20 DE JULHO DE 2022175Artigo 62.o Requisitos adicionais1 - Para além das medidas técnicas de execução previstas no artigo anterior, a ARN, para efeitos do disposto no artigo 59.o, pode fixar às empresas que oferecem redes públicas de comunicações eletrónicas ou serviços de comunicações eletrónicas acessíveis ao público requisitos adicionais mais exigentes, nomeadamente determinando o seguinte: a) A indicação de um ponto de contacto permanente, para efeitos do disposto no presente capítulo; b) A elaboração de um plano atualizado que contemple todas as medidas técnicas e organizacionais adotadas; c) A realização de exercícios de avaliação e melhoria das medidas técnicas e organizacionais adotadas, bem como a participação em exercícios conjuntos; d) A elaboração e apresentação à ARN de relatório anual nos termos a fixar, incluindo, nomeadamente, a experiência recolhida com incidentes de segurança. 2 - Em função da informação relevante emitida pelas entidades competentes nacionais e da União Europeia e as avaliações nacionais ou europeias de risco para a segurança das redes e serviços referidos no número anterior, a ARN determina os seguintes requisitos adicionais: a) A obrigação de utilização de produtos, serviços e processos certificados no âmbito de sistemas de certificação da cibersegurança, nomeadamente ao abrigo do disposto no Regulamento (UE) 2019/881, do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativo à ENISA e à certificação da cibersegurança das tecnologias de informação e comunicação; b) O cumprimento de condições específicas para a virtualização de funções de rede no âmbito da operação e da segurança das redes e serviços; c) O cumprimento de condições específicas para a subcontratação de funções no âmbito da operação e da segurança das redes e serviços ou a sua proibição; d) A adoção de uma estratégia de diversificação de fornecedores no âmbito da operação e da segurança das redes e serviços; e) A localização do centro de operação da rede e do centro de operação de segurança no território nacional ou no território de um Estado-Membro da União Europeia. 3 - A utilização de equipamentos em quaisquer redes de comunicações eletrónicas pode ser sujeita a uma avaliação de segurança, a realizar por iniciativa de qualquer membro da comissão referida no número seguinte, justificada e fundamentada em critérios objetivos de segurança, com base em informação relevante emitida pelas entidades competentes nacionais e da União Europeia ou constante das avaliações nacionais ou europeias de risco para a segurança das redes. 4 - A avaliação de segurança é realizada por uma Comissão de Avaliação de Segurança (Comissão) constituída no âmbito do Conselho Superior de Segurança do Ciberespaço, com a seguinte composição: a) A Autoridade Nacional de Segurança, que preside; b) Um representante da Autoridade Nacional de Cibersegurança; c) Um representante da ARN; d) Um representante do Sistema de Segurança Interna; e) Um representante do Sistema de Informações da República Portuguesa; f) O Embaixador para a Ciberdiplomacia; g) Um representante da Direção-Geral de Política Externa; h) Um representante da Direção-Geral da Política de Defesa. 5 - Em resultado da avaliação de segurança, a Comissão pode determinar a exclusão, a aplicação de restrições à utilização ou a cessação de utilização de equipamentos ou serviços, devendo estabelecer,