26 DE MARÇO DE 2018 17 PROPOSTA DE LEI N.o 119/XIII (3.a) ESTABELECE O REGIME JURÍDICO DA SEGURANÇA DO CIBERESPAÇO, TRANSPONDO A DIRETIVA (UE) 2016/1148 Exposição de motivos A presente proposta de lei estabelece o regime jurídico da segurança do ciberespaço, transpondo a Diretiva (UE) 2016/1148, do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e dos sistemas de informação em toda a União. As redes e os sistemas de informação desempenham um papel vital na sociedade, sendo a sua resiliência e segurança essenciais para a prossecução de atividades económicas e societais. Concomitantemente, constata-se que a abrangência, frequência e impacto dos incidentes de segurança estão a aumentar, constituindo uma importante ameaça para o funcionamento das redes e dos sistemas de informação. Aliás, estes representam um alvo para ações danosas destinadas a danificar ou a causar disrupção na operação dos sistemas. Este tipo de incidentes pode colocar em causa o regular funcionamento da sociedade, acarretar perigo para a vida humana, perdas de natureza financeira, bem como comprometer a confidencialidade, a integridade e a disponibilidade da informação das redes e dos sistemas de informação da Administração Pública, dos operadores de infraestruturas críticas, dos operadores de serviços essenciais e dos prestadores de serviços digitais. Atendendo à sua natureza, estes incidentes podem provocar um impacto, designado como “efeito cascata” resultante das complexas relações de interdependência existentes. Assim, a Diretiva a transpor determina a obrigação de os Estados-Membros adotarem uma estratégia nacional de segurança das redes e dos sistemas de informação, pelo que a presente proposta de lei estabelece a necessidade de aprovação de uma Estratégia Nacional de Segurança do Ciberespaço, instrumento que visa definir as prioridades do País nesta matéria de acordo com o interesse nacional. Nestes moldes, a presente proposta de lei estabelece a estrutura de segurança do ciberespaço, consagrando o Conselho Superior de Segurança do Ciberespaço, o Centro Nacional de Cibersegurança como a Autoridade Nacional de Cibersegurança, bem como o “CERT.PT” como a equipa de resposta a incidentes de segurança informática nacional. Prevê ainda os operadores de serviços essenciais e os prestadores de serviços digitais. Consagra-se, igualmente, a necessidade de adoção de requisitos de segurança, bem como de notificação de incidentes para as entidades da Administração Pública, para os operadores de infraestruturas críticas, para os operadores de serviços essenciais, bem como para os prestadores de serviços digitais. De referir que, relativamente aos prestadores de serviços digitais, a presente proposta de lei segue a abordagem preconizada pelo legislador europeu, de diferenciar os prestadores de serviços digitais dos operadores de serviços essenciais, consagrada na Diretiva (UE) 2016/1148, de 6 de julho, e no Regulamento de Execução da Comissão Europeia (UE) 2018/151, de 30 de janeiro. No que respeita à segurança das redes e dos sistemas de informação, a presente proposta de lei encontra-se estruturada de molde a acautelar que os requisitos de segurança e os requisitos de notificação de incidentes sejam definidos nos termos prescritos em legislação complementar. Não obstante, desde logo, são delimitados os respetivos termos e pressupostos, atendendo às categorias das entidades alvo da presente proposta de lei. Acresce que se encontra ainda prevista a possibilidade de quaisquer entidades poderem notificar, a título voluntário, os incidentes com impacto importante na continuidade dos serviços por si prestados. Por fim, são determinadas competências de fiscalização e sancionatórias no sentido de garantir um nível elevado de garantia do cumprimento das obrigações decorrentes da referida Diretiva. Relativamente ao quadro contraordenacional, dividem-se as infrações em graves e muito graves, cabendo ao Centro Nacional de Cibersegurança exercer as competências de fiscalização e de aplicação das sanções previstas na presente proposta de lei. Assim: Nos termos da alínea d) do n.o 1 do artigo 197.o da Constituição, o Governo apresenta à Assembleia da República a seguinte proposta de lei: