nos procedimentos de gestão dos riscos de cibersegurança da entidade pertinente e no seu nível de maturidade em matéria de cibersegurança. Além disso, tais incidentes recorrentes são suscetíveis de causar perdas financeiras significativas à entidade pertinente.

(41)

A Comissão procedeu ao intercâmbio de aconselhamentos e cooperou com o grupo de cooperação e com a ENISA no respeitante ao projeto de ato de execução, em conformidade com os artigos 21.o, n.o 5, e 23.°, n.o 11, da Diretiva (UE) 2022/2555.

(42)

A Autoridade Europeia para a Proteção de Dados foi consultada em conformidade com o disposto no artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (3) e emitiu parecer em 1 de setembro de 2024.

(43)

As medidas previstas no presente regulamento estão em conformidade com o parecer do comité criado em conformidade com o artigo 39.o da Diretiva (UE) 2022/2555,

a)

Ocorreram pelo menos duas vezes num período de seis meses;

b)

Têm a mesma causa primária aparente;

c)

Cumprem, coletivamente, os critérios estabelecidos no artigo 3.o, n.o 1, alínea a).

a)

Um serviço de resolução recursiva de nomes de domínio ou um serviço de resolução com autoridade para nomes de domínio fica totalmente indisponível durante mais de 30 minutos;

b)

Durante um período superior a uma hora, o tempo médio de resposta de um serviço de resolução recursiva de nomes de domínio ou de um serviço de resolução com autoridade para nomes de domínio aos pedidos de DNS é superior a 10 segundos;

c)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação do serviço de resolução com autoridade para nomes de domínio estão comprometidas, exceto nos casos em que os dados de menos de 1 000 nomes de domínio geridos pelo prestador de serviços de DNS (que não representem mais de 1 % dos nomes de domínio geridos por esse prestador) estejam incorretos devido a má configuração.

a)

Um serviço de resolução com autoridade para nomes de domínio fica completamente indisponível;

b)

Durante um período superior a uma hora, o tempo médio de resposta de um serviço de resolução com autoridade para nomes de domínio aos pedidos de DNS é superior a 10 segundos;

c)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da operação técnica do TLD estão comprometidas.

a)

Um serviço de computação em nuvem prestado fica completamente indisponível durante mais de 30 minutos;

b)

A disponibilidade de um serviço de computação em nuvem de um prestador fica limitada, por um período superior a uma hora, para mais de 5 % dos utilizadores do serviço de computação em nuvem na União ou para mais de um milhão de utilizadores do serviço de computação em nuvem na União, consoante o que for menor;

c)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de um serviço de computação em nuvem ficam comprometidas em resultado de uma ação presumivelmente maliciosa;

d)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de um serviço de computação em nuvem ficam comprometidas, afetando mais de 5 % dos utilizadores desse serviço de computação em nuvem na União ou mais de um milhão de utilizadores desse serviço de computação em nuvem na União, consoante o que for menor.

a)

Um serviço de centro de dados de um centro de dados operado pelo prestador fica completamente indisponível;

b)

A disponibilidade de um serviço de centro de dados de um centro de dados operado pelo prestador fica limitada por um período superior a uma hora;

c)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação do serviço de um centro de dados ficam comprometidas em resultado de uma ação presumivelmente maliciosa;

d)

O acesso físico a um centro de dados operado pelo prestador encontra-se comprometido.

a)

Uma rede de distribuição de conteúdos fica completamente indisponível durante mais de 30 minutos;

b)

A disponibilidade de uma rede de distribuição de conteúdos fica limitada, por um período superior a uma hora, para mais de 5 % dos utilizadores da rede de distribuição de conteúdos na União ou para mais de um milhão de utilizadores da rede de distribuição de conteúdos na União, consoante o que for menor;

c)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de uma rede de distribuição de conteúdos ficam comprometidas em resultado de uma ação presumivelmente maliciosa;

d)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito do fornecimento de uma rede de distribuição de conteúdos ficam comprometidas, afetando mais de 5 % dos utilizadores dessa rede de distribuição de conteúdos na União ou mais de um milhão de utilizadores dessa rede de distribuição de conteúdos na União, consoante o que for menor.

a)

Um serviço gerido ou um serviço de segurança gerido fica completamente indisponível durante mais de 30 minutos;

b)

A disponibilidade de um serviço gerido ou de um serviço de segurança gerido fica limitada, por um período superior a uma hora, para mais de 5 % dos utilizadores do serviço na União ou para mais de um milhão de utilizadores do serviço na União, consoante o que for menor;

c)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de um serviço gerido ou de um serviço de segurança gerido ficam comprometidas em resultado de uma ação presumivelmente maliciosa;

d)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de um serviço gerido ou de um serviço de segurança gerido ficam comprometidas, afetando mais de 5 % dos utilizadores desse serviço gerido ou desse serviço de segurança gerido na União ou mais de um milhão de utilizadores do serviço na União, consoante o que for menor.

a)

Um mercado em linha fica totalmente indisponível para mais de 5 % dos utilizadores desse mercado em linha na União ou para mais de um milhão de utilizadores desse mercado em linha na União, consoante o que for menor;

b)

A disponibilidade limitada de um mercado em linha afeta mais de 5 % dos utilizadores desse mercado em linha na União ou mais de um milhão de utilizadores desse mercado em linha na União, consoante o que for menor;

c)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de um mercado em linha ficam comprometidas em resultado de uma ação presumivelmente maliciosa;

d)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de um mercado em linha ficam comprometidas, afetando mais de 5 % dos utilizadores desse mercado em linha na União ou mais de um milhão de utilizadores desse mercado em linha na União, consoante o que for menor.

a)

Um motor de pesquisa em linha fica totalmente indisponível para mais de 5 % dos utilizadores desse motor de pesquisa em linha na União ou para mais de um milhão de utilizadores desse motor de pesquisa em linha na União, consoante o que for menor;

b)

A disponibilidade limitada de um motor de pesquisa em linha afeta mais de 5 % dos utilizadores desse motor de pesquisa em linha na União ou mais de um milhão de utilizadores desse motor de pesquisa em linha na União, consoante o que for menor;

c)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de um motor de pesquisa em linha ficam comprometidas em resultado de uma ação presumivelmente maliciosa;

d)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de um motor de pesquisa em linha ficam comprometidas, afetando mais de 5 % dos utilizadores desse motor de pesquisa em linha na União ou mais de um milhão de utilizadores desse motor de pesquisa em linha na União, consoante o que for menor.

a)

Uma plataforma de serviços de redes sociais fica totalmente indisponível para mais de 5 % dos utilizadores dessa plataforma de serviços de redes sociais na União ou para mais de um milhão de utilizadores dessa plataforma de serviços de redes sociais na União, consoante o que for menor;

b)

A disponibilidade limitada de uma plataforma de serviços de redes sociais afeta mais de 5 % dos utilizadores dessa plataforma de serviços de redes sociais na União ou mais de um milhão de utilizadores dessa plataforma de serviços de redes sociais na União, consoante o que for menor;

c)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de uma plataforma de serviços de redes sociais ficam comprometidas em resultado de uma ação presumivelmente maliciosa;

d)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de uma plataforma de serviços de redes sociais ficam comprometidas, afetando mais de 5 % dos utilizadores dessa plataforma de serviços de redes sociais na União ou mais de um milhão de utilizadores dessa plataforma de serviços de redes sociais na União, consoante o que for menor.

a)

Um serviço de confiança fica totalmente indisponível durante mais de 20 minutos;

b)

Um serviço de confiança fica indisponível para os utilizadores ou para as partes confiantes durante mais de uma hora por semana de calendário;

c)

A disponibilidade limitada de um serviço de confiança afeta mais de 1 % dos utilizadores ou das partes confiantes na União ou mais de 200 000 utilizadores ou partes confiantes na União, consoante o que for menor;

d)

Encontra-se comprometido o acesso físico — ou a proteção do mesmo — a uma zona na qual se encontram sistemas de rede e informação e cujo acesso está limitado ao pessoal de confiança do prestador de serviços de confiança;

e)

A integridade, a confidencialidade ou a autenticidade dos dados armazenados, transmitidos ou tratados no âmbito da prestação de um serviço de confiança ficam comprometidas, afetando mais de 0,1 % dos utilizadores ou das partes confiantes, ou mais de 100 utilizadores ou partes confiantes do serviço de confiança na União, consoante o que for menor.