# Jornal Oficial L 333/2022

| | ISSN 1977-0774 |
| --- | --- |
| Jornal Oficial
  da União Europeia | L 333 |
| | |
| Edição em língua portuguesa | Legislação | 65.° ano27 de dezembro de 2022 |

ISSN 1977-0774

Jornal Oficial

da União Europeia

L 333

Edição em língua portuguesa

Legislação

65.° ano27 de dezembro de 2022

---

| Índice | | I   Atos legislativos | Página |
| --- | --- | --- | --- |
| | | REGULAMENTOS |
| | * | Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (
  1
  ) | 1 |
| | | DIRETIVAS |
| | * | Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.o 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (
  1
  ) | 80 |
| | * | Diretiva (UE) 2022/2556 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, que altera as Diretivas 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341 no que diz respeito à resiliência operacional digital para o setor financeiro (
  1
  ) | 153 |
| | * | Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa à resiliência das entidades críticas e que revoga a Diretiva 2008/114/CE do Conselho (
  1
  ) | 164 |

Índice

I   Atos legislativos

Página

REGULAMENTOS

*

Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (
  1
  )

o

o

o

o

1

1

DIRETIVAS

*

Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.o 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (
  1
  )

o

1

80

*

Diretiva (UE) 2022/2556 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, que altera as Diretivas 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341 no que diz respeito à resiliência operacional digital para o setor financeiro (
  1
  )

1

153

*

Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa à resiliência das entidades críticas e que revoga a Diretiva 2008/114/CE do Conselho (
  1
  )

1

164

| | |
| --- | --- |
| | (1)   Texto relevante para efeitos do EEE. |

---

(1)   Texto relevante para efeitos do EEE.

1

| PT | Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.
  Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes. |
| --- | --- |

PT

Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.

Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes.

---

I Atos legislativos

REGULAMENTOS

| 27.12.2022 | PT | Jornal Oficial da União Europeia | L 333/1 |
| --- | --- | --- | --- |

27.12.2022

PT

Jornal Oficial da União Europeia

L 333/1

---

REGULAMENTO (UE) 2022/2554 DO PARLAMENTO EUROPEU E DO CONSELHO

de 14 de dezembro de 2022

relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011

(Texto relevante para efeitos do EEE)

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.o,

Tendo em conta a proposta da Comissão Europeia,

Após transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer do Banco Central Europeu (1),

Tendo em conta o parecer do Comité Económico e Social Europeu (2),

Deliberando de acordo com o processo legislativo ordinário (3),

Considerando o seguinte:

| (1) | Na era digital, as tecnologias da informação e comunicação (TIC) servem de esteio a sistemas complexos utilizados em atividades quotidianas. Mantêm em funcionamento setores fundamentais das nossas economias, nomeadamente o setor financeiro, e melhoram o funcionamento do mercado interno. A intensificação da digitalização e interligação também amplifica o risco associado às TIC, tornando a sociedade no seu conjunto e, em particular, o sistema financeiro, mais vulneráveis a ciberameaças ou perturbações no domínio das TIC. Não obstante o facto de utilização generalizada de sistemas de TIC e o elevado nível de digitalização e conectividade serem, atualmente, características centrais das atividades das entidades financeiras da União, a sua resiliência digital tem ainda de ser abordada e integrada de forma mais eficaz nos seus quadros operacionais mais vastos. |
| --- | --- |

(1)

Na era digital, as tecnologias da informação e comunicação (TIC) servem de esteio a sistemas complexos utilizados em atividades quotidianas. Mantêm em funcionamento setores fundamentais das nossas economias, nomeadamente o setor financeiro, e melhoram o funcionamento do mercado interno. A intensificação da digitalização e interligação também amplifica o risco associado às TIC, tornando a sociedade no seu conjunto e, em particular, o sistema financeiro, mais vulneráveis a ciberameaças ou perturbações no domínio das TIC. Não obstante o facto de utilização generalizada de sistemas de TIC e o elevado nível de digitalização e conectividade serem, atualmente, características centrais das atividades das entidades financeiras da União, a sua resiliência digital tem ainda de ser abordada e integrada de forma mais eficaz nos seus quadros operacionais mais vastos.

| (2) | A utilização das TIC tem adquirido nas últimas décadas um papel fulcral na prestação de serviços financeiros, de tal forma que se reveste hoje de importância crítica no funcionamento das habituais funções quotidianas de todas as entidades financeiras. Atualmente, a digitalização abrange, por exemplo, os pagamentos, onde se observa uma transição crescente dos métodos com base em numerário e em papel para soluções digitais, bem como a compensação e liquidação de valores mobiliários, a negociação eletrónica e algorítmica, as operações de concessão de empréstimos e de financiamento, o financiamento entre particulares, a notação de risco, a gestão dos sinistros e as operações de processamento administrativo. O setor dos seguros também sofreu transformações devido à utilização das TIC que vão desde a emergência de mediadores de seguros que oferecem os seus serviços em linha recorrendo a tecnosseguros, até à subscrição de seguros digitais. O setor financeiro tornou-se em grande medida digital e a digitalização também aprofundou a interligação e as dependências no interior do próprio setor financeiro e em relação a infraestruturas de terceiros e serviços prestados por terceiros. |
| --- | --- |

(2)

A utilização das TIC tem adquirido nas últimas décadas um papel fulcral na prestação de serviços financeiros, de tal forma que se reveste hoje de importância crítica no funcionamento das habituais funções quotidianas de todas as entidades financeiras. Atualmente, a digitalização abrange, por exemplo, os pagamentos, onde se observa uma transição crescente dos métodos com base em numerário e em papel para soluções digitais, bem como a compensação e liquidação de valores mobiliários, a negociação eletrónica e algorítmica, as operações de concessão de empréstimos e de financiamento, o financiamento entre particulares, a notação de risco, a gestão dos sinistros e as operações de processamento administrativo. O setor dos seguros também sofreu transformações devido à utilização das TIC que vão desde a emergência de mediadores de seguros que oferecem os seus serviços em linha recorrendo a tecnosseguros, até à subscrição de seguros digitais. O setor financeiro tornou-se em grande medida digital e a digitalização também aprofundou a interligação e as dependências no interior do próprio setor financeiro e em relação a infraestruturas de terceiros e serviços prestados por terceiros.

| (3) | O Comité Europeu do Risco Sistémico (CERS) reafirmou, num relatório de 2020 sobre o ciber-risco sistémico, que o elevado nível de interligação existente entre as entidades financeiras, os mercados financeiros e as infraestruturas do mercado financeiro, e, em especial, as interdependências dos seus sistemas de TIC, poderiam constituir uma vulnerabilidade sistémica, porque os ciberincidentes localizados poderiam rapidamente propagar-se a partir de qualquer uma das aproximadamente 22 mil entidades financeiras da União a todo o sistema financeiro, sem qualquer entrave geográfico. As violações graves no domínio das TIC que ocorrem no setor financeiro não afetam unicamente as entidades financeiras, de forma isolada. Abrem também caminho à propagação de vulnerabilidades localizadas nos canais de transmissão financeiros e podem desencadear consequências negativas para a estabilidade do sistema financeiro da União, gerando, nomeadamente, crises de liquidez e uma perda de confiança geral nos mercados financeiros. |
| --- | --- |

(3)

O Comité Europeu do Risco Sistémico (CERS) reafirmou, num relatório de 2020 sobre o ciber-risco sistémico, que o elevado nível de interligação existente entre as entidades financeiras, os mercados financeiros e as infraestruturas do mercado financeiro, e, em especial, as interdependências dos seus sistemas de TIC, poderiam constituir uma vulnerabilidade sistémica, porque os ciberincidentes localizados poderiam rapidamente propagar-se a partir de qualquer uma das aproximadamente 22 mil entidades financeiras da União a todo o sistema financeiro, sem qualquer entrave geográfico. As violações graves no domínio das TIC que ocorrem no setor financeiro não afetam unicamente as entidades financeiras, de forma isolada. Abrem também caminho à propagação de vulnerabilidades localizadas nos canais de transmissão financeiros e podem desencadear consequências negativas para a estabilidade do sistema financeiro da União, gerando, nomeadamente, crises de liquidez e uma perda de confiança geral nos mercados financeiros.

| (4) | Mais recentemente, o risco associado às TIC mereceu a atenção de decisores políticos, autoridades de regulamentação e organismos de normalização internacionais, da União e nacionais, numa tentativa de reforçar a resiliência digital, estabelecer normas e coordenar os esforços de regulamentação e supervisão. A nível internacional, o Comité de Basileia de Supervisão Bancária, o Comité de Pagamentos e Infraestruturas do Mercado, o Conselho de Estabilidade Financeira, o Instituto da Estabilidade Financeira, assim como o G7 e o G20, visam proporcionar às autoridades competentes e aos operadores de mercado em diversas jurisdições instrumentos para reforçar a resiliência dos seus sistemas financeiros. Estes trabalhos foram também impulsionados pela necessidade de ter devidamente em conta o risco associado às TIC no contexto de um sistema financeiro mundial altamente interligado, bem como de procurar assegurar uma maior coerência das boas práticas pertinentes. |
| --- | --- |

(4)

Mais recentemente, o risco associado às TIC mereceu a atenção de decisores políticos, autoridades de regulamentação e organismos de normalização internacionais, da União e nacionais, numa tentativa de reforçar a resiliência digital, estabelecer normas e coordenar os esforços de regulamentação e supervisão. A nível internacional, o Comité de Basileia de Supervisão Bancária, o Comité de Pagamentos e Infraestruturas do Mercado, o Conselho de Estabilidade Financeira, o Instituto da Estabilidade Financeira, assim como o G7 e o G20, visam proporcionar às autoridades competentes e aos operadores de mercado em diversas jurisdições instrumentos para reforçar a resiliência dos seus sistemas financeiros. Estes trabalhos foram também impulsionados pela necessidade de ter devidamente em conta o risco associado às TIC no contexto de um sistema financeiro mundial altamente interligado, bem como de procurar assegurar uma maior coerência das boas práticas pertinentes.

| (5) | Não obstante as políticas e iniciativas legislativas específicas da União e nacionais, o risco associado às TIC continua a constituir um desafio para a resiliência operacional, o desempenho e a estabilidade do sistema financeiro da União. As reformas que se seguiram à crise financeira de 2008 reforçaram sobretudo a resiliência financeira do setor financeiro da União e visavam salvaguardar a competitividade e estabilidade da União do ponto de vista económico, prudencial e de conduta no mercado. Embora a segurança e a resiliência digital no domínio das TIC façam parte do risco operacional, têm merecido menor atenção na agenda regulamentar no período pós-crise financeira, tendo sido desenvolvidas apenas em alguns domínios das políticas e do panorama regulamentar da União no domínio dos serviços financeiros ou apenas em alguns Estados-Membros. |
| --- | --- |

(5)

Não obstante as políticas e iniciativas legislativas específicas da União e nacionais, o risco associado às TIC continua a constituir um desafio para a resiliência operacional, o desempenho e a estabilidade do sistema financeiro da União. As reformas que se seguiram à crise financeira de 2008 reforçaram sobretudo a resiliência financeira do setor financeiro da União e visavam salvaguardar a competitividade e estabilidade da União do ponto de vista económico, prudencial e de conduta no mercado. Embora a segurança e a resiliência digital no domínio das TIC façam parte do risco operacional, têm merecido menor atenção na agenda regulamentar no período pós-crise financeira, tendo sido desenvolvidas apenas em alguns domínios das políticas e do panorama regulamentar da União no domínio dos serviços financeiros ou apenas em alguns Estados-Membros.

| (6) | Na sua comunicação de 8 de março de 2018 intitulada «Plano de Ação para a Tecnologia Financeira: rumo a um setor financeiro europeu mais competitivo e inovador», a Comissão destacou a extrema importância de tornar o setor financeiro da União mais resiliente, nomeadamente do ponto de vista operacional, para assegurar a sua segurança tecnológica e bom funcionamento e a sua rápida recuperação das violações e incidentes dos sistemas de TIC, permitindo, em última análise, uma prestação eficaz e harmoniosa de serviços financeiros em toda a União, inclusivamente em situações de tensão, preservando simultaneamente a confiança dos consumidores e do mercado. |
| --- | --- |

(6)

Na sua comunicação de 8 de março de 2018 intitulada «Plano de Ação para a Tecnologia Financeira: rumo a um setor financeiro europeu mais competitivo e inovador», a Comissão destacou a extrema importância de tornar o setor financeiro da União mais resiliente, nomeadamente do ponto de vista operacional, para assegurar a sua segurança tecnológica e bom funcionamento e a sua rápida recuperação das violações e incidentes dos sistemas de TIC, permitindo, em última análise, uma prestação eficaz e harmoniosa de serviços financeiros em toda a União, inclusivamente em situações de tensão, preservando simultaneamente a confiança dos consumidores e do mercado.

| (7) | Em abril de 2019, a Autoridade Europeia de Supervisão (Autoridade Bancária Europeia), (EBA), criada pelo Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho (4), a Autoridade Europeia de Supervisão (Autoridade Europeia dos Seguros e Pensões Complementares de Reforma) (EIOPA), criada pelo Regulamento (UE) n.o 1094/2010 do Parlamento Europeu e do Conselho (5), e a Autoridade Europeia de Supervisão (Autoridade Europeia dos Valores Mobiliários e dos Mercados) (ESMA), criada pelo Regulamento (UE) n.o 1095/2010 do Parlamento Europeu e do Conselho (6) (conhecidas coletivamente como «Autoridades Europeias de Supervisão» ou «AES») emitiram conjuntamente pareceres técnicos que instavam a uma abordagem coerente do risco associado às TIC no setor financeiro e recomendavam um reforço proporcionado da resiliência operacional digital do setor dos serviços financeiros por meio de uma iniciativa setorial da União. |
| --- | --- |

(7)

Em abril de 2019, a Autoridade Europeia de Supervisão (Autoridade Bancária Europeia), (EBA), criada pelo Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho (4), a Autoridade Europeia de Supervisão (Autoridade Europeia dos Seguros e Pensões Complementares de Reforma) (EIOPA), criada pelo Regulamento (UE) n.o 1094/2010 do Parlamento Europeu e do Conselho (5), e a Autoridade Europeia de Supervisão (Autoridade Europeia dos Valores Mobiliários e dos Mercados) (ESMA), criada pelo Regulamento (UE) n.o 1095/2010 do Parlamento Europeu e do Conselho (6) (conhecidas coletivamente como «Autoridades Europeias de Supervisão» ou «AES») emitiram conjuntamente pareceres técnicos que instavam a uma abordagem coerente do risco associado às TIC no setor financeiro e recomendavam um reforço proporcionado da resiliência operacional digital do setor dos serviços financeiros por meio de uma iniciativa setorial da União.

| (8) | O setor financeiro da União é regulamentado por um conjunto único de regras e governado pelo sistema europeu de supervisão financeira. Todavia, as disposições que abordam a resiliência operacional digital e a segurança no domínio das TIC ainda não foram plena e coerentemente harmonizadas, embora a resiliência operacional digital seja vital para assegurar a estabilidade financeira e a integridade do mercado na era digital e não menos importante do que, por exemplo, as normas prudenciais ou de conduta no mercado. Cumpre, pois, desenvolver o conjunto único de regras e o sistema de supervisão, com vista a abranger também a resiliência operacional digital, reforçando os mandatos das autoridades competentes para que possam supervisionar a gestão do risco associado às TIC no setor financeiro, a fim de proteger a integridade e a eficiência do mercado interno e facilitar o seu funcionamento ordenado. |
| --- | --- |

(8)

O setor financeiro da União é regulamentado por um conjunto único de regras e governado pelo sistema europeu de supervisão financeira. Todavia, as disposições que abordam a resiliência operacional digital e a segurança no domínio das TIC ainda não foram plena e coerentemente harmonizadas, embora a resiliência operacional digital seja vital para assegurar a estabilidade financeira e a integridade do mercado na era digital e não menos importante do que, por exemplo, as normas prudenciais ou de conduta no mercado. Cumpre, pois, desenvolver o conjunto único de regras e o sistema de supervisão, com vista a abranger também a resiliência operacional digital, reforçando os mandatos das autoridades competentes para que possam supervisionar a gestão do risco associado às TIC no setor financeiro, a fim de proteger a integridade e a eficiência do mercado interno e facilitar o seu funcionamento ordenado.

| (9) | As disparidades legislativas e as assimetrias das abordagens nacionais de regulamentação ou supervisão no que diz respeito ao risco associado às TIC dão origem a obstáculos ao funcionamento do mercado interno dos serviços financeiros, impedindo o exercício harmonioso da liberdade de estabelecimento e a prestação de serviços pelas entidades financeiras que operam a nível transfronteiriço. A concorrência entre os mesmos tipos de entidades financeiras com atividade em diversos Estados-Membros também poderia sofrer distorções. É o caso, em particular, dos domínios em que a harmonização da União tem sido muito limitada, como o da realização de testes de resiliência operacional digital, ou inexistente, como o da monitorização do risco associado às TIC devido a terceiros. As disparidades decorrentes dos desenvolvimentos projetados a nível nacional podem gerar mais obstáculos ao funcionamento do mercado interno, em detrimento dos intervenientes no mercado e da estabilidade financeira. |
| --- | --- |

(9)

As disparidades legislativas e as assimetrias das abordagens nacionais de regulamentação ou supervisão no que diz respeito ao risco associado às TIC dão origem a obstáculos ao funcionamento do mercado interno dos serviços financeiros, impedindo o exercício harmonioso da liberdade de estabelecimento e a prestação de serviços pelas entidades financeiras que operam a nível transfronteiriço. A concorrência entre os mesmos tipos de entidades financeiras com atividade em diversos Estados-Membros também poderia sofrer distorções. É o caso, em particular, dos domínios em que a harmonização da União tem sido muito limitada, como o da realização de testes de resiliência operacional digital, ou inexistente, como o da monitorização do risco associado às TIC devido a terceiros. As disparidades decorrentes dos desenvolvimentos projetados a nível nacional podem gerar mais obstáculos ao funcionamento do mercado interno, em detrimento dos intervenientes no mercado e da estabilidade financeira.

| (10) | Até à data, pelo facto de as disposições relacionadas com o risco associado às TIC apenas serem abordadas de modo parcial a nível da União, são patentes lacunas e sobreposições em domínios importantes, como a notificação de incidentes relacionados com as TIC e a realização de testes de resiliência operacional digital, bem como inconsistências decorrentes da emergência de regras nacionais divergentes ou da aplicação ineficaz em termos de custos de regras que se sobrepõem. Esta situação é especialmente prejudicial para os utilizadores intensivos das TIC, como o setor financeiro, uma vez que os riscos tecnológicos não conhecem fronteiras e o setor financeiro oferece os seus serviços a nível transfronteiriço, tanto dentro como fora da União. Atuando isoladamente as entidades financeiras com atividades transfronteiriças ou titulares de diversas autorizações (por exemplo, uma entidade financeira pode ser titular de uma licença bancária, como empresa de investimento e como instituição de pagamento, cada uma delas emitida por autoridades competentes diferentes num ou mais Estados-Membros) enfrentam desafios operacionais para fazer face ao risco associado às TIC e atenuar os impactos negativos dos incidentes relacionados com as TIC de uma forma eficaz em termos de custos |
| --- | --- |

(10)

Até à data, pelo facto de as disposições relacionadas com o risco associado às TIC apenas serem abordadas de modo parcial a nível da União, são patentes lacunas e sobreposições em domínios importantes, como a notificação de incidentes relacionados com as TIC e a realização de testes de resiliência operacional digital, bem como inconsistências decorrentes da emergência de regras nacionais divergentes ou da aplicação ineficaz em termos de custos de regras que se sobrepõem. Esta situação é especialmente prejudicial para os utilizadores intensivos das TIC, como o setor financeiro, uma vez que os riscos tecnológicos não conhecem fronteiras e o setor financeiro oferece os seus serviços a nível transfronteiriço, tanto dentro como fora da União. Atuando isoladamente as entidades financeiras com atividades transfronteiriças ou titulares de diversas autorizações (por exemplo, uma entidade financeira pode ser titular de uma licença bancária, como empresa de investimento e como instituição de pagamento, cada uma delas emitida por autoridades competentes diferentes num ou mais Estados-Membros) enfrentam desafios operacionais para fazer face ao risco associado às TIC e atenuar os impactos negativos dos incidentes relacionados com as TIC de uma forma eficaz em termos de custos

| (11) | Uma vez que o conjunto único de regras não foi acompanhado de um quadro abrangente para o risco operacional nem para as TIC, é necessária uma maior harmonização dos requisitos essenciais de resiliência operacional digital para todas as entidades financeiras. O desenvolvimento de capacidades e de resiliência geral no domínio das TIC pelas entidades financeiras, com base nos referidos requisitos essenciais, com vista a resistir às indisponibilidades operacionais, ajudaria a preservar a estabilidade e a integridade dos mercados financeiros da União, contribuindo assim para assegurar um elevado nível de proteção dos investidores e consumidores na União. Uma vez que o presente regulamento visa contribuir para o bom funcionamento do mercado interno, deverá ter por base as disposições do artigo 114.o do Tratado sobre o Funcionamento da União Europeia (TFUE), interpretado nos termos da jurisprudência constante do Tribunal de Justiça da União Europeia (Tribunal de Justiça). |
| --- | --- |

(11)

Uma vez que o conjunto único de regras não foi acompanhado de um quadro abrangente para o risco operacional nem para as TIC, é necessária uma maior harmonização dos requisitos essenciais de resiliência operacional digital para todas as entidades financeiras. O desenvolvimento de capacidades e de resiliência geral no domínio das TIC pelas entidades financeiras, com base nos referidos requisitos essenciais, com vista a resistir às indisponibilidades operacionais, ajudaria a preservar a estabilidade e a integridade dos mercados financeiros da União, contribuindo assim para assegurar um elevado nível de proteção dos investidores e consumidores na União. Uma vez que o presente regulamento visa contribuir para o bom funcionamento do mercado interno, deverá ter por base as disposições do artigo 114.o do Tratado sobre o Funcionamento da União Europeia (TFUE), interpretado nos termos da jurisprudência constante do Tribunal de Justiça da União Europeia (Tribunal de Justiça).

| (12) | O presente regulamento visa consolidar e atualizar os requisitos em matéria de risco associado às TIC no âmbito dos requisitos em matéria de risco operacional que, até ao momento, foram abordados separadamente em vários atos jurídicos da União. Apesar de os referidos atos abrangerem as principais categorias de riscos financeiros (ou seja, risco de crédito, risco de mercado, risco de crédito de contraparte, risco de liquidez e risco de conduta no mercado), quando foram adotados não deram uma resposta cabal a todas as componentes da resiliência operacional. As regras em matéria de risco operacional, à medida que foram sendo aprofundadas nos referidos atos jurídicos da União, deram muitas vezes preferência à tradicional abordagem quantitativa do risco (nomeadamente, o estabelecimento de um requisito de fundos próprios para cobrir o risco associado às TIC), em detrimento de regras qualitativas específicas destinadas a proteger, detetar, conter, recuperar e reparar as capacidades afetadas por incidentes relacionados com as TIC, ou a estabelecer capacidades em matéria de notificação e de testes digitais. Esses atos pretendiam, sobretudo, abranger e atualizar as regras essenciais em matéria de supervisão prudencial, integridade do mercado ou conduta. Ao consolidar e atualizar as diferentes regras em matéria de risco associado às TIC, todas as disposições que abordam o risco digital no setor financeiro deverão ser, pela primeira vez, coligidas de modo coerente num único ato legislativo. Por conseguinte, o presente regulamento colmata as lacunas ou resolve as incoerências em alguns dos anteriores atos jurídicos, nomeadamente em relação à terminologia utilizada, e faz explicitamente referência ao risco associado às TIC por meio de regras específicas relativas às capacidades de gestão desse risco, à notificação de incidentes, aos testes de resiliência operacional, bem como à monitorização do risco associado às TIC devido a terceiros. O presente regulamento deverá, portanto, sensibilizar para o risco associado às TIC e reconhecer que os incidentes relacionados com as TIC e a falta de resiliência operacional podem comprometer a solidez das entidades financeiras. |
| --- | --- |

(12)

O presente regulamento visa consolidar e atualizar os requisitos em matéria de risco associado às TIC no âmbito dos requisitos em matéria de risco operacional que, até ao momento, foram abordados separadamente em vários atos jurídicos da União. Apesar de os referidos atos abrangerem as principais categorias de riscos financeiros (ou seja, risco de crédito, risco de mercado, risco de crédito de contraparte, risco de liquidez e risco de conduta no mercado), quando foram adotados não deram uma resposta cabal a todas as componentes da resiliência operacional. As regras em matéria de risco operacional, à medida que foram sendo aprofundadas nos referidos atos jurídicos da União, deram muitas vezes preferência à tradicional abordagem quantitativa do risco (nomeadamente, o estabelecimento de um requisito de fundos próprios para cobrir o risco associado às TIC), em detrimento de regras qualitativas específicas destinadas a proteger, detetar, conter, recuperar e reparar as capacidades afetadas por incidentes relacionados com as TIC, ou a estabelecer capacidades em matéria de notificação e de testes digitais. Esses atos pretendiam, sobretudo, abranger e atualizar as regras essenciais em matéria de supervisão prudencial, integridade do mercado ou conduta. Ao consolidar e atualizar as diferentes regras em matéria de risco associado às TIC, todas as disposições que abordam o risco digital no setor financeiro deverão ser, pela primeira vez, coligidas de modo coerente num único ato legislativo. Por conseguinte, o presente regulamento colmata as lacunas ou resolve as incoerências em alguns dos anteriores atos jurídicos, nomeadamente em relação à terminologia utilizada, e faz explicitamente referência ao risco associado às TIC por meio de regras específicas relativas às capacidades de gestão desse risco, à notificação de incidentes, aos testes de resiliência operacional, bem como à monitorização do risco associado às TIC devido a terceiros. O presente regulamento deverá, portanto, sensibilizar para o risco associado às TIC e reconhecer que os incidentes relacionados com as TIC e a falta de resiliência operacional podem comprometer a solidez das entidades financeiras.

| (13) | As entidades financeiras deverão adotar a mesma abordagem e as mesmas regras baseadas em princípios ao abordarem o risco associado às TIC, tendo em conta a sua dimensão e o seu perfil de risco global, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações. A coerência contribuirá para reforçar a confiança no sistema financeiro e preservar a sua estabilidade, especialmente quando se verifica uma dependência elevada dos sistemas, plataformas e infraestruturas de TIC, o que implica um aumento do risco digital. A observância de regras básicas de cibersegurança deverá também evitar a imposição de pesados custos para a economia, minimizando o impacto e os custos das perturbações no domínio das TIC. |
| --- | --- |

(13)

As entidades financeiras deverão adotar a mesma abordagem e as mesmas regras baseadas em princípios ao abordarem o risco associado às TIC, tendo em conta a sua dimensão e o seu perfil de risco global, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações. A coerência contribuirá para reforçar a confiança no sistema financeiro e preservar a sua estabilidade, especialmente quando se verifica uma dependência elevada dos sistemas, plataformas e infraestruturas de TIC, o que implica um aumento do risco digital. A observância de regras básicas de cibersegurança deverá também evitar a imposição de pesados custos para a economia, minimizando o impacto e os custos das perturbações no domínio das TIC.

| (14) | Um regulamento ajuda a reduzir a complexidade regulamentar, fomenta a convergência da supervisão, aumenta a segurança jurídica e contribui também para limitar os custos de conformidade, em especial para entidades financeiras com atividade a nível transfronteiras, bem como para reduzir as distorções da concorrência. Por conseguinte, a escolha de um regulamento para o estabelecimento de um quadro comum para a resiliência operacional digital das entidades financeiras é a forma mais adequada de garantir uma aplicação homogénea e coerente de todas as componentes da gestão do risco associado às TIC pelo setor financeiro da União. |
| --- | --- |

(14)

Um regulamento ajuda a reduzir a complexidade regulamentar, fomenta a convergência da supervisão, aumenta a segurança jurídica e contribui também para limitar os custos de conformidade, em especial para entidades financeiras com atividade a nível transfronteiras, bem como para reduzir as distorções da concorrência. Por conseguinte, a escolha de um regulamento para o estabelecimento de um quadro comum para a resiliência operacional digital das entidades financeiras é a forma mais adequada de garantir uma aplicação homogénea e coerente de todas as componentes da gestão do risco associado às TIC pelo setor financeiro da União.

| (15) | A Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (7) foi o primeiro quadro horizontal para a cibersegurança adotado a nível da União, sendo aplicável também a três tipos de entidades financeiras, a saber, as instituições de crédito, as plataformas de negociação e as contrapartes centrais. No entanto, uma vez que a Diretiva (UE) 2016/1148 estabeleceu um mecanismo de identificação a nível nacional dos operadores de serviços essenciais, só determinadas instituições de crédito, plataformas de negociação e contrapartes centrais foram identificadas pelos Estados-Membros e passaram a ser abrangidas pelo seu âmbito de aplicação, na prática, sendo, por conseguinte, obrigadas a cumprir os requisitos de notificação de incidentes e de segurança no domínio das TIC estabelecidos na diretiva. A Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho (8) estabelece um critério uniforme para determinar as entidades abrangidas pelo seu âmbito de aplicação (regra do limite máximo de dimensão), mantendo simultaneamente os três tipos de entidades financeiras no seu âmbito de aplicação. |
| --- | --- |

(15)

A Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (7) foi o primeiro quadro horizontal para a cibersegurança adotado a nível da União, sendo aplicável também a três tipos de entidades financeiras, a saber, as instituições de crédito, as plataformas de negociação e as contrapartes centrais. No entanto, uma vez que a Diretiva (UE) 2016/1148 estabeleceu um mecanismo de identificação a nível nacional dos operadores de serviços essenciais, só determinadas instituições de crédito, plataformas de negociação e contrapartes centrais foram identificadas pelos Estados-Membros e passaram a ser abrangidas pelo seu âmbito de aplicação, na prática, sendo, por conseguinte, obrigadas a cumprir os requisitos de notificação de incidentes e de segurança no domínio das TIC estabelecidos na diretiva. A Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho (8) estabelece um critério uniforme para determinar as entidades abrangidas pelo seu âmbito de aplicação (regra do limite máximo de dimensão), mantendo simultaneamente os três tipos de entidades financeiras no seu âmbito de aplicação.

| (16) | No entanto, dado que o presente regulamento aumenta o nível de harmonização das diferentes componentes de resiliência digital, introduzindo requisitos de gestão do risco associado às TIC e de comunicação de incidentes relacionados com as TIC que são mais rigorosos em comparação com os estabelecidos no direito da União vigente em matéria de serviços financeiros da União, este nível mais elevado constitui também um reforço da harmonização em comparação com os requisitos estabelecidos na Diretiva (UE) 2022/2555 Por conseguinte, o presente regulamento constitui lex specialis relativamente à Diretiva (UE) 2022/2555 Ao mesmo tempo, é fundamental manter uma ligação forte entre o setor financeiro e o quadro horizontal de cibersegurança da União, tal como consta atualmente da Diretiva (UE) 2022/2555, a fim de assegurar a coerência com as estratégias de cibersegurança adotadas pelos Estados-Membros e de permitir que as autoridades de supervisão financeira tomem conhecimento dos ciberincidentes que afetem outros setores abrangidos por essa diretiva. |
| --- | --- |

(16)

No entanto, dado que o presente regulamento aumenta o nível de harmonização das diferentes componentes de resiliência digital, introduzindo requisitos de gestão do risco associado às TIC e de comunicação de incidentes relacionados com as TIC que são mais rigorosos em comparação com os estabelecidos no direito da União vigente em matéria de serviços financeiros da União, este nível mais elevado constitui também um reforço da harmonização em comparação com os requisitos estabelecidos na Diretiva (UE) 2022/2555 Por conseguinte, o presente regulamento constitui lex specialis relativamente à Diretiva (UE) 2022/2555 Ao mesmo tempo, é fundamental manter uma ligação forte entre o setor financeiro e o quadro horizontal de cibersegurança da União, tal como consta atualmente da Diretiva (UE) 2022/2555, a fim de assegurar a coerência com as estratégias de cibersegurança adotadas pelos Estados-Membros e de permitir que as autoridades de supervisão financeira tomem conhecimento dos ciberincidentes que afetem outros setores abrangidos por essa diretiva.

| (17) | Nos termos do artigo 4.o, n.o 2, do Tratado da União Europeia e sem prejuízo do controlo jurisdicional pelo Tribunal de Justiça, o presente regulamento não deverá afetar a responsabilidade dos Estados-Membros no que respeita às funções essenciais do Estado em matéria de segurança pública, defesa e salvaguarda da segurança nacional, por exemplo no que diz respeito ao fornecimento de informações que sejam contrárias à salvaguarda da segurança nacional. |
| --- | --- |

(17)

Nos termos do artigo 4.o, n.o 2, do Tratado da União Europeia e sem prejuízo do controlo jurisdicional pelo Tribunal de Justiça, o presente regulamento não deverá afetar a responsabilidade dos Estados-Membros no que respeita às funções essenciais do Estado em matéria de segurança pública, defesa e salvaguarda da segurança nacional, por exemplo no que diz respeito ao fornecimento de informações que sejam contrárias à salvaguarda da segurança nacional.

| (18) | A fim de possibilitar a aprendizagem intersetorial e retirar efetivamente ensinamentos de outros setores que enfrentam ciberameaças, as entidades financeiras referidas na Diretiva (UE) 2022/2555 deverão continuar a fazer parte do «ecossistema» dessa diretiva [por exemplo, o grupo de cooperação e as equipas de resposta a incidentes de segurança informática (CSIRT)]. As AES e as autoridades nacionais competentes deverão participar nos debates políticos estratégicos e nos trabalhos técnicos do grupo de cooperação ao abrigo dessa diretiva, e trocar informações e reforçar a cooperação com os pontos de contacto únicos designados ou criados nos termos dessa diretiva. As autoridades competentes ao abrigo do presente regulamento deverão igualmente consultar e cooperar com as CSIRT. As autoridades competentes deverão também poder solicitar aconselhamento técnico às autoridades competentes designadas ou criadas nos termos da Diretiva (UE) 2022/2555 e celebrar acordos de cooperação destinados a assegurar mecanismos de coordenação eficazes e de resposta rápida. |
| --- | --- |

(18)

A fim de possibilitar a aprendizagem intersetorial e retirar efetivamente ensinamentos de outros setores que enfrentam ciberameaças, as entidades financeiras referidas na Diretiva (UE) 2022/2555 deverão continuar a fazer parte do «ecossistema» dessa diretiva [por exemplo, o grupo de cooperação e as equipas de resposta a incidentes de segurança informática (CSIRT)]. As AES e as autoridades nacionais competentes deverão participar nos debates políticos estratégicos e nos trabalhos técnicos do grupo de cooperação ao abrigo dessa diretiva, e trocar informações e reforçar a cooperação com os pontos de contacto únicos designados ou criados nos termos dessa diretiva. As autoridades competentes ao abrigo do presente regulamento deverão igualmente consultar e cooperar com as CSIRT. As autoridades competentes deverão também poder solicitar aconselhamento técnico às autoridades competentes designadas ou criadas nos termos da Diretiva (UE) 2022/2555 e celebrar acordos de cooperação destinados a assegurar mecanismos de coordenação eficazes e de resposta rápida.

| (19) | Tendo em conta as fortes interligações entre a resiliência digital e a resiliência física das entidades financeiras, é necessário assegurar uma abordagem coerente da resiliência das entidades críticas no presente regulamento e na Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho (9). Uma vez que a resiliência física das entidades financeiras é abordada de forma abrangente no quadro das obrigações em matéria de gestão do risco associado às TIC e de notificação abrangidas pelo presente regulamento, as obrigações previstas nos capítulos III e IV da Diretiva (UE) 2022/2557 não deverão aplicar-se às entidades financeiras abrangidas pelo âmbito de aplicação dessa diretiva. |
| --- | --- |

(19)

Tendo em conta as fortes interligações entre a resiliência digital e a resiliência física das entidades financeiras, é necessário assegurar uma abordagem coerente da resiliência das entidades críticas no presente regulamento e na Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho (9). Uma vez que a resiliência física das entidades financeiras é abordada de forma abrangente no quadro das obrigações em matéria de gestão do risco associado às TIC e de notificação abrangidas pelo presente regulamento, as obrigações previstas nos capítulos III e IV da Diretiva (UE) 2022/2557 não deverão aplicar-se às entidades financeiras abrangidas pelo âmbito de aplicação dessa diretiva.

| (20) | Os prestadores de serviços de computação em nuvem são uma das categorias de infraestruturas digitais abrangidas pela Diretiva (UE) 2022/2555 O quadro de superintendência da União («quadro de superintendência») estabelecido pelo presente regulamento aplica-se a todos os terceiros prestadores de serviços de TIC críticos, incluindo os prestadores de serviços de computação em nuvem que prestam serviços de TIC a entidades financeiras, e deverá ser considerado complementar da supervisão nos termos da Diretiva (UE) 2022/2555 Além disso, o quadro de superintendência estabelecido no presente regulamento deverá abranger os prestadores de serviços de computação em nuvem na ausência de um quadro horizontal da União que estabeleça uma autoridade de supervisão digital. |
| --- | --- |

(20)

Os prestadores de serviços de computação em nuvem são uma das categorias de infraestruturas digitais abrangidas pela Diretiva (UE) 2022/2555 O quadro de superintendência da União («quadro de superintendência») estabelecido pelo presente regulamento aplica-se a todos os terceiros prestadores de serviços de TIC críticos, incluindo os prestadores de serviços de computação em nuvem que prestam serviços de TIC a entidades financeiras, e deverá ser considerado complementar da supervisão nos termos da Diretiva (UE) 2022/2555 Além disso, o quadro de superintendência estabelecido no presente regulamento deverá abranger os prestadores de serviços de computação em nuvem na ausência de um quadro horizontal da União que estabeleça uma autoridade de supervisão digital.

| (21) | Para que mantenham pleno controlo do risco associado às TIC, as entidades financeiras deverão dispor de capacidades abrangentes que possibilitem uma gestão robusta e eficaz do risco associado às TIC, bem como de mecanismos e políticas específicas para o tratamento de todos os incidentes relacionados com as TIC e para a notificação dos incidentes de caráter severo relacionados com as TIC. Do mesmo modo, as entidades financeiras deverão dispor de políticas para a realização de testes dos sistemas, controlos e processos de TIC, bem como para gerir o risco associado às TIC devido a terceiros. A base de referência para a resiliência operacional digital das entidades financeiras deverá ser elevada, permitindo simultaneamente uma aplicação proporcionada dos requisitos aplicáveis a certas entidades financeiras, nomeadamente as microempresas, bem como as entidades financeiras sujeitas a um quadro simplificado de gestão do risco associado às TIC. A fim de facilitar uma supervisão eficiente das instituições de realização de planos de pensões profissionais que seja proporcionada e dê resposta à necessidade de reduzir os encargos administrativos para as autoridades competentes, os mecanismos nacionais de supervisão pertinentes aplicáveis a essas entidades financeiras deverão ter em conta a sua dimensão e o seu perfil de risco global, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações, mesmo quando os limiares pertinentes estabelecidos no artigo 5.o da Diretiva (UE) 2016/2341 do Parlamento Europeu e do Conselho (10) sejam excedidos. Em especial, as atividades de supervisão deverão centrar-se principalmente na necessidade de fazer face a riscos graves relacionados com a gestão do risco associado às TIC por parte de determinada entidade.
  As autoridades competentes deverão igualmente manter uma abordagem vigilante mas proporcionada em relação à supervisão das instituições de realização de planos de pensões profissionais que, nos termos do artigo 31.o da Diretiva (UE) 2016/2341, subcontratam a prestadores de serviços uma parte significativa da sua atividade principal, como a gestão de ativos, os cálculos atuariais, a contabilidade e a gestão de dados. |
| --- | --- |

(21)

Para que mantenham pleno controlo do risco associado às TIC, as entidades financeiras deverão dispor de capacidades abrangentes que possibilitem uma gestão robusta e eficaz do risco associado às TIC, bem como de mecanismos e políticas específicas para o tratamento de todos os incidentes relacionados com as TIC e para a notificação dos incidentes de caráter severo relacionados com as TIC. Do mesmo modo, as entidades financeiras deverão dispor de políticas para a realização de testes dos sistemas, controlos e processos de TIC, bem como para gerir o risco associado às TIC devido a terceiros. A base de referência para a resiliência operacional digital das entidades financeiras deverá ser elevada, permitindo simultaneamente uma aplicação proporcionada dos requisitos aplicáveis a certas entidades financeiras, nomeadamente as microempresas, bem como as entidades financeiras sujeitas a um quadro simplificado de gestão do risco associado às TIC. A fim de facilitar uma supervisão eficiente das instituições de realização de planos de pensões profissionais que seja proporcionada e dê resposta à necessidade de reduzir os encargos administrativos para as autoridades competentes, os mecanismos nacionais de supervisão pertinentes aplicáveis a essas entidades financeiras deverão ter em conta a sua dimensão e o seu perfil de risco global, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações, mesmo quando os limiares pertinentes estabelecidos no artigo 5.o da Diretiva (UE) 2016/2341 do Parlamento Europeu e do Conselho (10) sejam excedidos. Em especial, as atividades de supervisão deverão centrar-se principalmente na necessidade de fazer face a riscos graves relacionados com a gestão do risco associado às TIC por parte de determinada entidade.

As autoridades competentes deverão igualmente manter uma abordagem vigilante mas proporcionada em relação à supervisão das instituições de realização de planos de pensões profissionais que, nos termos do artigo 31.o da Diretiva (UE) 2016/2341, subcontratam a prestadores de serviços uma parte significativa da sua atividade principal, como a gestão de ativos, os cálculos atuariais, a contabilidade e a gestão de dados.

| (22) | Os limiares e as taxonomias que regem a notificação de incidentes relacionados com as TIC variam significativamente a nível nacional. Embora seja possível chegar a consensos, por meio dos esforços pertinentes envidados pela Agência da União Europeia para a Cibersegurança (ENISA), criada pelo Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho (11) e pelo grupo de cooperação ao abrigo da Diretiva (UE) 2022/2555, ainda existem e podem surgir abordagens divergentes em matéria de fixação de limiares e utilização de taxonomias para as restantes entidades financeiras. Devido a essas divergências, há múltiplos requisitos que as entidades financeiras têm de cumprir, em especial se tiverem atividades em diversos Estados-Membros e integrarem um grupo financeiro. Além disso, tais divergências têm potencial para prejudicar a criação de outros mecanismos uniformes ou centralizados da União que acelerem o processo de notificação e apoiem uma partilha rápida e facilitada de informações entre as autoridades competentes, que é crucial para dar resposta ao risco associado às TIC em caso de ataques em grande escala com consequências potencialmente sistémicas. |
| --- | --- |

(22)

Os limiares e as taxonomias que regem a notificação de incidentes relacionados com as TIC variam significativamente a nível nacional. Embora seja possível chegar a consensos, por meio dos esforços pertinentes envidados pela Agência da União Europeia para a Cibersegurança (ENISA), criada pelo Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho (11) e pelo grupo de cooperação ao abrigo da Diretiva (UE) 2022/2555, ainda existem e podem surgir abordagens divergentes em matéria de fixação de limiares e utilização de taxonomias para as restantes entidades financeiras. Devido a essas divergências, há múltiplos requisitos que as entidades financeiras têm de cumprir, em especial se tiverem atividades em diversos Estados-Membros e integrarem um grupo financeiro. Além disso, tais divergências têm potencial para prejudicar a criação de outros mecanismos uniformes ou centralizados da União que acelerem o processo de notificação e apoiem uma partilha rápida e facilitada de informações entre as autoridades competentes, que é crucial para dar resposta ao risco associado às TIC em caso de ataques em grande escala com consequências potencialmente sistémicas.

| (23) | A fim de reduzir os encargos administrativos e a potencial duplicação das obrigações de notificação para certas entidades financeiras, o requisito relativo à notificação de incidentes nos termos da Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho (12) deverá deixar de ser aplicável aos prestadores de serviços de pagamento abrangidos pelo âmbito de aplicação do presente regulamento. Por conseguinte, as instituições de crédito, as instituições de moeda eletrónica, as instituições de pagamento e os prestadores de serviços de informação sobre contas a que se refere o artigo 33.o, n.o 1, dessa diretiva deverão, a partir da data de aplicação do presente regulamento, notificar, nos termos do presente regulamento, todos os incidentes operacionais ou de segurança relacionados com pagamentos que tenham sido previamente notificados nos termos da referida diretiva, independentemente de tais incidentes estarem relacionados com as TIC. |
| --- | --- |

(23)

A fim de reduzir os encargos administrativos e a potencial duplicação das obrigações de notificação para certas entidades financeiras, o requisito relativo à notificação de incidentes nos termos da Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho (12) deverá deixar de ser aplicável aos prestadores de serviços de pagamento abrangidos pelo âmbito de aplicação do presente regulamento. Por conseguinte, as instituições de crédito, as instituições de moeda eletrónica, as instituições de pagamento e os prestadores de serviços de informação sobre contas a que se refere o artigo 33.o, n.o 1, dessa diretiva deverão, a partir da data de aplicação do presente regulamento, notificar, nos termos do presente regulamento, todos os incidentes operacionais ou de segurança relacionados com pagamentos que tenham sido previamente notificados nos termos da referida diretiva, independentemente de tais incidentes estarem relacionados com as TIC.

| (24) | Para permitir que as autoridades competentes cumpram as funções de supervisão, obtendo uma visão completa da natureza, da frequência, da significância e do impacto dos incidentes relacionados com as TIC, e reforçar a partilha de informações entre as autoridades públicas pertinentes, nomeadamente as autoridades responsáveis pela aplicação da lei e as autoridades de resolução, o presente regulamento deverá estabelecer um regime sólido de notificação dos incidentes relacionados com as TIC, ao abrigo do qual os requisitos pertinentes abordem as atuais lacunas no direito dos serviços financeiros, e eliminem sobreposições e duplicações existentes para reduzir os custos. É essencial harmonizar o regime de notificação de incidentes relacionados com as TIC, exigindo a todas as entidades financeiras que os comuniquem às respetivas autoridades competentes através de um quadro único simplificado, conforme estabelecido no presente regulamento. Além disso, as AES deverão estar habilitadas a especificar elementos pertinentes para o quadro de notificação de incidentes relacionados com as TIC, tais como a taxonomia, os prazos, os conjuntos de dados, os modelos e os limiares aplicáveis. A fim de assegurar a plena coerência com a Diretiva (UE) 2022/2555, as entidades financeiras deverão estar autorizadas a notificar, a título voluntário, a autoridade competente pertinente da existência de ciberameaças significativas sempre que considerem as ameaças relevantes para o sistema financeiro, os utilizadores ou os clientes do serviço. |
| --- | --- |

(24)

Para permitir que as autoridades competentes cumpram as funções de supervisão, obtendo uma visão completa da natureza, da frequência, da significância e do impacto dos incidentes relacionados com as TIC, e reforçar a partilha de informações entre as autoridades públicas pertinentes, nomeadamente as autoridades responsáveis pela aplicação da lei e as autoridades de resolução, o presente regulamento deverá estabelecer um regime sólido de notificação dos incidentes relacionados com as TIC, ao abrigo do qual os requisitos pertinentes abordem as atuais lacunas no direito dos serviços financeiros, e eliminem sobreposições e duplicações existentes para reduzir os custos. É essencial harmonizar o regime de notificação de incidentes relacionados com as TIC, exigindo a todas as entidades financeiras que os comuniquem às respetivas autoridades competentes através de um quadro único simplificado, conforme estabelecido no presente regulamento. Além disso, as AES deverão estar habilitadas a especificar elementos pertinentes para o quadro de notificação de incidentes relacionados com as TIC, tais como a taxonomia, os prazos, os conjuntos de dados, os modelos e os limiares aplicáveis. A fim de assegurar a plena coerência com a Diretiva (UE) 2022/2555, as entidades financeiras deverão estar autorizadas a notificar, a título voluntário, a autoridade competente pertinente da existência de ciberameaças significativas sempre que considerem as ameaças relevantes para o sistema financeiro, os utilizadores ou os clientes do serviço.

| (25) | Foram desenvolvidos requisitos em matéria de testes de resiliência operacional digital em certos subsetores financeiros que estabelecem quadros que nem sempre estão totalmente alinhados. Esta situação conduz a uma potencial duplicação dos custos para as entidades financeiras transfronteiriças e torna complexo o reconhecimento mútuo dos resultados dos testes de resiliência operacional digital, o que, por sua vez, pode fragmentar o mercado interno. |
| --- | --- |

(25)

Foram desenvolvidos requisitos em matéria de testes de resiliência operacional digital em certos subsetores financeiros que estabelecem quadros que nem sempre estão totalmente alinhados. Esta situação conduz a uma potencial duplicação dos custos para as entidades financeiras transfronteiriças e torna complexo o reconhecimento mútuo dos resultados dos testes de resiliência operacional digital, o que, por sua vez, pode fragmentar o mercado interno.

| (26) | Além disso, nos casos em que não é obrigatório realizar testes às TIC, existem vulnerabilidades que continuam ocultas e que conduzem à exposição de uma entidade financeira ao risco associado às TIC e, em última análise, aumentam o risco para a estabilidade e a integridade do setor financeiro. Sem a intervenção da União, a realização de testes de resiliência operacional digital continuaria a ser incoerente e careceria de um sistema de reconhecimento mútuo dos resultados dos testes às TIC entre as diversas jurisdições. Além disso, e uma vez que será pouco provável que outros subsetores financeiros adotem regimes de realização de testes a uma escala significativa, não terão acesso aos potenciais benefícios de um quadro para a realização de testes, em termos de identificação de vulnerabilidades e risco associado às TIC, e avaliação das capacidades de defesa e de garantia de continuidade das atividades, que contribuem para aumentar a confiança dos clientes, fornecedores e parceiros comerciais. A fim de resolver essas sobreposições, divergências e lacunas, é necessário estabelecer regras relativas a um regime de realização de testes coordenados, facilitando assim o reconhecimento mútuo de testes avançados para as entidades financeiras que preencham os requisitos previstos no presente regulamento. |
| --- | --- |

(26)

Além disso, nos casos em que não é obrigatório realizar testes às TIC, existem vulnerabilidades que continuam ocultas e que conduzem à exposição de uma entidade financeira ao risco associado às TIC e, em última análise, aumentam o risco para a estabilidade e a integridade do setor financeiro. Sem a intervenção da União, a realização de testes de resiliência operacional digital continuaria a ser incoerente e careceria de um sistema de reconhecimento mútuo dos resultados dos testes às TIC entre as diversas jurisdições. Além disso, e uma vez que será pouco provável que outros subsetores financeiros adotem regimes de realização de testes a uma escala significativa, não terão acesso aos potenciais benefícios de um quadro para a realização de testes, em termos de identificação de vulnerabilidades e risco associado às TIC, e avaliação das capacidades de defesa e de garantia de continuidade das atividades, que contribuem para aumentar a confiança dos clientes, fornecedores e parceiros comerciais. A fim de resolver essas sobreposições, divergências e lacunas, é necessário estabelecer regras relativas a um regime de realização de testes coordenados, facilitando assim o reconhecimento mútuo de testes avançados para as entidades financeiras que preencham os requisitos previstos no presente regulamento.

| (27) | A dependência das entidades financeiras da utilização de serviços de TIC é em parte motivada pela sua necessidade de adaptação a uma economia digital emergente e competitiva a nível mundial, para reforçar a sua eficiência comercial e satisfazer a procura dos consumidores. A natureza e a dimensão desta dependência têm evoluído continuamente nos últimos anos e impulsionou uma redução dos custos de intermediação financeira, permitindo a expansão das empresas e economias de escala no desenvolvimento de atividades financeiras e oferecendo simultaneamente uma gama alargada de instrumentos de TIC para gerir processos internos complexos. |
| --- | --- |

(27)

A dependência das entidades financeiras da utilização de serviços de TIC é em parte motivada pela sua necessidade de adaptação a uma economia digital emergente e competitiva a nível mundial, para reforçar a sua eficiência comercial e satisfazer a procura dos consumidores. A natureza e a dimensão desta dependência têm evoluído continuamente nos últimos anos e impulsionou uma redução dos custos de intermediação financeira, permitindo a expansão das empresas e economias de escala no desenvolvimento de atividades financeiras e oferecendo simultaneamente uma gama alargada de instrumentos de TIC para gerir processos internos complexos.

| (28) | Os complexos acordos contratuais comprovam essa ampla utilização dos serviços de TIC, motivo pelo qual as entidades financeiras se confrontam muitas vezes com dificuldades em negociar cláusulas contratuais adaptadas às normas prudenciais ou a outros requisitos regulamentares a que estão sujeitas, ou em fazerem valer certos direitos específicos, como os direitos de acesso ou de auditoria, mesmo quando estes últimos estão consagrados nos seus acordos contratuais. Acresce que muitos desses acordos contratuais não preveem salvaguardas suficientes para a plena monitorização dos processos de subcontratação, privando assim a entidade financeira dos instrumentos necessários para avaliar os riscos associados. Além disso, uma vez que os terceiros prestadores de serviços de TIC prestam muitas vezes serviços normalizados a diferentes tipos de clientes, tais acordos contratuais nem sempre dão uma resposta cabal às necessidades individuais ou específicas dos intervenientes do setor financeiro. |
| --- | --- |

(28)

Os complexos acordos contratuais comprovam essa ampla utilização dos serviços de TIC, motivo pelo qual as entidades financeiras se confrontam muitas vezes com dificuldades em negociar cláusulas contratuais adaptadas às normas prudenciais ou a outros requisitos regulamentares a que estão sujeitas, ou em fazerem valer certos direitos específicos, como os direitos de acesso ou de auditoria, mesmo quando estes últimos estão consagrados nos seus acordos contratuais. Acresce que muitos desses acordos contratuais não preveem salvaguardas suficientes para a plena monitorização dos processos de subcontratação, privando assim a entidade financeira dos instrumentos necessários para avaliar os riscos associados. Além disso, uma vez que os terceiros prestadores de serviços de TIC prestam muitas vezes serviços normalizados a diferentes tipos de clientes, tais acordos contratuais nem sempre dão uma resposta cabal às necessidades individuais ou específicas dos intervenientes do setor financeiro.

| (29) | Embora o direito da União dos serviços financeiros contenha certas regras gerais em matéria de externalização, a monitorização da dimensão contratual não está plenamente ancorada no direito da União. Na ausência de normas claras e adaptadas da União aplicáveis aos acordos contratuais celebrados com terceiros prestadores de serviços de TIC, a fonte externa do risco associado às TIC não é abordada de forma exaustiva. Por conseguinte, é necessário estabelecer determinados princípios fundamentais para orientar a gestão realizada pelas entidades financeiras do risco associado às TIC devido a terceiros, princípios esses que assumem particular importância quando as entidades financeiras recorrem a terceiros prestadores de serviços de TIC para apoiar as suas funções críticas ou importantes. Esses princípios deverão ser acompanhados de um conjunto de direitos contratuais fundamentais relativos a diversos elementos da execução e rescisão de acordos contratuais, com vista a proporcionar determinadas salvaguardas mínimas a fim de reforçar a capacidade das entidades financeiras procederem a uma monitorização efetiva de todo o risco associado às TIC que possa surgir a nível dos terceiros prestadores de serviços. Esses princípios são complementares do direito setorial aplicável à externalização. |
| --- | --- |

(29)

Embora o direito da União dos serviços financeiros contenha certas regras gerais em matéria de externalização, a monitorização da dimensão contratual não está plenamente ancorada no direito da União. Na ausência de normas claras e adaptadas da União aplicáveis aos acordos contratuais celebrados com terceiros prestadores de serviços de TIC, a fonte externa do risco associado às TIC não é abordada de forma exaustiva. Por conseguinte, é necessário estabelecer determinados princípios fundamentais para orientar a gestão realizada pelas entidades financeiras do risco associado às TIC devido a terceiros, princípios esses que assumem particular importância quando as entidades financeiras recorrem a terceiros prestadores de serviços de TIC para apoiar as suas funções críticas ou importantes. Esses princípios deverão ser acompanhados de um conjunto de direitos contratuais fundamentais relativos a diversos elementos da execução e rescisão de acordos contratuais, com vista a proporcionar determinadas salvaguardas mínimas a fim de reforçar a capacidade das entidades financeiras procederem a uma monitorização efetiva de todo o risco associado às TIC que possa surgir a nível dos terceiros prestadores de serviços. Esses princípios são complementares do direito setorial aplicável à externalização.

| (30) | Verifica-se atualmente uma certa falta de homogeneidade e convergência no que se refere à monitorização do risco associado às TIC devido a terceiros e à dependência de terceiros no domínio das TIC. Não obstante os esforços no sentido de enquadrar a externalização, tais como as Orientações da EBA relativas à subcontratação, de 2019, e as Orientações da ESMA relativas à subcontratação externa a prestadores de serviços de computação em nuvem, de 2021, a questão mais vasta do combate ao risco sistémico que pode ser desencadeado pela exposição do setor financeiro a um conjunto limitado de terceiros prestadores de serviços de TIC críticos não é suficientemente abordada no direito da União. A insuficiência de regras a nível da União é agravada pela ausência de regras a nível nacional sobre instrumentos e mandatos que permitam às autoridades de supervisão financeira obter um bom conhecimento das dependências de terceiros no domínio das TIC e monitorizar de forma adequada os riscos decorrentes da concentração de dependências de terceiros no domínio das TIC. |
| --- | --- |

(30)

Verifica-se atualmente uma certa falta de homogeneidade e convergência no que se refere à monitorização do risco associado às TIC devido a terceiros e à dependência de terceiros no domínio das TIC. Não obstante os esforços no sentido de enquadrar a externalização, tais como as Orientações da EBA relativas à subcontratação, de 2019, e as Orientações da ESMA relativas à subcontratação externa a prestadores de serviços de computação em nuvem, de 2021, a questão mais vasta do combate ao risco sistémico que pode ser desencadeado pela exposição do setor financeiro a um conjunto limitado de terceiros prestadores de serviços de TIC críticos não é suficientemente abordada no direito da União. A insuficiência de regras a nível da União é agravada pela ausência de regras a nível nacional sobre instrumentos e mandatos que permitam às autoridades de supervisão financeira obter um bom conhecimento das dependências de terceiros no domínio das TIC e monitorizar de forma adequada os riscos decorrentes da concentração de dependências de terceiros no domínio das TIC.

| (31) | Tendo em conta o potencial risco sistémico que o aumento das práticas de externalização e a concentração ao nível das TIC implicam, e estando ciente de que os mecanismos nacionais são insuficientes para dotar as autoridades de supervisão financeira de instrumentos adequados para quantificar, qualificar e remediar as consequências do risco associado às TIC devido a terceiros prestadores de serviços de TIC críticos, há que estabelecer um quadro de superintendência adequado que permita a contínua monitorização das atividades de terceiros prestadores de serviços de TIC que sejam críticos para as entidades financeiras, assegurando simultaneamente a confidencialidade e a segurança dos clientes que não sejam entidades financeiras. Embora a prestação de serviços de TIC intragrupo implique riscos e benefícios específicos, não deverá ser automaticamente considerada menos arriscada do que a prestação de serviços de TIC por prestadores de serviços que não pertençam a um grupo financeiro, devendo, por conseguinte, estar sujeita ao mesmo quadro regulamentar. No entanto, quando os serviços de TIC são prestados no âmbito do mesmo grupo financeiro, as entidades financeiras podem ter um nível mais elevado de controlo sobre os prestadores intragrupo, o que deverá ser tido em conta na avaliação global dos riscos. |
| --- | --- |

(31)

Tendo em conta o potencial risco sistémico que o aumento das práticas de externalização e a concentração ao nível das TIC implicam, e estando ciente de que os mecanismos nacionais são insuficientes para dotar as autoridades de supervisão financeira de instrumentos adequados para quantificar, qualificar e remediar as consequências do risco associado às TIC devido a terceiros prestadores de serviços de TIC críticos, há que estabelecer um quadro de superintendência adequado que permita a contínua monitorização das atividades de terceiros prestadores de serviços de TIC que sejam críticos para as entidades financeiras, assegurando simultaneamente a confidencialidade e a segurança dos clientes que não sejam entidades financeiras. Embora a prestação de serviços de TIC intragrupo implique riscos e benefícios específicos, não deverá ser automaticamente considerada menos arriscada do que a prestação de serviços de TIC por prestadores de serviços que não pertençam a um grupo financeiro, devendo, por conseguinte, estar sujeita ao mesmo quadro regulamentar. No entanto, quando os serviços de TIC são prestados no âmbito do mesmo grupo financeiro, as entidades financeiras podem ter um nível mais elevado de controlo sobre os prestadores intragrupo, o que deverá ser tido em conta na avaliação global dos riscos.

| (32) | Dado que o risco associado às TIC é cada vez mais complexo e sofisticado, a adequação das medidas de deteção e prevenção do risco associado às TIC dependerá, em grande medida, da partilha regular de informações entre as entidades financeiras sobre as ameaças e vulnerabilidades. A partilha de informações contribui para aumentar a sensibilização para as ciberameaças. Por sua vez, tal reforça a capacidade das entidades financeiras para impedirem que as ciberameaças se transformem em incidentes reais relacionados com as TIC e permite que as entidades financeiras contenham de forma mais eficaz o impacto dos incidentes relacionados com as TIC e recuperem dos mesmos mais rapidamente. Na ausência de orientações a nível da União, diversos fatores, em especial a incerteza quanto à sua compatibilidade com as regras em matéria de proteção de dados, anti-trust e de responsabilidade, parecem ter inibido a referida partilha de informações. |
| --- | --- |

(32)

Dado que o risco associado às TIC é cada vez mais complexo e sofisticado, a adequação das medidas de deteção e prevenção do risco associado às TIC dependerá, em grande medida, da partilha regular de informações entre as entidades financeiras sobre as ameaças e vulnerabilidades. A partilha de informações contribui para aumentar a sensibilização para as ciberameaças. Por sua vez, tal reforça a capacidade das entidades financeiras para impedirem que as ciberameaças se transformem em incidentes reais relacionados com as TIC e permite que as entidades financeiras contenham de forma mais eficaz o impacto dos incidentes relacionados com as TIC e recuperem dos mesmos mais rapidamente. Na ausência de orientações a nível da União, diversos fatores, em especial a incerteza quanto à sua compatibilidade com as regras em matéria de proteção de dados, anti-trust e de responsabilidade, parecem ter inibido a referida partilha de informações.

| (33) | Além disso, as dúvidas quanto ao tipo de informações que podem ser partilhadas com outros intervenientes no mercado, ou com autoridades não supervisoras (como a ENISA, para um contributo analítico, ou a Europol, para fins de aplicação da lei) levaram a que informações úteis não fossem partilhadas. Por conseguinte, a dimensão e a qualidade da partilha de informações continuam a ser limitadas e fragmentadas, sendo os intercâmbios pertinentes realizados sobretudo a nível local (por meio de iniciativas nacionais) e não havendo acordos de partilha de informações a nível da União adaptados às necessidades de um sistema financeiro integrado. Por conseguinte, é importante reforçar esses canais de comunicação. |
| --- | --- |

(33)

Além disso, as dúvidas quanto ao tipo de informações que podem ser partilhadas com outros intervenientes no mercado, ou com autoridades não supervisoras (como a ENISA, para um contributo analítico, ou a Europol, para fins de aplicação da lei) levaram a que informações úteis não fossem partilhadas. Por conseguinte, a dimensão e a qualidade da partilha de informações continuam a ser limitadas e fragmentadas, sendo os intercâmbios pertinentes realizados sobretudo a nível local (por meio de iniciativas nacionais) e não havendo acordos de partilha de informações a nível da União adaptados às necessidades de um sistema financeiro integrado. Por conseguinte, é importante reforçar esses canais de comunicação.

| (34) | Importa incentivar as entidades financeiras a partilharem entre si informações específicas e sensíveis relativas a ciberameaças e a, coletivamente, tirarem partido dos seus conhecimentos e experiências práticas individuais a nível estratégico, tático e operacional, com vista a reforçarem as suas capacidades para, de forma adequada, avaliarem, monitorizarem, se defenderem e darem resposta às ciberameaças, participando em acordos de partilha de informações. Por conseguinte, é necessário possibilitar o surgimento a nível da União de mecanismos que prevejam acordos de partilha de informações a título voluntário, que, quando realizada em ambientes fiáveis, ajudaria o setor financeiro a prevenir e dar resposta coletivamente às ciberameaças, limitando rapidamente a propagação do risco associado às TIC e impedindo o possível contágio ao longo dos canais financeiros. Esses mecanismos deverão respeitar as regras aplicáveis em matéria de direito da concorrência da União previstas na Comunicação da Comissão, de 14 de janeiro de 2011, intitulada «Orientações sobre a aplicação do artigo 101.o do Tratado sobre o Funcionamento da União Europeia aos acordos de cooperação horizontal», bem como as regras da União em matéria de proteção dos dados, nomeadamente o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (13). Deverão funcionar com base em uma ou várias das bases jurídicas estabelecidas no artigo 6.o desse regulamento, nomeadamente no contexto do tratamento de dados pessoais necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, nos termos do artigo 6.o, n.o 1, alínea f), do referido regulamento, bem como no contexto do tratamento de dados pessoais necessário para o cumprimento de uma obrigação jurídica à qual o responsável pelo tratamento de dados está sujeito ou para o exercício de funções de interesse público ou da autoridade pública de que está investido o responsável pelo tratamento dos dados, conforme referido no artigo 6.o, n.o 1, alíneas c) e e), respetivamente, desse regulamento. |
| --- | --- |

(34)

Importa incentivar as entidades financeiras a partilharem entre si informações específicas e sensíveis relativas a ciberameaças e a, coletivamente, tirarem partido dos seus conhecimentos e experiências práticas individuais a nível estratégico, tático e operacional, com vista a reforçarem as suas capacidades para, de forma adequada, avaliarem, monitorizarem, se defenderem e darem resposta às ciberameaças, participando em acordos de partilha de informações. Por conseguinte, é necessário possibilitar o surgimento a nível da União de mecanismos que prevejam acordos de partilha de informações a título voluntário, que, quando realizada em ambientes fiáveis, ajudaria o setor financeiro a prevenir e dar resposta coletivamente às ciberameaças, limitando rapidamente a propagação do risco associado às TIC e impedindo o possível contágio ao longo dos canais financeiros. Esses mecanismos deverão respeitar as regras aplicáveis em matéria de direito da concorrência da União previstas na Comunicação da Comissão, de 14 de janeiro de 2011, intitulada «Orientações sobre a aplicação do artigo 101.o do Tratado sobre o Funcionamento da União Europeia aos acordos de cooperação horizontal», bem como as regras da União em matéria de proteção dos dados, nomeadamente o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (13). Deverão funcionar com base em uma ou várias das bases jurídicas estabelecidas no artigo 6.o desse regulamento, nomeadamente no contexto do tratamento de dados pessoais necessário para efeito dos interesses legítimos prosseguidos pelo responsável pelo tratamento ou por terceiros, nos termos do artigo 6.o, n.o 1, alínea f), do referido regulamento, bem como no contexto do tratamento de dados pessoais necessário para o cumprimento de uma obrigação jurídica à qual o responsável pelo tratamento de dados está sujeito ou para o exercício de funções de interesse público ou da autoridade pública de que está investido o responsável pelo tratamento dos dados, conforme referido no artigo 6.o, n.o 1, alíneas c) e e), respetivamente, desse regulamento.

| (35) | A fim de manter um elevado nível de resiliência operacional digital para todo o setor financeiro e, ao mesmo tempo, acompanhar a evolução tecnológica, o presente regulamento deverá abordar os riscos decorrentes de todos os tipos de serviços de TIC. Para o efeito, a definição de serviços de TIC no contexto do presente regulamento deverá ser entendida de forma ampla e abranger os serviços digitais e de dados prestados por meio de sistemas de TIC a um ou mais utilizadores internos ou externos de forma contínua. Essa definição deverá incluir, por exemplo, os chamados «serviços over the top» (de distribuição de conteúdos audiovisuais), que se inserem na categoria dos serviços de comunicações eletrónicas. Deverá excluir apenas a categoria limitada de serviços telefónicos analógicos tradicionais considerados serviços da rede telefónica pública comutada (RTPC), serviços da rede fixa, serviços telefónicos convencionais (POTS, do inglês Plain Old Telephone Service) ou serviços de comunicações por telefone fixo. |
| --- | --- |

(35)

A fim de manter um elevado nível de resiliência operacional digital para todo o setor financeiro e, ao mesmo tempo, acompanhar a evolução tecnológica, o presente regulamento deverá abordar os riscos decorrentes de todos os tipos de serviços de TIC. Para o efeito, a definição de serviços de TIC no contexto do presente regulamento deverá ser entendida de forma ampla e abranger os serviços digitais e de dados prestados por meio de sistemas de TIC a um ou mais utilizadores internos ou externos de forma contínua. Essa definição deverá incluir, por exemplo, os chamados «serviços over the top» (de distribuição de conteúdos audiovisuais), que se inserem na categoria dos serviços de comunicações eletrónicas. Deverá excluir apenas a categoria limitada de serviços telefónicos analógicos tradicionais considerados serviços da rede telefónica pública comutada (RTPC), serviços da rede fixa, serviços telefónicos convencionais (POTS, do inglês Plain Old Telephone Service) ou serviços de comunicações por telefone fixo.

| (36) | Não obstante a ampla cobertura pretendida com o presente regulamento, a aplicação das regras de resiliência operacional digital deverá ter em conta as diferenças significativas entre as entidades financeiras em termos da sua dimensão e do seu perfil de risco global. Como princípio geral, ao afetarem recursos e capacidades à aplicação do quadro de gestão do risco associado às TIC, as entidades financeiras deverão equacionar cuidadosamente as suas necessidades relacionadas com as TIC em função da sua dimensão e do seu perfil de risco global, bem como da natureza, escala e complexidade dos seus serviços, atividades e operações, enquanto as autoridades competentes deverão avaliar e rever de forma recorrente a abordagem seguida para tal afetação. |
| --- | --- |

(36)

Não obstante a ampla cobertura pretendida com o presente regulamento, a aplicação das regras de resiliência operacional digital deverá ter em conta as diferenças significativas entre as entidades financeiras em termos da sua dimensão e do seu perfil de risco global. Como princípio geral, ao afetarem recursos e capacidades à aplicação do quadro de gestão do risco associado às TIC, as entidades financeiras deverão equacionar cuidadosamente as suas necessidades relacionadas com as TIC em função da sua dimensão e do seu perfil de risco global, bem como da natureza, escala e complexidade dos seus serviços, atividades e operações, enquanto as autoridades competentes deverão avaliar e rever de forma recorrente a abordagem seguida para tal afetação.

| (37) | Os prestadores de serviços de informação sobre contas, referidos no artigo 33.o, n.o 1, da Diretiva (UE) 2015/2366, estão explicitamente incluídos no âmbito de aplicação do presente regulamento, tendo em conta a natureza específica das suas atividades e os riscos daí decorrentes. Além disso, as instituições de moeda eletrónica e as instituições de pagamento, isentas nos termos do artigo 9.o, n.o 1, da Diretiva 2009/110/CE do Parlamento Europeu e do Conselho (14) e do artigo 32.o, n.o 1, da Diretiva (UE) 2015/2366, estão incluídas no âmbito de aplicação do presente regulamento, mesmo que não lhes tenha sido concedida autorização, nos termos da Diretiva 2009/110/CE, para emitir moeda eletrónica, ou que não lhes tenha sido concedida autorização, nos termos da Diretiva (UE) 2015/2366, para prestar e executar serviços de pagamento. No entanto, as instituições de cheques postais referidas no artigo 2.o, n.o 5, ponto 3, da Diretiva 2013/36/UE do Parlamento Europeu e do Conselho (15) estão excluídas do âmbito de aplicação do presente regulamento. A autoridade competente para as instituições de pagamento isentas nos termos da Diretiva (UE) 2015/2366, as instituições de moeda eletrónica isentas nos termos da Diretiva 2009/110/CE e os prestadores de serviços de informação sobre contas referidos no artigo 33.o, n.o 1, da Diretiva (UE) 2015/2366, deverá ser a autoridade competente designada nos termos do artigo 22.o da Diretiva (UE) 2015/2366. |
| --- | --- |

(37)

Os prestadores de serviços de informação sobre contas, referidos no artigo 33.o, n.o 1, da Diretiva (UE) 2015/2366, estão explicitamente incluídos no âmbito de aplicação do presente regulamento, tendo em conta a natureza específica das suas atividades e os riscos daí decorrentes. Além disso, as instituições de moeda eletrónica e as instituições de pagamento, isentas nos termos do artigo 9.o, n.o 1, da Diretiva 2009/110/CE do Parlamento Europeu e do Conselho (14) e do artigo 32.o, n.o 1, da Diretiva (UE) 2015/2366, estão incluídas no âmbito de aplicação do presente regulamento, mesmo que não lhes tenha sido concedida autorização, nos termos da Diretiva 2009/110/CE, para emitir moeda eletrónica, ou que não lhes tenha sido concedida autorização, nos termos da Diretiva (UE) 2015/2366, para prestar e executar serviços de pagamento. No entanto, as instituições de cheques postais referidas no artigo 2.o, n.o 5, ponto 3, da Diretiva 2013/36/UE do Parlamento Europeu e do Conselho (15) estão excluídas do âmbito de aplicação do presente regulamento. A autoridade competente para as instituições de pagamento isentas nos termos da Diretiva (UE) 2015/2366, as instituições de moeda eletrónica isentas nos termos da Diretiva 2009/110/CE e os prestadores de serviços de informação sobre contas referidos no artigo 33.o, n.o 1, da Diretiva (UE) 2015/2366, deverá ser a autoridade competente designada nos termos do artigo 22.o da Diretiva (UE) 2015/2366.

| (38) | Uma vez que as entidades financeiras de maior dimensão dispõem de mais recursos e conseguem mais rapidamente mobilizar fundos para desenvolver as estruturas de governação e estabelecer diversas estratégias empresariais, o estabelecimento de estruturas de governação mais complexas só deve ser imposto às entidades financeiras que não sejam microempresas na aceção do presente regulamento. Essas entidades estão mais bem equipadas, nomeadamente para criarem funções específicas de gestão destinadas a supervisionar os acordos celebrados com terceiros prestadores de serviços de TIC ou gerir as crises, para organizarem a sua gestão do risco associado às TIC de acordo com o modelo das três linhas de defesa, ou para criarem um modelo interno de controlo e gestão dos riscos e submeterem o seu quadro de gestão do risco associado às TIC a auditorias internas. |
| --- | --- |

(38)

Uma vez que as entidades financeiras de maior dimensão dispõem de mais recursos e conseguem mais rapidamente mobilizar fundos para desenvolver as estruturas de governação e estabelecer diversas estratégias empresariais, o estabelecimento de estruturas de governação mais complexas só deve ser imposto às entidades financeiras que não sejam microempresas na aceção do presente regulamento. Essas entidades estão mais bem equipadas, nomeadamente para criarem funções específicas de gestão destinadas a supervisionar os acordos celebrados com terceiros prestadores de serviços de TIC ou gerir as crises, para organizarem a sua gestão do risco associado às TIC de acordo com o modelo das três linhas de defesa, ou para criarem um modelo interno de controlo e gestão dos riscos e submeterem o seu quadro de gestão do risco associado às TIC a auditorias internas.

| (39) | Algumas entidades financeiras beneficiam de isenções ou estão sujeitas a um quadro regulamentar muito leve ao abrigo do direito setorial da União pertinente. Entre essas entidades financeiras contam-se os gestores de fundos de investimento alternativos a que se refere o artigo 3.o, n.o 2, da Diretiva 2011/61/UE do Parlamento Europeu e do Conselho (16), as empresas de seguros e de resseguros a que se refere o artigo 4.o da Diretiva 2009/138/CE do Parlamento Europeu e do Conselho (17), e as instituições de realização de planos de pensões profissionais que gerem planos de pensões que, no seu conjunto, não têm mais de 15 membros no total. À luz das referidas isenções, não seria proporcionado incluir estas entidades financeiras no âmbito de aplicação do presente regulamento. Além disso, o presente regulamento reconhece as especificidades da estrutura do mercado de mediação de seguros, pelo que os mediadores de seguros, os mediadores de resseguros e os mediadores de seguros a título acessório considerados microempresas ou pequenas ou médias empresas não deverão ser abrangidos pelo presente regulamento. |
| --- | --- |

(39)

Algumas entidades financeiras beneficiam de isenções ou estão sujeitas a um quadro regulamentar muito leve ao abrigo do direito setorial da União pertinente. Entre essas entidades financeiras contam-se os gestores de fundos de investimento alternativos a que se refere o artigo 3.o, n.o 2, da Diretiva 2011/61/UE do Parlamento Europeu e do Conselho (16), as empresas de seguros e de resseguros a que se refere o artigo 4.o da Diretiva 2009/138/CE do Parlamento Europeu e do Conselho (17), e as instituições de realização de planos de pensões profissionais que gerem planos de pensões que, no seu conjunto, não têm mais de 15 membros no total. À luz das referidas isenções, não seria proporcionado incluir estas entidades financeiras no âmbito de aplicação do presente regulamento. Além disso, o presente regulamento reconhece as especificidades da estrutura do mercado de mediação de seguros, pelo que os mediadores de seguros, os mediadores de resseguros e os mediadores de seguros a título acessório considerados microempresas ou pequenas ou médias empresas não deverão ser abrangidos pelo presente regulamento.

| (40) | Uma vez que as entidades a que se refere o artigo 2.o, n.o 5, pontos 4 a 23, da Diretiva 2013/36/UE estão excluídas do âmbito de aplicação dessa diretiva, os Estados-Membros deverão, por conseguinte, poder optar por excluir da aplicação do presente regulamento essas entidades que se situem nos respetivos territórios. |
| --- | --- |

(40)

Uma vez que as entidades a que se refere o artigo 2.o, n.o 5, pontos 4 a 23, da Diretiva 2013/36/UE estão excluídas do âmbito de aplicação dessa diretiva, os Estados-Membros deverão, por conseguinte, poder optar por excluir da aplicação do presente regulamento essas entidades que se situem nos respetivos territórios.

| (41) | Do mesmo modo, a fim de alinhar o presente regulamento com o âmbito de aplicação da Diretiva 2014/65/UE do Parlamento Europeu e do Conselho (18), é igualmente oportuno excluir do âmbito de aplicação do presente regulamento as pessoas singulares e coletivas a que se referem os artigos 2.o e 3.o dessa diretiva e que estão autorizadas a prestar serviços de investimento sem terem de obter autorização ao abrigo da Diretiva 2014/65/UE. No entanto, o artigo 2.o da Diretiva 2014/65/UE também exclui do âmbito de aplicação dessa diretiva as entidades consideradas entidades financeiras para efeitos do presente regulamento, como as centrais de valores mobiliários, os organismos de investimento coletivo ou as empresas de seguros e de resseguros. A exclusão do âmbito de aplicação do presente regulamento das pessoas e entidades a que se referem os artigos 2.o e 3.o da referida diretiva não deverá abranger essas centrais de depósito de valores mobiliários, organismos de investimento coletivo ou empresas de seguros e de resseguros. |
| --- | --- |

(41)

Do mesmo modo, a fim de alinhar o presente regulamento com o âmbito de aplicação da Diretiva 2014/65/UE do Parlamento Europeu e do Conselho (18), é igualmente oportuno excluir do âmbito de aplicação do presente regulamento as pessoas singulares e coletivas a que se referem os artigos 2.o e 3.o dessa diretiva e que estão autorizadas a prestar serviços de investimento sem terem de obter autorização ao abrigo da Diretiva 2014/65/UE. No entanto, o artigo 2.o da Diretiva 2014/65/UE também exclui do âmbito de aplicação dessa diretiva as entidades consideradas entidades financeiras para efeitos do presente regulamento, como as centrais de valores mobiliários, os organismos de investimento coletivo ou as empresas de seguros e de resseguros. A exclusão do âmbito de aplicação do presente regulamento das pessoas e entidades a que se referem os artigos 2.o e 3.o da referida diretiva não deverá abranger essas centrais de depósito de valores mobiliários, organismos de investimento coletivo ou empresas de seguros e de resseguros.

| (42) | Ao abrigo do direito setorial da União, algumas entidades financeiras estão sujeitas a requisitos ou isenções mais leves devido à sua dimensão ou aos serviços que prestam. Essa categoria de entidades financeiras inclui empresas de investimento de pequena dimensão e não interligadas, pequenas instituições de realização de planos de pensões profissionais, que podem ser excluídas do âmbito de aplicação da Diretiva (UE) 2016/2341 pelo Estado-Membro em causa, nas condições estabelecidas no artigo 5.o dessa diretiva, e que gerem planos de pensões que, no seu conjunto, não têm mais de 100 membros no total, bem como as instituições isentas nos termos da Diretiva 2013/36/UE. Por conseguinte, em consonância com o princípio da proporcionalidade e a fim de preservar o espírito do direito setorial da União, é igualmente adequado que, ao abrigo do presente regulamento, essas entidades financeiras sejam abrangidas por um quadro simplificado de gestão do risco associado às TIC. O caráter proporcionado do quadro de gestão do risco associado às TIC que abrange essas entidades financeiras não deverá ser alterado pelas normas técnicas de regulamentação que devem ser desenvolvidas pelas AES. Além disso, de acordo com o princípio da proporcionalidade, é adequado que as instituições de pagamento a que se refere o artigo 32.o, n.o 1, da Diretiva (UE) 2015/2366 e as instituições de moeda eletrónica a que se refere o artigo 9.o da Diretiva 2009/110/CE, isentas nos termos do direito nacional que transpõe esses atos jurídicos da União, também sejam abrangidas por um quadro simplificado de gestão do risco associado às TIC ao abrigo do presente regulamento, ao passo que as instituições de pagamento e as instituições de moeda eletrónica que não estejam isentas nos termos do respetivo direito nacional que transpõe o direito setorial da União deverão cumprir o quadro geral estabelecido no presente regulamento. |
| --- | --- |

(42)

Ao abrigo do direito setorial da União, algumas entidades financeiras estão sujeitas a requisitos ou isenções mais leves devido à sua dimensão ou aos serviços que prestam. Essa categoria de entidades financeiras inclui empresas de investimento de pequena dimensão e não interligadas, pequenas instituições de realização de planos de pensões profissionais, que podem ser excluídas do âmbito de aplicação da Diretiva (UE) 2016/2341 pelo Estado-Membro em causa, nas condições estabelecidas no artigo 5.o dessa diretiva, e que gerem planos de pensões que, no seu conjunto, não têm mais de 100 membros no total, bem como as instituições isentas nos termos da Diretiva 2013/36/UE. Por conseguinte, em consonância com o princípio da proporcionalidade e a fim de preservar o espírito do direito setorial da União, é igualmente adequado que, ao abrigo do presente regulamento, essas entidades financeiras sejam abrangidas por um quadro simplificado de gestão do risco associado às TIC. O caráter proporcionado do quadro de gestão do risco associado às TIC que abrange essas entidades financeiras não deverá ser alterado pelas normas técnicas de regulamentação que devem ser desenvolvidas pelas AES. Além disso, de acordo com o princípio da proporcionalidade, é adequado que as instituições de pagamento a que se refere o artigo 32.o, n.o 1, da Diretiva (UE) 2015/2366 e as instituições de moeda eletrónica a que se refere o artigo 9.o da Diretiva 2009/110/CE, isentas nos termos do direito nacional que transpõe esses atos jurídicos da União, também sejam abrangidas por um quadro simplificado de gestão do risco associado às TIC ao abrigo do presente regulamento, ao passo que as instituições de pagamento e as instituições de moeda eletrónica que não estejam isentas nos termos do respetivo direito nacional que transpõe o direito setorial da União deverão cumprir o quadro geral estabelecido no presente regulamento.

| (43) | Do mesmo modo, as entidades financeiras consideradas microempresas ou abrangidas pelo quadro simplificado de gestão do risco associado às TIC ao abrigo do presente regulamento não deverão ser obrigadas a criar um cargo para monitorizar os acordos celebrados com terceiros prestadores de serviços de TIC relativos à utilização de serviços de TIC; nem a designar um membro da direção de topo responsável pela superintendência da exposição ao risco conexa e pela documentação pertinente; a atribuir a responsabilidade pela gestão e superintendência do risco associado às TIC a uma função de controlo e assegurar um nível adequado de independência e objetividade dessa função de controlo, a fim de evitar conflitos de interesses; a documentar e rever, pelo menos uma vez por ano, o quadro de gestão do risco associado às TIC; a submeter periodicamente a auditoria interna o quadro de gestão do risco associado às TIC; a realizar avaliações em profundidade após a introdução de alterações importantes nas suas infraestruturas e processos do sistema de rede e informação; a realizar análises do risco periódicas de sistemas de TIC legados; a submeter a execução dos planos de resposta e recuperação em matéria de TIC a auditorias internas independentes; a dispor de uma função de gestão de crises, a alargar a realização de testes dos planos de continuidade das atividades e de resposta e recuperação para abranger cenários de comutação entre a sua infraestrutura primária de TIC e instalações redundantes; a comunicar às autoridades competentes, a pedido destas, uma estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC; a manter capacidades de TIC redundantes, a comunicar às autoridades nacionais competentes as alterações introduzidas na sequência de avaliações de incidentes relacionados com as TIC; a monitorizar continuamente a evolução tecnológica pertinente, a estabelecer um programa abrangente de realização de testes de resiliência operacional digital para efeitos do quadro de gestão do risco associado às TIC previsto no presente regulamento, ou a adotar e rever periodicamente uma estratégia para o risco associado às TIC devido a terceiros. Além disso, as microempresas deverão ser obrigadas a avaliar a necessidade de manter essas capacidades de TIC redundantes apenas com base no seu perfil de risco. As microempresas deverão beneficiar de um regime mais flexível no que diz respeito aos programas de realização de testes de resiliência operacional digital. Ao considerar o tipo e a frequência dos testes, deverão equacionar, de forma adequada, o objetivo de manter uma elevada resiliência operacional digital com os recursos disponíveis e com o seu perfil de risco global. As microempresas e as entidades financeiras abrangidas pelo quadro simplificado de gestão do risco associado às TIC ao abrigo do presente regulamento deverão estar isentas da obrigação de realizar testes avançados às ferramentas, aos sistemas e aos processos relacionados com as TIC mediante testes de penetração baseados em ameaças (TLPT, do inglês threat-led penetration testing), uma vez que apenas as entidades financeiras que preencham os critérios previstos no presente regulamento deverão ser obrigadas a realizar esses testes. Atendendo às suas capacidades limitadas, as microempresas deverão poder acordar com os terceiros prestadores de serviços de TIC críticos a delegação dos direitos de acesso, inspeção e auditoria da entidade financeira a uma entidade terceira independente, a nomear pelo terceiro prestador de serviços de TIC, desde que a entidade financeira possa solicitar, a qualquer momento, todas as informações e garantias pertinentes sobre o desempenho do terceiro prestador de serviços de TIC à respetiva entidade terceira independente. |
| --- | --- |

(43)

Do mesmo modo, as entidades financeiras consideradas microempresas ou abrangidas pelo quadro simplificado de gestão do risco associado às TIC ao abrigo do presente regulamento não deverão ser obrigadas a criar um cargo para monitorizar os acordos celebrados com terceiros prestadores de serviços de TIC relativos à utilização de serviços de TIC; nem a designar um membro da direção de topo responsável pela superintendência da exposição ao risco conexa e pela documentação pertinente; a atribuir a responsabilidade pela gestão e superintendência do risco associado às TIC a uma função de controlo e assegurar um nível adequado de independência e objetividade dessa função de controlo, a fim de evitar conflitos de interesses; a documentar e rever, pelo menos uma vez por ano, o quadro de gestão do risco associado às TIC; a submeter periodicamente a auditoria interna o quadro de gestão do risco associado às TIC; a realizar avaliações em profundidade após a introdução de alterações importantes nas suas infraestruturas e processos do sistema de rede e informação; a realizar análises do risco periódicas de sistemas de TIC legados; a submeter a execução dos planos de resposta e recuperação em matéria de TIC a auditorias internas independentes; a dispor de uma função de gestão de crises, a alargar a realização de testes dos planos de continuidade das atividades e de resposta e recuperação para abranger cenários de comutação entre a sua infraestrutura primária de TIC e instalações redundantes; a comunicar às autoridades competentes, a pedido destas, uma estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC; a manter capacidades de TIC redundantes, a comunicar às autoridades nacionais competentes as alterações introduzidas na sequência de avaliações de incidentes relacionados com as TIC; a monitorizar continuamente a evolução tecnológica pertinente, a estabelecer um programa abrangente de realização de testes de resiliência operacional digital para efeitos do quadro de gestão do risco associado às TIC previsto no presente regulamento, ou a adotar e rever periodicamente uma estratégia para o risco associado às TIC devido a terceiros. Além disso, as microempresas deverão ser obrigadas a avaliar a necessidade de manter essas capacidades de TIC redundantes apenas com base no seu perfil de risco. As microempresas deverão beneficiar de um regime mais flexível no que diz respeito aos programas de realização de testes de resiliência operacional digital. Ao considerar o tipo e a frequência dos testes, deverão equacionar, de forma adequada, o objetivo de manter uma elevada resiliência operacional digital com os recursos disponíveis e com o seu perfil de risco global. As microempresas e as entidades financeiras abrangidas pelo quadro simplificado de gestão do risco associado às TIC ao abrigo do presente regulamento deverão estar isentas da obrigação de realizar testes avançados às ferramentas, aos sistemas e aos processos relacionados com as TIC mediante testes de penetração baseados em ameaças (TLPT, do inglês threat-led penetration testing), uma vez que apenas as entidades financeiras que preencham os critérios previstos no presente regulamento deverão ser obrigadas a realizar esses testes. Atendendo às suas capacidades limitadas, as microempresas deverão poder acordar com os terceiros prestadores de serviços de TIC críticos a delegação dos direitos de acesso, inspeção e auditoria da entidade financeira a uma entidade terceira independente, a nomear pelo terceiro prestador de serviços de TIC, desde que a entidade financeira possa solicitar, a qualquer momento, todas as informações e garantias pertinentes sobre o desempenho do terceiro prestador de serviços de TIC à respetiva entidade terceira independente.

| (44) | Uma vez que apenas as entidades financeiras consideradas para efeitos da realização de testes avançados de resiliência digital deverão ser obrigadas a realizar testes de penetração baseados em ameaças, os processos administrativos e os custos financeiros que a realização de tais testes implicam deverão recair sobre uma pequena percentagem das entidades financeiras. |
| --- | --- |

(44)

Uma vez que apenas as entidades financeiras consideradas para efeitos da realização de testes avançados de resiliência digital deverão ser obrigadas a realizar testes de penetração baseados em ameaças, os processos administrativos e os custos financeiros que a realização de tais testes implicam deverão recair sobre uma pequena percentagem das entidades financeiras.

| (45) | A fim de assegurar a plena conformidade e a coerência global entre, por um lado, as estratégias de atividade das entidades financeiras e, por outro, a gestão do risco associado às TIC, os órgãos de administração das entidades financeiras deverão estar obrigados a manter um papel fulcral e ativo na orientação e adaptação do quadro de gestão do risco associado às TIC e da estratégia global de resiliência digital operacional. A abordagem a adotar pelos órgãos de administração deverá centrar-se não só nos meios destinados a assegurar a resiliência dos sistemas de TIC como também abranger as pessoas e os processos por meio de um conjunto de políticas que promovam, em cada nível da empresa e junto de todos os funcionários, uma boa sensibilização para os ciber-riscos e o compromisso de respeitar regras básicas de cibersegurança rigorosas a todos os níveis. A responsabilidade última do órgão de administração pela gestão do risco associado às TIC de uma entidade financeira deverá constituir um princípio global dessa abordagem abrangente, que se deverá também traduzir no empenhamento contínuo do órgão de administração no controlo da monitorização da gestão do risco associado às TIC. |
| --- | --- |

(45)

A fim de assegurar a plena conformidade e a coerência global entre, por um lado, as estratégias de atividade das entidades financeiras e, por outro, a gestão do risco associado às TIC, os órgãos de administração das entidades financeiras deverão estar obrigados a manter um papel fulcral e ativo na orientação e adaptação do quadro de gestão do risco associado às TIC e da estratégia global de resiliência digital operacional. A abordagem a adotar pelos órgãos de administração deverá centrar-se não só nos meios destinados a assegurar a resiliência dos sistemas de TIC como também abranger as pessoas e os processos por meio de um conjunto de políticas que promovam, em cada nível da empresa e junto de todos os funcionários, uma boa sensibilização para os ciber-riscos e o compromisso de respeitar regras básicas de cibersegurança rigorosas a todos os níveis. A responsabilidade última do órgão de administração pela gestão do risco associado às TIC de uma entidade financeira deverá constituir um princípio global dessa abordagem abrangente, que se deverá também traduzir no empenhamento contínuo do órgão de administração no controlo da monitorização da gestão do risco associado às TIC.

| (46) | Além disso, o princípio da responsabilidade total e última do órgão de administração pela gestão do risco associado às TIC da entidade financeira está estreitamente ligado à necessidade de garantir um nível de investimento relacionado com as TIC e um orçamento global da entidade financeira que lhe permita alcançar um nível elevado de resiliência operacional digital. |
| --- | --- |

(46)

Além disso, o princípio da responsabilidade total e última do órgão de administração pela gestão do risco associado às TIC da entidade financeira está estreitamente ligado à necessidade de garantir um nível de investimento relacionado com as TIC e um orçamento global da entidade financeira que lhe permita alcançar um nível elevado de resiliência operacional digital.

| (47) | Inspirando-se nas boas práticas, orientações, recomendações e abordagens pertinentes a nível internacional, nacional e setorial em matéria de gestão dos ciber-riscos, o presente regulamento promove um conjunto de princípios que facilitam a estruturação geral da gestão do risco associado às TIC. Por conseguinte, as entidades financeiras deverão ter liberdade para utilizar modelos de gestão do risco associado às TIC enquadrados ou categorizados de diferentes formas, desde que as principais capacidades criadas pelas entidades financeiras respondam às diferentes funções de gestão do risco associado às TIC (identificação, proteção e prevenção, deteção, resposta e recuperação, aprendizagem e evolução e notificação) estabelecidas no presente regulamento. |
| --- | --- |

(47)

Inspirando-se nas boas práticas, orientações, recomendações e abordagens pertinentes a nível internacional, nacional e setorial em matéria de gestão dos ciber-riscos, o presente regulamento promove um conjunto de princípios que facilitam a estruturação geral da gestão do risco associado às TIC. Por conseguinte, as entidades financeiras deverão ter liberdade para utilizar modelos de gestão do risco associado às TIC enquadrados ou categorizados de diferentes formas, desde que as principais capacidades criadas pelas entidades financeiras respondam às diferentes funções de gestão do risco associado às TIC (identificação, proteção e prevenção, deteção, resposta e recuperação, aprendizagem e evolução e notificação) estabelecidas no presente regulamento.

| (48) | A fim de acompanhar o ritmo de um cenário de ciberameaças em rápida evolução, as entidades financeiras deverão dispor de sistemas de TIC atualizados que sejam fiáveis e tenham capacidade não só para garantir o tratamento dos dados necessários para os seus serviços, mas também para assegurar uma resiliência tecnológica suficiente que lhes permita dar uma resposta adequada às necessidades adicionais de tratamento decorrentes de condições de tensão no mercado ou outras situações adversas. |
| --- | --- |

(48)

A fim de acompanhar o ritmo de um cenário de ciberameaças em rápida evolução, as entidades financeiras deverão dispor de sistemas de TIC atualizados que sejam fiáveis e tenham capacidade não só para garantir o tratamento dos dados necessários para os seus serviços, mas também para assegurar uma resiliência tecnológica suficiente que lhes permita dar uma resposta adequada às necessidades adicionais de tratamento decorrentes de condições de tensão no mercado ou outras situações adversas.

| (49) | São necessários planos eficientes de continuidade das atividades e de recuperação que permitam às entidades financeiras resolver rápida e atempadamente os incidentes relacionados com as TIC, em especial os ciberataques, limitando os danos e dando prioridade à retoma da atividade e às medidas de recuperação, em conformidade com as suas políticas de salvaguarda. No entanto, essa retoma não pode, de modo algum, pôr em risco a integridade e segurança dos sistemas de rede e informação nem a disponibilidade, autenticidade, integridade ou confidencialidade, dos dados. |
| --- | --- |

(49)

São necessários planos eficientes de continuidade das atividades e de recuperação que permitam às entidades financeiras resolver rápida e atempadamente os incidentes relacionados com as TIC, em especial os ciberataques, limitando os danos e dando prioridade à retoma da atividade e às medidas de recuperação, em conformidade com as suas políticas de salvaguarda. No entanto, essa retoma não pode, de modo algum, pôr em risco a integridade e segurança dos sistemas de rede e informação nem a disponibilidade, autenticidade, integridade ou confidencialidade, dos dados.

| (50) | Embora o presente regulamento autorize as entidades financeiras a determinarem de modo flexível os seus objetivos em termos de tempo de recuperação e ponto de recuperação e, portanto, a estabelecerem tais objetivos tendo plenamente em conta a natureza e o caráter crítico da função pertinente, bem como quaisquer necessidades operacionais específicas, deverá, contudo, exigir que realizem uma avaliação do potencial impacto global na eficiência do mercado ao determinar os referidos objetivos. |
| --- | --- |

(50)

Embora o presente regulamento autorize as entidades financeiras a determinarem de modo flexível os seus objetivos em termos de tempo de recuperação e ponto de recuperação e, portanto, a estabelecerem tais objetivos tendo plenamente em conta a natureza e o caráter crítico da função pertinente, bem como quaisquer necessidades operacionais específicas, deverá, contudo, exigir que realizem uma avaliação do potencial impacto global na eficiência do mercado ao determinar os referidos objetivos.

| (51) | Os disseminadores de ciberataques tendem a procurar obter ganhos financeiros diretamente na fonte, expondo assim as entidades financeiras a consequências significativas. A fim de evitar que os sistemas de TIC percam a integridade ou fiquem indisponíveis e, por conseguinte, evitar a violação de dados e danos para a infraestrutura física de TIC, é necessário melhorar significativamente e simplificar a notificação de incidentes de caráter severo relacionados com as TIC por parte das entidades financeiras. A notificação de incidentes relacionados com as TIC deverá ser harmonizada mediante a introdução de um requisito aplicável a todas as entidades financeiras, exigindo que estas notifiquem diretamente as respetivas autoridades competentes relevantes. Caso uma entidade financeira esteja sujeita a supervisão por mais do que uma autoridade nacional competente, os Estados-Membros deverão designar uma única autoridade competente como destinatária dessa notificação. As instituições de crédito avaliadas como significativas nos termos do artigo 6.o, n.o 4, do Regulamento (UE) n.o 1024/2013 do Conselho (19) deverão apresentar essa notificação às autoridades nacionais competentes, que subsequentemente a deverão transmitir ao Banco Central Europeu (BCE). |
| --- | --- |

(51)

Os disseminadores de ciberataques tendem a procurar obter ganhos financeiros diretamente na fonte, expondo assim as entidades financeiras a consequências significativas. A fim de evitar que os sistemas de TIC percam a integridade ou fiquem indisponíveis e, por conseguinte, evitar a violação de dados e danos para a infraestrutura física de TIC, é necessário melhorar significativamente e simplificar a notificação de incidentes de caráter severo relacionados com as TIC por parte das entidades financeiras. A notificação de incidentes relacionados com as TIC deverá ser harmonizada mediante a introdução de um requisito aplicável a todas as entidades financeiras, exigindo que estas notifiquem diretamente as respetivas autoridades competentes relevantes. Caso uma entidade financeira esteja sujeita a supervisão por mais do que uma autoridade nacional competente, os Estados-Membros deverão designar uma única autoridade competente como destinatária dessa notificação. As instituições de crédito avaliadas como significativas nos termos do artigo 6.o, n.o 4, do Regulamento (UE) n.o 1024/2013 do Conselho (19) deverão apresentar essa notificação às autoridades nacionais competentes, que subsequentemente a deverão transmitir ao Banco Central Europeu (BCE).

| (52) | Essa notificação direta deverá permitir que as autoridades de supervisão financeira tenham acesso imediato a informações sobre incidentes de caráter severo relacionados com as TIC. Por sua vez, as autoridades de supervisão financeira deverão transmitir pormenores de incidentes de caráter severo relacionados com as TIC às autoridades públicas não financeiras (como as autoridades competentes e os pontos de contacto únicos nos termos da Diretiva (UE) 2022/2555, as autoridades nacionais de proteção de dados e as autoridades responsáveis pela aplicação da lei em caso de incidentes de caráter severo relacionados com as TIC de natureza criminosa), a fim de aumentar a sensibilização dessas autoridades para esse tipo de incidentes e, no caso das CSIRT, facilitar a assistência imediata que pode ser prestada às entidades financeiras, se for caso disso. Além disso, os Estados-Membros deverão poder determinar que as próprias entidades financeiras forneçam essas informações a autoridades públicas fora do domínio dos serviços financeiros. Esses fluxos de informação deverão permitir que as entidades financeiras beneficiem rapidamente de qualquer contributo técnico pertinente, aconselhamento sobre medidas corretivas e subsequente acompanhamento por parte dessas autoridades. É necessário canalizar numa base mútua as informações sobre incidentes de caráter severo relacionados com as TIC: as autoridades de supervisão financeira deverão transmitir todas as observações ou orientações necessárias à entidade financeira, ao passo que as AES deverão partilhar dados anonimizados sobre as ciberameaças e vulnerabilidades relacionadas com um evento, a fim de contribuir para uma defesa coletiva mais alargada. |
| --- | --- |

(52)

Essa notificação direta deverá permitir que as autoridades de supervisão financeira tenham acesso imediato a informações sobre incidentes de caráter severo relacionados com as TIC. Por sua vez, as autoridades de supervisão financeira deverão transmitir pormenores de incidentes de caráter severo relacionados com as TIC às autoridades públicas não financeiras (como as autoridades competentes e os pontos de contacto únicos nos termos da Diretiva (UE) 2022/2555, as autoridades nacionais de proteção de dados e as autoridades responsáveis pela aplicação da lei em caso de incidentes de caráter severo relacionados com as TIC de natureza criminosa), a fim de aumentar a sensibilização dessas autoridades para esse tipo de incidentes e, no caso das CSIRT, facilitar a assistência imediata que pode ser prestada às entidades financeiras, se for caso disso. Além disso, os Estados-Membros deverão poder determinar que as próprias entidades financeiras forneçam essas informações a autoridades públicas fora do domínio dos serviços financeiros. Esses fluxos de informação deverão permitir que as entidades financeiras beneficiem rapidamente de qualquer contributo técnico pertinente, aconselhamento sobre medidas corretivas e subsequente acompanhamento por parte dessas autoridades. É necessário canalizar numa base mútua as informações sobre incidentes de caráter severo relacionados com as TIC: as autoridades de supervisão financeira deverão transmitir todas as observações ou orientações necessárias à entidade financeira, ao passo que as AES deverão partilhar dados anonimizados sobre as ciberameaças e vulnerabilidades relacionadas com um evento, a fim de contribuir para uma defesa coletiva mais alargada.

| (53) | Embora todas as entidades financeiras devam ser obrigadas a proceder à notificação de incidentes, não se prevê que esse requisito as afete todas do mesmo modo. Com efeito, os limiares de materialidade pertinentes, bem como os prazos de notificação, deverão ser devidamente ajustados, no contexto de atos delegados baseados em normas técnicas de regulamentação a desenvolver pelas AES, a fim de abranger apenas os incidentes de caráter severo relacionados com as TIC. Além disso, as especificidades das entidades financeiras deverão ser tidas em conta na fixação dos prazos aplicáveis às obrigações de notificação. |
| --- | --- |

(53)

Embora todas as entidades financeiras devam ser obrigadas a proceder à notificação de incidentes, não se prevê que esse requisito as afete todas do mesmo modo. Com efeito, os limiares de materialidade pertinentes, bem como os prazos de notificação, deverão ser devidamente ajustados, no contexto de atos delegados baseados em normas técnicas de regulamentação a desenvolver pelas AES, a fim de abranger apenas os incidentes de caráter severo relacionados com as TIC. Além disso, as especificidades das entidades financeiras deverão ser tidas em conta na fixação dos prazos aplicáveis às obrigações de notificação.

| (54) | O presente regulamento deverá exigir que as instituições de crédito, as instituições de pagamento, os prestadores de serviços de informação sobre contas e as instituições de moeda eletrónica notifiquem todos os incidentes operacionais ou de segurança relacionados com pagamentos — anteriormente notificados nos termos da Diretiva (UE) 2015/2366 — independentemente da natureza do incidente relacionado com as TIC. |
| --- | --- |

(54)

O presente regulamento deverá exigir que as instituições de crédito, as instituições de pagamento, os prestadores de serviços de informação sobre contas e as instituições de moeda eletrónica notifiquem todos os incidentes operacionais ou de segurança relacionados com pagamentos — anteriormente notificados nos termos da Diretiva (UE) 2015/2366 — independentemente da natureza do incidente relacionado com as TIC.

| (55) | As AES deverão ser incumbidas de analisar a viabilidade e as condições de uma eventual centralização da notificação de incidentes relacionados com as TIC a nível da União. Essa centralização poderá consistir numa plataforma única da UE para a notificação de incidentes de caráter severo relacionados com as TIC que receba diretamente as notificações pertinentes e proceda automaticamente à notificação das autoridades competentes ou simplesmente centralize os relatórios pertinentes que lhe sejam transmitidos pelas autoridades competentes nacionais, desempenhando assim uma função de coordenação. As AES deverão ser incumbidas de elaborar, em consulta com o BCE e a ENISA, um relatório conjunto que explore a viabilidade do estabelecimento de uma plataforma única da UE. |
| --- | --- |

(55)

As AES deverão ser incumbidas de analisar a viabilidade e as condições de uma eventual centralização da notificação de incidentes relacionados com as TIC a nível da União. Essa centralização poderá consistir numa plataforma única da UE para a notificação de incidentes de caráter severo relacionados com as TIC que receba diretamente as notificações pertinentes e proceda automaticamente à notificação das autoridades competentes ou simplesmente centralize os relatórios pertinentes que lhe sejam transmitidos pelas autoridades competentes nacionais, desempenhando assim uma função de coordenação. As AES deverão ser incumbidas de elaborar, em consulta com o BCE e a ENISA, um relatório conjunto que explore a viabilidade do estabelecimento de uma plataforma única da UE.

| (56) | A fim de alcançar um nível elevado de resiliência operacional digital, e em consonância quer com as normas internacionais pertinentes (por exemplo, os elementos fundamentais da realização de testes de penetração baseados em ameaças, elaborados pelo G7) quer com os quadros aplicados na União, como o TIBER–EU (do inglês Threat Intelligence based Ethical Red teaming), afigura-se oportuno que as entidades financeiras realizem regularmente testes aos seus sistemas de TIC, bem como ao pessoal com responsabilidades relacionadas com as TIC, em termos de eficácia das respetivas capacidades de prevenção, deteção, resposta e recuperação, a fim de detetar e resolver possíveis vulnerabilidades no domínio das TIC. Para atender às diferenças que existem entre os diversos subsetores financeiros e dentro dos próprios subsetores no que respeita ao nível de preparação das entidades financeiras no domínio da cibersegurança, a realização dos testes deverá compreender uma ampla variedade de instrumentos e medidas, desde a avaliação de requisitos básicos (por exemplo, avaliações e rastreamento de vulnerabilidade, análises de fonte aberta, avaliações da segurança das redes, análises das lacunas, análises da segurança física, questionários e programas informáticos de rastreamento, revisões do código fonte, se possível, testes baseados em cenários, testes de compatibilidade, testes de desempenho ou testes de extremo a extremo) a testes mais avançados, por meio de TLPT. Esses testes mais avançados deverão ser exigidos apenas a entidades financeiras com uma maturidade suficiente em termos de TIC para os realizarem de forma razoável. Os testes de resiliência operacional digital exigidos pelo presente regulamento deverão, por conseguinte, ser mais exigentes para essas entidades financeiras que preencham os critérios previstos no presente regulamento (por exemplo, as instituições de crédito grandes, sistémicas e maduras em matéria de TIC, as bolsas de valores, as centrais de valores mobiliários e as contrapartes centrais) do que para as demais entidades financeiras. Simultaneamente, a realização de testes de resiliência operacional digital por meio de TLPT deverá ser mais pertinente para as entidades financeiras que operam em subsetores com serviços financeiros fundamentais e têm uma função sistémica (por exemplo, pagamentos, banca, compensação e liquidação), e menos pertinente para outros subsetores (por exemplo, gestores de ativos e agências de notação de risco). |
| --- | --- |

(56)

A fim de alcançar um nível elevado de resiliência operacional digital, e em consonância quer com as normas internacionais pertinentes (por exemplo, os elementos fundamentais da realização de testes de penetração baseados em ameaças, elaborados pelo G7) quer com os quadros aplicados na União, como o TIBER–EU (do inglês Threat Intelligence based Ethical Red teaming), afigura-se oportuno que as entidades financeiras realizem regularmente testes aos seus sistemas de TIC, bem como ao pessoal com responsabilidades relacionadas com as TIC, em termos de eficácia das respetivas capacidades de prevenção, deteção, resposta e recuperação, a fim de detetar e resolver possíveis vulnerabilidades no domínio das TIC. Para atender às diferenças que existem entre os diversos subsetores financeiros e dentro dos próprios subsetores no que respeita ao nível de preparação das entidades financeiras no domínio da cibersegurança, a realização dos testes deverá compreender uma ampla variedade de instrumentos e medidas, desde a avaliação de requisitos básicos (por exemplo, avaliações e rastreamento de vulnerabilidade, análises de fonte aberta, avaliações da segurança das redes, análises das lacunas, análises da segurança física, questionários e programas informáticos de rastreamento, revisões do código fonte, se possível, testes baseados em cenários, testes de compatibilidade, testes de desempenho ou testes de extremo a extremo) a testes mais avançados, por meio de TLPT. Esses testes mais avançados deverão ser exigidos apenas a entidades financeiras com uma maturidade suficiente em termos de TIC para os realizarem de forma razoável. Os testes de resiliência operacional digital exigidos pelo presente regulamento deverão, por conseguinte, ser mais exigentes para essas entidades financeiras que preencham os critérios previstos no presente regulamento (por exemplo, as instituições de crédito grandes, sistémicas e maduras em matéria de TIC, as bolsas de valores, as centrais de valores mobiliários e as contrapartes centrais) do que para as demais entidades financeiras. Simultaneamente, a realização de testes de resiliência operacional digital por meio de TLPT deverá ser mais pertinente para as entidades financeiras que operam em subsetores com serviços financeiros fundamentais e têm uma função sistémica (por exemplo, pagamentos, banca, compensação e liquidação), e menos pertinente para outros subsetores (por exemplo, gestores de ativos e agências de notação de risco).

| (57) | As entidades financeiras que participem em atividades transfronteiriças e que exerçam a liberdade de estabelecimento ou prestação de serviços na União deverão cumprir um conjunto único de requisitos de realização de testes avançados (por exemplo, TLPT) no respetivo Estado-Membro de origem, o qual deverá abranger as infraestruturas de TIC em todas as jurisdições em que os grupos financeiros transfronteiriços desenvolvam a sua atividade na União, permitindo assim aos referidos grupos suportar os custos dos testes relacionados com as TIC numa única jurisdição. |
| --- | --- |

(57)

As entidades financeiras que participem em atividades transfronteiriças e que exerçam a liberdade de estabelecimento ou prestação de serviços na União deverão cumprir um conjunto único de requisitos de realização de testes avançados (por exemplo, TLPT) no respetivo Estado-Membro de origem, o qual deverá abranger as infraestruturas de TIC em todas as jurisdições em que os grupos financeiros transfronteiriços desenvolvam a sua atividade na União, permitindo assim aos referidos grupos suportar os custos dos testes relacionados com as TIC numa única jurisdição.

| (58) | A fim de tirar partido dos conhecimentos especializados já adquiridos por determinadas autoridades competentes, em especial no que respeita à aplicação do quadro TIBER–EU, o presente regulamento deverá permitir que os Estados-Membros designem uma única autoridade pública como responsável no setor financeiro, a nível nacional, por todas as questões relacionadas com os TLPT, ou que as autoridades competentes deleguem, na ausência dessa designação, o exercício de funções relacionadas com os TLPT noutra autoridade financeira competente nacional. |
| --- | --- |

(58)

A fim de tirar partido dos conhecimentos especializados já adquiridos por determinadas autoridades competentes, em especial no que respeita à aplicação do quadro TIBER–EU, o presente regulamento deverá permitir que os Estados-Membros designem uma única autoridade pública como responsável no setor financeiro, a nível nacional, por todas as questões relacionadas com os TLPT, ou que as autoridades competentes deleguem, na ausência dessa designação, o exercício de funções relacionadas com os TLPT noutra autoridade financeira competente nacional.

| (59) | Uma vez que o presente regulamento não exige que as entidades financeiras abranjam todas as funções críticas ou importantes num único teste de penetração baseado em ameaças, as entidades financeiras deverão ter liberdade para determinar quais e quantas funções críticas ou importantes deverão ser incluídas no âmbito desse teste. |
| --- | --- |

(59)

Uma vez que o presente regulamento não exige que as entidades financeiras abranjam todas as funções críticas ou importantes num único teste de penetração baseado em ameaças, as entidades financeiras deverão ter liberdade para determinar quais e quantas funções críticas ou importantes deverão ser incluídas no âmbito desse teste.

| (60) | A realização de testes agrupados na aceção do presente regulamento — que envolvam a participação de várias entidades financeiras num TLPT e relativamente aos quais um terceiro prestador de serviços de TIC pode celebrar diretamente acordos contratuais com um testador externo — só deverá ser autorizada nos casos em que haja motivos razoáveis para esperar que a qualidade ou segurança dos serviços prestados pelo terceiro prestador de serviços de TIC a clientes que não sejam abrangidos pelo âmbito de aplicação do presente regulamento, ou a confidencialidade dos dados relacionados com esses serviços, sejam adversamente afetadas; a realização de testes agrupados deverá estar igualmente sujeita a garantias (orientação por uma entidade financeira designada, adaptação do número de entidades financeiras participantes) para assegurar uma realização rigorosa de testes às entidades financeiras envolvidas que cumpram os objetivos do TLPT nos termos do presente regulamento. |
| --- | --- |

(60)

A realização de testes agrupados na aceção do presente regulamento — que envolvam a participação de várias entidades financeiras num TLPT e relativamente aos quais um terceiro prestador de serviços de TIC pode celebrar diretamente acordos contratuais com um testador externo — só deverá ser autorizada nos casos em que haja motivos razoáveis para esperar que a qualidade ou segurança dos serviços prestados pelo terceiro prestador de serviços de TIC a clientes que não sejam abrangidos pelo âmbito de aplicação do presente regulamento, ou a confidencialidade dos dados relacionados com esses serviços, sejam adversamente afetadas; a realização de testes agrupados deverá estar igualmente sujeita a garantias (orientação por uma entidade financeira designada, adaptação do número de entidades financeiras participantes) para assegurar uma realização rigorosa de testes às entidades financeiras envolvidas que cumpram os objetivos do TLPT nos termos do presente regulamento.

| (61) | A fim de tirar partido dos recursos internos disponíveis a nível da empresa, o presente regulamento deverá permitir o recurso a testadores internos para efeitos da realização de TLPT, sob reserva de aprovação da autoridade de supervisão, da inexistência de conflitos de interesses e de alternação periódica relativamente ao recurso a testadores internos e externos (de três em três testes), exigindo simultaneamente que o fornecedor das informações sobre ameaças no TLPT seja sempre externo à entidade financeira. A responsabilidade pela realização do TLPT deverá continuar a caber plenamente à entidade financeira. Os comprovativos fornecidos pelas autoridades deverão destinar-se exclusivamente a fins de reconhecimento mútuo e não deverão excluir quaisquer medidas de acompanhamento necessárias para dar resposta ao risco associado às TIC a que a entidade financeira está exposta, nem deverão ser considerados uma validação decorrente da supervisão das capacidades de gestão e mitigação do risco associado às TIC de uma entidade financeira. |
| --- | --- |

(61)

A fim de tirar partido dos recursos internos disponíveis a nível da empresa, o presente regulamento deverá permitir o recurso a testadores internos para efeitos da realização de TLPT, sob reserva de aprovação da autoridade de supervisão, da inexistência de conflitos de interesses e de alternação periódica relativamente ao recurso a testadores internos e externos (de três em três testes), exigindo simultaneamente que o fornecedor das informações sobre ameaças no TLPT seja sempre externo à entidade financeira. A responsabilidade pela realização do TLPT deverá continuar a caber plenamente à entidade financeira. Os comprovativos fornecidos pelas autoridades deverão destinar-se exclusivamente a fins de reconhecimento mútuo e não deverão excluir quaisquer medidas de acompanhamento necessárias para dar resposta ao risco associado às TIC a que a entidade financeira está exposta, nem deverão ser considerados uma validação decorrente da supervisão das capacidades de gestão e mitigação do risco associado às TIC de uma entidade financeira.

| (62) | A fim de assegurar uma robusta monitorização do risco associado às TIC devido a terceiros no setor financeiro, convém estabelecer um conjunto de regras com base em princípios para orientar as entidades financeiras ao monitorizarem os riscos decorrentes da externalização de funções a terceiros prestadores de serviços de TIC, nomeadamente no caso de serviços de TIC de apoio a funções críticas ou importantes, bem como, de modo mais geral, no contexto de todas as dependências de terceiros no domínio das TIC. |
| --- | --- |

(62)

A fim de assegurar uma robusta monitorização do risco associado às TIC devido a terceiros no setor financeiro, convém estabelecer um conjunto de regras com base em princípios para orientar as entidades financeiras ao monitorizarem os riscos decorrentes da externalização de funções a terceiros prestadores de serviços de TIC, nomeadamente no caso de serviços de TIC de apoio a funções críticas ou importantes, bem como, de modo mais geral, no contexto de todas as dependências de terceiros no domínio das TIC.

| (63) | A fim de dar resposta à complexidade das diferentes fontes de risco associado às TIC, tendo simultaneamente em conta a multiplicidade e a diversidade dos fornecedores de soluções tecnológicas que permitem uma prestação harmoniosa de serviços financeiros, o presente regulamento deverá abranger uma vasta gama de terceiros prestadores de serviços de TIC, incluindo prestadores de serviços de computação em nuvem, de programas informáticos e de serviços de análise de dados e prestadores de serviços de centros de dados. Do mesmo modo, uma vez que as entidades financeiras deverão identificar e gerir de forma eficaz e coerente todos os tipos de risco, incluindo no contexto dos serviços de TIC adquiridos no âmbito de um grupo financeiro, importa clarificar que as empresas que fazem parte de um grupo financeiro e prestam predominantemente serviços de TIC à sua empresa-mãe, ou a filiais ou sucursais da sua empresa-mãe, bem como as entidades financeiras que prestam serviços de TIC a outras entidades financeiras, também deverão ser consideradas terceiros prestadores de serviços de TIC nos termos do presente regulamento. Por último, à luz da evolução do mercado dos serviços de pagamento, que depende cada vez mais de soluções técnicas complexas, e tendo em conta os novos tipos de serviços de pagamento e soluções relacionadas com pagamentos, os participantes no ecossistema de serviços de pagamento que prestem atividades de processamento de pagamentos ou operem infraestruturas de pagamento deverão também ser considerados terceiros prestadores de serviços de TIC nos termos do presente regulamento, com exceção dos bancos centrais, ao gerirem sistemas de pagamento ou de liquidação de valores mobiliários, e das autoridades públicas, ao prestarem serviços relacionados com as TIC no contexto do cumprimento de funções do Estado. |
| --- | --- |

(63)

A fim de dar resposta à complexidade das diferentes fontes de risco associado às TIC, tendo simultaneamente em conta a multiplicidade e a diversidade dos fornecedores de soluções tecnológicas que permitem uma prestação harmoniosa de serviços financeiros, o presente regulamento deverá abranger uma vasta gama de terceiros prestadores de serviços de TIC, incluindo prestadores de serviços de computação em nuvem, de programas informáticos e de serviços de análise de dados e prestadores de serviços de centros de dados. Do mesmo modo, uma vez que as entidades financeiras deverão identificar e gerir de forma eficaz e coerente todos os tipos de risco, incluindo no contexto dos serviços de TIC adquiridos no âmbito de um grupo financeiro, importa clarificar que as empresas que fazem parte de um grupo financeiro e prestam predominantemente serviços de TIC à sua empresa-mãe, ou a filiais ou sucursais da sua empresa-mãe, bem como as entidades financeiras que prestam serviços de TIC a outras entidades financeiras, também deverão ser consideradas terceiros prestadores de serviços de TIC nos termos do presente regulamento. Por último, à luz da evolução do mercado dos serviços de pagamento, que depende cada vez mais de soluções técnicas complexas, e tendo em conta os novos tipos de serviços de pagamento e soluções relacionadas com pagamentos, os participantes no ecossistema de serviços de pagamento que prestem atividades de processamento de pagamentos ou operem infraestruturas de pagamento deverão também ser considerados terceiros prestadores de serviços de TIC nos termos do presente regulamento, com exceção dos bancos centrais, ao gerirem sistemas de pagamento ou de liquidação de valores mobiliários, e das autoridades públicas, ao prestarem serviços relacionados com as TIC no contexto do cumprimento de funções do Estado.

| (64) | As entidades financeiras deverão manter sempre a plena responsabilidade pelo cumprimento das suas obrigações estabelecidas no presente regulamento. As entidades financeiras deverão adotar uma abordagem proporcionada da monitorização dos riscos ao nível dos terceiros prestadores de serviços de TIC, tendo em devida conta a natureza, escala, complexidade e importância das suas dependências relacionadas com as TIC e a criticalidade ou importância dos serviços, dos processos ou das funções objeto de acordos contratuais, bem como, em última análise, tendo por base uma cuidadosa avaliação do possível impacto na continuidade e qualidade dos serviços financeiros a nível individual e a nível do grupo, se for caso disso. |
| --- | --- |

(64)

As entidades financeiras deverão manter sempre a plena responsabilidade pelo cumprimento das suas obrigações estabelecidas no presente regulamento. As entidades financeiras deverão adotar uma abordagem proporcionada da monitorização dos riscos ao nível dos terceiros prestadores de serviços de TIC, tendo em devida conta a natureza, escala, complexidade e importância das suas dependências relacionadas com as TIC e a criticalidade ou importância dos serviços, dos processos ou das funções objeto de acordos contratuais, bem como, em última análise, tendo por base uma cuidadosa avaliação do possível impacto na continuidade e qualidade dos serviços financeiros a nível individual e a nível do grupo, se for caso disso.

| (65) | A realização de tal monitorização deverá seguir uma abordagem estratégica do risco associado às TIC devido a terceiros formalizada por meio da adoção, pelo órgão de administração da entidade financeira, de uma estratégia específica para o risco associado às TIC devido a terceiros, radicada na análise contínua de todas as dependências de terceiros no domínio das TIC. A fim de que as autoridades de supervisão tenham melhor conhecimento das dependências de terceiros no domínio das TIC, e com vista a prestar maior apoio aos trabalhos no contexto do quadro de superintendência estabelecido no presente regulamento, todas as entidades financeiras deverão ser obrigadas a manter um registo de informações com todos os acordos contratuais relativos à utilização de serviços de TIC prestados por terceiros prestadores de serviços de TIC. As autoridades de supervisão financeira deverão poder solicitar o registo de informações completo, ou solicitar secções específicas do mesmo, obtendo assim informações essenciais que lhes permitam ter uma compreensão mais ampla das dependências das entidades financeiras no domínio das TIC. |
| --- | --- |

(65)

A realização de tal monitorização deverá seguir uma abordagem estratégica do risco associado às TIC devido a terceiros formalizada por meio da adoção, pelo órgão de administração da entidade financeira, de uma estratégia específica para o risco associado às TIC devido a terceiros, radicada na análise contínua de todas as dependências de terceiros no domínio das TIC. A fim de que as autoridades de supervisão tenham melhor conhecimento das dependências de terceiros no domínio das TIC, e com vista a prestar maior apoio aos trabalhos no contexto do quadro de superintendência estabelecido no presente regulamento, todas as entidades financeiras deverão ser obrigadas a manter um registo de informações com todos os acordos contratuais relativos à utilização de serviços de TIC prestados por terceiros prestadores de serviços de TIC. As autoridades de supervisão financeira deverão poder solicitar o registo de informações completo, ou solicitar secções específicas do mesmo, obtendo assim informações essenciais que lhes permitam ter uma compreensão mais ampla das dependências das entidades financeiras no domínio das TIC.

| (66) | A celebração formal dos acordos contratuais deverá estar subjacente e deverá preceder uma análise exaustiva na fase pré-contratual, centrando-se, em especial, em elementos como a criticalidade ou importância dos serviços apoiados pelo contrato de TIC previsto, as necessárias aprovações da autoridade de supervisão ou outras condições, o eventual risco de concentração inerente, bem como aplicando a devida diligência no processo de seleção e avaliação de terceiros prestadores de serviços de TIC e avaliando potenciais conflitos de interesses. No que se refere aos acordos contratuais relativos a funções críticas ou importantes, as entidades financeiras deverão ter em conta a utilização, por terceiros prestadores de serviços de TIC, das normas mais atualizadas e mais rigorosas em matéria de segurança da informação. A rescisão de acordos contratuais poderá ser desencadeada por, pelo menos, uma série de circunstâncias que revelem insuficiências a nível do terceiro prestador de serviços de TIC, em especial violações significativas da legislação ou das condições contratuais, circunstâncias que revelem uma potencial alteração do desempenho das funções previstas nos acordos contratuais, provas de debilidades por parte do terceiro prestador de serviços de TIC na sua gestão global do risco associado às TIC, ou circunstâncias que demonstrem a incapacidade da autoridade competente relevante para supervisionar eficazmente a entidade financeira. |
| --- | --- |

(66)

A celebração formal dos acordos contratuais deverá estar subjacente e deverá preceder uma análise exaustiva na fase pré-contratual, centrando-se, em especial, em elementos como a criticalidade ou importância dos serviços apoiados pelo contrato de TIC previsto, as necessárias aprovações da autoridade de supervisão ou outras condições, o eventual risco de concentração inerente, bem como aplicando a devida diligência no processo de seleção e avaliação de terceiros prestadores de serviços de TIC e avaliando potenciais conflitos de interesses. No que se refere aos acordos contratuais relativos a funções críticas ou importantes, as entidades financeiras deverão ter em conta a utilização, por terceiros prestadores de serviços de TIC, das normas mais atualizadas e mais rigorosas em matéria de segurança da informação. A rescisão de acordos contratuais poderá ser desencadeada por, pelo menos, uma série de circunstâncias que revelem insuficiências a nível do terceiro prestador de serviços de TIC, em especial violações significativas da legislação ou das condições contratuais, circunstâncias que revelem uma potencial alteração do desempenho das funções previstas nos acordos contratuais, provas de debilidades por parte do terceiro prestador de serviços de TIC na sua gestão global do risco associado às TIC, ou circunstâncias que demonstrem a incapacidade da autoridade competente relevante para supervisionar eficazmente a entidade financeira.

| (67) | A fim de fazer face ao impacto sistémico do risco de concentração de terceiros no domínio das TIC, o presente regulamento promove uma solução equilibrada, adotando uma abordagem flexível e gradual desse risco de concentração, uma vez que a imposição de limites máximos rígidos ou restrições rigorosas pode prejudicar o exercício da atividade e restringir a liberdade contratual. As entidades financeiras deverão avaliar exaustivamente os acordos contratuais que preveem celebrar a fim de identificar a probabilidade do surgimento desse risco, incluindo por meio de análises em profundidade de acordos de subcontratação, em especial nos casos em que sejam celebrados com terceiros prestadores de serviços de TIC estabelecidos em países terceiros. Nesta fase, com vista a encontrar a um equilíbrio justo entre o imperativo que dita a preservação da liberdade contratual e o que dita a salvaguarda da estabilidade financeira, não se afigura adequado estabelecer regras relativas a limites máximos rigorosos e limites de exposição a terceiros no domínio das TIC. No contexto do quadro de superintendência, a autoridade fiscalizadora principal designada nos termos do presente regulamento deverá, no que diz respeito aos terceiros prestadores de serviços de TIC críticos, prestar especial atenção a fim de compreender plenamente o grau das interdependências, descobrir situações específicas em que seja provável que um elevado nível de concentração de terceiros prestadores de serviços de TIC na União ponha sob pressão a estabilidade e integridade do sistema financeiro da União e manter um diálogo com terceiros prestadores de serviços de TIC críticos, sempre que esse risco específico seja identificado. |
| --- | --- |

(67)

A fim de fazer face ao impacto sistémico do risco de concentração de terceiros no domínio das TIC, o presente regulamento promove uma solução equilibrada, adotando uma abordagem flexível e gradual desse risco de concentração, uma vez que a imposição de limites máximos rígidos ou restrições rigorosas pode prejudicar o exercício da atividade e restringir a liberdade contratual. As entidades financeiras deverão avaliar exaustivamente os acordos contratuais que preveem celebrar a fim de identificar a probabilidade do surgimento desse risco, incluindo por meio de análises em profundidade de acordos de subcontratação, em especial nos casos em que sejam celebrados com terceiros prestadores de serviços de TIC estabelecidos em países terceiros. Nesta fase, com vista a encontrar a um equilíbrio justo entre o imperativo que dita a preservação da liberdade contratual e o que dita a salvaguarda da estabilidade financeira, não se afigura adequado estabelecer regras relativas a limites máximos rigorosos e limites de exposição a terceiros no domínio das TIC. No contexto do quadro de superintendência, a autoridade fiscalizadora principal designada nos termos do presente regulamento deverá, no que diz respeito aos terceiros prestadores de serviços de TIC críticos, prestar especial atenção a fim de compreender plenamente o grau das interdependências, descobrir situações específicas em que seja provável que um elevado nível de concentração de terceiros prestadores de serviços de TIC na União ponha sob pressão a estabilidade e integridade do sistema financeiro da União e manter um diálogo com terceiros prestadores de serviços de TIC críticos, sempre que esse risco específico seja identificado.

| (68) | A fim de avaliar e monitorizar regularmente a capacidade de um terceiro prestador de serviços de TIC de prestar, de modo seguro, serviços a uma entidade financeira sem afetar negativamente a resiliência operacional digital dessa entidade financeira, importa proceder à harmonização de vários elementos contratuais fundamentais acordados com os terceiros prestadores de serviços de TIC. Essa harmonização deverá abranger domínios mínimos que sejam cruciais para permitir que a entidade financeira monitorize plenamente os riscos que poderão advir do terceiro prestador de serviços de TIC, na perspetiva da necessidade de uma entidade financeira garantir a sua resiliência digital, uma vez que está profundamente dependente da estabilidade, funcionalidade, disponibilidade e segurança dos serviços de TIC que lhe são prestados. |
| --- | --- |

(68)

A fim de avaliar e monitorizar regularmente a capacidade de um terceiro prestador de serviços de TIC de prestar, de modo seguro, serviços a uma entidade financeira sem afetar negativamente a resiliência operacional digital dessa entidade financeira, importa proceder à harmonização de vários elementos contratuais fundamentais acordados com os terceiros prestadores de serviços de TIC. Essa harmonização deverá abranger domínios mínimos que sejam cruciais para permitir que a entidade financeira monitorize plenamente os riscos que poderão advir do terceiro prestador de serviços de TIC, na perspetiva da necessidade de uma entidade financeira garantir a sua resiliência digital, uma vez que está profundamente dependente da estabilidade, funcionalidade, disponibilidade e segurança dos serviços de TIC que lhe são prestados.

| (69) | Aquando da renegociação de acordos contratuais a fim de os alinhar com os requisitos do presente regulamento, as entidades financeiras e os terceiros prestadores de serviços de TIC deverão assegurar a cobertura das principais disposições contratuais previstas no presente regulamento. |
| --- | --- |

(69)

Aquando da renegociação de acordos contratuais a fim de os alinhar com os requisitos do presente regulamento, as entidades financeiras e os terceiros prestadores de serviços de TIC deverão assegurar a cobertura das principais disposições contratuais previstas no presente regulamento.

| (70) | A definição de «função crítica ou importante» prevista no presente regulamento abrange as «funções críticas» previstas no artigo 2.o, n.o 1, ponto 35, da Diretiva 2014/59/UE do Parlamento Europeu e do Conselho (20). Assim, as funções consideradas críticas nos termos da Diretiva 2014/59/UE estão incluídas na definição de «funções críticas» na aceção do presente regulamento. |
| --- | --- |

(70)

A definição de «função crítica ou importante» prevista no presente regulamento abrange as «funções críticas» previstas no artigo 2.o, n.o 1, ponto 35, da Diretiva 2014/59/UE do Parlamento Europeu e do Conselho (20). Assim, as funções consideradas críticas nos termos da Diretiva 2014/59/UE estão incluídas na definição de «funções críticas» na aceção do presente regulamento.

| (71) | Independentemente da criticalidade ou importância da função apoiada pelos serviços de TIC, os acordos contratuais deverão, em especial, prever a especificação das descrições completas das funções e dos serviços, bem como dos locais em que tais funções são desempenhadas e onde deverão ser tratados os dados, assim como uma indicação das descrições do nível de serviço. Outros elementos essenciais para que uma entidade financeira possa monitorizar o risco associado às TIC devido a terceiros são: disposições contratuais que especificam a forma como a acessibilidade, a disponibilidade, a integridade, a segurança e a proteção de dados pessoais são asseguradas pelo terceiro prestador de serviços de TIC. Igualmente essenciais são as disposições que estabelecem garantias pertinentes para permitir o acesso, a recuperação e a devolução de dados em caso de insolvência, resolução ou cessação da atividade do terceiro prestador de serviços de TIC, bem como as disposições que exigem que o terceiro prestador de serviços de TIC preste assistência em caso de incidentes relacionados com as TIC decorrentes dos serviços prestados, sem custos adicionais ou com um custo previamente determinado; as disposições relativas à obrigação de o terceiro prestador de serviços de TIC cooperar plenamente com as autoridades competentes e as autoridades de resolução da entidade financeira; e as disposições relativas aos direitos de rescisão e períodos mínimos de pré-aviso relacionados com a rescisão dos acordos contratuais, em conformidade com as expectativas das autoridades competentes e das autoridades de resolução. |
| --- | --- |

(71)

Independentemente da criticalidade ou importância da função apoiada pelos serviços de TIC, os acordos contratuais deverão, em especial, prever a especificação das descrições completas das funções e dos serviços, bem como dos locais em que tais funções são desempenhadas e onde deverão ser tratados os dados, assim como uma indicação das descrições do nível de serviço. Outros elementos essenciais para que uma entidade financeira possa monitorizar o risco associado às TIC devido a terceiros são: disposições contratuais que especificam a forma como a acessibilidade, a disponibilidade, a integridade, a segurança e a proteção de dados pessoais são asseguradas pelo terceiro prestador de serviços de TIC. Igualmente essenciais são as disposições que estabelecem garantias pertinentes para permitir o acesso, a recuperação e a devolução de dados em caso de insolvência, resolução ou cessação da atividade do terceiro prestador de serviços de TIC, bem como as disposições que exigem que o terceiro prestador de serviços de TIC preste assistência em caso de incidentes relacionados com as TIC decorrentes dos serviços prestados, sem custos adicionais ou com um custo previamente determinado; as disposições relativas à obrigação de o terceiro prestador de serviços de TIC cooperar plenamente com as autoridades competentes e as autoridades de resolução da entidade financeira; e as disposições relativas aos direitos de rescisão e períodos mínimos de pré-aviso relacionados com a rescisão dos acordos contratuais, em conformidade com as expectativas das autoridades competentes e das autoridades de resolução.

| (72) | Para além das disposições contratuais referidas anteriormente, e a fim de assegurar que as entidades financeiras continuam a ter pleno controlo de todos os acontecimentos a nível de terceiros suscetíveis de comprometer a respetiva segurança no domínio das TIC, os contratos relativos à prestação de serviços de TIC de apoio a funções críticas ou importantes deverão prever igualmente os seguintes elementos: a especificação das descrições completas do nível de serviço, com metas de desempenho quantitativas e qualitativas precisas, a fim de permitir a adoção, sem demora injustificada, de medidas corretivas adequadas, quando os níveis de serviço acordados não forem cumpridos; os períodos de pré-aviso e obrigações de notificação pertinentes do terceiro prestador de serviços de TIC em caso de acontecimentos com um potencial impacto importante na capacidade de o terceiro prestador de serviços de TIC prestar eficazmente os respetivos serviços de TIC; a obrigação de o terceiro prestador de serviços de TIC executar e testar planos de contingência para as suas atividades e dispor de medidas, ferramentas e políticas de segurança no domínio das TIC que garantam uma prestação segura de serviços, bem como de participar e cooperar plenamente no TLPT realizado pela entidade financeira. |
| --- | --- |

(72)

Para além das disposições contratuais referidas anteriormente, e a fim de assegurar que as entidades financeiras continuam a ter pleno controlo de todos os acontecimentos a nível de terceiros suscetíveis de comprometer a respetiva segurança no domínio das TIC, os contratos relativos à prestação de serviços de TIC de apoio a funções críticas ou importantes deverão prever igualmente os seguintes elementos: a especificação das descrições completas do nível de serviço, com metas de desempenho quantitativas e qualitativas precisas, a fim de permitir a adoção, sem demora injustificada, de medidas corretivas adequadas, quando os níveis de serviço acordados não forem cumpridos; os períodos de pré-aviso e obrigações de notificação pertinentes do terceiro prestador de serviços de TIC em caso de acontecimentos com um potencial impacto importante na capacidade de o terceiro prestador de serviços de TIC prestar eficazmente os respetivos serviços de TIC; a obrigação de o terceiro prestador de serviços de TIC executar e testar planos de contingência para as suas atividades e dispor de medidas, ferramentas e políticas de segurança no domínio das TIC que garantam uma prestação segura de serviços, bem como de participar e cooperar plenamente no TLPT realizado pela entidade financeira.

| (73) | Os contratos relativos à prestação de serviços de TIC de apoio a funções críticas ou importantes deverão conter igualmente disposições que prevejam os direitos de acesso, inspeção ou auditoria por parte da entidade financeira ou de um terceiro designado para o efeito, bem como o direito a fazer cópias, enquanto instrumentos cruciais da monitorização contínua realizada pelas entidades financeiras do desempenho do terceiro prestador de serviços de TIC, a par da plena cooperação do prestador de serviços durante as inspeções. De igual modo, também a autoridade competente da entidade financeira deverá ter o direito, mediante notificação, de inspecionar e auditar o terceiro prestador de serviços de TIC, sob reserva da proteção de informações confidenciais. |
| --- | --- |

(73)

Os contratos relativos à prestação de serviços de TIC de apoio a funções críticas ou importantes deverão conter igualmente disposições que prevejam os direitos de acesso, inspeção ou auditoria por parte da entidade financeira ou de um terceiro designado para o efeito, bem como o direito a fazer cópias, enquanto instrumentos cruciais da monitorização contínua realizada pelas entidades financeiras do desempenho do terceiro prestador de serviços de TIC, a par da plena cooperação do prestador de serviços durante as inspeções. De igual modo, também a autoridade competente da entidade financeira deverá ter o direito, mediante notificação, de inspecionar e auditar o terceiro prestador de serviços de TIC, sob reserva da proteção de informações confidenciais.

| (74) | Esses acordos contratuais deverão prever igualmente estratégias de saída específicas que permitam, em especial, períodos obrigatórios de transição durante os quais os terceiros prestadores de serviços de TIC deverão continuar a prestar os serviços pertinentes com vista a reduzir o risco de perturbações a nível da entidade financeira, ou a permitir que esta última passe a recorrer efetivamente a outro terceiro prestador de serviços de TIC ou, em alternativa, mudar para soluções internas, em função da complexidade do serviço de TIC prestado. Além disso, as entidades financeiras abrangidas pelo âmbito de aplicação da Diretiva 2014/59/UE deverão assegurar que os contratos pertinentes relativos a serviços de TIC sejam sólidos e plenamente aplicáveis em caso de resolução dessas entidades financeiras. Por conseguinte, em consonância com as expectativas das autoridades de resolução, essas entidades financeiras deverão assegurar que os contratos pertinentes relativos a serviços de TIC sejam resilientes à resolução. Enquanto continuarem a cumprir as suas obrigações de pagamento, essas entidades financeiras deverão assegurar, entre outros requisitos, que os contratos pertinentes relativos a serviços de TIC contenham cláusulas de não rescisão, de não suspensão e de não alteração por motivos de reestruturação ou resolução. |
| --- | --- |

(74)

Esses acordos contratuais deverão prever igualmente estratégias de saída específicas que permitam, em especial, períodos obrigatórios de transição durante os quais os terceiros prestadores de serviços de TIC deverão continuar a prestar os serviços pertinentes com vista a reduzir o risco de perturbações a nível da entidade financeira, ou a permitir que esta última passe a recorrer efetivamente a outro terceiro prestador de serviços de TIC ou, em alternativa, mudar para soluções internas, em função da complexidade do serviço de TIC prestado. Além disso, as entidades financeiras abrangidas pelo âmbito de aplicação da Diretiva 2014/59/UE deverão assegurar que os contratos pertinentes relativos a serviços de TIC sejam sólidos e plenamente aplicáveis em caso de resolução dessas entidades financeiras. Por conseguinte, em consonância com as expectativas das autoridades de resolução, essas entidades financeiras deverão assegurar que os contratos pertinentes relativos a serviços de TIC sejam resilientes à resolução. Enquanto continuarem a cumprir as suas obrigações de pagamento, essas entidades financeiras deverão assegurar, entre outros requisitos, que os contratos pertinentes relativos a serviços de TIC contenham cláusulas de não rescisão, de não suspensão e de não alteração por motivos de reestruturação ou resolução.

| (75) | Além disso, a utilização a título voluntário de cláusulas contratuais normalizadas desenvolvidas pelas autoridades públicas ou pelas instituições da União, em especial, a utilização de cláusulas contratuais desenvolvidas pela Comissão para os serviços de computação em nuvem podem, igualmente, oferecer garantias suplementares às entidades financeiras e aos terceiros prestadores de serviços de TIC, reforçando o nível de segurança jurídica quanto à utilização de serviços de computação em nuvem pelo setor financeiro, em total consonância com os requisitos e as expectativas estabelecidas pelo direito da União dos serviços financeiros. O desenvolvimento de cláusulas contratuais normalizadas assenta em medidas já previstas no plano de ação para a tecnologia financeira de 2018, no qual a Comissão anunciou a sua intenção de incentivar a elaboração de cláusulas contratuais-tipo para o recurso à externalização de serviços de computação em nuvem pelas instituições financeiras, tirando partido dos esforços das partes interessadas em serviços de computação em nuvem a nível intersetorial já facilitados pela Comissão, com o apoio da participação do setor financeiro. |
| --- | --- |

(75)

Além disso, a utilização a título voluntário de cláusulas contratuais normalizadas desenvolvidas pelas autoridades públicas ou pelas instituições da União, em especial, a utilização de cláusulas contratuais desenvolvidas pela Comissão para os serviços de computação em nuvem podem, igualmente, oferecer garantias suplementares às entidades financeiras e aos terceiros prestadores de serviços de TIC, reforçando o nível de segurança jurídica quanto à utilização de serviços de computação em nuvem pelo setor financeiro, em total consonância com os requisitos e as expectativas estabelecidas pelo direito da União dos serviços financeiros. O desenvolvimento de cláusulas contratuais normalizadas assenta em medidas já previstas no plano de ação para a tecnologia financeira de 2018, no qual a Comissão anunciou a sua intenção de incentivar a elaboração de cláusulas contratuais-tipo para o recurso à externalização de serviços de computação em nuvem pelas instituições financeiras, tirando partido dos esforços das partes interessadas em serviços de computação em nuvem a nível intersetorial já facilitados pela Comissão, com o apoio da participação do setor financeiro.

| (76) | A fim de promover a convergência e eficiência no que respeita às abordagens de supervisão para fazer face ao risco associado às TIC devido a terceiros no setor financeiro, bem como reforçar a resiliência operacional digital das entidades financeiras que dependem de terceiros prestadores de serviços de TIC críticos para a prestação de serviços de TIC que apoiam a prestação de serviços financeiros e, assim, contribuir para preservar a estabilidade do sistema financeiro da União e a integridade do mercado interno de serviços financeiros, os terceiros prestadores de serviços de TIC críticos deverão estar sujeitos a um quadro de superintendência da União. Embora a criação do quadro de superintendência se justifique pelo valor acrescentado de tomar medidas a nível da União e em virtude do papel inerente e das especificidades da utilização dos serviços de TIC na prestação de serviços financeiros, importa recordar, ao mesmo tempo, que esta solução se afigura adequada apenas no contexto do presente regulamento, que trata especificamente da resiliência operacional digital do setor financeiro. No entanto, este quadro de superintendência não deverá ser considerado um novo modelo para a supervisão da União em outros domínios dos serviços e atividades financeiros. |
| --- | --- |

(76)

A fim de promover a convergência e eficiência no que respeita às abordagens de supervisão para fazer face ao risco associado às TIC devido a terceiros no setor financeiro, bem como reforçar a resiliência operacional digital das entidades financeiras que dependem de terceiros prestadores de serviços de TIC críticos para a prestação de serviços de TIC que apoiam a prestação de serviços financeiros e, assim, contribuir para preservar a estabilidade do sistema financeiro da União e a integridade do mercado interno de serviços financeiros, os terceiros prestadores de serviços de TIC críticos deverão estar sujeitos a um quadro de superintendência da União. Embora a criação do quadro de superintendência se justifique pelo valor acrescentado de tomar medidas a nível da União e em virtude do papel inerente e das especificidades da utilização dos serviços de TIC na prestação de serviços financeiros, importa recordar, ao mesmo tempo, que esta solução se afigura adequada apenas no contexto do presente regulamento, que trata especificamente da resiliência operacional digital do setor financeiro. No entanto, este quadro de superintendência não deverá ser considerado um novo modelo para a supervisão da União em outros domínios dos serviços e atividades financeiros.

| (77) | O quadro de superintendência deverá aplicar-se apenas aos terceiros prestadores de serviços de TIC críticos. Por conseguinte, deverá existir um mecanismo de designação que tenha em conta a dimensão e natureza da dependência do setor financeiro de tais terceiros prestadores de serviços de TIC. Esse mecanismo deverá consistir num conjunto de critérios quantitativos e qualitativos para definir os parâmetros de criticalidade como base para a inclusão no quadro de superintendência. A fim de assegurar a exatidão dessa avaliação, e independentemente da estrutura empresarial do terceiro prestador de serviços de TIC, esses critérios deverão, no caso de um terceiro prestador de serviços de TIC que faça parte de um grupo mais vasto, ter em conta toda a estrutura do grupo de terceiros prestadores de serviços de TIC. Por outro lado, será conveniente conceder uma opção de inclusão a título voluntário no quadro de superintendência aos terceiros prestadores de serviços de TIC que não sejam automaticamente designados em virtude da aplicação desses critérios, ao passo que os terceiros prestadores de serviços de TIC que já estejam sujeitos a quadros de regime de superintendência que apoiam o desempenho das atribuições do Sistema Europeu de Bancos Centrais a que se refere o artigo 127.o, n.o 2, do TFUE deverão estar isentos. |
| --- | --- |

(77)

O quadro de superintendência deverá aplicar-se apenas aos terceiros prestadores de serviços de TIC críticos. Por conseguinte, deverá existir um mecanismo de designação que tenha em conta a dimensão e natureza da dependência do setor financeiro de tais terceiros prestadores de serviços de TIC. Esse mecanismo deverá consistir num conjunto de critérios quantitativos e qualitativos para definir os parâmetros de criticalidade como base para a inclusão no quadro de superintendência. A fim de assegurar a exatidão dessa avaliação, e independentemente da estrutura empresarial do terceiro prestador de serviços de TIC, esses critérios deverão, no caso de um terceiro prestador de serviços de TIC que faça parte de um grupo mais vasto, ter em conta toda a estrutura do grupo de terceiros prestadores de serviços de TIC. Por outro lado, será conveniente conceder uma opção de inclusão a título voluntário no quadro de superintendência aos terceiros prestadores de serviços de TIC que não sejam automaticamente designados em virtude da aplicação desses critérios, ao passo que os terceiros prestadores de serviços de TIC que já estejam sujeitos a quadros de regime de superintendência que apoiam o desempenho das atribuições do Sistema Europeu de Bancos Centrais a que se refere o artigo 127.o, n.o 2, do TFUE deverão estar isentos.

| (78) | Do mesmo modo, as entidades financeiras que prestam serviços de TIC a outras entidades financeiras, embora pertençam à categoria de terceiros prestadores de serviços de TIC nos termos do presente regulamento, deverão também estar isentas do quadro de superintendência, uma vez que já estão sujeitas aos mecanismos de supervisão estabelecidos pelo direito da União dos serviços financeiros aplicável. Se for caso disso, as autoridades competentes deverão ter em conta, no contexto das suas atividades de superintendência, o risco associado às TIC para as entidades financeiras por entidades financeiras que prestam serviços de TIC. Do mesmo modo, devido aos mecanismos de monitorização dos riscos existentes a nível do grupo, deverá ser introduzida a mesma isenção para os terceiros prestadores de serviços de TIC que prestam serviços predominantemente às entidades do seu próprio grupo. Os terceiros prestadores de serviços de TIC que prestam serviços de TIC apenas num Estado-Membro a entidades financeiras que operam apenas nesse Estado-Membro deverão também estar isentos do mecanismo de designação devido à limitação das suas atividades e à ausência de impacto transfronteiriço. |
| --- | --- |

(78)

Do mesmo modo, as entidades financeiras que prestam serviços de TIC a outras entidades financeiras, embora pertençam à categoria de terceiros prestadores de serviços de TIC nos termos do presente regulamento, deverão também estar isentas do quadro de superintendência, uma vez que já estão sujeitas aos mecanismos de supervisão estabelecidos pelo direito da União dos serviços financeiros aplicável. Se for caso disso, as autoridades competentes deverão ter em conta, no contexto das suas atividades de superintendência, o risco associado às TIC para as entidades financeiras por entidades financeiras que prestam serviços de TIC. Do mesmo modo, devido aos mecanismos de monitorização dos riscos existentes a nível do grupo, deverá ser introduzida a mesma isenção para os terceiros prestadores de serviços de TIC que prestam serviços predominantemente às entidades do seu próprio grupo. Os terceiros prestadores de serviços de TIC que prestam serviços de TIC apenas num Estado-Membro a entidades financeiras que operam apenas nesse Estado-Membro deverão também estar isentos do mecanismo de designação devido à limitação das suas atividades e à ausência de impacto transfronteiriço.

| (79) | A transformação digital no domínio dos serviços financeiros acarretou um nível sem precedentes de utilização e dependência dos serviços de TIC. Uma vez que se tornou inconcebível prestar serviços financeiros sem recorrer a serviços de computação em nuvem, programas informáticos e serviços relacionados com dados, o ecossistema financeiro da União tornou-se intrinsecamente codependente de determinados serviços de TIC prestados por fornecedores de serviços de TIC. Alguns desses fornecedores, inovadores no desenvolvimento e aplicação de tecnologias baseadas nas TIC, desempenham um papel significativo na prestação de serviços financeiros ou passaram a integrar a cadeia de valor dos serviços financeiros. Tornaram-se, assim, críticos para a estabilidade e integridade do sistema financeiro da União. Esta dependência generalizada dos serviços prestados por terceiros prestadores de serviços de TIC críticos, combinada com a interdependência dos sistemas de informação de vários operadores de mercado, cria um risco direto, potencialmente grave, para o sistema de serviços financeiros da União e para a continuidade da prestação de serviços financeiros, caso os terceiros prestadores de serviços de TIC críticos sejam afetados por perturbações operacionais ou ciberincidentes de caráter severo. Os ciberincidentes distinguem-se pela capacidade de se multiplicarem e propagarem em todo o sistema financeiro a um ritmo consideravelmente mais rápido do que outros tipos de risco monitorizados no setor financeiro e podem alastrar a vários setores e para além das fronteiras geográficas. Podem redundar numa crise sistémica, traduzida num enfraquecimento da confiança no sistema financeiro devido à perturbação das funções de apoio à economia real, ou em perdas financeiras substanciais, a um ponto que o sistema financeiro seja incapaz de suportar, ou que exija a aplicação de medidas para absorver choques graves. A fim de evitar estes cenários, pondo assim em perigo a estabilidade financeira e a integridade da União, é essencial assegurar a convergência das práticas de supervisão relativas ao risco associado às TIC devido a terceiros no setor financeiro, em especial através de novas regras que permitam a superintendência pela União de terceiros prestadores de serviços de TIC críticos. |
| --- | --- |

(79)

A transformação digital no domínio dos serviços financeiros acarretou um nível sem precedentes de utilização e dependência dos serviços de TIC. Uma vez que se tornou inconcebível prestar serviços financeiros sem recorrer a serviços de computação em nuvem, programas informáticos e serviços relacionados com dados, o ecossistema financeiro da União tornou-se intrinsecamente codependente de determinados serviços de TIC prestados por fornecedores de serviços de TIC. Alguns desses fornecedores, inovadores no desenvolvimento e aplicação de tecnologias baseadas nas TIC, desempenham um papel significativo na prestação de serviços financeiros ou passaram a integrar a cadeia de valor dos serviços financeiros. Tornaram-se, assim, críticos para a estabilidade e integridade do sistema financeiro da União. Esta dependência generalizada dos serviços prestados por terceiros prestadores de serviços de TIC críticos, combinada com a interdependência dos sistemas de informação de vários operadores de mercado, cria um risco direto, potencialmente grave, para o sistema de serviços financeiros da União e para a continuidade da prestação de serviços financeiros, caso os terceiros prestadores de serviços de TIC críticos sejam afetados por perturbações operacionais ou ciberincidentes de caráter severo. Os ciberincidentes distinguem-se pela capacidade de se multiplicarem e propagarem em todo o sistema financeiro a um ritmo consideravelmente mais rápido do que outros tipos de risco monitorizados no setor financeiro e podem alastrar a vários setores e para além das fronteiras geográficas. Podem redundar numa crise sistémica, traduzida num enfraquecimento da confiança no sistema financeiro devido à perturbação das funções de apoio à economia real, ou em perdas financeiras substanciais, a um ponto que o sistema financeiro seja incapaz de suportar, ou que exija a aplicação de medidas para absorver choques graves. A fim de evitar estes cenários, pondo assim em perigo a estabilidade financeira e a integridade da União, é essencial assegurar a convergência das práticas de supervisão relativas ao risco associado às TIC devido a terceiros no setor financeiro, em especial através de novas regras que permitam a superintendência pela União de terceiros prestadores de serviços de TIC críticos.

| (80) | O quadro de superintendência depende, em grande medida, do grau de colaboração entre a autoridade fiscalizadora principal e o terceiro prestador de serviços de TIC crítico que presta serviços a entidades financeiras que afetam a prestação de serviços financeiros. O êxito da superintendência depende, nomeadamente, da capacidade da autoridade fiscalizadora principal para realizar eficazmente missões de monitorização e inspeções para avaliar as regras, os controlos e os processos utilizados pelos terceiros prestadores de serviços de TIC críticos, bem como para avaliar o potencial impacto cumulativo das suas atividades na estabilidade financeira e na integridade do sistema financeiro. Ao mesmo tempo, é crucial que os terceiros prestadores de serviços de TIC críticos acatem as recomendações da autoridade fiscalizadora principal e deem resposta às suas preocupações. Uma vez que a falta de cooperação de um terceiro prestador de serviços de TIC crítico que presta serviços que afetam o fornecimento de serviços financeiros, como a recusa de conceder acesso às suas instalações ou de apresentar informações, privaria, em última análise, a autoridade fiscalizadora principal das suas ferramentas essenciais para avaliar o risco associado às TIC devido a terceiros e poderia afetar negativamente a estabilidade financeira e a integridade do sistema financeiro, é igualmente necessário prever um regime de sanções proporcionado. |
| --- | --- |

(80)

O quadro de superintendência depende, em grande medida, do grau de colaboração entre a autoridade fiscalizadora principal e o terceiro prestador de serviços de TIC crítico que presta serviços a entidades financeiras que afetam a prestação de serviços financeiros. O êxito da superintendência depende, nomeadamente, da capacidade da autoridade fiscalizadora principal para realizar eficazmente missões de monitorização e inspeções para avaliar as regras, os controlos e os processos utilizados pelos terceiros prestadores de serviços de TIC críticos, bem como para avaliar o potencial impacto cumulativo das suas atividades na estabilidade financeira e na integridade do sistema financeiro. Ao mesmo tempo, é crucial que os terceiros prestadores de serviços de TIC críticos acatem as recomendações da autoridade fiscalizadora principal e deem resposta às suas preocupações. Uma vez que a falta de cooperação de um terceiro prestador de serviços de TIC crítico que presta serviços que afetam o fornecimento de serviços financeiros, como a recusa de conceder acesso às suas instalações ou de apresentar informações, privaria, em última análise, a autoridade fiscalizadora principal das suas ferramentas essenciais para avaliar o risco associado às TIC devido a terceiros e poderia afetar negativamente a estabilidade financeira e a integridade do sistema financeiro, é igualmente necessário prever um regime de sanções proporcionado.

| (81) | Neste contexto, a necessidade de a autoridade fiscalizadora principal impor sanções pecuniárias para obrigar os terceiros prestadores de serviços de TIC críticos a cumprir as obrigações em matéria de transparência e de acesso estabelecidas no presente regulamento não deverá ser posta em causa pelas dificuldades devidas à aplicação dessas sanções em relação a terceiros prestadores de serviços de TIC críticos estabelecidos em países terceiros. A fim de assegurar a aplicabilidade dessas sanções e permitir uma rápida implementação de procedimentos que respeitem os direitos de defesa dos terceiros prestadores de serviços de TIC críticos no contexto do mecanismo de designação e da emissão de recomendações, os referidos terceiros prestadores de serviços de TIC críticos que prestem serviços a entidades financeiras que afetem a prestação de serviços financeiros deverão ser obrigados a assegurar uma presença comercial adequada na União. Devido à natureza da supervisão e à ausência de disposições comparáveis noutras jurisdições, não existem mecanismos alternativos adequados que garantam este objetivo através de uma cooperação eficaz com as autoridades de supervisão financeira de países terceiros no que diz respeito à monitorização do impacto dos riscos operacionais digitais colocados por terceiros prestadores de serviços de TIC sistémicos, considerados terceiros prestadores de serviços de TIC críticos estabelecidos em países terceiros. Por conseguinte, a fim de continuar a prestar serviços de TIC a entidades financeiras na União, um terceiro prestador de serviços de TIC estabelecido num país terceiro designado como crítico nos termos do presente regulamento deverá, no prazo de 12 meses a contar dessa designação, tomar todas as medidas necessárias para assegurar a sua incorporação na União, através do estabelecimento de uma filial, na aceção da globalidade do acervo da União, nomeadamente a Diretiva 2013/34/UE do Parlamento Europeu e do Conselho (21). |
| --- | --- |

(81)

Neste contexto, a necessidade de a autoridade fiscalizadora principal impor sanções pecuniárias para obrigar os terceiros prestadores de serviços de TIC críticos a cumprir as obrigações em matéria de transparência e de acesso estabelecidas no presente regulamento não deverá ser posta em causa pelas dificuldades devidas à aplicação dessas sanções em relação a terceiros prestadores de serviços de TIC críticos estabelecidos em países terceiros. A fim de assegurar a aplicabilidade dessas sanções e permitir uma rápida implementação de procedimentos que respeitem os direitos de defesa dos terceiros prestadores de serviços de TIC críticos no contexto do mecanismo de designação e da emissão de recomendações, os referidos terceiros prestadores de serviços de TIC críticos que prestem serviços a entidades financeiras que afetem a prestação de serviços financeiros deverão ser obrigados a assegurar uma presença comercial adequada na União. Devido à natureza da supervisão e à ausência de disposições comparáveis noutras jurisdições, não existem mecanismos alternativos adequados que garantam este objetivo através de uma cooperação eficaz com as autoridades de supervisão financeira de países terceiros no que diz respeito à monitorização do impacto dos riscos operacionais digitais colocados por terceiros prestadores de serviços de TIC sistémicos, considerados terceiros prestadores de serviços de TIC críticos estabelecidos em países terceiros. Por conseguinte, a fim de continuar a prestar serviços de TIC a entidades financeiras na União, um terceiro prestador de serviços de TIC estabelecido num país terceiro designado como crítico nos termos do presente regulamento deverá, no prazo de 12 meses a contar dessa designação, tomar todas as medidas necessárias para assegurar a sua incorporação na União, através do estabelecimento de uma filial, na aceção da globalidade do acervo da União, nomeadamente a Diretiva 2013/34/UE do Parlamento Europeu e do Conselho (21).

| (82) | O requisito de criar uma filial na União não deverá impedir o terceiro prestador de serviços de TIC crítico de prestar serviços de TIC e apoio técnico conexo a partir de instalações e infraestruturas situadas fora da União. O presente regulamento não impõe uma obrigação de localização de dados, uma vez que não exige o armazenamento ou o tratamento de dados na União. |
| --- | --- |

(82)

O requisito de criar uma filial na União não deverá impedir o terceiro prestador de serviços de TIC crítico de prestar serviços de TIC e apoio técnico conexo a partir de instalações e infraestruturas situadas fora da União. O presente regulamento não impõe uma obrigação de localização de dados, uma vez que não exige o armazenamento ou o tratamento de dados na União.

| (83) | Os terceiros prestadores de serviços de TIC críticos deverão poder prestar serviços de TIC a partir de qualquer parte do mundo, não necessariamente ou não apenas em instalações situadas na União. As atividades de superintendência deverão ser realizadas, em primeiro lugar, em instalações situadas na União e através da interação com entidades localizadas na União, incluindo as filiais estabelecidas por terceiros prestadores de serviços de TIC críticos nos termos do presente regulamento. No entanto, essas ações no interior da União podem não ser suficientes para que a autoridade fiscalizadora principal possa desempenhar plena e eficazmente as suas funções nos termos do presente regulamento. Por conseguinte, a autoridade fiscalizadora principal deverá também poder exercer os seus poderes de superintendência pertinentes em países terceiros. O exercício desses poderes em países terceiros deverá permitir à autoridade fiscalizadora principal examinar as instalações a partir das quais os serviços de TIC ou os serviços de apoio técnico são efetivamente prestados ou geridos pelo terceiro prestador de serviços de TIC crítico e deverá proporcionar à autoridade fiscalizadora principal uma compreensão abrangente e operacional da gestão do risco associado às TIC por parte do terceiro prestador de serviços de TIC crítico. A possibilidade de a autoridade fiscalizadora principal, enquanto agência da União, exercer poderes fora do território da União deverá ser devidamente enquadrada pelas condições pertinentes, em especial o consentimento do terceiro prestador de serviços de TIC crítico em causa. Analogamente, as autoridades competentes do país terceiro deverão ser informadas do exercício, no seu próprio território, das atividades da autoridade fiscalizadora principal, e não terem levantado objeções a esse exercício. No entanto, a fim de assegurar uma execução eficiente, e sem prejuízo das competências respetivas das instituições da União e dos Estados-Membros, esses poderes deverão também ser plenamente consagrados quando são celebrados acordos de cooperação administrativa com as autoridades competentes relevantes do país terceiro em causa. O presente regulamento deverá, por conseguinte, permitir que as AES celebrem acordos de cooperação administrativa com as autoridades relevantes de países terceiros, que, aliás, não deverão criar obrigações jurídicas para a União e os seus Estados-Membros. |
| --- | --- |

(83)

Os terceiros prestadores de serviços de TIC críticos deverão poder prestar serviços de TIC a partir de qualquer parte do mundo, não necessariamente ou não apenas em instalações situadas na União. As atividades de superintendência deverão ser realizadas, em primeiro lugar, em instalações situadas na União e através da interação com entidades localizadas na União, incluindo as filiais estabelecidas por terceiros prestadores de serviços de TIC críticos nos termos do presente regulamento. No entanto, essas ações no interior da União podem não ser suficientes para que a autoridade fiscalizadora principal possa desempenhar plena e eficazmente as suas funções nos termos do presente regulamento. Por conseguinte, a autoridade fiscalizadora principal deverá também poder exercer os seus poderes de superintendência pertinentes em países terceiros. O exercício desses poderes em países terceiros deverá permitir à autoridade fiscalizadora principal examinar as instalações a partir das quais os serviços de TIC ou os serviços de apoio técnico são efetivamente prestados ou geridos pelo terceiro prestador de serviços de TIC crítico e deverá proporcionar à autoridade fiscalizadora principal uma compreensão abrangente e operacional da gestão do risco associado às TIC por parte do terceiro prestador de serviços de TIC crítico. A possibilidade de a autoridade fiscalizadora principal, enquanto agência da União, exercer poderes fora do território da União deverá ser devidamente enquadrada pelas condições pertinentes, em especial o consentimento do terceiro prestador de serviços de TIC crítico em causa. Analogamente, as autoridades competentes do país terceiro deverão ser informadas do exercício, no seu próprio território, das atividades da autoridade fiscalizadora principal, e não terem levantado objeções a esse exercício. No entanto, a fim de assegurar uma execução eficiente, e sem prejuízo das competências respetivas das instituições da União e dos Estados-Membros, esses poderes deverão também ser plenamente consagrados quando são celebrados acordos de cooperação administrativa com as autoridades competentes relevantes do país terceiro em causa. O presente regulamento deverá, por conseguinte, permitir que as AES celebrem acordos de cooperação administrativa com as autoridades relevantes de países terceiros, que, aliás, não deverão criar obrigações jurídicas para a União e os seus Estados-Membros.

| (84) | A fim de facilitar a comunicação com a autoridade fiscalizadora principal e assegurar uma representação adequada, os terceiros prestadores de serviços de TIC críticos que façam parte de um grupo deverão designar uma pessoa coletiva como ponto de coordenação. |
| --- | --- |

(84)

A fim de facilitar a comunicação com a autoridade fiscalizadora principal e assegurar uma representação adequada, os terceiros prestadores de serviços de TIC críticos que façam parte de um grupo deverão designar uma pessoa coletiva como ponto de coordenação.

| (85) | O quadro de superintendência não pode prejudicar a competência dos Estados-Membros no que respeita à realização de missões de inspeção ou monitorização de terceiros prestadores de serviços de TIC que não sejam designados como críticos na aceção do presente regulamento, mas que possam ser considerados importantes a nível nacional. |
| --- | --- |

(85)

O quadro de superintendência não pode prejudicar a competência dos Estados-Membros no que respeita à realização de missões de inspeção ou monitorização de terceiros prestadores de serviços de TIC que não sejam designados como críticos na aceção do presente regulamento, mas que possam ser considerados importantes a nível nacional.

| (86) | A fim de tirar melhor partido da arquitetura institucional multifacetada no domínio dos serviços financeiros, o Comité Conjunto das AES deverá continuar a assegurar a coordenação intersetorial global quanto a todas as matérias relativas ao risco associado às TIC, em consonância com as suas atribuições em matéria de cibersegurança. Deverá ter o apoio de um novo subcomité (o «fórum de superintendência»), que leva a cabo os trabalhos preparatórios quer para as decisões individuais dirigidas a terceiros prestadores de serviços de TIC críticos quer para a emissão de recomendações coletivas, em especial no que se refere à avaliação comparativa dos programas de superintendência de terceiros prestadores de serviços de TIC críticos e à identificação de boas práticas para dar resposta às questões relativas ao risco de concentração no domínio das TIC. |
| --- | --- |

(86)

A fim de tirar melhor partido da arquitetura institucional multifacetada no domínio dos serviços financeiros, o Comité Conjunto das AES deverá continuar a assegurar a coordenação intersetorial global quanto a todas as matérias relativas ao risco associado às TIC, em consonância com as suas atribuições em matéria de cibersegurança. Deverá ter o apoio de um novo subcomité (o «fórum de superintendência»), que leva a cabo os trabalhos preparatórios quer para as decisões individuais dirigidas a terceiros prestadores de serviços de TIC críticos quer para a emissão de recomendações coletivas, em especial no que se refere à avaliação comparativa dos programas de superintendência de terceiros prestadores de serviços de TIC críticos e à identificação de boas práticas para dar resposta às questões relativas ao risco de concentração no domínio das TIC.

| (87) | A fim de assegurar que os terceiros prestadores de serviços de TIC críticos são supervisionados de forma adequada e eficaz a nível da União, o presente regulamento prevê que qualquer das três AES possa ser designada como autoridade fiscalizadora principal. A atribuição individual de um terceiro prestador de serviços de TIC crítico a uma das três AES deverá resultar de uma avaliação que determine as entidades financeiras que operam predominantemente nos setores financeiros da responsabilidade dessa AES. Esta abordagem deverá assegurar uma repartição equilibrada de tarefas e responsabilidades entre as três AES, no contexto do exercício das funções de supervisão, e deverá utilizar da melhor forma os recursos humanos e as competências técnicas disponíveis em cada uma das três AES. |
| --- | --- |

(87)

A fim de assegurar que os terceiros prestadores de serviços de TIC críticos são supervisionados de forma adequada e eficaz a nível da União, o presente regulamento prevê que qualquer das três AES possa ser designada como autoridade fiscalizadora principal. A atribuição individual de um terceiro prestador de serviços de TIC crítico a uma das três AES deverá resultar de uma avaliação que determine as entidades financeiras que operam predominantemente nos setores financeiros da responsabilidade dessa AES. Esta abordagem deverá assegurar uma repartição equilibrada de tarefas e responsabilidades entre as três AES, no contexto do exercício das funções de supervisão, e deverá utilizar da melhor forma os recursos humanos e as competências técnicas disponíveis em cada uma das três AES.

| (88) | A autoridade de superintendência principal deverá ser dotada dos poderes necessários para realizar investigações e inspeções no local e à distância às instalações e locais pertinentes dos terceiros prestadores de serviços de TIC críticos e para obter informações completas e atualizadas. Esses poderes deverão permitir à autoridade fiscalizadora principal obter um efetivo conhecimento do tipo, da dimensão e do impacto do risco associado às TIC devido a terceiros que as entidades financeiras e, em última análise, o sistema financeiro da União enfrentam. Confiar às AES o papel de liderança da superintendência constitui uma condição prévia para compreender e fazer face à dimensão sistémica do risco associado às TIC no setor financeiro. O impacto dos terceiros prestadores de serviços de TIC críticos no setor dos serviços financeiros da União e os potenciais problemas provocados pelo risco de concentração no domínio das TIC exigem a adoção de uma abordagem coletiva a nível da União. A realização simultânea e em separado de múltiplas auditorias e os direitos de acesso por numerosas autoridades competentes, com pouca ou nenhuma coordenação, obstaria a que os supervisores financeiros obtivessem uma visão global completa e abrangente do risco associado às TIC devido a terceiros na União, criando também redundância, encargos e complexidade para os terceiros prestadores de serviços de TIC críticos se fossem sujeitos a numerosos pedidos de monitorização e inspeção. |
| --- | --- |

(88)

A autoridade de superintendência principal deverá ser dotada dos poderes necessários para realizar investigações e inspeções no local e à distância às instalações e locais pertinentes dos terceiros prestadores de serviços de TIC críticos e para obter informações completas e atualizadas. Esses poderes deverão permitir à autoridade fiscalizadora principal obter um efetivo conhecimento do tipo, da dimensão e do impacto do risco associado às TIC devido a terceiros que as entidades financeiras e, em última análise, o sistema financeiro da União enfrentam. Confiar às AES o papel de liderança da superintendência constitui uma condição prévia para compreender e fazer face à dimensão sistémica do risco associado às TIC no setor financeiro. O impacto dos terceiros prestadores de serviços de TIC críticos no setor dos serviços financeiros da União e os potenciais problemas provocados pelo risco de concentração no domínio das TIC exigem a adoção de uma abordagem coletiva a nível da União. A realização simultânea e em separado de múltiplas auditorias e os direitos de acesso por numerosas autoridades competentes, com pouca ou nenhuma coordenação, obstaria a que os supervisores financeiros obtivessem uma visão global completa e abrangente do risco associado às TIC devido a terceiros na União, criando também redundância, encargos e complexidade para os terceiros prestadores de serviços de TIC críticos se fossem sujeitos a numerosos pedidos de monitorização e inspeção.

| (89) | Devido às importantes repercussões que a designação como crítico implica, o presente regulamento deverá assegurar que os direitos dos terceiros prestadores de serviços de TIC críticos são respeitados ao longo da aplicação do quadro de superintendência. Antes de serem designados como críticos, esses prestadores deverão, por exemplo, ter o direito de apresentar à autoridade fiscalizadora uma declaração fundamentada que contenha todas as informações relevantes para efeitos da avaliação relacionada com a sua designação. Uma vez que a autoridade de superintendência principal deverá estar habilitada a apresentar recomendações sobre questões relativas ao risco associado às TIC e respetivas medidas corretivas, que incluem os poderes de se opor a determinados acordos contratuais que, em última análise, afetam a estabilidade da entidade financeira ou do sistema financeiro, os terceiros prestadores de serviços de TIC críticos deverão também ter a oportunidade de fornecer, antes da finalização dessas recomendações, explicações sobre o impacto esperado das soluções previstas nas recomendações sobre os clientes que sejam entidades não abrangidas pelo âmbito de aplicação do presente regulamento e de formular soluções para atenuar os riscos. Os terceiros prestadores de serviços de TIC críticos que discordem das recomendações deverão apresentar uma explicação fundamentada da sua intenção de não acatar a recomendação. Se essa explicação fundamentada não for apresentada ou for considerada insuficiente, a autoridade fiscalizadora principal deverá emitir um anúncio público que descreva resumidamente a questão do incumprimento. |
| --- | --- |

(89)

Devido às importantes repercussões que a designação como crítico implica, o presente regulamento deverá assegurar que os direitos dos terceiros prestadores de serviços de TIC críticos são respeitados ao longo da aplicação do quadro de superintendência. Antes de serem designados como críticos, esses prestadores deverão, por exemplo, ter o direito de apresentar à autoridade fiscalizadora uma declaração fundamentada que contenha todas as informações relevantes para efeitos da avaliação relacionada com a sua designação. Uma vez que a autoridade de superintendência principal deverá estar habilitada a apresentar recomendações sobre questões relativas ao risco associado às TIC e respetivas medidas corretivas, que incluem os poderes de se opor a determinados acordos contratuais que, em última análise, afetam a estabilidade da entidade financeira ou do sistema financeiro, os terceiros prestadores de serviços de TIC críticos deverão também ter a oportunidade de fornecer, antes da finalização dessas recomendações, explicações sobre o impacto esperado das soluções previstas nas recomendações sobre os clientes que sejam entidades não abrangidas pelo âmbito de aplicação do presente regulamento e de formular soluções para atenuar os riscos. Os terceiros prestadores de serviços de TIC críticos que discordem das recomendações deverão apresentar uma explicação fundamentada da sua intenção de não acatar a recomendação. Se essa explicação fundamentada não for apresentada ou for considerada insuficiente, a autoridade fiscalizadora principal deverá emitir um anúncio público que descreva resumidamente a questão do incumprimento.

| (90) | Nas suas funções de supervisão prudencial das entidades financeiras, as autoridades competentes deverão incluir devidamente a tarefa de verificar o cumprimento substantivo das recomendações emitidas pela autoridade fiscalizadora principal. As autoridades competentes deverão poder exigir que as entidades financeiras tomem medidas adicionais para fazer face aos riscos identificados nas recomendações da autoridade fiscalizadora principal e deverão, em devido tempo, emitir notificações para esse efeito. Caso a autoridade fiscalizadora principal dirija recomendações a terceiros prestadores de serviços de TIC críticos que sejam supervisionadas nos termos da Diretiva (UE) 2022/2555, as autoridades competentes deverão poder, numa base voluntária e antes de adotar medidas adicionais, consultar as autoridades competentes nos termos dessa diretiva, a fim de promover uma abordagem coordenada em relação aos terceiros prestadores de serviços de TIC críticos em causa. |
| --- | --- |

(90)

Nas suas funções de supervisão prudencial das entidades financeiras, as autoridades competentes deverão incluir devidamente a tarefa de verificar o cumprimento substantivo das recomendações emitidas pela autoridade fiscalizadora principal. As autoridades competentes deverão poder exigir que as entidades financeiras tomem medidas adicionais para fazer face aos riscos identificados nas recomendações da autoridade fiscalizadora principal e deverão, em devido tempo, emitir notificações para esse efeito. Caso a autoridade fiscalizadora principal dirija recomendações a terceiros prestadores de serviços de TIC críticos que sejam supervisionadas nos termos da Diretiva (UE) 2022/2555, as autoridades competentes deverão poder, numa base voluntária e antes de adotar medidas adicionais, consultar as autoridades competentes nos termos dessa diretiva, a fim de promover uma abordagem coordenada em relação aos terceiros prestadores de serviços de TIC críticos em causa.

| (91) | O exercício da supervisão deverá pautar-se por três princípios operacionais destinados a assegurar: a) a estreita coordenação entre as AES nas suas funções de autoridades fiscalizadoras principais, através de uma rede de superintendência conjunta, b) a coerência com o quadro estabelecido pela Diretiva (UE) 2022/2555 (através da consulta voluntária dos organismos ao abrigo dessa diretiva para evitar a duplicação de medidas dirigidas a terceiros prestadores de serviços de TIC críticos), e c) a diligência para minimizar o potencial risco de perturbação dos serviços prestados pelos terceiros prestadores de serviços de TIC críticos aos clientes que são entidades não abrangidas pelo âmbito de aplicação do presente regulamento. |
| --- | --- |

(91)

O exercício da supervisão deverá pautar-se por três princípios operacionais destinados a assegurar: a) a estreita coordenação entre as AES nas suas funções de autoridades fiscalizadoras principais, através de uma rede de superintendência conjunta, b) a coerência com o quadro estabelecido pela Diretiva (UE) 2022/2555 (através da consulta voluntária dos organismos ao abrigo dessa diretiva para evitar a duplicação de medidas dirigidas a terceiros prestadores de serviços de TIC críticos), e c) a diligência para minimizar o potencial risco de perturbação dos serviços prestados pelos terceiros prestadores de serviços de TIC críticos aos clientes que são entidades não abrangidas pelo âmbito de aplicação do presente regulamento.

| (92) | O quadro de superintendência não deverá substituir, de forma alguma ou em parte alguma, o requisito de que as entidades financeiras se encarreguem elas próprias da gestão dos riscos decorrentes do recurso a terceiros prestadores de serviços de TIC, nomeadamente, a sua obrigação de assegurar a monitorização contínua dos acordos contratuais celebrados com terceiros prestadores de serviços de TIC críticos. De igual forma, o quadro de superintendência não deverá afetar a plena responsabilidade das entidades financeiras pelo cumprimento de todas as obrigações jurídicas estabelecidas no presente regulamento e no direito dos serviços financeiros aplicável. |
| --- | --- |

(92)

O quadro de superintendência não deverá substituir, de forma alguma ou em parte alguma, o requisito de que as entidades financeiras se encarreguem elas próprias da gestão dos riscos decorrentes do recurso a terceiros prestadores de serviços de TIC, nomeadamente, a sua obrigação de assegurar a monitorização contínua dos acordos contratuais celebrados com terceiros prestadores de serviços de TIC críticos. De igual forma, o quadro de superintendência não deverá afetar a plena responsabilidade das entidades financeiras pelo cumprimento de todas as obrigações jurídicas estabelecidas no presente regulamento e no direito dos serviços financeiros aplicável.

| (93) | A fim de evitar duplicações e sobreposições, as autoridades competentes deverão evitar adotar medidas de modo individual que visem a monitorização dos riscos do terceiro prestador de serviços de TIC crítico e deverão, a esse respeito, confiar na avaliação pertinente da autoridade fiscalizadora principal. Quaisquer medidas deverão, em todo o caso, ser coordenadas e acordadas de antemão com a autoridade de superintendência principal no contexto do exercício das atribuições no âmbito do quadro de superintendência. |
| --- | --- |

(93)

A fim de evitar duplicações e sobreposições, as autoridades competentes deverão evitar adotar medidas de modo individual que visem a monitorização dos riscos do terceiro prestador de serviços de TIC crítico e deverão, a esse respeito, confiar na avaliação pertinente da autoridade fiscalizadora principal. Quaisquer medidas deverão, em todo o caso, ser coordenadas e acordadas de antemão com a autoridade de superintendência principal no contexto do exercício das atribuições no âmbito do quadro de superintendência.

| (94) | A fim de promover a convergência a nível internacional no que diz respeito às boas práticas a aplicar no exame e na monitorização da gestão do risco digital por parte de terceiros prestadores de serviços de TIC, é necessário incentivar as AES a celebrarem acordos de cooperação com as autoridades competentes de supervisão e regulamentação de países terceiros. |
| --- | --- |

(94)

A fim de promover a convergência a nível internacional no que diz respeito às boas práticas a aplicar no exame e na monitorização da gestão do risco digital por parte de terceiros prestadores de serviços de TIC, é necessário incentivar as AES a celebrarem acordos de cooperação com as autoridades competentes de supervisão e regulamentação de países terceiros.

| (95) | Para tirar melhor partido das competências específicas, das competências técnicas e dos conhecimentos especializados do pessoal especializado em riscos operacionais e associados às TIC das autoridades competentes, as três AES e, a título voluntário, as autoridades competentes nos termos da Diretiva (UE) 2022/2555, a autoridade de superintendência principal deverão aproveitar as capacidades e o conhecimento da supervisão nacional e estabelecer equipas de avaliação para cada terceiro prestador de serviços de TIC crítico, reunindo equipas multidisciplinares para apoiar a preparação e execução de atividades de superintendência, nomeadamente investigações de natureza geral e inspeções no local a terceiros prestadores de serviços de TIC críticos, bem como qualquer acompanhamento posterior que seja necessário. |
| --- | --- |

(95)

Para tirar melhor partido das competências específicas, das competências técnicas e dos conhecimentos especializados do pessoal especializado em riscos operacionais e associados às TIC das autoridades competentes, as três AES e, a título voluntário, as autoridades competentes nos termos da Diretiva (UE) 2022/2555, a autoridade de superintendência principal deverão aproveitar as capacidades e o conhecimento da supervisão nacional e estabelecer equipas de avaliação para cada terceiro prestador de serviços de TIC crítico, reunindo equipas multidisciplinares para apoiar a preparação e execução de atividades de superintendência, nomeadamente investigações de natureza geral e inspeções no local a terceiros prestadores de serviços de TIC críticos, bem como qualquer acompanhamento posterior que seja necessário.

| (96) | Embora os custos resultantes das tarefas de superintendência sejam integralmente financiados pelas taxas cobradas aos terceiros prestadores de serviços de TIC críticos, é provável que as AES incorram, antes do início do quadro de superintendência, em custos com a implementação de sistemas de TIC específicos de apoio à futura superintendência, uma vez que os sistemas de TIC específicos terão de ser desenvolvidos e implantados previamente. Por conseguinte, o presente regulamento prevê um modelo de financiamento híbrido, segundo o qual o quadro de superintendência será, enquanto tal, integralmente financiado por taxas, enquanto o desenvolvimento dos sistemas de TIC das AES será financiado a partir das contribuições da União e das autoridades nacionais competentes. |
| --- | --- |

(96)

Embora os custos resultantes das tarefas de superintendência sejam integralmente financiados pelas taxas cobradas aos terceiros prestadores de serviços de TIC críticos, é provável que as AES incorram, antes do início do quadro de superintendência, em custos com a implementação de sistemas de TIC específicos de apoio à futura superintendência, uma vez que os sistemas de TIC específicos terão de ser desenvolvidos e implantados previamente. Por conseguinte, o presente regulamento prevê um modelo de financiamento híbrido, segundo o qual o quadro de superintendência será, enquanto tal, integralmente financiado por taxas, enquanto o desenvolvimento dos sistemas de TIC das AES será financiado a partir das contribuições da União e das autoridades nacionais competentes.

| (97) | As autoridades competentes deverão estar investidas de todos os poderes de supervisão, investigação e sancionatórios necessários para assegurar o exercício adequado das suas obrigações nos termos do presente regulamento. Deverão, em princípio, publicar os avisos das sanções administrativas que aplicam. Uma vez que as entidades financeiras e os terceiros prestadores de serviços de TIC podem estar estabelecidos em diferentes Estados-Membros e ser supervisionados por diferentes autoridades competentes, a aplicação do presente regulamento deverá ser facilitada, por um lado, pela cooperação estreita entre as autoridades competentes relevantes, incluindo o BCE, no que diz respeito às atribuições específicas que lhe são conferidas pelo Regulamento (UE) n.o 1024/2013 do Conselho, e, por outro, pela consulta com as AES, através do intercâmbio de informações e da prestação de assistência no contexto das atividades pertinentes de supervisão. |
| --- | --- |

(97)

As autoridades competentes deverão estar investidas de todos os poderes de supervisão, investigação e sancionatórios necessários para assegurar o exercício adequado das suas obrigações nos termos do presente regulamento. Deverão, em princípio, publicar os avisos das sanções administrativas que aplicam. Uma vez que as entidades financeiras e os terceiros prestadores de serviços de TIC podem estar estabelecidos em diferentes Estados-Membros e ser supervisionados por diferentes autoridades competentes, a aplicação do presente regulamento deverá ser facilitada, por um lado, pela cooperação estreita entre as autoridades competentes relevantes, incluindo o BCE, no que diz respeito às atribuições específicas que lhe são conferidas pelo Regulamento (UE) n.o 1024/2013 do Conselho, e, por outro, pela consulta com as AES, através do intercâmbio de informações e da prestação de assistência no contexto das atividades pertinentes de supervisão.

| (98) | A fim de quantificar e qualificar mais aprofundadamente os critérios para designar os terceiros prestadores de serviços de TIC como críticos e harmonizar as taxas de superintendência, o poder de adotar atos nos termos do artigo 290.o do TFUE deverá ser delegado na Comissão para completar o presente regulamento especificando mais detalhadamente o impacto sistémico que uma falha ou indisponibilidade operacional de um terceiro prestador de serviços de TIC pode ter nas entidades financeiras às quais presta serviços, o número de instituições de importância sistémica global (G-SII) ou outras instituições de importância sistémica (O-SII) que dependem do terceiro prestador de serviços de TIC em causa, o número de terceiros prestadores de serviços de TIC ativos num dado mercado, os custos de migração dos dados e dos volumes de trabalho de TIC para outro terceiro prestador de serviços de TIC, bem como o montante de taxas de superintendência e as respetivas modalidades de pagamento. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive a nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (22). Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da preparação dos atos delegados. |
| --- | --- |

(98)

A fim de quantificar e qualificar mais aprofundadamente os critérios para designar os terceiros prestadores de serviços de TIC como críticos e harmonizar as taxas de superintendência, o poder de adotar atos nos termos do artigo 290.o do TFUE deverá ser delegado na Comissão para completar o presente regulamento especificando mais detalhadamente o impacto sistémico que uma falha ou indisponibilidade operacional de um terceiro prestador de serviços de TIC pode ter nas entidades financeiras às quais presta serviços, o número de instituições de importância sistémica global (G-SII) ou outras instituições de importância sistémica (O-SII) que dependem do terceiro prestador de serviços de TIC em causa, o número de terceiros prestadores de serviços de TIC ativos num dado mercado, os custos de migração dos dados e dos volumes de trabalho de TIC para outro terceiro prestador de serviços de TIC, bem como o montante de taxas de superintendência e as respetivas modalidades de pagamento. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive a nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (22). Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da preparação dos atos delegados.

| (99) | É conveniente que se assegure a harmonização dos requisitos estabelecidos no presente regulamento por meio de normas técnicas de regulamentação. Nos seus papéis de organismos dotados de conhecimentos muito especializados, as AES deverão elaborar projetos de normas técnicas de regulamentação que não impliquem escolhas políticas, a apresentar à Comissão. Deverão ser desenvolvidas normas técnicas de regulamentação em matéria de gestão do risco associado às TIC, notificação de incidentes de caráter severo relacionados com as TIC, realização de testes, bem como em relação aos requisitos essenciais para uma robusta monitorização do risco associado às TIC devido a terceiros. A Comissão e as AES deverão assegurar que essas normas e requisitos podem ser aplicados por todas as entidades financeiras de uma forma que seja proporcionada à sua dimensão e perfil de risco global, e à natureza, escala e complexidade dos seus serviços, atividades e operações. A Comissão deverá ser ainda habilitada a adotar as referidas normas técnicas de regulamentação por meio de atos delegados nos termos do artigo 290.o do TFUE e nos termos dos artigos 10.o a 14.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010, (UE) n.o 1095/2010. |
| --- | --- |

(99)

É conveniente que se assegure a harmonização dos requisitos estabelecidos no presente regulamento por meio de normas técnicas de regulamentação. Nos seus papéis de organismos dotados de conhecimentos muito especializados, as AES deverão elaborar projetos de normas técnicas de regulamentação que não impliquem escolhas políticas, a apresentar à Comissão. Deverão ser desenvolvidas normas técnicas de regulamentação em matéria de gestão do risco associado às TIC, notificação de incidentes de caráter severo relacionados com as TIC, realização de testes, bem como em relação aos requisitos essenciais para uma robusta monitorização do risco associado às TIC devido a terceiros. A Comissão e as AES deverão assegurar que essas normas e requisitos podem ser aplicados por todas as entidades financeiras de uma forma que seja proporcionada à sua dimensão e perfil de risco global, e à natureza, escala e complexidade dos seus serviços, atividades e operações. A Comissão deverá ser ainda habilitada a adotar as referidas normas técnicas de regulamentação por meio de atos delegados nos termos do artigo 290.o do TFUE e nos termos dos artigos 10.o a 14.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010, (UE) n.o 1095/2010.

| (100) | Para facilitar a comparabilidade dos relatórios de incidentes de caráter severo relacionados com as TIC e incidentes de caráter severo operacionais ou de segurança relacionados com pagamentos, bem como assegurar a transparência respeitante aos acordos contratuais a utilizar no âmbito dos serviços de TIC prestados por terceiros prestadores de serviços de TIC, as AES deverão elaborar projetos de normas técnicas de execução que criem procedimentos, formulários e modelos normalizados para que as entidades financeiras possam notificar incidentes de caráter severo relacionados com as TIC e incidentes de caráter severo operacionais ou de segurança relacionados com pagamentos, bem como modelos normalizados para o registo de informações. Ao elaborarem essas normas, as AES deverão ter em conta a dimensão e o perfil de risco global da entidade financeira, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações. A Comissão deverá ainda ficar habilitada a adotar as referidas normas técnicas de execução por meio de atos de execução nos termos do artigo 291.o do TFUE e nos termos do artigo 15.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010, (UE) n.o 1095/2010. |
| --- | --- |

(100)

Para facilitar a comparabilidade dos relatórios de incidentes de caráter severo relacionados com as TIC e incidentes de caráter severo operacionais ou de segurança relacionados com pagamentos, bem como assegurar a transparência respeitante aos acordos contratuais a utilizar no âmbito dos serviços de TIC prestados por terceiros prestadores de serviços de TIC, as AES deverão elaborar projetos de normas técnicas de execução que criem procedimentos, formulários e modelos normalizados para que as entidades financeiras possam notificar incidentes de caráter severo relacionados com as TIC e incidentes de caráter severo operacionais ou de segurança relacionados com pagamentos, bem como modelos normalizados para o registo de informações. Ao elaborarem essas normas, as AES deverão ter em conta a dimensão e o perfil de risco global da entidade financeira, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações. A Comissão deverá ainda ficar habilitada a adotar as referidas normas técnicas de execução por meio de atos de execução nos termos do artigo 291.o do TFUE e nos termos do artigo 15.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010, (UE) n.o 1095/2010.

| (101) | Dado que já foram especificados requisitos adicionais por meio de atos de delegados e de execução com base em normas técnicas de regulamentação e normas técnicas de execução nos Regulamentos (CE) n.o 1060/2009 (23), (UE) n.o 648/2012 (24), (UE) n.o 600/2014 (25) e (UE) n.o 909/2014 do Parlamento Europeu e do Conselho (26), afigura-se oportuno mandatar as AES, seja a título individual ou conjuntamente, por meio do Comité Conjunto, para apresentarem normas técnicas de regulamentação e execução à Comissão para adoção de atos delegados e de execução que transponham ou atualizem as regras vigentes de gestão do risco associado às TIC. |
| --- | --- |

(101)

Dado que já foram especificados requisitos adicionais por meio de atos de delegados e de execução com base em normas técnicas de regulamentação e normas técnicas de execução nos Regulamentos (CE) n.o 1060/2009 (23), (UE) n.o 648/2012 (24), (UE) n.o 600/2014 (25) e (UE) n.o 909/2014 do Parlamento Europeu e do Conselho (26), afigura-se oportuno mandatar as AES, seja a título individual ou conjuntamente, por meio do Comité Conjunto, para apresentarem normas técnicas de regulamentação e execução à Comissão para adoção de atos delegados e de execução que transponham ou atualizem as regras vigentes de gestão do risco associado às TIC.

| (102) | Uma vez que o presente regulamento, juntamente com a Diretiva (UE) 2022/2556 do Parlamento Europeu e do Conselho (27), implica uma consolidação das disposições em matéria de gestão do risco associado às TIC em diversos regulamentos e diretivas do acervo da União em matéria de serviços financeiros, nomeadamente os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014 e (UE) n.o 909/2014 e o Regulamento (UE) 2016/1011 do Parlamento Europeu e do Conselho (28), a fim de assegurar a plena coerência, os referidos regulamentos deverão ser alterados para clarificar que as disposições aplicáveis relacionadas com o risco associado às TIC são estabelecidas no presente regulamento. |
| --- | --- |

(102)

Uma vez que o presente regulamento, juntamente com a Diretiva (UE) 2022/2556 do Parlamento Europeu e do Conselho (27), implica uma consolidação das disposições em matéria de gestão do risco associado às TIC em diversos regulamentos e diretivas do acervo da União em matéria de serviços financeiros, nomeadamente os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014 e (UE) n.o 909/2014 e o Regulamento (UE) 2016/1011 do Parlamento Europeu e do Conselho (28), a fim de assegurar a plena coerência, os referidos regulamentos deverão ser alterados para clarificar que as disposições aplicáveis relacionadas com o risco associado às TIC são estabelecidas no presente regulamento.

| (103) | Por conseguinte, o âmbito de aplicação dos artigos pertinentes relacionados com o risco operacional, sobre os quais os poderes conferidos nos Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 preveem a adoção de atos delegados e de execução, deverá ser restringido, com vista a transpor para o presente regulamento todas as disposições que abrangem os aspetos da resiliência operacional digital que atualmente fazem parte desses regulamentos. |
| --- | --- |

(103)

Por conseguinte, o âmbito de aplicação dos artigos pertinentes relacionados com o risco operacional, sobre os quais os poderes conferidos nos Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 preveem a adoção de atos delegados e de execução, deverá ser restringido, com vista a transpor para o presente regulamento todas as disposições que abrangem os aspetos da resiliência operacional digital que atualmente fazem parte desses regulamentos.

| (104) | O potencial ciber-risco sistémico associado à utilização de infraestruturas de TIC que permitem o funcionamento dos sistemas de pagamento e a realização de atividades de processamento de pagamentos deverão ser devidamente abordados a nível da União através de regras harmonizadas em matéria de resiliência digital. Para o efeito, a Comissão deverá avaliar rapidamente a necessidade de rever o âmbito de aplicação do presente regulamento, alinhando simultaneamente essa revisão com o resultado da revisão global prevista na Diretiva (UE) 2015/2366. Numerosos ataques em grande escala ao longo da última década têm demonstrado como os sistemas de pagamento ficaram expostos a ciberameaças. No centro da cadeia de serviços de pagamento e com fortes interligações com o sistema financeiro global, os sistemas de pagamento e as atividades de processamento de pagamentos assumiram uma importância crítica para o funcionamento dos mercados financeiros da União. Os ciberataques a esses sistemas podem causar graves perturbações operacionais às empresas, com repercussões diretas nas principais funções económicas, como a facilitação dos pagamentos, e com efeitos indiretos nos processos económicos conexos. Até que sejam instituídos, a nível da União, um regime harmonizado e a supervisão dos operadores de sistemas de pagamento e das entidades de processamento, os Estados-Membros podem, com vista à aplicação de práticas de mercado semelhantes, inspirar-se nos requisitos de resiliência operacional digital estabelecidos no presente regulamento, ao aplicarem regras aos operadores de sistemas de pagamento e às entidades de processamento supervisionadas nas suas próprias jurisdições. |
| --- | --- |

(104)

O potencial ciber-risco sistémico associado à utilização de infraestruturas de TIC que permitem o funcionamento dos sistemas de pagamento e a realização de atividades de processamento de pagamentos deverão ser devidamente abordados a nível da União através de regras harmonizadas em matéria de resiliência digital. Para o efeito, a Comissão deverá avaliar rapidamente a necessidade de rever o âmbito de aplicação do presente regulamento, alinhando simultaneamente essa revisão com o resultado da revisão global prevista na Diretiva (UE) 2015/2366. Numerosos ataques em grande escala ao longo da última década têm demonstrado como os sistemas de pagamento ficaram expostos a ciberameaças. No centro da cadeia de serviços de pagamento e com fortes interligações com o sistema financeiro global, os sistemas de pagamento e as atividades de processamento de pagamentos assumiram uma importância crítica para o funcionamento dos mercados financeiros da União. Os ciberataques a esses sistemas podem causar graves perturbações operacionais às empresas, com repercussões diretas nas principais funções económicas, como a facilitação dos pagamentos, e com efeitos indiretos nos processos económicos conexos. Até que sejam instituídos, a nível da União, um regime harmonizado e a supervisão dos operadores de sistemas de pagamento e das entidades de processamento, os Estados-Membros podem, com vista à aplicação de práticas de mercado semelhantes, inspirar-se nos requisitos de resiliência operacional digital estabelecidos no presente regulamento, ao aplicarem regras aos operadores de sistemas de pagamento e às entidades de processamento supervisionadas nas suas próprias jurisdições.

| (105) | Atendendo a que o objetivo do presente regulamento, a saber, alcançar um elevado nível de resiliência operacional digital em relação a todas as entidades reguladas do setor financeiro, não pode ser suficientemente alcançado pelos Estados-Membros por requerer a harmonização de várias regras diferentes no direito da União e nacional, mas pode, devido à sua dimensão e aos seus efeitos, ser mais bem alcançado a nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para atingir esse objetivo. |
| --- | --- |

(105)

Atendendo a que o objetivo do presente regulamento, a saber, alcançar um elevado nível de resiliência operacional digital em relação a todas as entidades reguladas do setor financeiro, não pode ser suficientemente alcançado pelos Estados-Membros por requerer a harmonização de várias regras diferentes no direito da União e nacional, mas pode, devido à sua dimensão e aos seus efeitos, ser mais bem alcançado a nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para atingir esse objetivo.

| (106) | A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (29) e emitiu parecer em 10 de maio de 2021 (30), |
| --- | --- |

(106)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (29) e emitiu parecer em 10 de maio de 2021 (30),

ADOTARAM O PRESENTE REGULAMENTO:

CAPÍTULO I

Disposições gerais

Artigo 1.o

Objeto

1.   A fim de alcançar um elevado nível de resiliência operacional digital, o presente regulamento estabelece requisitos uniformes no que respeita à segurança dos sistemas de rede e informação que apoiam os processos operacionais das entidades financeiras, como se segue:

| a) | Requisitos aplicáveis às entidades financeiras em matéria de:






  i) | gestão do risco no domínio das tecnologias da informação e comunicação (TIC), |
| --- | --- | --- |

a)

Requisitos aplicáveis às entidades financeiras em matéria de:

i)

gestão do risco no domínio das tecnologias da informação e comunicação (TIC),

| ii) | notificação de incidentes de caráter severo relacionados com as TIC e notificação, numa base voluntária, de ciberameaças significativas às autoridades competentes, |
| --- | --- |

ii)

notificação de incidentes de caráter severo relacionados com as TIC e notificação, numa base voluntária, de ciberameaças significativas às autoridades competentes,

| iii) | notificação de incidentes de caráter severo operacionais ou de segurança, relacionados com pagamentos, às autoridades competentes pelas entidades financeiras a que se refere o artigo 2.o, n.o 1, alíneas a) a d), |
| --- | --- |

iii)

notificação de incidentes de caráter severo operacionais ou de segurança, relacionados com pagamentos, às autoridades competentes pelas entidades financeiras a que se refere o artigo 2.o, n.o 1, alíneas a) a d),

| iv) | realização de testes de resiliência operacional digital, |
| --- | --- |

iv)

realização de testes de resiliência operacional digital,

| v) | partilha de dados e informações sobre as ciberameaças e as vulnerabilidades, |
| --- | --- |

v)

partilha de dados e informações sobre as ciberameaças e as vulnerabilidades,

| vi) | medidas para a boa gestão do risco associado às TIC devido a terceiros; |
| --- | --- |

vi)

medidas para a boa gestão do risco associado às TIC devido a terceiros;

| b) | Requisitos referentes aos acordos contratuais celebrados entre terceiros prestadores de serviços de TIC e entidades financeiras; |
| --- | --- |

b)

Requisitos referentes aos acordos contratuais celebrados entre terceiros prestadores de serviços de TIC e entidades financeiras;

| c) | Regras para o estabelecimento e execução do quadro de superintendência dos terceiros prestadores de serviços de TIC críticos na prestação desses serviços a entidades financeiras; |
| --- | --- |

c)

Regras para o estabelecimento e execução do quadro de superintendência dos terceiros prestadores de serviços de TIC críticos na prestação desses serviços a entidades financeiras;

| d) | Regras de cooperação entre as autoridades competentes e regras de supervisão e execução pelas autoridades competentes em todas as matérias abrangidas pelo presente regulamento. |
| --- | --- |

d)

Regras de cooperação entre as autoridades competentes e regras de supervisão e execução pelas autoridades competentes em todas as matérias abrangidas pelo presente regulamento.

2.   Quanto às entidades financeiras identificadas como entidades essenciais ou importantes nos termos das regras nacionais que transpõem o artigo 3.o da Diretiva (UE) 2022/2555, considera-se que o presente regulamento constitui um ato jurídico setorial da União para efeitos do artigo 4.o da referida diretiva.

3.   O presente regulamento não prejudica a responsabilidade dos Estados-Membros no que diz respeito às funções essenciais do Estado respeitantes à segurança pública, à defesa e à segurança nacional, em conformidade com o direito da União.

Artigo 2.o

Âmbito

1.   Sem prejuízo no disposto nos n.os 3 e 4, o presente regulamento é aplicável às seguintes entidades:

| a) | Instituições de crédito; |
| --- | --- |

a)

Instituições de crédito;

| b) | Instituições de pagamento, incluindo instituições de pagamento isentas nos termos da Diretiva (UE) 2015/2366; |
| --- | --- |

b)

Instituições de pagamento, incluindo instituições de pagamento isentas nos termos da Diretiva (UE) 2015/2366;

| c) | Prestadores de serviços de informação sobre contas; |
| --- | --- |

c)

Prestadores de serviços de informação sobre contas;

| d) | Instituições de moeda eletrónica, incluindo instituições de moeda eletrónica isentas nos termos da Diretiva 2009/110/CE; |
| --- | --- |

d)

Instituições de moeda eletrónica, incluindo instituições de moeda eletrónica isentas nos termos da Diretiva 2009/110/CE;

| e) | Empresas de investimento; |
| --- | --- |

e)

Empresas de investimento;

| f) | Prestadores de serviços de criptoativos, autorizados nos termos de um regulamento do Parlamento Europeu e do Conselho relativo aos mercados de criptoativos, e que altera os Regulamentos (UE) n.o 1093/2010 e (UE) n.o 1095/2010 e as Diretivas 2013/36/UE e (UE) 2019/1937 (o «regulamento relativo aos mercados de criptoativos») e emitentes de criptofichas (tokens) referenciadas a ativos; |
| --- | --- |

f)

Prestadores de serviços de criptoativos, autorizados nos termos de um regulamento do Parlamento Europeu e do Conselho relativo aos mercados de criptoativos, e que altera os Regulamentos (UE) n.o 1093/2010 e (UE) n.o 1095/2010 e as Diretivas 2013/36/UE e (UE) 2019/1937 (o «regulamento relativo aos mercados de criptoativos») e emitentes de criptofichas (tokens) referenciadas a ativos;

| g) | Centrais de valores mobiliários; |
| --- | --- |

g)

Centrais de valores mobiliários;

| h) | Contrapartes centrais; |
| --- | --- |

h)

Contrapartes centrais;

| i) | Plataformas de negociação; |
| --- | --- |

i)

Plataformas de negociação;

| j) | Repositórios de transações; |
| --- | --- |

j)

Repositórios de transações;

| k) | Gestores de fundos de investimento alternativos; |
| --- | --- |

k)

Gestores de fundos de investimento alternativos;

| l) | Sociedades gestoras; |
| --- | --- |

l)

Sociedades gestoras;

| m) | Prestadores de serviços de comunicação de dados; |
| --- | --- |

m)

Prestadores de serviços de comunicação de dados;

| n) | Empresas de seguros e de resseguros; |
| --- | --- |

n)

Empresas de seguros e de resseguros;

| o) | Mediadores de seguros, mediadores de resseguros e mediadores de seguros a título acessório; |
| --- | --- |

o)

Mediadores de seguros, mediadores de resseguros e mediadores de seguros a título acessório;

| p) | Instituições de realização de planos de pensões profissionais; |
| --- | --- |

p)

Instituições de realização de planos de pensões profissionais;

| q) | Agências de notação de risco; |
| --- | --- |

q)

Agências de notação de risco;

| r) | Administradores de índices de referência críticos; |
| --- | --- |

r)

Administradores de índices de referência críticos;

| s) | Prestadores de serviços de financiamento colaborativo; |
| --- | --- |

s)

Prestadores de serviços de financiamento colaborativo;

| t) | Repositórios de titularizações; |
| --- | --- |

t)

Repositórios de titularizações;

| u) | Terceiros prestadores de serviços de TIC. |
| --- | --- |

u)

Terceiros prestadores de serviços de TIC.

2.   Para efeitos do presente regulamento, as entidades a que se refere o n.o 1, alíneas a) a t), são coletivamente referidas como «entidades financeiras».

3.   O presente regulamento não se aplica a:

| a) | Gestores de fundos de investimento alternativos, a que se refere o artigo 3.o, n.o 2, da Diretiva 2011/61/UE; |
| --- | --- |

a)

Gestores de fundos de investimento alternativos, a que se refere o artigo 3.o, n.o 2, da Diretiva 2011/61/UE;

| b) | Empresas de seguros e de resseguros, a que se refere o artigo 4.o, da Diretiva 2009/138/CE; |
| --- | --- |

b)

Empresas de seguros e de resseguros, a que se refere o artigo 4.o, da Diretiva 2009/138/CE;

| c) | Instituições de realização de planos de pensões profissionais que gerem planos de pensões que, no seu conjunto, não tenham mais de 15 membros; |
| --- | --- |

c)

Instituições de realização de planos de pensões profissionais que gerem planos de pensões que, no seu conjunto, não tenham mais de 15 membros;

| d) | Pessoas singulares ou coletivas isentas nos termos dos artigos 2.o e 3.o da Diretiva 2014/65/UE; |
| --- | --- |

d)

Pessoas singulares ou coletivas isentas nos termos dos artigos 2.o e 3.o da Diretiva 2014/65/UE;

| e) | Mediadores de seguros, mediadores de resseguros e mediadores de seguros a título acessório que sejam microempresas ou pequenas ou médias empresas; |
| --- | --- |

e)

Mediadores de seguros, mediadores de resseguros e mediadores de seguros a título acessório que sejam microempresas ou pequenas ou médias empresas;

| f) | Instituições de cheques postais a que se refere o artigo 2.o, n.o 5, ponto 3, da Diretiva 2013/36/UE. |
| --- | --- |

f)

Instituições de cheques postais a que se refere o artigo 2.o, n.o 5, ponto 3, da Diretiva 2013/36/UE.

4.   Os Estados-Membros podem excluir do âmbito de aplicação do presente regulamento as entidades a que se refere o artigo 2.o, n.o 5, pontos 4 a 23, da Diretiva 2013/36/UE que estejam situadas nos respetivos territórios. Sempre que um Estado-Membro recorrer a essa opção, informa do facto a Comissão, bem como de quaisquer alterações subsequentes. A Comissão disponibiliza essas informações ao público no seu sítio Web ou noutros meios facilmente acessíveis.

Artigo 3.o

Definições

Para efeitos do presente regulamento, entende-se por:

| 1) | «Resiliência operacional digital», a capacidade da entidade financeira para criar, assegurar e reavaliar a sua integridade e fiabilidade operacionais, assegurando direta ou indiretamente, com recurso a serviços fornecidos por terceiros prestadores de serviços de TIC, toda a gama de capacidades relacionadas com as TIC necessárias para salvaguardar a segurança dos sistemas de rede e informação que a entidade financeira utiliza e que permitem a contínua prestação de serviços financeiros e a qualidade dos mesmos, inclusive em alturas de perturbações; |
| --- | --- |

1)

«Resiliência operacional digital», a capacidade da entidade financeira para criar, assegurar e reavaliar a sua integridade e fiabilidade operacionais, assegurando direta ou indiretamente, com recurso a serviços fornecidos por terceiros prestadores de serviços de TIC, toda a gama de capacidades relacionadas com as TIC necessárias para salvaguardar a segurança dos sistemas de rede e informação que a entidade financeira utiliza e que permitem a contínua prestação de serviços financeiros e a qualidade dos mesmos, inclusive em alturas de perturbações;

| 2) | «Sistema de rede e informação», um sistema de rede e informação na aceção do artigo 6.o, ponto 1, da Diretiva (UE) 2022/2555; |
| --- | --- |

2)

«Sistema de rede e informação», um sistema de rede e informação na aceção do artigo 6.o, ponto 1, da Diretiva (UE) 2022/2555;

o

| 3) | «Sistema de TIC legado», um sistema de TIC que atingiu o fim do seu ciclo de vida (fim de vida), que não é passível de atualizações ou correções, por razões tecnológicas ou comerciais, ou que deixou de ser apoiado pelo seu fornecedor ou por um terceiro prestador de serviços de TIC, mas que ainda está a ser utilizado e apoia as funções da entidade financeira; |
| --- | --- |

3)

«Sistema de TIC legado», um sistema de TIC que atingiu o fim do seu ciclo de vida (fim de vida), que não é passível de atualizações ou correções, por razões tecnológicas ou comerciais, ou que deixou de ser apoiado pelo seu fornecedor ou por um terceiro prestador de serviços de TIC, mas que ainda está a ser utilizado e apoia as funções da entidade financeira;

| 4) | «Segurança dos sistemas de rede e informação», a segurança dos sistemas de rede e informação na aceção do artigo 6.o, ponto 2, da Diretiva (UE) 2022/2555; |
| --- | --- |

4)

«Segurança dos sistemas de rede e informação», a segurança dos sistemas de rede e informação na aceção do artigo 6.o, ponto 2, da Diretiva (UE) 2022/2555;

o

| 5) | «Risco associado às TIC», qualquer circunstância razoavelmente identificável relacionada com a utilização de sistemas de rede e informação que, caso se materialize, pode comprometer a segurança dos sistemas de rede e informação, de qualquer instrumento ou processo dependente de tecnologia, do funcionamento e da execução de processos ou da prestação de serviços, causando efeitos adversos no ambiente digital ou físico; |
| --- | --- |

5)

«Risco associado às TIC», qualquer circunstância razoavelmente identificável relacionada com a utilização de sistemas de rede e informação que, caso se materialize, pode comprometer a segurança dos sistemas de rede e informação, de qualquer instrumento ou processo dependente de tecnologia, do funcionamento e da execução de processos ou da prestação de serviços, causando efeitos adversos no ambiente digital ou físico;

| 6) | «Ativo de informação», um conjunto de informações, tangível ou intangível, que deve ser protegido; |
| --- | --- |

6)

«Ativo de informação», um conjunto de informações, tangível ou intangível, que deve ser protegido;

| 7) | «Ativo de TIC», um ativo de programas informáticos ou de equipamentos informáticos nos sistemas de rede e informação utilizados pela entidade financeira; |
| --- | --- |

7)

«Ativo de TIC», um ativo de programas informáticos ou de equipamentos informáticos nos sistemas de rede e informação utilizados pela entidade financeira;

| 8) | «Incidente relacionado com as TIC», uma ocorrência ou uma série de ocorrências conexas não previstas pelas entidades financeiras que comprometem a segurança dos sistemas de rede e informação e têm um impacto adverso na disponibilidade, autenticidade, integridade ou confidencialidade dos dados ou nos serviços prestados pela entidade financeira; |
| --- | --- |

8)

«Incidente relacionado com as TIC», uma ocorrência ou uma série de ocorrências conexas não previstas pelas entidades financeiras que comprometem a segurança dos sistemas de rede e informação e têm um impacto adverso na disponibilidade, autenticidade, integridade ou confidencialidade dos dados ou nos serviços prestados pela entidade financeira;

| 9) | «Incidente operacional ou de segurança relacionado com pagamentos», uma ocorrência ou uma série de ocorrências conexas não previstas pelas entidades financeiras, a que se refere o artigo, 2.o, n.o 1, alíneas a) a d), quer sejam ou não relacionados com as TIC, que têm um impacto adverso na disponibilidade, autenticidade, integridade ou confidencialidade dos dados relacionados com pagamentos ou nos serviços prestados pela entidade financeira relacionados com pagamentos; |
| --- | --- |

9)

«Incidente operacional ou de segurança relacionado com pagamentos», uma ocorrência ou uma série de ocorrências conexas não previstas pelas entidades financeiras, a que se refere o artigo, 2.o, n.o 1, alíneas a) a d), quer sejam ou não relacionados com as TIC, que têm um impacto adverso na disponibilidade, autenticidade, integridade ou confidencialidade dos dados relacionados com pagamentos ou nos serviços prestados pela entidade financeira relacionados com pagamentos;

o

o

| 10) | «Incidente de caráter severo relacionado com as TIC», um incidente relacionado com as TIC que tem um elevado impacto negativo nos sistemas de rede e informação que apoiam funções críticas ou importantes da entidade financeira; |
| --- | --- |

10)

«Incidente de caráter severo relacionado com as TIC», um incidente relacionado com as TIC que tem um elevado impacto negativo nos sistemas de rede e informação que apoiam funções críticas ou importantes da entidade financeira;

| 11) | «Incidente de caráter severo operacional ou de segurança relacionado com pagamentos», um incidente operacional ou de segurança relacionado com pagamentos que tem um elevado impacto negativo nos serviços prestados relacionados com pagamentos; |
| --- | --- |

11)

«Incidente de caráter severo operacional ou de segurança relacionado com pagamentos», um incidente operacional ou de segurança relacionado com pagamentos que tem um elevado impacto negativo nos serviços prestados relacionados com pagamentos;

| 12) | «Ciberameaça», uma ciberameaça na aceção do artigo 2.o, ponto 8, do Regulamento (UE) 2019/881; |
| --- | --- |

12)

«Ciberameaça», uma ciberameaça na aceção do artigo 2.o, ponto 8, do Regulamento (UE) 2019/881;

o

| 13) | «Ciberameaça significativa», uma ciberameaça cujas características técnicas indicam que tem o potencial de resultar num incidente de caráter severo relacionado com as TIC ou num incidente de caráter severo operacional ou de segurança relacionado com pagamentos; |
| --- | --- |

13)

«Ciberameaça significativa», uma ciberameaça cujas características técnicas indicam que tem o potencial de resultar num incidente de caráter severo relacionado com as TIC ou num incidente de caráter severo operacional ou de segurança relacionado com pagamentos;

| 14) | «Ciberataque», um incidente doloso relacionado com as TIC provocado por uma tentativa perpetrada pelo autor de ameaças de destruir, revelar, alterar, incapacitar, furtar, obter acesso não autorizado ou utilizar sem autorização um ativo; |
| --- | --- |

14)

«Ciberataque», um incidente doloso relacionado com as TIC provocado por uma tentativa perpetrada pelo autor de ameaças de destruir, revelar, alterar, incapacitar, furtar, obter acesso não autorizado ou utilizar sem autorização um ativo;

| 15) | «Informações sobre ameaças», as informações que foram agregadas, transformadas, analisadas, interpretadas ou suplementadas para dar o contexto necessário à tomada de decisão e permitir um conhecimento pertinente e suficiente para atenuar o impacto de um incidente relacionado com as TIC ou de uma ciberameaça, incluindo os pormenores técnicos de um ciberataque, os respetivos autores, a sua forma de atuar e as suas motivações; |
| --- | --- |

15)

«Informações sobre ameaças», as informações que foram agregadas, transformadas, analisadas, interpretadas ou suplementadas para dar o contexto necessário à tomada de decisão e permitir um conhecimento pertinente e suficiente para atenuar o impacto de um incidente relacionado com as TIC ou de uma ciberameaça, incluindo os pormenores técnicos de um ciberataque, os respetivos autores, a sua forma de atuar e as suas motivações;

| 16) | «Vulnerabilidade», um ponto fraco, uma suscetibilidade ou uma falha de um ativo, sistema, processo ou controlo suscetível de ser explorado; |
| --- | --- |

16)

«Vulnerabilidade», um ponto fraco, uma suscetibilidade ou uma falha de um ativo, sistema, processo ou controlo suscetível de ser explorado;

| 17) | «Testes de penetração baseados em ameaças (TLPT)», um quadro que simula as táticas, as técnicas e os procedimentos de autores de ameaças reais que se considera representarem uma efetiva ciberameaça e que realiza testes controlados, adaptados e com base em informações («equipa vermelha») dos sistemas de produção críticos «ao vivo» da entidade financeira; |
| --- | --- |

17)

«Testes de penetração baseados em ameaças (TLPT)», um quadro que simula as táticas, as técnicas e os procedimentos de autores de ameaças reais que se considera representarem uma efetiva ciberameaça e que realiza testes controlados, adaptados e com base em informações («equipa vermelha») dos sistemas de produção críticos «ao vivo» da entidade financeira;

| 18) | «Risco associado às TIC devido a terceiros», um risco no domínio das TIC a que uma entidade financeira pode estar sujeita no âmbito da sua utilização de serviços de TIC prestados por terceiros prestadores de serviços de TIC ou por subcontratantes desses terceiros, inclusive mediante acordos de subcontratação; |
| --- | --- |

18)

«Risco associado às TIC devido a terceiros», um risco no domínio das TIC a que uma entidade financeira pode estar sujeita no âmbito da sua utilização de serviços de TIC prestados por terceiros prestadores de serviços de TIC ou por subcontratantes desses terceiros, inclusive mediante acordos de subcontratação;

| 19) | «Terceiro prestador de serviços de TIC», uma empresa que presta serviços de TIC; |
| --- | --- |

19)

«Terceiro prestador de serviços de TIC», uma empresa que presta serviços de TIC;

| 20) | «Prestador de serviços de TIC intragrupo», uma empresa que faz parte de um grupo financeiro e presta predominantemente serviços de TIC a entidades financeiras do mesmo grupo ou a entidades financeiras pertencentes ao mesmo sistema de proteção institucional, inclusive às respetivas empresas-mãe, filiais, sucursais ou outras entidades detidas ou controladas pela mesma entidade; |
| --- | --- |

20)

«Prestador de serviços de TIC intragrupo», uma empresa que faz parte de um grupo financeiro e presta predominantemente serviços de TIC a entidades financeiras do mesmo grupo ou a entidades financeiras pertencentes ao mesmo sistema de proteção institucional, inclusive às respetivas empresas-mãe, filiais, sucursais ou outras entidades detidas ou controladas pela mesma entidade;

| 21) | «Serviços de TIC», os serviços digitais e de dados prestados por meio de sistemas de TIC a um ou mais utilizadores internos ou externos, de forma contínua incluindo equipamentos informáticos enquanto serviço e serviços de equipamento informático, o que inclui a prestação de apoio técnico através de atualizações de programas informáticos ou microprogramas pelo fornecedor de equipamentos informáticos, com exclusão dos serviços telefónicos analógicos tradicionais; |
| --- | --- |

21)

«Serviços de TIC», os serviços digitais e de dados prestados por meio de sistemas de TIC a um ou mais utilizadores internos ou externos, de forma contínua incluindo equipamentos informáticos enquanto serviço e serviços de equipamento informático, o que inclui a prestação de apoio técnico através de atualizações de programas informáticos ou microprogramas pelo fornecedor de equipamentos informáticos, com exclusão dos serviços telefónicos analógicos tradicionais;

| 22) | «Função crítica ou importante», uma função cuja perturbação comprometeria significativamente o desempenho financeiro de uma entidade financeira ou a solidez ou continuidade dos seus serviços e das suas atividades, ou a interrupção, anomalia ou falha dessa função comprometeria significativamente o contínuo cumprimento das condições e obrigações decorrentes da autorização da entidade financeira, ou das suas restantes obrigações ao abrigo do direito dos serviços financeiros aplicável; |
| --- | --- |

22)

«Função crítica ou importante», uma função cuja perturbação comprometeria significativamente o desempenho financeiro de uma entidade financeira ou a solidez ou continuidade dos seus serviços e das suas atividades, ou a interrupção, anomalia ou falha dessa função comprometeria significativamente o contínuo cumprimento das condições e obrigações decorrentes da autorização da entidade financeira, ou das suas restantes obrigações ao abrigo do direito dos serviços financeiros aplicável;

| 23) | «Terceiro prestador de serviços de TIC crítico», um terceiro prestador de serviços de TIC designado como crítico nos termos do artigo 31.o; |
| --- | --- |

23)

«Terceiro prestador de serviços de TIC crítico», um terceiro prestador de serviços de TIC designado como crítico nos termos do artigo 31.o;

o

| 24) | «Terceiro prestador de serviços de TIC estabelecido num país terceiro», um terceiro prestador de serviços de TIC que é uma pessoa coletiva estabelecida num país terceiro que celebrou um acordo contratual com uma entidade financeira para a prestação de serviços de TIC; |
| --- | --- |

24)

«Terceiro prestador de serviços de TIC estabelecido num país terceiro», um terceiro prestador de serviços de TIC que é uma pessoa coletiva estabelecida num país terceiro que celebrou um acordo contratual com uma entidade financeira para a prestação de serviços de TIC;

| 25) | «Filial», uma empresa filial na aceção do artigo 2.o, ponto 10, e do artigo 22.o da Diretiva 2013/34/UE; |
| --- | --- |

25)

«Filial», uma empresa filial na aceção do artigo 2.o, ponto 10, e do artigo 22.o da Diretiva 2013/34/UE;

o

o

| 26) | «Grupo», um grupo na aceção do artigo 2.o, ponto 11, da Diretiva 2013/34/UE; |
| --- | --- |

26)

«Grupo», um grupo na aceção do artigo 2.o, ponto 11, da Diretiva 2013/34/UE;

o

| 27) | «Empresa-mãe», uma empresa-mãe na aceção do artigo 2.o, ponto 9, e do artigo 22.o da Diretiva 2013/34/UE; |
| --- | --- |

27)

«Empresa-mãe», uma empresa-mãe na aceção do artigo 2.o, ponto 9, e do artigo 22.o da Diretiva 2013/34/UE;

o

o

| 28) | «Subcontratante de TIC estabelecido num país terceiro», um subcontratante de TIC que é uma pessoa coletiva estabelecida num país terceiro, e que celebrou um acordo contratual ou com um terceiro prestador de serviços de TIC, ou com um terceiro prestador de serviços de TIC estabelecido num país terceiro; |
| --- | --- |

28)

«Subcontratante de TIC estabelecido num país terceiro», um subcontratante de TIC que é uma pessoa coletiva estabelecida num país terceiro, e que celebrou um acordo contratual ou com um terceiro prestador de serviços de TIC, ou com um terceiro prestador de serviços de TIC estabelecido num país terceiro;

| 29) | «Risco de concentração no domínio das TIC», a exposição a um ou mais terceiros prestadores de serviços de TIC críticos que cria um nível de dependência desses prestadores de tal modo que a indisponibilidade, uma avaria ou outro tipo de insuficiência destes últimos pode pôr em perigo a capacidade de uma entidade financeira para desempenhar funções críticas ou importantes, ou provocar outros tipos de efeitos negativos para essa entidade, incluindo perdas consideráveis, ou ainda pôr em perigo a estabilidade financeira da União no seu todo; |
| --- | --- |

29)

«Risco de concentração no domínio das TIC», a exposição a um ou mais terceiros prestadores de serviços de TIC críticos que cria um nível de dependência desses prestadores de tal modo que a indisponibilidade, uma avaria ou outro tipo de insuficiência destes últimos pode pôr em perigo a capacidade de uma entidade financeira para desempenhar funções críticas ou importantes, ou provocar outros tipos de efeitos negativos para essa entidade, incluindo perdas consideráveis, ou ainda pôr em perigo a estabilidade financeira da União no seu todo;

| 30) | «Órgão de administração», o órgão de administração na aceção do artigo 4.o, n.o 1, ponto 36, da Diretiva 2014/65/UE, do artigo 3.o, n.o 1, ponto 7, da Diretiva 2013/36/UE, do artigo 2.o, n.o 1, alínea s), da Diretiva 2009/65/CE do Parlamento Europeu e do Conselho (31), do artigo 2.o, n.o 1, ponto 45, do Regulamento (UE) n.o 909/2014, do artigo 3.o, n.o 1, ponto 20, do Regulamento (UE) 2016/1011 e das disposições pertinentes do regulamento relativo aos mercados de criptoativos ou as pessoas equiparadas que administram efetivamente a entidade ou desempenham funções fundamentais em conformidade com o direito nacional ou da União pertinente; |
| --- | --- |

30)

«Órgão de administração», o órgão de administração na aceção do artigo 4.o, n.o 1, ponto 36, da Diretiva 2014/65/UE, do artigo 3.o, n.o 1, ponto 7, da Diretiva 2013/36/UE, do artigo 2.o, n.o 1, alínea s), da Diretiva 2009/65/CE do Parlamento Europeu e do Conselho (31), do artigo 2.o, n.o 1, ponto 45, do Regulamento (UE) n.o 909/2014, do artigo 3.o, n.o 1, ponto 20, do Regulamento (UE) 2016/1011 e das disposições pertinentes do regulamento relativo aos mercados de criptoativos ou as pessoas equiparadas que administram efetivamente a entidade ou desempenham funções fundamentais em conformidade com o direito nacional ou da União pertinente;

o

o

o

o

o

o

31

o

o

o

o

o

| 31) | «Instituição de crédito», uma instituição de crédito na aceção do artigo 4.o, n.o 1, ponto 1, do Regulamento (UE) n.o 575/2013 do Parlamento Europeu e do Conselho (32); |
| --- | --- |

31)

«Instituição de crédito», uma instituição de crédito na aceção do artigo 4.o, n.o 1, ponto 1, do Regulamento (UE) n.o 575/2013 do Parlamento Europeu e do Conselho (32);

o

o

o

32

| 32) | «Instituição isenta nos termos da Diretiva 2013/36/UE», uma entidade referida no artigo 2.o, n.o 5, pontos 4 a 23, da Diretiva 2013/36/UE; |
| --- | --- |

32)

«Instituição isenta nos termos da Diretiva 2013/36/UE», uma entidade referida no artigo 2.o, n.o 5, pontos 4 a 23, da Diretiva 2013/36/UE;

o

o

| 33) | «Empresa de investimento», uma empresa de investimento na aceção do artigo 4.o, n.o 1, ponto 1, da Diretiva 2014/65/UE; |
| --- | --- |

33)

«Empresa de investimento», uma empresa de investimento na aceção do artigo 4.o, n.o 1, ponto 1, da Diretiva 2014/65/UE;

o

o

| 34) | «Empresa de investimento de pequena dimensão e não interligada», uma empresa de investimento que cumpre as condições previstas no artigo 12.o, n.o 1, do Regulamento (UE) 2019/2033 do Parlamento Europeu e do Conselho (33); |
| --- | --- |

34)

«Empresa de investimento de pequena dimensão e não interligada», uma empresa de investimento que cumpre as condições previstas no artigo 12.o, n.o 1, do Regulamento (UE) 2019/2033 do Parlamento Europeu e do Conselho (33);

o

o

33

| 35) | «Instituição de pagamento», uma instituição de pagamento na aceção do artigo 4.o, ponto 4, da Diretiva (UE) 2015/2366; |
| --- | --- |

35)

«Instituição de pagamento», uma instituição de pagamento na aceção do artigo 4.o, ponto 4, da Diretiva (UE) 2015/2366;

o

| 36) | «Instituição de pagamento isenta nos termos da Diretiva (UE) 2015/2366», uma instituição de pagamento isenta nos termos do artigo 32.o, n.o 1, da Diretiva (UE) 2015/2366; |
| --- | --- |

36)

«Instituição de pagamento isenta nos termos da Diretiva (UE) 2015/2366», uma instituição de pagamento isenta nos termos do artigo 32.o, n.o 1, da Diretiva (UE) 2015/2366;

o

o

| 37) | «Prestador de serviços de informação sobre contas», um prestador de serviços de informação sobre contas na aceção do artigo 33.o, n.o 1, da Diretiva (UE) 2015/2366; |
| --- | --- |

37)

«Prestador de serviços de informação sobre contas», um prestador de serviços de informação sobre contas na aceção do artigo 33.o, n.o 1, da Diretiva (UE) 2015/2366;

o

o

| 38) | «Instituição de moeda eletrónica», uma instituição de moeda eletrónica na aceção do artigo 2.o, ponto 1, da Diretiva 2009/110/CE do Parlamento Europeu e do Conselho; |
| --- | --- |

38)

«Instituição de moeda eletrónica», uma instituição de moeda eletrónica na aceção do artigo 2.o, ponto 1, da Diretiva 2009/110/CE do Parlamento Europeu e do Conselho;

o

| 39) | «Instituição de moeda eletrónica isenta nos termos da Diretiva 2009/110/CE», uma instituição de moeda eletrónica que beneficia de uma isenção nos termos do artigo 9.o, n.o 1, da Diretiva 2009/110/CE; |
| --- | --- |

39)

«Instituição de moeda eletrónica isenta nos termos da Diretiva 2009/110/CE», uma instituição de moeda eletrónica que beneficia de uma isenção nos termos do artigo 9.o, n.o 1, da Diretiva 2009/110/CE;

o

o

| 40) | «Contraparte central», uma contraparte central na aceção do artigo 2.o, ponto 1, do Regulamento (UE) n.o 648/2012; |
| --- | --- |

40)

«Contraparte central», uma contraparte central na aceção do artigo 2.o, ponto 1, do Regulamento (UE) n.o 648/2012;

o

o

| 41) | «Repositório de transações», um repositório de transações na aceção do artigo 2.o, ponto 2, do Regulamento (UE) n.o 648/2012; |
| --- | --- |

41)

«Repositório de transações», um repositório de transações na aceção do artigo 2.o, ponto 2, do Regulamento (UE) n.o 648/2012;

o

o

| 42) | «Central de valores mobiliários», uma central de valores mobiliários na aceção do artigo 2.o, n.o 1, ponto 1, do Regulamento (UE) n.o 909/2014; |
| --- | --- |

42)

«Central de valores mobiliários», uma central de valores mobiliários na aceção do artigo 2.o, n.o 1, ponto 1, do Regulamento (UE) n.o 909/2014;

o

o

o

| 43) | «Plataforma de negociação», uma plataforma de negociação na aceção do artigo 4.o, n.o 1, ponto 24, da Diretiva 2014/65/UE; |
| --- | --- |

43)

«Plataforma de negociação», uma plataforma de negociação na aceção do artigo 4.o, n.o 1, ponto 24, da Diretiva 2014/65/UE;

o

o

| 44) | «Gestor de fundos de investimento alternativos», um gestor de fundos de investimento alternativos na aceção do artigo 4.o, n.o 1, alínea b), da Diretiva 2011/61/UE; |
| --- | --- |

44)

«Gestor de fundos de investimento alternativos», um gestor de fundos de investimento alternativos na aceção do artigo 4.o, n.o 1, alínea b), da Diretiva 2011/61/UE;

o

o

| 45) | «Sociedade gestora», uma sociedade gestora na aceção do artigo 2.o, n.o 1, alínea b), da Diretiva 2009/65/CE; |
| --- | --- |

45)

«Sociedade gestora», uma sociedade gestora na aceção do artigo 2.o, n.o 1, alínea b), da Diretiva 2009/65/CE;

o

o

| 46) | «Prestador de serviços de comunicação de dados», um prestador de serviços de comunicação de dados na aceção do Regulamento (UE) n.o 600/2014, tal como referido no artigo 2.o, n.o 1, pontos 34 a 36; |
| --- | --- |

46)

«Prestador de serviços de comunicação de dados», um prestador de serviços de comunicação de dados na aceção do Regulamento (UE) n.o 600/2014, tal como referido no artigo 2.o, n.o 1, pontos 34 a 36;

o

o

o

| 47) | «Empresa de seguros», uma empresa de seguros na aceção do artigo 13.o, ponto 1, da Diretiva 2009/138/CE; |
| --- | --- |

47)

«Empresa de seguros», uma empresa de seguros na aceção do artigo 13.o, ponto 1, da Diretiva 2009/138/CE;

o

| 48) | «Empresa de resseguros», uma empresa de resseguros na aceção do artigo 13.o, ponto 4, da Diretiva 2009/138/CE; |
| --- | --- |

48)

«Empresa de resseguros», uma empresa de resseguros na aceção do artigo 13.o, ponto 4, da Diretiva 2009/138/CE;

o

| 49) | «Mediador de seguros», um mediador de seguros na aceção do artigo 2.o, n.o 1, ponto 3, da Diretiva (UE) 2016/97 do Parlamento Europeu e do Conselho (34); |
| --- | --- |

49)

«Mediador de seguros», um mediador de seguros na aceção do artigo 2.o, n.o 1, ponto 3, da Diretiva (UE) 2016/97 do Parlamento Europeu e do Conselho (34);

o

o

34

| 50) | «Mediador de seguros a título acessório», um mediador de seguros a título acessório na aceção do artigo 2.o, n.o 1, ponto 4, da Diretiva (UE) 2016/97; |
| --- | --- |

50)

«Mediador de seguros a título acessório», um mediador de seguros a título acessório na aceção do artigo 2.o, n.o 1, ponto 4, da Diretiva (UE) 2016/97;

o

o

| 51) | «Mediador de resseguros», um mediador de resseguros na aceção do artigo 2.o, n.o 1, ponto 5, da Diretiva (UE) 2016/97; |
| --- | --- |

51)

«Mediador de resseguros», um mediador de resseguros na aceção do artigo 2.o, n.o 1, ponto 5, da Diretiva (UE) 2016/97;

o

o

| 52) | «Instituição de realização de planos de pensões profissionais», uma instituição de realização de planos de pensões profissionais na aceção do artigo 6.o, ponto 1, da Diretiva (UE) 2016/2341; |
| --- | --- |

52)

«Instituição de realização de planos de pensões profissionais», uma instituição de realização de planos de pensões profissionais na aceção do artigo 6.o, ponto 1, da Diretiva (UE) 2016/2341;

o

| 53) | «Pequena instituição de realização de planos de pensões profissionais», uma instituição de realização de planos de pensões profissionais que gere planos de pensões que, no seu conjunto, têm menos de 100 membros; |
| --- | --- |

53)

«Pequena instituição de realização de planos de pensões profissionais», uma instituição de realização de planos de pensões profissionais que gere planos de pensões que, no seu conjunto, têm menos de 100 membros;

| 54) | «Agência de notação de risco», uma agência de notação de risco na aceção do artigo 3.o, n.o 1, alínea b), do Regulamento (CE) n.o 1060/2009; |
| --- | --- |

54)

«Agência de notação de risco», uma agência de notação de risco na aceção do artigo 3.o, n.o 1, alínea b), do Regulamento (CE) n.o 1060/2009;

o

o

o

| 55) | «Prestador de serviços de criptoativos», um prestador de serviços de criptoativos na aceção das disposições pertinentes do regulamento relativo aos mercados de criptoativos; |
| --- | --- |

55)

«Prestador de serviços de criptoativos», um prestador de serviços de criptoativos na aceção das disposições pertinentes do regulamento relativo aos mercados de criptoativos;

| 56) | «Emitente de criptofichas (tokens) referenciadas a ativos», um emitente de criptofichas (tokens) referenciadas a ativos na aceção das disposições pertinentes do regulamento relativo aos mercados de criptoativos; |
| --- | --- |

56)

«Emitente de criptofichas (tokens) referenciadas a ativos», um emitente de criptofichas (tokens) referenciadas a ativos na aceção das disposições pertinentes do regulamento relativo aos mercados de criptoativos;

| 57) | «Administrador de índices de referência críticos», um administrador de «índices de referência críticos» na aceção do artigo 3, n.o 1, ponto 25, do Regulamento (UE) 2016/1011; |
| --- | --- |

57)

«Administrador de índices de referência críticos», um administrador de «índices de referência críticos» na aceção do artigo 3, n.o 1, ponto 25, do Regulamento (UE) 2016/1011;

o

| 58) | «Prestador de serviços de financiamento colaborativo», um prestador de serviços de financiamento colaborativo na aceção do artigo 2.o, n.o 1, alínea e), do Regulamento (UE) 2020/1503 do Parlamento Europeu e do Conselho (35); |
| --- | --- |

58)

«Prestador de serviços de financiamento colaborativo», um prestador de serviços de financiamento colaborativo na aceção do artigo 2.o, n.o 1, alínea e), do Regulamento (UE) 2020/1503 do Parlamento Europeu e do Conselho (35);

o

o

35

| 59) | «Repositório de titularizações», um repositório de titularizações na aceção do artigo 2.o, ponto 23, do Regulamento (UE) 2017/2402 do Parlamento Europeu e do Conselho (36); |
| --- | --- |

59)

«Repositório de titularizações», um repositório de titularizações na aceção do artigo 2.o, ponto 23, do Regulamento (UE) 2017/2402 do Parlamento Europeu e do Conselho (36);

o

36

| 60) | «Microempresa», uma entidade financeira que não é uma plataforma de negociação, uma contraparte central, um repositório de transações ou uma central de valores mobiliários que emprega menos de 10 pessoas e cujo volume de negócios anual e/ou balanço total anual não excede 2 milhões de EUR; |
| --- | --- |

60)

«Microempresa», uma entidade financeira que não é uma plataforma de negociação, uma contraparte central, um repositório de transações ou uma central de valores mobiliários que emprega menos de 10 pessoas e cujo volume de negócios anual e/ou balanço total anual não excede 2 milhões de EUR;

| 61) | «Autoridade fiscalizadora principal», a Autoridade Europeia de Supervisão nomeada nos termos do artigo 31.o, n.o 1, alínea b), do presente regulamento; |
| --- | --- |

61)

«Autoridade fiscalizadora principal», a Autoridade Europeia de Supervisão nomeada nos termos do artigo 31.o, n.o 1, alínea b), do presente regulamento;

o

o

| 62) | «Comité Conjunto», o comité a que se refere o artigo 54.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010; |
| --- | --- |

62)

«Comité Conjunto», o comité a que se refere o artigo 54.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010;

o

o

o

o

| 63) | «Pequena empresa», uma entidade financeira que emprega 10 ou mais pessoas, mas menos de 50 pessoas e cujo volume de negócios anual e/ou balanço total anual excede 2 milhões de EUR, mas não excede 10 milhões de EUR; |
| --- | --- |

63)

«Pequena empresa», uma entidade financeira que emprega 10 ou mais pessoas, mas menos de 50 pessoas e cujo volume de negócios anual e/ou balanço total anual excede 2 milhões de EUR, mas não excede 10 milhões de EUR;

| 64) | «Média empresa», uma entidade financeira que não é uma pequena empresa e que emprega menos de 250 pessoas e cujo volume de negócios anual não excede 50 milhões de EUR e/ou o balanço anual não excede 43 milhões de EUR; |
| --- | --- |

64)

«Média empresa», uma entidade financeira que não é uma pequena empresa e que emprega menos de 250 pessoas e cujo volume de negócios anual não excede 50 milhões de EUR e/ou o balanço anual não excede 43 milhões de EUR;

| 65) | «Autoridade pública», qualquer entidade pública ou da administração pública, incluindo os bancos centrais nacionais. |
| --- | --- |

65)

«Autoridade pública», qualquer entidade pública ou da administração pública, incluindo os bancos centrais nacionais.

Artigo 4.o

Princípio da proporcionalidade

1.   As entidades financeiras aplicam as regras estabelecidas no capítulo II em conformidade com o princípio da proporcionalidade, tendo em conta a respetiva dimensão e o seu perfil de risco global, a natureza, a escala e a complexidade dos seus serviços, atividades e operações.

2.   Além disso, a aplicação pelas entidades financeiras dos capítulos III, IV e V, secção I, é proporcional à sua dimensão e perfil de risco global, bem como à natureza, escala e complexidade dos seus serviços, atividades e operações, tal como especificamente previsto nas regras pertinentes desses capítulos.

3.   As autoridades competentes têm em conta a aplicação do princípio da proporcionalidade pelas entidades financeiras ao analisarem a coerência do quadro de gestão do risco associado às TIC com base nos relatórios apresentados a pedido das autoridades competentes nos termos do artigo 6.o, n.o 5, e do artigo 16.o, n.o 2.

CAPÍTULO II

Gestão do risco associado às TIC

Secção I

Artigo 5.o

Governação e organização

1.   As entidades financeiras implantam um quadro de governação interna e de controlo que garanta uma gestão eficaz e prudente do risco associado às TIC, em consonância com o artigo 6.o, n.o 4, a fim de alcançar um elevado nível de resiliência operacional digital.

2.   O órgão de administração da entidade financeira define, aprova, fiscaliza e é responsável pela aplicação de todas as disposições relacionadas com o quadro de gestão do risco associado às TIC a que se refere o artigo 6.o, n.o 1.

Para efeitos do primeiro parágrafo, o órgão de administração:

| a) | Assume a responsabilidade final pela gestão do risco associado às TIC da entidade financeira; |
| --- | --- |

a)

Assume a responsabilidade final pela gestão do risco associado às TIC da entidade financeira;

| b) | Aplica políticas que visem a manutenção de elevados níveis de disponibilidade, autenticidade, integridade e confidencialidade dos dados; |
| --- | --- |

b)

Aplica políticas que visem a manutenção de elevados níveis de disponibilidade, autenticidade, integridade e confidencialidade dos dados;

| c) | Determina competências e responsabilidades claras para todas as funções relacionadas com as TIC e estabelece mecanismos adequados de governação para assegurar que essas funções comuniquem, cooperem e se coordenem de forma eficaz e atempada entre essas funções; |
| --- | --- |

c)

Determina competências e responsabilidades claras para todas as funções relacionadas com as TIC e estabelece mecanismos adequados de governação para assegurar que essas funções comuniquem, cooperem e se coordenem de forma eficaz e atempada entre essas funções;

| d) | Assume a responsabilidade global pela definição e aprovação da estratégia de resiliência operacional digital a que se refere o artigo 6.o, n.o 8, incluindo a determinação do nível adequado de tolerância ao risco associado às TIC da entidade financeira, a que se refere o artigo 6.o, n.o 8, alínea b); |
| --- | --- |

d)

Assume a responsabilidade global pela definição e aprovação da estratégia de resiliência operacional digital a que se refere o artigo 6.o, n.o 8, incluindo a determinação do nível adequado de tolerância ao risco associado às TIC da entidade financeira, a que se refere o artigo 6.o, n.o 8, alínea b);

| e) | Aprova, fiscaliza e reavalia periodicamente a aplicação da política de continuidade das atividades no domínio das TIC da entidade financeira e dos planos de resposta e recuperação em matéria de TIC, referidos, respetivamente, no artigo 11.o, n.os 1, e 3, que podem ser adotados como uma política dedicada específica que faz parte integrante da política global de continuidade das atividades e do plano de resposta e recuperação da entidade financeira; |
| --- | --- |

e)

Aprova, fiscaliza e reavalia periodicamente a aplicação da política de continuidade das atividades no domínio das TIC da entidade financeira e dos planos de resposta e recuperação em matéria de TIC, referidos, respetivamente, no artigo 11.o, n.os 1, e 3, que podem ser adotados como uma política dedicada específica que faz parte integrante da política global de continuidade das atividades e do plano de resposta e recuperação da entidade financeira;

| f) | Aprova e reavalia periodicamente os planos de auditoria interna das TIC da entidade financeira, as auditorias das TIC e as alterações significativas aos mesmos; |
| --- | --- |

f)

Aprova e reavalia periodicamente os planos de auditoria interna das TIC da entidade financeira, as auditorias das TIC e as alterações significativas aos mesmos;

| g) | Atribui e reavalia periodicamente o orçamento adequado para suprir as necessidades da entidade financeira em matéria de resiliência operacional digital a respeito de todos os tipos de recursos, incluindo programas pertinentes de sensibilização para a segurança das TIC e a formação em matéria de resiliência operacional digital, a que se refere o artigo 13.o, n.o 6, e competências no domínio das TIC para todos os funcionários; |
| --- | --- |

g)

Atribui e reavalia periodicamente o orçamento adequado para suprir as necessidades da entidade financeira em matéria de resiliência operacional digital a respeito de todos os tipos de recursos, incluindo programas pertinentes de sensibilização para a segurança das TIC e a formação em matéria de resiliência operacional digital, a que se refere o artigo 13.o, n.o 6, e competências no domínio das TIC para todos os funcionários;

| h) | Aprova e reavalia periodicamente a política da entidade financeira em matéria de acordos relativos à utilização de serviços de TIC prestados por terceiros; |
| --- | --- |

h)

Aprova e reavalia periodicamente a política da entidade financeira em matéria de acordos relativos à utilização de serviços de TIC prestados por terceiros;

| i) | Cria canais de comunicação a nível institucional que lhe permitam ser devidamente informado do seguinte:






  i) | acordos celebrados para a utilização de serviços de TIC prestados por terceiros, |
| --- | --- | --- |

i)

Cria canais de comunicação a nível institucional que lhe permitam ser devidamente informado do seguinte:

i)

acordos celebrados para a utilização de serviços de TIC prestados por terceiros,

| ii) | quaisquer alterações significativas previstas relativas aos terceiros prestadores de serviços de TIC, |
| --- | --- |

ii)

quaisquer alterações significativas previstas relativas aos terceiros prestadores de serviços de TIC,

| iii) | potencial impacto de tais alterações em funções críticas ou importantes objeto dos referidos acordos, incluindo um resumo da análise de risco para avaliar o impacto dessas alterações, e, pelo menos dos incidentes de caráter severo relacionados com as TIC e do respetivo impacto, bem como das medidas de resposta, de recuperação e corretivas. |
| --- | --- |

iii)

potencial impacto de tais alterações em funções críticas ou importantes objeto dos referidos acordos, incluindo um resumo da análise de risco para avaliar o impacto dessas alterações, e, pelo menos dos incidentes de caráter severo relacionados com as TIC e do respetivo impacto, bem como das medidas de resposta, de recuperação e corretivas.

3.   As entidades financeiras, salvo as microempresas, criam um cargo para monitorizar os acordos celebrados com terceiros prestadores de serviços de TIC relativos à utilização de serviços de TIC ou designam um membro da direção de topo incumbido de fiscalizar a exposição ao risco conexo e a documentação pertinente.

4.   Os membros do órgão de administração da entidade financeira atualizam ativamente os seus conhecimentos e competências para poderem compreender e avaliar o risco associado às TIC e o respetivo impacto no funcionamento da entidade financeira, inclusive frequentando regularmente formações específicas, adequadas ao risco associado às TIC que são chamados a gerir.

Secção II

Artigo 6.o

Quadro de gestão do risco associado às TIC

1.   As entidades financeiras dispõem de um quadro de gestão do risco associado às TIC sólido, abrangente e bem documentado, que faz parte do seu sistema global de gestão do risco, e que lhes permite dar resposta ao risco associado às TIC de uma forma rápida, eficiente e abrangente, e assegurar um nível elevado de resiliência operacional digital.

2.   O quadro de gestão do risco associado às TIC inclui, pelo menos, as estratégias, políticas, procedimentos, protocolos e ferramentas de TIC que sejam necessários para proteger devida e adequadamente todos os ativos de informação e de TIC, designadamente programas informáticos, equipamentos informáticos e servidores, bem como todos os componentes físicos e infraestruturas pertinentes, como instalações físicas, centros de dados e áreas consideradas sensíveis, por forma a assegurar que todos os ativos de informação ou de TIC estão devidamente protegidos contra riscos, nomeadamente no que diz respeito a danos e ao acesso ou utilização não autorizados.

3.   Em consonância com o respetivo quadro de gestão do risco associado às TIC, as entidades financeiras minimizam o impacto do risco associado às TIC implementando as estratégias, políticas, procedimentos, protocolos e ferramentas adequados. Fornecem igualmente às autoridades competentes, a pedido destes, informações completas e atualizadas sobre o risco associado às TIC e sobre o respetivo quadro de gestão do risco associado às TIC.

4.   As entidades financeiras que não sejam microempresas atribuem a responsabilidade pela gestão e supervisão do risco associado às TIC a uma função de controlo e asseguram um nível adequado de independência dessa função de controlo, a fim de evitar conflitos de interesses. As entidades financeiras asseguram a segregação e independência adequadas entre as funções de gestão, de controlo e de auditoria interna do risco associado às TIC, de acordo com o modelo das três linhas de defesa ou com um modelo interno de controlo e gestão do risco.

5.   O quadro de gestão do risco associado às TIC a que se refere o n.o 1 é documentado e revisto pelo menos uma vez por ano, ou periodicamente, no caso das microempresas, bem como quando ocorrerem incidentes de caráter severo relacionados com as TIC, de acordo com as instruções ou conclusões de supervisão decorrentes dos processos de auditoria ou dos testes de resiliência operacional digital pertinentes. O quadro é continuamente aperfeiçoado com base nas lições retiradas da implementação e monitorização. É apresentado à autoridade competente, a pedido desta, um relatório de análise do quadro de gestão do risco associado às TIC.

6.   O quadro de gestão do risco associado às TIC das entidades financeiras, que não sejam microempresas, é periodicamente sujeito a auditorias internas efetuadas por auditores em conformidade com o plano de auditoria das entidades financeiras. Estes auditores dispõem de conhecimentos gerais, competências e conhecimentos especializados suficientes sobre o risco associado às TIC, bem como de independência adequada. A frequência e a ênfase das auditorias às TIC são proporcionais ao risco associado às TIC da entidade financeira.

7.   Com base nas conclusões da análise da auditoria interna, as entidades financeiras estabelecem um processo formal de acompanhamento, incluindo regras para a verificação e correção atempadas dos resultados críticos das auditorias às TIC.

8.   O quadro de gestão do risco associado às TIC inclui uma estratégia de resiliência operacional digital que defina as modalidades da sua implementação. Para esse fim, a estratégia de resiliência operacional digital inclui os métodos para dar resposta ao risco associado às TIC e alcançar os objetivos específicos em matéria de TIC, devendo para tal:

| a) | Explicar de que forma o quadro de gestão do risco associado às TIC apoia a estratégia e os objetivos operacionais da entidade financeira; |
| --- | --- |

a)

Explicar de que forma o quadro de gestão do risco associado às TIC apoia a estratégia e os objetivos operacionais da entidade financeira;

| b) | Estabelecer o nível de tolerância ao risco associado às TIC, em conformidade com a apetência para o risco da entidade financeira, assim como analisar a tolerância ao impacto de eventuais perturbações nas TIC; |
| --- | --- |

b)

Estabelecer o nível de tolerância ao risco associado às TIC, em conformidade com a apetência para o risco da entidade financeira, assim como analisar a tolerância ao impacto de eventuais perturbações nas TIC;

| c) | Definir objetivos claros em relação à segurança das informações, incluindo principais indicadores de desempenho e principais métricas de risco; |
| --- | --- |

c)

Definir objetivos claros em relação à segurança das informações, incluindo principais indicadores de desempenho e principais métricas de risco;

| d) | Explicar a arquitetura de referência das TIC e eventuais alterações necessárias para alcançar objetivos empresariais específicos; |
| --- | --- |

d)

Explicar a arquitetura de referência das TIC e eventuais alterações necessárias para alcançar objetivos empresariais específicos;

| e) | Delinear os diferentes mecanismos criados para detetar, proteger e evitar os impactos dos incidentes relacionados com as TIC; |
| --- | --- |

e)

Delinear os diferentes mecanismos criados para detetar, proteger e evitar os impactos dos incidentes relacionados com as TIC;

| f) | Atestar a atual situação de resiliência operacional digital com base no número de incidentes de caráter severo relacionados com as TIC comunicados e a eficácia das medidas preventivas; |
| --- | --- |

f)

Atestar a atual situação de resiliência operacional digital com base no número de incidentes de caráter severo relacionados com as TIC comunicados e a eficácia das medidas preventivas;

| g) | Realizar testes à resiliência operacional digital, nos termos do capítulo IV do presente regulamento; |
| --- | --- |

g)

Realizar testes à resiliência operacional digital, nos termos do capítulo IV do presente regulamento;

| h) | Delinear uma estratégia de notificação em caso de incidentes relacionados com as TIC, cuja divulgação seja obrigatória nos termos do artigo 14.o. |
| --- | --- |

h)

Delinear uma estratégia de notificação em caso de incidentes relacionados com as TIC, cuja divulgação seja obrigatória nos termos do artigo 14.o.

9.   As entidades financeiras podem, no contexto da estratégia de resiliência operacional digital a que se refere o n.o 8, definir uma estratégia holística com múltiplos fornecedores no domínio das TIC, ao nível do grupo ou da entidade, mostrando as principais dependências de terceiros prestadores de serviços de TIC e explicando a lógica subjacente à contratação de vários terceiros prestadores de serviços de TIC.

10.   As entidades financeiras podem, nos termos do direito setorial da União e nacional, subcontratar as tarefas de verificação do cumprimento dos requisitos de gestão do risco associado às TIC a empresas pertencentes ao grupo ou a empresas externas. Nesse caso, a entidade financeira continua a ser plenamente responsável pela verificação do cumprimento dos requisitos de gestão do risco associado às TIC.

Artigo 7.o

Sistemas, protocolos e ferramentas de TIC

A fim de abordar e gerir o risco associado às TIC, as entidades financeiras utilizam e mantêm atualizados sistemas, protocolos e ferramentas de TIC que sejam:

| a) | Adequados à dimensão das operações que apoiam o desenvolvimento das suas atividades, em conformidade com o princípio da proporcionalidade a que se refere o artigo 4.o; |
| --- | --- |

a)

Adequados à dimensão das operações que apoiam o desenvolvimento das suas atividades, em conformidade com o princípio da proporcionalidade a que se refere o artigo 4.o;

o

| b) | Fiáveis; |
| --- | --- |

b)

Fiáveis;

| c) | Dotados de capacidade suficiente para tratar adequadamente os dados necessários para a realização das atividades e a atempada prestação dos serviços, bem como para lidar com picos de volumes de ordens, mensagens ou transações, na medida do necessário, nomeadamente em caso de introdução de uma tecnologia nova; |
| --- | --- |

c)

Dotados de capacidade suficiente para tratar adequadamente os dados necessários para a realização das atividades e a atempada prestação dos serviços, bem como para lidar com picos de volumes de ordens, mensagens ou transações, na medida do necessário, nomeadamente em caso de introdução de uma tecnologia nova;

| d) | Resilientes do ponto de vista tecnológico para responder adequadamente a necessidades adicionais de tratamento de informações em situações de grande tensão no mercado ou noutras circunstâncias adversas. |
| --- | --- |

d)

Resilientes do ponto de vista tecnológico para responder adequadamente a necessidades adicionais de tratamento de informações em situações de grande tensão no mercado ou noutras circunstâncias adversas.

Artigo 8.o

Identificação

1.   Para efeitos do quadro de gestão do risco associado às TIC referido no artigo 6.o, n.o 1, as entidades financeiras identificam, classificam e documentam adequadamente todas as funções operacionais apoiadas pelas TIC, os papéis e as responsabilidades, os ativos de informação e os ativos de TIC que apoiam essas funções, bem como os respetivos papéis e dependências em relação com o risco associado às TIC. As entidades financeiras reveem na medida do necessário, e pelo menos uma vez por ano, a adequação desta classificação e de toda a documentação pertinente.

2.   As entidades financeiras identificam de forma contínua todas as fontes de risco associado às TIC, em especial a exposição ao risco face a outras entidades financeiras e decorrente de outras entidades financeiras, e avaliam as ciberameaças e as vulnerabilidades das TIC pertinentes para as suas funções operacionais apoiadas pelas TIC, os seus ativos de informação e ativos de TIC. As entidades financeiras reveem periodicamente e pelo menos uma vez por ano os cenários de risco suscetíveis de as afetar.

3.   As entidades financeiras, que não sejam microempresas, efetuam uma avaliação do risco aquando de qualquer grande alteração na infraestrutura dos sistemas de rede e informação, nos processos ou nos procedimentos que afetem as suas funções operacionais apoiadas pelas TIC, nos ativos de informação ou nos ativos de TIC.

4.   As entidades financeiras identificam todos os ativos de informação e os ativos de TIC, nomeadamente os localizados à distância, os recursos de rede e os equipamentos informáticos, e fazem um levantamento dos considerados críticos. Descrevem igualmente a configuração dos ativos de informação e dos ativos de TIC e das ligações e interdependências entre os diferentes ativos de informação e ativos de TIC.

5.   As entidades financeiras identificam e documentam todos os processos que dependem de terceiros prestadores de serviços de TIC e identificam as interconexões com os terceiros prestadores de serviços de TIC que prestam serviços de apoio a funções críticas ou importantes.

6.   Para efeitos dos n.os 1, 4 e 5, as entidades financeiras elaboram os inventários relevantes e atualizam-nos periodicamente e sempre que ocorra qualquer alteração importante a que se refere o n.o 3.

7.   As entidades financeiras que não sejam microempresas realizam periodicamente e pelo menos uma vez por ano uma avaliação do risco associado às TIC específica em todos os sistemas de TIC legados, e, em todo o caso, antes e depois de conectarem tecnologias, aplicações ou sistemas.

Artigo 9.o

Proteção e prevenção

1.   No intuito de proteger adequadamente os sistemas TIC e de organizar medidas de resposta, as entidades financeiras monitorizam e controlam continuamente a segurança e o funcionamento dos sistemas e das ferramentas de TIC e minimizam o impacto de risco associado às TIC nos sistemas de TIC através da implementação de ferramentas, políticas e procedimentos de segurança adequados no domínio das TIC.

2.   As entidades financeiras concebem, adquirem e executam políticas, procedimentos, protocolos e ferramentas de segurança no domínio das TIC que visem assegurar a resiliência, a continuidade e a disponibilidade dos sistemas de TIC, em especial os sistemas que apoiem funções críticas ou importantes e manter elevados níveis de disponibilidade, autenticidade, integridade e confidencialidade dos dados conservados, em uso ou em trânsito.

3.   A fim de alcançar os objetivos referidos no n.o 2, as entidades financeiras recorrem a soluções e processos de TIC adequados nos termos do artigo 4.o. Essas soluções e processos de TIC:

| a) | Asseguram a segurança dos meios de transferência de dados; |
| --- | --- |

a)

Asseguram a segurança dos meios de transferência de dados;

| b) | Minimizam o risco de corrupção ou a perda de dados, o acesso não autorizado e falhas técnicas suscetíveis de prejudicar a atividade operacional; |
| --- | --- |

b)

Minimizam o risco de corrupção ou a perda de dados, o acesso não autorizado e falhas técnicas suscetíveis de prejudicar a atividade operacional;

| c) | Evitam a falta de disponibilidade, as violações da autenticidade e da integridade, a quebra da confidencialidade e a perda de dados; |
| --- | --- |

c)

Evitam a falta de disponibilidade, as violações da autenticidade e da integridade, a quebra da confidencialidade e a perda de dados;

| d) | Asseguram que os dados estejam protegidos contra riscos decorrentes da gestão de dados, incluindo má administração, riscos relacionados com o tratamento e erros humanos. |
| --- | --- |

d)

Asseguram que os dados estejam protegidos contra riscos decorrentes da gestão de dados, incluindo má administração, riscos relacionados com o tratamento e erros humanos.

4.   Para efeitos do quadro de gestão do risco associado às TIC referido no artigo 6.o, n.o 1, as entidades financeiras:

| a) | Desenvolvem e documentam uma política de segurança das informações que defina regras para proteger a disponibilidade, autenticidade, integridade e confidencialidade dos dados, dos ativos de informação, e dos ativos de TIC, incluindo os dos seus clientes, se for caso disso; |
| --- | --- |

a)

Desenvolvem e documentam uma política de segurança das informações que defina regras para proteger a disponibilidade, autenticidade, integridade e confidencialidade dos dados, dos ativos de informação, e dos ativos de TIC, incluindo os dos seus clientes, se for caso disso;

| b) | De acordo com uma abordagem baseada no risco, estabelecem uma estrutura de gestão sólida das redes e infraestruturas utilizando técnicas, métodos e protocolos adequados, que podem incluir a implementação de mecanismos automatizados para isolar os ativos de informação afetados em caso de ciberataque; |
| --- | --- |

b)

De acordo com uma abordagem baseada no risco, estabelecem uma estrutura de gestão sólida das redes e infraestruturas utilizando técnicas, métodos e protocolos adequados, que podem incluir a implementação de mecanismos automatizados para isolar os ativos de informação afetados em caso de ciberataque;

| c) | Executam políticas que limitem o acesso físico ou lógico aos ativos de informação e aos ativos de TIC àquilo que é estritamente necessário para funções e atividades legítimas e aprovadas e, para o efeito, estabelecem um conjunto de políticas, procedimentos e controlos centrado nos direitos de acesso e que asseguram a boa administração dos mesmos; |
| --- | --- |

c)

Executam políticas que limitem o acesso físico ou lógico aos ativos de informação e aos ativos de TIC àquilo que é estritamente necessário para funções e atividades legítimas e aprovadas e, para o efeito, estabelecem um conjunto de políticas, procedimentos e controlos centrado nos direitos de acesso e que asseguram a boa administração dos mesmos;

| d) | Executam políticas e protocolos que garantam mecanismos de autenticação robustos, com base nas normas pertinentes e em sistemas de controlo dedicados e medidas de proteção das chaves criptográficas por meio das quais os dados são encriptados em função dos resultados de processos aprovados de classificação dos dados e de avaliação do risco associado às TIC; |
| --- | --- |

d)

Executam políticas e protocolos que garantam mecanismos de autenticação robustos, com base nas normas pertinentes e em sistemas de controlo dedicados e medidas de proteção das chaves criptográficas por meio das quais os dados são encriptados em função dos resultados de processos aprovados de classificação dos dados e de avaliação do risco associado às TIC;

| e) | Executam políticas, procedimentos e controlos documentados relativos à gestão das alterações das TIC, nomeadamente mudanças de programas informáticos, equipamentos informáticos, componentes de microprogramas, sistemas ou parâmetros de segurança, assentes numa abordagem de avaliação do risco e como parte integrante do processo global de gestão de alterações da entidade financeira, por forma a assegurar que todas as alterações dos sistemas TIC são registadas, testadas, avaliadas, aprovadas, executadas e verificadas de forma controlada; |
| --- | --- |

e)

Executam políticas, procedimentos e controlos documentados relativos à gestão das alterações das TIC, nomeadamente mudanças de programas informáticos, equipamentos informáticos, componentes de microprogramas, sistemas ou parâmetros de segurança, assentes numa abordagem de avaliação do risco e como parte integrante do processo global de gestão de alterações da entidade financeira, por forma a assegurar que todas as alterações dos sistemas TIC são registadas, testadas, avaliadas, aprovadas, executadas e verificadas de forma controlada;

| f) | Dispõem de estratégias documentadas adequadas e abrangentes para correções e atualizações. |
| --- | --- |

f)

Dispõem de estratégias documentadas adequadas e abrangentes para correções e atualizações.

Para efeitos do primeiro parágrafo, alínea b), as entidades financeiras configuram a infraestrutura de conexão das redes por forma a que essas conexões possam ser instantaneamente cortadas ou segmentadas, com vista a minimizar e evitar o contágio, em especial em processos financeiros interligados.

Para efeitos do primeiro parágrafo, alínea e), o processo de gestão de alteração das TIC é aprovado pelas linhas hierárquicas adequadas e dispõe de protocolos específicos.

Artigo 10.o

Deteção

1.   As entidades financeiras dispõem de mecanismos que detetem rapidamente atividades anómalas nos termos do artigo 17.o, nomeadamente questões relacionadas com o desempenho das redes e incidentes relacionados com as TIC, identificando as potenciais falhas pontuais significativas.

Todos os mecanismos de deteção referidos no primeiro parágrafo são periodicamente testados nos termos do artigo 25.o.

2.   Os mecanismos de deteção referidos no n.o 1 permitem que o controlo se faça em etapas múltiplas, definem limiares de alerta e critérios que desencadeiem e iniciem processos de resposta a incidentes relacionados com as TIC, incluindo mecanismos automáticos de alerta do pessoal competente responsável pela resposta aos incidentes relacionados com as TIC.

3.   As entidades financeiras canalizam recursos e capacidades suficientes para monitorizar a atividade dos utilizadores, a ocorrência de anomalias e incidentes relacionados com as TIC, em especial ciberataques.

4.   Os prestadores de serviços de comunicação de dados dispõem também de sistemas que permitam verificar de forma eficaz as comunicações de transações, identificar as omissões e os erros manifestos e solicitar a retransmissão dessas comunicações.

Artigo 11.o

Resposta e recuperação

1.   Para efeitos do quadro de gestão do risco associado às TIC referido no artigo 6.o, n.o 1, e com base nos requisitos de identificação definidos no artigo 8.o, as entidades financeiras implementam uma política abrangente para assegurar a continuidade das atividades, que pode ser aprovada enquanto política distinta específica e ser parte integrante da política global de continuidade das atividades da entidade financeira.

2.   As entidades financeiras aplicam a política de continuidade das atividades no domínio das TIC através de medidas, planos, procedimentos e mecanismos dedicados, adequados e documentados que visem:

| a) | Assegurar a continuidade das funções críticas ou importantes da entidade financeira; |
| --- | --- |

a)

Assegurar a continuidade das funções críticas ou importantes da entidade financeira;

| b) | Dar uma resposta rápida, adequada e eficaz e solucionar todos os incidentes relacionados com as TIC, por forma a limitar os danos e a dar prioridade ao relançamento das atividades e às ações de recuperação; |
| --- | --- |

b)

Dar uma resposta rápida, adequada e eficaz e solucionar todos os incidentes relacionados com as TIC, por forma a limitar os danos e a dar prioridade ao relançamento das atividades e às ações de recuperação;

| c) | Ativar, sem demora, os planos específicos que permitem pôr em prática as medidas, os processos e as tecnologias de contenção adequadas a cada tipo de incidente relacionado com as TIC, evitando assim outros danos, bem como uma resposta adequada e os procedimentos de recuperação estabelecidos nos termos do artigo 12.o; |
| --- | --- |

c)

Ativar, sem demora, os planos específicos que permitem pôr em prática as medidas, os processos e as tecnologias de contenção adequadas a cada tipo de incidente relacionado com as TIC, evitando assim outros danos, bem como uma resposta adequada e os procedimentos de recuperação estabelecidos nos termos do artigo 12.o;

| d) | Estimar preliminarmente os impactos, os danos e as perdas; |
| --- | --- |

d)

Estimar preliminarmente os impactos, os danos e as perdas;

| e) | Definir ações de comunicação e gestão de crises que assegurem a transmissão de informações atualizadas a todo o pessoal interno competente e a todas as partes interessadas externas pertinentes nos termos do artigo 14.o, bem como a sua comunicação às autoridades competentes nos termos do artigo 19.o. |
| --- | --- |

e)

Definir ações de comunicação e gestão de crises que assegurem a transmissão de informações atualizadas a todo o pessoal interno competente e a todas as partes interessadas externas pertinentes nos termos do artigo 14.o, bem como a sua comunicação às autoridades competentes nos termos do artigo 19.o.

3.   Para efeitos do quadro de gestão do risco associado às TIC referido no artigo 6.o, n.o 1, as entidades financeiras executam planos de resposta e recuperação em matéria de TIC que, no caso das entidades financeiras que não sejam microempresas, são sujeitos a auditorias internas independentes.

4.   As entidades financeiras dispõem, mantêm e testam periodicamente planos de continuidade das atividades no domínio das TIC adequados, designadamente em relação a funções críticas ou importantes externalizadas ou subcontratadas através de acordos com terceiros prestadores de serviços de TIC.

5.   No âmbito da política global de continuidade das atividades, as entidades financeiras realizam uma análise do impacto na atividade (BIA, do inglês business impact analysis) das suas exposições a perturbações graves. No âmbito da BIA, as entidades financeiras avaliam o impacto potencial de perturbações graves das atividades em função de critérios quantitativos e qualitativos, utilizando dados internos e externos e análises de cenários, conforme adequado. A BIA atende à importância crítica das funções operacionais identificadas e mapeadas, dos processos de apoio, das dependências de terceiros e dos ativos de informação, bem como às suas interdependências. As entidades financeiras asseguram que os ativos e serviços de TIC são concebidos e utilizados em plena articulação com a BIA, em especial no que diz respeito a assegurar adequadamente a redundância de todos os componentes críticos.

6.   Para efeitos da gestão abrangente do risco associado às TIC, as entidades financeiras:

| a) | Testam os planos de continuidade das atividades no domínio das TIC e os planos de resposta e recuperação em matéria de TIC em relação a sistemas de TIC que apoiem todas as funções, pelo menos uma vez por ano, bem como no caso de alterações substanciais de sistemas de TIC que apoiem funções críticas ou importantes; |
| --- | --- |

a)

Testam os planos de continuidade das atividades no domínio das TIC e os planos de resposta e recuperação em matéria de TIC em relação a sistemas de TIC que apoiem todas as funções, pelo menos uma vez por ano, bem como no caso de alterações substanciais de sistemas de TIC que apoiem funções críticas ou importantes;

| b) | Testam os planos de comunicação de crises estabelecidos nos termos do artigo 14.o. |
| --- | --- |

b)

Testam os planos de comunicação de crises estabelecidos nos termos do artigo 14.o.

Para efeitos do primeiro parágrafo, alínea a), as entidades financeiras que não sejam microempresas incluem nos planos de testagem cenários de ciberataques e de passagem entre a infraestrutura primária de TIC e a capacidade redundante, cópias de segurança e equipamentos redundantes necessários ao cumprimento das obrigações definidas no artigo 12.o.

As entidades financeiras reveem periodicamente a sua política de continuidade das atividades no domínio das TIC e os planos de resposta e recuperação em matéria de TIC tendo em conta os resultados dos testes realizados nos termos do primeiro parágrafo e as recomendações decorrentes das auditorias ou das avaliações de supervisão.

7.   As entidades financeiras que não sejam microempresas têm uma função de gestão de crises que, em caso de ativação dos seus planos de continuidade das atividades no domínio das TIC ou dos seus planos de resposta e recuperação em matéria de TIC, preveja, nomeadamente, procedimentos claros para gerir as comunicações internas e externas em caso de crise nos termos do artigo 14.o.

8.   As entidades financeiras mantêm registos prontamente acessíveis das atividades antes e durante a ocorrência de perturbações aquando da ativação dos seus planos de continuidade das atividades no domínio das TIC ou dos seus planos de resposta e recuperação em matéria de TIC.

9.   As centrais de valores mobiliários fornecem às autoridades competentes cópias dos resultados dos testes de continuidade das atividades no domínio das TIC ou de exercícios semelhantes.

10.   As entidades financeiras que não sejam microempresas comunicam às autoridades competentes, a pedido destas, uma estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC.

11.   Nos termos do artigo 16.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010, as AES, através do Comité Conjunto, elaboram, até 17 de julho de 2024, orientações comuns para a estimativa dos custos e perdas anuais agregados a que se refere o n.o 10.

Artigo 12.o

Políticas e procedimentos de salvaguarda e procedimentos e métodos de restauração e recuperação

1.   A fim de assegurar a restauração dos sistemas de TIC e de dados limitando ao mínimo o tempo de indisponibilidade, as perturbações e as perdas, as entidades financeiras desenvolvem e documentam, para efeitos do seu quadro de gestão do risco associado às TIC:

| a) | Políticas e procedimentos de salvaguarda que especifiquem o âmbito dos dados abrangidos e a frequência mínima com que são geradas as cópias de segurança, em função da natureza crítica das informações ou do nível de confidencialidade dos dados; |
| --- | --- |

a)

Políticas e procedimentos de salvaguarda que especifiquem o âmbito dos dados abrangidos e a frequência mínima com que são geradas as cópias de segurança, em função da natureza crítica das informações ou do nível de confidencialidade dos dados;

| b) | Procedimentos e métodos de restauração e recuperação. |
| --- | --- |

b)

Procedimentos e métodos de restauração e recuperação.

2.   As entidades financeiras criam sistemas de salvaguarda que possam ser ativados de acordo com as políticas e procedimentos de salvaguarda, bem como procedimentos e métodos de restauração e recuperação. A ativação dos sistemas de salvaguarda não pode pôr em perigo a segurança dos sistemas de rede e informação nem a disponibilidade, autenticidade, integridade ou confidencialidade dos dados. São realizados periodicamente testes dos procedimentos de salvaguarda e dos procedimentos e métodos de restauração e recuperação.

3.   Quando restauram dados das cópias de segurança utilizando sistemas próprios, as entidades financeiras utilizam sistemas de TIC que estejam física e logicamente separados do sistema de TIC de origem. Os sistemas de TIC estão devidamente protegidos contra todo o acesso não autorizado ou corrupção ao nível das TIC e permitem a restauração atempada dos serviços utilizando dados e cópias de salvaguarda do sistema, conforme necessário.

Em relação às contrapartes centrais, os planos de recuperação permitem a recuperação de todas as transações em curso no momento da perturbação, para permitir que a contraparte central continue a funcionar de forma fiável e conclua as liquidações nas datas previstas.

Os prestadores de serviços de comunicação de dados mantêm além disso recursos adequados e dispõem de equipamentos de salvaguarda e de restauração, a fim de poderem oferecer e manter os seus serviços em qualquer momento.

4.   As entidades financeiras que não sejam microempresas mantêm capacidades de TIC redundantes equipadas com recursos, capacidade e funções suficientes e adequados para acautelar as necessidades operacionais. As microempresas avaliam a necessidade de manter essas capacidades de TIC redundantes com base no seu perfil de risco.

5.   As Centrais de valores mobiliários mantêm pelo menos um local de tratamento de dados secundário, dotado de recursos, capacidades, funções e efetivos adequados para acautelar as necessidades operacionais.

O local de tratamento de dados secundário deve:

| a) | Estar localizado a uma distância geográfica do local de tratamento de dados principal que lhe garanta um perfil de risco distinto e evita que seja afetado pela ocorrência que afetou o local principal; |
| --- | --- |

a)

Estar localizado a uma distância geográfica do local de tratamento de dados principal que lhe garanta um perfil de risco distinto e evita que seja afetado pela ocorrência que afetou o local principal;

| b) | Poder assegurar a continuidade das funções críticas ou importantes de forma idêntica ao local principal ou fornecer o nível de serviços necessário para assegurar que a entidade financeira realiza as suas operações críticas no âmbito dos objetivos de recuperação; |
| --- | --- |

b)

Poder assegurar a continuidade das funções críticas ou importantes de forma idêntica ao local principal ou fornecer o nível de serviços necessário para assegurar que a entidade financeira realiza as suas operações críticas no âmbito dos objetivos de recuperação;

| c) | Estar imediatamente acessível ao pessoal da entidade financeira por forma a assegurar a continuidade das funções críticas ou importantes caso o local de tratamento de dados primário tenha ficado indisponível. |
| --- | --- |

c)

Estar imediatamente acessível ao pessoal da entidade financeira por forma a assegurar a continuidade das funções críticas ou importantes caso o local de tratamento de dados primário tenha ficado indisponível.

6.   Ao determinar o tempo de recuperação e os objetivos concretos de recuperação para cada função, as entidades financeiras têm em conta se a função é crítica ou importante, bem como o potencial impacto global na eficiência do mercado. Os referidos objetivos temporais garantem que, em cenários extremos, os níveis de serviço acordados são cumpridos.

7.   Aquando da recuperação de um incidente relacionado com as TIC, as entidades financeiras realizam as verificações necessárias, incluindo verificações múltiplas, e reconciliações de dados, por forma a assegurar a manutenção do mais alto nível de integridade dos dados. Estas verificações também são realizadas aquando da reconstrução de dados de partes interessadas externas, por forma a assegurar a coerência de todos os dados nos diferentes sistemas.

Artigo 13.o

Aprendizagem e evolução

1.   As entidades financeiras dispõem de capacidades e de pessoal para recolherem informações sobre as vulnerabilidades e as ciberameaças, os incidentes relacionados com as TIC, em especial ciberataques, e analisarem os potenciais impactos dos mesmos na sua resiliência operacional digital.

2.   As entidades financeiras realizam avaliações pós-incidentes relacionados com as TIC após a ocorrência de um incidente de caráter severo relacionado com as TIC que perturbe as suas atividades principais, analisando as causas das perturbações e identificando as melhorias necessárias a nível do funcionamento das TIC ou da política de continuidade das atividades no domínio das TIC a que se refere o artigo 11.o.

As entidades financeiras que não sejam microempresas comunicam, a pedido, às autoridades competentes as alterações introduzidas na sequência de avaliações pós-incidentes relacionados com as TIC a que se refere o primeiro parágrafo.

As avaliações pós-incidentes relacionados com as TIC a que se refere o primeiro parágrafo averiguam se os procedimentos estabelecidos foram seguidos e se as medidas adotadas foram eficazes, nomeadamente em relação à:

| a) | Prontidão da resposta aos alertas de segurança e da determinação do impacto dos incidentes relacionados com as TIC e da sua gravidade; |
| --- | --- |

a)

Prontidão da resposta aos alertas de segurança e da determinação do impacto dos incidentes relacionados com as TIC e da sua gravidade;

| b) | Qualidade e celeridade da realização da análise forense, quando tal for considerado adequado; |
| --- | --- |

b)

Qualidade e celeridade da realização da análise forense, quando tal for considerado adequado;

| c) | Eficácia da propagação da reação ao incidente dentro da entidade financeira; |
| --- | --- |

c)

Eficácia da propagação da reação ao incidente dentro da entidade financeira;

| d) | Eficácia da comunicação interna e externa. |
| --- | --- |

d)

Eficácia da comunicação interna e externa.

3.   Os ensinamentos retirados dos testes de resiliência operacional digital realizados nos termos dos artigos 26.o e 27.° e a partir de incidentes reais relacionados com as TIC, em especial de ciberataques, a par dos desafios enfrentados aquando da ativação dos planos de continuidade das atividades no domínio das TIC e dos planos de resposta e recuperação em matéria de TIC, juntamente com as informações relevantes trocadas com as contrapartes e avaliadas durante as avaliações de supervisão, são devidamente incorporados de forma contínua no processo de avaliação do risco associado às TIC. Esses resultados constituem a base para exames adequados dos componentes relevantes do quadro de gestão do risco associado às TIC a que se refere o artigo 6.o, n.o 1.

4.   As entidades financeiras monitorizam a eficácia da execução da sua estratégia de resiliência operacional digital definida no artigo 6.o, n.o 8. Fazem também um levantamento da evolução do risco associado às TIC ao longo do tempo, analisam a frequência, os tipos, a dimensão e a evolução dos incidentes relacionados com as TIC, em especial os ciberataques e respetivos padrões, com vista a compreender o nível de exposição ao risco associado às TIC, em particular no que diz respeito às funções críticas ou importantes, e melhoram a cibercomunidade e o grau de preparação da entidade financeira.

5.   Os quadros superiores responsáveis pelas TIC comunicam, pelo menos uma vez por ano, informações ao órgão de gestão sobre os resultados a que se refere o n.o 3 e fazem recomendações.

6.   As entidades financeiras desenvolvem programas de sensibilização para a segurança das TIC e a formação em matéria de resiliência operacional digital como módulos obrigatórios nos planos de formação do seu pessoal. Esses programas e formação são aplicáveis a todos os trabalhadores e aos membros da direção de topo e têm um nível de complexidade proporcional às suas funções. Se for caso disso, as entidades financeiras incluem também terceiros prestadores de serviços de TIC nos seus programas de formação pertinentes, nos termos do artigo 30.o, n.o 2, alínea i).

7.   As entidades financeiras que não sejam microempresas monitorizam continuamente os desenvolvimentos tecnológicos mais importantes, também com vista a compreender o possível impacto da implantação dessas novas tecnologias nos requisitos de segurança no domínio das TIC e na resiliência operacional digital. Mantêm-se a par dos mais recentes processos de gestão do risco associado às TIC, a fim de combater eficazmente os ciberataques nas suas formas atuais ou futuras.

Artigo 14.o

Comunicação

1.   Para efeitos do quadro de gestão do risco associado às TIC a que se refere o artigo 6.o, n.o 1, as entidades financeiras dispõem de planos de comunicação de crises que permitam divulgar de forma responsável, pelo menos, os incidentes de caráter severo relacionados com as TIC ou as vulnerabilidades aos clientes e às contrapartes, bem como ao público, se for caso disso.

2.   Para efeitos do quadro de gestão do risco associado às TIC, as entidades financeiras aplicam políticas de comunicação destinadas ao seu pessoal interno e às partes interessadas externas. As políticas de comunicação destinadas ao pessoal têm em conta a necessidade de diferenciar entre o pessoal envolvido na gestão do risco associado às TIC, em especial, o pessoal responsável pela resposta e recuperação, e o pessoal que precisa de ser informado.

3.   Pelo menos uma pessoa na entidade financeira é responsável pela execução da estratégia de comunicação em caso de incidentes relacionados com as TIC e desempenha essa função perante o público e os média para o efeito.

Artigo 15.o

Maior harmonização das ferramentas, dos métodos, dos processos e das políticas de gestão do risco associado às TIC

As AES desenvolvem, através do Comité Conjunto, em consulta com a Agência da União Europeia para a Cibersegurança (ENISA), projetos de normas técnicas de regulamentação comuns a fim de:

| a) | Especificar mais pormenorizadamente os elementos a incluir nas políticas, nos procedimentos, nos protocolos e nas ferramentas relacionadas com a segurança das TIC referidos no artigo 9.o, n.o 2, com vista a acautelar a segurança das redes, prever salvaguardas adequadas contra as intrusões e a utilização abusiva dos dados, preservar a disponibilidade, autenticidade, integridade e confidencialidade dos dados, nomeadamente por via de técnicas criptográficas, e garantir uma transmissão fiável e rápida dos dados sem grandes interrupções, e sem demoras injustificadas; |
| --- | --- |

a)

Especificar mais pormenorizadamente os elementos a incluir nas políticas, nos procedimentos, nos protocolos e nas ferramentas relacionadas com a segurança das TIC referidos no artigo 9.o, n.o 2, com vista a acautelar a segurança das redes, prever salvaguardas adequadas contra as intrusões e a utilização abusiva dos dados, preservar a disponibilidade, autenticidade, integridade e confidencialidade dos dados, nomeadamente por via de técnicas criptográficas, e garantir uma transmissão fiável e rápida dos dados sem grandes interrupções, e sem demoras injustificadas;

o

o

| b) | Desenvolver mais pormenorizadamente os componentes de controlo da gestão dos direitos de acesso a que se refere o artigo 9.o, n.o 4, alínea c), e a política de recursos humanos associada, especificando os direitos de acesso, os procedimentos para conceder e revogar esses direitos e a monitorização de comportamentos anómalos em relação ao risco associado às TIC através dos indicadores adequados, nomeadamente os padrões de utilização das redes, as horas de acesso, a atividade informática e os dispositivos desconhecidos; |
| --- | --- |

b)

Desenvolver mais pormenorizadamente os componentes de controlo da gestão dos direitos de acesso a que se refere o artigo 9.o, n.o 4, alínea c), e a política de recursos humanos associada, especificando os direitos de acesso, os procedimentos para conceder e revogar esses direitos e a monitorização de comportamentos anómalos em relação ao risco associado às TIC através dos indicadores adequados, nomeadamente os padrões de utilização das redes, as horas de acesso, a atividade informática e os dispositivos desconhecidos;

o

o

| c) | Desenvolver mais pormenorizadamente os mecanismos especificados no artigo 10.o, n.o 1, que permitem a deteção rápida de atividades anómalas, bem como os critérios estabelecidos no artigo 10.o, n.o 2, que desencadeiam processos de deteção e resposta a incidentes relacionados com as TIC; |
| --- | --- |

c)

Desenvolver mais pormenorizadamente os mecanismos especificados no artigo 10.o, n.o 1, que permitem a deteção rápida de atividades anómalas, bem como os critérios estabelecidos no artigo 10.o, n.o 2, que desencadeiam processos de deteção e resposta a incidentes relacionados com as TIC;

o

o

o

o

| d) | Especificar mais pormenorizadamente os componentes da política de continuidade das atividades no domínio das TIC a que se refere o artigo 11.o, n.o 1; |
| --- | --- |

d)

Especificar mais pormenorizadamente os componentes da política de continuidade das atividades no domínio das TIC a que se refere o artigo 11.o, n.o 1;

o

o

| e) | Especificar mais pormenorizadamente os testes dos planos de continuidade das atividades no domínio das TIC a que se refere o artigo 11.o, n.o 6, por forma a assegurar que os testes têm devidamente em conta cenários em que a qualidade do desempenho de uma função crítica ou importante atinge níveis inaceitáveis ou falha, e considerar devidamente o potencial impacto de uma insolvência, ou de outras falhas, de qualquer terceiro prestador de serviços de TIC relevante e, quando pertinente, os riscos políticos nas respetivas jurisdições desses prestadores; |
| --- | --- |

e)

Especificar mais pormenorizadamente os testes dos planos de continuidade das atividades no domínio das TIC a que se refere o artigo 11.o, n.o 6, por forma a assegurar que os testes têm devidamente em conta cenários em que a qualidade do desempenho de uma função crítica ou importante atinge níveis inaceitáveis ou falha, e considerar devidamente o potencial impacto de uma insolvência, ou de outras falhas, de qualquer terceiro prestador de serviços de TIC relevante e, quando pertinente, os riscos políticos nas respetivas jurisdições desses prestadores;

o

o

| f) | Especificar mais pormenorizadamente os componentes dos planos de resposta e recuperação em matéria de TIC a que se refere o artigo 11.o, n.o 3; |
| --- | --- |

f)

Especificar mais pormenorizadamente os componentes dos planos de resposta e recuperação em matéria de TIC a que se refere o artigo 11.o, n.o 3;

o

o

| g) | Especificar mais pormenorizadamente o conteúdo e o formato do relatório de análise do quadro de gestão do risco associado às TIC a que se refere o artigo 6.o, n.o 5; |
| --- | --- |

g)

Especificar mais pormenorizadamente o conteúdo e o formato do relatório de análise do quadro de gestão do risco associado às TIC a que se refere o artigo 6.o, n.o 5;

o

o

Ao elaborar esses projetos de normas técnicas de regulamentação, as AES têm em conta a dimensão e o perfil de risco global da entidade financeira, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações, tendo devidamente em conta qualquer característica específica decorrente da natureza distinta das atividades nos diferentes setores dos serviços financeiros.

As AES apresentam esses projetos de normas técnicas de regulamentação à Comissão até 17 de janeiro de 2024.

A Comissão fica habilitada a completar o presente regulamento através da adoção das normas técnicas de regulamentação a que se refere o primeiro parágrafo, nos termos dos artigos 10.o a 14.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

o

o

o

o

o

Artigo 16.o

Quadro simplificado de gestão do risco associado às TIC

1.   Os artigos 5.o a 15.° do presente regulamento não se aplicam às empresas de investimento de pequena dimensão e não interligadas, nem às instituições de pagamento isentas nos termos da Diretiva (UE) 2015/2366; às instituições isentas nos termos da Diretiva 2013/36/UE relativamente às quais os Estados-Membros tenham decidido não aplicar a opção a que se refere o artigo 2.o, n.o 4, do presente regulamento; às instituições de moeda eletrónica isentas nos termos da Diretiva 2009/110/CE; nem às pequenas instituições de realização de planos de pensões profissionais.

Sem prejuízo do disposto no primeiro parágrafo, as entidades enumeradas no primeiro parágrafo:

| a) | Estabelecem e mantêm um quadro sólido e documentado de gestão do risco associado às TIC que especifique os mecanismos e as medidas destinados a uma gestão rápida, eficiente e abrangente do risco associado às TIC, inclusive para a proteção de componentes e infraestruturas físicas pertinentes; |
| --- | --- |

a)

Estabelecem e mantêm um quadro sólido e documentado de gestão do risco associado às TIC que especifique os mecanismos e as medidas destinados a uma gestão rápida, eficiente e abrangente do risco associado às TIC, inclusive para a proteção de componentes e infraestruturas físicas pertinentes;

| b) | Controlam permanentemente a segurança e o funcionamento de todos os sistemas de TIC; |
| --- | --- |

b)

Controlam permanentemente a segurança e o funcionamento de todos os sistemas de TIC;

| c) | Minimizam o impacto do risco associado às TIC através da utilização de sistemas, protocolos e ferramentas TIC sólidos, resilientes e atualizados que sejam adequados para apoiar o desempenho das suas atividades e a prestação de serviços, bem como proteger adequadamente a disponibilidade, autenticidade, integridade e confidencialidade dos dados nos sistemas de rede e informação; |
| --- | --- |

c)

Minimizam o impacto do risco associado às TIC através da utilização de sistemas, protocolos e ferramentas TIC sólidos, resilientes e atualizados que sejam adequados para apoiar o desempenho das suas atividades e a prestação de serviços, bem como proteger adequadamente a disponibilidade, autenticidade, integridade e confidencialidade dos dados nos sistemas de rede e informação;

| d) | Permitem identificar e detetar rapidamente as fontes de risco associado às TIC, bem como as anomalias nos sistemas de rede e informação e tratar prontamente os incidentes relacionados com as TIC; |
| --- | --- |

d)

Permitem identificar e detetar rapidamente as fontes de risco associado às TIC, bem como as anomalias nos sistemas de rede e informação e tratar prontamente os incidentes relacionados com as TIC;

| e) | Identificam as principais dependências em relação aos terceiros prestadores de serviços de TIC; |
| --- | --- |

e)

Identificam as principais dependências em relação aos terceiros prestadores de serviços de TIC;

| f) | Asseguram a continuidade das funções críticas ou importantes, através de planos de continuidade das atividades e de medidas de resposta e recuperação, que incluam, pelo menos, medidas de salvaguarda e de restauração; |
| --- | --- |

f)

Asseguram a continuidade das funções críticas ou importantes, através de planos de continuidade das atividades e de medidas de resposta e recuperação, que incluam, pelo menos, medidas de salvaguarda e de restauração;

| g) | Testam regularmente os planos e medidas a que se refere a alínea f), bem como a eficácia dos controlos levados a cabo nos termos das alíneas a) e c); |
| --- | --- |

g)

Testam regularmente os planos e medidas a que se refere a alínea f), bem como a eficácia dos controlos levados a cabo nos termos das alíneas a) e c);

| h) | Aplicam, se for caso disso, as conclusões operacionais pertinentes resultantes dos testes a que se refere a alínea g) e da análise pós-incidente no processo de avaliação do risco associado às TIC e desenvolvem, de acordo com as necessidades e o perfil de risco associado às TIC, programas de sensibilização para a segurança das TIC e a formação em matéria de resiliência digital operacional ao pessoal e à administração. |
| --- | --- |

h)

Aplicam, se for caso disso, as conclusões operacionais pertinentes resultantes dos testes a que se refere a alínea g) e da análise pós-incidente no processo de avaliação do risco associado às TIC e desenvolvem, de acordo com as necessidades e o perfil de risco associado às TIC, programas de sensibilização para a segurança das TIC e a formação em matéria de resiliência digital operacional ao pessoal e à administração.

2.   O quadro de gestão do risco associado às TIC a que se refere o n.o 1, segundo parágrafo, alínea a), é documentado e revisto periodicamente e aquando da ocorrência de incidentes de caráter severo relacionados com as TIC, em conformidade com as instruções de supervisão. O quadro é continuamente aperfeiçoado com base nas lições retiradas da implementação e monitorização. Deve ser apresentado anualmente à autoridade competente, a seu pedido, um relatório de análise do quadro de gestão do risco associado às TIC.

3.   As AES desenvolvem, através do Comité Conjunto, em consulta com a ENISA, projetos de normas técnicas de regulamentação comuns a fim de:

| a) | Especificar mais pormenorizadamente os elementos a incluir no quadro de gestão do risco associado às TIC a que se refere o n.o 1, segundo parágrafo, alínea a); |
| --- | --- |

a)

Especificar mais pormenorizadamente os elementos a incluir no quadro de gestão do risco associado às TIC a que se refere o n.o 1, segundo parágrafo, alínea a);

| b) | Especificar mais pormenorizadamente os elementos relativos aos sistemas, protocolos e ferramentas para minimizar o impacto do risco associado às TIC a que se refere o n.o 1, segundo parágrafo, alínea c), com vista a assegurar a segurança das redes, possibilitando salvaguardas adequadas contra intrusões e a utilização abusiva de dados e preservando a disponibilidade, autenticidade, integridade e confidencialidade dos dados; |
| --- | --- |

b)

Especificar mais pormenorizadamente os elementos relativos aos sistemas, protocolos e ferramentas para minimizar o impacto do risco associado às TIC a que se refere o n.o 1, segundo parágrafo, alínea c), com vista a assegurar a segurança das redes, possibilitando salvaguardas adequadas contra intrusões e a utilização abusiva de dados e preservando a disponibilidade, autenticidade, integridade e confidencialidade dos dados;

| c) | Especificar mais pormenorizadamente os componentes dos planos de continuidade das atividades no domínio das TIC a que se refere o n.o 1, segundo parágrafo, alínea f); |
| --- | --- |

c)

Especificar mais pormenorizadamente os componentes dos planos de continuidade das atividades no domínio das TIC a que se refere o n.o 1, segundo parágrafo, alínea f);

| d) | Especificar mais pormenorizadamente as regras relativas aos testes dos planos de continuidade das atividades e assegurar a eficácia dos controlos a que se refere o n.o 1, segundo parágrafo, alínea g), e assegurar que esses testes têm devidamente em conta cenários em que a qualidade do desempenho de uma função crítica ou importante atinge níveis inaceitáveis ou falha; |
| --- | --- |

d)

Especificar mais pormenorizadamente as regras relativas aos testes dos planos de continuidade das atividades e assegurar a eficácia dos controlos a que se refere o n.o 1, segundo parágrafo, alínea g), e assegurar que esses testes têm devidamente em conta cenários em que a qualidade do desempenho de uma função crítica ou importante atinge níveis inaceitáveis ou falha;

| e) | Especificar mais pormenorizadamente o conteúdo e o formato do relatório de análise do quadro de gestão do risco associado às TIC a que se refere o n.o 2. |
| --- | --- |

e)

Especificar mais pormenorizadamente o conteúdo e o formato do relatório de análise do quadro de gestão do risco associado às TIC a que se refere o n.o 2.

Ao elaborarem esses projetos de normas técnicas de regulamentação, as AES têm em conta a dimensão e o perfil de risco global da entidade financeira, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações.

As AES apresentam esses projetos de normas técnicas de regulamentação à Comissão até 17 de janeiro de 2024.

A Comissão fica habilitada a completar o presente regulamento através da adoção das normas técnicas de regulamentação a que se refere o primeiro parágrafo, nos termos dos artigos 10.o a 14.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

CAPITULO III

Gestão, classificação e comunicação de informações sobre incidentes relacionados com as TIC

Artigo 17.o

Processo de gestão de incidentes relacionados com as TIC

1.   As entidades financeiras definem, estabelecem e aplicam um processo de gestão de incidentes relacionados com as TIC para detetar, gerir e notificar esses incidentes.

2.   As entidades financeiras registam todos os incidentes relacionados com as TIC, bem como as ciberameaças significativas. As entidades financeiras estabelecem procedimentos e processos adequados para assegurar a monitorização, o tratamento e acompanhamento coerente e integrado dos incidentes relacionados com as TIC, por forma a assegurar que as causas profundas são identificadas, documentadas e resolvidas a fim de evitar a ocorrência desses incidentes.

3.   O processo de gestão de incidentes relacionados com as TIC a que se refere o n.o 1:

| a) | Estabelece indicadores de alerta precoce; |
| --- | --- |

a)

Estabelece indicadores de alerta precoce;

| b) | Estabelece procedimentos para identificar, rastrear, registar, categorizar e classificar os incidentes relacionados com as TIC de acordo com a sua prioridade e de acordo com a gravidade e importância dos serviços afetados, em conformidade com os critérios estabelecidos no artigo 18.o, n.o 1; |
| --- | --- |

b)

Estabelece procedimentos para identificar, rastrear, registar, categorizar e classificar os incidentes relacionados com as TIC de acordo com a sua prioridade e de acordo com a gravidade e importância dos serviços afetados, em conformidade com os critérios estabelecidos no artigo 18.o, n.o 1;

| c) | Atribui as funções e responsabilidades que devem ser ativadas para os diferentes cenários e tipos de incidentes relacionados com as TIC; |
| --- | --- |

c)

Atribui as funções e responsabilidades que devem ser ativadas para os diferentes cenários e tipos de incidentes relacionados com as TIC;

| d) | Define planos de comunicação ao pessoal, às partes interessadas externas e aos média nos termos do artigo 14.o, planos de notificação aos clientes, para procedimentos de ativação dos níveis sucessivos internos, nomeadamente para tratar queixas de clientes relacionadas com as TIC, bem como planos para o fornecimento de informações às entidades financeiras que atuam na qualidade de contrapartes, se for caso disso; |
| --- | --- |

d)

Define planos de comunicação ao pessoal, às partes interessadas externas e aos média nos termos do artigo 14.o, planos de notificação aos clientes, para procedimentos de ativação dos níveis sucessivos internos, nomeadamente para tratar queixas de clientes relacionadas com as TIC, bem como planos para o fornecimento de informações às entidades financeiras que atuam na qualidade de contrapartes, se for caso disso;

| e) | Assegura que, pelo menos, os incidentes de caráter severo relacionados com as TIC são comunicados aos membros da direção de topo pertinentes e informa o órgão de gestão de, pelo menos, os incidentes de caráter severo relacionados com as TIC, explicando o impacto, a resposta e os controlos adicionais que devem ser estabelecidos em resultado desses incidentes relacionados com as TIC; |
| --- | --- |

e)

Assegura que, pelo menos, os incidentes de caráter severo relacionados com as TIC são comunicados aos membros da direção de topo pertinentes e informa o órgão de gestão de, pelo menos, os incidentes de caráter severo relacionados com as TIC, explicando o impacto, a resposta e os controlos adicionais que devem ser estabelecidos em resultado desses incidentes relacionados com as TIC;

| f) | Estabelece procedimentos de resposta a incidentes relacionados com as TIC para atenuar os respetivos impactos e assegura o restabelecimento dos serviços em tempo útil e de forma segura. |
| --- | --- |

f)

Estabelece procedimentos de resposta a incidentes relacionados com as TIC para atenuar os respetivos impactos e assegura o restabelecimento dos serviços em tempo útil e de forma segura.

Artigo 18.o

Classificação dos incidentes relacionados com as TIC e das ciberameaças

1.   As entidades financeiras classificam os incidentes relacionados com as TIC e determinam o respetivo impacto com base nos seguintes critérios:

| a) | O número e/ou a relevância dos clientes, ou contrapartes financeiras, afetados e, sempre que aplicável, a quantidade ou o número de transações afetadas pelo incidente relacionado com as TIC e se o incidente relacionado com as TIC teve algum impacto em termos de reputação; |
| --- | --- |

a)

O número e/ou a relevância dos clientes, ou contrapartes financeiras, afetados e, sempre que aplicável, a quantidade ou o número de transações afetadas pelo incidente relacionado com as TIC e se o incidente relacionado com as TIC teve algum impacto em termos de reputação;

| b) | A duração do incidente relacionado com as TIC, nomeadamente o tempo de indisponibilidade do serviço; |
| --- | --- |

b)

A duração do incidente relacionado com as TIC, nomeadamente o tempo de indisponibilidade do serviço;

| c) | A distribuição geográfica relativamente às áreas afetadas pelo incidente relacionado com as TIC, em particular quando tiver afetado mais do que dois Estados-Membros; |
| --- | --- |

c)

A distribuição geográfica relativamente às áreas afetadas pelo incidente relacionado com as TIC, em particular quando tiver afetado mais do que dois Estados-Membros;

| d) | As perdas de dados decorrentes do incidente relacionado com as TIC, no que diz respeito à disponibilidade, autenticidade, integridade ou confidencialidade dos dados; |
| --- | --- |

d)

As perdas de dados decorrentes do incidente relacionado com as TIC, no que diz respeito à disponibilidade, autenticidade, integridade ou confidencialidade dos dados;

| e) | A criticalidade dos serviços afetados, nomeadamente as transações e operações da entidade financeira; |
| --- | --- |

e)

A criticalidade dos serviços afetados, nomeadamente as transações e operações da entidade financeira;

| f) | O impacto económico, em especial, os custos e as perdas diretos e indiretos do incidente relacionado com as TIC, tanto em termos absolutos como em termos relativos. |
| --- | --- |

f)

O impacto económico, em especial, os custos e as perdas diretos e indiretos do incidente relacionado com as TIC, tanto em termos absolutos como em termos relativos.

2.   As entidades financeiras classificam as ciberameaças como significativas com base na criticalidade dos serviços em risco, incluindo as transações e operações da entidade financeira, o número e/ou relevância dos clientes ou contrapartes financeiras visados e a distribuição geográfica das áreas em risco.

3.   As AES desenvolvem, através do Comité Conjunto, e em consulta com o BCE e a ENISA, projetos de normas técnicas de regulamentação comuns a fim de especificar mais pormenorizadamente:

| a) | Os critérios definidos no n.o 1, nomeadamente os limiares de materialidade para determinar os incidentes de caráter severo relacionados com as TIC, ou, consoante aplicável, os incidentes de caráter severo operacionais ou de segurança relacionados com pagamentos, que estão sujeitos à notificação obrigatória de informações prevista no artigo 19.o, n.o 1; |
| --- | --- |

a)

Os critérios definidos no n.o 1, nomeadamente os limiares de materialidade para determinar os incidentes de caráter severo relacionados com as TIC, ou, consoante aplicável, os incidentes de caráter severo operacionais ou de segurança relacionados com pagamentos, que estão sujeitos à notificação obrigatória de informações prevista no artigo 19.o, n.o 1;

| b) | Os critérios a aplicar pelas autoridades competentes com o objetivo de avaliar a relevância dos incidentes de caráter severo relacionados com as TIC, ou, consoante aplicável, os incidentes de caráter severo operacionais ou de segurança relacionados com pagamentos, às autoridades competentes pertinentes de outros Estados-Membros, bem como os pormenores dos relatórios dos incidentes de caráter severo relacionados com as TIC, ou, consoante aplicável, os incidentes de caráter severo operacionais ou de segurança relacionados com pagamentos que devem ser partilhados com outras autoridades competentes nos termos do artigo 19.o, n.os 6 e 7; |
| --- | --- |

b)

Os critérios a aplicar pelas autoridades competentes com o objetivo de avaliar a relevância dos incidentes de caráter severo relacionados com as TIC, ou, consoante aplicável, os incidentes de caráter severo operacionais ou de segurança relacionados com pagamentos, às autoridades competentes pertinentes de outros Estados-Membros, bem como os pormenores dos relatórios dos incidentes de caráter severo relacionados com as TIC, ou, consoante aplicável, os incidentes de caráter severo operacionais ou de segurança relacionados com pagamentos que devem ser partilhados com outras autoridades competentes nos termos do artigo 19.o, n.os 6 e 7;

| c) | Os critérios estabelecidos no n.o 2 do presente artigo, incluindo limiares de materialidade elevados para determinar as ciberameaças significativas. |
| --- | --- |

c)

Os critérios estabelecidos no n.o 2 do presente artigo, incluindo limiares de materialidade elevados para determinar as ciberameaças significativas.

4.   Aquando da elaboração dos projetos de normas técnicas de regulamentação comuns a que se refere o n.o 3 do presente artigo, as AES têm em conta os critérios estabelecidos no artigo 4.o, n.o 2, as normas internacionais, bem como as orientações e as especificações elaboradas e publicadas pela ENISA, incluindo, quando adequado, especificações para outros setores económicos. Para efeitos da aplicação dos critérios estabelecidos no artigo 4.o, n.o 2, as AES têm devidamente em conta a necessidade de as microempresas e as pequenas e médias empresas mobilizarem recursos e capacidades suficientes para assegurar uma gestão rápida dos incidentes relacionados com as TIC.

As AES apresentam esses projetos comuns de normas técnicas de regulamentação à Comissão até 17 de janeiro de 2024.

A Comissão fica habilitada a completar o presente regulamento através da adoção das normas técnicas de regulamentação a que se refere o n.o 3, nos termos dos artigos 10.o a 14.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

Artigo 19.o

Comunicação dos incidentes de caráter severo relacionados com as TIC e notificação voluntária de ciberameaças significativas

1.   As entidades financeiras comunicam os incidentes de caráter severo relacionados com as TIC à autoridade competente pertinente, tal como referido no artigo 46.o, nos termos do n.o 4 do presente artigo.

Caso uma entidade financeira esteja sujeita à supervisão de mais do que uma autoridade nacional competente a que se refere o artigo 46.o, os Estados-Membros designam uma única autoridade competente como entidade competente pertinente responsável pelo desempenho das funções e deveres previstos no presente artigo.

As instituições de crédito classificadas como significativas, de acordo com o artigo 6.o, n.o 4, do Regulamento (UE) n.o 1024/2013, comunicam incidentes de caráter severo relacionados com as TIC à autoridade nacional competente designada nos termos do artigo 4.o da Diretiva 2013/36/UE, que transmite imediatamente esse relatório ao BCE.

Para efeitos do primeiro parágrafo, as entidades financeiras elaboram, após recolha e análise de todas as informações relevantes, a notificação inicial e os relatórios a que se refere o n.o 4 do presente artigo, por meio dos modelos a que se refere o artigo 20.o, e apresentam-nos à autoridade competente. Caso uma impossibilidade técnica impeça a apresentação da notificação inicial por meio do modelo, as entidades financeiras notificam do facto a autoridade competente por meios alternativos.

A notificação inicial e os relatórios a que se refere o n.o 4 incluem todas as informações necessárias que permitam à autoridade competente determinar o grau de importância do incidente de caráter severo relacionado com as TIC e avaliar os possíveis impactos transfronteiriços.

Sem prejuízo da comunicação de informações nos termos do primeiro parágrafo pela entidade financeira à autoridade competente relevante, os Estados-Membros podem ainda determinar que algumas ou todas as entidades financeiras devem também transmitir a notificação inicial e cada relatório a que se refere o n.o 4 do presente artigo, por meio dos modelos a que se refere o artigo 20.o, às autoridades competentes ou às equipas de resposta a incidentes de segurança informática (CSIRT) designadas ou criadas nos termos da Diretiva (UE) 2022/2555.

2.   As entidades financeiras podem, a título voluntário, notificar ciberameaças significativas à autoridade competente pertinente sempre que considerem essas ameaças relevantes para o sistema financeiro, os utilizadores ou os clientes do serviço. A autoridade competente pertinente pode transmitir essas informações a outras autoridades pertinentes a que se refere o n.o 6.

As instituições de crédito avaliadas como significativas, nos termos do artigo 6.o, n.o 4, do Regulamento (UE) n.o 1024/2013, podem, a título voluntário, notificar ciberameaças significativas à autoridade nacional competente designada nos termos do artigo 4.o da Diretiva 2013/36/UE, que transmite imediatamente essa notificação ao BCE.

Os Estados-Membros podem determinar que as entidades financeiras que, a título voluntário, apresentem uma notificação nos termos do primeiro parágrafo possam também transmitir essa notificação às CSIRT designadas ou criadas nos termos da Diretiva (UE) 2022/2555.

3.   Em caso de incidente de caráter severo relacionado com as TIC que tenha impacto nos interesses financeiros dos clientes, as entidades financeiras informam, sem demora indevida e logo que tenham tomado conhecimento do incidente, os seus clientes acerca do incidente de caráter severo relacionado com as TIC e das medidas que foram tomadas para atenuar os efeitos adversos desse incidente.

Em caso de ciberameaça significativa, as entidades financeiras informam, se for caso disso, os seus clientes potencialmente afetados de todas as medidas de proteção adequadas que estes possam ponderar tomar.

4.   As entidades financeiras apresentam à autoridade competente pertinente, nos prazos a fixar nos termos do artigo 20.o, primeiro parágrafo, alínea a), subalínea ii), os seguintes elementos:

| a) | A notificação inicial; |
| --- | --- |

a)

A notificação inicial;

| b) | Um relatório intercalar após a notificação inicial a que se refere a alínea a), logo que o estado do incidente inicial tenha mudado significativamente ou o tratamento do incidente de caráter severo relacionado com as TIC tenha mudado com base em novas informações disponíveis, seguido, se for caso disso, de notificações atualizadas sempre que fique disponível uma atualização relevante do estado, bem como mediante pedido específico da autoridade competente; |
| --- | --- |

b)

Um relatório intercalar após a notificação inicial a que se refere a alínea a), logo que o estado do incidente inicial tenha mudado significativamente ou o tratamento do incidente de caráter severo relacionado com as TIC tenha mudado com base em novas informações disponíveis, seguido, se for caso disso, de notificações atualizadas sempre que fique disponível uma atualização relevante do estado, bem como mediante pedido específico da autoridade competente;

| c) | Um relatório final, quando concluída a análise das causas subjacentes, independentemente de já terem sido aplicadas ou não medidas de mitigação, e quando os valores reais do impacto estejam disponíveis para substituir as estimativas. |
| --- | --- |

c)

Um relatório final, quando concluída a análise das causas subjacentes, independentemente de já terem sido aplicadas ou não medidas de mitigação, e quando os valores reais do impacto estejam disponíveis para substituir as estimativas.

5.   As entidades financeiras podem subcontratar, em conformidade com o direito setorial nacional e da União, as obrigações de notificação previstas no presente artigo a um terceiro prestador de serviços. Em caso de subcontratação, a entidade financeira continua a ser plenamente responsável pelo cumprimento dos requisitos de notificação de incidentes.

6.   Aquando da receção da notificação inicial e de cada relatório a que se refere o n.o 4, a autoridade competente comunica, em tempo útil, pormenores sobre o incidente de caráter severo relacionado com as TIC aos seguintes destinatários, com base, se for caso disso, nas respetivas competências:

| a) | À EBA, à ESMA ou à EIOPA; |
| --- | --- |

a)

À EBA, à ESMA ou à EIOPA;

| b) | Ao BCE, no caso das entidades financeiras a que se refere o artigo 2.o, n.o 1, alíneas a), b) e d); |
| --- | --- |

b)

Ao BCE, no caso das entidades financeiras a que se refere o artigo 2.o, n.o 1, alíneas a), b) e d);

| c) | Às autoridades competentes, aos pontos de contacto únicos ou CSIRT designados ou criados nos termos da Diretiva (UE) 2022/2555; |
| --- | --- |

c)

Às autoridades competentes, aos pontos de contacto únicos ou CSIRT designados ou criados nos termos da Diretiva (UE) 2022/2555;

| d) | Às autoridades de resolução, referidas no artigo 3.o da Diretiva 2014/59/UE, e ao Conselho Único de Resolução (CUR), no que respeita às entidades a que se refere o artigo 7.o, n.o 2, do Regulamento (UE) n.o 806/2014 do Parlamento Europeu e do Conselho (37), e no que respeita às entidades e grupos a que se refere o artigo 7.o, n.o 4, alínea b), e n.o 5, do Regulamento (UE) n.o 806/2014, se esses pormenores disserem respeito a incidentes que constituam um risco para assegurar funções críticas na aceção do artigo 2.o, n.o 1, ponto 35, da Diretiva 2014/59/UE; e |
| --- | --- |

d)

Às autoridades de resolução, referidas no artigo 3.o da Diretiva 2014/59/UE, e ao Conselho Único de Resolução (CUR), no que respeita às entidades a que se refere o artigo 7.o, n.o 2, do Regulamento (UE) n.o 806/2014 do Parlamento Europeu e do Conselho (37), e no que respeita às entidades e grupos a que se refere o artigo 7.o, n.o 4, alínea b), e n.o 5, do Regulamento (UE) n.o 806/2014, se esses pormenores disserem respeito a incidentes que constituam um risco para assegurar funções críticas na aceção do artigo 2.o, n.o 1, ponto 35, da Diretiva 2014/59/UE; e

| e) | A outras autoridades públicas relevantes ao abrigo do direito nacional. |
| --- | --- |

e)

A outras autoridades públicas relevantes ao abrigo do direito nacional.

7.   Após a receção de informações nos termos do n.o 6, a EBA, a ESMA ou a EIOPA e o BCE, em consulta com a ENISA e em cooperação com a autoridade competente relevante, avaliam a relevância do incidente de caráter severo relacionado com as TIC para as autoridades competentes de outros Estados-Membros. Na sequência dessa avaliação, a EBA, a ESMA ou a EIOPA notificam, o mais rapidamente possível, as autoridades competentes relevantes de outros Estados-Membros em conformidade. O BCE notifica os membros do Sistema Europeu de Bancos Centrais das questões relevantes para o sistema de pagamentos. Com base nessa notificação as autoridades competentes tomam, se for caso disso, todas as medidas necessárias para proteger a estabilidade imediata do sistema financeiro.

8.   A notificação a efetuar pela ESMA nos termos do n.o 7 do presente artigo não prejudica a responsabilidade da autoridade competente de transmitir com urgência os pormenores do incidente de caráter severo relacionado com as TIC à autoridade relevante do Estado-Membro de acolhimento, caso uma central de valores mobiliários tenha atividades transfronteiriças significativas no Estado-Membro de acolhimento, o incidente de caráter severo relacionado com as TIC seja suscetível de ter consequências graves para os mercados financeiros do Estado-Membro de acolhimento e caso existam acordos de cooperação entre as autoridades competentes relacionados com a supervisão das entidades financeiras.

Artigo 20.o

Harmonização dos modelos e conteúdos da notificação

As AES, através do Comité Conjunto e em consulta com a ENISA e o BCE, elaboram:

| a) | Projetos de normas técnicas de regulamentação comuns com vista a:






  i) | estabelecer o conteúdo das notificações de incidentes de caráter severo relacionados com as TIC, a fim de refletir os critérios estabelecidos no artigo 18.o, n.o 1, e incorporar outros elementos, tais como pormenores para determinar a relevância da notificação para outros Estados-Membros e se constitui ou não um incidente de caráter severo operacional ou de segurança relacionado com pagamentos, |
| --- | --- | --- |

a)

Projetos de normas técnicas de regulamentação comuns com vista a:

i)

estabelecer o conteúdo das notificações de incidentes de caráter severo relacionados com as TIC, a fim de refletir os critérios estabelecidos no artigo 18.o, n.o 1, e incorporar outros elementos, tais como pormenores para determinar a relevância da notificação para outros Estados-Membros e se constitui ou não um incidente de caráter severo operacional ou de segurança relacionado com pagamentos,

o

o

| ii) | determinar os prazos para a notificação inicial e para cada relatório a que se refere o artigo 19.o, n.o 4, |
| --- | --- |

ii)

determinar os prazos para a notificação inicial e para cada relatório a que se refere o artigo 19.o, n.o 4,

o

o

| iii) | determinar o conteúdo da notificação de ciberameaças significativas. |
| --- | --- |

iii)

determinar o conteúdo da notificação de ciberameaças significativas.

Ao elaborarem esses projetos de normas técnicas de regulamentação, as AES têm em conta a dimensão e o perfil de risco global da entidade financeira, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações, nomeadamente com vista a assegurar que, para efeitos do presente parágrafo, alínea a), subalínea ii), diferentes prazos possam refletir, conforme adequado, as especificidades dos setores financeiros, sem prejuízo da manutenção da coerência no que diz respeito à notificação de incidentes relacionados com as TIC nos termos do presente regulamento e da Diretiva (UE) 2022/2555. As AES apresentam, se for caso disso, uma justificação quando se afastarem das abordagens adotadas no contexto dessa diretiva.

| b) | Projetos de normas técnicas de execução comuns com vista a estabelecer os formulários, os modelos e os procedimentos normalizados para as entidades financeiras notificarem um incidente de carácter severo relacionado com as TIC e uma ciberameaça significativa. |
| --- | --- |

b)

Projetos de normas técnicas de execução comuns com vista a estabelecer os formulários, os modelos e os procedimentos normalizados para as entidades financeiras notificarem um incidente de carácter severo relacionado com as TIC e uma ciberameaça significativa.

As AES apresentam os projetos de normas técnicas de regulamentação comuns a que se refere o primeiro parágrafo, alínea a), e os projetos de normas técnicas de execução comuns a que se refere o primeiro parágrafo, alínea b), à Comissão até 17 de julho de 2024.

A Comissão fica habilitada a completar o presente regulamento através da adoção das normas técnicas de regulamentação comuns a que se refere o primeiro parágrafo, alínea a), nos termos dos artigos 10.o a 14.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

o

o

o

o

o

É conferido à Comissão o poder de adotar as normas técnicas de execução comuns a que se refere o primeiro parágrafo, alínea b), nos termos do artigo 15.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

o

o

o

o

Artigo 21.o

Centralização da notificação de incidentes de caráter severo relacionados com as TIC

1.   As AES preparam, através do Comité Conjunto e em consulta com o BCE e a ENISA, um relatório conjunto que avalie a viabilidade de reforçar a centralização da notificação de incidentes através da criação de uma plataforma única na UE para a notificação de incidentes de caráter severo relacionados com as TIC pelas entidades financeiras. O relatório conjunto explora formas de facilitar o fluxo de notificações de incidentes relacionados com as TIC, reduz os custos associados e sustenta análises temáticas com vista a melhorar a convergência em termos de supervisão.

2.   O relatório conjunto referido no n.o 1 inclui, pelo menos, os seguintes elementos:

| a) | Pré-requisitos para a criação de uma plataforma única da UE; |
| --- | --- |

a)

Pré-requisitos para a criação de uma plataforma única da UE;

| b) | Benefícios, limitações e riscos, incluindo o risco associado à elevada concentração de informações sensíveis; |
| --- | --- |

b)

Benefícios, limitações e riscos, incluindo o risco associado à elevada concentração de informações sensíveis;

| c) | A capacidade necessária para assegurar a interoperabilidade no que diz respeito a outros sistemas pertinentes de notificação; |
| --- | --- |

c)

A capacidade necessária para assegurar a interoperabilidade no que diz respeito a outros sistemas pertinentes de notificação;

| d) | Elementos de gestão operacional; |
| --- | --- |

d)

Elementos de gestão operacional;

| e) | Condições de participação; |
| --- | --- |

e)

Condições de participação;

| f) | Disposições técnicas de acesso à plataforma única da UE pelas entidades financeiras e pelas autoridades nacionais competentes; |
| --- | --- |

f)

Disposições técnicas de acesso à plataforma única da UE pelas entidades financeiras e pelas autoridades nacionais competentes;

| g) | Uma avaliação preliminar dos custos financeiros decorrentes da criação da estrutura operacional que servirá de base à plataforma única da UE, incluindo os conhecimentos especializados necessários. |
| --- | --- |

g)

Uma avaliação preliminar dos custos financeiros decorrentes da criação da estrutura operacional que servirá de base à plataforma única da UE, incluindo os conhecimentos especializados necessários.

3.   As AES apresentam o relatório referido no n.o 1 ao Parlamento Europeu, ao Conselho e à Comissão até 17 de janeiro de 2025.

Artigo 22.o

Observações das autoridades de supervisão

1.   Sem prejuízo dos contributos técnicos, do aconselhamento ou das medidas corretivas e do seguimento subsequente que podem ser prestados, se for caso disso, em conformidade com o direito nacional, pelas CSIRTs ao abrigo da Diretiva (UE) 2022/2555, a autoridade competente, acusa a receção da notificação inicial e de cada relatório a que se refere o artigo 19.o, n.o 4, e pode, sempre que exequível, fornecer em tempo útil observações ou orientações de alto nível pertinentes e proporcionadas à entidade financeira, em especial para disponibilizar quaisquer informações anonimizadas sobre ameaças semelhantes, e pode debater as correções aplicadas ao nível da entidade financeira e formas de minimizar e atenuar os impactos adversos no setor financeiro. Sem prejuízo das observações recebidas das autoridades de supervisão, as entidades financeiras continuam a ser plenamente responsáveis pelo tratamento e pelas consequências dos incidentes relacionados com as TIC notificados nos termos do artigo 19.o, n.o 1.

2.   As AES, através do Comité Conjunto, comunicam anualmente informações, numa base anónima e agregada, sobre os incidentes de caráter severo relacionados com as TIC, cujos pormenores são fornecidos pelas autoridades competentes, nos termos do artigo 19.o, n.o 6, indicando no mínimo o número de incidentes de caráter severo relacionados com as TIC, a sua natureza, o impacto nas operações das entidades financeiras ou nos clientes, as medidas corretivas adotadas e os custos suportados.

As AES emitem alertas e elaboram estatísticas de alto nível para apoiar as avaliações das ameaças e das vulnerabilidades no domínio das TIC.

Artigo 23.o

Incidentes operacionais ou de segurança relacionados com pagamentos que envolvam instituições de crédito, instituições de pagamento, prestadores de serviços de informação sobre contas e instituições de moeda eletrónica

Os requisitos estabelecidos no presente capítulo são igualmente aplicáveis aos incidentes operacionais ou de segurança relacionados com pagamentos e aos incidentes de caráter severo operacionais ou de segurança relacionados com pagamentos que envolvam instituições de crédito, instituições de pagamento, prestadores de serviços de informação sobre contas e instituições de moeda eletrónica.

CAPITULO IV

Testes de resiliência operacional digital

Artigo 24.o

Requisitos gerais para a realização de testes de resiliência operacional digital

1.   Com o intuito de avaliar a preparação para o tratamento de incidentes relacionados com as TIC, identificar pontos fracos, deficiências ou lacunas na resiliência operacional digital e adotar rapidamente medidas corretivas, as entidades financeiras que não sejam microempresas e tendo em consideração os critérios estabelecidos no artigo 4.o, n.o 2, estabelecem, mantêm e revêm um programa sólido e abrangente de testes de resiliência operacional digital para efeitos do quadro de gestão do risco associado às TIC a que se refere o artigo 6.o.

2.   O programa de testes de resiliência operacional digital inclui um leque de avaliações, testes, metodologias, práticas e ferramentas a aplicar nos termos dos artigos 25.o e 26.°.

3.   Aquando da execução do programa de testes de resiliência operacional digital a que se refere o n.o 1 do presente artigo, as entidades financeiras, que não sejam microempresas, adotam uma abordagem baseada no risco, tendo em conta os critérios estabelecidos no artigo 4.o, n.o 2, atendendo devidamente ao contexto evolutivo do risco associado às TIC, a quaisquer riscos específicos a que a entidade financeira em causa esteja ou possa vir a estar exposta, à criticalidade dos ativos de informação e dos serviços prestados, bem como a qualquer outro fator que a entidade financeira considere adequado.

4.   As entidades financeiras que não sejam microempresas asseguram que os testes são realizados por partes independentes, sejam elas internas ou externas. Se os testes forem realizados por um testador interno, as entidades financeiras afetam recursos suficientes e garantem que são evitados conflitos de interesses ao longo das fases de conceção e execução dos testes.

5.   As entidades financeiras, que não sejam microempresas, estabelecem procedimentos e políticas para priorizar, classificar e corrigir todas as questões reveladas aquando da realização dos testes e estabelecem metodologias internas de validação para confirmar que é dada uma resposta cabal a todos os pontos fracos, deficiências ou lacunas.

6.   As entidades financeiras, que não sejam microempresas, asseguram que são realizados testes adequados, pelo menos uma vez por ano, a todos os sistemas e aplicações que apoiem funções importantes ou críticas no domínio das TIC.

Artigo 25.o

Teste dos sistemas e ferramentas no domínio das TIC

1.   O programa de testes de resiliência operacional digital a que se refere o artigo 24.o prevê, em conformidade com os critérios estabelecidos no artigo 4.o, n.o 2, a execução de testes apropriados, como avaliações e rastreamento de vulnerabilidades, análises de fonte aberta, avaliações da segurança das redes, análises das lacunas, análises da segurança física, questionários e soluções de rastreamento com programas informáticos, revisões do código fonte quando tal for exequível, testes baseados em cenários, testes de compatibilidade, testes de desempenho, testes de extremo a extremo e testes de penetração.

2.   As centrais de valores mobiliários e as contrapartes centrais realizam avaliações das vulnerabilidades antes de lançarem ou relançarem serviços novos ou existentes de aplicações e componentes da infraestrutura, e de serviços TIC de apoio às funções críticas ou importantes da entidade financeira.

3.   As microempresas realizam os testes a que se refere o n.o 1 combinando uma abordagem baseada no risco com um planeamento estratégico dos testes de TIC, tendo devidamente em conta a necessidade de assegurar o equilíbrio entre a escala dos recursos e o tempo a dedicar aos testes de TIC previstos no presente artigo, por um lado, e a urgência, o tipo de risco, a criticalidade dos ativos de informação e dos serviços prestados, bem como qualquer outro fator relevante, incluindo a capacidade da entidade financeira para assumir riscos calculados, por outro.

Artigo 26.o

Testes avançados às ferramentas, sistemas e processos com base nos TLPT

1.   As entidades financeiras que não sejam as entidades a que se refere o artigo 16.o, n.o 1, primeiro parágrafo, nem microempresas, identificadas nos termos do n.o 8, terceiro parágrafo, do presente artigo, realizam, pelo menos de três em três anos, testes avançados através da realização de TLPT. Em função do perfil de risco da entidade financeira e tendo em conta as circunstâncias operacionais, a autoridade competente pode, se necessário, obrigar a entidade financeira a reduzir ou aumentar essa frequência.

2.   Cada teste de penetração baseado em ameaças abrange várias ou todas as funções críticas ou importantes de uma entidade financeira e é realizado em sistemas de produção «ao vivo» que apoiem essas funções.

As entidades financeiras identificam todos os sistemas, processos e tecnologias pertinentes de TIC subjacentes de apoio às funções e aos serviços de TIC relevantes que sejam críticos ou importantes, incluindo os que apoiam funções e serviços críticos ou importantes externalizados ou subcontratados a terceiros prestadores de serviços de TIC.

As entidades financeiras avaliam quais as funções críticas ou importantes que devem ser abrangidas pelo TLPT. O resultado desta avaliação determina o âmbito exato do TLPT e é validado pelas autoridades competentes.

3.   Quando terceiros prestadores de serviços de TIC estiverem incluídos no âmbito dos TLPT, a entidade financeira toma as medidas e salvaguardas necessárias para assegurar a participação desses terceiros prestadores de serviços de TIC nos TLPT e continua a ser plenamente responsável pelo cumprimento do presente regulamento em qualquer momento.

4.   Sem prejuízo do disposto no n.o 2, primeiro e segundo parágrafos, caso seja razoável esperar que a participação de um terceiro prestador de serviços de TIC no TLPT referido no n.o 3, tenha um impacto adverso na qualidade ou na segurança dos serviços fornecidos pelo terceiro prestador de serviços de TIC a clientes que sejam entidades não abrangidas pelo âmbito de aplicação do presente regulamento, ou na confidencialidade dos dados relacionados com esses serviços, a entidade financeira e o terceiro prestador de serviços de TIC podem acordar por escrito que o terceiro prestador de serviços de TIC celebra diretamente acordos contratuais com um testador externo, com o objetivo de realizar, sob a direção de uma entidade financeira designada, um TLPT agrupado que envolva várias entidades financeiras (testes agrupados) às quais o terceiro prestador de serviços de TIC presta serviços de TIC.

Estes testes agrupados abrangem a gama relevante de serviços de TIC que apoiam as funções críticas ou importantes contratadas ao respetivo terceiro prestador de serviços de TIC pelas entidades financeiras. Os testes agrupados são considerados TLPT realizados pelas entidades financeiras que neles participam.

O número de entidades financeiras que participam nos testes agrupados deve ser devidamente ajustado em função da complexidade e dos tipos de serviços envolvidos.

5.   As entidades financeiras aplicam, com a cooperação de terceiros prestadores de serviços de TIC e outras partes envolvidas, incluindo os testadores mas excluindo as autoridades competentes, controlos eficazes de gestão do risco para atenuar os riscos de quaisquer potenciais impactos nos dados, danos nos ativos e perturbações nos serviços, operações ou funções críticas ou importantes da própria entidade financeira, das suas contrapartes ou do setor financeiro.

6.   No final dos testes, depois de chegarem a acordo sobre os relatórios e os planos corretivos, a entidade financeira e, se for caso disso, os testadores externos fornecem à autoridade designada nos termos dos n.os 9 ou 10, um resumo dos resultados relevantes, dos planos corretivos e da documentação que comprova que os TLPT foram realizados em conformidade com os requisitos.

7.   As autoridades fornecem às entidades financeiras um comprovativo que certifique que o teste foi realizado em conformidade com os requisitos tal como comprovados na documentação, a fim de permitir o reconhecimento mútuo, por parte das autoridades competentes, dos testes de penetração baseados em ameaças. A entidade financeira notifica a autoridade competente relevante do comprovativo, do resumo das constatações relevantes e dos planos corretivos.

Sem prejuízo deste comprovativo, as entidades financeiras continuam a ser plenamente responsáveis pelo impacto dos testes a que se refere o n.o 4.

8.   As entidades financeiras contratam testadores externos nos termos do artigo 27.o para efeitos da realização dos TLPT. Quando as entidades financeiras recorrem a testadores internos para efeitos da realização dos TLPT, contratam um testador externo de três em três testes.

As instituições de crédito que estejam avaliadas como significativas nos termos do artigo 6.o, n.o 4, do Regulamento (UE) n.o 1024/2013, só podem recorrer a testadores externos nos termos do artigo 27.o, n.o 1, alíneas a) a e).

As autoridades competentes identificam as entidades financeiras que devem realizar TLPT tendo em conta os critérios estabelecidos no artigo 4.o, n.o 2, com base numa avaliação dos seguintes elementos:

| a) | Fatores relacionados com o impacto, em especial a medida em que os serviços prestados e as atividades desenvolvidas pela entidade financeira afetam o setor financeiro; |
| --- | --- |

a)

Fatores relacionados com o impacto, em especial a medida em que os serviços prestados e as atividades desenvolvidas pela entidade financeira afetam o setor financeiro;

| b) | Possíveis preocupações com a estabilidade financeira, nomeadamente o caráter sistémico da entidade financeira a nível da União ou nacional, conforme aplicável; |
| --- | --- |

b)

Possíveis preocupações com a estabilidade financeira, nomeadamente o caráter sistémico da entidade financeira a nível da União ou nacional, conforme aplicável;

| c) | Perfil específico de risco associado às TIC, nível de maturidade da entidade financeira em relação às TIC ou às questões tecnológicas envolvidas. |
| --- | --- |

c)

Perfil específico de risco associado às TIC, nível de maturidade da entidade financeira em relação às TIC ou às questões tecnológicas envolvidas.

9.   Os Estados-Membros podem designar uma única autoridade pública do setor financeiro responsável pelas questões relacionadas com os TLPT no setor financeiro a nível nacional e atribuir-lhe todas as competências e tarefas para o efeito.

10.   Na ausência de uma designação nos termos do n.o 9 do presente artigo, e sem prejuízo do poder de identificar as entidades financeiras que devem realizar TLPT, as autoridades competentes podem delegar o exercício de algumas ou de todas as funções a que se referem o presente artigo e o artigo 27.o noutra autoridade nacional do setor financeiro.

11.   As AES desenvolvem, em concertação com o BCE, projetos de normas técnicas de regulamentação, em conformidade com o quadro TIBER–EU, a fim de especificar mais pormenorizadamente:

| a) | Os critérios utilizados para fins de aplicação do n.o 8, segundo parágrafo; |
| --- | --- |

a)

Os critérios utilizados para fins de aplicação do n.o 8, segundo parágrafo;

| b) | Os requisitos e as normas que regem o recurso a testadores internos; |
| --- | --- |

b)

Os requisitos e as normas que regem o recurso a testadores internos;

| c) | Os requisitos relativos:






  i) | ao âmbito dos TLPT a que se refere o n.o 2, |
| --- | --- | --- |

c)

Os requisitos relativos:

i)

ao âmbito dos TLPT a que se refere o n.o 2,

| ii) | à metodologia dos testes e à abordagem a seguir em cada fase especifica do processo, |
| --- | --- |

ii)

à metodologia dos testes e à abordagem a seguir em cada fase especifica do processo,

| iii) | aos resultados e às fases de conclusão e de correção na sequência dos testes; |
| --- | --- |

iii)

aos resultados e às fases de conclusão e de correção na sequência dos testes;

| d) | O tipo de cooperação em matéria de supervisão e outra cooperação relevante e necessária para realizar os TLPT e para facilitar o reconhecimento mútuo desses testes no contexto das entidades financeiras que operam em mais do que um Estado-Membro, para permitir um nível de envolvimento adequado das entidades de supervisão e uma execução flexível, a fim de atender às especificidades dos subsetores financeiros ou dos mercados financeiros locais. |
| --- | --- |

d)

O tipo de cooperação em matéria de supervisão e outra cooperação relevante e necessária para realizar os TLPT e para facilitar o reconhecimento mútuo desses testes no contexto das entidades financeiras que operam em mais do que um Estado-Membro, para permitir um nível de envolvimento adequado das entidades de supervisão e uma execução flexível, a fim de atender às especificidades dos subsetores financeiros ou dos mercados financeiros locais.

Ao elaborar estes projetos de normas técnicas de regulamentação, as AES têm devidamente em conta todas as características específicas decorrentes da natureza distinta das atividades nos diferentes setores dos serviços financeiros.

As AES apresentam estes projetos de normas técnicas de regulamentação à Comissão até 17 de julho de 2024.

A Comissão fica habilitada a completar o presente regulamento através da adoção das normas técnicas de regulamentação a que se refere o primeiro parágrafo, nos termos dos artigos 10.o a 14.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

Artigo 27.o

Requisitos aplicáveis aos testadores para a realização dos TLPT

1.   As entidades financeiras só recorrem à realização dos TLPT a testadores que:

| a) | Sejam os mais adequados e os mais idóneos; |
| --- | --- |

a)

Sejam os mais adequados e os mais idóneos;

| b) | Possuam as capacidades técnicas e organizativas e demonstrem ter conhecimentos especializados em matéria de informações sobre ameaças, testes de penetração e testes de «equipa vermelha»; |
| --- | --- |

b)

Possuam as capacidades técnicas e organizativas e demonstrem ter conhecimentos especializados em matéria de informações sobre ameaças, testes de penetração e testes de «equipa vermelha»;

| c) | Sejam certificados por um organismo de acreditação num Estado-Membro ou sigam códigos de conduta ou quadros éticos formais; |
| --- | --- |

c)

Sejam certificados por um organismo de acreditação num Estado-Membro ou sigam códigos de conduta ou quadros éticos formais;

| d) | Forneçam uma garantia independente ou um relatório de auditoria em relação à boa gestão dos riscos associada à realização de TLPT, nomeadamente a devida proteção das informações confidenciais da entidade financeira e a cobertura dos riscos operacionais da entidade financeira; |
| --- | --- |

d)

Forneçam uma garantia independente ou um relatório de auditoria em relação à boa gestão dos riscos associada à realização de TLPT, nomeadamente a devida proteção das informações confidenciais da entidade financeira e a cobertura dos riscos operacionais da entidade financeira;

| e) | Estejam devida e totalmente cobertos por seguros de indemnização profissional pertinentes, nomeadamente contra riscos de conduta irregular e negligência. |
| --- | --- |

e)

Estejam devida e totalmente cobertos por seguros de indemnização profissional pertinentes, nomeadamente contra riscos de conduta irregular e negligência.

2.   Ao usarem testadores internos, as entidades financeiras devem garantir que, além das condições referidas no n.o 1, são preenchidas as seguintes condições:

| a) | A sua utilização foi aprovada pela autoridade competente pertinente ou pela autoridade pública única designada nos termos do artigo 26.o, n.os 9 e 10; |
| --- | --- |

a)

A sua utilização foi aprovada pela autoridade competente pertinente ou pela autoridade pública única designada nos termos do artigo 26.o, n.os 9 e 10;

| b) | A autoridade competente relevante verificou que a entidade financeira afetou recursos suficientes e assegurou que são evitados conflitos de interesses ao longo das fases de conceção e execução do teste; e |
| --- | --- |

b)

A autoridade competente relevante verificou que a entidade financeira afetou recursos suficientes e assegurou que são evitados conflitos de interesses ao longo das fases de conceção e execução do teste; e

| c) | O prestador de informações sobre ameaças é externo à entidade financeira. |
| --- | --- |

c)

O prestador de informações sobre ameaças é externo à entidade financeira.

3.   As entidades financeiras asseguram que os contratos celebrados com testadores externos exijam uma boa gestão dos resultados dos TLPT e que qualquer tratamento de dados, nomeadamente qualquer produção, conservação, agregação, projeto, relatório, comunicação ou destruição de dados, não acarrete riscos para a entidade financeira.

CAPÍTULO V

Gestão do risco associado às TIC devido a terceiros

Secção I

Princípios fundamentais para a boa gestão do risco associado às TIC devido a terceiros

Artigo 28.o

Princípios gerais

1.   As entidades financeiras gerem o risco associado às TIC devido a terceiros como componente integrante do risco associado às TIC no âmbito do seu quadro de gestão do risco associado às TIC, tal como referido no artigo 6.o, n.o 1, e de acordo com os seguintes princípios:

| a) | As entidades financeiras que celebraram acordos contratuais relativos à utilização de serviços de TIC para gerir as suas operações comerciais mantêm sempre a responsabilidade pelo cumprimento e observância de todas as obrigações previstas no presente regulamento e no direito dos serviços financeiros aplicável; |
| --- | --- |

a)

As entidades financeiras que celebraram acordos contratuais relativos à utilização de serviços de TIC para gerir as suas operações comerciais mantêm sempre a responsabilidade pelo cumprimento e observância de todas as obrigações previstas no presente regulamento e no direito dos serviços financeiros aplicável;

| b) | A gestão do risco associado às TIC devido a terceiros por parte das entidades financeiras é efetuada em consonância com o princípio da proporcionalidade, tendo em conta:






  i) | a natureza, a dimensão, a complexidade e a importância das dependências relacionadas com as TIC, |
| --- | --- | --- |

b)

A gestão do risco associado às TIC devido a terceiros por parte das entidades financeiras é efetuada em consonância com o princípio da proporcionalidade, tendo em conta:

i)

a natureza, a dimensão, a complexidade e a importância das dependências relacionadas com as TIC,

| ii) | os riscos decorrentes dos acordos contratuais relativos à utilização de serviços de TIC celebrados com terceiros prestadores de serviços de TIC, tendo em conta a criticalidade ou a importância do respetivo serviço, processo ou função, bem como o impacto potencial na continuidade e na disponibilidade dos serviços e atividades financeiros, a nível individual e de grupo. |
| --- | --- |

ii)

os riscos decorrentes dos acordos contratuais relativos à utilização de serviços de TIC celebrados com terceiros prestadores de serviços de TIC, tendo em conta a criticalidade ou a importância do respetivo serviço, processo ou função, bem como o impacto potencial na continuidade e na disponibilidade dos serviços e atividades financeiros, a nível individual e de grupo.

2.   Para efeitos do seu quadro de gestão do risco associado às TIC, as entidades financeiras que não sejam as entidades a que se refere o artigo 16.o, n.o 1, primeiro parágrafo, nem microempresas adotam e revêm periodicamente uma estratégia em matéria de risco associado às TIC devido a terceiros, tendo em conta a estratégia com múltiplos fornecedores a que se refere o artigo 6.o, n.o 9, se for caso disso. A estratégia relativa ao risco associado às TIC devido a terceiros inclui uma política de utilização dos serviços de TIC, que apoiem funções críticas ou importantes, prestados por terceiros prestadores de serviços de TIC, e é aplicada numa base individual e, quando necessário, numa base subconsolidada e consolidada. O órgão de administração revê, com base numa avaliação do perfil de risco global da entidade financeira e da escala e complexidade dos serviços operacionais, periodicamente os riscos identificados no que diz respeito aos acordos contratuais relativas à utilização de serviços de TIC que apoiem funções críticas ou importantes.

3.   Para efeitos do seu quadro de gestão do risco associado às TIC, as entidades financeiras mantêm e atualizam, ao nível da entidade e aos níveis subconsolidado e consolidado, um registo de informações em relação a todos os acordos contratuais relativos à utilização dos serviços TIC prestados por terceiros prestadores de serviços de TIC.

Os acordos contratuais referidos no primeiro parágrafo são devidamente documentados, estabelecendo uma distinção entre os que abrangem serviços TIC que apoiem funções críticas ou importantes e os que não abrangem esses tipos de funções.

As entidades financeiras comunicam pelo menos uma vez por ano às autoridades competentes o número de novos acordos contratuais relativos à utilização de serviços de TIC, as categorias de terceiros prestadores de serviços de TIC, o tipo de acordos contratuais, assim como os serviços de TIC que estão a ser prestados e as funções que estão a ser realizadas.

As entidades financeiras disponibilizam à autoridade competente, a pedido desta, o registo de informações completo ou, se solicitado, secções desse registo, juntamente com as informações consideradas necessárias para permitir uma supervisão eficaz da entidade financeira.

As entidades financeiras informam atempadamente a autoridade competente sobre qualquer acordo contratual planeado para a utilização de serviços de TIC que apoiem funções críticas ou importantes, bem como quando uma determinada função passar a ser crítica ou importante.

4.   Antes de celebrar um acordo contratual relativo à utilização de serviços de TIC, as entidades financeiras:

| a) | Avaliam se o acordo contratual abrange a utilização de serviços de TIC que apoiem uma função crítica ou importante; |
| --- | --- |

a)

Avaliam se o acordo contratual abrange a utilização de serviços de TIC que apoiem uma função crítica ou importante;

| b) | Avaliam se as condições de supervisão relativamente à subcontratação estão satisfeitas; |
| --- | --- |

b)

Avaliam se as condições de supervisão relativamente à subcontratação estão satisfeitas;

| c) | Identificam e avaliam todos os riscos relevantes em relação ao acordo contratual, nomeadamente a possibilidade de esse acordo poder contribuir para reforçar o risco de concentração no domínio das TIC, a que se refere o artigo 29.o; |
| --- | --- |

c)

Identificam e avaliam todos os riscos relevantes em relação ao acordo contratual, nomeadamente a possibilidade de esse acordo poder contribuir para reforçar o risco de concentração no domínio das TIC, a que se refere o artigo 29.o;

| d) | Efetuam todas as diligências devidas quanto aos potenciais terceiros prestadores de serviços de TIC e asseguram que, ao longo dos processos de seleção e avaliação, o terceiro prestador de serviços de TIC é adequado; |
| --- | --- |

d)

Efetuam todas as diligências devidas quanto aos potenciais terceiros prestadores de serviços de TIC e asseguram que, ao longo dos processos de seleção e avaliação, o terceiro prestador de serviços de TIC é adequado;

| e) | Identificam e avaliam os conflitos de interesses que possam decorrer do acordo contratual. |
| --- | --- |

e)

Identificam e avaliam os conflitos de interesses que possam decorrer do acordo contratual.

5.   As entidades financeiras só podem celebrar acordos contratuais com terceiros prestadores de serviços de TIC que cumpram normas de segurança da informação adequadas. Quando os acordos contratuais dizem respeito a funções críticas ou importantes, as entidades financeiras atendem, antes da celebração dos acordos, devidamente ao respeito, pelos terceiros prestadores de serviços de TIC, das normas mais atualizadas e mais rigorosas em matéria de segurança da informação.

6.   Ao exercer direitos de acesso, inspeção e auditoria sobre o terceiro prestador de serviços de TIC, as entidades financeiras predeterminam, em função de uma abordagem baseada no risco, a frequência das auditorias e das inspeções e as áreas a auditar, aderindo a normas de auditoria comummente aceites em consonância com qualquer instrução de supervisão sobre a utilização e incorporação dessas normas de auditoria.

Quando os acordos contratuais celebrados com terceiros prestadores de serviços de TIC para a utilização de serviços de TIC impliquem um nível elevado de complexidade técnica, a entidade financeira verifica se os auditores, sejam eles internos ou externos, ou um grupo de auditores, possuem as aptidões e os conhecimentos adequados para realizar eficazmente as auditorias e as avaliações pertinentes.

7.   As entidades financeiras asseguram que os acordos contratuais relativos à utilização de serviços de TIC possam ser rescindidos em qualquer uma das seguintes circunstâncias:

| a) | Violação significativa pelo terceiro prestador de serviços de TIC da legislação, regulamentação ou das condições contratuais aplicáveis; |
| --- | --- |

a)

Violação significativa pelo terceiro prestador de serviços de TIC da legislação, regulamentação ou das condições contratuais aplicáveis;

| b) | Circunstâncias identificadas aquando da monitorização do risco associado às TIC devido a terceiros que sejam consideradas como passíveis de alterar o desempenho das funções realizadas através do acordo contratual, nomeadamente alterações materiais que afetem o acordo contratual ou a situação do terceiro prestador de serviços de TIC; |
| --- | --- |

b)

Circunstâncias identificadas aquando da monitorização do risco associado às TIC devido a terceiros que sejam consideradas como passíveis de alterar o desempenho das funções realizadas através do acordo contratual, nomeadamente alterações materiais que afetem o acordo contratual ou a situação do terceiro prestador de serviços de TIC;

| c) | Debilidades comprovadas do terceiro prestador de serviços de TIC que se prendem com a sua gestão global do risco associado às TIC e, em particular, qualquer deficiência na forma como garante a disponibilidade, autenticidade, integridade e confidencialidade dos dados, pessoais ou sensíveis ou dos dados não pessoais; |
| --- | --- |

c)

Debilidades comprovadas do terceiro prestador de serviços de TIC que se prendem com a sua gestão global do risco associado às TIC e, em particular, qualquer deficiência na forma como garante a disponibilidade, autenticidade, integridade e confidencialidade dos dados, pessoais ou sensíveis ou dos dados não pessoais;

| d) | Quando a autoridade competente deixar de poder supervisionar eficazmente a entidade financeira em resultado das condições ou das circunstâncias relacionadas com o acordo contratual respetivo. |
| --- | --- |

d)

Quando a autoridade competente deixar de poder supervisionar eficazmente a entidade financeira em resultado das condições ou das circunstâncias relacionadas com o acordo contratual respetivo.

8.   No que respeita aos serviços de TIC que apoiem funções críticas ou importantes, as entidades financeiras preveem estratégias de saída. As estratégias de saída têm em conta riscos que possam surgir a nível dos terceiros prestadores de serviços de TIC, em especial uma possível falha destes, uma deterioração da qualidade dos serviços de TIC prestados, qualquer perturbação das atividades devido a falha ou desadequação da prestação dos serviços de TIC ou qualquer risco material relacionado com o desempenho adequado e contínuo do respetivo serviço de TIC, ou em caso de rescisão dos acordos contratuais com os terceiros prestadores de serviços de TIC em qualquer das circunstâncias enumeradas no n.o 7.

As entidades financeiras asseguram poder rescindir acordos contratuais sem:

| a) | Perturbação das suas atividades operacionais; |
| --- | --- |

a)

Perturbação das suas atividades operacionais;

| b) | Limitação da observância dos requisitos regulamentares; |
| --- | --- |

b)

Limitação da observância dos requisitos regulamentares;

| c) | Prejuízo para a continuidade e a qualidade dos serviços prestados aos clientes. |
| --- | --- |

c)

Prejuízo para a continuidade e a qualidade dos serviços prestados aos clientes.

Os planos de saída devem ser abrangentes, documentados e, em conformidade com os critérios estabelecidos no artigo 4.o, n.o 2, devem ser suficientemente testados e regularmente revistos.

As entidades financeiras identificam soluções alternativas e desenvolvem planos de transição que lhes permitam eliminar os serviços de TIC subcontratados e os dados pertinentes junto do terceiro prestador de serviços de TIC e transferi-los em segurança e na íntegra para prestadores de serviços alternativos ou reincorporá-los internamente.

As entidades financeiras preveem medidas de contingência adequadas para manter a continuidade do negócio caso ocorram as circunstâncias a que se refere o primeiro parágrafo.

9.   As AES desenvolvem, através do Comité Conjunto, projetos de normas técnicas de execução por forma a criar modelos normalizados para fins do registo de informações a que se refere o n.o 3, incluindo informações que sejam comuns a todos os acordos contratuais relativos à utilização de serviços de TIC. As AES apresentam esses projetos de normas técnicas de execução à Comissão até 17 de janeiro de 2024.

É conferido à Comissão o poder de adotar as normas técnicas de execução a que se refere o primeiro parágrafo, nos termos do artigo 15.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

10.   As AES elaboram, através do Comité Conjunto, projetos de normas técnicas de regulamentação para especificar mais pormenorizadamente o conteúdo detalhado da política a que se refere o n.o 2 em relação aos acordos contratuais relativos à utilização de serviços de TIC que apoiem funções críticas ou importantes prestados por terceiros prestadores de serviços de TIC.

Ao elaborarem esses projetos de normas técnicas de regulamentação, as AES têm em conta a dimensão e o perfil de risco global da entidade financeira, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações. As AES apresentam esses projetos de normas técnicas de regulamentação à Comissão até 17 de janeiro de 2024.

A Comissão fica habilitada a completar o presente regulamento através da adoção das normas técnicas de regulamentação a que se refere o primeiro parágrafo, nos termos dos artigos 10.o a 14.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

Artigo 29.o

Avaliação preliminar do risco de concentração no domínio das TIC ao nível da entidade

1.   Quando procedem à identificação e avaliação do risco de concentração no domínio das TIC a que se refere o artigo 28.o, n.o 4, alínea c), as entidades financeiras têm também em conta se a celebração prevista de um acordo contratual em relação a serviços de TIC que apoiem funções críticas ou importantes pode conduzir a qualquer uma das situações seguintes:

| a) | Celebração de um contrato com um terceiro prestador de serviços de TIC que não seja facilmente substituível; ou |
| --- | --- |

a)

Celebração de um contrato com um terceiro prestador de serviços de TIC que não seja facilmente substituível; ou

| b) | Celebração de vários acordos contratuais em relação à prestação de serviços de TIC que apoiem funções críticas ou importantes com o mesmo terceiro prestador de serviços de TIC ou com terceiros prestadores de serviços de TIC com ligações estreitas entre si. |
| --- | --- |

b)

Celebração de vários acordos contratuais em relação à prestação de serviços de TIC que apoiem funções críticas ou importantes com o mesmo terceiro prestador de serviços de TIC ou com terceiros prestadores de serviços de TIC com ligações estreitas entre si.

As entidades financeiras ponderam os benefícios e os custos de soluções alternativas como a utilização de terceiros prestadores de serviços de TIC diferentes, tendo em conta se e como as soluções previstas satisfazem as necessidades operacionais e os objetivos definidos na sua estratégia de resiliência digital.

2.   Quando os acordos contratuais relativos à utilização de serviços de TIC que apoiem funções críticas ou importantes incluem a possibilidade de um terceiro prestador de serviços de TIC subcontratar serviços TIC que apoiem uma função crítica ou importante a outro terceiro prestador de serviços de TIC, as entidades financeiras ponderam os benefícios e os riscos que podem surgir associados a essa possível subcontratação, em especial no caso de um subcontratante de TIC estabelecido num país terceiro.

Quando os contratos dizem respeito a serviços de TIC que apoiem funções críticas ou importantes, as entidades financeiras consideram devidamente as disposições jurídicas relativas à insolvência aplicáveis em caso de falência do terceiro prestador de serviços de TIC, bem como quaisquer constrangimentos que possam surgir em relação à recuperação urgente dos dados da entidade financeira.

Quando os acordos contratuais relativos à utilização de serviços de TIC que apoiem funções críticas ou importantes são celebrados com um terceiro prestador de serviços de TIC estabelecido num país terceiro, as entidades financeiras têm igualmente em conta, para além das considerações referidas no segundo parágrafo, o cumprimento das regras da União em matéria de proteção de dados e a aplicação efetiva da lei nesse país terceiro.

Quando os acordos contratuais para a utilização de serviços de TIC que apoiem funções críticas ou importantes preveem a subcontratação; as entidades financeiras avaliam se e de que forma as cadeias de subcontratação potencialmente longas e complexas podem afetar a sua capacidade de monitorizar cabalmente as funções subcontratadas e a capacidade da autoridade competente para supervisionar eficazmente a entidade financeira nesse aspeto.

Artigo 30.o

Principais disposições contratuais

1.   Os direitos e obrigações da entidade financeira e do terceiro prestador de serviços de TIC são claramente identificados e especificados por escrito. O contrato na sua totalidade inclui os acordos de nível de serviço e consta de um documento escrito disponível para as partes em papel ou num documento com outro formato descarregável, duradouro e acessível.

2.   Os acordos contratuais relativos à utilização de serviços de TIC incluem, pelo menos, os seguintes elementos:

| a) | A descrição clara e completa de todas as funções e serviços de TIC a prestar pelo terceiro prestador de serviços de TIC, indicando se a subcontratação de serviços TIC que apoiem uma função crítica ou importante, ou de partes materiais da mesma, é permitida e, se for esse o caso, as condições aplicáveis a essa subcontratação; |
| --- | --- |

a)

A descrição clara e completa de todas as funções e serviços de TIC a prestar pelo terceiro prestador de serviços de TIC, indicando se a subcontratação de serviços TIC que apoiem uma função crítica ou importante, ou de partes materiais da mesma, é permitida e, se for esse o caso, as condições aplicáveis a essa subcontratação;

| b) | Os locais, nomeadamente as regiões ou os países, onde as funções e os serviços de TIC objeto de contratação ou subcontratação devem ser prestados e onde devem ser tratados os dados, nomeadamente o local de conservação dos dados, bem como o requisito, aplicável ao terceiro prestador de serviços de TIC, de notificar antecipadamente a entidade financeira se planear mudar de locais; |
| --- | --- |

b)

Os locais, nomeadamente as regiões ou os países, onde as funções e os serviços de TIC objeto de contratação ou subcontratação devem ser prestados e onde devem ser tratados os dados, nomeadamente o local de conservação dos dados, bem como o requisito, aplicável ao terceiro prestador de serviços de TIC, de notificar antecipadamente a entidade financeira se planear mudar de locais;

| c) | Disposições sobre a disponibilidade, autenticidade, integridade e confidencialidade em relação à proteção de dados, incluindo dados pessoais; |
| --- | --- |

c)

Disposições sobre a disponibilidade, autenticidade, integridade e confidencialidade em relação à proteção de dados, incluindo dados pessoais;

| d) | Disposições sobre a garantia de acesso, recuperação e devolução, num formato facilmente acessível, dos dados pessoais e dos dados não pessoais tratados pela entidade financeira em caso de insolvência, resolução ou descontinuação das operações comerciais do terceiro prestador de serviços de TIC, ou em caso de rescisão dos acordos contratuais; |
| --- | --- |

d)

Disposições sobre a garantia de acesso, recuperação e devolução, num formato facilmente acessível, dos dados pessoais e dos dados não pessoais tratados pela entidade financeira em caso de insolvência, resolução ou descontinuação das operações comerciais do terceiro prestador de serviços de TIC, ou em caso de rescisão dos acordos contratuais;

| e) | Descrições do nível de serviço, incluindo as respetivas atualizações e revisões; |
| --- | --- |

e)

Descrições do nível de serviço, incluindo as respetivas atualizações e revisões;

| f) | A obrigação de o terceiro prestador de serviços de TIC prestar assistência à entidade financeira sem custos adicionais, ou a um custo previamente determinado, caso ocorra um incidente relacionado com as TIC que envolve o serviço de TIC prestado à entidade financeira; |
| --- | --- |

f)

A obrigação de o terceiro prestador de serviços de TIC prestar assistência à entidade financeira sem custos adicionais, ou a um custo previamente determinado, caso ocorra um incidente relacionado com as TIC que envolve o serviço de TIC prestado à entidade financeira;

| g) | A obrigação de o terceiro prestador de serviços de TIC cooperar plenamente com as autoridades competentes e as autoridades de resolução da entidade financeira, e, nomeadamente, com pessoas designadas por essas autoridades; |
| --- | --- |

g)

A obrigação de o terceiro prestador de serviços de TIC cooperar plenamente com as autoridades competentes e as autoridades de resolução da entidade financeira, e, nomeadamente, com pessoas designadas por essas autoridades;

| h) | Direitos de rescisão e períodos mínimos de pré-aviso relacionado com a rescisão dos acordos contratuais, que correspondam às expectativas das autoridades competentes e das autoridades de resolução; |
| --- | --- |

h)

Direitos de rescisão e períodos mínimos de pré-aviso relacionado com a rescisão dos acordos contratuais, que correspondam às expectativas das autoridades competentes e das autoridades de resolução;

| i) | As condições aplicáveis à participação de terceiros prestadores de serviços de TIC nos programas de sensibilização para a segurança das TIC e na formação em matéria de resiliência operacional digital das entidades financeiras, nos termos do artigo 13.o, n.o 6. |
| --- | --- |

i)

As condições aplicáveis à participação de terceiros prestadores de serviços de TIC nos programas de sensibilização para a segurança das TIC e na formação em matéria de resiliência operacional digital das entidades financeiras, nos termos do artigo 13.o, n.o 6.

3.   Os acordos contratuais relativos à utilização de serviços de TIC de apoio a funções críticas ou importantes incluem, para além dos elementos referidos no n.o 2, pelo menos, o seguinte:

| a) | Descrições completas do nível de serviço, incluindo as respetivas atualizações e revisões, com metas de desempenho quantitativas e qualitativas rigorosas para os níveis de serviço acordados, por forma a permitir uma monitorização eficaz, por parte da entidade financeira, dos serviços TIC, e a adoção, sem demora injustificada, de medidas corretivas, quando os níveis de serviço acordados não forem cumpridos; |
| --- | --- |

a)

Descrições completas do nível de serviço, incluindo as respetivas atualizações e revisões, com metas de desempenho quantitativas e qualitativas rigorosas para os níveis de serviço acordados, por forma a permitir uma monitorização eficaz, por parte da entidade financeira, dos serviços TIC, e a adoção, sem demora injustificada, de medidas corretivas, quando os níveis de serviço acordados não forem cumpridos;

| b) | Períodos de notificação e obrigações de notificação do terceiro prestador de serviços de TIC à entidade financeira, nomeadamente quanto a quaisquer desenvolvimentos que possam ter impacto material na capacidade de o terceiro prestador de serviços de TIC prestar eficazmente serviços de TIC que apoiem funções críticas ou importantes em consonância com os níveis de serviço acordados; |
| --- | --- |

b)

Períodos de notificação e obrigações de notificação do terceiro prestador de serviços de TIC à entidade financeira, nomeadamente quanto a quaisquer desenvolvimentos que possam ter impacto material na capacidade de o terceiro prestador de serviços de TIC prestar eficazmente serviços de TIC que apoiem funções críticas ou importantes em consonância com os níveis de serviço acordados;

| c) | Requisitos que obrigam o terceiro prestador de serviços de TIC a executar e testar planos de contingência operacional e a dispor de medidas, ferramentas e políticas de segurança no domínio das TIC que garantam um nível adequado de segurança na prestação de serviços pela entidade financeira em consonância com o seu quadro regulamentar; |
| --- | --- |

c)

Requisitos que obrigam o terceiro prestador de serviços de TIC a executar e testar planos de contingência operacional e a dispor de medidas, ferramentas e políticas de segurança no domínio das TIC que garantam um nível adequado de segurança na prestação de serviços pela entidade financeira em consonância com o seu quadro regulamentar;

| d) | A obrigação de o terceiro prestador de serviços de TIC participar e cooperar plenamente nos TLPT realizados pela entidade financeira, conforme referido nos artigos 26.o e 27.o; |
| --- | --- |

d)

A obrigação de o terceiro prestador de serviços de TIC participar e cooperar plenamente nos TLPT realizados pela entidade financeira, conforme referido nos artigos 26.o e 27.o;

| e) | O direito de monitorizar numa base contínua o desempenho do terceiro prestador de serviços de TIC, o que implica o seguinte:






  i) | direitos ilimitados de acesso, inspeção e auditoria pela entidade financeira, ou por um terceiro designado, e pela autoridade competente, bem como o direito a fazer cópias da documentação importante no local, caso essa documentação seja crítica para as operações do terceiro prestador de serviços de TIC, cujo exercício efetivo não seja impedido nem limitado por outros acordos contratuais ou políticas de execução, |
| --- | --- | --- |

e)

O direito de monitorizar numa base contínua o desempenho do terceiro prestador de serviços de TIC, o que implica o seguinte:

i)

direitos ilimitados de acesso, inspeção e auditoria pela entidade financeira, ou por um terceiro designado, e pela autoridade competente, bem como o direito a fazer cópias da documentação importante no local, caso essa documentação seja crítica para as operações do terceiro prestador de serviços de TIC, cujo exercício efetivo não seja impedido nem limitado por outros acordos contratuais ou políticas de execução,

| ii) | o direito a acordar níveis de garantia alternativos caso sejam afetados os direitos de outros clientes, |
| --- | --- |

ii)

o direito a acordar níveis de garantia alternativos caso sejam afetados os direitos de outros clientes,

| iii) | a obrigação de plena cooperação por parte do terceiro prestador de serviços de TIC durante as inspeções e auditorias no local realizadas pelas autoridades competentes, pela autoridade fiscalizadora principal, pela entidade financeira ou por um terceiro designado, e |
| --- | --- |

iii)

a obrigação de plena cooperação por parte do terceiro prestador de serviços de TIC durante as inspeções e auditorias no local realizadas pelas autoridades competentes, pela autoridade fiscalizadora principal, pela entidade financeira ou por um terceiro designado, e

| iv) | a obrigação de fornecer pormenores sobre o âmbito, os procedimentos a seguir e a frequência das referidas inspeções e auditorias; |
| --- | --- |

iv)

a obrigação de fornecer pormenores sobre o âmbito, os procedimentos a seguir e a frequência das referidas inspeções e auditorias;

| f) | Estratégias de saída, em especial a determinação de um período de transição obrigatório adequado:






  i) | durante o qual o terceiro prestador de serviços de TIC continuará a desempenhar as respetivas funções ou a prestar serviços de TIC com vista a reduzir o risco de perturbações na entidade financeira ou assegurar a sua resolução e reestruturação efetivas, |
| --- | --- | --- |

f)

Estratégias de saída, em especial a determinação de um período de transição obrigatório adequado:

i)

durante o qual o terceiro prestador de serviços de TIC continuará a desempenhar as respetivas funções ou a prestar serviços de TIC com vista a reduzir o risco de perturbações na entidade financeira ou assegurar a sua resolução e reestruturação efetivas,

| ii) | que permita à entidade financeira migrar para outro terceiro prestador de serviços de TIC ou passar a utilizar soluções internas em função da complexidade do serviço prestado. |
| --- | --- |

ii)

que permita à entidade financeira migrar para outro terceiro prestador de serviços de TIC ou passar a utilizar soluções internas em função da complexidade do serviço prestado.

Em derrogação da alínea e), o terceiro prestador de serviços de TIC e a entidade financeira, que seja uma microempresa, podem decidir que os direitos de acesso, inspeção e auditoria da entidade financeira possam ser delegados numa entidade terceira independente, nomeada pelo terceiro prestador de serviços de TIC, e que a entidade financeira possa requerer, a qualquer momento, informações e garantias sobre o desempenho do terceiro prestador de serviços de TIC.

4.   Aquando da negociação dos acordos contratuais, as entidades financeiras e os terceiros prestadores de serviços de TIC preveem a utilização de cláusulas contratuais normalizadas desenvolvidas pelas autoridades públicas para serviços específicos.

5.   As AES desenvolvem, através do Comité Conjunto, projetos de normas técnicas de regulamentação que especifiquem mais pormenorizadamente os elementos a que se refere o n.o 2, alínea a), que permitam à entidade financeira determinar e avaliar quando proceder à subcontratação de serviços de TIC de apoio a funções críticas ou importantes.

Ao elaborarem esses projetos de normas técnicas de regulamentação, as AES têm em conta a dimensão e o perfil de risco global da entidade financeira, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações.

As AES apresentam esses projetos de normas técnicas de regulamentação à Comissão até 17 de julho de 2024.

A Comissão fica habilitada a completar o presente regulamento através da adoção das normas técnicas de regulamentação a que se refere o primeiro parágrafo, nos termos dos artigos 10.o a 14.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

Secção II

Quadro de superintendência dos terceiros prestadores de serviços de TIC críticos

Artigo 31.o

Designação dos terceiros prestadores de serviços de TIC críticos

1.   As AES, através do Comité Conjunto e mediante recomendação do fórum de superintendência criado nos termos do artigo 32.o, n.o 1:

| a) | Designam os terceiros prestadores de serviços de TIC que são críticos para as entidades financeiras, na sequência de uma avaliação que tenha em conta os critérios especificados no n.o 2; |
| --- | --- |

a)

Designam os terceiros prestadores de serviços de TIC que são críticos para as entidades financeiras, na sequência de uma avaliação que tenha em conta os critérios especificados no n.o 2;

| b) | Nomeiam como autoridade fiscalizadora principal para cada terceiro prestador de serviços de TIC crítico, a AES que é responsável, nos termos dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 ou (UE) n.o 1095/2010, pelas entidades financeiras que, em conjunto, detêm a maior quota do total de ativos no valor total dos ativos de todas as entidades financeiras que utilizam os serviços do terceiro prestador de serviços de TIC crítico pertinente, tal como demonstrado pela soma dos balanços individuais dessas entidades financeiras. |
| --- | --- |

b)

Nomeiam como autoridade fiscalizadora principal para cada terceiro prestador de serviços de TIC crítico, a AES que é responsável, nos termos dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 ou (UE) n.o 1095/2010, pelas entidades financeiras que, em conjunto, detêm a maior quota do total de ativos no valor total dos ativos de todas as entidades financeiras que utilizam os serviços do terceiro prestador de serviços de TIC crítico pertinente, tal como demonstrado pela soma dos balanços individuais dessas entidades financeiras.

2.   A designação a que se refere o n.o 1, alínea a), baseia-se em todos os critérios seguintes no tocante aos serviços de TIC prestados por um terceiro prestador de serviços de TIC:

| a) | O impacto sistémico na estabilidade, continuidade ou qualidade da prestação dos serviços financeiros caso o terceiro prestador de serviços de TIC pertinente venha a enfrentar uma falha operacional de grandes proporções que a impeça de prestar os seus serviços, tendo em conta o número de entidades financeiras e o valor total dos ativos das entidades financeiras que beneficiam dos serviços prestados por esse terceiro prestador de serviços de TIC pertinente; |
| --- | --- |

a)

O impacto sistémico na estabilidade, continuidade ou qualidade da prestação dos serviços financeiros caso o terceiro prestador de serviços de TIC pertinente venha a enfrentar uma falha operacional de grandes proporções que a impeça de prestar os seus serviços, tendo em conta o número de entidades financeiras e o valor total dos ativos das entidades financeiras que beneficiam dos serviços prestados por esse terceiro prestador de serviços de TIC pertinente;

| b) | O caráter sistémico ou a importância das entidades financeiras que dependem do terceiro prestador de serviços de TIC pertinente, avaliados de acordo com os parâmetros seguintes:






  i) | o número de instituições de importância sistémica global (G-SII) ou outras instituições de importância sistémica (O-SII) que dependem do respetivo terceiro prestador de serviços de TIC, |
| --- | --- | --- |

b)

O caráter sistémico ou a importância das entidades financeiras que dependem do terceiro prestador de serviços de TIC pertinente, avaliados de acordo com os parâmetros seguintes:

i)

o número de instituições de importância sistémica global (G-SII) ou outras instituições de importância sistémica (O-SII) que dependem do respetivo terceiro prestador de serviços de TIC,

| ii) | a interdependência entre as G-SII ou as O-SII referidas na subalínea i) e outras entidades financeiras, incluindo situações em que as G-SII ou as O-SII prestam serviços financeiros infraestruturais a outras entidades financeiras. |
| --- | --- |

ii)

a interdependência entre as G-SII ou as O-SII referidas na subalínea i) e outras entidades financeiras, incluindo situações em que as G-SII ou as O-SII prestam serviços financeiros infraestruturais a outras entidades financeiras.

| c) | A dependência das entidades financeiras em relação aos serviços prestados pelo terceiro prestador de serviços de TIC pertinente no que diz respeito a funções críticas ou importantes das entidades financeiras que, em última análise, envolvam o mesmo terceiro prestador de serviços de TIC, independentemente do facto de as entidades financeiras dependerem desses serviços direta ou indiretamente, através de acordos de subcontratação; |
| --- | --- |

c)

A dependência das entidades financeiras em relação aos serviços prestados pelo terceiro prestador de serviços de TIC pertinente no que diz respeito a funções críticas ou importantes das entidades financeiras que, em última análise, envolvam o mesmo terceiro prestador de serviços de TIC, independentemente do facto de as entidades financeiras dependerem desses serviços direta ou indiretamente, através de acordos de subcontratação;

| d) | O grau de substituibilidade do terceiro prestador de serviços de TIC, tendo em conta os seguintes parâmetros:






  i) | a falta de alternativas reais, mesmo que parciais, devido ao número limitado de terceiros prestadores de serviços de TIC ativos num mercado específico, à quota de mercado do terceiro prestador de serviços de TIC pertinente, à complexidade ou sofisticação técnicas envolvidas, nomeadamente em relação a qualquer tecnologia patenteada, ou ainda às características específicas da organização ou atividade do terceiro prestador de serviços de TIC, |
| --- | --- | --- |

d)

O grau de substituibilidade do terceiro prestador de serviços de TIC, tendo em conta os seguintes parâmetros:

i)

a falta de alternativas reais, mesmo que parciais, devido ao número limitado de terceiros prestadores de serviços de TIC ativos num mercado específico, à quota de mercado do terceiro prestador de serviços de TIC pertinente, à complexidade ou sofisticação técnicas envolvidas, nomeadamente em relação a qualquer tecnologia patenteada, ou ainda às características específicas da organização ou atividade do terceiro prestador de serviços de TIC,

| ii) | dificuldades em relação à migração parcial ou total dos dados pertinentes e dos volumes de trabalho do terceiro prestador de serviços de TIC pertinente para outro terceiro prestador de serviços de TIC, devido aos custos financeiros significativos, ao tempo ou a outros recursos envolvidos no processo de migração ou devido ao aumento do risco associado às TIC ou outros riscos operacionais a que a entidade financeira possa ficar exposta por via dessa migração. |
| --- | --- |

ii)

dificuldades em relação à migração parcial ou total dos dados pertinentes e dos volumes de trabalho do terceiro prestador de serviços de TIC pertinente para outro terceiro prestador de serviços de TIC, devido aos custos financeiros significativos, ao tempo ou a outros recursos envolvidos no processo de migração ou devido ao aumento do risco associado às TIC ou outros riscos operacionais a que a entidade financeira possa ficar exposta por via dessa migração.

3.   Se o terceiro prestador de serviços de TIC pertencer a um grupo, são tidos em conta os critérios a que se refere o n.o 2 em relação aos serviços de TIC prestados pelo grupo no seu conjunto.

4.   Os terceiros prestadores de serviços de TIC críticos que façam parte de um grupo designam uma pessoa coletiva como ponto de coordenação, a fim de assegurar uma representação e comunicação adequadas com a autoridade fiscalizadora principal.

5.   A autoridade fiscalizadora principal notifica o terceiro prestador de serviços de TIC do resultado da avaliação que conduziu à designação a que se refere o n.o 1, alínea a). No prazo de seis semanas a contar da data de notificação, o terceiro prestador de serviços de TIC pode apresentar à autoridade fiscalizadora principal uma declaração fundamentada com todas as informações pertinentes para efeitos da avaliação. A autoridade fiscalizadora principal tem em consideração a declaração fundamentada e pode solicitar a apresentação de informações adicionais no prazo de 30 dias de calendário a contar da receção dessa declaração.

Após a designação de um terceiro prestador de serviços de TIC como crítico, as AES, através do Comité Conjunto, notificam o terceiro prestador de serviços de TIC dessa designação e da data a partir da qual será efetivamente sujeito a atividades de superintendência. Essa data de início não pode ser posterior a um mês após a notificação. Os terceiros prestadores de serviços de TIC notificam as entidades financeiras às quais prestam serviços da sua designação como críticos.

6.   A Comissão fica habilitada a adotar um ato delegado, nos termos do artigo 57.o, a fim de completar o presente regulamento especificando mais pormenorizadamente os critérios referidos no n.o 2 do presente artigo, até 17 de julho de 2024.

7.   A designação referida no n.o 1, alínea a), não pode ser utilizada até que a Comissão adote um ato delegado nos termos do n.o 6.

8.   A designação a que se refere o n.o 1, alínea a), não é aplicável:

| i) | Às entidades financeiras que prestam serviços de TIC a outras entidades financeiras; |
| --- | --- |

i)

Às entidades financeiras que prestam serviços de TIC a outras entidades financeiras;

| ii) | Aos terceiros prestadores de serviços de TIC que estejam sujeitos a quadros de superintendência criados com a finalidade de apoiar as atribuições a que se refere o artigo 127.o, n.o 2, do Tratado sobre o Funcionamento da União Europeia; |
| --- | --- |

ii)

Aos terceiros prestadores de serviços de TIC que estejam sujeitos a quadros de superintendência criados com a finalidade de apoiar as atribuições a que se refere o artigo 127.o, n.o 2, do Tratado sobre o Funcionamento da União Europeia;

| iii) | Aos prestadores de serviços de TIC intragrupo; |
| --- | --- |

iii)

Aos prestadores de serviços de TIC intragrupo;

| iv) | Aos terceiros prestadores de serviços de TIC que, num Estado-Membro específico, prestem serviços de TIC a entidades financeiras ativas exclusivamente nesse Estado-Membro. |
| --- | --- |

iv)

Aos terceiros prestadores de serviços de TIC que, num Estado-Membro específico, prestem serviços de TIC a entidades financeiras ativas exclusivamente nesse Estado-Membro.

9.   As AES, através do Comité Conjunto, estabelecem, publicam e atualizam anualmente a lista de terceiros prestadores de serviços de TIC críticos a nível da União.

10.   Para efeitos do n.o 1, alínea a), as autoridades competentes transmitem, anualmente e numa base agregada, os relatórios referidos no artigo 28.o, n.o 3, terceiro parágrafo, ao fórum de superintendência criado nos termos do artigo 32.o. O fórum de superintendência avalia as dependências das entidades financeiras em relação a terceiros no domínio das TIC com base nas informações recebidas das autoridades competentes.

11.   Os terceiros prestadores de serviços de TIC que não estejam incluídos na lista referida no n.o 9 podem solicitar a sua designação como críticos, nos termos do n.o 1, alínea a).

Para efeitos do primeiro parágrafo, o terceiro prestador de serviços de TIC apresenta uma candidatura fundamentada à EBA, à ESMA ou à EIOPA, que, através do Comité Conjunto, decide designar ou não esse terceiro prestador de serviços de TIC como crítico, nos termos do n.o 1, alínea a).

A decisão a que se refere o segundo parágrafo é adotada e notificada ao terceiro prestador de serviços de TIC no prazo de seis meses a contar da receção da candidatura.

12.   As entidades financeiras apenas recorrem aos serviços de um terceiro prestador de serviços de TIC estabelecido num país terceiro e que tenha sido designado como crítico nos termos do n.o 1, alínea a), caso este último tenha estabelecido uma filial na União no prazo de 12 meses a contar da designação.

13.   O terceiro prestador de serviços de TIC crítico a que se refere o n.o 12 notifica a autoridade fiscalizadora principal de quaisquer alterações à estrutura de gestão da filial estabelecida na União.

Artigo 32.o

Estrutura do quadro de superintendência

1.   O Comité Conjunto, nos termos do artigo 57.o, n.o 1, dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010, cria o fórum de superintendência, enquanto subcomité, com a finalidade de apoiar o trabalho do Comité Conjunto e da autoridade fiscalizadora principal a que se refere o artigo 31.o, n.o 1, alínea b), no domínio do risco associado às TIC devido a terceiros em todos os setores financeiros. O fórum de superintendência elabora os projetos das posições comuns e os projetos dos atos comuns do Comité Conjunto nesse domínio.

O fórum de superintendência debate periodicamente os desenvolvimentos mais importantes no que diz respeito aos riscos e às vulnerabilidades associados às TIC e promove uma abordagem coerente da monitorização do risco associado às TIC devido a terceiros a nível da União.

2.   O fórum de superintendência realiza anualmente uma avaliação coletiva dos resultados e das conclusões das atividades de superintendência desenvolvidas em relação a todos os terceiros prestadores de serviços de TIC críticos e promove medidas de coordenação para aumentar a resiliência operacional digital das entidades financeiras, fomentar as boas práticas em matéria de gestão do risco de concentração no domínio das TIC e explora fatores para atenuar a transferência intersetorial dos riscos.

3.   O fórum de superintendência apresenta indicadores de referência abrangentes para os terceiros prestadores de serviços de TIC críticos, a adotar pelo Comité Conjunto enquanto posições comuns das AES nos termos do artigo 56.o, n.o 1, dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

4.   O fórum de superintendência é composto:

| a) | Pelos presidentes das AES; |
| --- | --- |

a)

Pelos presidentes das AES;

| b) | Por um representante de alto nível do pessoal atualmente em funções nas autoridades competentes pertinentes de cada Estado-Membro a que se refere o artigo 46.o; |
| --- | --- |

b)

Por um representante de alto nível do pessoal atualmente em funções nas autoridades competentes pertinentes de cada Estado-Membro a que se refere o artigo 46.o;

| c) | Pelos administradores executivos de cada AES e um representante da Comissão, do CERS, do BCE e da ENISA, na qualidade de observadores; |
| --- | --- |

c)

Pelos administradores executivos de cada AES e um representante da Comissão, do CERS, do BCE e da ENISA, na qualidade de observadores;

| d) | Se for caso disso, por um representante suplementar de cada Estado-Membro, na qualidade de observador, de uma autoridade competente a que se refere o artigo 46.o; |
| --- | --- |

d)

Se for caso disso, por um representante suplementar de cada Estado-Membro, na qualidade de observador, de uma autoridade competente a que se refere o artigo 46.o;

| e) | Se for caso disso, por um representante das autoridades competentes designadas ou criadas nos termos da Diretiva (UE) 2022/2555, responsável pela supervisão de uma entidade essencial ou importante abrangida por essa diretiva, que tenha sido designado como terceiro prestador de serviços de TIC crítico, na qualidade de observador. |
| --- | --- |

e)

Se for caso disso, por um representante das autoridades competentes designadas ou criadas nos termos da Diretiva (UE) 2022/2555, responsável pela supervisão de uma entidade essencial ou importante abrangida por essa diretiva, que tenha sido designado como terceiro prestador de serviços de TIC crítico, na qualidade de observador.

O fórum de superintendência pode, se for caso disso, solicitar o parecer de peritos independentes nomeados nos termos do n.o 6.

5.   Cada Estado-Membro designa a autoridade competente pertinente cujo membro do pessoal desempenha a função de representante de alto nível a que se refere o n.o 4, primeiro parágrafo, alínea b), e informa desse facto a autoridade fiscalizadora principal.

As AES publicam no seu sítio Web a lista dos representantes de alto nível do pessoal em funções da autoridade competente pertinente, designados pelos Estados-Membros.

6.   Os peritos independentes referidos no n.o 4, segundo parágrafo, são nomeados pelo fórum de superintendência de entre um grupo de peritos selecionados na sequência de um processo de candidatura público e transparente.

Os peritos independentes são nomeados com base nos seus conhecimentos especializados em matéria de estabilidade financeira, resiliência operacional digital e segurança das TIC. Agem de forma independente e objetiva no interesse exclusivo da União no seu conjunto e não procuram obter nem recebem instruções das instituições ou órgãos da União, dos governos dos Estados-Membros nem de qualquer outro organismo público ou privado.

7.   Nos termos do artigo 16.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010, até 17 de julho de 2024, as AES emitem, para efeitos da presente secção, orientações sobre a cooperação entre as AES e as autoridades competentes que abrangem os procedimentos pormenorizados e as condições para a repartição e exercício das atribuições das autoridades competentes e das AES, bem como os pormenores relativos ao intercâmbio de informações que são necessários para que as autoridades competentes possam assegurar o acompanhamento das recomendações nos termos do artigo 35.o, n.o 1, alínea d), dirigidas aos terceiros prestadores de serviços de TIC críticos.

8.   Os requisitos definidos na presente secção não prejudicam a aplicação da Diretiva (UE) 2022/2555 e das outras regras da União em matéria de superintendência aplicáveis aos prestadores de serviços de computação em nuvem.

9.   As AES, através do Comité Conjunto e com base no trabalho preparatório realizado pelo fórum de superintendência, apresentam anualmente ao Parlamento Europeu, ao Conselho e à Comissão um relatório sobre a aplicação da presente secção.

Artigo 33.o

Atribuições da autoridade fiscalizadora principal

1.   A autoridade fiscalizadora principal, nomeada nos termos do artigo 31.o, n.o 1, alínea b), é incumbida da superintendência dos terceiros prestadores de serviços de TIC críticos e é, para efeitos de todas as questões relacionadas com a superintendência, o ponto de contacto principal desses terceiros prestadores de serviços de TIC críticos.

2.   Para efeitos do n.o 1, a autoridade fiscalizadora principal avalia se cada terceiro prestador de serviços de TIC crítico dispõe de regras, procedimentos, mecanismos e disposições abrangentes, sólidas e eficazes para gerir o risco associado às TIC que possa constituir para as entidades financeiras.

A avaliação a que se refere o primeiro parágrafo centra-se sobretudo nos serviços de TIC prestados pelo terceiro prestador de serviços de TIC crítico que apoia funções críticas ou importantes das entidades financeiras. Quando necessário para fazer face a todos os riscos pertinentes, essa avaliação é alargada aos serviços de TIC que não sejam funções críticas ou importantes.

3.   A avaliação referida no n.o 2 abrange:

| a) | Os requisitos em matéria de TIC para assegurar, em especial, a segurança, a disponibilidade, a continuidade, a escalabilidade e a qualidade dos serviços que o terceiro prestador de serviços de TIC crítico presta às entidades financeiras, bem como a capacidade para manter sempre níveis muito elevados de disponibilidade, autenticidade, integridade ou confidencialidade dos dados; |
| --- | --- |

a)

Os requisitos em matéria de TIC para assegurar, em especial, a segurança, a disponibilidade, a continuidade, a escalabilidade e a qualidade dos serviços que o terceiro prestador de serviços de TIC crítico presta às entidades financeiras, bem como a capacidade para manter sempre níveis muito elevados de disponibilidade, autenticidade, integridade ou confidencialidade dos dados;

| b) | A segurança física que contribui para assegurar a segurança das TIC, nomeadamente a segurança dos edifícios, das instalações, dos centros de dados; |
| --- | --- |

b)

A segurança física que contribui para assegurar a segurança das TIC, nomeadamente a segurança dos edifícios, das instalações, dos centros de dados;

| c) | Os processos de gestão dos riscos, nomeadamente políticas de gestão do risco associado às TIC, planos de continuidade das atividades no domínio das TIC e políticas de resposta e recuperação em matéria de TIC; |
| --- | --- |

c)

Os processos de gestão dos riscos, nomeadamente políticas de gestão do risco associado às TIC, planos de continuidade das atividades no domínio das TIC e políticas de resposta e recuperação em matéria de TIC;

| d) | Disposições de governação, nomeadamente uma estrutura organizativa com uma hierarquia clara, transparente e coerente em termos de responsabilidade e regras de responsabilização que permitam uma gestão eficaz do risco associado às TIC; |
| --- | --- |

d)

Disposições de governação, nomeadamente uma estrutura organizativa com uma hierarquia clara, transparente e coerente em termos de responsabilidade e regras de responsabilização que permitam uma gestão eficaz do risco associado às TIC;

| e) | A identificação, monitorização e comunicação rápida dos incidentes significativos relacionados com as TIC às entidades financeiras, bem como a gestão e resolução desses incidentes, em especial em caso de ciberataques; |
| --- | --- |

e)

A identificação, monitorização e comunicação rápida dos incidentes significativos relacionados com as TIC às entidades financeiras, bem como a gestão e resolução desses incidentes, em especial em caso de ciberataques;

| f) | Mecanismos de portabilidade dos dados, das aplicações e de interoperabilidade que assegurem um exercício eficaz dos direitos de rescisão contratual pelas entidades financeiras; |
| --- | --- |

f)

Mecanismos de portabilidade dos dados, das aplicações e de interoperabilidade que assegurem um exercício eficaz dos direitos de rescisão contratual pelas entidades financeiras;

| g) | A realização de testes aos sistemas, à infraestrutura e aos controlos no domínio das TIC; |
| --- | --- |

g)

A realização de testes aos sistemas, à infraestrutura e aos controlos no domínio das TIC;

| h) | Auditorias no domínio das TIC; |
| --- | --- |

h)

Auditorias no domínio das TIC;

| i) | A utilização das normas nacionais e internacionais pertinentes aplicáveis à prestação dos seus serviços de TIC a entidades financeiras. |
| --- | --- |

i)

A utilização das normas nacionais e internacionais pertinentes aplicáveis à prestação dos seus serviços de TIC a entidades financeiras.

4.   Com base na avaliação a que se refere o n.o 2, e em coordenação com a rede de superintendência conjunta a que se refere o artigo 34.o, n.o 1, a autoridade fiscalizadora principal adota um plano de superintendência individual claro, pormenorizado e fundamentado que descreva os objetivos anuais em matéria de superintendência e as principais ações de superintendência planeadas para cada terceiro prestador de serviços de TIC crítico. Este plano é comunicado anualmente ao terceiro prestador de serviços de TIC crítico.

Antes da adoção do plano de superintendência, a autoridade fiscalizadora principal comunica o projeto de plano de superintendência ao terceiro prestador de serviços de TIC crítico.

Após a receção do projeto de plano de superintendência, o terceiro prestador de serviços de TIC crítico pode apresentar uma declaração fundamentada, no prazo de 15 dias de calendário, que demonstre o impacto esperado para os clientes que não sejam entidades abrangidas pelo âmbito de aplicação do presente regulamento e, se for caso disso, apresente soluções para atenuar os riscos.

5.   Depois de os planos anuais de superintendência a que se refere o n.o 4 terem sido adotados e notificados aos terceiros prestadores de serviços de TIC críticos, as autoridades competentes só podem adotar medidas em relação a esses prestadores de comum acordo com a autoridade fiscalizadora principal.

Artigo 34.o

Coordenação operacional entre autoridades fiscalizadoras principais

1.   A fim de assegurar uma abordagem coerente das atividades de superintendência e por forma a possibilitar estratégias de superintendência geral coordenadas e abordagens operacionais e metodologias de trabalho coerentes, as três autoridades fiscalizadoras principais nomeadas nos termos do artigo 31.o, n.o 1, alínea b), criam uma rede de superintendência conjunta para se coordenarem entre si nas fases preparatórias e para coordenaram a realização de atividades de superintendência relativamente aos respetivos terceiros prestadores de serviços de TIC críticos, bem como no decurso de qualquer ação que possa ser necessária nos termos do artigo 42.o.

2.   Para efeitos do n.o 1, as autoridades fiscalizadoras principais elaboram um protocolo de superintendência comum que especifique os procedimentos pormenorizados a seguir para realizar a coordenação no quotidiano e assegurar intercâmbios e reações céleres. O protocolo é revisto periodicamente a fim de refletir as necessidades operacionais, em especial a evolução das disposições práticas de superintendência.

3.   As autoridades fiscalizadoras principais podem, numa base ad hoc, solicitar ao BCE e à ENISA que prestem aconselhamento técnico, partilhem experiências práticas ou participem em reuniões de coordenação específicas da rede de superintendência conjunta.

Artigo 35.o

Poderes da autoridade fiscalizadora principal

1.   Para efeitos da execução das funções definidas na presente secção, a autoridade fiscalizadora principal, no que diz respeito aos terceiros prestadores de serviços de TIC críticos, fica habilitada a:

| a) | Solicitar todas as informações e toda a documentação pertinentes nos termos do artigo 37.o; |
| --- | --- |

a)

Solicitar todas as informações e toda a documentação pertinentes nos termos do artigo 37.o;

| b) | Realizar investigações e inspeções de caráter geral nos termos dos artigos 38.o e 39.°, respetivamente; |
| --- | --- |

b)

Realizar investigações e inspeções de caráter geral nos termos dos artigos 38.o e 39.°, respetivamente;

| c) | Solicitar, após a conclusão das atividades de superintendência, relatórios que especifiquem as medidas que foram adotadas ou as correções que foram implementadas pelos terceiros prestadores de serviços de TIC críticos em relação às recomendações a que se refere a alínea d) do presente número; |
| --- | --- |

c)

Solicitar, após a conclusão das atividades de superintendência, relatórios que especifiquem as medidas que foram adotadas ou as correções que foram implementadas pelos terceiros prestadores de serviços de TIC críticos em relação às recomendações a que se refere a alínea d) do presente número;

| d) | Emitir recomendações nos domínios a que se refere o artigo 33.o, n.o 3, especialmente em relação aos seguintes elementos:






  i) | utilização de requisitos ou processos de segurança e qualidade específicos no domínio das TIC, em especial no que respeita à introdução de correções, atualizações, encriptação e outras medidas de segurança que a autoridade fiscalizadora principal considere pertinentes para assegurar a segurança dos serviços prestados às entidades financeiras no domínio das TIC, |
| --- | --- | --- |

d)

Emitir recomendações nos domínios a que se refere o artigo 33.o, n.o 3, especialmente em relação aos seguintes elementos:

i)

utilização de requisitos ou processos de segurança e qualidade específicos no domínio das TIC, em especial no que respeita à introdução de correções, atualizações, encriptação e outras medidas de segurança que a autoridade fiscalizadora principal considere pertinentes para assegurar a segurança dos serviços prestados às entidades financeiras no domínio das TIC,

| ii) | utilização de condições e termos, incluindo a respetiva execução técnica, ao abrigo dos quais o terceiro prestador de serviços de TIC crítico presta serviços de TIC às entidades financeiras e que a autoridade fiscalizadora principal considere pertinentes para prevenir que surjam falhas pontuais, a ampliação das mesmas, ou para minimizar o possível impacto sistémico no setor financeiro da União em caso de risco de concentração no domínio das TIC, |
| --- | --- |

ii)

utilização de condições e termos, incluindo a respetiva execução técnica, ao abrigo dos quais o terceiro prestador de serviços de TIC crítico presta serviços de TIC às entidades financeiras e que a autoridade fiscalizadora principal considere pertinentes para prevenir que surjam falhas pontuais, a ampliação das mesmas, ou para minimizar o possível impacto sistémico no setor financeiro da União em caso de risco de concentração no domínio das TIC,

| iii) | qualquer subcontratação planeada, sempre que a autoridade fiscalizadora principal considere que essa subcontratação, incluindo acordos de subcontratação que os terceiros prestadores de serviços de TIC críticos planeiem celebrar com os terceiros prestadores de serviços de TIC ou com subcontratantes de TIC estabelecidos num país terceiro, pode acarretar riscos para a prestação dos serviços pela entidade financeira, ou para a estabilidade financeira, com base na análise da informação recolhida nos termos dos artigos 37.o e 38.°, |
| --- | --- |

iii)

qualquer subcontratação planeada, sempre que a autoridade fiscalizadora principal considere que essa subcontratação, incluindo acordos de subcontratação que os terceiros prestadores de serviços de TIC críticos planeiem celebrar com os terceiros prestadores de serviços de TIC ou com subcontratantes de TIC estabelecidos num país terceiro, pode acarretar riscos para a prestação dos serviços pela entidade financeira, ou para a estabilidade financeira, com base na análise da informação recolhida nos termos dos artigos 37.o e 38.°,

| iv) | abster-se de celebrar novos acordos de subcontratação, quando se verificarem as seguintes condições cumulativas:






  — | o subcontratante previsto é um terceiro prestador de serviços de TIC ou um subcontratante de TIC estabelecido num país terceiro, |
| --- | --- | --- |

iv)

abster-se de celebrar novos acordos de subcontratação, quando se verificarem as seguintes condições cumulativas:

—

o subcontratante previsto é um terceiro prestador de serviços de TIC ou um subcontratante de TIC estabelecido num país terceiro,

| — | a subcontratação diz respeito a funções críticas ou importantes da entidade financeira, e |
| --- | --- |

—

a subcontratação diz respeito a funções críticas ou importantes da entidade financeira, e

| — | a autoridade fiscalizadora principal considera que o recurso a essa subcontratação representa um risco claro e grave para a estabilidade financeira da União ou para as entidades financeiras, nomeadamente para a capacidade de as entidades financeiras cumprirem os requisitos de supervisão. |
| --- | --- |

—

a autoridade fiscalizadora principal considera que o recurso a essa subcontratação representa um risco claro e grave para a estabilidade financeira da União ou para as entidades financeiras, nomeadamente para a capacidade de as entidades financeiras cumprirem os requisitos de supervisão.

Para efeitos da subalínea iv) da presente alínea, os terceiros prestadores de serviços de TIC utilizam o modelo a que se refere o artigo 41.o, n.o 1, alínea b), para transmitir à autoridade fiscalizadora principal as informações relativas à subcontratação.

2.   No exercício dos poderes a que se refere o presente artigo, a autoridade fiscalizadora principal:

| a) | Assegura a coordenação periódica no âmbito da rede de superintendência conjunta e, em especial, procura adotar abordagens coerentes, conforme adequado, no que diz respeito à superintendência de terceiros prestadores de serviços de TIC críticos; |
| --- | --- |

a)

Assegura a coordenação periódica no âmbito da rede de superintendência conjunta e, em especial, procura adotar abordagens coerentes, conforme adequado, no que diz respeito à superintendência de terceiros prestadores de serviços de TIC críticos;

| b) | Tem devidamente em conta o quadro estabelecido pela Diretiva (UE) 2022/2555 e, se necessário, consulta as autoridades competentes pertinentes designadas ou criadas nos termos dessa diretiva, a fim de evitar uma duplicação de medidas técnicas e organizativas que possam ser aplicadas aos terceiros prestadores de serviços de TIC críticos nos termos dessa diretiva; |
| --- | --- |

b)

Tem devidamente em conta o quadro estabelecido pela Diretiva (UE) 2022/2555 e, se necessário, consulta as autoridades competentes pertinentes designadas ou criadas nos termos dessa diretiva, a fim de evitar uma duplicação de medidas técnicas e organizativas que possam ser aplicadas aos terceiros prestadores de serviços de TIC críticos nos termos dessa diretiva;

| c) | Procura minimizar, na medida do possível, o risco de perturbação dos serviços prestados por terceiros prestadores de serviços de TIC críticos a clientes que não sejam entidades abrangidas pelo âmbito de aplicação do presente regulamento. |
| --- | --- |

c)

Procura minimizar, na medida do possível, o risco de perturbação dos serviços prestados por terceiros prestadores de serviços de TIC críticos a clientes que não sejam entidades abrangidas pelo âmbito de aplicação do presente regulamento.

3.   A autoridade fiscalizadora principal consulta o fórum de superintendência antes de exercer os poderes referidos no n.o 1.

Antes de emitir recomendações nos termos do n.o 1, alínea d), a autoridade fiscalizadora principal dá ao terceiro prestador de serviços de TIC a oportunidade de fornecer, no prazo de 30 dias de calendário, informações pertinentes que demonstrem o impacto esperado para os clientes que não sejam entidades abrangidas pelo âmbito de aplicação do presente regulamento e, se for caso disso, apresentem soluções para atenuar os riscos.

4.   A autoridade fiscalizadora principal informa a rede de superintendência conjunta do resultado do exercício de poderes a que se refere o n.o 1, alíneas a) e b). A autoridade fiscalizadora principal transmite, sem demora injustificada, os relatórios a que se refere o n.o 1, alínea c), à rede de superintendência conjunta e às autoridades competentes das entidades financeiras que utilizam os serviços de TIC prestados por esse terceiro prestador de serviços de TIC crítico.

5.   Os terceiros prestadores de serviços de TIC críticos cooperam de boa-fé com a autoridade fiscalizadora principal e auxiliam-na no exercício das suas atribuições.

6.   Em caso de incumprimento total ou parcial das medidas exigidas no âmbito do exercício dos poderes previstos no n.o 1, alíneas a), b) e c), e depois de decorrido um prazo de pelo menos 30 dias de calendário a contar da data em que o terceiro prestador de serviços de TIC crítico recebeu a notificação das respetivas medidas, a autoridade fiscalizadora principal adota uma decisão que impõe uma sanção pecuniária compulsória para obrigar o terceiro prestador de serviços de TIC crítico a cumprir essas medidas.

7.   A sanção pecuniária compulsória que se refere o n.o 6 é imposta numa base diária até ao cumprimento efetivo das medidas, mas nunca por um período superior a seis meses a contar da notificação da decisão de imposição de uma sanção pecuniária compulsória ao terceiro prestador de serviços de TIC crítico.

8.   O montante da sanção pecuniária compulsória, calculado a partir da data estipulada na decisão que a impõe, é de, no máximo, 1 % do volume de negócios mundial médio diário do terceiro prestador de serviços de TIC crítico no exercício anterior. Ao determinar o montante da sanção pecuniária, a autoridade fiscalizadora principal tem em conta, no que respeita ao incumprimento das medidas referido no n.o 6, os seguintes critérios:

| a) | A gravidade e a duração do incumprimento; |
| --- | --- |

a)

A gravidade e a duração do incumprimento;

| b) | Se o incumprimento foi cometido com dolo ou por negligência; |
| --- | --- |

b)

Se o incumprimento foi cometido com dolo ou por negligência;

| c) | O nível de cooperação do terceiro prestador de serviços de TIC com a autoridade fiscalizadora principal. |
| --- | --- |

c)

O nível de cooperação do terceiro prestador de serviços de TIC com a autoridade fiscalizadora principal.

Para efeitos do primeiro parágrafo, a fim de assegurar uma abordagem coerente, a autoridade fiscalizadora principal procede a consultas da rede de superintendência conjunta.

9.   As sanções pecuniárias são de natureza administrativa e executórias. A aplicação rege-se pelas normas de processo civil em vigor no Estado-Membro em cujo território se efetuam as inspeções e o acesso. Os tribunais do Estado-Membro em causa têm competência para deliberar sobre as queixas relacionadas com irregularidades de aplicação. Os montantes das sanções pecuniárias são afetados ao orçamento geral da União Europeia.

10.   A autoridade fiscalizadora principal divulga ao público todas as sanções pecuniárias compulsórias que tenham imposto, a menos que tal divulgação possa afetar gravemente os mercados financeiros ou causar danos desproporcionados aos interessados.

11.   Antes de impor uma sanção pecuniária compulsória nos termos do n.o 6, a autoridade fiscalizadora principal dá aos representantes do terceiro prestador de serviços de TIC crítico objeto do processo a oportunidade de serem ouvidos sobre as conclusões e baseia as suas decisões exclusivamente nas conclusões em relação às quais o terceiro prestador de serviços de TIC crítico tenha tido oportunidade de se pronunciar.

Os direitos de defesa das pessoas objeto do processo são plenamente respeitados no decurso do processo. O terceiro prestador de serviços de TIC crítico objeto do processo tem o direito de consultar o processo, sob reserva do interesse legítimo de terceiros na proteção dos seus segredos comerciais. O direito de acesso ao processo não é extensível a informações confidenciais nem aos documentos preparatórios internos da autoridade fiscalizadora principal.

Artigo 36.o

Exercício de poderes pela autoridade fiscalizadora principal fora da União

1.   Quando os objetivos em matéria de superintendência não puderem ser alcançados por meio da interação com a filial criada para efeitos do artigo 31.o, n.o 12, ou do exercício de atividades de superintendência em instalações situadas na União, a autoridade fiscalizadora principal pode exercer os poderes referidos nas disposições seguintes, em quaisquer instalações situadas num país terceiro que sejam propriedade de um terceiro prestador de serviços de TIC crítico, ou utilizadas de alguma forma para efeitos da prestação de serviços a entidades financeiras da União por esse prestador, no que diz respeito às suas operações comerciais, funções ou serviços, incluindo quaisquer escritórios, instalações, terrenos e edifícios administrativos, comerciais ou operacionais ou outros imóveis:

| a) | No artigo 35.o, n.o 1, alínea a); e |
| --- | --- |

a)

No artigo 35.o, n.o 1, alínea a); e

| b) | No artigo 35.o, n.o 1, alínea b), nos termos do artigo 38.o, n.o 2, alíneas a), b) e d), no artigo 39.o, n.o 1, e no artigo 39.o, n.o 2, alínea a). |
| --- | --- |

b)

No artigo 35.o, n.o 1, alínea b), nos termos do artigo 38.o, n.o 2, alíneas a), b) e d), no artigo 39.o, n.o 1, e no artigo 39.o, n.o 2, alínea a).

Os poderes a que se refere o primeiro parágrafo podem ser exercidos, sob reserva de todas as seguintes condições:

| i) | a autoridade fiscalizadora principal considerar necessário realizar uma inspeção num país terceiro a fim de poder desempenhar plena e eficazmente as suas obrigações ao abrigo do presente regulamento, |
| --- | --- |

i)

a autoridade fiscalizadora principal considerar necessário realizar uma inspeção num país terceiro a fim de poder desempenhar plena e eficazmente as suas obrigações ao abrigo do presente regulamento,

| ii) | a inspeção num país terceiro estiver diretamente relacionada com a prestação de serviços de TIC a entidades financeiras na União, |
| --- | --- |

ii)

a inspeção num país terceiro estiver diretamente relacionada com a prestação de serviços de TIC a entidades financeiras na União,

| iii) | o terceiro prestador de serviços de TIC crítico consentir na realização de uma inspeção num país terceiro, e |
| --- | --- |

iii)

o terceiro prestador de serviços de TIC crítico consentir na realização de uma inspeção num país terceiro, e

| iv) | a autoridade competente do país terceiro em causa for oficialmente notificada pela autoridade fiscalizadora principal e não levantar objeções. |
| --- | --- |

iv)

a autoridade competente do país terceiro em causa for oficialmente notificada pela autoridade fiscalizadora principal e não levantar objeções.

2.   Sem prejuízo das respetivas competências das instituições da União e dos Estados-Membros, para efeitos do n.o 1, a EBA, a ESMA ou a EIOPA, celebram acordos de cooperação administrativa com a autoridade pertinente do país terceiro, a fim de permitir a boa realização de inspeções no país terceiro em causa pela autoridade fiscalizadora principal e pela equipa por si designada para realizar a sua missão nesse país terceiro. Estes acordos de cooperação não criam obrigações jurídicas no que respeita à União e aos seus Estados-Membros nem impedem os Estados-Membros e as suas autoridades competentes de celebrarem acordos bilaterais ou multilaterais com esses países terceiros e com as suas autoridades pertinentes.

Além disso, especificam, pelo menos, os seguintes elementos:

| a) | Os procedimentos para a coordenação das atividades de superintendência realizadas ao abrigo do presente regulamento e de qualquer monitorização análoga do risco associado às TIC devido a terceiros no setor financeiro efetuada pela autoridade competente do país terceiro em causa, incluindo os pormenores da transmissão do acordo desta última a fim de permitir a realização, pela autoridade fiscalizadora principal e pela equipa por si designada, das investigações gerais e inspeções no local a que se refere o n.o 1, primeiro parágrafo, no território sob a sua jurisdição; |
| --- | --- |

a)

Os procedimentos para a coordenação das atividades de superintendência realizadas ao abrigo do presente regulamento e de qualquer monitorização análoga do risco associado às TIC devido a terceiros no setor financeiro efetuada pela autoridade competente do país terceiro em causa, incluindo os pormenores da transmissão do acordo desta última a fim de permitir a realização, pela autoridade fiscalizadora principal e pela equipa por si designada, das investigações gerais e inspeções no local a que se refere o n.o 1, primeiro parágrafo, no território sob a sua jurisdição;

| b) | O mecanismo de transmissão de todas as informações relevantes entre a EBA, a ESMA ou a EIOPA, e a autoridade pertinente do país terceiro em causa, em especial no que se refere às informações que possam ser solicitadas pela autoridade fiscalizadora principal nos termos do artigo 37.o; |
| --- | --- |

b)

O mecanismo de transmissão de todas as informações relevantes entre a EBA, a ESMA ou a EIOPA, e a autoridade pertinente do país terceiro em causa, em especial no que se refere às informações que possam ser solicitadas pela autoridade fiscalizadora principal nos termos do artigo 37.o;

| c) | Os mecanismos de notificação imediata pela autoridade pertinente do país terceiro em causa à EBA, à ESMA ou à EIOPA, dos casos em que se considere que um terceiro prestador de serviços de TIC estabelecido num país terceiro e designado como crítico nos termos do artigo 31.o, n.o 1, alínea a), infringiu os requisitos que é obrigado a respeitar por força do direito aplicável no país terceiro em causa aquando da prestação de serviços a instituições financeiras nesse país terceiro, bem como as vias de recurso e as sanções aplicadas; |
| --- | --- |

c)

Os mecanismos de notificação imediata pela autoridade pertinente do país terceiro em causa à EBA, à ESMA ou à EIOPA, dos casos em que se considere que um terceiro prestador de serviços de TIC estabelecido num país terceiro e designado como crítico nos termos do artigo 31.o, n.o 1, alínea a), infringiu os requisitos que é obrigado a respeitar por força do direito aplicável no país terceiro em causa aquando da prestação de serviços a instituições financeiras nesse país terceiro, bem como as vias de recurso e as sanções aplicadas;

| d) | A transmissão periódica de atualizações sobre a evolução em matéria de regulamentação ou supervisão no que diz respeito à monitorização do risco associado às TIC devido a terceiros nas instituições financeiras no país terceiro em causa; |
| --- | --- |

d)

A transmissão periódica de atualizações sobre a evolução em matéria de regulamentação ou supervisão no que diz respeito à monitorização do risco associado às TIC devido a terceiros nas instituições financeiras no país terceiro em causa;

| e) | As modalidades que possibilitem, se necessário, a participação de um representante da autoridade competente do país terceiro nas inspeções realizadas pela autoridade fiscalizadora principal e pela equipa por si designada. |
| --- | --- |

e)

As modalidades que possibilitem, se necessário, a participação de um representante da autoridade competente do país terceiro nas inspeções realizadas pela autoridade fiscalizadora principal e pela equipa por si designada.

3.   Quando a autoridade fiscalizadora principal não estiver em condições de realizar atividades de superintendência fora da União, a que se referem os n.os 1 e 2, a autoridade fiscalizadora principal:

| a) | Exerce os poderes que lhe são conferidos pelo artigo 35.o com base em todos os factos e documentos à sua disposição; |
| --- | --- |

a)

Exerce os poderes que lhe são conferidos pelo artigo 35.o com base em todos os factos e documentos à sua disposição;

| b) | Documenta e explica quaisquer consequências da sua incapacidade para realizar as atividades de superintendência previstas a que se refere o presente artigo. |
| --- | --- |

b)

Documenta e explica quaisquer consequências da sua incapacidade para realizar as atividades de superintendência previstas a que se refere o presente artigo.

As potenciais consequências a que se refere a alínea b) do presente número são tidas em conta nas recomendações da autoridade fiscalizadora principal emitidas nos termos do artigo 35.o, n.o 1, alínea d).

Artigo 37.o

Pedidos de informações

1.   A autoridade fiscalizadora principal pode solicitar aos terceiros prestadores de serviços de TIC críticos, através de um pedido simples ou de uma decisão, que forneçam todas as informações necessárias para que a autoridade fiscalizadora principal possa cumprir as suas obrigações ao abrigo do presente regulamento, nomeadamente todos os documentos comerciais ou operacionais, contratos, políticas, documentação, relatórios de auditorias à segurança no domínio das TIC ou relatórios de incidentes relacionados com as TIC que considere pertinentes, bem como quaisquer informações relacionadas com as partes às quais o terceiro prestador de serviços de TIC crítico tenha subcontratado funções ou atividades operacionais.

2.   Ao enviar um simples pedido de informações nos termos do n.o 1, a autoridade fiscalizadora principal:

| a) | Remete para o presente artigo como base legal do pedido; |
| --- | --- |

a)

Remete para o presente artigo como base legal do pedido;

| b) | Indica a finalidade do pedido; |
| --- | --- |

b)

Indica a finalidade do pedido;

| c) | Especifica as informações solicitadas; |
| --- | --- |

c)

Especifica as informações solicitadas;

| d) | Fixa um prazo para a prestação das informações; |
| --- | --- |

d)

Fixa um prazo para a prestação das informações;

| e) | Informa o representante do terceiro prestador de serviços de TIC crítico ao qual as informações são solicitadas de que não é obrigado a fornecê-las mas que, caso aceda voluntariamente ao pedido, as informações prestadas não podem ser incorretas nem induzir em erro. |
| --- | --- |

e)

Informa o representante do terceiro prestador de serviços de TIC crítico ao qual as informações são solicitadas de que não é obrigado a fornecê-las mas que, caso aceda voluntariamente ao pedido, as informações prestadas não podem ser incorretas nem induzir em erro.

3.   Ao solicitar, mediante uma decisão, que lhe sejam fornecidas informações nos termos do n.o 1, a autoridade fiscalizadora principal:

| a) | Remete para o presente artigo como base legal do pedido; |
| --- | --- |

a)

Remete para o presente artigo como base legal do pedido;

| b) | Indica a finalidade do pedido; |
| --- | --- |

b)

Indica a finalidade do pedido;

| c) | Especifica as informações solicitadas; |
| --- | --- |

c)

Especifica as informações solicitadas;

| d) | Fixa um prazo para a prestação das informações; |
| --- | --- |

d)

Fixa um prazo para a prestação das informações;

| e) | Faz referência às sanções pecuniárias compulsórias previstas no artigo 35.o, n.o 6, no caso de as informações prestadas serem incompletas ou não serem fornecidas no prazo referido na alínea d) do presente número; |
| --- | --- |

e)

Faz referência às sanções pecuniárias compulsórias previstas no artigo 35.o, n.o 6, no caso de as informações prestadas serem incompletas ou não serem fornecidas no prazo referido na alínea d) do presente número;

| f) | Menciona o direito a recorrer da decisão junto da Câmara de Recurso das AES e o direito de requerer a apreciação da decisão pelo Tribunal de Justiça da União Europeia (Tribunal de Justiça) nos termos dos artigos 60.o e 61.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010. |
| --- | --- |

f)

Menciona o direito a recorrer da decisão junto da Câmara de Recurso das AES e o direito de requerer a apreciação da decisão pelo Tribunal de Justiça da União Europeia (Tribunal de Justiça) nos termos dos artigos 60.o e 61.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

4.   Os representantes dos terceiros prestadores de serviços de TIC críticos fornecem as informações solicitadas. Os advogados devidamente mandatados podem fornecer as informações pedidas em nome dos seus mandantes. O terceiro prestador de serviços de TIC crítico é plenamente responsável em caso de prestação de informações incompletas, incorretas ou que induzam em erro.

5.   A autoridade fiscalizadora principal transmite, sem demora, uma cópia da decisão de fornecer informações às autoridades competentes das entidades financeiras que utilizam os serviços dos respetivos terceiros prestadores de serviços de TIC críticos, bem como à rede de superintendência conjunta.

Artigo 38.o

Investigações de caráter geral

1.   Por forma a cumprir as suas obrigações ao abrigo do presente regulamento, a autoridade fiscalizadora principal, auxiliada pela equipa de avaliação conjunta a que se refere o artigo 40.o, n.o 1, pode, sempre que necessário, realizar as investigações junto dos terceiros prestadores de serviços de TIC críticos;

2.   A autoridade fiscalizadora principal dispõe de poderes para:

| a) | Examinar registos, dados, procedimentos ou qualquer outro material relevante para o exercício das suas funções, independentemente do meio em que se encontrem armazenados; |
| --- | --- |

a)

Examinar registos, dados, procedimentos ou qualquer outro material relevante para o exercício das suas funções, independentemente do meio em que se encontrem armazenados;

| b) | Recolher ou obter cópias autenticadas ou extratos desses registos, dados, procedimentos documentados ou qualquer outro material; |
| --- | --- |

b)

Recolher ou obter cópias autenticadas ou extratos desses registos, dados, procedimentos documentados ou qualquer outro material;

| c) | Convocar representantes dos terceiros prestadores de serviços de TIC críticos para prestarem esclarecimentos, oralmente ou por escrito, sobre factos ou documentos relacionados com o objeto e a finalidade da investigação, e registar as suas respostas; |
| --- | --- |

c)

Convocar representantes dos terceiros prestadores de serviços de TIC críticos para prestarem esclarecimentos, oralmente ou por escrito, sobre factos ou documentos relacionados com o objeto e a finalidade da investigação, e registar as suas respostas;

| d) | Inquirir quaisquer outras pessoas singulares ou coletivas que consintam em ser inquiridas a fim de recolher informações relacionadas com o objeto de uma investigação; |
| --- | --- |

d)

Inquirir quaisquer outras pessoas singulares ou coletivas que consintam em ser inquiridas a fim de recolher informações relacionadas com o objeto de uma investigação;

| e) | Requerer a apresentação de registos telefónicos e dados de tráfego. |
| --- | --- |

e)

Requerer a apresentação de registos telefónicos e dados de tráfego.

3.   Os funcionários e outras pessoas autorizadas pela autoridade fiscalizadora principal para efeitos das investigações a que se refere o n.o 1 exercem os referidos poderes mediante a apresentação de uma autorização escrita que especifique o objeto e a finalidade da investigação.

A referida autorização indica também as sanções pecuniárias compulsórias previstas no artigo 35.o, n.o 6, sempre que a apresentação dos registos, dados, procedimentos documentados ou qualquer outro material solicitados, ou as respostas às perguntas feitas aos representantes do terceiro prestador de serviços de TIC, não forem fornecidas ou estiverem incompletas.

4.   Os representantes dos terceiros prestadores de serviços de TIC críticos são obrigados a colaborar com as investigações com base numa decisão da autoridade fiscalizadora principal. A decisão especifica o objeto e a finalidade da investigação, as sanções pecuniárias compulsórias previstas no artigo 35.o, n.o 6, as possibilidades de recurso previstas nos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010, bem como o direito de requerer a apreciação da decisão pelo Tribunal de Justiça.

5.   Com a devida antecedência em relação ao início da investigação, a autoridade fiscalizadora principal informa as autoridades competentes das entidades financeiras que recorrem aos serviços de TIC prestados pelo terceiro prestador de serviços de TIC crítico da investigação e da identidade das pessoas autorizadas.

A autoridade fiscalizadora principal comunica à rede de superintendência conjunta todas as informações transmitidas nos termos do primeiro parágrafo.

Artigo 39.o

Inspeções

1.   A fim de cumprir as suas obrigações ao abrigo do presente regulamento, a autoridade fiscalizadora principal, auxiliada pelas equipas de avaliação conjunta a que se refere o artigo 40.o, n.o 1, pode entrar e realizar as necessárias inspeções no local em qualquer uma das instalações comerciais, terrenos ou propriedades dos terceiros prestadores de serviços de TIC, tais como sedes, centros de operações e instalações secundárias, bem como realizar inspeções à distância.

Para efeitos do exercício de poderes a que se refere o primeiro parágrafo, a autoridade fiscalizadora principal consulta a rede de superintendência conjunta.

2.   Os funcionários e outras pessoas autorizadas pela autoridade fiscalizadora principal para realizar uma inspeção no local dispõem de poderes para:

| a) | Entrar em quaisquer dessas instalações comerciais, terrenos ou propriedades; e |
| --- | --- |

a)

Entrar em quaisquer dessas instalações comerciais, terrenos ou propriedades; e

| b) | Selar quaisquer dessas instalações comerciais, livros ou registos, durante o período da inspeção e na medida do necessário à inspeção. |
| --- | --- |

b)

Selar quaisquer dessas instalações comerciais, livros ou registos, durante o período da inspeção e na medida do necessário à inspeção.

Os funcionários e outras pessoas autorizadas pela autoridade fiscalizadora principal podem exercer esses poderes mediante a apresentação de uma autorização escrita que especifique o objeto e a finalidade da inspeção e as sanções pecuniárias compulsórias previstas no artigo 35.o, n.o 6, quando os representantes dos terceiros prestadores de serviços de TIC críticos não colaborarem com a investigação.

3.   Com a devida antecedência em relação ao início da inspeção, a autoridade fiscalizadora principal informa as autoridades competentes das entidades financeiras que recorrem a esse terceiro prestador de serviços de TIC.

4.   As inspeções abrangem todo o conjunto de sistemas, redes, dispositivos, informações e dados pertinentes no domínio das TIC que seja utilizado ou contribua para a prestação de serviços de TIC às entidades financeiras.

5.   Antes de qualquer inspeção planeada ao local, a autoridade fiscalizadora principal notifica com antecedência razoável os terceiros prestadores de serviços de TIC críticos, exceto se não for possível proceder a essa notificação devido a uma emergência ou situação de crise, ou se a notificação puder conduzir a uma situação em que a inspeção ou auditoria deixaria de ser eficaz.

6.   O terceiro prestador de serviços de TIC crítico colabora com as inspeções no local ordenadas por decisão da autoridade fiscalizadora principal. A decisão especifica o objeto e a finalidade da inspeção, fixa a data em que se deve iniciar a inspeção e indica as sanções pecuniárias compulsórias previstas no artigo 35.o, n.o 6, as possibilidades de recurso previstas nos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010, bem como o direito de requerer a apreciação da decisão pelo Tribunal de Justiça.

7.   Quando os funcionários e outras pessoas autorizadas pela autoridade fiscalizadora principal constatarem que um terceiro prestador de serviços de TIC crítico se opõe a uma inspeção ordenada nos termos do presente artigo, a autoridade fiscalizadora principal informa o terceiro prestador de serviços de TIC crítico das consequência dessa oposição, nomeadamente da possibilidade de as autoridades competentes das entidades financeiras requererem que as entidades financeiras pertinentes rescindam os contratos celebrados com esse terceiro prestador de serviços de TIC crítico.

Artigo 40.o

Superintendência contínua

1.   Aquando da realização de atividades de superintendência, em especial investigações de caráter geral ou inspeções, a autoridade fiscalizadora principal é auxiliada por uma equipa de avaliação conjunta criada para cada terceiro prestador de serviços de TIC crítico.

2.   A equipa de avaliação conjunta a que se refere o n.o 1 é composta por membros do pessoal oriundos:

| a) | Das AES; |
| --- | --- |

a)

Das AES;

| b) | Das autoridades competentes pertinentes que supervisionam as entidades financeiras às quais o terceiro prestador de serviços de TIC crítico presta serviços; |
| --- | --- |

b)

Das autoridades competentes pertinentes que supervisionam as entidades financeiras às quais o terceiro prestador de serviços de TIC crítico presta serviços;

| c) | Da autoridade nacional competente a que se refere o artigo 32.o, n.o 4, alínea e), numa base voluntária; |
| --- | --- |

c)

Da autoridade nacional competente a que se refere o artigo 32.o, n.o 4, alínea e), numa base voluntária;

| d) | De uma autoridade nacional competente do Estado-Membro em que está estabelecido terceiro prestador de serviços de TIC crítico, numa base voluntária. |
| --- | --- |

d)

De uma autoridade nacional competente do Estado-Membro em que está estabelecido terceiro prestador de serviços de TIC crítico, numa base voluntária.

Os membros da equipa de avaliação conjunta devem ter conhecimentos especializados em questões relacionadas com as TIC e em matéria de risco operacional. A equipa de avaliação conjunta trabalha sob a coordenação de um membro do pessoal da autoridade fiscalizadora principal designada (o «coordenador da autoridade fiscalizadora principal»).

3.   No prazo de três meses a contar da conclusão de uma investigação ou inspeção, a autoridade fiscalizadora principal, após consulta do fórum de superintendência, adota recomendações a dirigir ao terceiro prestador de serviços de TIC crítico ao abrigo dos poderes referidos no artigo 35.o.

4.   As recomendações referidas no n.o 3 são comunicadas imediatamente ao terceiro prestador de serviços de TIC crítico e às autoridades competentes das entidades financeiras às quais aquele presta serviços de TIC.

Para efeitos da realização das atividades de superintendência, a autoridade fiscalizadora principal pode tomar em consideração quaisquer certificações pertinentes de terceiros ou relatórios de auditorias internas ou externas de terceiros no domínio das TIC disponibilizadas pelo terceiro prestador de serviços de TIC críticos.

Artigo 41.o

Harmonização das condições que permitem o exercício de atividades de superintendência

1.   As AES elaboram, através do Comité Conjunto, projetos de normas técnicas de regulamentação a fim de especificar:

| a) | As informações que devem ser facultadas por um terceiro prestador de serviços de TIC no pedido de designação voluntária como crítico previsto no artigo 31.o, n.o 11; |
| --- | --- |

a)

As informações que devem ser facultadas por um terceiro prestador de serviços de TIC no pedido de designação voluntária como crítico previsto no artigo 31.o, n.o 11;

| b) | O conteúdo, a estrutura e o formato das informações a apresentar, divulgar ou comunicar pelos terceiros prestadores de serviços de TIC nos termos do artigo 35.o, n.o 1, incluindo o modelo para fornecer informações sobre acordos de subcontratação; |
| --- | --- |

b)

O conteúdo, a estrutura e o formato das informações a apresentar, divulgar ou comunicar pelos terceiros prestadores de serviços de TIC nos termos do artigo 35.o, n.o 1, incluindo o modelo para fornecer informações sobre acordos de subcontratação;

| c) | Os critérios para determinar a composição da equipa de avaliação conjunta, assegurando uma participação equilibrada de membros do pessoal das AES e das autoridades competentes pertinentes, a sua designação, as suas atribuições e modalidades de trabalho; |
| --- | --- |

c)

Os critérios para determinar a composição da equipa de avaliação conjunta, assegurando uma participação equilibrada de membros do pessoal das AES e das autoridades competentes pertinentes, a sua designação, as suas atribuições e modalidades de trabalho;

| d) | Os pormenores da avaliação pelas autoridades competentes das medidas tomadas pelos terceiros prestadores de serviços de TIC críticos com base nas recomendações da autoridade fiscalizadora principal nos termos do artigo 42.o, n.o 3. |
| --- | --- |

d)

Os pormenores da avaliação pelas autoridades competentes das medidas tomadas pelos terceiros prestadores de serviços de TIC críticos com base nas recomendações da autoridade fiscalizadora principal nos termos do artigo 42.o, n.o 3.

2.   As AES apresentam esses projetos de normas técnicas de regulamentação à Comissão até 17 de julho de 2024.

A Comissão fica habilitada a completar o presente regulamento através da adoção das normas técnicas de regulamentação a que se refere o n.o 1, nos termos do procedimento previsto nos artigos 10.o a 14.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1094/2010 e (UE) n.o 1095/2010.

Artigo 42.o

Acompanhamento pelas autoridades competentes

1.   No prazo de 60 dias de calendário a contar da receção das recomendações emitidas pela autoridade fiscalizadora principal nos termos do artigo 35.o, n.o 1, alínea d), os terceiros prestadores de serviços de TIC críticos notificam a autoridade fiscalizadora principal da sua intenção de seguir as recomendações ou apresentam uma explicação fundamentada para o não fazer. A autoridade fiscalizadora principal transmite imediatamente essa informação às autoridades competentes das entidades financeiras em causa.

2.   A autoridade fiscalizadora principal torna públicos os casos em que um terceiro prestador de serviços de TIC crítico não notifica a autoridade fiscalizadora principal nos termos do n.o 1 ou quando a explicação apresentada pelo terceiro prestador de serviços de TIC crítico não for suficiente. As informações publicadas incluem a identidade do terceiro prestador de serviços de TIC crítico, bem como informações sobre o tipo e a natureza do incumprimento. Essas informações devem limitar-se ao que é relevante e proporcionado para efeitos de alertar o público, a menos que essa publicação possa causar danos desproporcionados às partes envolvidas ou comprometer gravemente o bom funcionamento e a integridade dos mercados financeiros ou a estabilidade da totalidade ou de parte do sistema financeiro da União.

A autoridade fiscalizadora principal notifica o terceiro prestador de serviços de TIC dessa divulgação de informações ao público.

3.   As autoridades competentes informam as entidades financeiras pertinentes dos riscos identificados nas recomendações dirigidas aos terceiros prestadores de serviços de TIC críticos, nos termos do artigo 35.o, n.o 1, alínea d).

Ao gerirem o risco associado às TIC devido a terceiros, as entidades financeiras têm em consideração os riscos a que se refere o primeiro parágrafo.

4.   Sempre que uma autoridade competente considere que uma entidade financeira não tem em consta ou não aborda suficientemente, no âmbito da sua gestão do risco associado às TIC devido a terceiros, os riscos específicos identificados nas recomendações, notifica a entidade financeira da possibilidade de ser tomada uma decisão, no prazo de 60 dias de calendário a contar da receção dessa notificação, nos termos do n.o 6, na ausência de acordos contratuais adequadas destinadas a fazer face a esses riscos.

5.   Após receberem as comunicações referidas no artigo 35.o, n.o 1, alínea c), e antes de tomarem a decisão a que se refere o n.o 6 do presente artigo, as autoridades competentes podem, a título voluntário, consultar as autoridades competentes designadas ou criadas nos termos da Diretiva (UE) 2022/2555, responsáveis pela supervisão de uma entidade essencial ou importante abrangida por essa diretiva, que tenha sido designado como terceiro prestador de serviços de TIC crítico.

6.   As autoridades competentes podem, como medida de último recurso, na sequência da notificação e, se for caso disso, da consulta prevista nos n.os 4 e 5 do presente artigo, nos termos do artigo 50.o, tomar uma decisão exigindo que as entidades financeiras suspendam temporariamente, em parte ou na totalidade, a utilização ou o lançamento de um serviço prestado pelo terceiro prestador de serviços de TIC crítico até que os riscos identificados nas recomendações dirigidas aos terceiros prestadores de serviços de TIC críticos tenham sido abordados. Quando necessário, podem exigir que as entidades financeiras rescindam, em parte ou na totalidade, os acordos contratuais pertinentes celebrados com os terceiros prestadores de serviços de TIC críticos.

7.   Caso um terceiro prestador de serviços de TIC crítico se recuse a acatar recomendações baseando-se numa abordagem divergente da recomendada pela autoridade fiscalizadora principal, e essa abordagem divergente seja suscetível de ter um impacto negativo num grande número de entidades financeiras, ou numa parte significativa do setor financeiro, e os alertas individuais emitidos pelas autoridades competentes não tenham resultado em abordagens coerentes que atenuem o potencial risco para a estabilidade financeira, a autoridade fiscalizadora principal pode, após consulta do fórum de superintendência, emitir pareceres não vinculativos e não públicos dirigidos às autoridades competentes, a fim de promover medidas de acompanhamento da supervisão coerentes e convergentes, conforme adequado.

8.   Após receberem os relatórios referidos no artigo 35.o, n.o 1, alínea c), as autoridades competentes, ao tomarem as decisões referidas no n.o 6 do presente artigo, têm em conta o tipo e a dimensão do risco que não foi abordado pelo terceiro prestador de serviços de TIC crítico, bem como a gravidade do incumprimento, tendo em conta os critérios seguintes:

| a) | A gravidade e a duração do incumprimento; |
| --- | --- |

a)

A gravidade e a duração do incumprimento;

| b) | Se o incumprimento revelou debilidades graves nos procedimentos, nos sistemas de gestão, na gestão do risco e nos controlos internos do terceiro prestador de serviços de TIC crítico; |
| --- | --- |

b)

Se o incumprimento revelou debilidades graves nos procedimentos, nos sistemas de gestão, na gestão do risco e nos controlos internos do terceiro prestador de serviços de TIC crítico;

| c) | Se o incumprimento facilitou, ocasionou ou esteve de alguma forma associado a um ato de criminalidade financeira; |
| --- | --- |

c)

Se o incumprimento facilitou, ocasionou ou esteve de alguma forma associado a um ato de criminalidade financeira;

| d) | Se o incumprimento foi cometido com dolo ou por negligência; |
| --- | --- |

d)

Se o incumprimento foi cometido com dolo ou por negligência;

| e) | Se a suspensão ou rescisão dos acordos contratuais comporta um risco para a continuidade das operações comerciais da entidade financeira, não obstante os esforços da entidade financeira no sentido de evitar perturbações na prestação dos seus serviços; |
| --- | --- |

e)

Se a suspensão ou rescisão dos acordos contratuais comporta um risco para a continuidade das operações comerciais da entidade financeira, não obstante os esforços da entidade financeira no sentido de evitar perturbações na prestação dos seus serviços;

| f) | Se for caso disso, o parecer das autoridades competentes designadas ou criadas nos termos da Diretiva (UE) 2022/2555, responsáveis pela supervisão de uma entidade essencial ou importante abrangida por essa diretiva, que tenha sido designado como terceiro prestador de serviços de TIC crítico, solicitado numa base voluntária nos termos do n.o 5 do presente artigo. |
| --- | --- |

f)

Se for caso disso, o parecer das autoridades competentes designadas ou criadas nos termos da Diretiva (UE) 2022/2555, responsáveis pela supervisão de uma entidade essencial ou importante abrangida por essa diretiva, que tenha sido designado como terceiro prestador de serviços de TIC crítico, solicitado numa base voluntária nos termos do n.o 5 do presente artigo.

As autoridades competentes concedem às entidades financeiras o período de tempo necessário para que possam ajustar os acordos contratuais celebrados com terceiros prestadores de serviços de TIC críticos, a fim de evitar efeitos negativos para a sua resiliência operacional digital e de lhes permitir implementar as estratégias de saída e os planos de transição a que se refere o artigo 28.o.

9.   A decisão a que se refere o n.o 6 do presente artigo é notificada aos membros do fórum de superintendência a que se refere o artigo 32.o, n.o 4, alíneas a), b) e c), e à rede de superintendência conjunta.

Os terceiros prestadores de serviços de TIC críticos visados pelas decisões previstas no n.o 6 cooperam plenamente com as entidades financeiras afetadas, em especial no contexto do processo de suspensão ou rescisão dos seus acordos contratuais.

10.   As autoridades competentes informam regularmente a autoridade fiscalizadora principal das abordagens e medidas adotadas no âmbito das suas atribuições de supervisão em relação às entidades financeiras, bem como dos acordos contratuais celebrados pelas entidades financeiras quando os terceiros prestadores de serviços de TIC críticos não tiverem acatado, em parte ou na totalidade, as recomendações que lhes foram dirigidas pela autoridade fiscalizadora principal.

11.   A autoridade fiscalizadora principal pode, a pedido, prestar esclarecimentos adicionais sobre as recomendações emitidas a fim de fornecer orientações às autoridades competentes sobre as medidas de acompanhamento.

Artigo 43.o

Taxas de superintendência

1.   A autoridade fiscalizadora principal, em conformidade com o ato delegado a que se refere o n.o 2 do presente artigo, cobra aos terceiros prestadores de serviços de TIC críticos taxas que cubram na totalidade as despesas necessárias para que a autoridade fiscalizadora principal exerça as suas atribuições de superintendência nos termos do presente regulamento, nomeadamente o reembolso de eventuais custos em que possa incorrer em resultado do trabalho realizado pela equipa de avaliação conjunta a que se refere o artigo 40.o, bem como os custos do aconselhamento prestado pelos peritos independentes a que se refere o artigo 32.o, n.o 4, segundo parágrafo, em relação a questões relacionadas com as atividades de superintendência direta.

O montante de uma taxa cobrada a um terceiro prestador de serviços de TIC crítico cobre todos os custos decorrentes do cumprimento dos deveres previstos na presente secção e é proporcional ao seu volume de negócios.

2.   A Comissão fica habilitada a adotar um ato delegado nos termos do artigo 57.o para completar o presente regulamento determinando o montante das taxas e as modalidades de pagamento até 17 de julho de 2024.

Artigo 44.o

Cooperação internacional

1.   Sem prejuízo do disposto no artigo 36.o, a EBA, a ESMA e a EIOPA podem, nos termos do artigo 33.o dos Regulamentos (UE) n.o 1093/2010, (UE) n.o 1095/2010 e (UE) n.o 1094/2010, respetivamente, celebrar acordos administrativos com autoridades de regulamentação e de supervisão de países terceiros para fomentar a cooperação internacional em matéria de risco associado às TIC devido a terceiros nos diferentes setores financeiros, em especial desenvolvendo boas práticas para a apreciação das práticas e dos controlos de gestão do risco associado às TIC, das medidas de mitigação e da resposta aos incidentes nesse contexto.

2.   As AES, através do Comité Conjunto, apresentam, de cinco em cinco anos, um relatório conjunto confidencial ao Parlamento Europeu, ao Conselho e à Comissão que resuma as conclusões dos debates relevantes com as autoridades dos países terceiros a que se refere o n.o 1, centrados na evolução do risco associados às TIC devido a terceiros e nas suas implicações para a estabilidade financeira, a integridade do mercado, a proteção dos investidores e o funcionamento do mercado interno.

CAPITULO VI

Acordos de partilha de informações

Artigo 45.o

Acordos de partilha de informações específicas e sensíveis relativas a ciberataques

1.   As entidades financeiras podem proceder ao intercâmbio entre si de informações específicas e sensíveis relativas a ciberataques, nomeadamente indicadores de comprometimento dos sistemas ou dos dados, táticas, técnicas e procedimentos, alertas de cibersegurança e ferramentas de configuração, na medida em que essa partilha de informações específicas e sensíveis:

| a) | Tenha como objetivo melhorar a resiliência operacional digital das entidades financeiras, em especial através da sensibilização em relação às ciberameaças, limitando ou impedindo a capacidade de disseminação das ciberameaças, apoiando as capacidades de defesa, as técnicas de deteção de ameaças, as estratégias de mitigação ou as fases de resposta e recuperação; |
| --- | --- |

a)

Tenha como objetivo melhorar a resiliência operacional digital das entidades financeiras, em especial através da sensibilização em relação às ciberameaças, limitando ou impedindo a capacidade de disseminação das ciberameaças, apoiando as capacidades de defesa, as técnicas de deteção de ameaças, as estratégias de mitigação ou as fases de resposta e recuperação;

| b) | Ocorra no seio de comunidades de entidades financeiras de confiança; |
| --- | --- |

b)

Ocorra no seio de comunidades de entidades financeiras de confiança;

| c) | Seja implementada através de acordos de partilha de informações que protejam a natureza potencialmente sensível das informações partilhadas e que se pautem por regras de conduta que respeitem totalmente a confidencialidade comercial, a proteção dos dados pessoais, nos termos do Regulamento (UE) 2016/679, e as orientações sobre a política de concorrência. |
| --- | --- |

c)

Seja implementada através de acordos de partilha de informações que protejam a natureza potencialmente sensível das informações partilhadas e que se pautem por regras de conduta que respeitem totalmente a confidencialidade comercial, a proteção dos dados pessoais, nos termos do Regulamento (UE) 2016/679, e as orientações sobre a política de concorrência.

2.   Para efeitos do n.o 1, alínea c), os acordos de partilha de informações definem as condições de participação e, se for caso disso, as modalidades do envolvimento das autoridades públicas e a capacidade em que estas podem estar associadas aos acordos de partilha de informações, do envolvimento dos terceiros prestadores de serviços de TIC e dos elementos operacionais, nomeadamente a utilização de plataformas TIC dedicadas.

3.   As entidades financeiras notificam as autoridades competentes da sua participação nos acordos de partilha de informações a que se refere o n.o 1, após validação dessa mesma participação ou, quando aplicável, após a cessação da sua participação, assim que esta produza efeitos.

CAPITULO VII

Autoridades competentes

Artigo 46.o

Autoridades competentes

Sem prejuízo das disposições relativas ao quadro de superintendência dos terceiros prestadores de serviços de TIC críticos a que se refere o capítulo V, secção II, do presente regulamento, o cumprimento do presente regulamento é assegurado pelas seguintes autoridades competentes em conformidade com os poderes conferidos pelos respetivos atos jurídicos:

| a) | No caso das instituições de crédito e das instituições isentas nos termos da Diretiva 2013/36/UE, a autoridade competente designada nos termos do artigo 4.o dessa diretiva, e no caso das instituições de crédito classificadas como significativas nos termos do artigo 6.o, n.o 4, do Regulamento (UE) n.o 1024/2013, o BCE, de acordo com os poderes e atribuições conferidos por esse regulamento; |
| --- | --- |

a)

No caso das instituições de crédito e das instituições isentas nos termos da Diretiva 2013/36/UE, a autoridade competente designada nos termos do artigo 4.o dessa diretiva, e no caso das instituições de crédito classificadas como significativas nos termos do artigo 6.o, n.o 4, do Regulamento (UE) n.o 1024/2013, o BCE, de acordo com os poderes e atribuições conferidos por esse regulamento;

o

o

o

o

| b) | No caso das instituições de pagamento, incluindo instituições de pagamento isentas nos termos da Diretiva (UE) 2015/2366, das instituições de moeda eletrónica, incluindo as que estão isentas nos termos da Diretiva 2009/110/CE, e dos prestadores de serviços de informação sobre contas referidos no artigo 33.o, n.o 1, da Diretiva (UE) 2015/2366, a autoridade competente designada nos termos do artigo 22.o da Diretiva (UE) 2015/2366; |
| --- | --- |

b)

No caso das instituições de pagamento, incluindo instituições de pagamento isentas nos termos da Diretiva (UE) 2015/2366, das instituições de moeda eletrónica, incluindo as que estão isentas nos termos da Diretiva 2009/110/CE, e dos prestadores de serviços de informação sobre contas referidos no artigo 33.o, n.o 1, da Diretiva (UE) 2015/2366, a autoridade competente designada nos termos do artigo 22.o da Diretiva (UE) 2015/2366;

o

o

o

| c) | No caso das empresas de investimento, a autoridade competente designada nos termos do artigo 4.o da Diretiva (UE) 2019/2034 do Parlamento Europeu e do Conselho (38); |
| --- | --- |

c)

No caso das empresas de investimento, a autoridade competente designada nos termos do artigo 4.o da Diretiva (UE) 2019/2034 do Parlamento Europeu e do Conselho (38);

o

38

| d) | No caso dos prestadores de serviços de criptoativos autorizados ao abrigo do regulamento relativo aos mercados de criptoativos e dos emitentes de criptofichas (tokens) referenciadas a ativos, a autoridade competente designada nos termos da disposição pertinente desse regulamento; |
| --- | --- |

d)

No caso dos prestadores de serviços de criptoativos autorizados ao abrigo do regulamento relativo aos mercados de criptoativos e dos emitentes de criptofichas (tokens) referenciadas a ativos, a autoridade competente designada nos termos da disposição pertinente desse regulamento;

| e) | No caso das centrais de valores mobiliários, a autoridade competente designada nos termos do artigo 11.o do Regulamento (UE) n.o 909/2014; |
| --- | --- |

e)

No caso das centrais de valores mobiliários, a autoridade competente designada nos termos do artigo 11.o do Regulamento (UE) n.o 909/2014;

o

o

| f) | No caso das contrapartes centrais, a autoridade competente designada nos termos do artigo 22.o do Regulamento (UE) n.o 648/2012; |
| --- | --- |

f)

No caso das contrapartes centrais, a autoridade competente designada nos termos do artigo 22.o do Regulamento (UE) n.o 648/2012;

o

o

| g) | No caso das plataformas de negociação e dos prestadores de serviços de comunicação de dados, a autoridade competente designada nos termos do artigo 67.o da Diretiva 2014/65/UE, e a autoridade competente na aceção do artigo 2.o, n.o 1, ponto 18, do Regulamento (UE) n.o 600/2014; |
| --- | --- |

g)

No caso das plataformas de negociação e dos prestadores de serviços de comunicação de dados, a autoridade competente designada nos termos do artigo 67.o da Diretiva 2014/65/UE, e a autoridade competente na aceção do artigo 2.o, n.o 1, ponto 18, do Regulamento (UE) n.o 600/2014;

o

o

o

o

| h) | No caso dos repositórios de transações, a autoridade competente designada nos termos do artigo 55.o do Regulamento (UE) n.o 648/2012; |
| --- | --- |

h)

No caso dos repositórios de transações, a autoridade competente designada nos termos do artigo 55.o do Regulamento (UE) n.o 648/2012;

o

o

| i) | No caso dos gestores de fundos de investimento alternativos, a autoridade competente designada nos termos do artigo 44.o da Diretiva 2011/61/UE; |
| --- | --- |

i)

No caso dos gestores de fundos de investimento alternativos, a autoridade competente designada nos termos do artigo 44.o da Diretiva 2011/61/UE;

o

| j) | No caso das sociedades gestoras, a autoridade competente designada nos termos do artigo 97.o da Diretiva 2009/65/CE; |
| --- | --- |

j)

No caso das sociedades gestoras, a autoridade competente designada nos termos do artigo 97.o da Diretiva 2009/65/CE;

o

| k) | No caso das empresas de seguros e resseguros, a autoridade competente designada nos termos do artigo 30.o da Diretiva 2009/138/CE; |
| --- | --- |

k)

No caso das empresas de seguros e resseguros, a autoridade competente designada nos termos do artigo 30.o da Diretiva 2009/138/CE;

o

| l) | No caso dos mediadores de seguros, mediadores de resseguros e mediadores de seguros a título acessório, a autoridade competente designada nos termos do artigo 12.o da Diretiva (UE) 2016/97; |
| --- | --- |

l)

No caso dos mediadores de seguros, mediadores de resseguros e mediadores de seguros a título acessório, a autoridade competente designada nos termos do artigo 12.o da Diretiva (UE) 2016/97;

o

| m) | No caso das instituições de realização de planos de pensões profissionais, a autoridade competente designada nos termos do artigo 47.o da Diretiva (UE) 2016/2341; |
| --- | --- |

m)

No caso das instituições de realização de planos de pensões profissionais, a autoridade competente designada nos termos do artigo 47.o da Diretiva (UE) 2016/2341;

o

| n) | No caso das agências de notação de risco, a autoridade competente designada nos termos do artigo 21.o do Regulamento (CE) n.o 1060/2009; |
| --- | --- |

n)

No caso das agências de notação de risco, a autoridade competente designada nos termos do artigo 21.o do Regulamento (CE) n.o 1060/2009;

o

o

| o) | No caso dos administradores de índices de referência críticos, a autoridade competente designada nos termos dos artigos 40.o e 41.o do Regulamento (UE) 2016/1011; |
| --- | --- |

o)

No caso dos administradores de índices de referência críticos, a autoridade competente designada nos termos dos artigos 40.o e 41.o do Regulamento (UE) 2016/1011;

o

o

| p) | No caso dos prestadores de serviços de financiamento colaborativo, a autoridade competente designada nos termos do artigo 29.o do Regulamento (UE) 2020/1503; |
| --- | --- |

p)

No caso dos prestadores de serviços de financiamento colaborativo, a autoridade competente designada nos termos do artigo 29.o do Regulamento (UE) 2020/1503;

o

| q) | No caso dos repositórios de titularizações, a autoridade competente designada nos termos do artigo 10.o e do artigo 14.o, n.o 1, do Regulamento (UE) 2017/2402. |
| --- | --- |

q)

No caso dos repositórios de titularizações, a autoridade competente designada nos termos do artigo 10.o e do artigo 14.o, n.o 1, do Regulamento (UE) 2017/2402.

o

o

o

Artigo 47.o

Cooperação com as estruturas e autoridades estabelecidas pela Diretiva (UE) 2022/2555

1.   Para fomentar a cooperação e permitir intercâmbios em matéria de supervisão entre as autoridades competentes designadas nos termos do presente regulamento e o grupo de cooperação estabelecido pelo artigo 14.o da Diretiva (UE) 2022/2555, as AES e as autoridades competentes podem participar nas atividades do grupo de cooperação relativos a assuntos que digam respeito às suas atividades de supervisão em relação às entidades financeiras. As AES e as autoridades competentes podem solicitar participar nas atividades do grupo de cooperação que estejam relacionados com as entidades essenciais ou importantes abrangidas pela Diretiva (UE) 2022/2555 que também tenham sido designadas terceiros prestadores de serviços de TIC críticos nos termos do artigo 31.o do presente regulamento.

2.   Se for caso disso, as autoridades competentes podem consultar e partilhar informações com os pontos de contacto únicos e as CSIRT designados ou criados nos termos da Diretiva (UE) 2022/2555.

3.   Se for caso disso, as autoridades competentes podem solicitar qualquer aconselhamento e assistência técnica pertinentes às autoridades competentes designadas ou criadas nos termos da Diretiva (UE) 2022/2555 e estabelecer mecanismos de cooperação que permitam a criação de mecanismos de coordenação eficazes e de resposta rápida.

4.   Os mecanismos a que se refere o n.o 3 do presente artigo podem, nomeadamente, especificar os procedimentos relativos à coordenação, respetivamente, das atividades de supervisão e de superintendência, em relação a entidades essenciais ou importantes abrangidas pela Diretiva (UE) 2022/2555 que tenham sido designadas terceiros prestadores de serviços de TIC críticos nos termos do artigo 31.o do presente regulamento, inclusive no que diz respeito à realização, nos termos do direito nacional, de investigações e inspeções no local, bem como aos mecanismos de intercâmbio de informações entre as autoridades competentes ao abrigo do presente regulamento e as autoridades competentes designadas ou criadas nos termos dessa diretiva, o que inclui o acesso às informações solicitadas por essas últimas autoridades.

Artigo 48.o

Cooperação entre autoridades

1.   As autoridades competentes cooperam estreitamente entre si e, se for caso disso, com a autoridade fiscalizadora principal.

2.   As autoridades competentes e a autoridade fiscalizadora principal trocam entre si, em tempo útil, todas as informações pertinentes relativas aos terceiros prestadores de serviços de TIC críticos que lhes sejam necessárias para cumprirem as suas obrigações ao abrigo do presente regulamento, em especial no que diz respeito aos riscos identificados, às abordagens e às medidas tomadas no âmbito das atribuições de superintendência da autoridade fiscalizadora principal.

Artigo 49.o

Exercícios, comunicação e cooperação transetorial no domínio financeiro

1.   As AES, através do Comité Conjunto e em colaboração com as autoridades competentes, as autoridades de resolução a que se refere o artigo 3.o da Diretiva 2014/59/UE, o BCE, o Conselho Único de Resolução, no que respeita às informações relativas às entidades abrangidas pelo âmbito de aplicação do Regulamento (UE) n.o 806/2014, o CERS e a ENISA, conforme adequado, podem estabelecer mecanismos que permitam a partilha de práticas eficazes entre os setores financeiros, para melhorar o conhecimento da situação e identificar as vulnerabilidades e os ciber-riscos comuns entre setores.

Podem também desenvolver exercícios de gestão de crises e contingência que envolvam cenários de ciberataques com vista a desenvolver canais de comunicação e, gradualmente, permitir uma resposta coordenada eficaz a nível da UE caso ocorra um incidente de caráter severo transfronteiriço relacionado com as TIC ou caso uma ameaça conexa possa ter um impacto sistémico no setor financeiro da União no seu conjunto.

Esses exercícios podem igualmente, se for caso disso, testar as dependências do setor financeiro em relação a outros setores económicos.

2.   As autoridades competentes, as AES e o BCE cooperam estreitamente entre si e procedem ao intercâmbio de informações para efeitos do cumprimento das suas obrigações nos termos dos artigos 47.o a 54.°. As autoridades competentes coordenam estreitamente a sua supervisão de modo a identificarem e corrigirem as violações do presente regulamento, desenvolverem e promoverem as boas práticas, facilitarem a colaboração, promoverem a coerência da interpretação e facultarem avaliações transjurisdicionais em caso de diferendo.

Artigo 50.o

Sanções administrativas e medidas corretivas

1.   As autoridades competentes estão investidas de todos os poderes de supervisão, investigação e sancionatórios necessários para cumprirem as suas obrigações ao abrigo do presente regulamento.

2.   Os poderes referidos no n.o 1 incluem, pelo menos, o seguinte:

| a) | Aceder a qualquer documento ou a quaisquer dados, independentemente da respetiva forma, que a autoridade competente considere relevantes para o exercício das suas funções, e receber ou obter uma cópia dos mesmos; |
| --- | --- |

a)

Aceder a qualquer documento ou a quaisquer dados, independentemente da respetiva forma, que a autoridade competente considere relevantes para o exercício das suas funções, e receber ou obter uma cópia dos mesmos;

| b) | Realizar inspeções ou investigações no local, que incluem, nomeadamente:






  i) | convocar representantes das entidades financeiras para prestarem esclarecimentos, oralmente ou por escrito, sobre factos ou documentos relacionados com o objeto e a finalidade da investigação, e registar as suas respostas, |
| --- | --- | --- |

b)

Realizar inspeções ou investigações no local, que incluem, nomeadamente:

i)

convocar representantes das entidades financeiras para prestarem esclarecimentos, oralmente ou por escrito, sobre factos ou documentos relacionados com o objeto e a finalidade da investigação, e registar as suas respostas,

| ii) | inquirir quaisquer outras pessoas singulares ou coletivas que consintam em ser inquiridas a fim de recolher informações relacionadas com o objeto de uma investigação; |
| --- | --- |

ii)

inquirir quaisquer outras pessoas singulares ou coletivas que consintam em ser inquiridas a fim de recolher informações relacionadas com o objeto de uma investigação;

| c) | Exigir a aplicação de medidas corretivas em caso de violação dos requisitos do presente regulamento. |
| --- | --- |

c)

Exigir a aplicação de medidas corretivas em caso de violação dos requisitos do presente regulamento.

3.   Sem prejuízo do direito dos Estados-Membros a imporem sanções penais nos termos do artigo 52.o, os Estados-Membros estipulam regras que estabeleçam sanções administrativas e medidas corretivas adequadas em caso de violação do presente regulamento e asseguram a sua aplicação efetiva.

As referidas sanções ou medidas são eficazes, proporcionadas e dissuasivas.

4.   Os Estados-Membros conferem às autoridades competentes o poder para aplicar, pelo menos, as seguintes sanções administrativas e medidas corretivas em caso de violação do presente regulamento:

| a) | Emitir uma injunção que exija à pessoa singular ou coletiva que cesse a conduta que constitui uma violação do presente regulamento e se abstenha de a repetir; |
| --- | --- |

a)

Emitir uma injunção que exija à pessoa singular ou coletiva que cesse a conduta que constitui uma violação do presente regulamento e se abstenha de a repetir;

| b) | Exigir a cessação temporária ou permanente de qualquer prática ou conduta que a autoridade competente considere contrária às disposições do presente regulamento e evitar a sua repetição; |
| --- | --- |

b)

Exigir a cessação temporária ou permanente de qualquer prática ou conduta que a autoridade competente considere contrária às disposições do presente regulamento e evitar a sua repetição;

| c) | Adotar qualquer tipo de medida, nomeadamente de natureza pecuniária, que vise assegurar que as entidades financeiras continuem a cumprir os requisitos legais; |
| --- | --- |

c)

Adotar qualquer tipo de medida, nomeadamente de natureza pecuniária, que vise assegurar que as entidades financeiras continuem a cumprir os requisitos legais;

| d) | Exigir, na medida em que o direito nacional o permita, os registos existentes do tráfego de dados detidos por um operador de telecomunicações, se houver motivos razoáveis para suspeitar de uma violação do presente regulamento e se esses registos puderem ser relevantes para uma investigação dessas violações; e |
| --- | --- |

d)

Exigir, na medida em que o direito nacional o permita, os registos existentes do tráfego de dados detidos por um operador de telecomunicações, se houver motivos razoáveis para suspeitar de uma violação do presente regulamento e se esses registos puderem ser relevantes para uma investigação dessas violações; e

| e) | Emitir comunicações ao público, incluindo comunicados públicos, que indiquem a identidade da pessoa singular ou coletiva e a natureza da violação. |
| --- | --- |

e)

Emitir comunicações ao público, incluindo comunicados públicos, que indiquem a identidade da pessoa singular ou coletiva e a natureza da violação.

5.   Quando o n.o 2, alínea c), e o n.o 4 forem aplicáveis a pessoas coletivas, os Estados-Membros conferem às autoridades competentes o poder de aplicarem as sanções administrativas e medidas corretivas, sob reserva das condições estabelecidas no direito nacional, aos membros do órgão de administração e a outras pessoas que, nos termos do direito nacional, sejam responsáveis pela violação.

6.   Os Estados-Membros asseguram que qualquer decisão relativa à aplicação das sanções administrativas ou medidas corretivas estabelecidas no n.o 2, alínea c), é devidamente fundamentada e passível de recurso.

Artigo 51.o

Exercício do poder de aplicar sanções administrativas e medidas corretivas

1.   As autoridades competentes exercem os poderes para impor as sanções administrativas e as medidas corretivas a que se refere o artigo 50.o em conformidade com os respetivos regimes jurídicos nacionais, se for caso disso, da seguinte forma:

| a) | Diretamente; |
| --- | --- |

a)

Diretamente;

| b) | Em colaboração com outras autoridades; |
| --- | --- |

b)

Em colaboração com outras autoridades;

| c) | Sob a sua responsabilidade, por delegação noutras autoridades; ou |
| --- | --- |

c)

Sob a sua responsabilidade, por delegação noutras autoridades; ou

| d) | Mediante pedido dirigido às autoridades judiciais competentes. |
| --- | --- |

d)

Mediante pedido dirigido às autoridades judiciais competentes.

2.   Ao determinarem o tipo e o nível de uma sanção administrativa ou medida corretiva aplicada nos termos do artigo 50.o, as autoridades competentes têm em conta a medida em que a violação tem caráter doloso ou resulta de negligência, e todas as outras circunstâncias relevantes, incluindo, se for caso disso:

| a) | A dimensão, a gravidade e a duração da violação; |
| --- | --- |

a)

A dimensão, a gravidade e a duração da violação;

| b) | O grau de responsabilidade da pessoa singular ou coletiva responsável pela violação; |
| --- | --- |

b)

O grau de responsabilidade da pessoa singular ou coletiva responsável pela violação;

| c) | A capacidade financeira da pessoa singular ou coletiva responsável; |
| --- | --- |

c)

A capacidade financeira da pessoa singular ou coletiva responsável;

| d) | O montante dos lucros obtidos ou dos prejuízos evitados pela pessoa singular ou coletiva responsável, na medida em que possam ser determinados; |
| --- | --- |

d)

O montante dos lucros obtidos ou dos prejuízos evitados pela pessoa singular ou coletiva responsável, na medida em que possam ser determinados;

| e) | Os prejuízos causados a terceiros pela violação, na medida em que possam ser determinados; |
| --- | --- |

e)

Os prejuízos causados a terceiros pela violação, na medida em que possam ser determinados;

| f) | O nível de colaboração com a autoridade competente da pessoa singular ou coletiva responsável, sem prejuízo da necessidade de assegurar a restituição dos lucros ganhos ou das perdas evitadas por essa pessoa singular ou coletiva; |
| --- | --- |

f)

O nível de colaboração com a autoridade competente da pessoa singular ou coletiva responsável, sem prejuízo da necessidade de assegurar a restituição dos lucros ganhos ou das perdas evitadas por essa pessoa singular ou coletiva;

| g) | Anteriores violações por parte da pessoa singular ou coletiva responsável. |
| --- | --- |

g)

Anteriores violações por parte da pessoa singular ou coletiva responsável.

Artigo 52.o

Sanções penais

1.   Os Estados-Membros podem decidir não estabelecer um regime de sanções administrativas ou medidas corretivas para as violações que estejam sujeitas a sanções penais nos termos do seu direito nacional.

2.   Caso tenham decidido estabelecer sanções penais por violação do presente regulamento, os Estados-Membros asseguram a existência de medidas adequadas para que as autoridades competentes disponham de todos os poderes necessários para assegurar a ligação com as autoridades judiciais, as autoridades competentes para o exercício da ação penal ou as autoridades de justiça penal na sua jurisdição, a fim de receberem informações específicas relacionadas com as investigações ou processos penais instaurados por violação do presente regulamento, e fornecerem essas mesmas informações a outras autoridades competentes, bem como à EBA, à ESMA ou à EIOPA, em cumprimento das suas obrigações de cooperação para efeitos do presente regulamento.

Artigo 53.o

Deveres de notificação

Os Estados-Membros notificam à Comissão, à ESMA, à EBA e à EIOPA até 17 de janeiro de 2025 as disposições legislativas, regulamentares e administrativas que dão execução ao presente capítulo, incluindo quaisquer disposições de direito penal aplicáveis. Os Estados-Membros notificam à Comissão, à ESMA, à EBA e à EIOPA, sem demora injustificada, quaisquer alterações subsequentes dessas disposições.

Artigo 54.o

Publicação das sanções administrativas

1.   As autoridades competentes publicam nos respetivos sítios Web oficiais, sem demora injustificada, qualquer decisão que imponha uma sanção administrativa não passível de recurso depois de o destinatário da sanção ter sido notificado dessa decisão.

2.   A publicação a que se refere o n.o 1 inclui informações sobre o tipo e a natureza da violação, a identidade das pessoas responsáveis e as sanções aplicadas.

3.   Quando a autoridade competente, no seguimento de uma avaliação casuística, considerar que a publicação da identidade, no caso das pessoas coletivas, ou da identidade e dos dados pessoais, no caso de pessoas singulares, pode ser desproporcionada, inclusive comportando riscos no que respeita à proteção dos dados pessoais, pôr em perigo a estabilidade dos mercados financeiros ou a condução de uma investigação penal em curso, ou provocar, na medida em que estes possam ser determinados, danos desproporcionados para a pessoa envolvida, a referida autoridade adota uma das seguintes soluções em relação à decisão que impõe uma sanção administrativa:

| a) | Adiar a sua publicação até que todas as razões para a não publicação deixem de existir; |
| --- | --- |

a)

Adiar a sua publicação até que todas as razões para a não publicação deixem de existir;

| b) | Publicar a decisão numa base anónima, em conformidade com o direito nacional; ou |
| --- | --- |

b)

Publicar a decisão numa base anónima, em conformidade com o direito nacional; ou

| c) | Abster-se de publicar a decisão, quando considerar que as opções indicadas nas alíneas a) e b) são insuficientes para garantir a inexistência de perigo para a estabilidade dos mercados financeiros ou quando essa publicação não seja proporcionada à clemência da sanção imposta. |
| --- | --- |

c)

Abster-se de publicar a decisão, quando considerar que as opções indicadas nas alíneas a) e b) são insuficientes para garantir a inexistência de perigo para a estabilidade dos mercados financeiros ou quando essa publicação não seja proporcionada à clemência da sanção imposta.

4.   Caso se decida pela publicação anónima de uma sanção administrativa, nos termos do n.o 3, alínea b), é possível adiar a publicação dos dados relevantes.

5.   Caso as autoridades competentes publiquem as decisões de aplicação de sanções administrativas em instância de recurso perante as autoridades judiciais relevantes, as referidas autoridades publicam imediatamente no seu sítio Web oficial essa informação e, numa fase posterior, quaisquer informações conexas subsequentes sobre o resultado de tal recurso. É também publicada qualquer decisão judicial que anule uma decisão de aplicação de uma sanção administrativa.

6.   As autoridades competentes asseguram que todas as publicações referidas nos n.os 1 a 4 permanecem no seu sítio Web oficial apenas durante o período necessário para que o presente artigo produza efeitos. Este período não pode exceder cinco anos a contar da sua publicação.

Artigo 55.o

Segredo profissional

1.   As informações confidenciais recebidas, trocadas e transmitidas ao abrigo do presente regulamento ficam sujeitas às condições de segredo profissional estabelecidas no n.o 2.

2.   Todas as pessoas que trabalhem ou tenham trabalhado por conta de autoridades competentes nos termos do presente regulamento, ou para qualquer autoridade, empresa do mercado, pessoa singular ou coletiva na qual essas autoridades competentes tenham delegado as suas competências, incluindo os auditores ou peritos mandatados por essas autoridades, ficam sujeitas à obrigação de segredo profissional.

3.   As informações abrangidas pelo segredo profissional, incluindo o intercâmbio de informações entre as autoridades competentes ao abrigo do presente regulamento e as autoridades competentes designadas ou criadas nos termos da Diretiva (UE) 2022/2555, não podem ser comunicadas a qualquer outra pessoa ou autoridade, exceto por força de disposições do direito da União ou do direito nacional;

4.   Todas as informações trocadas entre as autoridades competentes nos termos do presente regulamento que digam respeito a condições comerciais ou operacionais ou a outros assuntos económicos ou pessoais são consideradas confidenciais e ficam sujeitas ao dever de segredo profissional, salvo se a autoridade competente declarar, no momento da sua comunicação, que a informação em causa pode ser divulgada, ou se a divulgação for necessária para efeitos de processos judiciais.

Artigo 56.o

Proteção de dados

1.   As AES e as autoridades competentes só estão autorizadas a tratar dados pessoais se tal for necessário para o exercício das obrigações e deveres que lhes incumbem por força do presente regulamento, em especial em matéria de investigação, inspeção, pedidos de informação, comunicação, publicação, avaliação, verificação, avaliação e elaboração de planos de superintendência. Os dados pessoais são tratados nos termos do Regulamento (UE) 2016/679 ou do Regulamento (UE) 2018/1725, consoante o que for aplicável.

2.   Salvo disposição em contrário noutros atos setoriais, os dados pessoais a que se refere o n.o 1 são conservados até ao cumprimento das funções de supervisão aplicáveis e, em qualquer caso, por um período máximo de 15 anos, exceto no caso de processos judiciais pendentes que exijam a conservação ulterior desses dados.

CAPÍTULO VIII

Atos delegados

Artigo 57.o

Exercício da delegação

1.   O poder de adotar atos delegados é conferido à Comissão nas condições estabelecidas no presente artigo.

2.   O poder de adotar atos delegados referido no artigo 31.o, n.o 6, e no artigo 43.o, n.o 2, é conferido à Comissão por um prazo de cinco anos a contar de 17 de janeiro de 2024. A Comissão elabora um relatório relativo à delegação de poderes pelo menos nove meses antes do final do prazo de cinco anos. A delegação de poderes é tacitamente prorrogada por períodos de igual duração, salvo se o Parlamento Europeu ou o Conselho a tal se opuserem pelo menos três meses antes do final de cada prazo.

3.   A delegação de poderes referida no artigo 31.o, n.o 6, e no artigo 43.o, n.o 2, pode ser revogada em qualquer momento pelo Parlamento Europeu ou pelo Conselho. A decisão de revogação põe termo à delegação dos poderes nela especificados. A decisão de revogação produz efeitos a partir do dia seguinte ao da sua publicação no Jornal Oficial da União Europeia ou de uma data posterior nela especificada. A decisão de revogação não afeta os atos delegados já em vigor.

4.   Antes de adotar um ato delegado, a Comissão consulta os peritos designados por cada Estado-Membro de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor.

5.   Assim que adotar um ato delegado, a Comissão notifica-o simultaneamente ao Parlamento Europeu e ao Conselho.

6.   Os atos delegados adotados nos termos do artigo 31.o, n.o 6, e do artigo 43.o, n.o 2, só entram em vigor se não tiverem sido formuladas objeções pelo Parlamento Europeu ou pelo Conselho no prazo de três meses a contar da notificação do ato ao Parlamento Europeu e ao Conselho, ou se, antes do termo desse prazo, o Parlamento Europeu e o Conselho tiverem informado a Comissão de que não têm objeções a formular. O referido prazo é prorrogável por três meses por iniciativa do Parlamento Europeu ou do Conselho.

CAPÍTULO IX

Disposições transitórias e finais

Secção I

Artigo 58.o

Cláusula de revisão

1.   Até 17 de janeiro de 2028, a Comissão, após consulta das AES e do CERS, conforme adequado, procede a uma revisão e apresenta um relatório ao Parlamento Europeu e ao Conselho, acompanhado, se necessário, de uma proposta legislativa. A revisão inclui, pelo menos, os seguintes elementos:

| a) | Os critérios aplicáveis à designação dos terceiros prestadores de serviços de TIC críticos nos termos do artigo 31.o, n.o 2; |
| --- | --- |

a)

Os critérios aplicáveis à designação dos terceiros prestadores de serviços de TIC críticos nos termos do artigo 31.o, n.o 2;

| b) | A natureza voluntária da notificação de ciberameaças significativas a que se refere o artigo 19.o; |
| --- | --- |

b)

A natureza voluntária da notificação de ciberameaças significativas a que se refere o artigo 19.o;

| c) | O regime a que se refere o artigo 31.o, n.o 12, e os poderes da autoridade fiscalizadora principal previstos no artigo 35.o, n.o 1, alínea d), subalínea iv), primeiro travessão, a fim de avaliar a eficácia dessas disposições no que diz respeito à garantia de uma superintendência eficaz dos terceiros prestadores de serviços de TIC críticos estabelecidos num país terceiro, bem como a necessidade de estabelecer uma filial na União.
  Para efeitos do primeiro parágrafo da presente alínea, a revisão inclui uma análise do regime a que se refere o artigo 31.o, n.o 12, incluindo as condições de acesso das entidades financeiras da União aos serviços de países terceiros e a disponibilidade desses serviços no mercado da União, e tem em conta a evolução dos mercados dos serviços abrangidos pelo presente regulamento, a experiência prática das entidades financeiras e das autoridades de supervisão financeira no que diz respeito, respetivamente, à aplicação e à supervisão desse regime, e eventuais desenvolvimentos pertinentes em termos de regulamentação e supervisão a nível internacional; |
| --- | --- |

c)

O regime a que se refere o artigo 31.o, n.o 12, e os poderes da autoridade fiscalizadora principal previstos no artigo 35.o, n.o 1, alínea d), subalínea iv), primeiro travessão, a fim de avaliar a eficácia dessas disposições no que diz respeito à garantia de uma superintendência eficaz dos terceiros prestadores de serviços de TIC críticos estabelecidos num país terceiro, bem como a necessidade de estabelecer uma filial na União.

Para efeitos do primeiro parágrafo da presente alínea, a revisão inclui uma análise do regime a que se refere o artigo 31.o, n.o 12, incluindo as condições de acesso das entidades financeiras da União aos serviços de países terceiros e a disponibilidade desses serviços no mercado da União, e tem em conta a evolução dos mercados dos serviços abrangidos pelo presente regulamento, a experiência prática das entidades financeiras e das autoridades de supervisão financeira no que diz respeito, respetivamente, à aplicação e à supervisão desse regime, e eventuais desenvolvimentos pertinentes em termos de regulamentação e supervisão a nível internacional;

| d) | A conveniência de incluir no âmbito de aplicação do presente regulamento as entidades financeiras referidas no artigo 2.o, n.o 3, alínea e), que recorrem a sistemas de vendas automatizados, à luz da futura evolução do mercado no que diz respeito à utilização desses sistemas; |
| --- | --- |

d)

A conveniência de incluir no âmbito de aplicação do presente regulamento as entidades financeiras referidas no artigo 2.o, n.o 3, alínea e), que recorrem a sistemas de vendas automatizados, à luz da futura evolução do mercado no que diz respeito à utilização desses sistemas;

| e) | O funcionamento e a eficácia da rede de superintendência conjunta em termos de apoio à coerência da superintendência e à eficiência do intercâmbio de informações no âmbito do quadro de superintendência. |
| --- | --- |

e)

O funcionamento e a eficácia da rede de superintendência conjunta em termos de apoio à coerência da superintendência e à eficiência do intercâmbio de informações no âmbito do quadro de superintendência.

2.   No contexto da revisão da Diretiva (UE) 2015/2366, a Comissão avalia a necessidade de aumentar a ciber-resiliência dos sistemas de pagamento e das atividades de processamento de pagamentos, bem como a conveniência de alargar o âmbito de aplicação do presente regulamento aos operadores de sistemas de pagamento e às entidades envolvidas em atividades de processamento de pagamentos. À luz dessa avaliação, a Comissão apresenta, no âmbito da revisão da Diretiva (UE) 2015/2366, um relatório ao Parlamento Europeu e ao Conselho, o mais tardar, até 17 de julho de 2023.

Com base neste relatório de revisão, e após consulta das AES, do BCE e do CERS, a Comissão pode apresentar, se for caso disso e no âmbito da proposta legislativa que possa vir a adotar nos termos do artigo 108.o, segundo parágrafo, da Diretiva (UE) 2015/2366, uma proposta destinada a assegurar que todos os operadores de sistemas de pagamento e entidades envolvidas em atividades de processamento de pagamentos sejam sujeitos a uma superintendência adequada, tendo simultaneamente em conta a superintendência dos bancos centrais.

3.   Até 17 de janeiro de 2026, a Comissão, após consulta das AES e do Comité dos Organismos Europeus de Supervisão de Auditoria, procede a uma revisão e apresenta um relatório ao Parlamento Europeu e ao Conselho, acompanhado, se necessário, de uma proposta legislativa, sobre a adequação do reforço dos requisitos aplicáveis aos revisores oficiais de contas e às sociedades de revisores oficiais de contas no que respeita à resiliência operacional digital, através da inclusão dos revisores oficiais de contas e das sociedades de revisores oficiais de contas no âmbito de aplicação do presente regulamento ou através de alterações à Diretiva 2006/43/CE do Parlamento Europeu e do Conselho (39).

Secção II

Alterações

Artigo 59.o

Alteração do Regulamento (CE) n.o 1060/2009

O Regulamento (CE) n.o 1060/2009 é alterado do seguinte modo:

o

| 1) | No anexo I, secção A, ponto 4, o primeiro parágrafo passa a ter a seguinte redação:

  «As agências de notação de risco devem aplicar procedimentos administrativos e contabilísticos corretos e mecanismos de controlo interno e procedimentos eficazes para a avaliação do risco, bem como mecanismos eficazes de controlo e salvaguarda para gerir os sistemas de TIC, de acordo com o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*1).

  (*1)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;" |
| --- | --- |

1)

No anexo I, secção A, ponto 4, o primeiro parágrafo passa a ter a seguinte redação:

«As agências de notação de risco devem aplicar procedimentos administrativos e contabilísticos corretos e mecanismos de controlo interno e procedimentos eficazes para a avaliação do risco, bem como mecanismos eficazes de controlo e salvaguarda para gerir os sistemas de TIC, de acordo com o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*1).

*1

(*1)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;"

*1

o

o

o

o

| 2) | No anexo III, o ponto 12 passa a ter a seguinte redação:






  «12. | As agências de notação de risco violam o artigo 6.o, n.o 2, em conjugação com anexo I secção A, ponto 4, se não tiverem procedimentos administrativos e contabilísticos sólidos, mecanismos de controlo interno, processos eficazes de avaliação dos riscos ou mecanismos eficazes para o controlo e a salvaguarda para gerir os sistemas de TIC, de acordo com o Regulamento (UE) 2022/2554; ou não aplicarem ou mantiverem procedimentos de tomada de decisões ou estruturas organizativas requeridos nos termos do referido ponto.» |
| --- | --- | --- |

2)

No anexo III, o ponto 12 passa a ter a seguinte redação:

«12.

As agências de notação de risco violam o artigo 6.o, n.o 2, em conjugação com anexo I secção A, ponto 4, se não tiverem procedimentos administrativos e contabilísticos sólidos, mecanismos de controlo interno, processos eficazes de avaliação dos riscos ou mecanismos eficazes para o controlo e a salvaguarda para gerir os sistemas de TIC, de acordo com o Regulamento (UE) 2022/2554; ou não aplicarem ou mantiverem procedimentos de tomada de decisões ou estruturas organizativas requeridos nos termos do referido ponto.»

o

o

Artigo 60.o

Alteração do Regulamento (UE) n.o 648/2012

O Regulamento (UE) n.o 648/2012 é alterado do seguinte modo:

o

| 1) | O artigo 26.o é alterado do seguinte modo:






  a) | O n.o 3 passa a ter a seguinte redação:

  «3.   As CCP devem manter e utilizar uma estrutura organizativa que garanta a continuidade e o correto funcionamento dos seus serviços e atividades. Para esse efeito, devem pôr em prática sistemas, recursos e procedimentos adequados e proporcionados, nomeadamente sistemas no domínio das TIC geridos nos termos do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*2).


  (*2)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;" |
| --- | --- | --- |

1)

O artigo 26.o é alterado do seguinte modo:

o

a)

O n.o 3 passa a ter a seguinte redação:

o

«3.   As CCP devem manter e utilizar uma estrutura organizativa que garanta a continuidade e o correto funcionamento dos seus serviços e atividades. Para esse efeito, devem pôr em prática sistemas, recursos e procedimentos adequados e proporcionados, nomeadamente sistemas no domínio das TIC geridos nos termos do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*2).

(*2)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;"

*2

o

o

o

o

| b) | É suprimido o n.o 6; |
| --- | --- |

b)

É suprimido o n.o 6;

o

| 2) | O artigo 34.o é alterado do seguinte modo:






  a) | O n.o 1 passa a ter a seguinte redação:

  «1.   As CCP devem estabelecer, aplicar e manter uma política adequada de continuidade das atividades e planos de recuperação em caso de catástrofe, que devem incluir uma política de continuidade das atividades no domínio das TIC e planos de resposta e recuperação em matéria de TIC elaborados e executados nos termos do Regulamento (UE) 2022/2554, destinados a assegurar a continuidade das suas funções, a recuperação atempada das operações e o cumprimento das suas obrigações.»; |
| --- | --- | --- |

2)

O artigo 34.o é alterado do seguinte modo:

o

a)

O n.o 1 passa a ter a seguinte redação:

o

«1.   As CCP devem estabelecer, aplicar e manter uma política adequada de continuidade das atividades e planos de recuperação em caso de catástrofe, que devem incluir uma política de continuidade das atividades no domínio das TIC e planos de resposta e recuperação em matéria de TIC elaborados e executados nos termos do Regulamento (UE) 2022/2554, destinados a assegurar a continuidade das suas funções, a recuperação atempada das operações e o cumprimento das suas obrigações.»;

| b) | No n.o 3, o primeiro parágrafo passa a ter a seguinte redação:

  «3.   A fim de assegurar uma aplicação coerente do presente artigo, a ESMA, após consulta dos membros do SEBC, redige projetos de normas técnicas de regulamentação destinadas a especificar o teor e os requisitos mínimos da política de continuidade das atividades e do plano de recuperação em caso de catástrofe, excluindo a política de continuidade das atividades no domínio das TIC e os planos de recuperação em caso de catástrofe no domínio das TIC.»; |
| --- | --- |

b)

No n.o 3, o primeiro parágrafo passa a ter a seguinte redação:

o

«3.   A fim de assegurar uma aplicação coerente do presente artigo, a ESMA, após consulta dos membros do SEBC, redige projetos de normas técnicas de regulamentação destinadas a especificar o teor e os requisitos mínimos da política de continuidade das atividades e do plano de recuperação em caso de catástrofe, excluindo a política de continuidade das atividades no domínio das TIC e os planos de recuperação em caso de catástrofe no domínio das TIC.»;

| 3) | No artigo 56.o, n.o 3, o primeiro parágrafo passa a ter a seguinte redação:

  «3.   A fim de assegurar uma aplicação coerente do presente artigo, a ESMA desenvolve projetos de normas técnicas de regulamentação destinadas a especificar os pormenores, que não sejam os relativos aos requisitos relacionados com a gestão do risco associado às TIC, do pedido de registo a que se refere o n.o 1.»; |
| --- | --- |

3)

No artigo 56.o, n.o 3, o primeiro parágrafo passa a ter a seguinte redação:

o

o

«3.   A fim de assegurar uma aplicação coerente do presente artigo, a ESMA desenvolve projetos de normas técnicas de regulamentação destinadas a especificar os pormenores, que não sejam os relativos aos requisitos relacionados com a gestão do risco associado às TIC, do pedido de registo a que se refere o n.o 1.»;

| 4) | No artigo 79.o, os n.os 1 e 2 passam a ter a seguinte redação:

  «1.   Os repositórios de transações devem identificar as fontes de risco operacional e limitar esse risco também através do desenvolvimento de sistemas, controlos e procedimentos adequados, incluindo sistemas de TIC geridos nos termos do Regulamento (UE) 2022/2554.


  2.   Os repositórios de transações devem estabelecer, aplicar e manter uma política adequada de continuidade das atividades e planos de recuperação em caso de catástrofe, incluindo a política de continuidade das atividades no domínio das TIC e os planos de resposta e recuperação em matéria de TIC estabelecidos nos termos do Regulamento (UE) 2022/2554, destinados a assegurar a manutenção das suas funções, a recuperação atempada das operações e o cumprimento das suas obrigações.»; |
| --- | --- |

4)

No artigo 79.o, os n.os 1 e 2 passam a ter a seguinte redação:

o

os

«1.   Os repositórios de transações devem identificar as fontes de risco operacional e limitar esse risco também através do desenvolvimento de sistemas, controlos e procedimentos adequados, incluindo sistemas de TIC geridos nos termos do Regulamento (UE) 2022/2554.

2.   Os repositórios de transações devem estabelecer, aplicar e manter uma política adequada de continuidade das atividades e planos de recuperação em caso de catástrofe, incluindo a política de continuidade das atividades no domínio das TIC e os planos de resposta e recuperação em matéria de TIC estabelecidos nos termos do Regulamento (UE) 2022/2554, destinados a assegurar a manutenção das suas funções, a recuperação atempada das operações e o cumprimento das suas obrigações.»;

| 5) | No artigo 80.o, é suprimido o n.o 1: |
| --- | --- |

5)

No artigo 80.o, é suprimido o n.o 1:

o

o

| 6) | No anexo I, a secção II é alterada do seguinte modo:






  a) | As alíneas a) e b) passam a ter a seguinte redação:






  «a) | Os repositórios de transações infringem o artigo 79.o, n.o 1, se não assegurarem a identificação das fontes de risco operacional ou a limitação desse risco através do desenvolvimento de sistemas, controlos e procedimentos adequados, incluindo sistemas de TIC geridos nos termos do Regulamento (UE) 2022/2554; |
| --- | --- | --- | --- |

6)

No anexo I, a secção II é alterada do seguinte modo:

a)

As alíneas a) e b) passam a ter a seguinte redação:

«a)

Os repositórios de transações infringem o artigo 79.o, n.o 1, se não assegurarem a identificação das fontes de risco operacional ou a limitação desse risco através do desenvolvimento de sistemas, controlos e procedimentos adequados, incluindo sistemas de TIC geridos nos termos do Regulamento (UE) 2022/2554;

o

o

| b) | Os repositórios de transações infringem o artigo 79.o, n.o 2, se não estabelecerem, aplicarem ou mantiverem uma política adequada de continuidade das atividades e planos de recuperação em caso de catástrofe estabelecidos nos termos do Regulamento (UE) 2022/2554, destinados a assegurar a manutenção das suas funções, a recuperação atempada das operações e o cumprimento das suas obrigações.»; |
| --- | --- |

b)

Os repositórios de transações infringem o artigo 79.o, n.o 2, se não estabelecerem, aplicarem ou mantiverem uma política adequada de continuidade das atividades e planos de recuperação em caso de catástrofe estabelecidos nos termos do Regulamento (UE) 2022/2554, destinados a assegurar a manutenção das suas funções, a recuperação atempada das operações e o cumprimento das suas obrigações.»;

o

o

| b) | A alínea c) é suprimida; |
| --- | --- |

b)

A alínea c) é suprimida;

| 7) | O Anexo III é alterado do seguinte modo:






  a) | A secção II é alterada do seguinte modo:






  i) | a alínea c) passa a ter a seguinte redação:






  «c) | Uma CCP de nível 2 infringe o artigo 26.o, n.o 3, se não mantiver ou utilizar uma estrutura organizativa que garanta a continuidade e o correto funcionamento dos seus serviços e das suas atividades ou se não empregar sistemas, recursos ou procedimentos adequados e proporcionados, incluindo sistemas de TIC geridos nos termos do Regulamento (UE) 2022/2554;», |
| --- | --- | --- | --- | --- |

7)

O Anexo III é alterado do seguinte modo:

a)

A secção II é alterada do seguinte modo:

i)

a alínea c) passa a ter a seguinte redação:

«c)

Uma CCP de nível 2 infringe o artigo 26.o, n.o 3, se não mantiver ou utilizar uma estrutura organizativa que garanta a continuidade e o correto funcionamento dos seus serviços e das suas atividades ou se não empregar sistemas, recursos ou procedimentos adequados e proporcionados, incluindo sistemas de TIC geridos nos termos do Regulamento (UE) 2022/2554;»,

o

o

| ii) | é suprimida a alínea f); |
| --- | --- |

ii)

é suprimida a alínea f);

| b) | Na secção III, a alínea a) passa a ter a seguinte redação:






  «a) | Uma CCP de nível 2 infringe o artigo 34.o, n.o 1, se não estabelecer, aplicar ou mantiver uma política adequada de continuidade das atividades e planos de resposta e recuperação estabelecidos nos termos do Regulamento (UE) 2022/2554, destinados a assegurar a preservação das suas funções, a recuperação atempada das operações e o cumprimento das suas obrigações, os quais devem prever, no mínimo, a recuperação de todas as transações em curso no momento da perturbação, para permitir que a CCP continue a funcionar de forma fiável e complete as liquidações nas datas previstas;». |
| --- | --- | --- |

b)

Na secção III, a alínea a) passa a ter a seguinte redação:

«a)

Uma CCP de nível 2 infringe o artigo 34.o, n.o 1, se não estabelecer, aplicar ou mantiver uma política adequada de continuidade das atividades e planos de resposta e recuperação estabelecidos nos termos do Regulamento (UE) 2022/2554, destinados a assegurar a preservação das suas funções, a recuperação atempada das operações e o cumprimento das suas obrigações, os quais devem prever, no mínimo, a recuperação de todas as transações em curso no momento da perturbação, para permitir que a CCP continue a funcionar de forma fiável e complete as liquidações nas datas previstas;».

o

o

Artigo 61.o

Alteração do Regulamento (UE) n.o 909/2014

O artigo 45.o do Regulamento (UE) n.o 909/2014 é alterado do seguinte modo:

o

o

| 1) | O n.o 1 passa a ter a seguinte redação:

  «1.   As CSD identificam as fontes de risco operacional, internas e externas, e minimizam o seu impacto também por meio de ferramentas, de processos e de políticas adequados no domínio das TIC criados e geridos nos termos do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*3), bem como por meio de quaisquer outras ferramentas, controlos e procedimentos relevantes adequados para outros tipos de risco operacional, designadamente para todos os sistemas de liquidação de valores mobiliários que gerem.


  (*3)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;" |
| --- | --- |

1)

O n.o 1 passa a ter a seguinte redação:

o

«1.   As CSD identificam as fontes de risco operacional, internas e externas, e minimizam o seu impacto também por meio de ferramentas, de processos e de políticas adequados no domínio das TIC criados e geridos nos termos do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*3), bem como por meio de quaisquer outras ferramentas, controlos e procedimentos relevantes adequados para outros tipos de risco operacional, designadamente para todos os sistemas de liquidação de valores mobiliários que gerem.

(*3)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;"

*3

o

o

o

o

| 2) | É suprimido o n.o 2; |
| --- | --- |

2)

É suprimido o n.o 2;

o

| 3) | Os n.os 3 e 4 passam a ter a seguinte redação:

  «3.   Para os serviços que prestam, bem como para cada um dos sistemas de liquidação de valores mobiliários que gerem, as CSD estabelecem, executam e mantêm uma política adequada de continuidade das atividades e planos de recuperação em caso de catástrofe, incluindo a política de continuidade das atividades no domínio das TIC e os planos de resposta e recuperação em matéria de TIC estabelecidos nos termos do Regulamento (UE) 2022/2554, a fim de assegurar a manutenção dos seus serviços, a recuperação atempada das operações e o cumprimento das obrigações da CSD em situações que representem um risco significativo de perturbação das operações.


  4.   O plano a que se refere o n.o 3 prevê a recuperação da totalidade das transações e das posições dos participantes no momento do incidente, de modo a que os participantes da CSD possam continuar a funcionar de forma segura e completar as liquidações nas datas previstas, inclusive assegurando que os sistemas de tecnologias de informação críticos possam retomar as operações a partir do momento do incidente, tal como previsto no artigo 12.o, n.os 5 e 7, do Regulamento (UE) 2022/2554.»; |
| --- | --- |

3)

Os n.os 3 e 4 passam a ter a seguinte redação:

os

«3.   Para os serviços que prestam, bem como para cada um dos sistemas de liquidação de valores mobiliários que gerem, as CSD estabelecem, executam e mantêm uma política adequada de continuidade das atividades e planos de recuperação em caso de catástrofe, incluindo a política de continuidade das atividades no domínio das TIC e os planos de resposta e recuperação em matéria de TIC estabelecidos nos termos do Regulamento (UE) 2022/2554, a fim de assegurar a manutenção dos seus serviços, a recuperação atempada das operações e o cumprimento das obrigações da CSD em situações que representem um risco significativo de perturbação das operações.

4.   O plano a que se refere o n.o 3 prevê a recuperação da totalidade das transações e das posições dos participantes no momento do incidente, de modo a que os participantes da CSD possam continuar a funcionar de forma segura e completar as liquidações nas datas previstas, inclusive assegurando que os sistemas de tecnologias de informação críticos possam retomar as operações a partir do momento do incidente, tal como previsto no artigo 12.o, n.os 5 e 7, do Regulamento (UE) 2022/2554.»;

| 4) | O n.o 6 passa a ter a seguinte redação:

  «6.   As CSD identificam, controlam e gerem os riscos que poderão representar para as suas atividades os participantes-chave nos sistemas de liquidação de valores mobiliários que gerem, bem como os prestadores de serviços e fornecedores e outras CSD ou infraestruturas de mercado. Quando tal lhes for solicitado, as CSD prestam às autoridades competentes e às autoridades relevantes informações sobre os riscos dessa natureza que tenham identificado. As CSD informam igualmente sem demora a autoridade competente e as autoridades relevantes de quaisquer incidentes operacionais, que não estejam relacionados com o risco associado às TIC, resultantes desses riscos.»; |
| --- | --- |

4)

O n.o 6 passa a ter a seguinte redação:

o

«6.   As CSD identificam, controlam e gerem os riscos que poderão representar para as suas atividades os participantes-chave nos sistemas de liquidação de valores mobiliários que gerem, bem como os prestadores de serviços e fornecedores e outras CSD ou infraestruturas de mercado. Quando tal lhes for solicitado, as CSD prestam às autoridades competentes e às autoridades relevantes informações sobre os riscos dessa natureza que tenham identificado. As CSD informam igualmente sem demora a autoridade competente e as autoridades relevantes de quaisquer incidentes operacionais, que não estejam relacionados com o risco associado às TIC, resultantes desses riscos.»;

| 5) | No n.o 7, o primeiro parágrafo passa a ter a seguinte redação:

  «7.   A ESMA elabora, em estreita cooperação com os membros do SEBC, projetos de normas técnicas de regulamentação que especifiquem os riscos operacionais a que se referem os n.os 1 e 6, que não sejam risco associado às TIC, e os métodos a utilizar para testar, tratar ou reduzir esses riscos, incluindo a política de continuidade das atividades e os planos de recuperação em caso de catástrofe a que se referem os n.os 3 e 4, bem como os métodos de avaliação dos mesmos.». |
| --- | --- |

5)

No n.o 7, o primeiro parágrafo passa a ter a seguinte redação:

o

«7.   A ESMA elabora, em estreita cooperação com os membros do SEBC, projetos de normas técnicas de regulamentação que especifiquem os riscos operacionais a que se referem os n.os 1 e 6, que não sejam risco associado às TIC, e os métodos a utilizar para testar, tratar ou reduzir esses riscos, incluindo a política de continuidade das atividades e os planos de recuperação em caso de catástrofe a que se referem os n.os 3 e 4, bem como os métodos de avaliação dos mesmos.».

Artigo 62.o

Alteração do Regulamento (UE) n.o 600/2014

O Regulamento (UE) n.o 600/2014 é alterado do seguinte modo:

o

| 1) | O artigo 27.o-G é alterado do seguinte modo:






  a) | O n.o 4 passa a ter a seguinte redação:






  «4. | Os APA cumprem os requisitos relativos à segurança dos sistemas de rede e informação estabelecidos no Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*4). |
| --- | --- | --- | --- |

1)

O artigo 27.o-G é alterado do seguinte modo:

o

a)

O n.o 4 passa a ter a seguinte redação:

o

«4.

Os APA cumprem os requisitos relativos à segurança dos sistemas de rede e informação estabelecidos no Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*4).

*4

(*4)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;"

*4

o

o

o

o

| b) | No n.o 8, a alínea c) passa a ter a seguinte redação:






  «c) | Os requisitos concretos em matéria de organização estabelecidos nos n.os 3 e 5.»; |
| --- | --- | --- |

b)

No n.o 8, a alínea c) passa a ter a seguinte redação:

o

«c)

Os requisitos concretos em matéria de organização estabelecidos nos n.os 3 e 5.»;

os

| 2) | O artigo 27.o-H é alterado do seguinte modo:






  a) | O n.o 5 passa a ter a seguinte redação:

  «5.   Os CTP cumprem os requisitos relativos à segurança dos sistemas de rede e informação estabelecidos no Regulamento (UE) 2022/2554.»; |
| --- | --- | --- |

2)

O artigo 27.o-H é alterado do seguinte modo:

o

a)

O n.o 5 passa a ter a seguinte redação:

o

«5.   Os CTP cumprem os requisitos relativos à segurança dos sistemas de rede e informação estabelecidos no Regulamento (UE) 2022/2554.»;

| b) | No n.o 8, a alínea e) passa a ter a seguinte redação:






  «e) | Os requisitos concretos em matéria de organização estabelecidos no n.o 4.»; |
| --- | --- | --- |

b)

No n.o 8, a alínea e) passa a ter a seguinte redação:

o

«e)

Os requisitos concretos em matéria de organização estabelecidos no n.o 4.»;

o

| 3) | O artigo 27.o-I é alterado do seguinte modo:






  a) | O n.o 3 passa a ter a seguinte redação:

  «3.   Os ARM cumprem os requisitos relativos à segurança dos sistemas de rede e informação estabelecidos no Regulamento (UE) 2022/2554»; |
| --- | --- | --- |

3)

O artigo 27.o-I é alterado do seguinte modo:

o

a)

O n.o 3 passa a ter a seguinte redação:

o

«3.   Os ARM cumprem os requisitos relativos à segurança dos sistemas de rede e informação estabelecidos no Regulamento (UE) 2022/2554»;

| b) | O n.o 5, alínea b), passa a ter a seguinte redação:






  «b) | Os requisitos concretos em matéria de organização estabelecidos nos n.os 2 e 4.». |
| --- | --- | --- |

b)

O n.o 5, alínea b), passa a ter a seguinte redação:

o

«b)

Os requisitos concretos em matéria de organização estabelecidos nos n.os 2 e 4.».

os

Artigo 63.o

Alteração do Regulamento (UE) 2016/1011

Ao artigo 6.o do Regulamento (UE) 2016/1011, é aditado o seguinte número:

o

| «6. | No caso dos índices de referência críticos, os administradores devem aplicar procedimentos administrativos e contabilísticos corretos e mecanismos de controlo interno e procedimentos eficazes para a avaliação do risco, bem como mecanismos eficazes de controlo e salvaguarda para gerir os sistemas de TIC, de acordo com o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*5). |
| --- | --- |

«6.

No caso dos índices de referência críticos, os administradores devem aplicar procedimentos administrativos e contabilísticos corretos e mecanismos de controlo interno e procedimentos eficazes para a avaliação do risco, bem como mecanismos eficazes de controlo e salvaguarda para gerir os sistemas de TIC, de acordo com o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*5).

*5

Artigo 64.o

Entrada em vigor e aplicação

O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Jornal Oficial da União Europeia

O presente regulamento é aplicável a partir de 17 de janeiro de 2025.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.

Feito em Estrasburgo, em 14 de dezembro de 2022.

Pelo Parlamento Europeu

A Presidente

R. METSOLA

Pelo Conselho

O Presidente

M. BEK

---

(1)  
  JO C 343 de 26.8.2021, p. 1.

1

(2)  
  JO C 155 de 30.4.2021, p. 38.

2

(3)  Posição do Parlamento Europeu de 10 de novembro de 2022 (ainda não publicada no Jornal Oficial) e decisão do Conselho de 28 de novembro de 2022.

3

(4)  Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Bancária Europeia), altera a Decisão n.o 716/2009/CE e revoga a Decisão 2009/78/CE da Comissão (JO L 331 de 15.12.2010, p. 12).

4

o

o

(5)  Regulamento (UE) n.o 1094/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Europeia dos Seguros e Pensões Complementares de Reforma), altera a Decisão n.o 716/2009/CE e revoga a Decisão 2009/79/CE da Comissão (JO L 331 de 15.12.2010, p. 48).

5

o

o

(6)  Regulamento (UE) n.o 1095/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Europeia dos Valores Mobiliários e dos Mercados), altera a Decisão n.o 716/2009/CE e revoga a Decisão 2009/77/CE da Comissão (JO L 331 de 15.12.2010, p. 84).

6

o

o

(7)  Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União (JO L 194 de 19.7.2016, p. 1).

7

(8)  Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União, que altera o Regulamento (UE) n.o 910/2014 e a Diretiva (UE) 2018/1972, e que revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (ver página 80 do presente Jornal Oficial).

8

o

(9)  Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa à resiliência das entidades críticas e que revoga a Diretiva 2008/114/CE do Conselho (ver página 164 do presente Jornal Oficial).

9

(10)  Diretiva (UE) 2016/2341 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2016, relativa às atividades e à supervisão das instituições de realização de planos de pensões profissionais (IRPPP) (JO L 354 de 23.12.2016, p. 37).

10

(11)  Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativo à ENISA (Agência da União Europeia para a Cibersegurança) e à certificação da cibersegurança das tecnologias da informação e comunicação e que revoga o Regulamento (UE) n.o 526/2013 (Regulamento Cibersegurança) (JO L 151 de 7.6.2019, p. 15).

11

o

(12)  Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho, de 25 de novembro de 2015, relativa aos serviços de pagamento no mercado interno, que altera as Diretivas 2002/65/CE, 2009/110/CE e 2013/36/UE e o Regulamento (UE) n.o 1093/2010, e que revoga a Diretiva 2007/64/CE (JO L 337 de 23.12.2015, p. 35).

12

o

(13)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

13

(14)  Diretiva 2009/110/CE do Parlamento Europeu e do Conselho, de 16 de setembro de 2009, relativa ao acesso à atividade das instituições de moeda eletrónica, ao seu exercício e à sua supervisão prudencial, que altera as Diretivas 2005/60/CE e 2006/48/CE e revoga a Diretiva 2000/46/CE (JO L 267 de 10.10.2009, p. 7).

14

(15)  Diretiva 2013/36/UE do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativa ao acesso à atividade das instituições de crédito e à supervisão prudencial das instituições de crédito, que altera a Diretiva 2002/87/CE e revoga as Diretivas 2006/48/CE e 2006/49/CE (JO L 176 de 27.6.2013, p. 338).

15

(16)  Diretiva 2011/61/UE do Parlamento Europeu e do Conselho, de 8 de junho de 2011, relativa aos gestores de fundos de investimento alternativos e que altera as Diretivas 2003/41/CE e 2009/65/CE e os Regulamentos (CE) n.o 1060/2009 e (UE) n.o 1095/2010 (JO L 174 de 1.7.2011, p. 1).

16

o

o

(17)  Diretiva 2009/138/CE do Parlamento Europeu e do Conselho, de 25 de novembro de 2009, relativa ao acesso à atividade de seguros e resseguros e ao seu exercício (Solvência II) (JO L 335 de 17.12.2009, p. 1).

17

(18)  Diretiva 2014/65/UE do Parlamento Europeu e do Conselho, de 15 de maio de 2014, relativa aos mercados de instrumentos financeiros e que altera a Diretiva 2002/92/CE e a Diretiva 2011/61/UE (JO L 173 de 12.6.2014, p. 349).

18

(19)  Regulamento (UE) n.o 1024/2013 do Conselho, de 15 de outubro de 2013, que confere ao BCE atribuições específicas no que diz respeito às políticas relativas à supervisão prudencial das instituições de crédito (JO L 287 de 29.10.2013, p. 63).

19

o

(20)  Diretiva 2014/59/UE do Parlamento Europeu e do Conselho, de 15 de maio de 2014, que estabelece um enquadramento para a recuperação e a resolução de instituições de crédito e de empresas de investimento e que altera a Diretiva 82/891/CEE do Conselho, e as Diretivas 2001/24/CE, 2002/47/CE, 2004/25/CE, 2005/56/CE, 2007/36/CE, 2011/35/UE, 2012/30/UE e 2013/36/UE e os Regulamentos (UE) n.o 1093/2010 e (UE) n.o 648/2012 do Parlamento Europeu e do Conselho (JO L 173 de 12.6.2014, p. 190).

20

o

o

(21)  Diretiva 2013/34/UE do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativa às demonstrações financeiras anuais, às demonstrações financeiras consolidadas e aos relatórios conexos de certas formas de empresas, que altera a Diretiva 2006/43/CE do Parlamento Europeu e do Conselho e revoga as Diretivas 78/660/CEE e 83/349/CEE do Conselho (JO L 182 de 29.6.2013, p. 19).

21

(22)  
  JO L 123 de 12.5.2016, p. 1.

22

(23)  Regulamento (CE) n.o 1060/2009 do Parlamento Europeu e do Conselho, de 16 de setembro de 2009, relativo às agências de notação de risco (JO L 302 de 17.11.2009, p. 1).

23

o

(24)  Regulamento (UE) n.o 648/2012 do Parlamento Europeu e do Conselho, de 4 de julho de 2012, relativo aos derivados do mercado de balcão, às contrapartes centrais e aos repositórios de transações (JO L 201 de 27.7.2012, p. 1).

24

o

(25)  Regulamento (UE) n.o 600/2014 do Parlamento Europeu e do Conselho, de 15 de maio de 2014, relativo aos mercados de instrumentos financeiros e que altera o Regulamento (UE) n.o 648/2012 (JO L 173 de 12.6.2014, p. 84).

25

o

o

(26)  Regulamento (UE) n.o 909/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à melhoria da liquidação de valores mobiliários na União Europeia e às Centrais de Valores Mobiliários (CSDs) e que altera as Diretivas 98/26/CE e 2014/65/UE e o Regulamento (UE) n.o 236/2012 (JO L 257 de 28.8.2014, p. 1).

26

o

o

(27)  Diretiva (UE) 2022/2556 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, que altera as Diretivas 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341 no que diz respeito à resiliência operacional digital do setor financeiro (ver página 153 do presente Jornal Oficial).

27

(28)  Regulamento (UE) 2016/1011 do Parlamento Europeu e do Conselho, de 8 de junho de 2016, relativo aos índices utilizados como índices de referência no quadro de instrumentos e contratos financeiros ou para aferir o desempenho de fundos de investimento e que altera as Diretivas 2008/48/CE e 2014/17/UE e o Regulamento (UE) n.o 596/2014 (JO L 171 de 29.6.2016, p. 1).

28

o

(29)  Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).

29

o

o

(30)  
  JO C 229 de 15.6.2021, p. 16.

30

(31)  Diretiva 2009/65/CE do Parlamento Europeu e do Conselho, de 13 de julho de 2009, que coordena as disposições legislativas, regulamentares e administrativas respeitantes a alguns organismos de investimento coletivo em valores mobiliários (OICVM) (JO L 302 de 17.11.2009, p. 32).

31

(32)  Regulamento (UE) n.o 575/2013 do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativo aos requisitos prudenciais para as instituições de crédito e que altera o Regulamento (UE) n.o 648/2012 (JO L 176 de 27.6.2013, p. 1).

32

o

o

(33)  Regulamento (UE) 2019/2033 do Parlamento Europeu e do Conselho, de 27 de novembro de 2019, relativo aos requisitos prudenciais aplicáveis às empresas de investimento e que altera os Regulamentos (UE) n.o 1093/2010, (UE) n.o 575/2013, (UE) n.o 600/2014 e (UE) n.o 806/2014 (JO L 314 de 5.12.2019, p. 1).

33

o

o

o

o

(34)  Diretiva (UE) 2016/97 do Parlamento Europeu e do Conselho, de 20 de janeiro de 2016, sobre a distribuição de seguros (JO L 26 de 2.2.2016, p. 19).

34

(35)  Regulamento (UE) 2020/1503 do Parlamento Europeu e do Conselho, de 7 de outubro de 2020, relativo aos prestadores europeus de serviços de financiamento colaborativo às entidades, e que altera o Regulamento (UE) 2017/1129 e a Diretiva (UE) 2019/1937 (JO L 347 de 20.10.2020, p. 1).

35

(36)  Regulamento (UE) 2017/2402 do Parlamento Europeu e do Conselho, de 12 de dezembro de 2017, que estabelece um regime geral para a titularização e cria um regime específico para a titularização simples, transparente e padronizada, e que altera as Diretivas 2009/65/CE, 2009/138/CE e 2011/61/UE e os Regulamentos (CE) n.o 1060/2009 e (UE) n.o 648/2012 (JO L 347 de 28.12.2017, p. 35).

36

o

o

(37)  Regulamento (UE) n.o 806/2014 do Parlamento Europeu e do Conselho, de 15 de julho de 2014, que estabelece regras e um procedimento uniformes para a resolução de instituições de crédito e de certas empresas de investimento no quadro de um Mecanismo Único de Resolução e de um Fundo Único de Resolução bancária e que altera o Regulamento (UE) n.o 1093/2010 (JO L 225 de 30.7.2014, p. 1).

37

o

o

(38)  Diretiva (UE) 2019/2034 do Parlamento Europeu e do Conselho, de 27 de novembro de 2019, relativa à supervisão prudencial das empresas de investimento e que altera as Diretivas 2002/87/CE, 2009/65/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE e 2014/65/UE (JO L 314 de 5.12.2019, p. 64).

38

(39)  Diretiva 2006/43/CE do Parlamento Europeu e do Conselho, de 17 de maio de 2006, relativa à revisão legal das contas anuais e consolidadas, que altera as Diretivas 78/660/CEE e 83/349/CEE do Conselho e que revoga a Diretiva 84/253/CEE do Conselho (JO L 157 de 9.6.2006, p. 87).

39

---

DIRETIVAS

| 27.12.2022 | PT | Jornal Oficial da União Europeia | L 333/80 |
| --- | --- | --- | --- |

27.12.2022

PT

Jornal Oficial da União Europeia

L 333/80

---

DIRETIVA (UE) 2022/2555 DO PARLAMENTO EUROPEU E DO CONSELHO

de 14 de dezembro de 2022

relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.o 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2)

(Texto relevante para efeitos do EEE)

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.o,

Tendo em conta a proposta da Comissão Europeia,

Após transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer do Banco Central Europeu (1),

Tendo em conta o parecer do Comité Económico e Social Europeu (2),

Após consulta ao Comité das Regiões,

Deliberando de acordo com o processo legislativo ordinário (3),

Considerando o seguinte:

| (1) | A Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (4) tinha por objetivo desenvolver as capacidades de cibersegurança em toda a União, atenuar as ameaças aos sistemas de rede e informação utilizados para prestar serviços essenciais em setores-chave e garantir a continuidade de tais serviços em face de incidentes, contribuindo assim para a segurança da União e para o eficaz funcionamento da sua economia e sociedade. |
| --- | --- |

(1)

A Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (4) tinha por objetivo desenvolver as capacidades de cibersegurança em toda a União, atenuar as ameaças aos sistemas de rede e informação utilizados para prestar serviços essenciais em setores-chave e garantir a continuidade de tais serviços em face de incidentes, contribuindo assim para a segurança da União e para o eficaz funcionamento da sua economia e sociedade.

| (2) | Desde a entrada em vigor da Diretiva (UE) 2016/1148, foram alcançados progressos significativos no sentido de aumentar a ciber-resiliência da União. A avaliação dessa diretiva revelou que esta funcionou como um catalisador para a abordagem institucional e regulamentar para a cibersegurança na União, abrindo as portas a uma mudança significativa das mentalidades. A referida diretiva assegurou a conclusão de quadros nacionais em matéria de segurança dos sistemas de rede e informação, mediante a definição de estratégias nacionais em matéria de segurança dos sistemas de rede e informação, o estabelecimento de capacidades nacionais e a aplicação de medidas regulamentares que abrangem as infraestruturas e as entidades essenciais identificadas por cada Estado-Membro. A Diretiva (UE) 2016/1148 contribuiu igualmente para a cooperação a nível da União por via da criação do grupo de cooperação e da rede de equipas nacionais de resposta a incidentes de segurança informática. Não obstante esses resultados, a avaliação da Diretiva (UE) 2016/1148 revelou deficiências intrínsecas que a impedem de responder de forma eficaz a desafios atuais e emergentes no domínio da cibersegurança. |
| --- | --- |

(2)

Desde a entrada em vigor da Diretiva (UE) 2016/1148, foram alcançados progressos significativos no sentido de aumentar a ciber-resiliência da União. A avaliação dessa diretiva revelou que esta funcionou como um catalisador para a abordagem institucional e regulamentar para a cibersegurança na União, abrindo as portas a uma mudança significativa das mentalidades. A referida diretiva assegurou a conclusão de quadros nacionais em matéria de segurança dos sistemas de rede e informação, mediante a definição de estratégias nacionais em matéria de segurança dos sistemas de rede e informação, o estabelecimento de capacidades nacionais e a aplicação de medidas regulamentares que abrangem as infraestruturas e as entidades essenciais identificadas por cada Estado-Membro. A Diretiva (UE) 2016/1148 contribuiu igualmente para a cooperação a nível da União por via da criação do grupo de cooperação e da rede de equipas nacionais de resposta a incidentes de segurança informática. Não obstante esses resultados, a avaliação da Diretiva (UE) 2016/1148 revelou deficiências intrínsecas que a impedem de responder de forma eficaz a desafios atuais e emergentes no domínio da cibersegurança.

| (3) | Com a rápida transformação digital e interligação da sociedade, nomeadamente nos intercâmbios transfronteiriços, os sistemas de rede e informação passaram a ocupar um lugar central na vida quotidiana. Essa evolução originou um alargamento do cenário de ciberameaças, criando novos desafios que exigem respostas adaptadas, coordenadas e inovadoras em todos os Estados-Membros. O número, a amplitude, a sofisticação, a frequência e o impacto dos incidentes estão a aumentar e constituem uma grave ameaça ao funcionamento dos sistemas de rede e informação. Consequentemente, os incidentes podem impedir o exercício de atividades económicas no mercado interno, gerar perdas financeiras, minar a confiança dos utilizadores e causar graves prejuízos à economia e à sociedade da União. Por conseguinte, a preparação e a eficácia no domínio da cibersegurança nunca foram tão importantes para o bom funcionamento do mercado interno como agora. Além disso, a cibersegurança é um fator essencial que permite a muitos setores críticos adotar com êxito a transformação digital e tirar pleno partido das vantagens económicas, sociais e sustentáveis da digitalização. |
| --- | --- |

(3)

Com a rápida transformação digital e interligação da sociedade, nomeadamente nos intercâmbios transfronteiriços, os sistemas de rede e informação passaram a ocupar um lugar central na vida quotidiana. Essa evolução originou um alargamento do cenário de ciberameaças, criando novos desafios que exigem respostas adaptadas, coordenadas e inovadoras em todos os Estados-Membros. O número, a amplitude, a sofisticação, a frequência e o impacto dos incidentes estão a aumentar e constituem uma grave ameaça ao funcionamento dos sistemas de rede e informação. Consequentemente, os incidentes podem impedir o exercício de atividades económicas no mercado interno, gerar perdas financeiras, minar a confiança dos utilizadores e causar graves prejuízos à economia e à sociedade da União. Por conseguinte, a preparação e a eficácia no domínio da cibersegurança nunca foram tão importantes para o bom funcionamento do mercado interno como agora. Além disso, a cibersegurança é um fator essencial que permite a muitos setores críticos adotar com êxito a transformação digital e tirar pleno partido das vantagens económicas, sociais e sustentáveis da digitalização.

| (4) | A base jurídica da Diretiva (UE) 2016/1148 é o artigo 114.o do Tratado sobre o Funcionamento da União Europeia (TFUE), cujo objetivo consiste no estabelecimento e funcionamento do mercado interno por intermédio do reforço de medidas relativas à aproximação das regras nacionais. Os requisitos de cibersegurança impostos às entidades que prestam serviços ou que exercem atividades economicamente significativas variam consideravelmente entre os Estados-Membros em termos do tipo de requisitos, do seu grau de pormenor e do método de supervisão. Essas disparidades implicam custos adicionais e criam dificuldades para as entidades que propõem bens ou serviços além-fronteiras. As diferenças ou até mesmo as contradições entre os requisitos impostos por dois Estados-Membros podem afetar substancialmente essas atividades transfronteiriças. Além disso, a eventual inadequação na conceção ou aplicação de requisitos de cibersegurança num Estado-Membro terá, provavelmente, repercussões no nível de cibersegurança de outros Estados-Membros, em especial em virtude da intensidade dos intercâmbios transfronteiriços. A avaliação da Diretiva (UE) 2016/1148 revelou grandes divergências na sua aplicação pelos Estados-Membros, nomeadamente em relação ao seu âmbito, cuja delimitação foi deixada, em larga medida, ao critério dos Estados-Membros. A Diretiva (UE) 2016/1148 também concedeu aos Estados-Membros uma margem de apreciação muito ampla relativamente à aplicação das obrigações nela estabelecidas em matéria de segurança e de notificação de incidentes. Tais obrigações foram, portanto, aplicadas de formas significativamente diferentes a nível nacional. Existem divergências semelhantes na aplicação das disposições da Diretiva (UE) 2016/1148 em matéria de supervisão e execução. |
| --- | --- |

(4)

A base jurídica da Diretiva (UE) 2016/1148 é o artigo 114.o do Tratado sobre o Funcionamento da União Europeia (TFUE), cujo objetivo consiste no estabelecimento e funcionamento do mercado interno por intermédio do reforço de medidas relativas à aproximação das regras nacionais. Os requisitos de cibersegurança impostos às entidades que prestam serviços ou que exercem atividades economicamente significativas variam consideravelmente entre os Estados-Membros em termos do tipo de requisitos, do seu grau de pormenor e do método de supervisão. Essas disparidades implicam custos adicionais e criam dificuldades para as entidades que propõem bens ou serviços além-fronteiras. As diferenças ou até mesmo as contradições entre os requisitos impostos por dois Estados-Membros podem afetar substancialmente essas atividades transfronteiriças. Além disso, a eventual inadequação na conceção ou aplicação de requisitos de cibersegurança num Estado-Membro terá, provavelmente, repercussões no nível de cibersegurança de outros Estados-Membros, em especial em virtude da intensidade dos intercâmbios transfronteiriços. A avaliação da Diretiva (UE) 2016/1148 revelou grandes divergências na sua aplicação pelos Estados-Membros, nomeadamente em relação ao seu âmbito, cuja delimitação foi deixada, em larga medida, ao critério dos Estados-Membros. A Diretiva (UE) 2016/1148 também concedeu aos Estados-Membros uma margem de apreciação muito ampla relativamente à aplicação das obrigações nela estabelecidas em matéria de segurança e de notificação de incidentes. Tais obrigações foram, portanto, aplicadas de formas significativamente diferentes a nível nacional. Existem divergências semelhantes na aplicação das disposições da Diretiva (UE) 2016/1148 em matéria de supervisão e execução.

| (5) | Todas essas divergências implicam uma fragmentação do mercado interno e podem prejudicar o seu funcionamento, afetando, em especial, a prestação transfronteiriça de serviços e o nível de ciber-resiliência devido à aplicação de uma variedade de medidas. Em última análise, essas divergências poderiam conduzir a uma maior vulnerabilidade de alguns Estados-Membros às ciberameaças, com potenciais repercussões em toda a União. A presente diretiva visa eliminar essas divergências tão profundas entre os Estados-Membros, em especial estabelecendo regras mínimas relativas ao funcionamento de um quadro regulamentar coordenado, criando mecanismos para uma cooperação eficaz entre as autoridades responsáveis em cada Estado-Membro, atualizando a lista de setores e atividades sujeitas a obrigações em matéria de cibersegurança e prevendo vias de recurso e medidas de execução eficazes que são fundamentais para a execução efetiva dessas obrigações. Por conseguinte, a Diretiva (UE) 2016/1148 deverá ser revogada e substituída pela presente diretiva. |
| --- | --- |

(5)

Todas essas divergências implicam uma fragmentação do mercado interno e podem prejudicar o seu funcionamento, afetando, em especial, a prestação transfronteiriça de serviços e o nível de ciber-resiliência devido à aplicação de uma variedade de medidas. Em última análise, essas divergências poderiam conduzir a uma maior vulnerabilidade de alguns Estados-Membros às ciberameaças, com potenciais repercussões em toda a União. A presente diretiva visa eliminar essas divergências tão profundas entre os Estados-Membros, em especial estabelecendo regras mínimas relativas ao funcionamento de um quadro regulamentar coordenado, criando mecanismos para uma cooperação eficaz entre as autoridades responsáveis em cada Estado-Membro, atualizando a lista de setores e atividades sujeitas a obrigações em matéria de cibersegurança e prevendo vias de recurso e medidas de execução eficazes que são fundamentais para a execução efetiva dessas obrigações. Por conseguinte, a Diretiva (UE) 2016/1148 deverá ser revogada e substituída pela presente diretiva.

| (6) | Com a revogação da Diretiva (UE) 2016/1148, o âmbito de aplicação por setor deverá ser alargado a uma parte mais vasta da economia a fim de assegurar uma cobertura exaustiva dos setores e serviços de importância vital para as atividades económicas e sociais fundamentais no mercado interno. Em especial, a presente diretiva tem por objetivo colmatar as lacunas da diferenciação entre operadores de serviços essenciais e prestadores de serviços digitais, que se revelou obsoleta, uma vez que não reflete a importância dos setores ou serviços para as atividades económicas e sociais no mercado interno. |
| --- | --- |

(6)

Com a revogação da Diretiva (UE) 2016/1148, o âmbito de aplicação por setor deverá ser alargado a uma parte mais vasta da economia a fim de assegurar uma cobertura exaustiva dos setores e serviços de importância vital para as atividades económicas e sociais fundamentais no mercado interno. Em especial, a presente diretiva tem por objetivo colmatar as lacunas da diferenciação entre operadores de serviços essenciais e prestadores de serviços digitais, que se revelou obsoleta, uma vez que não reflete a importância dos setores ou serviços para as atividades económicas e sociais no mercado interno.

| (7) | Nos termos da Diretiva (UE) 2016/1148, cabia aos Estados-Membros identificar as entidades que cumpriam os critérios de classificação como operadores de serviços essenciais. A fim de eliminar as profundas divergências entre os Estados-Membros nesse domínio e proporcionar a todas as entidades jurídicas pertinentes segurança jurídica no que respeita às medidas de gestão de riscos de cibersegurança e às obrigações de notificação, há que estabelecer um critério uniforme para identificar as entidades abrangidas pelo âmbito da presente diretiva. Tal critério deverá consistir na aplicação da regra da limitação com base na dimensão da empresa, nos termos da qual todas as entidades que sejam consideradas médias empresas nos termos do artigo 2.o do anexo da Recomendação 2003/361/CE da Comissão (5), ou que excedam os limiares relativos às médias empresas previstos no n.o 1 desse artigo, e que atuam nos setores e que prestam os tipos de serviços ou exerçam atividades abrangidos pela presente diretiva estão abrangidas pelo seu âmbito. Os Estados-Membros deverão igualmente prever que determinadas pequenas empresas e microempresas, na aceção do artigo 2.o, n.os 2 e 3, do referido anexo, que preencham critérios específicos indicativos de um papel fundamental para a sociedade, a economia ou para setores ou tipos de serviços específicos sejam abrangidas pelo âmbito da presente diretiva. |
| --- | --- |

(7)

Nos termos da Diretiva (UE) 2016/1148, cabia aos Estados-Membros identificar as entidades que cumpriam os critérios de classificação como operadores de serviços essenciais. A fim de eliminar as profundas divergências entre os Estados-Membros nesse domínio e proporcionar a todas as entidades jurídicas pertinentes segurança jurídica no que respeita às medidas de gestão de riscos de cibersegurança e às obrigações de notificação, há que estabelecer um critério uniforme para identificar as entidades abrangidas pelo âmbito da presente diretiva. Tal critério deverá consistir na aplicação da regra da limitação com base na dimensão da empresa, nos termos da qual todas as entidades que sejam consideradas médias empresas nos termos do artigo 2.o do anexo da Recomendação 2003/361/CE da Comissão (5), ou que excedam os limiares relativos às médias empresas previstos no n.o 1 desse artigo, e que atuam nos setores e que prestam os tipos de serviços ou exerçam atividades abrangidos pela presente diretiva estão abrangidas pelo seu âmbito. Os Estados-Membros deverão igualmente prever que determinadas pequenas empresas e microempresas, na aceção do artigo 2.o, n.os 2 e 3, do referido anexo, que preencham critérios específicos indicativos de um papel fundamental para a sociedade, a economia ou para setores ou tipos de serviços específicos sejam abrangidas pelo âmbito da presente diretiva.

| (8) | A exclusão de entidades da administração pública do âmbito da presente diretiva deverá aplicar-se às entidades cujas atividades sejam predominantemente exercidas nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a prevenção, investigação, deteção e repressão de infrações penais. No entanto, as entidades da administração pública cujas atividades estejam apenas marginalmente relacionadas com esses domínios não deverão ser excluídas do âmbito de aplicação da presente diretiva. Para efeitos da presente diretiva, não se considera que as entidades com competências regulamentares exercem atividades no domínio da aplicação da lei, pelo que não ficam excluídas com esse fundamento do âmbito de aplicação da presente diretiva. As entidades da administração pública estabelecidas em conjunto com um país terceiro em conformidade com um acordo internacional estão excluídas do âmbito de aplicação da presente diretiva. A presente diretiva não se aplica às missões diplomáticas e consulares dos Estados-Membros em países terceiros nem aos seus sistemas de rede e informação, na medida em que esses sistemas estejam localizados nas instalações da missão ou sejam explorados para utilizadores num país terceiro. |
| --- | --- |

(8)

A exclusão de entidades da administração pública do âmbito da presente diretiva deverá aplicar-se às entidades cujas atividades sejam predominantemente exercidas nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a prevenção, investigação, deteção e repressão de infrações penais. No entanto, as entidades da administração pública cujas atividades estejam apenas marginalmente relacionadas com esses domínios não deverão ser excluídas do âmbito de aplicação da presente diretiva. Para efeitos da presente diretiva, não se considera que as entidades com competências regulamentares exercem atividades no domínio da aplicação da lei, pelo que não ficam excluídas com esse fundamento do âmbito de aplicação da presente diretiva. As entidades da administração pública estabelecidas em conjunto com um país terceiro em conformidade com um acordo internacional estão excluídas do âmbito de aplicação da presente diretiva. A presente diretiva não se aplica às missões diplomáticas e consulares dos Estados-Membros em países terceiros nem aos seus sistemas de rede e informação, na medida em que esses sistemas estejam localizados nas instalações da missão ou sejam explorados para utilizadores num país terceiro.

| (9) | Os Estados-Membros deverão poder tomar as medidas necessárias para garantir a proteção dos interesses essenciais da segurança nacional, salvaguardar a ordem e a segurança públicas e permitir a prevenção, a investigação, a deteção e a repressão das infrações penais. Para o efeito, os Estados-Membros deverão poder isentar entidades específicas que exercem atividades nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo atividades relacionadas com a prevenção, investigação, deteção e repressão de infrações penais, da obrigação de cumprir certas obrigações estabelecidas na presente diretiva no que diz respeito a essas atividades. Caso uma entidade preste serviços exclusivamente a uma entidade da administração pública excluída do âmbito de aplicação da presente diretiva, os Estados-Membros deverão poder isentar essa entidade de cumprir determinadas obrigações estabelecidas na presente diretiva no que diz respeito a esses serviços. Além disso, nenhum Estado-Membro deverá ser obrigado a prestar informações cuja divulgação seja contrária aos interesses essenciais do Estado– Membro em matéria de segurança nacional, segurança pública ou defesa. Nesse contexto, deverão ser tidas em conta as regras nacionais ou da União relativas à proteção de informações classificadas, os acordos de não divulgação e os acordos de não divulgação informais, tais como o protocolo «sinalização luminosa» (do inglês, traffic light protocol). O protocolo «sinalização luminosa» deve ser entendido como um meio de fornecer informações sobre possíveis limitações à disseminação posterior de informações. É utilizado em quase todas as equipas de resposta a incidentes de segurança informática (CSIRT, do inglês, computer security incident response teams) e em alguns centros de partilha e análise de informações. |
| --- | --- |

(9)

Os Estados-Membros deverão poder tomar as medidas necessárias para garantir a proteção dos interesses essenciais da segurança nacional, salvaguardar a ordem e a segurança públicas e permitir a prevenção, a investigação, a deteção e a repressão das infrações penais. Para o efeito, os Estados-Membros deverão poder isentar entidades específicas que exercem atividades nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo atividades relacionadas com a prevenção, investigação, deteção e repressão de infrações penais, da obrigação de cumprir certas obrigações estabelecidas na presente diretiva no que diz respeito a essas atividades. Caso uma entidade preste serviços exclusivamente a uma entidade da administração pública excluída do âmbito de aplicação da presente diretiva, os Estados-Membros deverão poder isentar essa entidade de cumprir determinadas obrigações estabelecidas na presente diretiva no que diz respeito a esses serviços. Além disso, nenhum Estado-Membro deverá ser obrigado a prestar informações cuja divulgação seja contrária aos interesses essenciais do Estado– Membro em matéria de segurança nacional, segurança pública ou defesa. Nesse contexto, deverão ser tidas em conta as regras nacionais ou da União relativas à proteção de informações classificadas, os acordos de não divulgação e os acordos de não divulgação informais, tais como o protocolo «sinalização luminosa» (do inglês, traffic light protocol). O protocolo «sinalização luminosa» deve ser entendido como um meio de fornecer informações sobre possíveis limitações à disseminação posterior de informações. É utilizado em quase todas as equipas de resposta a incidentes de segurança informática (CSIRT, do inglês, computer security incident response teams) e em alguns centros de partilha e análise de informações.

| (10) | Embora a presente diretiva se aplique a entidades que exercem atividades de produção de eletricidade a partir de centrais nucleares, algumas dessas atividades podem estar ligadas à segurança nacional. Se for esse o caso, um Estado-Membro deverá poder exercer a sua responsabilidade de salvaguardar a segurança nacional no que diz respeito a essas atividades, incluindo as atividades no âmbito da cadeia de valor nuclear, em conformidade com os Tratados. |
| --- | --- |

(10)

Embora a presente diretiva se aplique a entidades que exercem atividades de produção de eletricidade a partir de centrais nucleares, algumas dessas atividades podem estar ligadas à segurança nacional. Se for esse o caso, um Estado-Membro deverá poder exercer a sua responsabilidade de salvaguardar a segurança nacional no que diz respeito a essas atividades, incluindo as atividades no âmbito da cadeia de valor nuclear, em conformidade com os Tratados.

| (11) | Algumas entidades exercem atividades no domínio da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a prevenção, a investigação, a deteção e a repressão das infrações penais, prestando simultaneamente serviços de confiança. Os prestadores de serviços de confiança abrangidos pelo âmbito de aplicação do Regulamento (UE) n.o 910/2014 do Parlamento Europeu e do Conselho (6) deverão ser abrangidos pelo âmbito de aplicação da presente diretiva, a fim de garantir o mesmo nível de requisitos de segurança e supervisão que o anteriormente estabelecido no referido regulamento a respeito dos prestadores de serviços de confiança. Em consonância com a exclusão de determinados serviços específicos do Regulamento (UE) n.o 910/2014, a presente diretiva não deverá aplicar-se à oferta de serviços de confiança utilizados exclusivamente dentro de sistemas fechados que decorram do direito nacional ou de acordos entre um grupo definido de participantes. |
| --- | --- |

(11)

Algumas entidades exercem atividades no domínio da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a prevenção, a investigação, a deteção e a repressão das infrações penais, prestando simultaneamente serviços de confiança. Os prestadores de serviços de confiança abrangidos pelo âmbito de aplicação do Regulamento (UE) n.o 910/2014 do Parlamento Europeu e do Conselho (6) deverão ser abrangidos pelo âmbito de aplicação da presente diretiva, a fim de garantir o mesmo nível de requisitos de segurança e supervisão que o anteriormente estabelecido no referido regulamento a respeito dos prestadores de serviços de confiança. Em consonância com a exclusão de determinados serviços específicos do Regulamento (UE) n.o 910/2014, a presente diretiva não deverá aplicar-se à oferta de serviços de confiança utilizados exclusivamente dentro de sistemas fechados que decorram do direito nacional ou de acordos entre um grupo definido de participantes.

| (12) | Os prestadores de serviços postais, tal como definidos na Diretiva 97/67/CE do Parlamento Europeu e do Conselho (7), incluindo os prestadores de serviços de correio, deverão ser abrangidos pela presente diretiva se realizarem, pelo menos, uma das atividades na cadeia de entrega postal, em especial recolha, triagem ou distribuição, incluindo serviços de levantamento, tendo simultaneamente em conta o grau da sua dependência dos sistemas de rede e informação. Os serviços de transporte que não sejam prestados em conjunto com uma dessas atividades deverão ser excluídos do âmbito dos serviços postais. |
| --- | --- |

(12)

Os prestadores de serviços postais, tal como definidos na Diretiva 97/67/CE do Parlamento Europeu e do Conselho (7), incluindo os prestadores de serviços de correio, deverão ser abrangidos pela presente diretiva se realizarem, pelo menos, uma das atividades na cadeia de entrega postal, em especial recolha, triagem ou distribuição, incluindo serviços de levantamento, tendo simultaneamente em conta o grau da sua dependência dos sistemas de rede e informação. Os serviços de transporte que não sejam prestados em conjunto com uma dessas atividades deverão ser excluídos do âmbito dos serviços postais.

| (13) | Tendo em conta a intensificação e a crescente sofisticação das ciberameaças, os Estados-Membros deverão procurar assegurar que as entidades excluídas do âmbito de aplicação da presente diretiva atinjam um elevado nível de cibersegurança e apoiar a aplicação de medidas equivalentes de gestão dos riscos de cibersegurança que reflitam a natureza sensível dessas entidades. |
| --- | --- |

(13)

Tendo em conta a intensificação e a crescente sofisticação das ciberameaças, os Estados-Membros deverão procurar assegurar que as entidades excluídas do âmbito de aplicação da presente diretiva atinjam um elevado nível de cibersegurança e apoiar a aplicação de medidas equivalentes de gestão dos riscos de cibersegurança que reflitam a natureza sensível dessas entidades.

| (14) | O direito da União em matéria de proteção de dados e o direito da União em matéria de privacidade são aplicáveis a qualquer tratamento de dados pessoais realizado ao abrigo da presente diretiva. Em especial, a presente diretiva não prejudica o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (8) e a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (9). Por conseguinte, a presente diretiva não deverá afetar, nomeadamente, as funções e os poderes das autoridades competentes para controlar o cumprimento do direito da União em matéria de proteção de dados e do direito da União em matéria de privacidade aplicáveis. |
| --- | --- |

(14)

O direito da União em matéria de proteção de dados e o direito da União em matéria de privacidade são aplicáveis a qualquer tratamento de dados pessoais realizado ao abrigo da presente diretiva. Em especial, a presente diretiva não prejudica o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (8) e a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (9). Por conseguinte, a presente diretiva não deverá afetar, nomeadamente, as funções e os poderes das autoridades competentes para controlar o cumprimento do direito da União em matéria de proteção de dados e do direito da União em matéria de privacidade aplicáveis.

| (15) | As entidades abrangidas pelo âmbito de aplicação da presente diretiva, para efeitos de cumprimento das obrigações relativas às medidas de gestão dos riscos de cibersegurança e à notificação, deverão ser classificadas em duas categorias, entidades essenciais e entidades importantes, refletindo a medida em que são fundamentais no que respeita ao seu setor ou ao tipo de serviço que prestam, bem como a sua dimensão. A este respeito, deverão ser tidas devidamente em conta quaisquer avaliações de risco setoriais ou orientações pertinentes emitidas pelas autoridades competentes, quando aplicável. Os regimes de supervisão e de execução aplicáveis a essas duas categorias deverão ser diferentes, a fim de garantir um equilíbrio justo entre os requisitos baseados no risco e as obrigações, por um lado, e os encargos administrativos decorrentes da supervisão do cumprimento, por outro. |
| --- | --- |

(15)

As entidades abrangidas pelo âmbito de aplicação da presente diretiva, para efeitos de cumprimento das obrigações relativas às medidas de gestão dos riscos de cibersegurança e à notificação, deverão ser classificadas em duas categorias, entidades essenciais e entidades importantes, refletindo a medida em que são fundamentais no que respeita ao seu setor ou ao tipo de serviço que prestam, bem como a sua dimensão. A este respeito, deverão ser tidas devidamente em conta quaisquer avaliações de risco setoriais ou orientações pertinentes emitidas pelas autoridades competentes, quando aplicável. Os regimes de supervisão e de execução aplicáveis a essas duas categorias deverão ser diferentes, a fim de garantir um equilíbrio justo entre os requisitos baseados no risco e as obrigações, por um lado, e os encargos administrativos decorrentes da supervisão do cumprimento, por outro.

| (16) | A fim de evitar que as entidades que têm empresas parceiras ou que são empresas associadas sejam consideradas entidades essenciais ou importantes se tal for desproporcionado, os Estados-Membros podem ter em conta o grau de independência de que goza uma entidade em relação às suas empresas parceiras ou associadas aquando da aplicação do artigo 6.o, n.o 2, do anexo da Recomendação 2003/361/CE. Em especial, os Estados-Membros podem ter em conta o facto de uma entidade ser independente das suas empresas parceiras ou associadas em termos de sistemas de rede e informação que essa entidade utiliza na prestação dos seus serviços e em termos dos serviços que presta. Nessa base, se for caso disso, os Estados-Membros podem considerar que tal entidade não é uma média empresa nos termos do artigo 2.o do anexo da Recomendação 2003/361/CE, ou não excede os limiares relativos a uma média empresa previstos no n.o 1 desse artigo, se, após ter em conta o grau de independência dessa entidade, essa entidade não teria sido considerada uma média empresa ou não teria excedido esses limiares no caso de apenas serem tidos em conta os seus próprios dados. Tal não afeta as obrigações previstas na presente diretiva para as empresas parceiras e associadas abrangidas pelo âmbito de aplicação da presente diretiva. |
| --- | --- |

(16)

A fim de evitar que as entidades que têm empresas parceiras ou que são empresas associadas sejam consideradas entidades essenciais ou importantes se tal for desproporcionado, os Estados-Membros podem ter em conta o grau de independência de que goza uma entidade em relação às suas empresas parceiras ou associadas aquando da aplicação do artigo 6.o, n.o 2, do anexo da Recomendação 2003/361/CE. Em especial, os Estados-Membros podem ter em conta o facto de uma entidade ser independente das suas empresas parceiras ou associadas em termos de sistemas de rede e informação que essa entidade utiliza na prestação dos seus serviços e em termos dos serviços que presta. Nessa base, se for caso disso, os Estados-Membros podem considerar que tal entidade não é uma média empresa nos termos do artigo 2.o do anexo da Recomendação 2003/361/CE, ou não excede os limiares relativos a uma média empresa previstos no n.o 1 desse artigo, se, após ter em conta o grau de independência dessa entidade, essa entidade não teria sido considerada uma média empresa ou não teria excedido esses limiares no caso de apenas serem tidos em conta os seus próprios dados. Tal não afeta as obrigações previstas na presente diretiva para as empresas parceiras e associadas abrangidas pelo âmbito de aplicação da presente diretiva.

| (17) | Os Estados-Membros deverão poder decidir que as entidades identificadas como operadores de serviços essenciais antes da entrada em vigor da presente diretiva, nos termos da Diretiva (UE) 2016/1148, devem ser consideradas entidades essenciais. |
| --- | --- |

(17)

Os Estados-Membros deverão poder decidir que as entidades identificadas como operadores de serviços essenciais antes da entrada em vigor da presente diretiva, nos termos da Diretiva (UE) 2016/1148, devem ser consideradas entidades essenciais.

| (18) | A fim de assegurar uma panorâmica clara das entidades abrangidas pelo âmbito de aplicação da presente diretiva, os Estados-Membros deverão estabelecer uma lista de entidades essenciais e importantes, bem como de entidades que prestam serviços de registo de nomes de domínio. Para o efeito, os Estados-Membros deverão exigir que as entidades apresentem, pelo menos, as seguintes informações às autoridades competentes, a saber, o nome, o endereço e os dados de contacto atualizados, incluindo os endereços de correio eletrónico, as gamas de endereços IP e os números de telefone da entidade e, se aplicável, o setor e subsetor pertinentes referidos nos anexos, bem como, se aplicável, uma lista dos Estados-Membros em que prestam serviços abrangidos pelo âmbito da presente diretiva. Nesse sentido, a Comissão, com a assistência da Agência da União Europeia para a Cibersegurança (ENISA), deverá fornecer, sem demora injustificada, orientações e modelos no que diz respeito às obrigações de enviar informações. A fim de facilitar a elaboração e atualização da lista de entidades essenciais e importantes, bem como de entidades que prestam serviços de registo de nomes de domínio, os Estados-Membros deverão poder estabelecer mecanismos nacionais para que as entidades se registem. Caso os registos existam a nível nacional, os Estados-Membros podem decidir quais os mecanismos adequados que permitem a identificação das entidades abrangidas pelo âmbito de aplicação da presente diretiva. |
| --- | --- |

(18)

A fim de assegurar uma panorâmica clara das entidades abrangidas pelo âmbito de aplicação da presente diretiva, os Estados-Membros deverão estabelecer uma lista de entidades essenciais e importantes, bem como de entidades que prestam serviços de registo de nomes de domínio. Para o efeito, os Estados-Membros deverão exigir que as entidades apresentem, pelo menos, as seguintes informações às autoridades competentes, a saber, o nome, o endereço e os dados de contacto atualizados, incluindo os endereços de correio eletrónico, as gamas de endereços IP e os números de telefone da entidade e, se aplicável, o setor e subsetor pertinentes referidos nos anexos, bem como, se aplicável, uma lista dos Estados-Membros em que prestam serviços abrangidos pelo âmbito da presente diretiva. Nesse sentido, a Comissão, com a assistência da Agência da União Europeia para a Cibersegurança (ENISA), deverá fornecer, sem demora injustificada, orientações e modelos no que diz respeito às obrigações de enviar informações. A fim de facilitar a elaboração e atualização da lista de entidades essenciais e importantes, bem como de entidades que prestam serviços de registo de nomes de domínio, os Estados-Membros deverão poder estabelecer mecanismos nacionais para que as entidades se registem. Caso os registos existam a nível nacional, os Estados-Membros podem decidir quais os mecanismos adequados que permitem a identificação das entidades abrangidas pelo âmbito de aplicação da presente diretiva.

| (19) | Os Estados-Membros deverão ser responsáveis por comunicar à Comissão, pelo menos, o número de entidades essenciais e importantes para cada setor e subsetor referidos nos anexos, bem como informações pertinentes sobre o número de entidades identificadas e a disposição, de entre as previstas na presente diretiva, com base na qual foram identificadas, e o tipo de serviço que prestam. Os Estados-Membros são incentivados a proceder ao intercâmbio de informações com a Comissão sobre entidades essenciais e importantes e, em caso de incidente de cibersegurança em grande escala, informações pertinentes, como o nome da entidade em causa. |
| --- | --- |

(19)

Os Estados-Membros deverão ser responsáveis por comunicar à Comissão, pelo menos, o número de entidades essenciais e importantes para cada setor e subsetor referidos nos anexos, bem como informações pertinentes sobre o número de entidades identificadas e a disposição, de entre as previstas na presente diretiva, com base na qual foram identificadas, e o tipo de serviço que prestam. Os Estados-Membros são incentivados a proceder ao intercâmbio de informações com a Comissão sobre entidades essenciais e importantes e, em caso de incidente de cibersegurança em grande escala, informações pertinentes, como o nome da entidade em causa.

| (20) | Em cooperação com o grupo de cooperação e após consulta das partes interessadas pertinentes, a Comissão deverá fornecer orientações sobre a aplicação dos critérios relativos às microempresas e às pequenas empresas para avaliar se elas são abrangidas pelo âmbito da presente diretiva. A Comissão deverá também garantir o fornecimento de orientações adequadas a todas as microempresas e pequenas empresas abrangidas pelo âmbito de aplicação da presente diretiva. A Comissão, com a assistência dos Estados-Membros, deverá colocar à disposição das microempresas e das pequenas empresas informações a este respeito. |
| --- | --- |

(20)

Em cooperação com o grupo de cooperação e após consulta das partes interessadas pertinentes, a Comissão deverá fornecer orientações sobre a aplicação dos critérios relativos às microempresas e às pequenas empresas para avaliar se elas são abrangidas pelo âmbito da presente diretiva. A Comissão deverá também garantir o fornecimento de orientações adequadas a todas as microempresas e pequenas empresas abrangidas pelo âmbito de aplicação da presente diretiva. A Comissão, com a assistência dos Estados-Membros, deverá colocar à disposição das microempresas e das pequenas empresas informações a este respeito.

| (21) | A Comissão poderá fornecer orientações para apoiar os Estados-Membros na aplicação das disposições da presente diretiva relativas ao âmbito de aplicação e na avaliação da proporcionalidade das medidas a adotar nos termos da presente diretiva, em particular no que toca a entidades com modelos de negócio ou ambientes operacionais complexos, em que uma entidade pode simultaneamente preencher os critérios atribuídos a entidades essenciais e a entidades importantes ou pode simultaneamente exercer algumas atividades abrangidas pelo âmbito de aplicação da presente diretiva e algumas atividades excluídas do mesmo. |
| --- | --- |

(21)

A Comissão poderá fornecer orientações para apoiar os Estados-Membros na aplicação das disposições da presente diretiva relativas ao âmbito de aplicação e na avaliação da proporcionalidade das medidas a adotar nos termos da presente diretiva, em particular no que toca a entidades com modelos de negócio ou ambientes operacionais complexos, em que uma entidade pode simultaneamente preencher os critérios atribuídos a entidades essenciais e a entidades importantes ou pode simultaneamente exercer algumas atividades abrangidas pelo âmbito de aplicação da presente diretiva e algumas atividades excluídas do mesmo.

| (22) | A presente diretiva estabelece a base de referência para as medidas de gestão dos riscos de cibersegurança e as obrigações de notificação nos setores abrangidos pelo respetivo âmbito de aplicação. A fim de evitar a fragmentação das disposições em matéria de cibersegurança dos atos jurídicos da União, sempre que se considerem necessários outros atos jurídicos da União setoriais relativos às medidas de gestão dos riscos de cibersegurança e às obrigações de notificação para garantir um elevado nível de cibersegurança em toda a União, a Comissão deverá avaliar se essas disposições adicionais poderão ser definidas num ato de execução nos termos da presente diretiva. Caso esses atos de execução não sejam adequados para o efeito, os atos jurídicos setoriais da União poderão contribuir para assegurar um elevado nível de cibersegurança em toda a União, tomando simultaneamente em plena consideração as especificidades e complexidades dos setores em causa. Nesse sentido, a presente diretiva não obsta à adoção de atos jurídicos setoriais adicionais da União relacionados com medidas de gestão dos riscos de cibersegurança e obrigações de notificação que tenham em devida conta a necessidade de um quadro de cibersegurança exaustivo e coerente. A presente diretiva não prejudica as atuais competências de execução atribuídas à Comissão em vários setores, incluindo transportes e energia. |
| --- | --- |

(22)

A presente diretiva estabelece a base de referência para as medidas de gestão dos riscos de cibersegurança e as obrigações de notificação nos setores abrangidos pelo respetivo âmbito de aplicação. A fim de evitar a fragmentação das disposições em matéria de cibersegurança dos atos jurídicos da União, sempre que se considerem necessários outros atos jurídicos da União setoriais relativos às medidas de gestão dos riscos de cibersegurança e às obrigações de notificação para garantir um elevado nível de cibersegurança em toda a União, a Comissão deverá avaliar se essas disposições adicionais poderão ser definidas num ato de execução nos termos da presente diretiva. Caso esses atos de execução não sejam adequados para o efeito, os atos jurídicos setoriais da União poderão contribuir para assegurar um elevado nível de cibersegurança em toda a União, tomando simultaneamente em plena consideração as especificidades e complexidades dos setores em causa. Nesse sentido, a presente diretiva não obsta à adoção de atos jurídicos setoriais adicionais da União relacionados com medidas de gestão dos riscos de cibersegurança e obrigações de notificação que tenham em devida conta a necessidade de um quadro de cibersegurança exaustivo e coerente. A presente diretiva não prejudica as atuais competências de execução atribuídas à Comissão em vários setores, incluindo transportes e energia.

| (23) | Nos casos em que um ato jurídico setorial da União inclua disposições que exijam que entidades essenciais e importantes adotem medidas de gestão dos riscos de cibersegurança ou notifiquem incidentes significativos, e, se tais exigências forem, na prática, pelo menos equivalentes às obrigações estabelecidas na presente diretiva, essas disposições, incluindo em matéria de supervisão e execução, deverão aplicar-se a essas entidades. Se um ato jurídico setorial da União não abranger todas as entidades de um setor específico abrangido pelo âmbito de aplicação da presente diretiva, as disposições pertinentes da presente diretiva deverão continuar a aplicar-se às entidades não abrangidas pelo referido ato. |
| --- | --- |

(23)

Nos casos em que um ato jurídico setorial da União inclua disposições que exijam que entidades essenciais e importantes adotem medidas de gestão dos riscos de cibersegurança ou notifiquem incidentes significativos, e, se tais exigências forem, na prática, pelo menos equivalentes às obrigações estabelecidas na presente diretiva, essas disposições, incluindo em matéria de supervisão e execução, deverão aplicar-se a essas entidades. Se um ato jurídico setorial da União não abranger todas as entidades de um setor específico abrangido pelo âmbito de aplicação da presente diretiva, as disposições pertinentes da presente diretiva deverão continuar a aplicar-se às entidades não abrangidas pelo referido ato.

| (24) | Sempre que as disposições de um ato jurídico setorial da União exijam que as entidades essenciais ou importantes cumpram obrigações de notificação que sejam pelo menos equivalentes na prática às obrigações de notificação estabelecidas na presente diretiva, deverá ser assegurada a coerência e a eficácia do tratamento das notificações de incidentes. Para o efeito, as disposições do ato jurídico setorial da União sobre a notificação de incidentes deverão proporcionar às CSIRT, às autoridades competentes ou aos pontos de contacto únicos em matéria de cibersegurança (pontos de contacto únicos) ao abrigo da presente diretiva um acesso imediato às notificações de incidentes apresentadas em conformidade com o ato jurídico setorial da União. Em especial, esse acesso imediato pode ser assegurado se as notificações de incidentes forem reencaminhadas sem demora injustificada à CSIRT, à autoridade competente ou ao ponto de contacto único nos termos da presente diretiva. Se for caso disso, os Estados-Membros deverão criar um mecanismo de comunicação automática e direta que assegure a partilha sistemática e imediata de informações com as CSIRT, as autoridades competentes ou os pontos de contacto único sobre o tratamento dessas notificações de incidentes. A fim de simplificar a comunicação de informações e de aplicar o mecanismo de comunicação automática e direta, os Estados-Membros poderão, em conformidade com o ato jurídico setorial da União, utilizar um ponto de entrada único. |
| --- | --- |

(24)

Sempre que as disposições de um ato jurídico setorial da União exijam que as entidades essenciais ou importantes cumpram obrigações de notificação que sejam pelo menos equivalentes na prática às obrigações de notificação estabelecidas na presente diretiva, deverá ser assegurada a coerência e a eficácia do tratamento das notificações de incidentes. Para o efeito, as disposições do ato jurídico setorial da União sobre a notificação de incidentes deverão proporcionar às CSIRT, às autoridades competentes ou aos pontos de contacto únicos em matéria de cibersegurança (pontos de contacto únicos) ao abrigo da presente diretiva um acesso imediato às notificações de incidentes apresentadas em conformidade com o ato jurídico setorial da União. Em especial, esse acesso imediato pode ser assegurado se as notificações de incidentes forem reencaminhadas sem demora injustificada à CSIRT, à autoridade competente ou ao ponto de contacto único nos termos da presente diretiva. Se for caso disso, os Estados-Membros deverão criar um mecanismo de comunicação automática e direta que assegure a partilha sistemática e imediata de informações com as CSIRT, as autoridades competentes ou os pontos de contacto único sobre o tratamento dessas notificações de incidentes. A fim de simplificar a comunicação de informações e de aplicar o mecanismo de comunicação automática e direta, os Estados-Membros poderão, em conformidade com o ato jurídico setorial da União, utilizar um ponto de entrada único.

| (25) | Os atos jurídicos setoriais da União que prevejam medidas de gestão dos riscos de cibersegurança ou obrigações de notificação pelo menos equivalentes às estabelecidas na presente diretiva poderão prever que as autoridades competentes ao abrigo desses atos exerçam as suas competências de supervisão e execução em relação a essas medidas ou obrigações com a assistência das autoridades competentes nos termos da presente diretiva. As autoridades competentes em causa poderão estabelecer acordos de cooperação para esse efeito. Tais acordos de cooperação poderão especificar, entre outros, os procedimentos relativos à coordenação das atividades de supervisão, incluindo os procedimentos das investigações e inspeções no local, em conformidade com o direito nacional e um mecanismo de intercâmbio de informações relevantes em matéria de supervisão e execução entre as autoridades competentes, incluindo o acesso a informações relacionadas com o ciberespaço solicitadas pelas autoridades competentes nos termos da presente diretiva. |
| --- | --- |

(25)

Os atos jurídicos setoriais da União que prevejam medidas de gestão dos riscos de cibersegurança ou obrigações de notificação pelo menos equivalentes às estabelecidas na presente diretiva poderão prever que as autoridades competentes ao abrigo desses atos exerçam as suas competências de supervisão e execução em relação a essas medidas ou obrigações com a assistência das autoridades competentes nos termos da presente diretiva. As autoridades competentes em causa poderão estabelecer acordos de cooperação para esse efeito. Tais acordos de cooperação poderão especificar, entre outros, os procedimentos relativos à coordenação das atividades de supervisão, incluindo os procedimentos das investigações e inspeções no local, em conformidade com o direito nacional e um mecanismo de intercâmbio de informações relevantes em matéria de supervisão e execução entre as autoridades competentes, incluindo o acesso a informações relacionadas com o ciberespaço solicitadas pelas autoridades competentes nos termos da presente diretiva.

| (26) | Sempre que atos jurídicos setoriais da União exijam ou proporcionem incentivos às entidades para notificarem ciberameaças significativas, os Estados-Membros deverão também incentivar a partilha de ciberameaças significativas com as CSIRT, as autoridades competentes ou os pontos de contacto únicos ao abrigo da presente diretiva, a fim de assegurar um maior nível de sensibilização desses organismos para o panorama das ciberameaças e de permitir-lhes dar resposta, de forma eficaz e atempada, caso as ciberameaças significativas se materializem. |
| --- | --- |

(26)

Sempre que atos jurídicos setoriais da União exijam ou proporcionem incentivos às entidades para notificarem ciberameaças significativas, os Estados-Membros deverão também incentivar a partilha de ciberameaças significativas com as CSIRT, as autoridades competentes ou os pontos de contacto únicos ao abrigo da presente diretiva, a fim de assegurar um maior nível de sensibilização desses organismos para o panorama das ciberameaças e de permitir-lhes dar resposta, de forma eficaz e atempada, caso as ciberameaças significativas se materializem.

| (27) | Os futuros atos jurídicos setoriais da União deverão ter devidamente em conta as definições e o quadro de supervisão e execução estabelecidos na presente diretiva. |
| --- | --- |

(27)

Os futuros atos jurídicos setoriais da União deverão ter devidamente em conta as definições e o quadro de supervisão e execução estabelecidos na presente diretiva.

| (28) | O Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (10) deverá ser considerado um ato jurídico setorial da União para efeitos da presente diretiva no que diz respeito às entidades financeiras. As disposições do Regulamento (UE) 2022/2554 relativas às medidas de gestão dos riscos no domínio das tecnologias da informação e comunicação (TIC), à gestão de incidentes relacionados com TIC e, em especial, às obrigações de notificação de incidentes de caráter severo relacionados com as TIC, bem como as relativas a testes de resiliência operacional digital, acordos de partilha de informações e riscos de terceiros no domínio das TIC, deverão ser aplicadas em vez das disposições previstas na presente diretiva. Por conseguinte, os Estados-Membros não deverão aplicar as disposições da presente diretiva em matéria de obrigações de gestão dos riscos de cibersegurança e de notificação, e em matéria de supervisão e execução, relativas às entidades financeiras abrangidas pelo Regulamento (UE) 2022/2554. Ao mesmo tempo, é importante manter uma relação sólida e o intercâmbio de informações com o setor financeiro no âmbito da presente diretiva. Para o efeito, o Regulamento (UE) 2022/2554 permite que as autoridades europeias de supervisão (AES) e as autoridades competentes ao abrigo desse regulamento participem nas atividades do grupo de cooperação, e que troquem informações e cooperem com os pontos de contacto únicos, bem como com as CSIRT e as autoridades competentes ao abrigo da presente diretiva. As autoridades competentes ao abrigo do Regulamento (UE) 2022/2554 também deverão transmitir informações pormenorizadas sobre incidentes graves relacionados com as TIC e, quando pertinente, com ciberameaças significativas às autoridades competentes, às CSIRT ou os pontos de contacto únicos nos termos da presente diretiva. Tal é possível através de um acesso imediato a notificações de incidentes e do respetivo reencaminhamento quer diretamente quer através de um ponto de entrada único. Adicionalmente, os Estados-Membros deverão continuar a incluir o setor financeiro nas respetivas estratégias de cibersegurança e as CSIRT podem contemplar o setor financeiro nas suas atividades. |
| --- | --- |

(28)

O Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (10) deverá ser considerado um ato jurídico setorial da União para efeitos da presente diretiva no que diz respeito às entidades financeiras. As disposições do Regulamento (UE) 2022/2554 relativas às medidas de gestão dos riscos no domínio das tecnologias da informação e comunicação (TIC), à gestão de incidentes relacionados com TIC e, em especial, às obrigações de notificação de incidentes de caráter severo relacionados com as TIC, bem como as relativas a testes de resiliência operacional digital, acordos de partilha de informações e riscos de terceiros no domínio das TIC, deverão ser aplicadas em vez das disposições previstas na presente diretiva. Por conseguinte, os Estados-Membros não deverão aplicar as disposições da presente diretiva em matéria de obrigações de gestão dos riscos de cibersegurança e de notificação, e em matéria de supervisão e execução, relativas às entidades financeiras abrangidas pelo Regulamento (UE) 2022/2554. Ao mesmo tempo, é importante manter uma relação sólida e o intercâmbio de informações com o setor financeiro no âmbito da presente diretiva. Para o efeito, o Regulamento (UE) 2022/2554 permite que as autoridades europeias de supervisão (AES) e as autoridades competentes ao abrigo desse regulamento participem nas atividades do grupo de cooperação, e que troquem informações e cooperem com os pontos de contacto únicos, bem como com as CSIRT e as autoridades competentes ao abrigo da presente diretiva. As autoridades competentes ao abrigo do Regulamento (UE) 2022/2554 também deverão transmitir informações pormenorizadas sobre incidentes graves relacionados com as TIC e, quando pertinente, com ciberameaças significativas às autoridades competentes, às CSIRT ou os pontos de contacto únicos nos termos da presente diretiva. Tal é possível através de um acesso imediato a notificações de incidentes e do respetivo reencaminhamento quer diretamente quer através de um ponto de entrada único. Adicionalmente, os Estados-Membros deverão continuar a incluir o setor financeiro nas respetivas estratégias de cibersegurança e as CSIRT podem contemplar o setor financeiro nas suas atividades.

| (29) | A fim de evitar lacunas ou duplicações das obrigações em matéria de cibersegurança impostas às entidades do setor da aviação, as autoridades nacionais nos termos dos Regulamentos (CE) n.o 300/2008 (11) e (UE) 2018/1139 (12) do Parlamento Europeu e do Conselho e as autoridades competentes nos termos da presente diretiva deverão cooperar na aplicação de medidas de gestão dos riscos de cibersegurança e na supervisão da conformidade dessas medidas a nível nacional. O cumprimento por uma entidade dos requisitos de segurança estabelecidos nos Regulamentos (CE) n.o 300/2008 e (UE) 2018/1139 e nos atos delegados e de execução pertinentes adotados nos termos desses regulamentos poderá ser tida em conta pelas autoridades competentes ao abrigo da presente diretiva como constituindo o cumprimento dos requisitos correspondentes estabelecidos na presente diretiva. |
| --- | --- |

(29)

A fim de evitar lacunas ou duplicações das obrigações em matéria de cibersegurança impostas às entidades do setor da aviação, as autoridades nacionais nos termos dos Regulamentos (CE) n.o 300/2008 (11) e (UE) 2018/1139 (12) do Parlamento Europeu e do Conselho e as autoridades competentes nos termos da presente diretiva deverão cooperar na aplicação de medidas de gestão dos riscos de cibersegurança e na supervisão da conformidade dessas medidas a nível nacional. O cumprimento por uma entidade dos requisitos de segurança estabelecidos nos Regulamentos (CE) n.o 300/2008 e (UE) 2018/1139 e nos atos delegados e de execução pertinentes adotados nos termos desses regulamentos poderá ser tida em conta pelas autoridades competentes ao abrigo da presente diretiva como constituindo o cumprimento dos requisitos correspondentes estabelecidos na presente diretiva.

| (30) | Tendo em conta as interligações entre a cibersegurança e a segurança física das entidades, importa assegurar uma abordagem coerente entre a Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho (13) e a presente diretiva. Para tal, as entidades identificadas como entidades críticas nos termos da Diretiva (UE) 2022/2557 deverão ser consideradas entidades essenciais no âmbito da presente diretiva. Além disso, cada Estado-Membro deverá garantir que a sua estratégia nacional em matéria de cibersegurança preveja um quadro político para o reforço da cooperação nos Estados-Membros entre as suas autoridades competentes nos termos da presente diretiva e as autoridades competentes nos termos da Diretiva (UE) 2022/2557 no contexto da partilha de informações sobre os riscos, as ciberameaças e os incidentes, bem como sobre os riscos, as ameaças e os incidentes não cibernéticos e o exercício de funções de supervisão. As autoridades competentes referidas na presente diretiva e as referidas na Diretiva (UE) 2022/2557 deverão cooperar e trocar informações, sem demora injustificada, especialmente no que respeita à identificação de entidades críticas, riscos, ciberameaças e incidentes, bem como no que respeita a riscos, ameaças e incidentes não cibernéticos que afetem entidades críticas, inclusive sobre medidas físicas e de cibersegurança adotadas por entidades críticas, bem como os resultados das atividades de supervisão realizadas em relação a essas entidades.
  Além disso, a fim de racionalizar as atividades de supervisão entre as autoridades competentes nos termos da presente diretiva e da Diretiva (UE) 2022/2557 e a fim de minimizar os encargos administrativos para as entidades em causa, essas autoridades competentes deverão procurar harmonizar os modelos de notificação de incidentes e os processos de supervisão. Se for caso disso, as autoridades competentes nos termos da Diretiva (UE) 2022/2557 deverão poder solicitar às autoridades competentes ao abrigo da presente diretiva que exerçam as suas competências de supervisão e execução em relação a uma entidade que também seja identificada como entidade crítica nos termos da Diretiva (UE) 2022/2557. As autoridades competentes nos termos da presente diretiva e as autoridades competentes nos termos da Diretiva (UE) 2022/2557 deverão, se possível em tempo real, cooperar e trocar informações para este fim. |
| --- | --- |

(30)

Tendo em conta as interligações entre a cibersegurança e a segurança física das entidades, importa assegurar uma abordagem coerente entre a Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho (13) e a presente diretiva. Para tal, as entidades identificadas como entidades críticas nos termos da Diretiva (UE) 2022/2557 deverão ser consideradas entidades essenciais no âmbito da presente diretiva. Além disso, cada Estado-Membro deverá garantir que a sua estratégia nacional em matéria de cibersegurança preveja um quadro político para o reforço da cooperação nos Estados-Membros entre as suas autoridades competentes nos termos da presente diretiva e as autoridades competentes nos termos da Diretiva (UE) 2022/2557 no contexto da partilha de informações sobre os riscos, as ciberameaças e os incidentes, bem como sobre os riscos, as ameaças e os incidentes não cibernéticos e o exercício de funções de supervisão. As autoridades competentes referidas na presente diretiva e as referidas na Diretiva (UE) 2022/2557 deverão cooperar e trocar informações, sem demora injustificada, especialmente no que respeita à identificação de entidades críticas, riscos, ciberameaças e incidentes, bem como no que respeita a riscos, ameaças e incidentes não cibernéticos que afetem entidades críticas, inclusive sobre medidas físicas e de cibersegurança adotadas por entidades críticas, bem como os resultados das atividades de supervisão realizadas em relação a essas entidades.

Além disso, a fim de racionalizar as atividades de supervisão entre as autoridades competentes nos termos da presente diretiva e da Diretiva (UE) 2022/2557 e a fim de minimizar os encargos administrativos para as entidades em causa, essas autoridades competentes deverão procurar harmonizar os modelos de notificação de incidentes e os processos de supervisão. Se for caso disso, as autoridades competentes nos termos da Diretiva (UE) 2022/2557 deverão poder solicitar às autoridades competentes ao abrigo da presente diretiva que exerçam as suas competências de supervisão e execução em relação a uma entidade que também seja identificada como entidade crítica nos termos da Diretiva (UE) 2022/2557. As autoridades competentes nos termos da presente diretiva e as autoridades competentes nos termos da Diretiva (UE) 2022/2557 deverão, se possível em tempo real, cooperar e trocar informações para este fim.

| (31) | As entidades pertencentes ao setor das infraestruturas digitais baseiam-se por natureza nos sistemas de rede e informação, pelo que as obrigações impostas a essas entidades nos termos da presente diretiva deverão atender de forma abrangente à segurança física desses sistemas, no quadro das suas medidas de gestão dos riscos de cibersegurança e das obrigações de notificação. Uma vez que essas matérias são abrangidas pela presente diretiva, as obrigações estabelecidas nos capítulos III, IV e VI da Diretiva (UE) 2022/2557 não se aplicam a tais entidades. |
| --- | --- |

(31)

As entidades pertencentes ao setor das infraestruturas digitais baseiam-se por natureza nos sistemas de rede e informação, pelo que as obrigações impostas a essas entidades nos termos da presente diretiva deverão atender de forma abrangente à segurança física desses sistemas, no quadro das suas medidas de gestão dos riscos de cibersegurança e das obrigações de notificação. Uma vez que essas matérias são abrangidas pela presente diretiva, as obrigações estabelecidas nos capítulos III, IV e VI da Diretiva (UE) 2022/2557 não se aplicam a tais entidades.

| (32) | A proteção e a conservação de um sistema de nomes de domínio (DNS, do inglês, domain name system) fiável, resiliente e seguro são fatores cruciais para manter a integridade da Internet, sendo igualmente essenciais para a continuidade e a estabilidade do seu funcionamento, das quais a sociedade e a economia digital dependem. Consequentemente, a presente diretiva deverá ser aplicável a registos de nomes de domínio de topo (TLD, do inglês top-level-domain) e a prestadores de serviços de DNS que devem ser entendidos como entidades que prestam serviços de resolução recursiva de nomes de domínio disponíveis ao público para utilizadores finais de Internet ou serviços de resolução com autoridade para nomes de domínio para utilização de terceiros. A presente diretiva não deverá ser aplicável a servidores de nomes raiz. |
| --- | --- |

(32)

A proteção e a conservação de um sistema de nomes de domínio (DNS, do inglês, domain name system) fiável, resiliente e seguro são fatores cruciais para manter a integridade da Internet, sendo igualmente essenciais para a continuidade e a estabilidade do seu funcionamento, das quais a sociedade e a economia digital dependem. Consequentemente, a presente diretiva deverá ser aplicável a registos de nomes de domínio de topo (TLD, do inglês top-level-domain) e a prestadores de serviços de DNS que devem ser entendidos como entidades que prestam serviços de resolução recursiva de nomes de domínio disponíveis ao público para utilizadores finais de Internet ou serviços de resolução com autoridade para nomes de domínio para utilização de terceiros. A presente diretiva não deverá ser aplicável a servidores de nomes raiz.

| (33) | Os serviços de computação em nuvem deverão abranger serviços digitais que permitam a administração a pedido e um amplo acesso remoto a um conjunto modulável e adaptável de recursos de computação partilháveis, inclusive quando esses recursos são distribuídos por várias localizações. Os recursos de computação incluem redes, servidores ou outras infraestruturas, sistemas operativos, software, armazenamento, aplicações e serviços. Os modelos de serviço de computação em nuvem incluem, entre outras, as infraestruturas como serviço (IaaS, do inglês Infrastructure as a Service), a plataforma como serviço (PaaS, do inglês Platform as a Service), o software como serviço (SaaS, do inglês Software as a Service) e a rede como serviço (NaaS, do inglês Network as a Service). Os modelos de implantação da computação em nuvem deverão incluir soluções de nuvem privada, comunitária, pública e híbrida. Os serviços e os modelos de implantação de computação em nuvem têm o mesmo significado que as condições de serviço e os modelos de implantação definidos na norma ISO/IEC 17788:2014. A possibilidade de o utilizador de serviços de computação em nuvem gerir autónoma e unilateralmente as capacidades de computação, como o tempo de acesso ao servidor ou o armazenamento em rede, sem qualquer interação humana do prestador do serviço de computação em nuvem, pode ser descrita como administração a pedido.
  O termo «amplo acesso remoto» é utilizado para descrever o facto de as capacidades de computação em nuvem serem disponibilizadas através da rede e acedidas através de mecanismos que promovem a utilização de diferentes plataformas para clientes «magros» (thin client) ou «gordos» (thick client), nomeadamente telemóveis, tabletes, computadores portáteis e estações de trabalho. O termo «modulável» refere-se a recursos de computação atribuídos de forma flexível pelo prestador de serviços de computação em nuvem, independentemente da localização geográfica dos recursos, a fim de fazer face às flutuações da procura. O termo «conjunto adaptável» é utilizado para descrever os recursos de computação fornecidos e libertados em função da procura, a fim de aumentar ou diminuir rapidamente os recursos disponíveis, consoante o volume de trabalho. O termo «partilhável» é utilizado para descrever os recursos de computação fornecidos a múltiplos utilizadores que partilham um acesso comum ao serviço, mas cujo processamento é efetuado separadamente para cada utilizador, embora o serviço seja prestado a partir do mesmo equipamento eletrónico. O termo «distribuído» é utilizado para descrever os recursos de computação localizados em diferentes computadores ou dispositivos ligados em rede, que comunicam e se coordenam entre si por via da transmissão de mensagens. |
| --- | --- |

(33)

Os serviços de computação em nuvem deverão abranger serviços digitais que permitam a administração a pedido e um amplo acesso remoto a um conjunto modulável e adaptável de recursos de computação partilháveis, inclusive quando esses recursos são distribuídos por várias localizações. Os recursos de computação incluem redes, servidores ou outras infraestruturas, sistemas operativos, software, armazenamento, aplicações e serviços. Os modelos de serviço de computação em nuvem incluem, entre outras, as infraestruturas como serviço (IaaS, do inglês Infrastructure as a Service), a plataforma como serviço (PaaS, do inglês Platform as a Service), o software como serviço (SaaS, do inglês Software as a Service) e a rede como serviço (NaaS, do inglês Network as a Service). Os modelos de implantação da computação em nuvem deverão incluir soluções de nuvem privada, comunitária, pública e híbrida. Os serviços e os modelos de implantação de computação em nuvem têm o mesmo significado que as condições de serviço e os modelos de implantação definidos na norma ISO/IEC 17788:2014. A possibilidade de o utilizador de serviços de computação em nuvem gerir autónoma e unilateralmente as capacidades de computação, como o tempo de acesso ao servidor ou o armazenamento em rede, sem qualquer interação humana do prestador do serviço de computação em nuvem, pode ser descrita como administração a pedido.

O termo «amplo acesso remoto» é utilizado para descrever o facto de as capacidades de computação em nuvem serem disponibilizadas através da rede e acedidas através de mecanismos que promovem a utilização de diferentes plataformas para clientes «magros» (thin client) ou «gordos» (thick client), nomeadamente telemóveis, tabletes, computadores portáteis e estações de trabalho. O termo «modulável» refere-se a recursos de computação atribuídos de forma flexível pelo prestador de serviços de computação em nuvem, independentemente da localização geográfica dos recursos, a fim de fazer face às flutuações da procura. O termo «conjunto adaptável» é utilizado para descrever os recursos de computação fornecidos e libertados em função da procura, a fim de aumentar ou diminuir rapidamente os recursos disponíveis, consoante o volume de trabalho. O termo «partilhável» é utilizado para descrever os recursos de computação fornecidos a múltiplos utilizadores que partilham um acesso comum ao serviço, mas cujo processamento é efetuado separadamente para cada utilizador, embora o serviço seja prestado a partir do mesmo equipamento eletrónico. O termo «distribuído» é utilizado para descrever os recursos de computação localizados em diferentes computadores ou dispositivos ligados em rede, que comunicam e se coordenam entre si por via da transmissão de mensagens.

| (34) | Dada a emergência de tecnologias inovadoras e de novos modelos de negócio, espera-se que surjam novos serviços e modelos de implantação da computação em nuvem no mercado interno em resposta à evolução das necessidades dos consumidores. Nesse contexto, os serviços de computação em nuvem poderão ser prestados sob uma forma altamente distribuída, ainda mais próxima do ponto de geração ou recolha dos dados, substituindo assim o modelo tradicional por um modelo altamente distribuído (a denominada «computação periférica»). |
| --- | --- |

(34)

Dada a emergência de tecnologias inovadoras e de novos modelos de negócio, espera-se que surjam novos serviços e modelos de implantação da computação em nuvem no mercado interno em resposta à evolução das necessidades dos consumidores. Nesse contexto, os serviços de computação em nuvem poderão ser prestados sob uma forma altamente distribuída, ainda mais próxima do ponto de geração ou recolha dos dados, substituindo assim o modelo tradicional por um modelo altamente distribuído (a denominada «computação periférica»).

| (35) | Os serviços oferecidos por prestadores de serviços de centro de dados nem sempre serão prestados sob a forma de um serviço de computação em nuvem. Consequentemente, os centros de dados nem sempre farão parte de uma infraestrutura de computação em nuvem. A fim de gerir todos os riscos que se colocam à segurança dos sistemas de rede e informação, a presente diretiva, por conseguinte, deverá abranger os prestadores de serviços de centro de dados que não sejam serviços de computação em nuvem. Para efeitos da presente diretiva, o termo «serviço de centro de dados» deverá abranger a prestação de um serviço que englobe estruturas ou grupos de estruturas dedicados ao alojamento, à interligação e à operação centralizadas de equipamento de redes e tecnologias da informação (TI) que preste serviços de armazenamento, tratamento e transmissão de dados, juntamente com todas as instalações e infraestruturas de distribuição de energia e controlo ambiental. O termo «serviço de centro de dados» não se deverá aplicar aos centros de dados internos das empresas, detidos e geridos pela entidade em causa, para os seus próprios fins. |
| --- | --- |

(35)

Os serviços oferecidos por prestadores de serviços de centro de dados nem sempre serão prestados sob a forma de um serviço de computação em nuvem. Consequentemente, os centros de dados nem sempre farão parte de uma infraestrutura de computação em nuvem. A fim de gerir todos os riscos que se colocam à segurança dos sistemas de rede e informação, a presente diretiva, por conseguinte, deverá abranger os prestadores de serviços de centro de dados que não sejam serviços de computação em nuvem. Para efeitos da presente diretiva, o termo «serviço de centro de dados» deverá abranger a prestação de um serviço que englobe estruturas ou grupos de estruturas dedicados ao alojamento, à interligação e à operação centralizadas de equipamento de redes e tecnologias da informação (TI) que preste serviços de armazenamento, tratamento e transmissão de dados, juntamente com todas as instalações e infraestruturas de distribuição de energia e controlo ambiental. O termo «serviço de centro de dados» não se deverá aplicar aos centros de dados internos das empresas, detidos e geridos pela entidade em causa, para os seus próprios fins.

| (36) | As atividades de investigação desempenham um papel fundamental no desenvolvimento de novos produtos e processos. Muitas dessas atividades são realizadas por entidades que partilham, divulgam ou exploram os resultados da sua investigação para fins comerciais. Por conseguinte, essas entidades podem ser intervenientes importantes nas cadeias de valor, pelo que a segurança dos seus sistemas de rede e informação faz parte integrante da cibersegurança global do mercado interno. Os organismos de investigação deverão ser entendidos como entidades que concentram a parte essencial das suas atividades na realização de investigação aplicada ou no desenvolvimento experimental, na aceção do Manual de Frascati 2015 da Organização de Cooperação e de Desenvolvimento Económicos: Orientações para a recolha e comunicação de dados sobre a investigação e o desenvolvimento experimental, com vista a explorar os seus resultados para fins comerciais, como o fabrico ou o desenvolvimento de um produto ou processo, ou a prestação de um serviço, ou a respetiva comercialização. |
| --- | --- |

(36)

As atividades de investigação desempenham um papel fundamental no desenvolvimento de novos produtos e processos. Muitas dessas atividades são realizadas por entidades que partilham, divulgam ou exploram os resultados da sua investigação para fins comerciais. Por conseguinte, essas entidades podem ser intervenientes importantes nas cadeias de valor, pelo que a segurança dos seus sistemas de rede e informação faz parte integrante da cibersegurança global do mercado interno. Os organismos de investigação deverão ser entendidos como entidades que concentram a parte essencial das suas atividades na realização de investigação aplicada ou no desenvolvimento experimental, na aceção do Manual de Frascati 2015 da Organização de Cooperação e de Desenvolvimento Económicos: Orientações para a recolha e comunicação de dados sobre a investigação e o desenvolvimento experimental, com vista a explorar os seus resultados para fins comerciais, como o fabrico ou o desenvolvimento de um produto ou processo, ou a prestação de um serviço, ou a respetiva comercialização.

| (37) | As crescentes interdependências resultam de uma rede de prestação de serviços com um caráter cada vez mais transfronteiriço e interdependente, que utiliza infraestruturas essenciais em toda a União em setores como o da energia, dos transportes, das infraestruturas digitais, da água potável e das águas residuais, da saúde, de certos aspetos da administração pública, bem como no setor do espaço no que se refere à prestação de certos serviços que dependem de infraestruturas terrestres detidas, geridas e operadas por Estados-Membros ou por entidades privadas, não abrangendo, portanto, as infraestruturas detidas, geridas ou operadas pela União ou em seu nome no âmbito do seu programa espacial. Em virtude dessas interdependências, qualquer perturbação, mesmo que inicialmente confinada a uma entidade ou a um setor, pode ter repercussões mais vastas e causar impactos negativos generalizados e duradouros na prestação de serviços em todo o mercado interno. A intensificação dos ciberataques durante a pandemia de COVID-19 revelou a vulnerabilidade das nossas sociedades, cada vez mais interdependentes perante riscos com baixa probabilidade de ocorrência. |
| --- | --- |

(37)

As crescentes interdependências resultam de uma rede de prestação de serviços com um caráter cada vez mais transfronteiriço e interdependente, que utiliza infraestruturas essenciais em toda a União em setores como o da energia, dos transportes, das infraestruturas digitais, da água potável e das águas residuais, da saúde, de certos aspetos da administração pública, bem como no setor do espaço no que se refere à prestação de certos serviços que dependem de infraestruturas terrestres detidas, geridas e operadas por Estados-Membros ou por entidades privadas, não abrangendo, portanto, as infraestruturas detidas, geridas ou operadas pela União ou em seu nome no âmbito do seu programa espacial. Em virtude dessas interdependências, qualquer perturbação, mesmo que inicialmente confinada a uma entidade ou a um setor, pode ter repercussões mais vastas e causar impactos negativos generalizados e duradouros na prestação de serviços em todo o mercado interno. A intensificação dos ciberataques durante a pandemia de COVID-19 revelou a vulnerabilidade das nossas sociedades, cada vez mais interdependentes perante riscos com baixa probabilidade de ocorrência.

| (38) | Tendo em conta as diferenças nas estruturas governativas nacionais, e a fim de salvaguardar os acordos setoriais já existentes ou os organismos de supervisão e regulação da União, os Estados-Membros deverão poder designar ou estabelecer uma ou mais autoridades competentes responsáveis pela cibersegurança e pelas funções de supervisão nos termos da presente diretiva. |
| --- | --- |

(38)

Tendo em conta as diferenças nas estruturas governativas nacionais, e a fim de salvaguardar os acordos setoriais já existentes ou os organismos de supervisão e regulação da União, os Estados-Membros deverão poder designar ou estabelecer uma ou mais autoridades competentes responsáveis pela cibersegurança e pelas funções de supervisão nos termos da presente diretiva.

| (39) | A fim de facilitar a cooperação e a comunicação transfronteiriça entre as autoridades e permitir a aplicação eficaz da presente diretiva, é necessário que cada Estado-Membro designe um ponto de contacto único responsável pela coordenação das questões relativas à segurança dos sistemas de rede e informação e pela cooperação transfronteiriça a nível da União. |
| --- | --- |

(39)

A fim de facilitar a cooperação e a comunicação transfronteiriça entre as autoridades e permitir a aplicação eficaz da presente diretiva, é necessário que cada Estado-Membro designe um ponto de contacto único responsável pela coordenação das questões relativas à segurança dos sistemas de rede e informação e pela cooperação transfronteiriça a nível da União.

| (40) | Os pontos de contacto únicos deverão assegurar uma cooperação transfronteiriça eficaz com as autoridades competentes de outros Estados-Membros e, se for caso disso, com a Comissão e a ENISA. Os pontos de contacto únicos, por conseguinte, deverão ser incumbidos do reencaminhamento das notificações de incidentes significativos com impacto transfronteiriço para os pontos de contacto únicos de outros Estados-Membros afetados, a pedido da CSIRT ou da autoridade competente. A nível nacional, os pontos de contacto únicos deverão permitir uma cooperação transetorial harmoniosa com outras autoridades competentes. Os pontos de contacto únicos poderão ser também os destinatários de informações sobre incidentes respeitantes a entidades do setor financeiro fornecidas pelas autoridades competentes nos termos do Regulamento (UE) 2022/2554, informações essas que deverão poder transmitir, conforme adequado, às CSIRT ou às autoridades competentes nos termos da presente diretiva. |
| --- | --- |

(40)

Os pontos de contacto únicos deverão assegurar uma cooperação transfronteiriça eficaz com as autoridades competentes de outros Estados-Membros e, se for caso disso, com a Comissão e a ENISA. Os pontos de contacto únicos, por conseguinte, deverão ser incumbidos do reencaminhamento das notificações de incidentes significativos com impacto transfronteiriço para os pontos de contacto únicos de outros Estados-Membros afetados, a pedido da CSIRT ou da autoridade competente. A nível nacional, os pontos de contacto únicos deverão permitir uma cooperação transetorial harmoniosa com outras autoridades competentes. Os pontos de contacto únicos poderão ser também os destinatários de informações sobre incidentes respeitantes a entidades do setor financeiro fornecidas pelas autoridades competentes nos termos do Regulamento (UE) 2022/2554, informações essas que deverão poder transmitir, conforme adequado, às CSIRT ou às autoridades competentes nos termos da presente diretiva.

| (41) | Os Estados-Membros deverão estar adequadamente equipados, em termos de capacidade técnica e organizativa, para evitar, detetar, enfrentar e atenuar os incidentes e os riscos. Por conseguinte, deverão criar ou designar uma ou mais CSIRT ao abrigo da presente diretiva e assegurar que estas dispõem dos recursos e capacidades técnicas adequados. As CSIRT deverão preencher os requisitos estabelecidos na presente diretiva para garantir capacidades efetivas e compatíveis para fazer face aos incidentes e aos riscos e para assegurar uma cooperação eficaz a nível da União. Os Estados-Membros deverão poder designar como CSIRT equipas de resposta a emergências informáticas (CERT, do inglês computer emergency response teams) existentes. No intuito de melhorar a relação de confiança entre as entidades e as CSIRT, se uma autoridade competente dispuser de uma CSIRT, os Estados-Membros deverão poder ponderar a separação funcional entre as funções operacionais desempenhadas pelas CSIRT, especialmente no que respeita à partilha de informações e à assistência prestada às entidades, e as atividades de supervisão das autoridades competentes. |
| --- | --- |

(41)

Os Estados-Membros deverão estar adequadamente equipados, em termos de capacidade técnica e organizativa, para evitar, detetar, enfrentar e atenuar os incidentes e os riscos. Por conseguinte, deverão criar ou designar uma ou mais CSIRT ao abrigo da presente diretiva e assegurar que estas dispõem dos recursos e capacidades técnicas adequados. As CSIRT deverão preencher os requisitos estabelecidos na presente diretiva para garantir capacidades efetivas e compatíveis para fazer face aos incidentes e aos riscos e para assegurar uma cooperação eficaz a nível da União. Os Estados-Membros deverão poder designar como CSIRT equipas de resposta a emergências informáticas (CERT, do inglês computer emergency response teams) existentes. No intuito de melhorar a relação de confiança entre as entidades e as CSIRT, se uma autoridade competente dispuser de uma CSIRT, os Estados-Membros deverão poder ponderar a separação funcional entre as funções operacionais desempenhadas pelas CSIRT, especialmente no que respeita à partilha de informações e à assistência prestada às entidades, e as atividades de supervisão das autoridades competentes.

| (42) | As CSIRT são responsáveis pelo tratamento de incidentes. Tal inclui o tratamento de grandes volumes de dados por vezes sensíveis. Os Estados-Membros deverão assegurar que as CSIRT disponham de uma infraestrutura para a partilha e o tratamento de informações, bem como de pessoal bem equipado, que garanta a confidencialidade e a fiabilidade das suas operações. As CSIRT podem igualmente adotar códigos de conduta a este respeito. |
| --- | --- |

(42)

As CSIRT são responsáveis pelo tratamento de incidentes. Tal inclui o tratamento de grandes volumes de dados por vezes sensíveis. Os Estados-Membros deverão assegurar que as CSIRT disponham de uma infraestrutura para a partilha e o tratamento de informações, bem como de pessoal bem equipado, que garanta a confidencialidade e a fiabilidade das suas operações. As CSIRT podem igualmente adotar códigos de conduta a este respeito.

| (43) | No que respeita a dados pessoais, as CSIRT deverão poder facultar, em conformidade com o Regulamento (UE) 2016/679, a pedido de uma entidade essencial ou importante, uma análise proativa dos sistemas de rede e informação utilizados para prestarem os serviços da entidade. Se aplicável, os Estados-Membros deverão procurar garantir que todas as CSIRT setoriais possuam o mesmo nível de capacidades técnicas. Os Estados-Membros devem poder solicitar a assistência da ENISA na criação das suas CSIRT. |
| --- | --- |

(43)

No que respeita a dados pessoais, as CSIRT deverão poder facultar, em conformidade com o Regulamento (UE) 2016/679, a pedido de uma entidade essencial ou importante, uma análise proativa dos sistemas de rede e informação utilizados para prestarem os serviços da entidade. Se aplicável, os Estados-Membros deverão procurar garantir que todas as CSIRT setoriais possuam o mesmo nível de capacidades técnicas. Os Estados-Membros devem poder solicitar a assistência da ENISA na criação das suas CSIRT.

| (44) | As CSIRT deverão ter capacidade para, a pedido de uma entidade essencial ou importante, monitorizar todos os ativos da entidade com acesso à Internet, tanto nas instalações como fora delas, a fim de identificar, compreender e gerir os riscos globais organizacionais da entidade face a recém-identificadas exposições ou a vulnerabilidades críticas da cadeia de abastecimento. A entidade deverá ser incentivada a comunicar à CSIRT se opera uma interface de gestão privilegiada, uma vez que tal pode afetar a rapidez da adoção de medidas de atenuação. |
| --- | --- |

(44)

As CSIRT deverão ter capacidade para, a pedido de uma entidade essencial ou importante, monitorizar todos os ativos da entidade com acesso à Internet, tanto nas instalações como fora delas, a fim de identificar, compreender e gerir os riscos globais organizacionais da entidade face a recém-identificadas exposições ou a vulnerabilidades críticas da cadeia de abastecimento. A entidade deverá ser incentivada a comunicar à CSIRT se opera uma interface de gestão privilegiada, uma vez que tal pode afetar a rapidez da adoção de medidas de atenuação.

| (45) | Tendo em conta a importância da cooperação internacional em matéria de cibersegurança, as CSIRT deverão poder participar em redes de cooperação internacional, em complemento da rede de CSIRT criada pela presente diretiva. Por conseguinte, para efeitos do exercício das suas funções, as CSIRT e as autoridades competentes deverão poder trocar informações, incluindo dados pessoais, com equipas nacionais de resposta a incidentes de segurança informática ou com autoridades competentes de países terceiros, desde que estejam preenchidas as condições previstas no direito da União em matéria de proteção de dados para as transferências de dados pessoais para países terceiros, nomeadamente as previstas no artigo 49.o do Regulamento (UE) 2016/679. |
| --- | --- |

(45)

Tendo em conta a importância da cooperação internacional em matéria de cibersegurança, as CSIRT deverão poder participar em redes de cooperação internacional, em complemento da rede de CSIRT criada pela presente diretiva. Por conseguinte, para efeitos do exercício das suas funções, as CSIRT e as autoridades competentes deverão poder trocar informações, incluindo dados pessoais, com equipas nacionais de resposta a incidentes de segurança informática ou com autoridades competentes de países terceiros, desde que estejam preenchidas as condições previstas no direito da União em matéria de proteção de dados para as transferências de dados pessoais para países terceiros, nomeadamente as previstas no artigo 49.o do Regulamento (UE) 2016/679.

| (46) | É essencial assegurar recursos adequados para cumprir os objetivos da presente diretiva e para permitir às autoridades competentes e às CSIRT desempenhar as funções aqui estabelecidas. Os Estados-Membros podem introduzir a nível nacional um mecanismo de financiamento para cobrir as despesas necessárias relacionadas com o exercício das funções das entidades públicas responsáveis pela cibersegurança no Estado-Membro nos termos da presente diretiva. Esse mecanismo deverá respeitar o direito da União, deverá ser proporcionado e não discriminatório e deverá ter em conta diferentes abordagens para a prestação de serviços seguros. |
| --- | --- |

(46)

É essencial assegurar recursos adequados para cumprir os objetivos da presente diretiva e para permitir às autoridades competentes e às CSIRT desempenhar as funções aqui estabelecidas. Os Estados-Membros podem introduzir a nível nacional um mecanismo de financiamento para cobrir as despesas necessárias relacionadas com o exercício das funções das entidades públicas responsáveis pela cibersegurança no Estado-Membro nos termos da presente diretiva. Esse mecanismo deverá respeitar o direito da União, deverá ser proporcionado e não discriminatório e deverá ter em conta diferentes abordagens para a prestação de serviços seguros.

| (47) | A rede de CSIRT deverá continuar a contribuir para reforçar a confiança e a promover uma cooperação operacional rápida e eficaz entre os Estados-Membros. A fim de reforçar a cooperação operacional a nível da União, a rede de CSIRT deverá ponderar a possibilidade de convidar os organismos e as agências da União implicados na política de cibersegurança, como a Europol, a participar nos seus trabalhos. |
| --- | --- |

(47)

A rede de CSIRT deverá continuar a contribuir para reforçar a confiança e a promover uma cooperação operacional rápida e eficaz entre os Estados-Membros. A fim de reforçar a cooperação operacional a nível da União, a rede de CSIRT deverá ponderar a possibilidade de convidar os organismos e as agências da União implicados na política de cibersegurança, como a Europol, a participar nos seus trabalhos.

| (48) | A fim de alcançar e manter um elevado nível de cibersegurança, as estratégias nacionais de cibersegurança exigidas pela presente diretiva deverão consistir em quadros coerentes que estabeleçam objetivos e prioridades estratégicos no domínio da cibersegurança e a governação para os alcançar. Essas estratégias podem ser compostas por um ou mais instrumentos legislativos ou não legislativos. |
| --- | --- |

(48)

A fim de alcançar e manter um elevado nível de cibersegurança, as estratégias nacionais de cibersegurança exigidas pela presente diretiva deverão consistir em quadros coerentes que estabeleçam objetivos e prioridades estratégicos no domínio da cibersegurança e a governação para os alcançar. Essas estratégias podem ser compostas por um ou mais instrumentos legislativos ou não legislativos.

| (49) | As políticas de ciber-higiene garantem as bases para a proteção da segurança das infraestruturas dos sistemas de rede e informação, do hardware, do software e das aplicações em linha, bem como dos dados das empresas ou dos utilizadores finais dos quais as entidades dependem. As políticas de ciber-higiene que comportam um conjunto comum de práticas de base, incluindo atualizações de software e hardware, alterações de palavra-passe, gestão de novas instalações, limitação das contas de acesso a nível de administrador e salvaguarda de dados, asseguram um quadro pró-ativo de preparação e de proteção e segurança gerais em caso de incidentes ou ciberameaças. A ENISA deverá acompanhar e analisar as políticas de ciber-higiene dos Estados-Membros. |
| --- | --- |

(49)

As políticas de ciber-higiene garantem as bases para a proteção da segurança das infraestruturas dos sistemas de rede e informação, do hardware, do software e das aplicações em linha, bem como dos dados das empresas ou dos utilizadores finais dos quais as entidades dependem. As políticas de ciber-higiene que comportam um conjunto comum de práticas de base, incluindo atualizações de software e hardware, alterações de palavra-passe, gestão de novas instalações, limitação das contas de acesso a nível de administrador e salvaguarda de dados, asseguram um quadro pró-ativo de preparação e de proteção e segurança gerais em caso de incidentes ou ciberameaças. A ENISA deverá acompanhar e analisar as políticas de ciber-higiene dos Estados-Membros.

| (50) | A sensibilização para a cibersegurança e a ciber-higiene são essenciais para melhorar o nível de cibersegurança na União, em especial tendo em conta o número crescente de dispositivos conectados que são cada vez mais utilizados em ciberataques. Deverão ser envidados esforços para aumentar a sensibilização global para os riscos relacionados com esses dispositivos, enquanto as avaliações a nível da União poderão contribuir para assegurar um entendimento comum desses riscos no mercado interno. |
| --- | --- |

(50)

A sensibilização para a cibersegurança e a ciber-higiene são essenciais para melhorar o nível de cibersegurança na União, em especial tendo em conta o número crescente de dispositivos conectados que são cada vez mais utilizados em ciberataques. Deverão ser envidados esforços para aumentar a sensibilização global para os riscos relacionados com esses dispositivos, enquanto as avaliações a nível da União poderão contribuir para assegurar um entendimento comum desses riscos no mercado interno.

| (51) | Os Estados-Membros deverão incentivar a utilização de qualquer tecnologia inovadora, incluindo a inteligência artificial, cuja utilização possa melhorar a deteção e a prevenção de ciberataques, permitindo que os recursos sejam desviados para os ciberataques de forma mais eficaz. Por conseguinte, os Estados-Membros deverão incentivar, no âmbito da sua estratégia nacional de cibersegurança, as atividades de investigação e desenvolvimento destinadas a promover a utilização dessas tecnologias, em especial as relacionadas com ferramentas automatizadas ou semiautomatizadas no domínio da cibersegurança, e, quando pertinente, a partilha dos dados necessários para a formação dos utilizadores dessas tecnologias e para a sua melhoria. A utilização de qualquer tecnologia inovadora, incluindo a inteligência artificial, deverá respeitar o direito da União em matéria de proteção de dados, incluindo os princípios da proteção de dados em matéria de exatidão dos dados, minimização dos dados, equidade e transparência, bem como a segurança dos dados, como a encriptação de ponta. Os requisitos de proteção de dados desde a conceção e por defeito estabelecidos no Regulamento (UE) 2016/679 deverão ser plenamente utilizados. |
| --- | --- |

(51)

Os Estados-Membros deverão incentivar a utilização de qualquer tecnologia inovadora, incluindo a inteligência artificial, cuja utilização possa melhorar a deteção e a prevenção de ciberataques, permitindo que os recursos sejam desviados para os ciberataques de forma mais eficaz. Por conseguinte, os Estados-Membros deverão incentivar, no âmbito da sua estratégia nacional de cibersegurança, as atividades de investigação e desenvolvimento destinadas a promover a utilização dessas tecnologias, em especial as relacionadas com ferramentas automatizadas ou semiautomatizadas no domínio da cibersegurança, e, quando pertinente, a partilha dos dados necessários para a formação dos utilizadores dessas tecnologias e para a sua melhoria. A utilização de qualquer tecnologia inovadora, incluindo a inteligência artificial, deverá respeitar o direito da União em matéria de proteção de dados, incluindo os princípios da proteção de dados em matéria de exatidão dos dados, minimização dos dados, equidade e transparência, bem como a segurança dos dados, como a encriptação de ponta. Os requisitos de proteção de dados desde a conceção e por defeito estabelecidos no Regulamento (UE) 2016/679 deverão ser plenamente utilizados.

| (52) | As ferramentas e aplicações de cibersegurança de código aberto podem contribuir para um maior grau de abertura e ter um impacto positivo na eficiência da inovação industrial. As normas abertas facilitam a interoperabilidade entre as ferramentas de segurança, beneficiando a segurança da indústria. As ferramentas e aplicações de código aberto em matéria de cibersegurança podem impulsionar a comunidade mais ampla de programadores, permitindo a diversificação de fornecedores. A fonte aberta pode conduzir a um processo de verificação mais transparente das ferramentas relacionadas com a cibersegurança e a um processo de deteção de vulnerabilidades impulsionado pela comunidade. Os Estados-Membros deverão, por conseguinte, poder promover a utilização de software de código aberto e de normas abertas, prosseguindo políticas relativas à utilização de dados abertos e de fontes abertas como parte da segurança através da transparência. As políticas que promovem a introdução e a utilização sustentável de ferramentas de cibersegurança de código aberto revestem-se de especial importância para as pequenas e médias empresas que fazem face a custos significativos de execução, os quais podem ser minimizados com a redução da necessidade de aplicações ou ferramentas específicas. |
| --- | --- |

(52)

As ferramentas e aplicações de cibersegurança de código aberto podem contribuir para um maior grau de abertura e ter um impacto positivo na eficiência da inovação industrial. As normas abertas facilitam a interoperabilidade entre as ferramentas de segurança, beneficiando a segurança da indústria. As ferramentas e aplicações de código aberto em matéria de cibersegurança podem impulsionar a comunidade mais ampla de programadores, permitindo a diversificação de fornecedores. A fonte aberta pode conduzir a um processo de verificação mais transparente das ferramentas relacionadas com a cibersegurança e a um processo de deteção de vulnerabilidades impulsionado pela comunidade. Os Estados-Membros deverão, por conseguinte, poder promover a utilização de software de código aberto e de normas abertas, prosseguindo políticas relativas à utilização de dados abertos e de fontes abertas como parte da segurança através da transparência. As políticas que promovem a introdução e a utilização sustentável de ferramentas de cibersegurança de código aberto revestem-se de especial importância para as pequenas e médias empresas que fazem face a custos significativos de execução, os quais podem ser minimizados com a redução da necessidade de aplicações ou ferramentas específicas.

| (53) | Os serviços públicos estão cada vez mais ligados às redes digitais nas cidades, com o objetivo de melhorar as redes de transporte urbano, melhorar o abastecimento de água e as instalações de eliminação de resíduos e aumentar a eficiência da iluminação e do aquecimento dos edifícios. Esses serviços públicos digitais são vulneráveis a ciberataques e correm o risco, em caso de ciberataque bem-sucedido, de prejudicar em grande escala os cidadãos devido à sua interligação. Os Estados-Membros deverão elaborar uma política que aborde o desenvolvimento dessas cidades conectadas ou inteligentes e os seus potenciais impactos na sociedade, como parte da sua estratégia nacional de cibersegurança. |
| --- | --- |

(53)

Os serviços públicos estão cada vez mais ligados às redes digitais nas cidades, com o objetivo de melhorar as redes de transporte urbano, melhorar o abastecimento de água e as instalações de eliminação de resíduos e aumentar a eficiência da iluminação e do aquecimento dos edifícios. Esses serviços públicos digitais são vulneráveis a ciberataques e correm o risco, em caso de ciberataque bem-sucedido, de prejudicar em grande escala os cidadãos devido à sua interligação. Os Estados-Membros deverão elaborar uma política que aborde o desenvolvimento dessas cidades conectadas ou inteligentes e os seus potenciais impactos na sociedade, como parte da sua estratégia nacional de cibersegurança.

| (54) | Em anos recentes, a União tem enfrentado um aumento exponencial dos ataques de ransomware, em que o malware encripta dados e sistemas e exige um pagamento de resgate para a sua libertação. A frequência e a gravidade crescentes dos ataques de ransomware podem ser motivadas por vários fatores, tais como os diferentes padrões de ataque, os modelos empresariais criminosos em torno do «ransomware como um serviço» e as criptomoedas, as exigências de resgate e o aumento dos ataques na cadeia de abastecimento. Os Estados-Membros deverão elaborar uma política que dê resposta ao aumento dos ataques de ransomware no âmbito da sua estratégia nacional de cibersegurança. |
| --- | --- |

(54)

Em anos recentes, a União tem enfrentado um aumento exponencial dos ataques de ransomware, em que o malware encripta dados e sistemas e exige um pagamento de resgate para a sua libertação. A frequência e a gravidade crescentes dos ataques de ransomware podem ser motivadas por vários fatores, tais como os diferentes padrões de ataque, os modelos empresariais criminosos em torno do «ransomware como um serviço» e as criptomoedas, as exigências de resgate e o aumento dos ataques na cadeia de abastecimento. Os Estados-Membros deverão elaborar uma política que dê resposta ao aumento dos ataques de ransomware no âmbito da sua estratégia nacional de cibersegurança.

| (55) | As parcerias público-privadas (PPP) no domínio da cibersegurança podem proporcionar um quadro adequado para o intercâmbio de conhecimentos, a partilha de boas práticas e o estabelecimento de um nível comum de entendimento entre todas as partes interessadas. Os Estados-Membros deverão promover políticas que sustentem o estabelecimento de PPP específicas para a cibersegurança. Essas políticas devem clarificar, nomeadamente, o âmbito e as partes interessadas envolvidas, o modelo de governação, as opções de financiamento disponíveis e a interação entre as partes interessadas participantes no que respeita às PPP. As PPP podem mobilizar os conhecimentos especializados de entidades do setor privado para apoiar as autoridades competentes no desenvolvimento de serviços e processos de vanguarda, incluindo o intercâmbio de informações, alertas precoces, exercícios em matéria de ciberameaças e de incidentes, gestão de crises e planeamento da resiliência. |
| --- | --- |

(55)

As parcerias público-privadas (PPP) no domínio da cibersegurança podem proporcionar um quadro adequado para o intercâmbio de conhecimentos, a partilha de boas práticas e o estabelecimento de um nível comum de entendimento entre todas as partes interessadas. Os Estados-Membros deverão promover políticas que sustentem o estabelecimento de PPP específicas para a cibersegurança. Essas políticas devem clarificar, nomeadamente, o âmbito e as partes interessadas envolvidas, o modelo de governação, as opções de financiamento disponíveis e a interação entre as partes interessadas participantes no que respeita às PPP. As PPP podem mobilizar os conhecimentos especializados de entidades do setor privado para apoiar as autoridades competentes no desenvolvimento de serviços e processos de vanguarda, incluindo o intercâmbio de informações, alertas precoces, exercícios em matéria de ciberameaças e de incidentes, gestão de crises e planeamento da resiliência.

| (56) | Os Estados-Membros deverão abordar, nas suas estratégias nacionais de cibersegurança, as necessidades específicas das pequenas e médias empresas em matéria de cibersegurança. As pequenas e médias empresas representam, em toda a União, uma grande percentagem do mercado industrial e comercial e debatem-se frequentemente com dificuldades na adaptação às novas práticas empresariais num mundo mais ligado, e ao ambiente digital, com os empregados a trabalhar a partir de casa e negócios que se fazem cada vez mais em linha. Algumas pequenas e médias empresas enfrentam desafios de cibersegurança específicos, como uma limitada sensibilização para o ciberespaço, a falta de segurança informática à distância, o elevado custo das soluções de cibersegurança e um nível acrescido de ameaça, como o ransomware, em relação aos quais deverão receber orientações e assistência. As pequenas e médias empresas estão a tornar-se cada vez mais alvo de ataques nas cadeias de abastecimento devido às suas medidas menos rigorosas de gestão dos riscos de cibersegurança e de gestão de ataques, bem como ao facto de terem recursos de segurança limitados. Tais ataques na cadeia de abastecimento não só têm impacto nas pequenas e médias empresas e nas suas operações isoladamente, como também podem ter um efeito em cascata em ataques de maior dimensão contra entidades das quais são fornecedoras. Os Estados-Membros deverão, através das suas estratégias nacionais de cibersegurança, ajudar as pequenas e médias empresas a fazer face os desafios enfrentados nas suas cadeias de abastecimento. Os Estados-Membros deverão dispor de um ponto de contacto para as pequenas e médias empresas a nível nacional ou regional, que preste orientação e assistência às pequenas e médias empresas ou as encaminhe para os organismos adequados de orientação e assistência no que diz respeito a questões relacionadas com a cibersegurança. Os Estados-Membros são também incentivados a oferecer serviços, como a configuração de sítios Web e o registo de dados, às microempresas e às pequenas empresas que não dispõem dessas capacidades. |
| --- | --- |

(56)

Os Estados-Membros deverão abordar, nas suas estratégias nacionais de cibersegurança, as necessidades específicas das pequenas e médias empresas em matéria de cibersegurança. As pequenas e médias empresas representam, em toda a União, uma grande percentagem do mercado industrial e comercial e debatem-se frequentemente com dificuldades na adaptação às novas práticas empresariais num mundo mais ligado, e ao ambiente digital, com os empregados a trabalhar a partir de casa e negócios que se fazem cada vez mais em linha. Algumas pequenas e médias empresas enfrentam desafios de cibersegurança específicos, como uma limitada sensibilização para o ciberespaço, a falta de segurança informática à distância, o elevado custo das soluções de cibersegurança e um nível acrescido de ameaça, como o ransomware, em relação aos quais deverão receber orientações e assistência. As pequenas e médias empresas estão a tornar-se cada vez mais alvo de ataques nas cadeias de abastecimento devido às suas medidas menos rigorosas de gestão dos riscos de cibersegurança e de gestão de ataques, bem como ao facto de terem recursos de segurança limitados. Tais ataques na cadeia de abastecimento não só têm impacto nas pequenas e médias empresas e nas suas operações isoladamente, como também podem ter um efeito em cascata em ataques de maior dimensão contra entidades das quais são fornecedoras. Os Estados-Membros deverão, através das suas estratégias nacionais de cibersegurança, ajudar as pequenas e médias empresas a fazer face os desafios enfrentados nas suas cadeias de abastecimento. Os Estados-Membros deverão dispor de um ponto de contacto para as pequenas e médias empresas a nível nacional ou regional, que preste orientação e assistência às pequenas e médias empresas ou as encaminhe para os organismos adequados de orientação e assistência no que diz respeito a questões relacionadas com a cibersegurança. Os Estados-Membros são também incentivados a oferecer serviços, como a configuração de sítios Web e o registo de dados, às microempresas e às pequenas empresas que não dispõem dessas capacidades.

| (57) | No âmbito das suas estratégias nacionais de cibersegurança, os Estados-Membros deverão adotar políticas de promoção da ciberproteção ativa como parte de uma estratégia defensiva mais ampla. Em vez de uma resposta reativa, a ciberproteção ativa consiste na prevenção, deteção, monitorização, análise e atenuação de violações da segurança da rede, de uma forma ativa, combinadas com a utilização de capacidades utilizadas dentro ou fora da rede da vítima. Tal poderá incluir a oferta por parte dos Estados-Membros de serviços ou ferramentas gratuitos a certas entidades, incluindo verificações self-service, ferramentas de deteção e serviços de retirada. A capacidade de rápida e automaticamente partilhar e compreender informações e análises de ameaças, alertas de ciberatividade e ações de resposta é fundamental para permitir unir esforços na prevenção, na deteção, na abordagem e no bloqueio bem-sucedidos de ataques contra os sistemas de rede e informação. A ciberproteção ativa baseia-se numa estratégia defensiva que exclui medidas ofensivas. |
| --- | --- |

(57)

No âmbito das suas estratégias nacionais de cibersegurança, os Estados-Membros deverão adotar políticas de promoção da ciberproteção ativa como parte de uma estratégia defensiva mais ampla. Em vez de uma resposta reativa, a ciberproteção ativa consiste na prevenção, deteção, monitorização, análise e atenuação de violações da segurança da rede, de uma forma ativa, combinadas com a utilização de capacidades utilizadas dentro ou fora da rede da vítima. Tal poderá incluir a oferta por parte dos Estados-Membros de serviços ou ferramentas gratuitos a certas entidades, incluindo verificações self-service, ferramentas de deteção e serviços de retirada. A capacidade de rápida e automaticamente partilhar e compreender informações e análises de ameaças, alertas de ciberatividade e ações de resposta é fundamental para permitir unir esforços na prevenção, na deteção, na abordagem e no bloqueio bem-sucedidos de ataques contra os sistemas de rede e informação. A ciberproteção ativa baseia-se numa estratégia defensiva que exclui medidas ofensivas.

| (58) | Uma vez que a exploração das vulnerabilidades dos sistemas de rede e informação pode causar perturbações e danos consideráveis, a celeridade na identificação e correção de tais vulnerabilidades é um fator importante na redução dos riscos. As entidades que desenvolvem ou administram sistemas de rede e informação deverão, por conseguinte, estabelecer procedimentos adequados para fazer face a vulnerabilidades quando estas sejam detetadas. Uma vez que as vulnerabilidades são frequentemente detetadas e divulgadas por terceiros, o fabricante ou fornecedor de produtos TIC ou o prestador de serviços de TIC deverá adotar igualmente os procedimentos necessários para receber informações sobre vulnerabilidades fornecidas por terceiros. Nessa matéria, as normas internacionais ISO/IEC 30111 e ISO/IEC 29147 fornecem orientações sobre o tratamento de vulnerabilidades e a divulgação de vulnerabilidades. O reforço da coordenação entre pessoas singulares e coletivas notificadoras e os fabricantes ou fornecedores de produtos de TIC ou prestadores de serviços de TIC assume especial importância para facilitar o quadro voluntário de divulgação de vulnerabilidades. A divulgação coordenada de vulnerabilidades especifica um processo estruturado mediante o qual as vulnerabilidades são notificadas aos fabricantes ou fornecedores de produtos de TIC ou aos prestadores de serviços de TIC potencialmente vulneráveis de uma forma que lhes permite diagnosticar e corrigir as vulnerabilidades antes de serem divulgadas informações pormenorizadas sobre as mesmas a terceiros ou ao público. A divulgação coordenada de vulnerabilidades deverá incluir também a coordenação entre pessoas singulares ou coletivas notificadoras e o fabricante ou fornecedor de produtos de TIC ou prestador de serviços de TIC potencialmente vulneráveis no que respeita ao momento da correção e da publicação das vulnerabilidades. |
| --- | --- |

(58)

Uma vez que a exploração das vulnerabilidades dos sistemas de rede e informação pode causar perturbações e danos consideráveis, a celeridade na identificação e correção de tais vulnerabilidades é um fator importante na redução dos riscos. As entidades que desenvolvem ou administram sistemas de rede e informação deverão, por conseguinte, estabelecer procedimentos adequados para fazer face a vulnerabilidades quando estas sejam detetadas. Uma vez que as vulnerabilidades são frequentemente detetadas e divulgadas por terceiros, o fabricante ou fornecedor de produtos TIC ou o prestador de serviços de TIC deverá adotar igualmente os procedimentos necessários para receber informações sobre vulnerabilidades fornecidas por terceiros. Nessa matéria, as normas internacionais ISO/IEC 30111 e ISO/IEC 29147 fornecem orientações sobre o tratamento de vulnerabilidades e a divulgação de vulnerabilidades. O reforço da coordenação entre pessoas singulares e coletivas notificadoras e os fabricantes ou fornecedores de produtos de TIC ou prestadores de serviços de TIC assume especial importância para facilitar o quadro voluntário de divulgação de vulnerabilidades. A divulgação coordenada de vulnerabilidades especifica um processo estruturado mediante o qual as vulnerabilidades são notificadas aos fabricantes ou fornecedores de produtos de TIC ou aos prestadores de serviços de TIC potencialmente vulneráveis de uma forma que lhes permite diagnosticar e corrigir as vulnerabilidades antes de serem divulgadas informações pormenorizadas sobre as mesmas a terceiros ou ao público. A divulgação coordenada de vulnerabilidades deverá incluir também a coordenação entre pessoas singulares ou coletivas notificadoras e o fabricante ou fornecedor de produtos de TIC ou prestador de serviços de TIC potencialmente vulneráveis no que respeita ao momento da correção e da publicação das vulnerabilidades.

| (59) | A Comissão, a ENISA e os Estados-Membros deverão continuar a fomentar o alinhamento com as normas internacionais e as boas práticas do setor existentes no âmbito da gestão dos riscos de cibersegurança, por exemplo, nos domínios das avaliações de segurança da cadeia de abastecimento, da partilha de informações e da divulgação de vulnerabilidades. |
| --- | --- |

(59)

A Comissão, a ENISA e os Estados-Membros deverão continuar a fomentar o alinhamento com as normas internacionais e as boas práticas do setor existentes no âmbito da gestão dos riscos de cibersegurança, por exemplo, nos domínios das avaliações de segurança da cadeia de abastecimento, da partilha de informações e da divulgação de vulnerabilidades.

| (60) | Os Estados-Membros, em cooperação com a ENISA, deverão tomar medidas para facilitar a divulgação coordenada de vulnerabilidades, definindo uma política nacional nessa matéria. No âmbito da sua política nacional, os Estados-Membros deverão procurar resolver, na medida do possível, os problemas encontrados pelos peritos que investigam as vulnerabilidades, nomeadamente a sua potencial sujeição à responsabilidade penal, em conformidade com o direito nacional. Dado que as pessoas singulares e coletivas que investigam as vulnerabilidades podem, em alguns Estados-Membros, incorrer em responsabilidade penal e civil, os Estados-Membros são incentivados a adotar orientações sobre a não instauração de ações penais contra quem faz investigação no domínio da segurança da informação e uma isenção de responsabilidade civil para as suas atividades. |
| --- | --- |

(60)

Os Estados-Membros, em cooperação com a ENISA, deverão tomar medidas para facilitar a divulgação coordenada de vulnerabilidades, definindo uma política nacional nessa matéria. No âmbito da sua política nacional, os Estados-Membros deverão procurar resolver, na medida do possível, os problemas encontrados pelos peritos que investigam as vulnerabilidades, nomeadamente a sua potencial sujeição à responsabilidade penal, em conformidade com o direito nacional. Dado que as pessoas singulares e coletivas que investigam as vulnerabilidades podem, em alguns Estados-Membros, incorrer em responsabilidade penal e civil, os Estados-Membros são incentivados a adotar orientações sobre a não instauração de ações penais contra quem faz investigação no domínio da segurança da informação e uma isenção de responsabilidade civil para as suas atividades.

| (61) | Os Estados-Membros deverão designar uma das suas CSIRT como coordenadora, agindo como intermediária de confiança entre as pessoas singulares ou coletivas notificadoras e os fabricantes ou fornecedores de produtos de TIC ou os prestadores de serviços de TIC, suscetíveis de serem afetados pela vulnerabilidade, se necessário. As funções da CSIRT designada coordenadora deverão incluir a identificação e o contacto das entidades em causa, a prestação de apoio às pessoas singulares ou coletivas que notifiquem as vulnerabilidades, a negociação do calendário de divulgação e a gestão das vulnerabilidades que afetem várias entidades (divulgação coordenada de vulnerabilidades a várias partes). Sempre que a vulnerabilidade comunicada possa ter repercussões significativas para as entidades de mais do que um Estado-Membro, as CSIRT designadas coordenadoras deverão cooperar no âmbito da rede de CSIRT, se for caso disso. |
| --- | --- |

(61)

Os Estados-Membros deverão designar uma das suas CSIRT como coordenadora, agindo como intermediária de confiança entre as pessoas singulares ou coletivas notificadoras e os fabricantes ou fornecedores de produtos de TIC ou os prestadores de serviços de TIC, suscetíveis de serem afetados pela vulnerabilidade, se necessário. As funções da CSIRT designada coordenadora deverão incluir a identificação e o contacto das entidades em causa, a prestação de apoio às pessoas singulares ou coletivas que notifiquem as vulnerabilidades, a negociação do calendário de divulgação e a gestão das vulnerabilidades que afetem várias entidades (divulgação coordenada de vulnerabilidades a várias partes). Sempre que a vulnerabilidade comunicada possa ter repercussões significativas para as entidades de mais do que um Estado-Membro, as CSIRT designadas coordenadoras deverão cooperar no âmbito da rede de CSIRT, se for caso disso.

| (62) | O acesso em tempo útil a informações fidedignas sobre vulnerabilidades que afetem produtos de TIC e serviços de TIC contribui para melhorar a gestão dos riscos de cibersegurança. As fontes de informações públicas sobre vulnerabilidades constituem um instrumento importante não só para as entidades e os utilizadores dos seus serviços, mas também para as autoridades competentes e as CSIRT. Por esse motivo, a ENISA deverá criar uma base de dados europeia de vulnerabilidades na qual as entidades, caibam ou não no âmbito da presente diretiva, e os seus fornecedores de sistemas de rede e informação, bem como as autoridades competentes e as CSIRT, possam, a título voluntário, divulgar e registar vulnerabilidades publicamente conhecidas, a fim de permitir que os utilizadores tomem medidas de atenuação adequadas. O objetivo desta base de dados consiste em dar resposta aos desafios únicos que os riscos colocam às entidades da União. Além disso, a ENISA deverá estabelecer um procedimento adequado relativamente ao processo de publicação, a fim de dar tempo às entidades para tomarem medidas de atenuação no que diz respeito às suas vulnerabilidades, e utilizar medidas de vanguarda em matéria de gestão dos riscos de cibersegurança, bem como conjuntos de dados de leitura ótica e as interfaces correspondentes. Para incentivar uma cultura de divulgação de vulnerabilidades, a divulgação não deverá ser efetuada em detrimento da pessoa singular ou coletiva notificadora. |
| --- | --- |

(62)

O acesso em tempo útil a informações fidedignas sobre vulnerabilidades que afetem produtos de TIC e serviços de TIC contribui para melhorar a gestão dos riscos de cibersegurança. As fontes de informações públicas sobre vulnerabilidades constituem um instrumento importante não só para as entidades e os utilizadores dos seus serviços, mas também para as autoridades competentes e as CSIRT. Por esse motivo, a ENISA deverá criar uma base de dados europeia de vulnerabilidades na qual as entidades, caibam ou não no âmbito da presente diretiva, e os seus fornecedores de sistemas de rede e informação, bem como as autoridades competentes e as CSIRT, possam, a título voluntário, divulgar e registar vulnerabilidades publicamente conhecidas, a fim de permitir que os utilizadores tomem medidas de atenuação adequadas. O objetivo desta base de dados consiste em dar resposta aos desafios únicos que os riscos colocam às entidades da União. Além disso, a ENISA deverá estabelecer um procedimento adequado relativamente ao processo de publicação, a fim de dar tempo às entidades para tomarem medidas de atenuação no que diz respeito às suas vulnerabilidades, e utilizar medidas de vanguarda em matéria de gestão dos riscos de cibersegurança, bem como conjuntos de dados de leitura ótica e as interfaces correspondentes. Para incentivar uma cultura de divulgação de vulnerabilidades, a divulgação não deverá ser efetuada em detrimento da pessoa singular ou coletiva notificadora.

| (63) | Embora já existam bases de dados ou registos de vulnerabilidades semelhantes, as entidades responsáveis pelo seu alojamento virtual e manutenção não estão estabelecidas na União. Uma base de dados europeia de vulnerabilidades mantida pela ENISA melhoraria a transparência do processo de publicação antes de a vulnerabilidade ser publicamente divulgada, bem como a resiliência em casos de perturbação ou interrupção da prestação de serviços semelhantes. A fim de evitar, tanto quanto possível, uma duplicação de esforços e de assegurar a complementaridade, a ENISA deverá explorar a possibilidade de celebrar acordos de cooperação estruturados com registos ou bases de dados semelhantes abrangidos pela jurisdição de um país terceiro. Em particular, a ENISA deverá explorar a possibilidade de estabelecer uma estreita cooperação com os operadores do sistema de Vulnerabilidades e Exposições Comuns (CVE, do inglês Common Vulnerabilities and Exposures). |
| --- | --- |

(63)

Embora já existam bases de dados ou registos de vulnerabilidades semelhantes, as entidades responsáveis pelo seu alojamento virtual e manutenção não estão estabelecidas na União. Uma base de dados europeia de vulnerabilidades mantida pela ENISA melhoraria a transparência do processo de publicação antes de a vulnerabilidade ser publicamente divulgada, bem como a resiliência em casos de perturbação ou interrupção da prestação de serviços semelhantes. A fim de evitar, tanto quanto possível, uma duplicação de esforços e de assegurar a complementaridade, a ENISA deverá explorar a possibilidade de celebrar acordos de cooperação estruturados com registos ou bases de dados semelhantes abrangidos pela jurisdição de um país terceiro. Em particular, a ENISA deverá explorar a possibilidade de estabelecer uma estreita cooperação com os operadores do sistema de Vulnerabilidades e Exposições Comuns (CVE, do inglês Common Vulnerabilities and Exposures).

| (64) | O grupo de cooperação deverá apoiar e facilitar a cooperação estratégica e o intercâmbio de informações entre os Estados-Membros, bem como reforçar a confiança entre eles. O grupo de cooperação deverá elaborar, de dois em dois anos, um programa de trabalho. O programa de trabalho deverá definir as ações a empreender pelo grupo de cooperação no sentido de cumprir os seus objetivos e as suas funções. O calendário para a elaboração do primeiro programa de trabalho ao abrigo da presente diretiva deverá estar alinhado com o calendário do último programa de trabalho definido nos termos da Diretiva (UE) 2016/1148, a fim de evitar potenciais perturbações das atividades do grupo de cooperação. |
| --- | --- |

(64)

O grupo de cooperação deverá apoiar e facilitar a cooperação estratégica e o intercâmbio de informações entre os Estados-Membros, bem como reforçar a confiança entre eles. O grupo de cooperação deverá elaborar, de dois em dois anos, um programa de trabalho. O programa de trabalho deverá definir as ações a empreender pelo grupo de cooperação no sentido de cumprir os seus objetivos e as suas funções. O calendário para a elaboração do primeiro programa de trabalho ao abrigo da presente diretiva deverá estar alinhado com o calendário do último programa de trabalho definido nos termos da Diretiva (UE) 2016/1148, a fim de evitar potenciais perturbações das atividades do grupo de cooperação.

| (65) | Ao elaborar documentos de orientação, o grupo de cooperação deverá consistentemente fazer um levantamento das experiências e soluções nacionais, avaliar o impacto dos resultados do trabalho do grupo de coordenação nas abordagens nacionais, discutir os desafios que se colocam à aplicação e formular recomendações específicas, em particular no que respeita a facilitar a transposição harmonizada da presente diretiva pelos Estados-Membros, a adotar por via de uma melhor aplicação das regras existentes. O grupo de cooperação também pode fazer um levantamento das soluções nacionais para promover a compatibilidade das soluções em matéria de cibersegurança aplicadas a cada setor específico na União. Este aspeto é particularmente pertinente para os setores que têm uma natureza internacional ou transfronteiriça. |
| --- | --- |

(65)

Ao elaborar documentos de orientação, o grupo de cooperação deverá consistentemente fazer um levantamento das experiências e soluções nacionais, avaliar o impacto dos resultados do trabalho do grupo de coordenação nas abordagens nacionais, discutir os desafios que se colocam à aplicação e formular recomendações específicas, em particular no que respeita a facilitar a transposição harmonizada da presente diretiva pelos Estados-Membros, a adotar por via de uma melhor aplicação das regras existentes. O grupo de cooperação também pode fazer um levantamento das soluções nacionais para promover a compatibilidade das soluções em matéria de cibersegurança aplicadas a cada setor específico na União. Este aspeto é particularmente pertinente para os setores que têm uma natureza internacional ou transfronteiriça.

| (66) | O grupo de cooperação deverá continuar a ser um fórum flexível e estar apto a reagir a alterações das prioridades e desafios políticos ou a novas prioridades e desafios políticos, tendo simultaneamente em conta a disponibilidade de recursos. Poderá organizar regularmente reuniões conjuntas com partes interessadas privadas de toda a União para discutir as atividades desenvolvidas pelo grupo de cooperação e partilhar dados e pontos de vista sobre novos desafios políticos. Além disso, o grupo de cooperação deverá realizar regularmente uma avaliação do ponto da situação das ciberameaças ou incidentes, como o ransomware. A fim de reforçar a cooperação a nível da União, o grupo de cooperação deverá equacionar a possibilidade de convidar instituições, órgãos e organismos competentes da União envolvidos na política de cibersegurança, como o Parlamento Europeu, a Europol, o Comité Europeu de Proteção de Dados, a Agência da União Europeia para a Segurança da Aviação, estabelecida pelo Regulamento (UE) 2018/1139, e a Agência da União Europeia para o Programa Espacial, estabelecida pelo Regulamento (UE) 2021/696 do Parlamento Europeu e do Conselho (14), a participarem nos seus trabalhos. |
| --- | --- |

(66)

O grupo de cooperação deverá continuar a ser um fórum flexível e estar apto a reagir a alterações das prioridades e desafios políticos ou a novas prioridades e desafios políticos, tendo simultaneamente em conta a disponibilidade de recursos. Poderá organizar regularmente reuniões conjuntas com partes interessadas privadas de toda a União para discutir as atividades desenvolvidas pelo grupo de cooperação e partilhar dados e pontos de vista sobre novos desafios políticos. Além disso, o grupo de cooperação deverá realizar regularmente uma avaliação do ponto da situação das ciberameaças ou incidentes, como o ransomware. A fim de reforçar a cooperação a nível da União, o grupo de cooperação deverá equacionar a possibilidade de convidar instituições, órgãos e organismos competentes da União envolvidos na política de cibersegurança, como o Parlamento Europeu, a Europol, o Comité Europeu de Proteção de Dados, a Agência da União Europeia para a Segurança da Aviação, estabelecida pelo Regulamento (UE) 2018/1139, e a Agência da União Europeia para o Programa Espacial, estabelecida pelo Regulamento (UE) 2021/696 do Parlamento Europeu e do Conselho (14), a participarem nos seus trabalhos.

| (67) | As autoridades competentes e as CSIRT deverão estar habilitadas a participar em programas de intercâmbio de funcionários com outros Estados-Membros, no âmbito de um quadro específico e, se aplicável, subjacente à necessária credenciação de segurança dos funcionários que participam nesses programas de intercâmbio, no intuito de reforçar a cooperação e fortalecer a confiança entre os Estados-Membros. As autoridades competentes deverão tomar as medidas necessárias para permitir que os funcionários de outros Estados-Membros participem ativamente nas atividades da autoridade competente de acolhimento ou da CSIRT de acolhimento. |
| --- | --- |

(67)

As autoridades competentes e as CSIRT deverão estar habilitadas a participar em programas de intercâmbio de funcionários com outros Estados-Membros, no âmbito de um quadro específico e, se aplicável, subjacente à necessária credenciação de segurança dos funcionários que participam nesses programas de intercâmbio, no intuito de reforçar a cooperação e fortalecer a confiança entre os Estados-Membros. As autoridades competentes deverão tomar as medidas necessárias para permitir que os funcionários de outros Estados-Membros participem ativamente nas atividades da autoridade competente de acolhimento ou da CSIRT de acolhimento.

| (68) | Os Estados-Membros deverão contribuir para a criação do quadro de resposta da UE a crises de cibersegurança previsto na Recomendação (UE) 2017/1584 da Comissão (15) por intermédio das redes de cooperação existentes, em particular a Rede de Organizações de Coordenação de Cibercrises (UE-CyCLONe), a rede de CSIRT e o grupo de cooperação. A UE-CyCLONe e a rede de CSIRT deverão cooperar com base em disposições processuais que especifiquem os pormenores dessa cooperação e evitar qualquer duplicação de tarefas. O regulamento interno da UE-CyCLONe deverá especificar as disposições de funcionamento da rede, incluindo as funções, os meios de cooperação, as interações com outros intervenientes relevantes e os modelos de partilha de informações, bem como os meios de comunicação. No atinente à gestão de crises a nível da União, as partes responsáveis deverão recorrer ao Mecanismo Integrado da UE de Resposta Política a Situações de Crise previsto na Decisão de Execução (UE) 2018/1993 do Conselho (16) (mecanismo IPCR). A Comissão deverá utilizar, para esse efeito, o processo de alto nível para a coordenação de crises transetoriais do sistema geral de alerta rápido (ARGUS). Se a crise implicar uma dimensão importante a nível externo ou da política comum de segurança e defesa, deverá ser ativado o mecanismo de resposta a situações de crise do Serviço Europeu para a Ação Externa. |
| --- | --- |

(68)

Os Estados-Membros deverão contribuir para a criação do quadro de resposta da UE a crises de cibersegurança previsto na Recomendação (UE) 2017/1584 da Comissão (15) por intermédio das redes de cooperação existentes, em particular a Rede de Organizações de Coordenação de Cibercrises (UE-CyCLONe), a rede de CSIRT e o grupo de cooperação. A UE-CyCLONe e a rede de CSIRT deverão cooperar com base em disposições processuais que especifiquem os pormenores dessa cooperação e evitar qualquer duplicação de tarefas. O regulamento interno da UE-CyCLONe deverá especificar as disposições de funcionamento da rede, incluindo as funções, os meios de cooperação, as interações com outros intervenientes relevantes e os modelos de partilha de informações, bem como os meios de comunicação. No atinente à gestão de crises a nível da União, as partes responsáveis deverão recorrer ao Mecanismo Integrado da UE de Resposta Política a Situações de Crise previsto na Decisão de Execução (UE) 2018/1993 do Conselho (16) (mecanismo IPCR). A Comissão deverá utilizar, para esse efeito, o processo de alto nível para a coordenação de crises transetoriais do sistema geral de alerta rápido (ARGUS). Se a crise implicar uma dimensão importante a nível externo ou da política comum de segurança e defesa, deverá ser ativado o mecanismo de resposta a situações de crise do Serviço Europeu para a Ação Externa.

| (69) | Nos termos do anexo da Recomendação (UE) 2017/1584, entende-se por incidente de cibersegurança em grande escala um incidente que cause um nível de perturbação superior à capacidade de resposta de um Estado-Membro ou que tenha um impacto significativo em, pelo menos, dois Estados-Membros. Consoante a sua causa e o seu impacto, os incidentes de cibersegurança em grande escala poderão agravar-se e transformar-se em verdadeiras crises que impeçam o correto funcionamento do mercado interno ou coloquem graves riscos em termos de segurança pública para entidades ou cidadãos em vários Estados-Membros ou na totalidade da União. Tendo em conta o vasto alcance e, em muitos casos, o caráter transfronteiras de tais incidentes, é importante que os Estados-Membros e as instituições, órgãos e organismos competentes da União cooperem a nível técnico, operacional e político para coordenarem eficazmente a resposta em toda a União. |
| --- | --- |

(69)

Nos termos do anexo da Recomendação (UE) 2017/1584, entende-se por incidente de cibersegurança em grande escala um incidente que cause um nível de perturbação superior à capacidade de resposta de um Estado-Membro ou que tenha um impacto significativo em, pelo menos, dois Estados-Membros. Consoante a sua causa e o seu impacto, os incidentes de cibersegurança em grande escala poderão agravar-se e transformar-se em verdadeiras crises que impeçam o correto funcionamento do mercado interno ou coloquem graves riscos em termos de segurança pública para entidades ou cidadãos em vários Estados-Membros ou na totalidade da União. Tendo em conta o vasto alcance e, em muitos casos, o caráter transfronteiras de tais incidentes, é importante que os Estados-Membros e as instituições, órgãos e organismos competentes da União cooperem a nível técnico, operacional e político para coordenarem eficazmente a resposta em toda a União.

| (70) | As crises e incidentes de cibersegurança em grande escala a nível da União exigem uma ação coordenada para assegurar uma resposta rápida e eficaz, devido ao elevado grau de interdependência entre setores e Estados-Membros. A existência de sistemas de rede e informação ciber-resilientes e a disponibilidade, confidencialidade e integridade dos dados são vitais para a segurança da União e para a proteção dos seus cidadãos, empresas e instituições contra incidentes e ciberameaças, bem como para o reforço da confiança das pessoas e das organizações na capacidade da União para promover e proteger um ciberespaço mundial, aberto, livre, estável e seguro, assente nos direitos humanos, nas liberdades fundamentais, na democracia e no Estado de direito. |
| --- | --- |

(70)

As crises e incidentes de cibersegurança em grande escala a nível da União exigem uma ação coordenada para assegurar uma resposta rápida e eficaz, devido ao elevado grau de interdependência entre setores e Estados-Membros. A existência de sistemas de rede e informação ciber-resilientes e a disponibilidade, confidencialidade e integridade dos dados são vitais para a segurança da União e para a proteção dos seus cidadãos, empresas e instituições contra incidentes e ciberameaças, bem como para o reforço da confiança das pessoas e das organizações na capacidade da União para promover e proteger um ciberespaço mundial, aberto, livre, estável e seguro, assente nos direitos humanos, nas liberdades fundamentais, na democracia e no Estado de direito.

| (71) | A UE-CyCLONe deverá funcionar como intermediária entre os níveis técnico e político durante crises e incidentes de cibersegurança em grande escala e deverá reforçar a cooperação a nível operacional e apoiar a tomada de decisões a nível político. Em cooperação com a Comissão, tendo em conta as suas competências no domínio da gestão de crises, a UE-CyCLONe deverá basear-se nas conclusões da rede de CSIRT e utilizar as suas próprias capacidades para criar uma análise de impacto de crises e de incidentes de cibersegurança em grande escala. |
| --- | --- |

(71)

A UE-CyCLONe deverá funcionar como intermediária entre os níveis técnico e político durante crises e incidentes de cibersegurança em grande escala e deverá reforçar a cooperação a nível operacional e apoiar a tomada de decisões a nível político. Em cooperação com a Comissão, tendo em conta as suas competências no domínio da gestão de crises, a UE-CyCLONe deverá basear-se nas conclusões da rede de CSIRT e utilizar as suas próprias capacidades para criar uma análise de impacto de crises e de incidentes de cibersegurança em grande escala.

| (72) | Os ciberataques são de natureza transfronteiriça e um incidente significativo pode perturbar e danificar infraestruturas críticas de informação das quais depende o bom funcionamento do mercado interno. A Recomendação (UE) 2017/1584 aborda o papel de todos os intervenientes relevantes. Ademais, a Comissão é responsável, no âmbito do Mecanismo de Proteção Civil da União, criado pela Decisão n.o 1313/2013/UE do Parlamento Europeu e do Conselho (17), por ações gerais de preparação, incluindo a gestão do Centro de Coordenação de Resposta de Emergência e do Sistema Comum de Comunicação e de Informação de Emergência, pela manutenção e pelo desenvolvimento da capacidade de análise e de conhecimento situacional, bem como pela criação e gestão da capacidade de mobilizar e enviar equipas de peritos em caso de pedido de assistência de um Estado-Membro ou de um país terceiro. A Comissão é igualmente responsável pela apresentação de relatórios analíticos sobre o mecanismo IPCR ao abrigo da Decisão de Execução (UE) 2018/1993, nomeadamente no que diz respeito ao conhecimento situacional e à preparação em matéria de cibersegurança, bem como ao conhecimento situacional e à resposta a situações de crise em matéria de agricultura, condições meteorológicas adversas, cartografia e previsões de conflitos, sistemas de alerta rápido em caso de catástrofes naturais, emergências sanitárias, vigilância de doenças infeciosas, fitossanidade, incidentes químicos, segurança dos alimentos para consumo humano e animal, saúde animal, migração, alfândega, emergências nucleares e radiológicas, e energia. |
| --- | --- |

(72)

Os ciberataques são de natureza transfronteiriça e um incidente significativo pode perturbar e danificar infraestruturas críticas de informação das quais depende o bom funcionamento do mercado interno. A Recomendação (UE) 2017/1584 aborda o papel de todos os intervenientes relevantes. Ademais, a Comissão é responsável, no âmbito do Mecanismo de Proteção Civil da União, criado pela Decisão n.o 1313/2013/UE do Parlamento Europeu e do Conselho (17), por ações gerais de preparação, incluindo a gestão do Centro de Coordenação de Resposta de Emergência e do Sistema Comum de Comunicação e de Informação de Emergência, pela manutenção e pelo desenvolvimento da capacidade de análise e de conhecimento situacional, bem como pela criação e gestão da capacidade de mobilizar e enviar equipas de peritos em caso de pedido de assistência de um Estado-Membro ou de um país terceiro. A Comissão é igualmente responsável pela apresentação de relatórios analíticos sobre o mecanismo IPCR ao abrigo da Decisão de Execução (UE) 2018/1993, nomeadamente no que diz respeito ao conhecimento situacional e à preparação em matéria de cibersegurança, bem como ao conhecimento situacional e à resposta a situações de crise em matéria de agricultura, condições meteorológicas adversas, cartografia e previsões de conflitos, sistemas de alerta rápido em caso de catástrofes naturais, emergências sanitárias, vigilância de doenças infeciosas, fitossanidade, incidentes químicos, segurança dos alimentos para consumo humano e animal, saúde animal, migração, alfândega, emergências nucleares e radiológicas, e energia.

| (73) | Quando for caso disso, a União pode celebrar, em conformidade com o artigo 218.o do TFUE, acordos internacionais com países terceiros ou organizações internacionais que permitam e governem a sua participação em atividades específicas do grupo de cooperação, da rede de CSIRT e da UE-CyCLONe. Tais acordos deverão assegurar os interesses da União e uma proteção adequada dos dados. Tal não deverá excluir o direito dos Estados-Membros de cooperarem com países terceiros na gestão de vulnerabilidades e dos riscos de cibersegurança, facilitando a notificação e a partilha geral de informações em conformidade com o direito da União. |
| --- | --- |

(73)

Quando for caso disso, a União pode celebrar, em conformidade com o artigo 218.o do TFUE, acordos internacionais com países terceiros ou organizações internacionais que permitam e governem a sua participação em atividades específicas do grupo de cooperação, da rede de CSIRT e da UE-CyCLONe. Tais acordos deverão assegurar os interesses da União e uma proteção adequada dos dados. Tal não deverá excluir o direito dos Estados-Membros de cooperarem com países terceiros na gestão de vulnerabilidades e dos riscos de cibersegurança, facilitando a notificação e a partilha geral de informações em conformidade com o direito da União.

| (74) | A fim de facilitar a aplicação efetiva da presente diretiva, em particular no que se refere à gestão de vulnerabilidades, a medidas de gestão dos riscos de cibersegurança, as obrigações de notificação de informações e os mecanismos de partilha de informações relativas à cibersegurança, os Estados-Membros podem cooperar com países terceiros e empreender atividades que considerem adequadas para esse efeito, nomeadamente no domínio do intercâmbio de informações sobre ciberameaças, bem como de incidentes, vulnerabilidades, ferramentas e métodos, táticas, técnicas e procedimentos, grau de preparação e exercícios de gestão de crises de cibersegurança, formação, reforço de confiança e mecanismos estruturados de partilha de informações. |
| --- | --- |

(74)

A fim de facilitar a aplicação efetiva da presente diretiva, em particular no que se refere à gestão de vulnerabilidades, a medidas de gestão dos riscos de cibersegurança, as obrigações de notificação de informações e os mecanismos de partilha de informações relativas à cibersegurança, os Estados-Membros podem cooperar com países terceiros e empreender atividades que considerem adequadas para esse efeito, nomeadamente no domínio do intercâmbio de informações sobre ciberameaças, bem como de incidentes, vulnerabilidades, ferramentas e métodos, táticas, técnicas e procedimentos, grau de preparação e exercícios de gestão de crises de cibersegurança, formação, reforço de confiança e mecanismos estruturados de partilha de informações.

| (75) | Convém instituir avaliações pelos pares, de molde a contribuir para que sejam retirados ensinamentos das experiências partilhadas, reforçar a confiança mútua e alcançar um elevado nível comum de cibersegurança. As avaliações pelos pares podem dar azo a observações e recomendações preciosas que reforcem as capacidades globais de cibersegurança, criando uma via operacional alternativa para a partilha de boas práticas entre os Estados-Membros e contribuindo para um maior grau de maturidade dos Estados-Membros em matéria de cibersegurança. Além disso, convém que as avaliações pelos pares tenham em conta os resultados de mecanismos semelhantes, como o sistema de avaliações pelos pares da rede de CSIRT, que acrescentem valor e que evitem duplicações. A execução de avaliações pelos pares não deverá prejudicar o direito nacional ou da União em matéria de proteção de informações confidenciais ou classificadas. |
| --- | --- |

(75)

Convém instituir avaliações pelos pares, de molde a contribuir para que sejam retirados ensinamentos das experiências partilhadas, reforçar a confiança mútua e alcançar um elevado nível comum de cibersegurança. As avaliações pelos pares podem dar azo a observações e recomendações preciosas que reforcem as capacidades globais de cibersegurança, criando uma via operacional alternativa para a partilha de boas práticas entre os Estados-Membros e contribuindo para um maior grau de maturidade dos Estados-Membros em matéria de cibersegurança. Além disso, convém que as avaliações pelos pares tenham em conta os resultados de mecanismos semelhantes, como o sistema de avaliações pelos pares da rede de CSIRT, que acrescentem valor e que evitem duplicações. A execução de avaliações pelos pares não deverá prejudicar o direito nacional ou da União em matéria de proteção de informações confidenciais ou classificadas.

| (76) | O grupo de cooperação deverá estabelecer uma metodologia de autoavaliação para os Estados-Membros, que vise abarcar fatores como o nível de aplicação das medidas de gestão dos riscos de cibersegurança e das obrigações de notificação, o nível de capacidades e a eficácia das autoridades competentes no desempenho das suas funções, as capacidades operacionais das CSIRT, o nível de aplicação da assistência mútua, o nível de aplicação dos acordos de partilha de informações sobre cibersegurança ou questões específicas de natureza transfronteiras ou intersectorial. Os Estados-Membros deverão ser incentivados a realizar regularmente autoavaliações e a apresentar e debater os resultados da respetiva autoavaliação no âmbito do grupo de cooperação. |
| --- | --- |

(76)

O grupo de cooperação deverá estabelecer uma metodologia de autoavaliação para os Estados-Membros, que vise abarcar fatores como o nível de aplicação das medidas de gestão dos riscos de cibersegurança e das obrigações de notificação, o nível de capacidades e a eficácia das autoridades competentes no desempenho das suas funções, as capacidades operacionais das CSIRT, o nível de aplicação da assistência mútua, o nível de aplicação dos acordos de partilha de informações sobre cibersegurança ou questões específicas de natureza transfronteiras ou intersectorial. Os Estados-Membros deverão ser incentivados a realizar regularmente autoavaliações e a apresentar e debater os resultados da respetiva autoavaliação no âmbito do grupo de cooperação.

| (77) | A responsabilidade de garantir a segurança do sistema de rede e informação cabe, em larga medida, às entidades essenciais e importantes. Dever-se-á promover e desenvolver uma cultura de gestão de riscos que passe por avaliações de riscos e pela aplicação de medidas de gestão de riscos de cibersegurança adequadas aos riscos enfrentados. |
| --- | --- |

(77)

A responsabilidade de garantir a segurança do sistema de rede e informação cabe, em larga medida, às entidades essenciais e importantes. Dever-se-á promover e desenvolver uma cultura de gestão de riscos que passe por avaliações de riscos e pela aplicação de medidas de gestão de riscos de cibersegurança adequadas aos riscos enfrentados.

| (78) | As medidas de gestão dos riscos de cibersegurança deverão ter em consideração o grau de dependência da entidade essencial ou importante em relação aos sistemas de rede e informação e incluir medidas para identificar os riscos de incidentes, para evitar e detetar os incidentes, bem como para lhes dar resposta, permitir a recuperação após estes incidentes e atenuar o seu impacto. A segurança dos sistemas de rede e informação deverá abranger a segurança dos dados armazenados, transmitidos e tratados. As medidas de gestão dos riscos de cibersegurança deverão prever uma análise sistémica que tenha em conta o fator humano, a fim de obter uma perspetiva completa da segurança do sistema de rede e informação. |
| --- | --- |

(78)

As medidas de gestão dos riscos de cibersegurança deverão ter em consideração o grau de dependência da entidade essencial ou importante em relação aos sistemas de rede e informação e incluir medidas para identificar os riscos de incidentes, para evitar e detetar os incidentes, bem como para lhes dar resposta, permitir a recuperação após estes incidentes e atenuar o seu impacto. A segurança dos sistemas de rede e informação deverá abranger a segurança dos dados armazenados, transmitidos e tratados. As medidas de gestão dos riscos de cibersegurança deverão prever uma análise sistémica que tenha em conta o fator humano, a fim de obter uma perspetiva completa da segurança do sistema de rede e informação.

| (79) | Uma vez que as ameaças à segurança dos sistemas de rede e informação podem ter origens diferentes, as medidas de gestão dos riscos de cibersegurança deverão basear-se numa abordagem que contempla todos os riscos e que visa a proteção dos sistemas de rede e informação e do ambiente físico contra eventos, como roubos, incêndios, inundações, falhas de telecomunicações ou de energia, ou contra o acesso físico não autorizado, bem como danos causados e interferências praticadas nas instalações de tratamento de informações da entidade essencial ou importante, que possa comprometer a disponibilidade, a autenticidade, a integridade ou a confidencialidade dos dados armazenados, transmitidos ou tratados, ou dos serviços oferecidos pelos sistemas de rede e informação ou a que estes deem acesso. As medidas de gestão dos riscos de cibersegurança deverão, por conseguinte, resolver também problemas de segurança física e ambiental dos sistemas de rede e informação, incluindo, para tal, medidas para proteger estes sistemas contra falhas do sistema, erros humanos, ações maliciosas ou fenómenos naturais, em conformidade com as normas europeias e internacionais, como as que integram a série ISO/IEC 27000. A esse respeito, as entidades essenciais e importantes deverão, no quadro das suas medidas de gestão dos riscos de cibersegurança, atender também à segurança dos recursos humanos e dispor de políticas adequadas de controlo do acesso. Estas medidas deverão ser coerentes com a Diretiva (UE) 2022/2557. |
| --- | --- |

(79)

Uma vez que as ameaças à segurança dos sistemas de rede e informação podem ter origens diferentes, as medidas de gestão dos riscos de cibersegurança deverão basear-se numa abordagem que contempla todos os riscos e que visa a proteção dos sistemas de rede e informação e do ambiente físico contra eventos, como roubos, incêndios, inundações, falhas de telecomunicações ou de energia, ou contra o acesso físico não autorizado, bem como danos causados e interferências praticadas nas instalações de tratamento de informações da entidade essencial ou importante, que possa comprometer a disponibilidade, a autenticidade, a integridade ou a confidencialidade dos dados armazenados, transmitidos ou tratados, ou dos serviços oferecidos pelos sistemas de rede e informação ou a que estes deem acesso. As medidas de gestão dos riscos de cibersegurança deverão, por conseguinte, resolver também problemas de segurança física e ambiental dos sistemas de rede e informação, incluindo, para tal, medidas para proteger estes sistemas contra falhas do sistema, erros humanos, ações maliciosas ou fenómenos naturais, em conformidade com as normas europeias e internacionais, como as que integram a série ISO/IEC 27000. A esse respeito, as entidades essenciais e importantes deverão, no quadro das suas medidas de gestão dos riscos de cibersegurança, atender também à segurança dos recursos humanos e dispor de políticas adequadas de controlo do acesso. Estas medidas deverão ser coerentes com a Diretiva (UE) 2022/2557.

| (80) | Para efeitos de demonstração do cumprimento das medidas de gestão dos riscos de cibersegurança e na ausência de sistemas europeus de certificação da cibersegurança adequados, adotados nos termos do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho (18), os Estados-Membros deverão, em consulta com o grupo de cooperação e do grupo europeu para a certificação da cibersegurança, promover a utilização de normas europeias e internacionais pertinentes pelas entidades essenciais e importantes ou poderão exigir que as entidades utilizem produtos de TIC, serviços de TIC e processos de TIC certificados. |
| --- | --- |

(80)

Para efeitos de demonstração do cumprimento das medidas de gestão dos riscos de cibersegurança e na ausência de sistemas europeus de certificação da cibersegurança adequados, adotados nos termos do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho (18), os Estados-Membros deverão, em consulta com o grupo de cooperação e do grupo europeu para a certificação da cibersegurança, promover a utilização de normas europeias e internacionais pertinentes pelas entidades essenciais e importantes ou poderão exigir que as entidades utilizem produtos de TIC, serviços de TIC e processos de TIC certificados.

| (81) | Para evitar impor encargos financeiros e administrativos desproporcionados às entidades essenciais e importantes, as medidas estabelecidas em matéria de gestão dos riscos de cibersegurança deverão ser proporcionadas em relação aos riscos para os sistemas de rede e informação em causa, tendo em conta os progressos técnicos mais recentes no que respeita a tais medidas e, se aplicável, as normas europeias e internacionais pertinentes, bem como os custos relativos à sua aplicação. |
| --- | --- |

(81)

Para evitar impor encargos financeiros e administrativos desproporcionados às entidades essenciais e importantes, as medidas estabelecidas em matéria de gestão dos riscos de cibersegurança deverão ser proporcionadas em relação aos riscos para os sistemas de rede e informação em causa, tendo em conta os progressos técnicos mais recentes no que respeita a tais medidas e, se aplicável, as normas europeias e internacionais pertinentes, bem como os custos relativos à sua aplicação.

| (82) | As medidas de gestão dos riscos de cibersegurança deverão ser proporcionais ao grau de exposição da entidade essencial ou importante aos riscos e ao impacto societal e económico que um incidente teria. Aquando do estabelecimento de medidas de gestão dos riscos de cibersegurança adaptadas às entidades essenciais e importantes, importa ter em devida conta os diferentes níveis de exposição aos riscos das entidades essenciais e importantes, tais como o caráter crítico da entidade, os riscos, incluindo os riscos societais, a que está exposta, a dimensão da entidade e a probabilidade de ocorrência de incidentes e respetiva gravidade, incluindo o seu impacto societal e económico. |
| --- | --- |

(82)

As medidas de gestão dos riscos de cibersegurança deverão ser proporcionais ao grau de exposição da entidade essencial ou importante aos riscos e ao impacto societal e económico que um incidente teria. Aquando do estabelecimento de medidas de gestão dos riscos de cibersegurança adaptadas às entidades essenciais e importantes, importa ter em devida conta os diferentes níveis de exposição aos riscos das entidades essenciais e importantes, tais como o caráter crítico da entidade, os riscos, incluindo os riscos societais, a que está exposta, a dimensão da entidade e a probabilidade de ocorrência de incidentes e respetiva gravidade, incluindo o seu impacto societal e económico.

| (83) | As entidades essenciais e importantes deverão garantir a segurança dos sistemas de rede e informação que utilizam nas suas atividades. Esses sistemas são constituídos principalmente por sistemas de rede e informação privados geridos por pessoal interno especializado em TI das entidades essenciais e importantes ou cuja segurança tenha sido externalizada. As medidas de gestão dos riscos de cibersegurança e as obrigações de notificação estabelecidos na presente diretiva deverão aplicar-se às entidades essenciais e importantes abrangidas, independentemente de a manutenção dos sistemas de rede e informação dessas entidades ser realizada a nível interno ou ser externalizada. |
| --- | --- |

(83)

As entidades essenciais e importantes deverão garantir a segurança dos sistemas de rede e informação que utilizam nas suas atividades. Esses sistemas são constituídos principalmente por sistemas de rede e informação privados geridos por pessoal interno especializado em TI das entidades essenciais e importantes ou cuja segurança tenha sido externalizada. As medidas de gestão dos riscos de cibersegurança e as obrigações de notificação estabelecidos na presente diretiva deverão aplicar-se às entidades essenciais e importantes abrangidas, independentemente de a manutenção dos sistemas de rede e informação dessas entidades ser realizada a nível interno ou ser externalizada.

| (84) | Tendo em conta a sua natureza transfronteiriça, os prestadores de serviços de DNS, os registos de nomes de TLD, os prestadores de serviços de computação em nuvem, os prestadores de serviços de centros de dados, os fornecedores de redes de distribuição de conteúdos, os prestadores de serviços geridos, os prestadores de serviços de segurança geridos, os prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais e os prestadores de serviços de confiança deverão estar sujeitos a um maior grau de harmonização a nível da União. A aplicação de medidas de gestão dos riscos de cibersegurança no que respeita a essas entidades deverá, por conseguinte, ser facilitada por um ato de execução. |
| --- | --- |

(84)

Tendo em conta a sua natureza transfronteiriça, os prestadores de serviços de DNS, os registos de nomes de TLD, os prestadores de serviços de computação em nuvem, os prestadores de serviços de centros de dados, os fornecedores de redes de distribuição de conteúdos, os prestadores de serviços geridos, os prestadores de serviços de segurança geridos, os prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais e os prestadores de serviços de confiança deverão estar sujeitos a um maior grau de harmonização a nível da União. A aplicação de medidas de gestão dos riscos de cibersegurança no que respeita a essas entidades deverá, por conseguinte, ser facilitada por um ato de execução.

| (85) | Tendo em conta a frequência de incidentes em que as entidades foram vítimas de ciberataques e em que intervenientes maliciosos conseguiram pôr em causa a segurança dos sistemas de rede e informação de uma entidade mediante a exploração de vulnerabilidades que afetam produtos e serviços de terceiros, é particularmente importante gerir os riscos decorrentes da cadeia de abastecimento de uma entidade e da relação desta com os seus fornecedores, como os prestadores de serviços de armazenamento e tratamento de dados ou os prestadores de serviços de segurança geridos e os editores de software. Por conseguinte, as entidades essenciais e importantes deverão avaliar e ter em conta a qualidade e a resiliência globais dos produtos e serviços, as medidas de gestão dos riscos de cibersegurança neles integradas e as práticas de cibersegurança dos seus fornecedores e prestadores de serviços, incluindo os respetivos procedimentos de desenvolvimento seguro. As entidades essenciais e importantes deverão, em particular, ser incentivadas a incorporar medidas de gestão dos riscos de cibersegurança nos acordos contratuais com os seus fornecedores e prestadores de serviços diretos. Essas entidades podem tomar em consideração os riscos decorrentes de outros níveis de fornecedores e prestadores de serviços. |
| --- | --- |

(85)

Tendo em conta a frequência de incidentes em que as entidades foram vítimas de ciberataques e em que intervenientes maliciosos conseguiram pôr em causa a segurança dos sistemas de rede e informação de uma entidade mediante a exploração de vulnerabilidades que afetam produtos e serviços de terceiros, é particularmente importante gerir os riscos decorrentes da cadeia de abastecimento de uma entidade e da relação desta com os seus fornecedores, como os prestadores de serviços de armazenamento e tratamento de dados ou os prestadores de serviços de segurança geridos e os editores de software. Por conseguinte, as entidades essenciais e importantes deverão avaliar e ter em conta a qualidade e a resiliência globais dos produtos e serviços, as medidas de gestão dos riscos de cibersegurança neles integradas e as práticas de cibersegurança dos seus fornecedores e prestadores de serviços, incluindo os respetivos procedimentos de desenvolvimento seguro. As entidades essenciais e importantes deverão, em particular, ser incentivadas a incorporar medidas de gestão dos riscos de cibersegurança nos acordos contratuais com os seus fornecedores e prestadores de serviços diretos. Essas entidades podem tomar em consideração os riscos decorrentes de outros níveis de fornecedores e prestadores de serviços.

| (86) | Entre os prestadores de serviços, os prestadores de serviços de segurança geridos em domínios como a resposta a incidentes, os testes de penetração, as auditorias de segurança e a consultoria desempenham um papel especialmente importante em termos de apoio aos esforços desenvolvidos pelas entidades para evitar e detetar os incidentes, bem como para lhes dar resposta ou recuperar dos mesmos. Porém, os próprios prestadores de serviços de segurança geridos têm sido igualmente alvo de ciberataques e, em virtude da sua estreita integração nas atividades das entidades, representam um risco especial. As entidades essenciais e importantes deverão, assim, exercer uma diligência acrescida ao selecionarem um prestador de serviços de segurança geridos. |
| --- | --- |

(86)

Entre os prestadores de serviços, os prestadores de serviços de segurança geridos em domínios como a resposta a incidentes, os testes de penetração, as auditorias de segurança e a consultoria desempenham um papel especialmente importante em termos de apoio aos esforços desenvolvidos pelas entidades para evitar e detetar os incidentes, bem como para lhes dar resposta ou recuperar dos mesmos. Porém, os próprios prestadores de serviços de segurança geridos têm sido igualmente alvo de ciberataques e, em virtude da sua estreita integração nas atividades das entidades, representam um risco especial. As entidades essenciais e importantes deverão, assim, exercer uma diligência acrescida ao selecionarem um prestador de serviços de segurança geridos.

| (87) | As autoridades competentes podem também, no contexto das suas funções de supervisão, recorrer a serviços de cibersegurança, tais como auditorias de segurança, testes de penetração ou resposta a incidentes. |
| --- | --- |

(87)

As autoridades competentes podem também, no contexto das suas funções de supervisão, recorrer a serviços de cibersegurança, tais como auditorias de segurança, testes de penetração ou resposta a incidentes.

| (88) | As entidades essenciais e importantes deverão igualmente gerir os riscos emergentes da sua interação e da sua relação com outras partes interessadas no seio de um ecossistema mais vasto, nomeadamente no que se refere à luta contra a espionagem industrial e à proteção de segredos comerciais. Mais concretamente, essas entidades deverão tomar medidas adequadas para garantir que a sua cooperação com instituições académicas e de investigação respeita as suas políticas de cibersegurança e segue boas práticas no tocante ao acesso e à disseminação de informações em condições de segurança, em geral, e à proteção da propriedade intelectual, em particular. Do mesmo modo, dada a importância e o valor dos dados para as atividades das entidades essenciais e importantes, quando recorrerem a serviços de transformação de dados e de análise de dados prestados por terceiros, essas entidades deverão tomar todas as medidas de gestão dos riscos de cibersegurança adequadas. |
| --- | --- |

(88)

As entidades essenciais e importantes deverão igualmente gerir os riscos emergentes da sua interação e da sua relação com outras partes interessadas no seio de um ecossistema mais vasto, nomeadamente no que se refere à luta contra a espionagem industrial e à proteção de segredos comerciais. Mais concretamente, essas entidades deverão tomar medidas adequadas para garantir que a sua cooperação com instituições académicas e de investigação respeita as suas políticas de cibersegurança e segue boas práticas no tocante ao acesso e à disseminação de informações em condições de segurança, em geral, e à proteção da propriedade intelectual, em particular. Do mesmo modo, dada a importância e o valor dos dados para as atividades das entidades essenciais e importantes, quando recorrerem a serviços de transformação de dados e de análise de dados prestados por terceiros, essas entidades deverão tomar todas as medidas de gestão dos riscos de cibersegurança adequadas.

| (89) | As entidades essenciais e importantes deverão adotar uma vasta gama de práticas básicas de ciber-higiene, como princípios de «confiança zero», a atualização do software, a configuração dos dispositivos, a segmentação da rede, a gestão da identidade e do acesso ou a sensibilização dos utilizadores, organizar formações para o seu pessoal e aumentar a sensibilização para as ciberameaças, a mistificação da interface («phishing») ou as técnicas de engenharia social. Além disso, essas entidades deverão avaliar as suas próprias capacidades de cibersegurança e, se for caso disso, procurar a integração de tecnologias que reforcem a cibersegurança, como a inteligência artificial ou os sistemas de aprendizagem automática para melhorar as suas capacidades e a segurança dos sistemas de rede e informação. |
| --- | --- |

(89)

As entidades essenciais e importantes deverão adotar uma vasta gama de práticas básicas de ciber-higiene, como princípios de «confiança zero», a atualização do software, a configuração dos dispositivos, a segmentação da rede, a gestão da identidade e do acesso ou a sensibilização dos utilizadores, organizar formações para o seu pessoal e aumentar a sensibilização para as ciberameaças, a mistificação da interface («phishing») ou as técnicas de engenharia social. Além disso, essas entidades deverão avaliar as suas próprias capacidades de cibersegurança e, se for caso disso, procurar a integração de tecnologias que reforcem a cibersegurança, como a inteligência artificial ou os sistemas de aprendizagem automática para melhorar as suas capacidades e a segurança dos sistemas de rede e informação.

| (90) | A fim de melhorar a gestão dos principais riscos da cadeia de abastecimento e de ajudar as entidades essenciais e importantes que atuam em setores abrangidos pela presente diretiva a gerirem adequadamente riscos relacionados com a cadeia de abastecimento e os fornecedores, o grupo de cooperação, em cooperação com a Comissão e a ENISA e, se for caso disso, após consulta das partes interessadas pertinentes, nomeadamente da indústria, deverá realizar avaliações coordenadas dos riscos de segurança associados às cadeias de abastecimento críticas, tal como foi já feito para as redes 5G na sequência da Recomendação (UE) 2019/534 da Comissão (19), com o objetivo de identificar, em cada setor, os produtos de TIC, sistemas de TIC ou serviços de TIC críticos, bem como as vulnerabilidades e ameaças importantes. Essas avaliações coordenadas dos riscos de segurança deverão identificar medidas, planos de atenuação e boas práticas para combater dependências críticas, potenciais falhas pontuais, ameaças, vulnerabilidades e outros riscos associados à cadeia de abastecimento e deverão explorar formas de incentivar a sua adoção mais generalizada pelas entidades essenciais e importantes. Os potenciais fatores de risco não-técnicos, como a influência indevida de um país terceiro nos fornecedores e nos prestadores de serviços, em particular no caso de modelos alternativos de governação, incluem vulnerabilidades ou acessos ocultos e potenciais perturbações sistémicas no abastecimento, em particular no caso de vinculação tecnológica ou de dependência dos fornecedores. |
| --- | --- |

(90)

A fim de melhorar a gestão dos principais riscos da cadeia de abastecimento e de ajudar as entidades essenciais e importantes que atuam em setores abrangidos pela presente diretiva a gerirem adequadamente riscos relacionados com a cadeia de abastecimento e os fornecedores, o grupo de cooperação, em cooperação com a Comissão e a ENISA e, se for caso disso, após consulta das partes interessadas pertinentes, nomeadamente da indústria, deverá realizar avaliações coordenadas dos riscos de segurança associados às cadeias de abastecimento críticas, tal como foi já feito para as redes 5G na sequência da Recomendação (UE) 2019/534 da Comissão (19), com o objetivo de identificar, em cada setor, os produtos de TIC, sistemas de TIC ou serviços de TIC críticos, bem como as vulnerabilidades e ameaças importantes. Essas avaliações coordenadas dos riscos de segurança deverão identificar medidas, planos de atenuação e boas práticas para combater dependências críticas, potenciais falhas pontuais, ameaças, vulnerabilidades e outros riscos associados à cadeia de abastecimento e deverão explorar formas de incentivar a sua adoção mais generalizada pelas entidades essenciais e importantes. Os potenciais fatores de risco não-técnicos, como a influência indevida de um país terceiro nos fornecedores e nos prestadores de serviços, em particular no caso de modelos alternativos de governação, incluem vulnerabilidades ou acessos ocultos e potenciais perturbações sistémicas no abastecimento, em particular no caso de vinculação tecnológica ou de dependência dos fornecedores.

| (91) | Dadas as características do setor em causa, as avaliações coordenadas dos riscos de segurança associados às cadeias de abastecimento críticas deverão ter em conta tanto fatores técnicos como, quando pertinente, fatores não técnicos, incluindo os definidos na Recomendação (UE) 2019/534, na avaliação coordenada dos riscos de cibersegurança das redes 5G a nível da UE e no conjunto de instrumentos da UE em matéria de cibersegurança das redes 5G acordado pelo grupo de cooperação. Na identificação das cadeias de abastecimento que deverão estar sujeitas a uma avaliação coordenada dos riscos de segurança, importa ter em conta os seguintes critérios: i) em que medida as entidades essenciais e importantes utilizam e dependem de produtos de TIC, sistemas de TIC ou serviços de TIC críticos específicos; ii) a importância de produtos de TIC, sistemas de TIC ou serviços de TIC críticos específicos para o desempenho de funções críticas ou sensíveis, incluindo o tratamento de dados pessoais; iii) a disponibilidade de produtos de TIC, sistemas de TIC ou serviços de TIC alternativos; iv) a resiliência da cadeia global de abastecimento de produtos de TIC, sistemas de TIC ou serviços de TIC, ao longo do seu ciclo de vida, face a perturbações; e v) no que respeita a produtos de TIC, sistemas de TIC ou serviços de TIC emergentes, a sua potencial importância futura para as atividades das entidades. Além disso, deverá ser prestada especial atenção aos serviços de TIC, sistemas de TIC ou produtos de TIC sujeitos a requisitos específicos decorrentes de países terceiros. |
| --- | --- |

(91)

Dadas as características do setor em causa, as avaliações coordenadas dos riscos de segurança associados às cadeias de abastecimento críticas deverão ter em conta tanto fatores técnicos como, quando pertinente, fatores não técnicos, incluindo os definidos na Recomendação (UE) 2019/534, na avaliação coordenada dos riscos de cibersegurança das redes 5G a nível da UE e no conjunto de instrumentos da UE em matéria de cibersegurança das redes 5G acordado pelo grupo de cooperação. Na identificação das cadeias de abastecimento que deverão estar sujeitas a uma avaliação coordenada dos riscos de segurança, importa ter em conta os seguintes critérios: i) em que medida as entidades essenciais e importantes utilizam e dependem de produtos de TIC, sistemas de TIC ou serviços de TIC críticos específicos; ii) a importância de produtos de TIC, sistemas de TIC ou serviços de TIC críticos específicos para o desempenho de funções críticas ou sensíveis, incluindo o tratamento de dados pessoais; iii) a disponibilidade de produtos de TIC, sistemas de TIC ou serviços de TIC alternativos; iv) a resiliência da cadeia global de abastecimento de produtos de TIC, sistemas de TIC ou serviços de TIC, ao longo do seu ciclo de vida, face a perturbações; e v) no que respeita a produtos de TIC, sistemas de TIC ou serviços de TIC emergentes, a sua potencial importância futura para as atividades das entidades. Além disso, deverá ser prestada especial atenção aos serviços de TIC, sistemas de TIC ou produtos de TIC sujeitos a requisitos específicos decorrentes de países terceiros.

| (92) | A fim de simplificar as obrigações impostas aos fornecedores de redes públicas de comunicações eletrónicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público e aos prestadores de serviços de confiança, relacionadas com a segurança dos respetivos sistemas de rede e informação, bem como para permitir que essas entidades e as autoridades competentes nos termos da Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho (20) e do Regulamento (UE) n.o 910/2014, respetivamente, beneficiem do quadro jurídico estabelecido pela presente diretiva, incluindo a designação de uma CSIRT responsável pelo tratamento de incidentes e a participação das autoridades competentes em causa no trabalho do grupo de cooperação e da rede de CSIRT, as referidas entidades deverão estar abrangidas pelo âmbito de aplicação da presente diretiva. Por conseguinte, é necessário suprimir as correspondentes disposições do Regulamento (UE) n.o 910/2014 e da Diretiva (UE) 2018/1972 relacionadas com a imposição de obrigações em matéria de segurança e notificação a estes tipos de entidades. As regras em matéria de obrigações de notificação estabelecidas na presente diretiva deverão ser aplicáveis sem prejuízo das disposições do Regulamento (UE) 2016/679 e da Diretiva 2002/58/CE. |
| --- | --- |

(92)

A fim de simplificar as obrigações impostas aos fornecedores de redes públicas de comunicações eletrónicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público e aos prestadores de serviços de confiança, relacionadas com a segurança dos respetivos sistemas de rede e informação, bem como para permitir que essas entidades e as autoridades competentes nos termos da Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho (20) e do Regulamento (UE) n.o 910/2014, respetivamente, beneficiem do quadro jurídico estabelecido pela presente diretiva, incluindo a designação de uma CSIRT responsável pelo tratamento de incidentes e a participação das autoridades competentes em causa no trabalho do grupo de cooperação e da rede de CSIRT, as referidas entidades deverão estar abrangidas pelo âmbito de aplicação da presente diretiva. Por conseguinte, é necessário suprimir as correspondentes disposições do Regulamento (UE) n.o 910/2014 e da Diretiva (UE) 2018/1972 relacionadas com a imposição de obrigações em matéria de segurança e notificação a estes tipos de entidades. As regras em matéria de obrigações de notificação estabelecidas na presente diretiva deverão ser aplicáveis sem prejuízo das disposições do Regulamento (UE) 2016/679 e da Diretiva 2002/58/CE.

| (93) | As obrigações em matéria de cibersegurança estabelecidas na presente diretiva deverão ser consideradas complementares dos requisitos impostos aos prestadores de serviços de confiança nos termos do Regulamento (UE) n.o 910/2014. Os prestadores de serviços de confiança deverão ser obrigados a tomar todas as medidas adequadas e proporcionadas para gerir os riscos que se colocam aos seus serviços, nomeadamente em relação a clientes e a utilizadores terceiros, e a comunicar incidentes nos termos da presente diretiva. Tais obrigações em matéria de cibersegurança e de notificação deverão também dizer respeito à proteção física dos serviços prestados. Os requisitos aplicáveis aos prestadores de serviços de confiança qualificados previstos no artigo 24.o do Regulamento (UE) n.o 910/2014 continuam a ser aplicáveis. |
| --- | --- |

(93)

As obrigações em matéria de cibersegurança estabelecidas na presente diretiva deverão ser consideradas complementares dos requisitos impostos aos prestadores de serviços de confiança nos termos do Regulamento (UE) n.o 910/2014. Os prestadores de serviços de confiança deverão ser obrigados a tomar todas as medidas adequadas e proporcionadas para gerir os riscos que se colocam aos seus serviços, nomeadamente em relação a clientes e a utilizadores terceiros, e a comunicar incidentes nos termos da presente diretiva. Tais obrigações em matéria de cibersegurança e de notificação deverão também dizer respeito à proteção física dos serviços prestados. Os requisitos aplicáveis aos prestadores de serviços de confiança qualificados previstos no artigo 24.o do Regulamento (UE) n.o 910/2014 continuam a ser aplicáveis.

| (94) | Os Estados-Membros podem atribuir as funções de autoridade competente pelos serviços de confiança aos organismos supervisores nos termos do Regulamento (UE) n.o 910/2014, a fim de assegurar a continuidade das práticas atuais e tirar partido dos conhecimentos e da experiência resultantes da aplicação do referido Regulamento. Nesse caso, as autoridades competentes nos termos da presente diretiva deverão cooperar estreitamente e em tempo útil, com esses organismos supervisores, trocando informações relevantes, a fim de assegurar uma supervisão eficaz e o cumprimento dos requisitos estabelecidos na presente diretiva e no Regulamento (UE) n.o 910/2014 pelos prestadores de serviços de confiança. Quando aplicável, a CSIRT ou a autoridade competente nos termos da presente diretiva deverá informar de imediato o organismo supervisor nos termos do Regulamento (UE) n.o 910/2014 de qualquer incidente ou ciberameaça significativa notificados que afetem os serviços de confiança, bem como de qualquer infração à presente diretiva por parte dos prestadores de serviços de confiança. Para efeitos de notificação, os Estados-Membros podem, se aplicável, recorrer ao ponto de entrada único estabelecido para efetuar a notificação comum e automática de incidentes tanto ao organismo supervisor nos termos do Regulamento (UE) n.o 910/2014, como à CSIRT ou à autoridade competente nos termos da presente diretiva. |
| --- | --- |

(94)

Os Estados-Membros podem atribuir as funções de autoridade competente pelos serviços de confiança aos organismos supervisores nos termos do Regulamento (UE) n.o 910/2014, a fim de assegurar a continuidade das práticas atuais e tirar partido dos conhecimentos e da experiência resultantes da aplicação do referido Regulamento. Nesse caso, as autoridades competentes nos termos da presente diretiva deverão cooperar estreitamente e em tempo útil, com esses organismos supervisores, trocando informações relevantes, a fim de assegurar uma supervisão eficaz e o cumprimento dos requisitos estabelecidos na presente diretiva e no Regulamento (UE) n.o 910/2014 pelos prestadores de serviços de confiança. Quando aplicável, a CSIRT ou a autoridade competente nos termos da presente diretiva deverá informar de imediato o organismo supervisor nos termos do Regulamento (UE) n.o 910/2014 de qualquer incidente ou ciberameaça significativa notificados que afetem os serviços de confiança, bem como de qualquer infração à presente diretiva por parte dos prestadores de serviços de confiança. Para efeitos de notificação, os Estados-Membros podem, se aplicável, recorrer ao ponto de entrada único estabelecido para efetuar a notificação comum e automática de incidentes tanto ao organismo supervisor nos termos do Regulamento (UE) n.o 910/2014, como à CSIRT ou à autoridade competente nos termos da presente diretiva.

| (95) | Quando for caso disso e para evitar perturbações desnecessárias, as orientações nacionais em vigor adotadas para efeitos de transposição das regras relacionadas com medidas de segurança estabelecidas nos artigos 40.o e 41.o da Diretiva (UE) 2018/1972 deverão ser tidas em conta na transposição da presente diretiva, tendo, assim, por base os conhecimentos e as competências resultantes da aplicação da Diretiva (UE) 2018/1972 no que se refere às medidas de segurança e à notificação de incidentes. A ENISA pode também elaborar orientações para os requisitos em matéria de segurança e para as obrigações de notificação destinados aos fornecedores de redes públicas de comunicações eletrónicas ou aos prestadores de serviços de comunicações eletrónicas acessíveis ao público, a fim de facilitar a harmonização e a transição e de minimizar as perturbações. Os Estados-Membros podem atribuir as funções de autoridade competente pelas comunicações eletrónicas às entidades reguladoras nacionais ao abrigo da Diretiva (UE) 2018/1972, a fim de assegurar a continuidade das práticas atuais e tirar partido dos conhecimentos e da experiência resultantes da aplicação dessa diretiva. |
| --- | --- |

(95)

Quando for caso disso e para evitar perturbações desnecessárias, as orientações nacionais em vigor adotadas para efeitos de transposição das regras relacionadas com medidas de segurança estabelecidas nos artigos 40.o e 41.o da Diretiva (UE) 2018/1972 deverão ser tidas em conta na transposição da presente diretiva, tendo, assim, por base os conhecimentos e as competências resultantes da aplicação da Diretiva (UE) 2018/1972 no que se refere às medidas de segurança e à notificação de incidentes. A ENISA pode também elaborar orientações para os requisitos em matéria de segurança e para as obrigações de notificação destinados aos fornecedores de redes públicas de comunicações eletrónicas ou aos prestadores de serviços de comunicações eletrónicas acessíveis ao público, a fim de facilitar a harmonização e a transição e de minimizar as perturbações. Os Estados-Membros podem atribuir as funções de autoridade competente pelas comunicações eletrónicas às entidades reguladoras nacionais ao abrigo da Diretiva (UE) 2018/1972, a fim de assegurar a continuidade das práticas atuais e tirar partido dos conhecimentos e da experiência resultantes da aplicação dessa diretiva.

| (96) | Dada a importância crescente dos serviços de comunicações interpessoais independentes do número, na aceção da Diretiva (UE) 2018/1972, é necessário assegurar que tais serviços também estejam sujeitos a requisitos de segurança adequados, tendo em conta a sua natureza específica e importância económica. À medida que a superfície de ataque continua a expandir-se, os serviços de comunicações interpessoais independentes do número, como os serviços de mensagens, estão a tornar-se vetores de ataque generalizados. Os intervenientes maliciosos utilizam plataformas para comunicar e levar as vítimas a abrir páginas Web expostas, aumentando assim a probabilidade de incidentes que envolvam a exploração de dados pessoais e, por extensão, a segurança dos sistemas de rede e informação. Assim, os prestadores de serviços de comunicações interpessoais independentes do número deverão garantir um nível de segurança dos sistemas de rede e informação adequado aos riscos que representam. Dado que, por norma, os prestadores de serviços de comunicações interpessoais independentes do número não exercem um controlo efetivo sobre a transmissão de sinais através das redes, o nível de risco para esses serviços poderá considerar-se, sob determinados aspetos, inferior ao dos serviços de comunicações eletrónicas tradicionais. O mesmo é válido para os serviços de comunicações interpessoais, na aceção da Diretiva (UE) 2018/1972, que utilizam números e que não exercem um controlo efetivo sobre a transmissão de sinais. |
| --- | --- |

(96)

Dada a importância crescente dos serviços de comunicações interpessoais independentes do número, na aceção da Diretiva (UE) 2018/1972, é necessário assegurar que tais serviços também estejam sujeitos a requisitos de segurança adequados, tendo em conta a sua natureza específica e importância económica. À medida que a superfície de ataque continua a expandir-se, os serviços de comunicações interpessoais independentes do número, como os serviços de mensagens, estão a tornar-se vetores de ataque generalizados. Os intervenientes maliciosos utilizam plataformas para comunicar e levar as vítimas a abrir páginas Web expostas, aumentando assim a probabilidade de incidentes que envolvam a exploração de dados pessoais e, por extensão, a segurança dos sistemas de rede e informação. Assim, os prestadores de serviços de comunicações interpessoais independentes do número deverão garantir um nível de segurança dos sistemas de rede e informação adequado aos riscos que representam. Dado que, por norma, os prestadores de serviços de comunicações interpessoais independentes do número não exercem um controlo efetivo sobre a transmissão de sinais através das redes, o nível de risco para esses serviços poderá considerar-se, sob determinados aspetos, inferior ao dos serviços de comunicações eletrónicas tradicionais. O mesmo é válido para os serviços de comunicações interpessoais, na aceção da Diretiva (UE) 2018/1972, que utilizam números e que não exercem um controlo efetivo sobre a transmissão de sinais.

| (97) | O mercado interno depende, mais do que nunca, do funcionamento da Internet. Os serviços de quase todas as entidades essenciais e importantes estão dependentes de serviços prestados através da Internet. Para evitar problemas na prestação dos serviços assegurados por entidades essenciais e importantes, é necessário que todos os fornecedores de redes públicas de comunicações eletrónicas adotem medidas de gestão dos riscos de cibersegurança adequadas e notifiquem incidentes significativos relacionados com as mesmas. Os Estados-Membros deverão assegurar a manutenção da segurança das redes públicas de comunicações eletrónicas e a proteção dos seus interesses vitais em matéria de segurança contra sabotagem e espionagem. Uma vez que a conectividade internacional reforça e acelera a digitalização competitiva da União e da sua economia, os incidentes que afetam os cabos submarinos de comunicações deverão ser notificados à CSIRT ou, se aplicável, à autoridade competente. A estratégia nacional de cibersegurança deverá, quando pertinente, ter em conta a cibersegurança dos cabos submarinos de comunicações e incluir um levantamento dos potenciais riscos de cibersegurança e medidas de atenuação para garantir o mais elevado nível de proteção dos mesmos. |
| --- | --- |

(97)

O mercado interno depende, mais do que nunca, do funcionamento da Internet. Os serviços de quase todas as entidades essenciais e importantes estão dependentes de serviços prestados através da Internet. Para evitar problemas na prestação dos serviços assegurados por entidades essenciais e importantes, é necessário que todos os fornecedores de redes públicas de comunicações eletrónicas adotem medidas de gestão dos riscos de cibersegurança adequadas e notifiquem incidentes significativos relacionados com as mesmas. Os Estados-Membros deverão assegurar a manutenção da segurança das redes públicas de comunicações eletrónicas e a proteção dos seus interesses vitais em matéria de segurança contra sabotagem e espionagem. Uma vez que a conectividade internacional reforça e acelera a digitalização competitiva da União e da sua economia, os incidentes que afetam os cabos submarinos de comunicações deverão ser notificados à CSIRT ou, se aplicável, à autoridade competente. A estratégia nacional de cibersegurança deverá, quando pertinente, ter em conta a cibersegurança dos cabos submarinos de comunicações e incluir um levantamento dos potenciais riscos de cibersegurança e medidas de atenuação para garantir o mais elevado nível de proteção dos mesmos.

| (98) | Para salvaguardar a segurança das redes públicas de comunicações eletrónicas e dos serviços de comunicações eletrónicas acessíveis ao público, deverá ser promovida a utilização de tecnologias de cifragem, especialmente da cifragem de ponta a ponta, bem como de conceitos de segurança centrados nos dados, como a cartografia, a segmentação, a etiquetagem, uma política de acesso e a gestão do acesso, bem como decisões de acesso automatizadas. Se necessário, a utilização de cifragem, em particular de cifragem de ponta a ponta, deverá ser obrigatória para os fornecedores de redes públicas de comunicações eletrónicas ou os prestadores de serviços de comunicações eletrónicas acessíveis ao público, em conformidade com os princípios da segurança e da privacidade por defeito e desde a conceção para efeitos da presente diretiva. A utilização da cifragem de ponta a ponta deverá ser conciliada com os poderes que os Estados-Membros detêm para assegurar a proteção dos seus interesses essenciais de segurança e da segurança pública e para permitir a prevenção, a investigação, a deteção e a repressão de infrações penais em conformidade com o direito da União. No entanto, tal não deverá enfraquecer a cifragem de ponta a ponta, que é uma tecnologia fundamental para uma proteção eficaz dos dados, da privacidade e da segurança das comunicações. |
| --- | --- |

(98)

Para salvaguardar a segurança das redes públicas de comunicações eletrónicas e dos serviços de comunicações eletrónicas acessíveis ao público, deverá ser promovida a utilização de tecnologias de cifragem, especialmente da cifragem de ponta a ponta, bem como de conceitos de segurança centrados nos dados, como a cartografia, a segmentação, a etiquetagem, uma política de acesso e a gestão do acesso, bem como decisões de acesso automatizadas. Se necessário, a utilização de cifragem, em particular de cifragem de ponta a ponta, deverá ser obrigatória para os fornecedores de redes públicas de comunicações eletrónicas ou os prestadores de serviços de comunicações eletrónicas acessíveis ao público, em conformidade com os princípios da segurança e da privacidade por defeito e desde a conceção para efeitos da presente diretiva. A utilização da cifragem de ponta a ponta deverá ser conciliada com os poderes que os Estados-Membros detêm para assegurar a proteção dos seus interesses essenciais de segurança e da segurança pública e para permitir a prevenção, a investigação, a deteção e a repressão de infrações penais em conformidade com o direito da União. No entanto, tal não deverá enfraquecer a cifragem de ponta a ponta, que é uma tecnologia fundamental para uma proteção eficaz dos dados, da privacidade e da segurança das comunicações.

| (99) | Para salvaguardar a segurança e prevenir abusos e a manipulação das redes públicas de comunicações eletrónicas e dos serviços de comunicações eletrónicas acessíveis ao público, deverá ser promovida a utilização de normas de encaminhamento seguro, a fim de garantir a integridade e a robustez das funções de encaminhamento em todo o ecossistema de prestadores de serviços de acesso à Internet. |
| --- | --- |

(99)

Para salvaguardar a segurança e prevenir abusos e a manipulação das redes públicas de comunicações eletrónicas e dos serviços de comunicações eletrónicas acessíveis ao público, deverá ser promovida a utilização de normas de encaminhamento seguro, a fim de garantir a integridade e a robustez das funções de encaminhamento em todo o ecossistema de prestadores de serviços de acesso à Internet.

| (100) | Para salvaguardar a funcionalidade e a integridade da Internet e promover a segurança e a resiliência do DNS, as partes interessadas pertinentes, nomeadamente as entidades do setor privado da União, os prestadores de serviços de comunicações eletrónicas acessíveis ao público, em particular os prestadores de serviços de acesso à Internet, bem como os fornecedores de motores de pesquisa em linha deverão ser incentivados a adotar uma estratégia de diversificação da resolução do DNS. Além disso, os Estados-Membros deverão incentivar o desenvolvimento e a utilização de um serviço europeu, público e seguro de resolução do DNS. |
| --- | --- |

(100)

Para salvaguardar a funcionalidade e a integridade da Internet e promover a segurança e a resiliência do DNS, as partes interessadas pertinentes, nomeadamente as entidades do setor privado da União, os prestadores de serviços de comunicações eletrónicas acessíveis ao público, em particular os prestadores de serviços de acesso à Internet, bem como os fornecedores de motores de pesquisa em linha deverão ser incentivados a adotar uma estratégia de diversificação da resolução do DNS. Além disso, os Estados-Membros deverão incentivar o desenvolvimento e a utilização de um serviço europeu, público e seguro de resolução do DNS.

| (101) | A presente diretiva define uma abordagem em várias etapas à notificação de incidentes significativos, a fim de estabelecer o equilíbrio adequado entre, por um lado, uma notificação célere que ajude a minimizar a potencial propagação de incidentes significativos e permita às entidades essenciais e importantes procurar assistência e, por outro lado, uma notificação exaustiva que retire ensinamentos valiosos de incidentes individuais e melhore gradualmente a ciber-resiliência de empresas individuais e setores inteiros. Neste contexto, a presente diretiva deverá incluir a notificação de incidentes que, com base numa avaliação inicial realizada pela entidade em causa, possam causar perturbações operacionais ou perdas financeiras graves a essa entidade ou afetar outras pessoas singulares ou coletivas, causando danos materiais ou imateriais consideráveis. Esta avaliação inicial deverá ter em conta, nomeadamente, os sistemas de rede e informação afetados e, em particular, a sua importância para a prestação dos serviços da entidade, a gravidade e as características técnicas da ciberameaça e quaisquer vulnerabilidades subjacentes alvo de exploração, bem como a experiência da entidade com incidentes semelhantes. Indicadores como a medida em que o funcionamento do serviço é afetado, a duração de um incidente ou o número de destinatários de serviços afetados podem desempenhar um papel importante para determinar se a perturbação operacional do serviço é grave. |
| --- | --- |

(101)

A presente diretiva define uma abordagem em várias etapas à notificação de incidentes significativos, a fim de estabelecer o equilíbrio adequado entre, por um lado, uma notificação célere que ajude a minimizar a potencial propagação de incidentes significativos e permita às entidades essenciais e importantes procurar assistência e, por outro lado, uma notificação exaustiva que retire ensinamentos valiosos de incidentes individuais e melhore gradualmente a ciber-resiliência de empresas individuais e setores inteiros. Neste contexto, a presente diretiva deverá incluir a notificação de incidentes que, com base numa avaliação inicial realizada pela entidade em causa, possam causar perturbações operacionais ou perdas financeiras graves a essa entidade ou afetar outras pessoas singulares ou coletivas, causando danos materiais ou imateriais consideráveis. Esta avaliação inicial deverá ter em conta, nomeadamente, os sistemas de rede e informação afetados e, em particular, a sua importância para a prestação dos serviços da entidade, a gravidade e as características técnicas da ciberameaça e quaisquer vulnerabilidades subjacentes alvo de exploração, bem como a experiência da entidade com incidentes semelhantes. Indicadores como a medida em que o funcionamento do serviço é afetado, a duração de um incidente ou o número de destinatários de serviços afetados podem desempenhar um papel importante para determinar se a perturbação operacional do serviço é grave.

| (102) | Quando tenham tido conhecimento de um incidente significativo, as entidades essenciais e importantes deverão ser obrigadas a enviar um alerta rápido sem demora injustificada e, em qualquer caso, no prazo de 24 horas. Esse alerta rápido deverá ser seguido de uma notificação de incidente. As entidades em causa deverão enviar uma notificação de incidente sem demora injustificada e, em qualquer caso, no prazo de 72 horas depois de terem tomado conhecimento do incidente significativo, com o objetivo, nomeadamente, de atualizar as informações transmitidas no âmbito do alerta rápido e de fornecer uma avaliação inicial do incidente significativo, incluindo da sua gravidade e do seu impacto, bem como indicadores de exposição a riscos, se disponíveis. O mais tardar um mês após a notificação de incidente, deverá ser apresentado um relatório final. O alerta rápido deverá conter apenas as informações necessárias para dar conhecimento do incidente significativo à CSIRT, ou à autoridade competente se aplicável, e para permitir que a entidade em causa procure assistência, caso tal seja necessário. Esse alerta rápido deve, se aplicável, indicar se existem suspeitas de que o incidente significativo foi provocado por atos ilícitos ou maliciosos e se é suscetível de ter um impacto transfronteiriço. Os Estados-Membros deverão garantir que a obrigação de apresentar o alerta rápido, ou a subsequente notificação de incidente, não desvie os recursos da entidade notificadora afetos a atividades relacionadas com o tratamento de incidentes, às quais deverá ser atribuída prioridade, a fim de evitar que as obrigações de notificação de incidentes desviem recursos afetos à resposta a incidentes significativos ou prejudiquem de qualquer outra forma os esforços envidados pelas entidades nessa matéria. Em caso de incidente em curso no momento da apresentação do relatório final, os Estados-Membros deverão assegurar que as entidades em causa apresentem um relatório intercalar nessa altura e um relatório final no prazo de um mês após terem resolvido o incidente significativo. |
| --- | --- |

(102)

Quando tenham tido conhecimento de um incidente significativo, as entidades essenciais e importantes deverão ser obrigadas a enviar um alerta rápido sem demora injustificada e, em qualquer caso, no prazo de 24 horas. Esse alerta rápido deverá ser seguido de uma notificação de incidente. As entidades em causa deverão enviar uma notificação de incidente sem demora injustificada e, em qualquer caso, no prazo de 72 horas depois de terem tomado conhecimento do incidente significativo, com o objetivo, nomeadamente, de atualizar as informações transmitidas no âmbito do alerta rápido e de fornecer uma avaliação inicial do incidente significativo, incluindo da sua gravidade e do seu impacto, bem como indicadores de exposição a riscos, se disponíveis. O mais tardar um mês após a notificação de incidente, deverá ser apresentado um relatório final. O alerta rápido deverá conter apenas as informações necessárias para dar conhecimento do incidente significativo à CSIRT, ou à autoridade competente se aplicável, e para permitir que a entidade em causa procure assistência, caso tal seja necessário. Esse alerta rápido deve, se aplicável, indicar se existem suspeitas de que o incidente significativo foi provocado por atos ilícitos ou maliciosos e se é suscetível de ter um impacto transfronteiriço. Os Estados-Membros deverão garantir que a obrigação de apresentar o alerta rápido, ou a subsequente notificação de incidente, não desvie os recursos da entidade notificadora afetos a atividades relacionadas com o tratamento de incidentes, às quais deverá ser atribuída prioridade, a fim de evitar que as obrigações de notificação de incidentes desviem recursos afetos à resposta a incidentes significativos ou prejudiquem de qualquer outra forma os esforços envidados pelas entidades nessa matéria. Em caso de incidente em curso no momento da apresentação do relatório final, os Estados-Membros deverão assegurar que as entidades em causa apresentem um relatório intercalar nessa altura e um relatório final no prazo de um mês após terem resolvido o incidente significativo.

| (103) | Quando aplicável, as entidades essenciais e importantes deverão informar sem demora injustificada os destinatários dos seus serviços sobre quaisquer medidas ou soluções que podem adotar para minimizar os riscos resultantes de uma ciberameaça significativa. Se for caso disso e em particular quando a ciberameaça significativa for suscetível de se concretizar, essas entidades deverão informar também os destinatários dos seus serviços sobre a ameaça em causa. A exigência de informar os referidos destinatários das ciberameaças significativas deverá ser cumprida na medida do possível, mas não deverá isentar essas entidades da obrigação de, a expensas suas, adotarem medidas adequadas e imediatas para prevenir ou remediar quaisquer ameaças e restabelecer o nível normal de segurança do serviço. A prestação dessas informações aos destinatários dos serviços sobre ciberameaças significativas deverá ser gratuita e feita numa linguagem facilmente compreensível. |
| --- | --- |

(103)

Quando aplicável, as entidades essenciais e importantes deverão informar sem demora injustificada os destinatários dos seus serviços sobre quaisquer medidas ou soluções que podem adotar para minimizar os riscos resultantes de uma ciberameaça significativa. Se for caso disso e em particular quando a ciberameaça significativa for suscetível de se concretizar, essas entidades deverão informar também os destinatários dos seus serviços sobre a ameaça em causa. A exigência de informar os referidos destinatários das ciberameaças significativas deverá ser cumprida na medida do possível, mas não deverá isentar essas entidades da obrigação de, a expensas suas, adotarem medidas adequadas e imediatas para prevenir ou remediar quaisquer ameaças e restabelecer o nível normal de segurança do serviço. A prestação dessas informações aos destinatários dos serviços sobre ciberameaças significativas deverá ser gratuita e feita numa linguagem facilmente compreensível.

| (104) | Os fornecedores de redes públicas de comunicações eletrónicas ou os prestadores de serviços de comunicações eletrónicas acessíveis ao público deverão implementar a segurança desde a conceção e por defeito e informar os destinatários dos serviços sobre ciberameaças significativas e sobre as medidas que podem tomar para proteger a segurança dos seus dispositivos e das suas comunicações, por exemplo, recorrendo a tipos específicos de software ou tecnologias de cifragem. |
| --- | --- |

(104)

Os fornecedores de redes públicas de comunicações eletrónicas ou os prestadores de serviços de comunicações eletrónicas acessíveis ao público deverão implementar a segurança desde a conceção e por defeito e informar os destinatários dos serviços sobre ciberameaças significativas e sobre as medidas que podem tomar para proteger a segurança dos seus dispositivos e das suas comunicações, por exemplo, recorrendo a tipos específicos de software ou tecnologias de cifragem.

| (105) | Uma abordagem proativa das ciberameaças é uma componente vital das medidas de gestão dos riscos de cibersegurança que deverá dar às autoridades competentes condições para impedirem eficazmente que as ciberameaças se transformem em incidentes suscetíveis de causar danos materiais ou imateriais consideráveis. Para o efeito, reveste-se de uma importância fundamental a notificação de ciberameaças. As entidades são, por conseguinte, incentivadas a notificar a título voluntário as ciberameaças. |
| --- | --- |

(105)

Uma abordagem proativa das ciberameaças é uma componente vital das medidas de gestão dos riscos de cibersegurança que deverá dar às autoridades competentes condições para impedirem eficazmente que as ciberameaças se transformem em incidentes suscetíveis de causar danos materiais ou imateriais consideráveis. Para o efeito, reveste-se de uma importância fundamental a notificação de ciberameaças. As entidades são, por conseguinte, incentivadas a notificar a título voluntário as ciberameaças.

| (106) | A fim de simplificar a comunicação das informações exigidas pela presente diretiva, bem como de reduzir os encargos administrativos para as entidades, os Estados-Membros deverão disponibilizar meios técnicos, como um ponto de entrada único, sistemas automatizados, formulários em linha, interfaces de fácil utilização, modelos e plataformas específicas para utilização pelas entidades, independentemente de serem abrangidas ou não pelo âmbito de aplicação da presente diretiva, para a apresentação das informações pertinentes a notificar. O financiamento da União destinado a apoiar a aplicação da presente diretiva, em particular no âmbito do Programa Europa Digital criado pelo Regulamento (UE) 2021/694 do Parlamento Europeu e do Conselho (21), pode incluir o apoio a pontos de entrada únicos. Ademais, as entidades encontram-se frequentemente numa situação em que um determinado incidente, por força das suas características, tem de ser comunicado a várias autoridades em cumprimento de obrigações de notificação estabelecidas em diferentes instrumentos jurídicos. Essas situações criam encargos administrativos adicionais, podendo igualmente gerar dúvidas quanto ao formato e aos procedimentos aplicáveis a tais notificações. Sempre que seja estabelecido um ponto de entrada único, os Estados-Membros são também incentivados a recorrer a esse ponto de entrada único para as notificações de incidentes de segurança exigidas por outros instrumentos do direito da União, como o Regulamento (UE) 2016/679 e a Diretiva 2002/58/CE. A utilização desse ponto de entrada único para a notificação de incidentes de segurança nos termos do Regulamento (UE) 2016/679 e da Diretiva 2002/58/CE não deverá afetar a aplicação das disposições do Regulamento (UE) 2016/679 e da Diretiva 2002/58/CE, em particular as relativas à independência das autoridades aí referidas. A ENISA, em colaboração com o grupo de cooperação, deverá criar modelos comuns de notificação por intermédio de orientações destinadas a simplificar e racionalizar a comunicação das informações a notificar nos termos do direito da União e a reduzir os encargos administrativos sobre as entidades notificadoras. |
| --- | --- |

(106)

A fim de simplificar a comunicação das informações exigidas pela presente diretiva, bem como de reduzir os encargos administrativos para as entidades, os Estados-Membros deverão disponibilizar meios técnicos, como um ponto de entrada único, sistemas automatizados, formulários em linha, interfaces de fácil utilização, modelos e plataformas específicas para utilização pelas entidades, independentemente de serem abrangidas ou não pelo âmbito de aplicação da presente diretiva, para a apresentação das informações pertinentes a notificar. O financiamento da União destinado a apoiar a aplicação da presente diretiva, em particular no âmbito do Programa Europa Digital criado pelo Regulamento (UE) 2021/694 do Parlamento Europeu e do Conselho (21), pode incluir o apoio a pontos de entrada únicos. Ademais, as entidades encontram-se frequentemente numa situação em que um determinado incidente, por força das suas características, tem de ser comunicado a várias autoridades em cumprimento de obrigações de notificação estabelecidas em diferentes instrumentos jurídicos. Essas situações criam encargos administrativos adicionais, podendo igualmente gerar dúvidas quanto ao formato e aos procedimentos aplicáveis a tais notificações. Sempre que seja estabelecido um ponto de entrada único, os Estados-Membros são também incentivados a recorrer a esse ponto de entrada único para as notificações de incidentes de segurança exigidas por outros instrumentos do direito da União, como o Regulamento (UE) 2016/679 e a Diretiva 2002/58/CE. A utilização desse ponto de entrada único para a notificação de incidentes de segurança nos termos do Regulamento (UE) 2016/679 e da Diretiva 2002/58/CE não deverá afetar a aplicação das disposições do Regulamento (UE) 2016/679 e da Diretiva 2002/58/CE, em particular as relativas à independência das autoridades aí referidas. A ENISA, em colaboração com o grupo de cooperação, deverá criar modelos comuns de notificação por intermédio de orientações destinadas a simplificar e racionalizar a comunicação das informações a notificar nos termos do direito da União e a reduzir os encargos administrativos sobre as entidades notificadoras.

| (107) | Os Estados-Membros deverão incentivar as entidades essenciais e importantes, com base nas regras de processo penal aplicáveis e em conformidade com o direito da União, a notificar às autoridades policiais competentes os incidentes que se suspeite estarem relacionados com atividades criminosas graves nos termos do direito da União ou do direito nacional. Se for caso disso, e sem prejuízo das regras relativas à proteção de dados pessoais aplicáveis à Europol, é desejável que o Centro Europeu da Cibercriminalidade (EC3) e a ENISA facilitem a coordenação entre as autoridades competentes e as autoridades policiais dos diferentes Estados-Membros. |
| --- | --- |

(107)

Os Estados-Membros deverão incentivar as entidades essenciais e importantes, com base nas regras de processo penal aplicáveis e em conformidade com o direito da União, a notificar às autoridades policiais competentes os incidentes que se suspeite estarem relacionados com atividades criminosas graves nos termos do direito da União ou do direito nacional. Se for caso disso, e sem prejuízo das regras relativas à proteção de dados pessoais aplicáveis à Europol, é desejável que o Centro Europeu da Cibercriminalidade (EC3) e a ENISA facilitem a coordenação entre as autoridades competentes e as autoridades policiais dos diferentes Estados-Membros.

| (108) | Os dados pessoais ficam amiúde expostos em consequência de incidentes. Nesse contexto, as entidades competentes deverão cooperar e trocar informações sobre todas as questões pertinentes com as autoridades referidas no Regulamento (UE) 2016/679 e na Diretiva 2002/58/CE. |
| --- | --- |

(108)

Os dados pessoais ficam amiúde expostos em consequência de incidentes. Nesse contexto, as entidades competentes deverão cooperar e trocar informações sobre todas as questões pertinentes com as autoridades referidas no Regulamento (UE) 2016/679 e na Diretiva 2002/58/CE.

| (109) | A manutenção de bases de dados fidedignas e completas dos dados relativos ao registo de nomes de domínio («dados WHOIS») e a concessão de acesso lícito a tais dados é essencial para garantir a segurança, estabilidade e resiliência do DNS, o que, por sua vez, contribui para um elevado nível comum de cibersegurança em toda a União. Para esse efeito específico, os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão ser obrigados a tratar determinados dados necessários para alcançar esse objetivo. Esse tratamento deverá constituir uma obrigação jurídica na aceção do artigo 6.o, n.o 1, alínea c), do Regulamento (UE) 2016/679. Essa obrigação aplica-se sem prejuízo da possibilidade de recolher dados relativos ao registo de nomes de domínio para outros fins, por exemplo, com base em disposições contratuais ou requisitos legais estabelecidos noutros instrumentos do direito da União ou do direito nacional. Essa obrigação visa alcançar um conjunto completo e exato de dados de registo e não deverá dar origem à recolha repetida dos mesmos dados. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão cooperar entre si, a fim de evitar a duplicação dessa tarefa. |
| --- | --- |

(109)

A manutenção de bases de dados fidedignas e completas dos dados relativos ao registo de nomes de domínio («dados WHOIS») e a concessão de acesso lícito a tais dados é essencial para garantir a segurança, estabilidade e resiliência do DNS, o que, por sua vez, contribui para um elevado nível comum de cibersegurança em toda a União. Para esse efeito específico, os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão ser obrigados a tratar determinados dados necessários para alcançar esse objetivo. Esse tratamento deverá constituir uma obrigação jurídica na aceção do artigo 6.o, n.o 1, alínea c), do Regulamento (UE) 2016/679. Essa obrigação aplica-se sem prejuízo da possibilidade de recolher dados relativos ao registo de nomes de domínio para outros fins, por exemplo, com base em disposições contratuais ou requisitos legais estabelecidos noutros instrumentos do direito da União ou do direito nacional. Essa obrigação visa alcançar um conjunto completo e exato de dados de registo e não deverá dar origem à recolha repetida dos mesmos dados. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão cooperar entre si, a fim de evitar a duplicação dessa tarefa.

| (110) | A disponibilização e a concessão atempada dos dados relativos ao registo de nomes de domínio aos requerentes legítimos de acesso são fundamentais para prevenir e combater os abusos dos DNS, bem como para prevenir e detetar incidentes e para lhes dar resposta. Os requerentes legítimos de acesso devem ser entendidos como qualquer pessoa singular ou coletiva que apresente um pedido nos termos do direito da União ou do direito nacional. Podem incluir as autoridades competentes nos termos da presente diretiva e as que são competentes nos termos do direito da União ou do direito nacional para a prevenção, investigação, deteção ou repressão de infrações penais, e CERT ou CSIRT. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão permitir o acesso lícito a dados específicos de registo de nomes de domínio, que são necessários para efeitos do pedido de acesso, aos requerentes legítimos de acesso, em conformidade com o direito da União e o direito nacional. O pedido dos requerentes legítimos de acesso deverá ser acompanhado de uma exposição de motivos que permita avaliar a necessidade de acesso aos dados. |
| --- | --- |

(110)

A disponibilização e a concessão atempada dos dados relativos ao registo de nomes de domínio aos requerentes legítimos de acesso são fundamentais para prevenir e combater os abusos dos DNS, bem como para prevenir e detetar incidentes e para lhes dar resposta. Os requerentes legítimos de acesso devem ser entendidos como qualquer pessoa singular ou coletiva que apresente um pedido nos termos do direito da União ou do direito nacional. Podem incluir as autoridades competentes nos termos da presente diretiva e as que são competentes nos termos do direito da União ou do direito nacional para a prevenção, investigação, deteção ou repressão de infrações penais, e CERT ou CSIRT. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão permitir o acesso lícito a dados específicos de registo de nomes de domínio, que são necessários para efeitos do pedido de acesso, aos requerentes legítimos de acesso, em conformidade com o direito da União e o direito nacional. O pedido dos requerentes legítimos de acesso deverá ser acompanhado de uma exposição de motivos que permita avaliar a necessidade de acesso aos dados.

| (111) | A fim de assegurar a disponibilidade de dados exatos e completos relativos ao registo de nomes de domínio, os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão recolher dados relativos ao registo de nomes de domínio e garantir a integridade e disponibilidade desses dados. Em especial, os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão estabelecer políticas e procedimentos para recolher e manter dados exatos e completos relativos ao registo de nomes de domínio, bem como para evitar e corrigir dados de registo incorretos, em conformidade com o direito da União em matéria de proteção de dados. Essas políticas e procedimentos deverão ter em conta, na medida do possível, as normas elaboradas pelas estruturas de governação multilateral a nível internacional. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão adotar e aplicar procedimentos proporcionados de verificação dos dados relativos ao registo de nomes de domínio. Esses procedimentos deverão refletir as melhores práticas utilizadas no setor e, na medida do possível, os progressos realizados no domínio da identificação eletrónica. Os exemplos de procedimentos de verificação podem incluir controlos ex ante realizados no momento do registo e controlos ex post realizados após o registo. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão, em particular, verificar pelo menos um meio de contacto do requerente do registo. |
| --- | --- |

(111)

A fim de assegurar a disponibilidade de dados exatos e completos relativos ao registo de nomes de domínio, os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão recolher dados relativos ao registo de nomes de domínio e garantir a integridade e disponibilidade desses dados. Em especial, os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão estabelecer políticas e procedimentos para recolher e manter dados exatos e completos relativos ao registo de nomes de domínio, bem como para evitar e corrigir dados de registo incorretos, em conformidade com o direito da União em matéria de proteção de dados. Essas políticas e procedimentos deverão ter em conta, na medida do possível, as normas elaboradas pelas estruturas de governação multilateral a nível internacional. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão adotar e aplicar procedimentos proporcionados de verificação dos dados relativos ao registo de nomes de domínio. Esses procedimentos deverão refletir as melhores práticas utilizadas no setor e, na medida do possível, os progressos realizados no domínio da identificação eletrónica. Os exemplos de procedimentos de verificação podem incluir controlos ex ante realizados no momento do registo e controlos ex post realizados após o registo. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão, em particular, verificar pelo menos um meio de contacto do requerente do registo.

| (112) | Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão ser obrigadas a disponibilizar ao público dados relativos ao registo de nomes de domínio que não estejam abrangidos pelo âmbito de aplicação do direito da União em matéria de proteção de dados, como os dados respeitantes a pessoas coletivas, em conformidade com o preâmbulo do Regulamento (UE) 2016/679. No caso das pessoas coletivas, os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão disponibilizar ao público, pelo menos, o nome do requerente do registo e o número de telefone de contacto. O endereço eletrónico de contacto deverá também ser publicado, desde que não contenha quaisquer dados pessoais, nomeadamente quando são usados pseudónimos de correio eletrónico ou contas funcionais. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão igualmente permitir o acesso lícito a dados específicos de registo de nomes de domínio respeitantes a pessoas singulares aos requerentes legítimos de acesso, em conformidade com o direito da União em matéria de proteção de dados. Os Estados-Membros deverão exigir que os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio estejam obrigados a responder, sem demora injustificada, a pedidos de divulgação de dados relativos ao registo de nomes de domínio apresentados por requerentes legítimos de acesso. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão estabelecer políticas e procedimentos com vista à publicação e divulgação de dados de registo, incluindo acordos de nível de serviço, a fim de responder a pedidos de acesso apresentados por requerentes legítimos de acesso. Essas políticas e procedimentos deverão ter em conta, na medida do possível, quaisquer orientações e as normas elaboradas pelas estruturas de governação multilateral a nível internacional. O procedimento de acesso pode contemplar a utilização de uma interface, de um portal ou de outra ferramenta técnica para disponibilizar um sistema eficiente de pedido e acesso a dados de registo. A fim de promover práticas harmonizadas em todo o mercado interno, a Comissão pode, sem prejuízo das competências do Comité Europeu para a Proteção de Dados, fornecer orientações sobre tais procedimentos, que tenham em conta, na medida do possível, as normas elaboradas pelas estruturas de governação multilateral a nível internacional. Os Estados-Membros deverão assegurar que todos os tipos de acesso aos dados pessoais e não pessoais de registo de nomes de domínio sejam gratuitos. |
| --- | --- |

(112)

Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão ser obrigadas a disponibilizar ao público dados relativos ao registo de nomes de domínio que não estejam abrangidos pelo âmbito de aplicação do direito da União em matéria de proteção de dados, como os dados respeitantes a pessoas coletivas, em conformidade com o preâmbulo do Regulamento (UE) 2016/679. No caso das pessoas coletivas, os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão disponibilizar ao público, pelo menos, o nome do requerente do registo e o número de telefone de contacto. O endereço eletrónico de contacto deverá também ser publicado, desde que não contenha quaisquer dados pessoais, nomeadamente quando são usados pseudónimos de correio eletrónico ou contas funcionais. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão igualmente permitir o acesso lícito a dados específicos de registo de nomes de domínio respeitantes a pessoas singulares aos requerentes legítimos de acesso, em conformidade com o direito da União em matéria de proteção de dados. Os Estados-Membros deverão exigir que os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio estejam obrigados a responder, sem demora injustificada, a pedidos de divulgação de dados relativos ao registo de nomes de domínio apresentados por requerentes legítimos de acesso. Os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio deverão estabelecer políticas e procedimentos com vista à publicação e divulgação de dados de registo, incluindo acordos de nível de serviço, a fim de responder a pedidos de acesso apresentados por requerentes legítimos de acesso. Essas políticas e procedimentos deverão ter em conta, na medida do possível, quaisquer orientações e as normas elaboradas pelas estruturas de governação multilateral a nível internacional. O procedimento de acesso pode contemplar a utilização de uma interface, de um portal ou de outra ferramenta técnica para disponibilizar um sistema eficiente de pedido e acesso a dados de registo. A fim de promover práticas harmonizadas em todo o mercado interno, a Comissão pode, sem prejuízo das competências do Comité Europeu para a Proteção de Dados, fornecer orientações sobre tais procedimentos, que tenham em conta, na medida do possível, as normas elaboradas pelas estruturas de governação multilateral a nível internacional. Os Estados-Membros deverão assegurar que todos os tipos de acesso aos dados pessoais e não pessoais de registo de nomes de domínio sejam gratuitos.

| (113) | As entidades abrangidas pelo âmbito de aplicação da presente diretiva deverão estar sob a jurisdição do Estado-Membro em que se encontram estabelecidas. No entanto, os fornecedores de redes públicas de comunicações eletrónicas ou os prestadores de serviços de comunicações eletrónicas acessíveis ao público deverão ser considerados como estando sob a jurisdição do Estado-Membro em que prestam os seus serviços. Os prestadores de serviços de DNS, os registos de nomes de TLD, as entidades que prestam serviços de registo de nomes de domínio, os prestadores de serviços de computação em nuvem, os prestadores de serviços de centro de dados, os fornecedores de redes de distribuição de conteúdos, os prestadores de serviços geridos, os prestadores de serviços de segurança geridos, bem como os prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais, deverão ser considerados como estando sob a jurisdição do Estado-Membro em que têm o seu estabelecimento principal na União. As entidades da administração pública deverão estar sob a jurisdição do Estado-Membro que as estabeleceu. Se uma entidade prestar serviços ou estiver estabelecida em mais do que um Estado-Membro, deverá estar sob a jurisdição autónoma e concorrente de cada um desses Estados-Membros. As autoridades competentes desses Estados-Membros deverão cooperar, prestar assistência mútua e, se for caso disso, realizar ações de supervisão conjuntas. Sempre que os Estados-Membros exerçam jurisdição, não deverão aplicar medidas de execução nem sanções mais do que uma vez pelo mesmo comportamento, em conformidade com o princípio ne bis in idem. |
| --- | --- |

(113)

As entidades abrangidas pelo âmbito de aplicação da presente diretiva deverão estar sob a jurisdição do Estado-Membro em que se encontram estabelecidas. No entanto, os fornecedores de redes públicas de comunicações eletrónicas ou os prestadores de serviços de comunicações eletrónicas acessíveis ao público deverão ser considerados como estando sob a jurisdição do Estado-Membro em que prestam os seus serviços. Os prestadores de serviços de DNS, os registos de nomes de TLD, as entidades que prestam serviços de registo de nomes de domínio, os prestadores de serviços de computação em nuvem, os prestadores de serviços de centro de dados, os fornecedores de redes de distribuição de conteúdos, os prestadores de serviços geridos, os prestadores de serviços de segurança geridos, bem como os prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais, deverão ser considerados como estando sob a jurisdição do Estado-Membro em que têm o seu estabelecimento principal na União. As entidades da administração pública deverão estar sob a jurisdição do Estado-Membro que as estabeleceu. Se uma entidade prestar serviços ou estiver estabelecida em mais do que um Estado-Membro, deverá estar sob a jurisdição autónoma e concorrente de cada um desses Estados-Membros. As autoridades competentes desses Estados-Membros deverão cooperar, prestar assistência mútua e, se for caso disso, realizar ações de supervisão conjuntas. Sempre que os Estados-Membros exerçam jurisdição, não deverão aplicar medidas de execução nem sanções mais do que uma vez pelo mesmo comportamento, em conformidade com o princípio ne bis in idem.

| (114) | Para ter em conta a natureza transfronteiriça dos serviços e operações dos prestadores de serviços de DNS, dos registos de nomes de TLD, das entidades que prestam serviços de registo de nomes de domínio, dos prestadores de serviços de computação em nuvem, dos prestadores de serviços de centro de dados, dos fornecedores de redes de distribuição de conteúdos, dos prestadores de serviços geridos, dos prestadores de serviços de segurança geridos bem como dos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais, estas entidades deverão estar sob a jurisdição de um único Estado-Membro. A competência deverá ser atribuída ao Estado-Membro onde a entidade em causa tem o seu estabelecimento principal na União. O critério do estabelecimento para efeitos da presente diretiva pressupõe o exercício efetivo de uma atividade com base numa instalação estável. A forma jurídica de tal estabelecimento, quer se trate de uma sucursal, quer de uma filial com personalidade jurídica, não é fator determinante nesse contexto. O preenchimento desse critério não deverá estar subordinado à presença física dos sistemas de rede e informação num determinado local; a presença e utilização desses sistemas não constitui, por si só, um estabelecimento principal e, consequentemente, não é um critério decisivo para determinar o estabelecimento principal. O estabelecimento principal deverá ser considerado como tendo lugar no Estado-Membro onde as decisões relacionadas com as medidas de gestão dos riscos de cibersegurança são predominantemente tomadas na União. Em regra, corresponderá ao local onde se situa a administração central das empresas na União. Se não for possível determinar esse Estado-Membro ou se tais decisões não forem tomadas na União, deverá considerar-se que o estabelecimento principal se situa no Estado-Membro em que são levadas a cabo as operações de cibersegurança. Se não for possível determinar esse Estado-Membro, deverá considerar-se que o estabelecimento principal se situa no Estado-Membro em que a entidade tem o estabelecimento com o maior número de trabalhadores na União. Se os serviços forem prestados por um grupo de empresas, deverá considerar-se que o seu estabelecimento principal é o estabelecimento principal da empresa que exerce o controlo. |
| --- | --- |

(114)

Para ter em conta a natureza transfronteiriça dos serviços e operações dos prestadores de serviços de DNS, dos registos de nomes de TLD, das entidades que prestam serviços de registo de nomes de domínio, dos prestadores de serviços de computação em nuvem, dos prestadores de serviços de centro de dados, dos fornecedores de redes de distribuição de conteúdos, dos prestadores de serviços geridos, dos prestadores de serviços de segurança geridos bem como dos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais, estas entidades deverão estar sob a jurisdição de um único Estado-Membro. A competência deverá ser atribuída ao Estado-Membro onde a entidade em causa tem o seu estabelecimento principal na União. O critério do estabelecimento para efeitos da presente diretiva pressupõe o exercício efetivo de uma atividade com base numa instalação estável. A forma jurídica de tal estabelecimento, quer se trate de uma sucursal, quer de uma filial com personalidade jurídica, não é fator determinante nesse contexto. O preenchimento desse critério não deverá estar subordinado à presença física dos sistemas de rede e informação num determinado local; a presença e utilização desses sistemas não constitui, por si só, um estabelecimento principal e, consequentemente, não é um critério decisivo para determinar o estabelecimento principal. O estabelecimento principal deverá ser considerado como tendo lugar no Estado-Membro onde as decisões relacionadas com as medidas de gestão dos riscos de cibersegurança são predominantemente tomadas na União. Em regra, corresponderá ao local onde se situa a administração central das empresas na União. Se não for possível determinar esse Estado-Membro ou se tais decisões não forem tomadas na União, deverá considerar-se que o estabelecimento principal se situa no Estado-Membro em que são levadas a cabo as operações de cibersegurança. Se não for possível determinar esse Estado-Membro, deverá considerar-se que o estabelecimento principal se situa no Estado-Membro em que a entidade tem o estabelecimento com o maior número de trabalhadores na União. Se os serviços forem prestados por um grupo de empresas, deverá considerar-se que o seu estabelecimento principal é o estabelecimento principal da empresa que exerce o controlo.

| (115) | Quando um serviço de DNS recursivo disponível ao público é prestado por um fornecedor de redes de comunicações eletrónicas ou por um prestador de serviços de comunicações eletrónicas acessíveis ao público apenas no quadro do serviço de acesso à Internet, deverá considerar-se que a entidade se encontra sob a jurisdição de todos os Estados-Membros em que os seus serviços são prestados. |
| --- | --- |

(115)

Quando um serviço de DNS recursivo disponível ao público é prestado por um fornecedor de redes de comunicações eletrónicas ou por um prestador de serviços de comunicações eletrónicas acessíveis ao público apenas no quadro do serviço de acesso à Internet, deverá considerar-se que a entidade se encontra sob a jurisdição de todos os Estados-Membros em que os seus serviços são prestados.

| (116) | Sempre que ofereça serviços na União, um prestador de serviços de DNS, um registo de nomes de TLD, uma entidade que presta serviços de registo de nomes de domínio, um prestador de serviços de computação em nuvem, um prestador de serviços de centro de dados, um fornecedor de redes de distribuição de conteúdos, um prestador de serviços geridos, um prestador de serviços de segurança geridos ou um prestador de serviços de mercados em linha, de motores de pesquisa em linha ou de plataformas de serviços de redes sociais que não esteja estabelecido na União deverá designar um representante na União. A fim de determinar se tal entidade oferece serviços na União, há que apurar se tem a intenção de oferecer serviços a pessoas em um ou vários Estados-Membros. O mero facto de estar acessível, na União, um sítio Web da entidade ou de um intermediário ou um endereço eletrónico ou outro tipo de contactos ou de ser utilizada uma língua de uso corrente no país terceiro em que a entidade se encontra estabelecida deverá ser considerado insuficiente para determinar essa intenção. Contudo, fatores como a utilização de uma língua ou de uma moeda de uso corrente em um ou vários Estados-Membros, com a possibilidade de encomendar serviços nessa língua, ou a referência a clientes ou utilizadores na União são suscetíveis de revelar que a entidade tenciona oferecer serviços na União. O representante deverá atuar por conta da entidade e as autoridades competentes ou as CSIRT deverão poder dirigir-se a ele. O representante deverá ser explicitamente designado, por mandato escrito da entidade, para atuar por conta desta última relativamente às obrigações que lhe incumbem por força da presente diretiva, incluindo a notificação de incidentes. |
| --- | --- |

(116)

Sempre que ofereça serviços na União, um prestador de serviços de DNS, um registo de nomes de TLD, uma entidade que presta serviços de registo de nomes de domínio, um prestador de serviços de computação em nuvem, um prestador de serviços de centro de dados, um fornecedor de redes de distribuição de conteúdos, um prestador de serviços geridos, um prestador de serviços de segurança geridos ou um prestador de serviços de mercados em linha, de motores de pesquisa em linha ou de plataformas de serviços de redes sociais que não esteja estabelecido na União deverá designar um representante na União. A fim de determinar se tal entidade oferece serviços na União, há que apurar se tem a intenção de oferecer serviços a pessoas em um ou vários Estados-Membros. O mero facto de estar acessível, na União, um sítio Web da entidade ou de um intermediário ou um endereço eletrónico ou outro tipo de contactos ou de ser utilizada uma língua de uso corrente no país terceiro em que a entidade se encontra estabelecida deverá ser considerado insuficiente para determinar essa intenção. Contudo, fatores como a utilização de uma língua ou de uma moeda de uso corrente em um ou vários Estados-Membros, com a possibilidade de encomendar serviços nessa língua, ou a referência a clientes ou utilizadores na União são suscetíveis de revelar que a entidade tenciona oferecer serviços na União. O representante deverá atuar por conta da entidade e as autoridades competentes ou as CSIRT deverão poder dirigir-se a ele. O representante deverá ser explicitamente designado, por mandato escrito da entidade, para atuar por conta desta última relativamente às obrigações que lhe incumbem por força da presente diretiva, incluindo a notificação de incidentes.

| (117) | A fim de assegurar uma visão de conjunto clara dos prestadores de serviços de DNS, dos registos de nomes de TLD, das entidades que prestam serviços de registo de nomes de domínio, dos prestadores de serviços de computação em nuvem, dos prestadores de serviços de centro de dados, dos fornecedores de redes de distribuição de conteúdos, dos prestadores de serviços geridos, dos prestadores de serviços de segurança geridos, bem como dos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais que prestam, em toda a União, serviços abrangidos pelo âmbito de aplicação da presente diretiva, a ENISA deverá criar e manter um registo dessas entidades, com base nas informações recebidas pelos Estados-Membros, se aplicável através de mecanismos nacionais estabelecidos para se registarem a si mesmas. Os pontos de contacto únicos deverão transmitir à ENISA as informações e quaisquer alterações às mesmas. Com o intuito de garantir a exatidão e a exaustividade das informações a incluir no referido registo, os Estados-Membros podem apresentar à ENISA as informações disponíveis nos registos nacionais a respeito dessas entidades. A ENISA e os Estados-Membros deverão tomar medidas para facilitar a interoperabilidade desses registos, assegurando simultaneamente a proteção das informações confidenciais ou classificadas. A ENISA deverá estabelecer protocolos adequados de classificação e gestão da informação, de molde a garantir a segurança e a confidencialidade das informações divulgadas e a restringir o acesso, o armazenamento e a transmissão dessas informações aos utilizadores a que se destinam. |
| --- | --- |

(117)

A fim de assegurar uma visão de conjunto clara dos prestadores de serviços de DNS, dos registos de nomes de TLD, das entidades que prestam serviços de registo de nomes de domínio, dos prestadores de serviços de computação em nuvem, dos prestadores de serviços de centro de dados, dos fornecedores de redes de distribuição de conteúdos, dos prestadores de serviços geridos, dos prestadores de serviços de segurança geridos, bem como dos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais que prestam, em toda a União, serviços abrangidos pelo âmbito de aplicação da presente diretiva, a ENISA deverá criar e manter um registo dessas entidades, com base nas informações recebidas pelos Estados-Membros, se aplicável através de mecanismos nacionais estabelecidos para se registarem a si mesmas. Os pontos de contacto únicos deverão transmitir à ENISA as informações e quaisquer alterações às mesmas. Com o intuito de garantir a exatidão e a exaustividade das informações a incluir no referido registo, os Estados-Membros podem apresentar à ENISA as informações disponíveis nos registos nacionais a respeito dessas entidades. A ENISA e os Estados-Membros deverão tomar medidas para facilitar a interoperabilidade desses registos, assegurando simultaneamente a proteção das informações confidenciais ou classificadas. A ENISA deverá estabelecer protocolos adequados de classificação e gestão da informação, de molde a garantir a segurança e a confidencialidade das informações divulgadas e a restringir o acesso, o armazenamento e a transmissão dessas informações aos utilizadores a que se destinam.

| (118) | Se, ao abrigo da presente diretiva, forem trocadas, comunicadas ou de outro modo partilhadas informações classificadas em conformidade com o direito da União ou o direito nacional, deverão ser aplicadas as regras correspondentes sobre o tratamento de informações classificadas. Além disso, a ENISA deverá dispor das infraestruturas, dos procedimentos e das regras necessárias para o tratamento de informações sensíveis e classificadas, em conformidade com as regras de segurança aplicáveis à proteção das informações classificadas da UE. |
| --- | --- |

(118)

Se, ao abrigo da presente diretiva, forem trocadas, comunicadas ou de outro modo partilhadas informações classificadas em conformidade com o direito da União ou o direito nacional, deverão ser aplicadas as regras correspondentes sobre o tratamento de informações classificadas. Além disso, a ENISA deverá dispor das infraestruturas, dos procedimentos e das regras necessárias para o tratamento de informações sensíveis e classificadas, em conformidade com as regras de segurança aplicáveis à proteção das informações classificadas da UE.

| (119) | Dado que as ciberameaças têm vindo a tornar-se mais complexas e sofisticadas, a deteção eficaz de tais ameaças e as medidas para as prevenir dependem, em grande medida, da troca regular, entre as entidades, de informações sobre ameaças e vulnerabilidades. A partilha de informações contribui para uma maior sensibilização para as ciberameaças, o que, por sua vez, reforça a capacidade das entidades para impedirem que tais ameaças se materializem sob a forma de incidentes e permite que as entidades contenham melhor os efeitos dos incidentes e recuperem de modo mais eficiente. Na ausência de orientações a nível da União, diversos fatores parecem ter impedido a referida partilha de informações, especialmente as dúvidas quanto à compatibilidade com as regras em matéria de concorrência e responsabilidade. |
| --- | --- |

(119)

Dado que as ciberameaças têm vindo a tornar-se mais complexas e sofisticadas, a deteção eficaz de tais ameaças e as medidas para as prevenir dependem, em grande medida, da troca regular, entre as entidades, de informações sobre ameaças e vulnerabilidades. A partilha de informações contribui para uma maior sensibilização para as ciberameaças, o que, por sua vez, reforça a capacidade das entidades para impedirem que tais ameaças se materializem sob a forma de incidentes e permite que as entidades contenham melhor os efeitos dos incidentes e recuperem de modo mais eficiente. Na ausência de orientações a nível da União, diversos fatores parecem ter impedido a referida partilha de informações, especialmente as dúvidas quanto à compatibilidade com as regras em matéria de concorrência e responsabilidade.

| (120) | As entidades deverão ser incentivadas e assistidas pelos Estados-Membros no sentido de, coletivamente, tirarem partido dos seus conhecimentos e experiências práticas individuais a nível estratégico, tático e operacional, tendo em vista o reforço das suas capacidades para, de forma adequada, prevenir e detetar incidentes, bem como para lhes dar resposta, para permitir a recuperação após estes incidentes e para atenuar o seu impacto. Consequentemente, é necessário permitir a emergência, a nível da União, de acordos de partilha de informações sobre cibersegurança de cariz voluntário. Para tal, os Estados-Membros deverão prestar assistência ativa e incentivar entidades, tais como as entidades que prestam serviços e fazem investigação no domínio da cibersegurança, bem como as entidades pertinentes não abrangidas pelo âmbito de aplicação da presente diretiva, a participarem em tais acordos de partilha de informações sobre cibersegurança. Esses acordos deverão ser estabelecidos em conformidade com as regras da União em matéria de concorrência e de proteção de dados. |
| --- | --- |

(120)

As entidades deverão ser incentivadas e assistidas pelos Estados-Membros no sentido de, coletivamente, tirarem partido dos seus conhecimentos e experiências práticas individuais a nível estratégico, tático e operacional, tendo em vista o reforço das suas capacidades para, de forma adequada, prevenir e detetar incidentes, bem como para lhes dar resposta, para permitir a recuperação após estes incidentes e para atenuar o seu impacto. Consequentemente, é necessário permitir a emergência, a nível da União, de acordos de partilha de informações sobre cibersegurança de cariz voluntário. Para tal, os Estados-Membros deverão prestar assistência ativa e incentivar entidades, tais como as entidades que prestam serviços e fazem investigação no domínio da cibersegurança, bem como as entidades pertinentes não abrangidas pelo âmbito de aplicação da presente diretiva, a participarem em tais acordos de partilha de informações sobre cibersegurança. Esses acordos deverão ser estabelecidos em conformidade com as regras da União em matéria de concorrência e de proteção de dados.

| (121) | O tratamento de dados pessoais, efetuado na medida estritamente necessária e proporcionada para assegurar a segurança dos sistemas de rede e informação, por entidades essenciais e importantes poderá ser considerado lícito pelo facto de respeitar uma obrigação jurídica a que o responsável pelo tratamento está sujeito, em conformidade com os requisitos estabelecidos pelo artigo 6.o, n.o 1, alínea c), e pelo artigo 6.o, n.o 3, do Regulamento (UE) 2016/679. O tratamento de dados pessoais pode também ser necessário para efeito dos interesses legítimos prosseguidos por entidades essenciais e importantes, bem como por fornecedores de tecnologias e prestadores de serviços de segurança que atuem em nome dessas entidades, nos termos do artigo 6.o, n.o 1, alínea f), do Regulamento (UE) 2016/679, nomeadamente quando tal tratamento é necessário aos acordos de partilha de informações sobre cibersegurança ou à notificação voluntária de informações pertinentes em conformidade com a presente diretiva. Medidas relacionadas com a prevenção, deteção, identificação, contenção, análise e resposta a incidentes, medidas de sensibilização relativas a ciberameaças específicas, intercâmbio de informações no contexto da correção e da divulgação coordenada de vulnerabilidades, bem como o intercâmbio voluntário de informações sobre esses incidentes, ciberameaças e vulnerabilidades, indicadores de exposição a riscos, táticas, técnicas e procedimentos, alertas de cibersegurança e ferramentas de configuração poderão implicar o tratamento de determinadas categorias de dados pessoais, tais como endereços IP, localizadores uniformes de recursos (URL), nomes de domínio, endereços de correio eletrónico, e, sempre que revelem dados pessoais, selos temporais. O tratamento de dados pessoais pelas autoridades competentes, pelos pontos de contacto únicos e pelas CSIRT pode constituir uma obrigação jurídica ou ser considerado necessário para o exercício de uma missão de interesse público ou da autoridade pública de que está investido o responsável pelo tratamento, nos termos do artigo 6.o, n.o 1, alíneas c) ou e), e do artigo 6.o, n.o 3, do Regulamento (UE) 2016/679, ou para a prossecução de um interesse legítimo das entidades essenciais e importantes, tal como referido no artigo 6.o, n.o 1, alínea f), do referido regulamento. Além disso, é possível que o direito nacional estabeleça regras que — na medida do necessário e proporcionado para garantir a segurança dos sistemas de rede e informação de entidades essenciais e importantes — permitam às autoridades competentes, aos balcões únicos e às CSIRT tratar categorias específicas de dados pessoais em conformidade com o artigo 9.o do Regulamento (UE) 2016/679, mormente prevendo medidas adequadas e específicas para salvaguardar os direitos e interesses fundamentais das pessoas singulares, nomeadamente restrições técnicas no que diz respeito à reutilização desses dados e o recurso às medidas tecnologicamente mais avançadas em matéria de segurança e de preservação da privacidade, como a pseudonimização ou a cifragem, sempre que a anonimização possa afetar significativamente a finalidade prosseguida. |
| --- | --- |

(121)

O tratamento de dados pessoais, efetuado na medida estritamente necessária e proporcionada para assegurar a segurança dos sistemas de rede e informação, por entidades essenciais e importantes poderá ser considerado lícito pelo facto de respeitar uma obrigação jurídica a que o responsável pelo tratamento está sujeito, em conformidade com os requisitos estabelecidos pelo artigo 6.o, n.o 1, alínea c), e pelo artigo 6.o, n.o 3, do Regulamento (UE) 2016/679. O tratamento de dados pessoais pode também ser necessário para efeito dos interesses legítimos prosseguidos por entidades essenciais e importantes, bem como por fornecedores de tecnologias e prestadores de serviços de segurança que atuem em nome dessas entidades, nos termos do artigo 6.o, n.o 1, alínea f), do Regulamento (UE) 2016/679, nomeadamente quando tal tratamento é necessário aos acordos de partilha de informações sobre cibersegurança ou à notificação voluntária de informações pertinentes em conformidade com a presente diretiva. Medidas relacionadas com a prevenção, deteção, identificação, contenção, análise e resposta a incidentes, medidas de sensibilização relativas a ciberameaças específicas, intercâmbio de informações no contexto da correção e da divulgação coordenada de vulnerabilidades, bem como o intercâmbio voluntário de informações sobre esses incidentes, ciberameaças e vulnerabilidades, indicadores de exposição a riscos, táticas, técnicas e procedimentos, alertas de cibersegurança e ferramentas de configuração poderão implicar o tratamento de determinadas categorias de dados pessoais, tais como endereços IP, localizadores uniformes de recursos (URL), nomes de domínio, endereços de correio eletrónico, e, sempre que revelem dados pessoais, selos temporais. O tratamento de dados pessoais pelas autoridades competentes, pelos pontos de contacto únicos e pelas CSIRT pode constituir uma obrigação jurídica ou ser considerado necessário para o exercício de uma missão de interesse público ou da autoridade pública de que está investido o responsável pelo tratamento, nos termos do artigo 6.o, n.o 1, alíneas c) ou e), e do artigo 6.o, n.o 3, do Regulamento (UE) 2016/679, ou para a prossecução de um interesse legítimo das entidades essenciais e importantes, tal como referido no artigo 6.o, n.o 1, alínea f), do referido regulamento. Além disso, é possível que o direito nacional estabeleça regras que — na medida do necessário e proporcionado para garantir a segurança dos sistemas de rede e informação de entidades essenciais e importantes — permitam às autoridades competentes, aos balcões únicos e às CSIRT tratar categorias específicas de dados pessoais em conformidade com o artigo 9.o do Regulamento (UE) 2016/679, mormente prevendo medidas adequadas e específicas para salvaguardar os direitos e interesses fundamentais das pessoas singulares, nomeadamente restrições técnicas no que diz respeito à reutilização desses dados e o recurso às medidas tecnologicamente mais avançadas em matéria de segurança e de preservação da privacidade, como a pseudonimização ou a cifragem, sempre que a anonimização possa afetar significativamente a finalidade prosseguida.

| (122) | A fim de reforçar as ações e os poderes de supervisão que ajudam a assegurar um cumprimento efetivo, a presente diretiva deverá estabelecer uma lista mínima de meios e ações de supervisão por meio dos quais as autoridades competentes podem supervisionar entidades essenciais e importantes. Adicionalmente, a presente diretiva deverá distinguir entre o regime de supervisão aplicável a entidades essenciais e a entidades importantes, com vista a garantir um equilíbrio justo das obrigações tanto para essas entidades como para as autoridades competentes. Assim, as entidades essenciais deverão ficar sujeitas a um regime de supervisão completo ex ante e ex post, ao passo que as entidades importantes deverão ficar sujeitas a um regime de supervisão simplificado, aplicável apenas ex post. Tal significa que as entidades importantes não deverão ser obrigadas a documentar sistematicamente o cumprimento das medidas de gestão dos riscos de cibersegurança e que as autoridades competentes deverão adotar uma abordagem ex post reativa à supervisão, pelo que não estão sujeitas a uma obrigação geral de supervisionar essas entidades. A supervisão ex post das entidades importantes pode ser desencadeada por elementos de prova, indicações ou informações levadas ao conhecimento das autoridades competentes que estas considerem sugerir potenciais infrações à presente diretiva. Por exemplo, esses elementos de prova, indicações ou informações poderão ser do tipo transmitido às autoridades competentes por outras autoridades, entidades, cidadãos, meios de comunicação social ou outras fontes, ou informações acessíveis ao público, ou poderão resultar de outras atividades realizadas pelas autoridades competentes no exercício das suas funções. |
| --- | --- |

(122)

A fim de reforçar as ações e os poderes de supervisão que ajudam a assegurar um cumprimento efetivo, a presente diretiva deverá estabelecer uma lista mínima de meios e ações de supervisão por meio dos quais as autoridades competentes podem supervisionar entidades essenciais e importantes. Adicionalmente, a presente diretiva deverá distinguir entre o regime de supervisão aplicável a entidades essenciais e a entidades importantes, com vista a garantir um equilíbrio justo das obrigações tanto para essas entidades como para as autoridades competentes. Assim, as entidades essenciais deverão ficar sujeitas a um regime de supervisão completo ex ante e ex post, ao passo que as entidades importantes deverão ficar sujeitas a um regime de supervisão simplificado, aplicável apenas ex post. Tal significa que as entidades importantes não deverão ser obrigadas a documentar sistematicamente o cumprimento das medidas de gestão dos riscos de cibersegurança e que as autoridades competentes deverão adotar uma abordagem ex post reativa à supervisão, pelo que não estão sujeitas a uma obrigação geral de supervisionar essas entidades. A supervisão ex post das entidades importantes pode ser desencadeada por elementos de prova, indicações ou informações levadas ao conhecimento das autoridades competentes que estas considerem sugerir potenciais infrações à presente diretiva. Por exemplo, esses elementos de prova, indicações ou informações poderão ser do tipo transmitido às autoridades competentes por outras autoridades, entidades, cidadãos, meios de comunicação social ou outras fontes, ou informações acessíveis ao público, ou poderão resultar de outras atividades realizadas pelas autoridades competentes no exercício das suas funções.

| (123) | O desempenho das funções de supervisão pelas autoridades competentes não deverá dificultar desnecessariamente as atividades comerciais da entidade em causa. Sempre que desempenhem as suas funções de supervisão em relação a entidades essenciais – nomeadamente procedendo à realização de inspeções no local e à supervisão fora do local, à investigação de infrações à presente diretiva, ou à realização de auditorias ou de verificações de segurança –, as autoridades competentes deverão minimizar o impacto nas atividades empresariais da entidade em causa. |
| --- | --- |

(123)

O desempenho das funções de supervisão pelas autoridades competentes não deverá dificultar desnecessariamente as atividades comerciais da entidade em causa. Sempre que desempenhem as suas funções de supervisão em relação a entidades essenciais – nomeadamente procedendo à realização de inspeções no local e à supervisão fora do local, à investigação de infrações à presente diretiva, ou à realização de auditorias ou de verificações de segurança –, as autoridades competentes deverão minimizar o impacto nas atividades empresariais da entidade em causa.

| (124) | Quando exercem uma supervisão ex ante, as autoridades competentes deverão estar aptas a definir prioridades no que diz respeito ao recurso proporcionado às medidas e meios de supervisão de que dispõem. Tal significa que as autoridades competentes podem definir essas prioridades com base em metodologias de supervisão que deverão seguir uma abordagem baseada no risco. Mais especificamente, essas metodologias poderão compreender critérios ou parâmetros de referência para a classificação de entidades essenciais em categorias de risco e as correspondentes medidas e meios de supervisão recomendados por categoria de risco, tais como a realização, a frequência ou o tipo de inspeções no local, as auditorias de segurança específicas ou as verificações de segurança, o tipo de informações a solicitar e o nível de pormenor dessas informações. Estas metodologias de supervisão poderiam também ser acompanhadas de programas de trabalho e ser avaliadas e revistas com regularidade, nomeadamente quanto a aspetos como a afetação de recursos e as necessidades em termos de recursos. Em relação às entidades da administração pública, as competências de supervisão deverão ser exercidas em conformidade com os quadros legislativos e institucionais nacionais. |
| --- | --- |

(124)

Quando exercem uma supervisão ex ante, as autoridades competentes deverão estar aptas a definir prioridades no que diz respeito ao recurso proporcionado às medidas e meios de supervisão de que dispõem. Tal significa que as autoridades competentes podem definir essas prioridades com base em metodologias de supervisão que deverão seguir uma abordagem baseada no risco. Mais especificamente, essas metodologias poderão compreender critérios ou parâmetros de referência para a classificação de entidades essenciais em categorias de risco e as correspondentes medidas e meios de supervisão recomendados por categoria de risco, tais como a realização, a frequência ou o tipo de inspeções no local, as auditorias de segurança específicas ou as verificações de segurança, o tipo de informações a solicitar e o nível de pormenor dessas informações. Estas metodologias de supervisão poderiam também ser acompanhadas de programas de trabalho e ser avaliadas e revistas com regularidade, nomeadamente quanto a aspetos como a afetação de recursos e as necessidades em termos de recursos. Em relação às entidades da administração pública, as competências de supervisão deverão ser exercidas em conformidade com os quadros legislativos e institucionais nacionais.

| (125) | As autoridades competentes deverão assegurar que as suas funções de supervisão no que diz respeito às entidades essenciais e importantes são desempenhadas por profissionais formados, com as competências necessárias para levar a cabo as tarefas em causa, em especial no que diz respeito à realização de inspeções no local e à supervisão fora do local, nomeadamente a identificação de deficiências em matéria de bases de dados, equipamento informático, barreiras de proteção, encriptação e redes. Essas inspeções e a supervisão em causa deverão ser realizadas de forma objetiva. |
| --- | --- |

(125)

As autoridades competentes deverão assegurar que as suas funções de supervisão no que diz respeito às entidades essenciais e importantes são desempenhadas por profissionais formados, com as competências necessárias para levar a cabo as tarefas em causa, em especial no que diz respeito à realização de inspeções no local e à supervisão fora do local, nomeadamente a identificação de deficiências em matéria de bases de dados, equipamento informático, barreiras de proteção, encriptação e redes. Essas inspeções e a supervisão em causa deverão ser realizadas de forma objetiva.

| (126) | Nos casos devidamente fundamentados em que tenha conhecimento de uma ciberameaça significativa ou de um risco iminente, a autoridade competente deverá poder tomar decisões de execução imediatas com o objetivo de prevenir ou de dar resposta a um incidente. |
| --- | --- |

(126)

Nos casos devidamente fundamentados em que tenha conhecimento de uma ciberameaça significativa ou de um risco iminente, a autoridade competente deverá poder tomar decisões de execução imediatas com o objetivo de prevenir ou de dar resposta a um incidente.

| (127) | Para que a execução seja eficaz, há que estabelecer uma lista mínima de poderes de execução que podem ser aplicados em caso de incumprimento das medidas de gestão dos riscos de cibersegurança e das obrigações de notificação previstas na presente diretiva, definindo um quadro claro e consistente para tal execução em toda a União. Importa ter em devida conta a natureza, a gravidade e a duração da infração à presente diretiva, os danos materiais ou imateriais causados, se a infração foi de caráter intencional ou negligente, as medidas tomadas para prevenir ou atenuar os danos materiais ou imateriais, o grau de responsabilidade ou quaisquer infrações anteriores pertinentes, o grau de cooperação com a autoridade competente e qualquer outra circunstância agravante ou atenuante. As medidas de execução, incluindo coimas, deverão ser proporcionadas e a sua imposição deverá estar sujeita a garantias processuais adequadas em conformidade com os princípios gerais do direito da União e da Carta dos Direitos Fundamentais da União Europeia (a «Carta»), nomeadamente a tutela jurisdicional efetiva, o direito a um processo equitativo, a presunção de inocência e os direitos de defesa. |
| --- | --- |

(127)

Para que a execução seja eficaz, há que estabelecer uma lista mínima de poderes de execução que podem ser aplicados em caso de incumprimento das medidas de gestão dos riscos de cibersegurança e das obrigações de notificação previstas na presente diretiva, definindo um quadro claro e consistente para tal execução em toda a União. Importa ter em devida conta a natureza, a gravidade e a duração da infração à presente diretiva, os danos materiais ou imateriais causados, se a infração foi de caráter intencional ou negligente, as medidas tomadas para prevenir ou atenuar os danos materiais ou imateriais, o grau de responsabilidade ou quaisquer infrações anteriores pertinentes, o grau de cooperação com a autoridade competente e qualquer outra circunstância agravante ou atenuante. As medidas de execução, incluindo coimas, deverão ser proporcionadas e a sua imposição deverá estar sujeita a garantias processuais adequadas em conformidade com os princípios gerais do direito da União e da Carta dos Direitos Fundamentais da União Europeia (a «Carta»), nomeadamente a tutela jurisdicional efetiva, o direito a um processo equitativo, a presunção de inocência e os direitos de defesa.

| (128) | A presente diretiva não impõe aos Estados-Membros a obrigação de preverem uma responsabilidade penal ou civil relativamente às pessoas singulares às quais incumbe assegurar que uma entidade cumpra o disposto na presente diretiva pelos danos sofridos por terceiros em resultado de uma infração à presente diretiva. |
| --- | --- |

(128)

A presente diretiva não impõe aos Estados-Membros a obrigação de preverem uma responsabilidade penal ou civil relativamente às pessoas singulares às quais incumbe assegurar que uma entidade cumpra o disposto na presente diretiva pelos danos sofridos por terceiros em resultado de uma infração à presente diretiva.

| (129) | A fim de assegurar a execução das obrigações estabelecidas na presente diretiva, cada autoridade competente deverá ter o poder de impor ou de solicitar a imposição de coimas. |
| --- | --- |

(129)

A fim de assegurar a execução das obrigações estabelecidas na presente diretiva, cada autoridade competente deverá ter o poder de impor ou de solicitar a imposição de coimas.

| (130) | Sempre que forem impostas coimas a uma entidade essencial ou importante que seja uma empresa, esta deverá, para esse efeito, ser entendida como sendo uma empresa na aceção dos artigos 101.o e 102.o do TFUE. Sempre que forem impostas coimas a pessoas que não sejam empresas, a autoridade competente deverá ter em conta o nível geral de rendimentos no Estado-Membro, bem como a situação económica da pessoa em causa, no momento de estabelecer o montante adequado da coima. Deverá caber aos Estados-Membros determinar se as autoridades públicas devem estar sujeitas a coimas, e em que medida. A imposição de uma coima não afeta o exercício de outros poderes das autoridades competentes nem a aplicação de outras sanções estabelecidas nas regras nacionais que transpõem a presente diretiva. |
| --- | --- |

(130)

Sempre que forem impostas coimas a uma entidade essencial ou importante que seja uma empresa, esta deverá, para esse efeito, ser entendida como sendo uma empresa na aceção dos artigos 101.o e 102.o do TFUE. Sempre que forem impostas coimas a pessoas que não sejam empresas, a autoridade competente deverá ter em conta o nível geral de rendimentos no Estado-Membro, bem como a situação económica da pessoa em causa, no momento de estabelecer o montante adequado da coima. Deverá caber aos Estados-Membros determinar se as autoridades públicas devem estar sujeitas a coimas, e em que medida. A imposição de uma coima não afeta o exercício de outros poderes das autoridades competentes nem a aplicação de outras sanções estabelecidas nas regras nacionais que transpõem a presente diretiva.

| (131) | Os Estados-Membros deverão poder definir as normas relativas às sanções penais aplicáveis por infrações às regras nacionais que transpõem a presente diretiva. Contudo, a imposição de sanções penais por infrações às referidas regras nacionais e de sanções administrativas conexas não pode configurar uma violação do princípio ne bis in idem, tal como interpretado pelo Tribunal de Justiça da União Europeia. |
| --- | --- |

(131)

Os Estados-Membros deverão poder definir as normas relativas às sanções penais aplicáveis por infrações às regras nacionais que transpõem a presente diretiva. Contudo, a imposição de sanções penais por infrações às referidas regras nacionais e de sanções administrativas conexas não pode configurar uma violação do princípio ne bis in idem, tal como interpretado pelo Tribunal de Justiça da União Europeia.

| (132) | Sempre que a presente diretiva não harmonize sanções administrativas, ou se necessário noutros casos (por exemplo, em caso de infração grave à presente diretiva), os Estados-Membros deverão criar um sistema que preveja sanções efetivas, proporcionadas e dissuasivas. O direito nacional deverá estabelecer a natureza de tais sanções e se se trata de sanções penais ou administrativas. |
| --- | --- |

(132)

Sempre que a presente diretiva não harmonize sanções administrativas, ou se necessário noutros casos (por exemplo, em caso de infração grave à presente diretiva), os Estados-Membros deverão criar um sistema que preveja sanções efetivas, proporcionadas e dissuasivas. O direito nacional deverá estabelecer a natureza de tais sanções e se se trata de sanções penais ou administrativas.

| (133) | Com vista a reforçar a eficácia e o caráter dissuasivo das medidas de execução aplicáveis por infração à presente diretiva, as autoridades competentes deverão estar habilitadas a suspender temporariamente ou solicitar uma suspensão temporária de uma certificação ou autorização para a totalidade ou parte dos serviços pertinentes prestados por uma entidade essencial e solicitar a imposição de uma interdição temporária do exercício de funções de direção por uma pessoa singular a nível de diretor executivo ou de representante legal. Dada a sua severidade e o seu impacto nas atividades das entidades e, em última análise, nos seus clientes, tais suspensões ou proibições temporárias só deverão ser aplicadas de modo proporcional à gravidade da infração e ter em conta as circunstâncias concretas de cada caso, incluindo o caráter doloso ou negligente da infração e as medidas tomadas para prevenir ou atenuar os danos materiais ou imateriais. Essas suspensões ou proibições temporárias só deverão ser aplicadas em último recurso, ou seja, apenas depois de esgotadas todas as outras medidas de execução pertinentes previstas na presente diretiva, e apenas até que as entidades em causa tenham tomado as medidas necessárias para corrigir as deficiências ou satisfazer os requisitos da autoridade competente que estiveram na origem da aplicação das suspensões ou proibições temporárias. A imposição de tais suspensões ou proibições temporárias deverá ser sujeita a garantias processuais adequadas, em conformidade com os princípios gerais do direito da União e da Carta, como o direito a um recurso efetivo e a um processo equitativo, a presunção de inocência e os direitos de defesa. |
| --- | --- |

(133)

Com vista a reforçar a eficácia e o caráter dissuasivo das medidas de execução aplicáveis por infração à presente diretiva, as autoridades competentes deverão estar habilitadas a suspender temporariamente ou solicitar uma suspensão temporária de uma certificação ou autorização para a totalidade ou parte dos serviços pertinentes prestados por uma entidade essencial e solicitar a imposição de uma interdição temporária do exercício de funções de direção por uma pessoa singular a nível de diretor executivo ou de representante legal. Dada a sua severidade e o seu impacto nas atividades das entidades e, em última análise, nos seus clientes, tais suspensões ou proibições temporárias só deverão ser aplicadas de modo proporcional à gravidade da infração e ter em conta as circunstâncias concretas de cada caso, incluindo o caráter doloso ou negligente da infração e as medidas tomadas para prevenir ou atenuar os danos materiais ou imateriais. Essas suspensões ou proibições temporárias só deverão ser aplicadas em último recurso, ou seja, apenas depois de esgotadas todas as outras medidas de execução pertinentes previstas na presente diretiva, e apenas até que as entidades em causa tenham tomado as medidas necessárias para corrigir as deficiências ou satisfazer os requisitos da autoridade competente que estiveram na origem da aplicação das suspensões ou proibições temporárias. A imposição de tais suspensões ou proibições temporárias deverá ser sujeita a garantias processuais adequadas, em conformidade com os princípios gerais do direito da União e da Carta, como o direito a um recurso efetivo e a um processo equitativo, a presunção de inocência e os direitos de defesa.

| (134) | A fim de assegurar que as entidades cumpram as obrigações que lhes incumbem por força da presente diretiva, os Estados-Membros deverão cooperar entre si e prestar assistência mútua no que diz respeito às medidas de supervisão e execução, em especial quando uma entidade presta serviços em mais do que um Estado-Membro ou quando os seus sistemas de rede e informação estão situados num Estado-Membro diferente daquele em que presta serviços. Ao prestar assistência, a autoridade competente requerida deverá tomar medidas de supervisão ou de execução em conformidade com o direito nacional. A fim de assegurar o bom funcionamento da assistência mútua nos termos da presente diretiva, as autoridades competentes deverão recorrer ao grupo de cooperação enquanto fórum para debater casos e pedidos específicos de assistência. |
| --- | --- |

(134)

A fim de assegurar que as entidades cumpram as obrigações que lhes incumbem por força da presente diretiva, os Estados-Membros deverão cooperar entre si e prestar assistência mútua no que diz respeito às medidas de supervisão e execução, em especial quando uma entidade presta serviços em mais do que um Estado-Membro ou quando os seus sistemas de rede e informação estão situados num Estado-Membro diferente daquele em que presta serviços. Ao prestar assistência, a autoridade competente requerida deverá tomar medidas de supervisão ou de execução em conformidade com o direito nacional. A fim de assegurar o bom funcionamento da assistência mútua nos termos da presente diretiva, as autoridades competentes deverão recorrer ao grupo de cooperação enquanto fórum para debater casos e pedidos específicos de assistência.

| (135) | A fim de assegurar uma supervisão e execução eficazes, nomeadamente quando a situação assume uma dimensão transfronteiriça, o Estado-Membro que tenha recebido um pedido de assistência mútua deverá, dentro dos limites desse pedido, tomar medidas de supervisão e execução adequadas em relação à entidade que é objeto desse pedido e que presta serviços ou que tem um sistema de rede e informação no território desse Estado-Membro. |
| --- | --- |

(135)

A fim de assegurar uma supervisão e execução eficazes, nomeadamente quando a situação assume uma dimensão transfronteiriça, o Estado-Membro que tenha recebido um pedido de assistência mútua deverá, dentro dos limites desse pedido, tomar medidas de supervisão e execução adequadas em relação à entidade que é objeto desse pedido e que presta serviços ou que tem um sistema de rede e informação no território desse Estado-Membro.

| (136) | A presente diretiva deverá definir regras em matéria de cooperação entre as autoridades competentes e as autoridades de controlo, ao abrigo do Regulamento (UE) 2016/679, com vista ao tratamento de infrações à presente diretiva relacionadas com dados pessoais. |
| --- | --- |

(136)

A presente diretiva deverá definir regras em matéria de cooperação entre as autoridades competentes e as autoridades de controlo, ao abrigo do Regulamento (UE) 2016/679, com vista ao tratamento de infrações à presente diretiva relacionadas com dados pessoais.

| (137) | A presente diretiva deverá procurar assegurar um elevado nível de responsabilidade pelas medidas de gestão dos riscos de cibersegurança e pelas obrigações de notificação ao nível das entidades essenciais e importantes. Por conseguinte, os órgãos de direção das entidades essenciais e importantes deverão aprovar as medidas de gestão dos riscos de cibersegurança e supervisionar a sua aplicação. |
| --- | --- |

(137)

A presente diretiva deverá procurar assegurar um elevado nível de responsabilidade pelas medidas de gestão dos riscos de cibersegurança e pelas obrigações de notificação ao nível das entidades essenciais e importantes. Por conseguinte, os órgãos de direção das entidades essenciais e importantes deverão aprovar as medidas de gestão dos riscos de cibersegurança e supervisionar a sua aplicação.

| (138) | A fim de garantir um elevado nível comum de cibersegurança em toda a União com base na presente diretiva, o poder de adotar atos nos termos do artigo 290.o do TFUE deverá ser delegado na Comissão com vista a complementar a presente diretiva, especificando as categorias de entidades essenciais e importantes que devem ser obrigadas a utilizar determinados produtos, serviços e processos de TIC certificados ou a obter um certificado ao abrigo de um sistema europeu de certificação da cibersegurança. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (22). Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da preparação dos atos delegados. |
| --- | --- |

(138)

A fim de garantir um elevado nível comum de cibersegurança em toda a União com base na presente diretiva, o poder de adotar atos nos termos do artigo 290.o do TFUE deverá ser delegado na Comissão com vista a complementar a presente diretiva, especificando as categorias de entidades essenciais e importantes que devem ser obrigadas a utilizar determinados produtos, serviços e processos de TIC certificados ou a obter um certificado ao abrigo de um sistema europeu de certificação da cibersegurança. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (22). Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da preparação dos atos delegados.

| (139) | A fim de assegurar condições uniformes para a execução da presente diretiva, deverão ser atribuídas competências de execução à Comissão para estabelecer as disposições processuais necessárias ao funcionamento do grupo de cooperação e os requisitos técnicos, metodológicos e setoriais relativos às medidas de gestão dos riscos de cibersegurança, bem como para especificar mais pormenorizadamente o tipo de informações, o formato e o procedimento das notificações de incidentes, de ciberameaças e de quase incidentes e das comunicações relativas a ciberameaças significativas, bem como os casos em que um incidente deve ser considerado significativo. Essas competências deverão ser exercidas nos termos do Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho (23). |
| --- | --- |

(139)

A fim de assegurar condições uniformes para a execução da presente diretiva, deverão ser atribuídas competências de execução à Comissão para estabelecer as disposições processuais necessárias ao funcionamento do grupo de cooperação e os requisitos técnicos, metodológicos e setoriais relativos às medidas de gestão dos riscos de cibersegurança, bem como para especificar mais pormenorizadamente o tipo de informações, o formato e o procedimento das notificações de incidentes, de ciberameaças e de quase incidentes e das comunicações relativas a ciberameaças significativas, bem como os casos em que um incidente deve ser considerado significativo. Essas competências deverão ser exercidas nos termos do Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho (23).

| (140) | A Comissão deverá avaliar regularmente a presente diretiva, em consulta com as partes interessadas, nomeadamente para decidir se é adequado propor alterações à luz da evolução das condições sociais, políticas, tecnológicas ou do mercado. No âmbito dessas avaliações, a Comissão deverá analisar a pertinência da dimensão das entidades em causa, dos setores, dos subsetores e dos tipos de entidades referidas nos anexos da presente diretiva para o funcionamento da economia e da sociedade no que diz respeito à cibersegurança. A Comissão deverá avaliar, nomeadamente, se os fornecedores abrangidos pelo escopo da presente diretiva que sejam classificados como plataformas em linha de muito grande dimensão na aceção do artigo 33.o do Regulamento (UE) 2022/2065 do Parlamento Europeu e do Conselho (24) podem ser identificadas como entidades essenciais nos termos da presente diretiva. |
| --- | --- |

(140)

A Comissão deverá avaliar regularmente a presente diretiva, em consulta com as partes interessadas, nomeadamente para decidir se é adequado propor alterações à luz da evolução das condições sociais, políticas, tecnológicas ou do mercado. No âmbito dessas avaliações, a Comissão deverá analisar a pertinência da dimensão das entidades em causa, dos setores, dos subsetores e dos tipos de entidades referidas nos anexos da presente diretiva para o funcionamento da economia e da sociedade no que diz respeito à cibersegurança. A Comissão deverá avaliar, nomeadamente, se os fornecedores abrangidos pelo escopo da presente diretiva que sejam classificados como plataformas em linha de muito grande dimensão na aceção do artigo 33.o do Regulamento (UE) 2022/2065 do Parlamento Europeu e do Conselho (24) podem ser identificadas como entidades essenciais nos termos da presente diretiva.

| (141) | A presente diretiva atribui novas tarefas à ENISA, reforçando assim o seu papel, o que poderá também fazer com que a ENISA tenha de desempenhar as atuais atribuições que lhe incumbem por força do Regulamento (UE) 2019/881 a um nível mais elevado do que anteriormente. A fim de assegurar que a ENISA disponha dos recursos financeiros e humanos necessários para realizar as atuais e as novas atribuições, bem como para satisfazer eventuais normas mais elevadas resultantes do seu papel reforçado, o seu orçamento deverá ser aumentado em conformidade. Além disso, com o intuito de garantir uma utilização eficiente dos recursos, a ENISA deverá dispor de maior flexibilidade na forma como pode afetar recursos a nível interno, de modo a poder desempenhar eficazmente as suas funções e ir ao encontro das expectativas. |
| --- | --- |

(141)

A presente diretiva atribui novas tarefas à ENISA, reforçando assim o seu papel, o que poderá também fazer com que a ENISA tenha de desempenhar as atuais atribuições que lhe incumbem por força do Regulamento (UE) 2019/881 a um nível mais elevado do que anteriormente. A fim de assegurar que a ENISA disponha dos recursos financeiros e humanos necessários para realizar as atuais e as novas atribuições, bem como para satisfazer eventuais normas mais elevadas resultantes do seu papel reforçado, o seu orçamento deverá ser aumentado em conformidade. Além disso, com o intuito de garantir uma utilização eficiente dos recursos, a ENISA deverá dispor de maior flexibilidade na forma como pode afetar recursos a nível interno, de modo a poder desempenhar eficazmente as suas funções e ir ao encontro das expectativas.

| (142) | Atendendo a que o objetivo da presente diretiva, a saber, atingir um elevado nível comum de cibersegurança em toda a União, não pode ser suficientemente alcançado pelos Estados-Membros, mas pode, devido aos efeitos da ação, ser mais bem alcançado a nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, a presente diretiva não excede o necessário para alcançar esse objetivo. |
| --- | --- |

(142)

Atendendo a que o objetivo da presente diretiva, a saber, atingir um elevado nível comum de cibersegurança em toda a União, não pode ser suficientemente alcançado pelos Estados-Membros, mas pode, devido aos efeitos da ação, ser mais bem alcançado a nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, a presente diretiva não excede o necessário para alcançar esse objetivo.

| (143) | A presente diretiva respeita os direitos fundamentais e observa os princípios reconhecidos na Carta, nomeadamente o direito ao respeito pela vida privada e pelo caráter privado das comunicações, o direito à proteção de dados pessoais, a liberdade de empresa, o direito de propriedade, o direito à ação e a um tribunal imparcial, a presunção de inocência e os direitos de defesa. O direito a um recurso efetivo estende-se aos destinatários dos serviços prestados por entidades essenciais e importantes. A presente diretiva deverá ser aplicada de acordo com esses direitos e princípios. |
| --- | --- |

(143)

A presente diretiva respeita os direitos fundamentais e observa os princípios reconhecidos na Carta, nomeadamente o direito ao respeito pela vida privada e pelo caráter privado das comunicações, o direito à proteção de dados pessoais, a liberdade de empresa, o direito de propriedade, o direito à ação e a um tribunal imparcial, a presunção de inocência e os direitos de defesa. O direito a um recurso efetivo estende-se aos destinatários dos serviços prestados por entidades essenciais e importantes. A presente diretiva deverá ser aplicada de acordo com esses direitos e princípios.

| (144) | A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (25) e emitiu parecer em 11 de março de 2021 (26), |
| --- | --- |

(144)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (25) e emitiu parecer em 11 de março de 2021 (26),

ADOTARAM A PRESENTE DIRETIVA:

CAPÍTULO I

DISPOSIÇÕES GERAIS

Artigo 1.o

Objeto

1.   A presente diretiva estabelece medidas que visam a consecução de um elevado nível comum de cibersegurança na União, com vista a melhorar o funcionamento do mercado interno.

2.   Para o efeito, a presente diretiva estabelece:

| a) | A obrigação de os Estados-Membros adotarem estratégias nacionais de cibersegurança e de designarem ou criarem autoridades competentes, autoridades de gestão de cibercrises, pontos de contacto únicos em matéria de cibersegurança (pontos de contacto únicos) e equipas de resposta a incidentes de segurança informática (CSIRT); |
| --- | --- |

a)

A obrigação de os Estados-Membros adotarem estratégias nacionais de cibersegurança e de designarem ou criarem autoridades competentes, autoridades de gestão de cibercrises, pontos de contacto únicos em matéria de cibersegurança (pontos de contacto únicos) e equipas de resposta a incidentes de segurança informática (CSIRT);

| b) | Medidas de gestão dos riscos de cibersegurança e obrigações de notificação às entidades do tipo referido no anexo I ou II, bem como às entidades identificadas como entidades críticas nos termos da Diretiva (UE) 2022/2557; |
| --- | --- |

b)

Medidas de gestão dos riscos de cibersegurança e obrigações de notificação às entidades do tipo referido no anexo I ou II, bem como às entidades identificadas como entidades críticas nos termos da Diretiva (UE) 2022/2557;

| c) | Regras e obrigações em matéria de partilha de informações sobre cibersegurança; |
| --- | --- |

c)

Regras e obrigações em matéria de partilha de informações sobre cibersegurança;

| d) | Obrigações em matéria de supervisão e execução para os Estados-Membros. |
| --- | --- |

d)

Obrigações em matéria de supervisão e execução para os Estados-Membros.

Artigo 2.o

Âmbito de aplicação

1.   A presente diretiva aplica-se às entidades públicas ou privadas de um dos tipos referidos no anexo I ou II, que sejam consideradas médias empresas nos termos do artigo 2.o do anexo da Recomendação 2003/361/CE, ou que excedam os limiares relativos às médias empresas previstos no n.o 1 desse artigo, e que prestem os seus serviços ou exerçam as suas atividades na União.

O artigo 3.o, n.o 4, do anexo da referida recomendação não é aplicável para efeitos da presente diretiva.

2.   Independentemente da dimensão que tenham, a presente diretiva também se aplica às entidades de um dos tipos referidos no anexo I ou II, em que:

| a) | Os serviços são prestados por:






  i) | fornecedores de redes públicas de comunicações eletrónicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público, |
| --- | --- | --- |

a)

Os serviços são prestados por:

i)

fornecedores de redes públicas de comunicações eletrónicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público,

| ii) | prestadores de serviços de confiança, |
| --- | --- |

ii)

prestadores de serviços de confiança,

| iii) | registos de nomes de domínio de topo e prestadores de serviços de sistemas de nomes de domínio; |
| --- | --- |

iii)

registos de nomes de domínio de topo e prestadores de serviços de sistemas de nomes de domínio;

| b) | A entidade é o único prestador, num Estado-Membro, de um serviço que é essencial para a manutenção de atividades societais ou económicas críticas; |
| --- | --- |

b)

A entidade é o único prestador, num Estado-Membro, de um serviço que é essencial para a manutenção de atividades societais ou económicas críticas;

| c) | Uma perturbação do serviço prestado pela entidade possa afetar consideravelmente a segurança pública, a proteção pública ou a saúde pública; |
| --- | --- |

c)

Uma perturbação do serviço prestado pela entidade possa afetar consideravelmente a segurança pública, a proteção pública ou a saúde pública;

| d) | Uma perturbação do serviço prestado pela entidade possa gerar riscos sistémicos consideráveis, especialmente para os setores onde tal perturbação possa ter um impacto transfronteiriço; |
| --- | --- |

d)

Uma perturbação do serviço prestado pela entidade possa gerar riscos sistémicos consideráveis, especialmente para os setores onde tal perturbação possa ter um impacto transfronteiriço;

| e) | A entidade é crítica devido à sua importância específica, a nível nacional ou regional, para o setor ou o tipo de serviço em causa, ou para outros setores interdependentes no Estado-Membro; |
| --- | --- |

e)

A entidade é crítica devido à sua importância específica, a nível nacional ou regional, para o setor ou o tipo de serviço em causa, ou para outros setores interdependentes no Estado-Membro;

| f) | A entidade é uma entidade da administração pública:






  i) | do governo central, tal como definida por um Estado-Membro em conformidade com o direito nacional, ou |
| --- | --- | --- |

f)

A entidade é uma entidade da administração pública:

i)

do governo central, tal como definida por um Estado-Membro em conformidade com o direito nacional, ou

| ii) | a nível regional, tal como definida por um Estado-Membro em conformidade com o direito nacional, que, na sequência de uma avaliação baseada no risco, presta serviços cuja perturbação seria suscetível de ter um impacto significativo nas atividades societais ou económicas críticas. |
| --- | --- |

ii)

a nível regional, tal como definida por um Estado-Membro em conformidade com o direito nacional, que, na sequência de uma avaliação baseada no risco, presta serviços cuja perturbação seria suscetível de ter um impacto significativo nas atividades societais ou económicas críticas.

3.   Independentemente da dimensão que tenham, a presente diretiva é aplicável às entidades identificadas como entidades críticas nos termos da Diretiva (UE) 2022/2557.

4.   Independentemente da dimensão que tenham, a presente diretiva é aplicável às entidades prestadoras de serviços de registo de nomes de domínio.

5.   Os Estados-Membros podem prever que a presente diretiva se aplique a:

| a) | Entidades da administração pública a nível local; |
| --- | --- |

a)

Entidades da administração pública a nível local;

| b) | Instituições de ensino, em especial quando realizam atividades críticas no domínio da investigação. |
| --- | --- |

b)

Instituições de ensino, em especial quando realizam atividades críticas no domínio da investigação.

6.   A presente diretiva não prejudica as responsabilidades dos Estados-Membros de salvaguardar a segurança nacional nem os seus poderes para salvaguardar outras funções essenciais do Estado, nomeadamente para garantir a integridade territorial do Estado e manter a ordem pública.

7.   A presente diretiva não se aplica às entidades da administração pública que exercem as suas atividades nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a prevenção, investigação, deteção e repressão de infrações penais.

8.   Os Estados-Membros podem isentar entidades específicas que exerçam atividades nos domínios da defesa, da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a prevenção, investigação, deteção e repressão de infrações penais, ou que ofereçam serviços exclusivamente às entidades da administração púbica a que se refere o n.o 7 do presente artigo, de cumprir as obrigações estabelecidas no artigo 21.o ou 23.o no que diz respeito a essas atividades. Em tais casos, as medidas de supervisão e de execução referidas no capítulo VII não se aplicam a essas atividades ou serviços específicos. Caso as entidades exerçam atividades ou prestem serviços exclusivamente do tipo referido no presente número, os Estados-Membros podem decidir também isentar essas entidades das obrigações previstas nos artigos 3.o e 27.o.

9.   Os n.os 7 e 8 não se aplicam quando uma entidade atua como prestador de serviços de confiança.

10.   A presente diretiva não se aplica às entidades que os Estados-Membros tenham excluído do âmbito de aplicação do Regulamento (UE) 2022/2554 em conformidade com o artigo 2.o, n.o 4, do referido regulamento.

11.   As obrigações previstas na presente diretiva não implicam a prestação de informações cuja divulgação seja contrária aos interesses essenciais dos Estados-Membros em matéria de segurança nacional, segurança pública ou defesa.

12.   A presente diretiva é aplicável sem prejuízo do Regulamento (UE) 2016/679, da Diretiva 2002/58/CE, das Diretivas 2011/93/UE (27) e 2013/40/UE do Parlamento Europeu e do Conselho (28) e da Diretiva (UE) 2022/2557.

13.   Sem prejuízo do artigo 346.o do TFUE, as informações classificadas como confidenciais nos termos de regras da União ou de regras nacionais, tais como regras em matéria de sigilo comercial, só podem ser trocadas com a Comissão e com outras autoridades competentes, em conformidade com a presente diretiva, nos casos em que esse intercâmbio seja necessário para efeitos de aplicação da presente diretiva. As informações trocadas devem limitar-se ao que for pertinente e proporcionado em relação ao objetivo desse intercâmbio. O intercâmbio de informações deve preservar a confidencialidade dessas informações e salvaguardar a segurança e os interesses comerciais das entidades em causa.

14.   As entidades, as autoridades competentes, os pontos de contacto únicos e as CSIRT procedem ao tratamento dos dados pessoais na medida do necessário para efeitos da presente diretiva e em conformidade com o Regulamento (UE) 2016/679, em especial com base no artigo 6.o desse regulamento.

O tratamento de dados pessoais nos termos da presente diretiva por fornecedores de redes públicas de comunicações eletrónicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público deve ser efetuado em conformidade com o direito da União em matéria de proteção de dados e com o direito da União em matéria de privacidade, nomeadamente a Diretiva 2002/58/CE.

Artigo 3.o

Entidades essenciais e importantes

1.   Para efeitos da presente diretiva, consideram-se entidades essenciais as seguintes entidades:

| a) | Entidades de um dos tipos referidos no anexo I que excedam os limiares para as médias empresas previstos no artigo 2.o, n.o 1, do anexo da Recomendação 2003/361/CE; |
| --- | --- |

a)

Entidades de um dos tipos referidos no anexo I que excedam os limiares para as médias empresas previstos no artigo 2.o, n.o 1, do anexo da Recomendação 2003/361/CE;

| b) | Prestadores de serviços de confiança qualificados e registos de nomes de domínio de topo, bem como prestadores de serviços de DNS, independentemente da sua dimensão; |
| --- | --- |

b)

Prestadores de serviços de confiança qualificados e registos de nomes de domínio de topo, bem como prestadores de serviços de DNS, independentemente da sua dimensão;

| c) | Fornecedores de redes públicas de comunicações eletrónicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público que sejam considerados médias empresas nos termos do artigo 2.odo anexo da Recomendação 2003/361/CE; |
| --- | --- |

c)

Fornecedores de redes públicas de comunicações eletrónicas ou prestadores de serviços de comunicações eletrónicas acessíveis ao público que sejam considerados médias empresas nos termos do artigo 2.odo anexo da Recomendação 2003/361/CE;

| d) | Entidades da administração pública a que se refere o artigo 2.o, n.o 2, alínea f), subalínea i); |
| --- | --- |

d)

Entidades da administração pública a que se refere o artigo 2.o, n.o 2, alínea f), subalínea i);

| e) | Qualquer outra entidade de um dos tipos referidos no anexo I ou II que um Estado-Membro tenha identificado como entidade essencial nos termos do artigo 2.o, n.o 2, alíneas b) a e); |
| --- | --- |

e)

Qualquer outra entidade de um dos tipos referidos no anexo I ou II que um Estado-Membro tenha identificado como entidade essencial nos termos do artigo 2.o, n.o 2, alíneas b) a e);

| f) | Entidades identificadas como entidades críticas nos termos da Diretiva (UE) 2022/2557 a que se refere o artigo 2.o, n.o 3, da presente diretiva; |
| --- | --- |

f)

Entidades identificadas como entidades críticas nos termos da Diretiva (UE) 2022/2557 a que se refere o artigo 2.o, n.o 3, da presente diretiva;

| g) | Se o Estado-Membro assim o estabelecer, as entidades que o Estado-Membro em causa tenha identificado antes de 16 de janeiro de 2023 como operadores de serviços essenciais nos termos da Diretiva (UE) 2016/1148 ou do direito nacional. |
| --- | --- |

g)

Se o Estado-Membro assim o estabelecer, as entidades que o Estado-Membro em causa tenha identificado antes de 16 de janeiro de 2023 como operadores de serviços essenciais nos termos da Diretiva (UE) 2016/1148 ou do direito nacional.

2.   Para efeitos da presente diretiva, são consideradas entidades importantes as entidades de um dos tipos referidos no anexo I ou II que não sejam consideradas entidades essenciais nos termos do n.o 1 do presente artigo. Tal inclui as entidades identificadas pelos Estados-Membros como entidades importantes nos termos do artigo 2.o, n.o 2, alíneas b) a e).

3.   Até 17 de abril de 2025, os Estados-Membros estabelecem uma lista das entidades essenciais e importantes, bem como das entidades que prestam serviços de registo de nomes de domínio. Os Estados-Membros revêm e, se for caso disso, atualizam essa lista com regularidade e, pelo menos, de dois em dois anos.

4.   Para efeitos do estabelecimento da lista a que se refere o n.o 3, os Estados-Membros requerem às entidades referidas nesse número que apresentem às autoridades competentes, pelo menos, as seguintes informações:

| a) | Nome da entidade; |
| --- | --- |

a)

Nome da entidade;

| b) | O endereço e os dados de contacto atualizados, incluindo os endereços de correio eletrónico, as gamas de endereços IP e os números de telefone; |
| --- | --- |

b)

O endereço e os dados de contacto atualizados, incluindo os endereços de correio eletrónico, as gamas de endereços IP e os números de telefone;

| c) | Se aplicável, o setor e subsetor pertinentes referidos no anexo I ou II; e |
| --- | --- |

c)

Se aplicável, o setor e subsetor pertinentes referidos no anexo I ou II; e

| d) | Se aplicável, uma lista dos Estados-Membros em que prestam serviços abrangidos pelo âmbito de aplicação da presente diretiva. |
| --- | --- |

d)

Se aplicável, uma lista dos Estados-Membros em que prestam serviços abrangidos pelo âmbito de aplicação da presente diretiva.

As entidades a que se refere o n.o 3 devem notificar sem demora quaisquer alterações dos dados fornecidos nos termos do primeiro parágrafo do presente número e, em qualquer caso, no prazo de duas semanas a contar da data da alteração.

A Comissão, com a assistência da Agência da União Europeia para a Cibersegurança (ENISA), fornece, sem demora injustificada, orientações e modelos no que diz respeito às obrigações estabelecidas no presente número.

Os Estados-Membros podem estabelecer mecanismos nacionais que permitam às entidades registarem-se elas próprias.

5.   Até 17 de abril de 2025 e, posteriormente, de dois em dois anos, as autoridades competentes notificam:

| a) | A Comissão e o grupo de cooperação do número das entidades essenciais e importantes que figuram na lista estabelecida nos termos do n.o 3, para cada um dos setores e subsetores referidos no anexo I ou II; e |
| --- | --- |

a)

A Comissão e o grupo de cooperação do número das entidades essenciais e importantes que figuram na lista estabelecida nos termos do n.o 3, para cada um dos setores e subsetores referidos no anexo I ou II; e

| b) | A Comissão de informações pertinentes sobre o número de entidades essenciais e importantes identificadas nos termos do artigo 2.o, n.o 2, alíneas b) a e), o setor e subsetor referidos no anexo I ou II a que pertencem, o tipo de serviço que prestam e a disposição, de entre as previstas no artigo 2.o, n.o 2, alíneas b) a e), nos termos da qual foram identificadas. |
| --- | --- |

b)

A Comissão de informações pertinentes sobre o número de entidades essenciais e importantes identificadas nos termos do artigo 2.o, n.o 2, alíneas b) a e), o setor e subsetor referidos no anexo I ou II a que pertencem, o tipo de serviço que prestam e a disposição, de entre as previstas no artigo 2.o, n.o 2, alíneas b) a e), nos termos da qual foram identificadas.

6.   Até 17 de abril de 2025 e a pedido da Comissão, os Estados-Membros podem notificar a Comissão dos nomes das entidades essenciais e importantes a que se refere o n.o 5, alínea b).

Artigo 4.o

Atos jurídicos setoriais da União

1.   Sempre que atos jurídicos setoriais da União exijam que entidades essenciais e importantes adotem medidas de gestão dos riscos de cibersegurança ou notifiquem incidentes significativos, e se tais requisitos forem, na prática, pelo menos equivalentes às obrigações estabelecidas na presente diretiva, não se aplicam a essas entidades as disposições pertinentes da presente diretiva, nomeadamente as disposições em matéria de supervisão e execução estabelecidas no capítulo VII. Caso os atos jurídicos setoriais da União não abranjam todas as entidades de um setor específico abrangidas pelo âmbito de aplicação da presente diretiva, as disposições pertinentes da presente diretiva continuam a aplicar-se às entidades não abrangidas por esses atos jurídicos setoriais da União.

2.   Os requisitos a que se refere o n.o 1 do presente artigo são considerados de efeito equivalente às obrigações estabelecidas na presente diretiva sempre que:

| a) | As medidas de gestão dos riscos de cibersegurança forem, pelo menos, de efeito equivalente às estabelecidas no artigo 21.o, n.os 1 e 2; ou |
| --- | --- |

a)

As medidas de gestão dos riscos de cibersegurança forem, pelo menos, de efeito equivalente às estabelecidas no artigo 21.o, n.os 1 e 2; ou

| b) | O ato jurídico setorial da União preveja o acesso imediato, se for caso disso automático e direto, às notificações de incidentes por parte das CSIRT, das autoridades competentes ou dos pontos de contacto únicos ao abrigo da presente diretiva e se os requisitos aplicáveis à notificação de incidentes significativos forem, pelo menos, equivalentes aos estabelecidos no artigo 23.o, n.os 1 a 6, da presente diretiva. |
| --- | --- |

b)

O ato jurídico setorial da União preveja o acesso imediato, se for caso disso automático e direto, às notificações de incidentes por parte das CSIRT, das autoridades competentes ou dos pontos de contacto únicos ao abrigo da presente diretiva e se os requisitos aplicáveis à notificação de incidentes significativos forem, pelo menos, equivalentes aos estabelecidos no artigo 23.o, n.os 1 a 6, da presente diretiva.

3.   A Comissão fornece, até 17 de julho de 2023, orientações que clarifiquem a aplicação dos n.os 1 e 2. A Comissão revê periodicamente essas orientações. Na elaboração dessas orientações, a Comissão tem em conta as observações do grupo de cooperação e da ENISA.

Artigo 5.o

Harmonização mínima

A presente diretiva não obsta a que os Estados-Membros adotem ou mantenham disposições que garantam um elevado nível de cibersegurança, desde que tais disposições sejam compatíveis com as obrigações dos Estados-Membros decorrentes do direito da União.

Artigo 6.o

Definições

Para efeitos da presente diretiva, entende-se por:

| 1) | «Sistema de rede e informação»:






  a) | Uma rede de comunicações eletrónicas, na aceção do artigo 2.o, ponto 1, da Diretiva (UE) 2018/1972; |
| --- | --- | --- |

1)

«Sistema de rede e informação»:

a)

Uma rede de comunicações eletrónicas, na aceção do artigo 2.o, ponto 1, da Diretiva (UE) 2018/1972;

o

| b) | Um dispositivo ou um grupo de dispositivos interligados ou associados, dos quais um ou vários efetuam o tratamento automático de dados digitais com base num programa; ou |
| --- | --- |

b)

Um dispositivo ou um grupo de dispositivos interligados ou associados, dos quais um ou vários efetuam o tratamento automático de dados digitais com base num programa; ou

| c) | Os dados digitais armazenados, tratados, obtidos ou transmitidos por elementos indicados nas alíneas a) e b) tendo em vista a sua exploração, utilização, proteção e manutenção; |
| --- | --- |

c)

Os dados digitais armazenados, tratados, obtidos ou transmitidos por elementos indicados nas alíneas a) e b) tendo em vista a sua exploração, utilização, proteção e manutenção;

| 2) | «Segurança dos sistemas de rede e informação», a capacidade dos sistemas de rede e informação para resistir, com um dado nível de confiança, a eventos suscetíveis de pôr em causa a disponibilidade, a autenticidade, a integridade ou a confidencialidade dos dados armazenados, transmitidos ou tratados, ou dos serviços oferecidos por esses sistemas de rede e informação, ou acessíveis por intermédio destes; |
| --- | --- |

2)

«Segurança dos sistemas de rede e informação», a capacidade dos sistemas de rede e informação para resistir, com um dado nível de confiança, a eventos suscetíveis de pôr em causa a disponibilidade, a autenticidade, a integridade ou a confidencialidade dos dados armazenados, transmitidos ou tratados, ou dos serviços oferecidos por esses sistemas de rede e informação, ou acessíveis por intermédio destes;

| 3) | «Cibersegurança», cibersegurança na aceção do artigo 2.o, ponto 1, do Regulamento (UE) 2019/881; |
| --- | --- |

3)

«Cibersegurança», cibersegurança na aceção do artigo 2.o, ponto 1, do Regulamento (UE) 2019/881;

o

| 4) | «Estratégia nacional de cibersegurança», um quadro coerente mediante o qual um Estado-Membro define prioridades e objetivos estratégicos no domínio da cibersegurança e define a governação com vista à sua consecução no Estado-Membro em causa; |
| --- | --- |

4)

«Estratégia nacional de cibersegurança», um quadro coerente mediante o qual um Estado-Membro define prioridades e objetivos estratégicos no domínio da cibersegurança e define a governação com vista à sua consecução no Estado-Membro em causa;

| 5) | «Quase incidente», um evento que poderia ter posto em causa a disponibilidade, a autenticidade, a integridade ou a confidencialidade de dados armazenados, transmitidos ou tratados ou de serviços oferecidos por sistemas de rede e informação ou acessíveis por intermédio destes, que, no entanto, foi possível evitar com êxito ou não se materializou; |
| --- | --- |

5)

«Quase incidente», um evento que poderia ter posto em causa a disponibilidade, a autenticidade, a integridade ou a confidencialidade de dados armazenados, transmitidos ou tratados ou de serviços oferecidos por sistemas de rede e informação ou acessíveis por intermédio destes, que, no entanto, foi possível evitar com êxito ou não se materializou;

| 6) | «Incidente», um evento que ponha em causa a disponibilidade, a autenticidade, a integridade ou a confidencialidade de dados armazenados, transmitidos ou tratados ou dos serviços oferecidos por sistemas de rede e informação ou acessíveis por intermédio destes; |
| --- | --- |

6)

«Incidente», um evento que ponha em causa a disponibilidade, a autenticidade, a integridade ou a confidencialidade de dados armazenados, transmitidos ou tratados ou dos serviços oferecidos por sistemas de rede e informação ou acessíveis por intermédio destes;

| 7) | «Incidente de cibersegurança em grande escala», um incidente que cause um nível de perturbação superior à capacidade de resposta de um Estado-Membro ou que tenha um impacto significativo em, pelo menos, dois Estados-Membros; |
| --- | --- |

7)

«Incidente de cibersegurança em grande escala», um incidente que cause um nível de perturbação superior à capacidade de resposta de um Estado-Membro ou que tenha um impacto significativo em, pelo menos, dois Estados-Membros;

| 8) | «Tratamento de incidentes», todas as ações e procedimentos que visam a prevenção, a deteção, a análise, a contenção ou a resposta a um incidente e a recuperação de um incidente; |
| --- | --- |

8)

«Tratamento de incidentes», todas as ações e procedimentos que visam a prevenção, a deteção, a análise, a contenção ou a resposta a um incidente e a recuperação de um incidente;

| 9) | «Risco», a possível perda ou perturbação causada por um incidente, expressa como uma combinação da magnitude de tal perda ou perturbação e da probabilidade de ocorrência do incidente; |
| --- | --- |

9)

«Risco», a possível perda ou perturbação causada por um incidente, expressa como uma combinação da magnitude de tal perda ou perturbação e da probabilidade de ocorrência do incidente;

| 10) | «Ciberameaça», uma ciberameaça na aceção do artigo 2.o, ponto 8, do Regulamento (UE) 2019/881; |
| --- | --- |

10)

«Ciberameaça», uma ciberameaça na aceção do artigo 2.o, ponto 8, do Regulamento (UE) 2019/881;

o

| 11) | «Ciberameaça significativa», uma ciberameaça que, com base nas suas características técnicas, possa ser considerada suscetível de ter um impacto grave nos sistemas de rede e informação de uma entidade ou dos utilizadores dos serviços das entidades, causando danos materiais ou imateriais consideráveis; |
| --- | --- |

11)

«Ciberameaça significativa», uma ciberameaça que, com base nas suas características técnicas, possa ser considerada suscetível de ter um impacto grave nos sistemas de rede e informação de uma entidade ou dos utilizadores dos serviços das entidades, causando danos materiais ou imateriais consideráveis;

| 12) | «Produto de TIC», um produto de TIC na aceção do artigo 2.o, ponto 12, do Regulamento (UE) 2019/881; |
| --- | --- |

12)

«Produto de TIC», um produto de TIC na aceção do artigo 2.o, ponto 12, do Regulamento (UE) 2019/881;

o

| 13) | «Serviço de TIC», um serviço de TIC na aceção do artigo 2.o, ponto 13, do Regulamento (UE) 2019/881; |
| --- | --- |

13)

«Serviço de TIC», um serviço de TIC na aceção do artigo 2.o, ponto 13, do Regulamento (UE) 2019/881;

o

| 14) | «Processo de TIC», um processo de TIC na aceção do artigo 2.o, ponto 14, do Regulamento (UE) 2019/881; |
| --- | --- |

14)

«Processo de TIC», um processo de TIC na aceção do artigo 2.o, ponto 14, do Regulamento (UE) 2019/881;

o

| 15) | «Vulnerabilidade», um ponto fraco, uma suscetibilidade ou uma falha de um produto de TIC ou de um serviço de TIC passível de ser explorada por uma ciberameaça; |
| --- | --- |

15)

«Vulnerabilidade», um ponto fraco, uma suscetibilidade ou uma falha de um produto de TIC ou de um serviço de TIC passível de ser explorada por uma ciberameaça;

| 16) | «Norma», uma norma na aceção do artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho (29); |
| --- | --- |

16)

«Norma», uma norma na aceção do artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho (29);

o

o

29

| 17) | «Especificação técnica», uma especificação técnica na aceção do artigo 2.o, ponto 4, do Regulamento (UE) n.o 1025/2012; |
| --- | --- |

17)

«Especificação técnica», uma especificação técnica na aceção do artigo 2.o, ponto 4, do Regulamento (UE) n.o 1025/2012;

o

o

| 18) | «Ponto de troca de tráfego», uma estrutura de rede que permite a interligação de mais de duas redes independentes (sistemas autónomos), sobretudo a fim de facilitar a troca de tráfego na Internet; um ponto de troca de tráfego só interliga sistemas autónomos; um ponto de troca de tráfego não implica que o tráfego na Internet entre um par de sistemas autónomos participantes passe através de um terceiro sistema autónomo, não altera esse tráfego nem interfere nele de qualquer outra forma; |
| --- | --- |

18)

«Ponto de troca de tráfego», uma estrutura de rede que permite a interligação de mais de duas redes independentes (sistemas autónomos), sobretudo a fim de facilitar a troca de tráfego na Internet; um ponto de troca de tráfego só interliga sistemas autónomos; um ponto de troca de tráfego não implica que o tráfego na Internet entre um par de sistemas autónomos participantes passe através de um terceiro sistema autónomo, não altera esse tráfego nem interfere nele de qualquer outra forma;

| 19) | «Sistema de nomes de domínio» ou «DNS», um sistema de nomes distribuídos hierarquicamente que possibilita a identificação de serviços e recursos na Internet, permitindo que os dispositivos dos utilizadores finais utilizem os serviços de encaminhamento e de conectividade da Internet para aceder a esses serviços e recursos; |
| --- | --- |

19)

«Sistema de nomes de domínio» ou «DNS», um sistema de nomes distribuídos hierarquicamente que possibilita a identificação de serviços e recursos na Internet, permitindo que os dispositivos dos utilizadores finais utilizem os serviços de encaminhamento e de conectividade da Internet para aceder a esses serviços e recursos;

| 20) | «Prestador de serviços de DNS», uma entidade que presta:






  a) | Serviços de resolução recursiva de nomes de domínio acessíveis ao público para os utilizadores finais de Internet; ou |
| --- | --- | --- |

20)

«Prestador de serviços de DNS», uma entidade que presta:

a)

Serviços de resolução recursiva de nomes de domínio acessíveis ao público para os utilizadores finais de Internet; ou

| b) | Serviços de resolução com autoridade para nomes de domínio para utilização por terceiros, com exceção dos servidores de nomes raiz; |
| --- | --- |

b)

Serviços de resolução com autoridade para nomes de domínio para utilização por terceiros, com exceção dos servidores de nomes raiz;

| 21) | «Registo de nomes de domínio de topo» ou «Registo de nomes de TLD», uma entidade a quem foi delegado um TLD específico e que é responsável pela sua administração, incluindo o registo de nomes de domínio sob o TLD e a operação técnica desse TLD, incluindo a operação dos seus servidores de nomes, a manutenção das suas bases de dados e a distribuição de ficheiros da zona de TLD pelos servidores de nomes, independentemente de qualquer uma destas operações ser executada pela própria entidade ou ser externalizada, mas excluindo situações em que os nomes do TLD sejam utilizados por um registo apenas para uso próprio; |
| --- | --- |

21)

«Registo de nomes de domínio de topo» ou «Registo de nomes de TLD», uma entidade a quem foi delegado um TLD específico e que é responsável pela sua administração, incluindo o registo de nomes de domínio sob o TLD e a operação técnica desse TLD, incluindo a operação dos seus servidores de nomes, a manutenção das suas bases de dados e a distribuição de ficheiros da zona de TLD pelos servidores de nomes, independentemente de qualquer uma destas operações ser executada pela própria entidade ou ser externalizada, mas excluindo situações em que os nomes do TLD sejam utilizados por um registo apenas para uso próprio;

| 22) | «Entidade que presta serviços de registo de nomes de domínio», um agente de registo ou um agente que atua em nome de agentes de registo, tal como um prestador ou revendedor de serviços de proteção da privacidade ou de registo de servidores intermediários; |
| --- | --- |

22)

«Entidade que presta serviços de registo de nomes de domínio», um agente de registo ou um agente que atua em nome de agentes de registo, tal como um prestador ou revendedor de serviços de proteção da privacidade ou de registo de servidores intermediários;

| 23) | «Serviço digital», um serviço na aceção do artigo 1.o, n.o 1, alínea b), da Diretiva (UE) 2015/1535 do Parlamento Europeu e do Conselho (30); |
| --- | --- |

23)

«Serviço digital», um serviço na aceção do artigo 1.o, n.o 1, alínea b), da Diretiva (UE) 2015/1535 do Parlamento Europeu e do Conselho (30);

o

o

30

| 24) | «Serviço de confiança», um serviço de confiança na aceção do artigo 3.o, ponto 16, do Regulamento (UE) n.o 910/2014; |
| --- | --- |

24)

«Serviço de confiança», um serviço de confiança na aceção do artigo 3.o, ponto 16, do Regulamento (UE) n.o 910/2014;

o

o

| 25) | «Prestador de serviços de confiança», um prestador de serviços de confiança na aceção do artigo 3.o, ponto 19, do Regulamento (UE) n.o 910/2014; |
| --- | --- |

25)

«Prestador de serviços de confiança», um prestador de serviços de confiança na aceção do artigo 3.o, ponto 19, do Regulamento (UE) n.o 910/2014;

o

o

| 26) | «Serviço de confiança qualificado», um serviço de confiança qualificado na aceção do artigo 3.o, ponto 17, do Regulamento (UE) n.o 910/2014; |
| --- | --- |

26)

«Serviço de confiança qualificado», um serviço de confiança qualificado na aceção do artigo 3.o, ponto 17, do Regulamento (UE) n.o 910/2014;

o

o

| 27) | «Prestador qualificado de serviços de confiança», um prestador qualificado de serviços de confiança na aceção do artigo 3.o, ponto 20, do Regulamento (UE) n.o 910/2014; |
| --- | --- |

27)

«Prestador qualificado de serviços de confiança», um prestador qualificado de serviços de confiança na aceção do artigo 3.o, ponto 20, do Regulamento (UE) n.o 910/2014;

o

o

| 28) | «Mercado em linha», um mercado em linha na aceção do artigo 2.o, alínea n), da Diretiva 2005/29/CE do Parlamento Europeu e do Conselho (31); |
| --- | --- |

28)

«Mercado em linha», um mercado em linha na aceção do artigo 2.o, alínea n), da Diretiva 2005/29/CE do Parlamento Europeu e do Conselho (31);

o

31

| 29) | «Motor de pesquisa em linha», um motor de pesquisa em linha na aceção do artigo 2.o, ponto 5, do Regulamento (UE) 2019/1150 do Parlamento Europeu e do Conselho (32); |
| --- | --- |

29)

«Motor de pesquisa em linha», um motor de pesquisa em linha na aceção do artigo 2.o, ponto 5, do Regulamento (UE) 2019/1150 do Parlamento Europeu e do Conselho (32);

o

32

| 30) | «Serviço de computação em nuvem», um serviço digital que permite a administração a pedido e um amplo acesso remoto a um conjunto modulável e adaptável de recursos de computação partilháveis, inclusive quando esses recursos estão distribuídos por várias localizações; |
| --- | --- |

30)

«Serviço de computação em nuvem», um serviço digital que permite a administração a pedido e um amplo acesso remoto a um conjunto modulável e adaptável de recursos de computação partilháveis, inclusive quando esses recursos estão distribuídos por várias localizações;

| 31) | «Serviço de centro de dados», um serviço que engloba estruturas ou grupos de estruturas dedicados ao alojamento, à interligação e à operação centralizadas de equipamento de redes e TI que preste serviços de armazenamento, tratamento e transmissão de dados, juntamente com todas as instalações e infraestruturas de distribuição de energia e controlo ambiental; |
| --- | --- |

31)

«Serviço de centro de dados», um serviço que engloba estruturas ou grupos de estruturas dedicados ao alojamento, à interligação e à operação centralizadas de equipamento de redes e TI que preste serviços de armazenamento, tratamento e transmissão de dados, juntamente com todas as instalações e infraestruturas de distribuição de energia e controlo ambiental;

| 32) | «Rede de distribuição de conteúdos», uma rede de servidores distribuídos geograficamente para o efeito de assegurar uma elevada disponibilidade, acessibilidade ou rápida distribuição de serviços e conteúdos digitais a utilizadores da Internet por conta de fornecedores de conteúdos e serviços; |
| --- | --- |

32)

«Rede de distribuição de conteúdos», uma rede de servidores distribuídos geograficamente para o efeito de assegurar uma elevada disponibilidade, acessibilidade ou rápida distribuição de serviços e conteúdos digitais a utilizadores da Internet por conta de fornecedores de conteúdos e serviços;

| 33) | «Plataforma de serviços de redes sociais», uma plataforma que permite que utilizadores finais se conectem, partilhem, descubram e comuniquem entre si em vários dispositivos, especialmente por intermédio de conversas, publicações, vídeos e recomendações; |
| --- | --- |

33)

«Plataforma de serviços de redes sociais», uma plataforma que permite que utilizadores finais se conectem, partilhem, descubram e comuniquem entre si em vários dispositivos, especialmente por intermédio de conversas, publicações, vídeos e recomendações;

| 34) | «Representante», qualquer pessoa singular ou coletiva, estabelecida na União, expressamente designada para atuar por conta de um prestador de serviços de DNS, um registo de nomes de TLD, uma entidade que presta serviços de registo de nomes de domínio, um prestador de serviços de computação em nuvem, um prestador de serviços de centro de dados, um fornecedor de redes de distribuição de conteúdos, um prestador de serviços geridos, um prestador de serviços de segurança geridos, um prestador de serviços de mercados em linha, de motores de pesquisa em linha ou de plataformas de serviços de redes sociais que não se encontre estabelecido na União, que possa ser contactada por uma autoridade nacional competente ou por uma CSIRT, em vez da entidade representada, quanto às obrigações que incumbem a esta última por força da presente diretiva; |
| --- | --- |

34)

«Representante», qualquer pessoa singular ou coletiva, estabelecida na União, expressamente designada para atuar por conta de um prestador de serviços de DNS, um registo de nomes de TLD, uma entidade que presta serviços de registo de nomes de domínio, um prestador de serviços de computação em nuvem, um prestador de serviços de centro de dados, um fornecedor de redes de distribuição de conteúdos, um prestador de serviços geridos, um prestador de serviços de segurança geridos, um prestador de serviços de mercados em linha, de motores de pesquisa em linha ou de plataformas de serviços de redes sociais que não se encontre estabelecido na União, que possa ser contactada por uma autoridade nacional competente ou por uma CSIRT, em vez da entidade representada, quanto às obrigações que incumbem a esta última por força da presente diretiva;

| 35) | «Entidade da administração pública», uma entidade, reconhecida como tal num Estado-Membro, nos termos do direito nacional, não incluindo o poder judicial, os parlamentos ou os bancos centrais, que cumpra os seguintes critérios:






  a) | Foi criada para satisfazer necessidades de interesse geral e não tem carácter industrial ou comercial; |
| --- | --- | --- |

35)

«Entidade da administração pública», uma entidade, reconhecida como tal num Estado-Membro, nos termos do direito nacional, não incluindo o poder judicial, os parlamentos ou os bancos centrais, que cumpra os seguintes critérios:

a)

Foi criada para satisfazer necessidades de interesse geral e não tem carácter industrial ou comercial;

| b) | É dotada de personalidade jurídica ou está habilitada por lei a agir em nome de outra entidade dotada de personalidade jurídica; |
| --- | --- |

b)

É dotada de personalidade jurídica ou está habilitada por lei a agir em nome de outra entidade dotada de personalidade jurídica;

| c) | É financiada maioritariamente pelo Estado, por autoridades regionais ou por outros organismos de direito público, a sua gestão está sujeita a fiscalização por parte dessas autoridades ou desses organismos, ou mais de metade dos membros dos seus órgãos de administração, direção ou fiscalização são designados pelo Estado, por autoridades regionais ou por outros organismos de direito público; |
| --- | --- |

c)

É financiada maioritariamente pelo Estado, por autoridades regionais ou por outros organismos de direito público, a sua gestão está sujeita a fiscalização por parte dessas autoridades ou desses organismos, ou mais de metade dos membros dos seus órgãos de administração, direção ou fiscalização são designados pelo Estado, por autoridades regionais ou por outros organismos de direito público;

| d) | Tem competência para tomar decisões de natureza administrativa ou regulamentar que afetem os direitos de pessoas singulares ou coletivas no contexto da circulação transfronteiriça de pessoas, mercadorias, serviços ou capitais; |
| --- | --- |

d)

Tem competência para tomar decisões de natureza administrativa ou regulamentar que afetem os direitos de pessoas singulares ou coletivas no contexto da circulação transfronteiriça de pessoas, mercadorias, serviços ou capitais;

| 36) | «Rede pública de comunicações eletrónicas», uma rede pública de comunicações eletrónicas na aceção do artigo 2.o, ponto 8, da Diretiva (UE) 2018/1972; |
| --- | --- |

36)

«Rede pública de comunicações eletrónicas», uma rede pública de comunicações eletrónicas na aceção do artigo 2.o, ponto 8, da Diretiva (UE) 2018/1972;

o

| 37) | «Serviço de comunicações eletrónicas», um serviço de comunicações eletrónicas na aceção do artigo 2.o, ponto 4, da Diretiva (UE) 2018/1972; |
| --- | --- |

37)

«Serviço de comunicações eletrónicas», um serviço de comunicações eletrónicas na aceção do artigo 2.o, ponto 4, da Diretiva (UE) 2018/1972;

o

| 38) | «Entidade», uma pessoa singular ou coletiva criada e reconhecida como tal pelo direito nacional do seu local de estabelecimento, que pode, atuando em seu próprio nome, exercer direitos e estar sujeita a obrigações; |
| --- | --- |

38)

«Entidade», uma pessoa singular ou coletiva criada e reconhecida como tal pelo direito nacional do seu local de estabelecimento, que pode, atuando em seu próprio nome, exercer direitos e estar sujeita a obrigações;

| 39) | «Prestador de serviços geridos», uma entidade que presta serviços relacionados com a instalação, gestão, operação ou manutenção de produtos de TIC, redes, infraestruturas, aplicações ou quaisquer outros sistemas de rede e informação, através de assistência ou administração ativa efetuadas nas instalações dos clientes ou à distância; |
| --- | --- |

39)

«Prestador de serviços geridos», uma entidade que presta serviços relacionados com a instalação, gestão, operação ou manutenção de produtos de TIC, redes, infraestruturas, aplicações ou quaisquer outros sistemas de rede e informação, através de assistência ou administração ativa efetuadas nas instalações dos clientes ou à distância;

| 40) | «Prestador de serviços de segurança geridos», um prestador de serviços geridos que realiza ou presta assistência a atividades relacionadas com a gestão dos riscos de cibersegurança; |
| --- | --- |

40)

«Prestador de serviços de segurança geridos», um prestador de serviços geridos que realiza ou presta assistência a atividades relacionadas com a gestão dos riscos de cibersegurança;

| 41) | «Organismo de investigação», uma entidade cujo objetivo principal é realizar investigação aplicada ou desenvolvimento experimental com vista à exploração dos resultados dessa investigação para fins comerciais, excluindo os estabelecimentos de ensino. |
| --- | --- |

41)

«Organismo de investigação», uma entidade cujo objetivo principal é realizar investigação aplicada ou desenvolvimento experimental com vista à exploração dos resultados dessa investigação para fins comerciais, excluindo os estabelecimentos de ensino.

CAPÍTULO II

QUADROS COORDENADOS EM MATÉRIA DE CIBERSEGURANÇA

Artigo 7.o

Estratégia nacional de cibersegurança

1.   Cada Estado-Membro adota uma estratégia nacional de cibersegurança que estabeleça os objetivos estratégicos, os recursos necessários para atingir esses objetivos e as medidas políticas e regulamentares adequadas, com vista a alcançar e a manter um elevado nível de cibersegurança. A estratégia nacional de cibersegurança inclui:

| a) | Os objetivos e prioridades da estratégia de cibersegurança do Estado-Membro, abrangendo, em especial, os setores referidos nos anexos I e II; |
| --- | --- |

a)

Os objetivos e prioridades da estratégia de cibersegurança do Estado-Membro, abrangendo, em especial, os setores referidos nos anexos I e II;

| b) | Um quadro de governação para cumprir os objetivos e prioridades referidos na alínea a) do presente número, incluindo as políticas referidas no n.o 2; |
| --- | --- |

b)

Um quadro de governação para cumprir os objetivos e prioridades referidos na alínea a) do presente número, incluindo as políticas referidas no n.o 2;

| c) | Um quadro de governação que clarifique as funções e responsabilidades das partes interessadas pertinentes a nível nacional, que consolide a cooperação e coordenação a nível nacional entre as autoridades competentes, os pontos de contacto únicos e as CSIRT ao abrigo da presente diretiva, bem como a coordenação e cooperação entre esses organismos e as autoridades competentes ao abrigo de atos jurídicos setoriais da União; |
| --- | --- |

c)

Um quadro de governação que clarifique as funções e responsabilidades das partes interessadas pertinentes a nível nacional, que consolide a cooperação e coordenação a nível nacional entre as autoridades competentes, os pontos de contacto únicos e as CSIRT ao abrigo da presente diretiva, bem como a coordenação e cooperação entre esses organismos e as autoridades competentes ao abrigo de atos jurídicos setoriais da União;

| d) | Um mecanismo para identificar ativos pertinentes e uma avaliação dos riscos nesse Estado-Membro; |
| --- | --- |

d)

Um mecanismo para identificar ativos pertinentes e uma avaliação dos riscos nesse Estado-Membro;

| e) | A identificação das medidas de preparação, de resposta e de recuperação em caso de incidentes, incluindo a cooperação entre os setores público e privado; |
| --- | --- |

e)

A identificação das medidas de preparação, de resposta e de recuperação em caso de incidentes, incluindo a cooperação entre os setores público e privado;

| f) | Uma lista das diversas autoridades e partes interessadas envolvidas na execução da estratégia nacional de cibersegurança; |
| --- | --- |

f)

Uma lista das diversas autoridades e partes interessadas envolvidas na execução da estratégia nacional de cibersegurança;

| g) | Um quadro político para o reforço da cooperação entre as autoridades competentes nos termos da presente diretiva e as autoridades competentes nos termos da Diretiva (UE) 2022/2557 para efeitos de partilha de informações sobre riscos, ciberameaças, e incidentes, bem como riscos, ameaças e incidentes não cibernéticos, e do exercício de funções de supervisão, conforme adequado; |
| --- | --- |

g)

Um quadro político para o reforço da cooperação entre as autoridades competentes nos termos da presente diretiva e as autoridades competentes nos termos da Diretiva (UE) 2022/2557 para efeitos de partilha de informações sobre riscos, ciberameaças, e incidentes, bem como riscos, ameaças e incidentes não cibernéticos, e do exercício de funções de supervisão, conforme adequado;

| h) | Um plano, incluindo as medidas necessárias, para reforçar o nível geral de sensibilização dos cidadãos para a cibersegurança. |
| --- | --- |

h)

Um plano, incluindo as medidas necessárias, para reforçar o nível geral de sensibilização dos cidadãos para a cibersegurança.

2.   No âmbito da estratégia nacional de cibersegurança, os Estados-Membros devem adotar, em especial, políticas:

| a) | Sobre a cibersegurança na cadeia de abastecimento de produtos de TIC e serviços de TIC utilizados pelas entidades na prestação dos seus serviços; |
| --- | --- |

a)

Sobre a cibersegurança na cadeia de abastecimento de produtos de TIC e serviços de TIC utilizados pelas entidades na prestação dos seus serviços;

| b) | Sobre a inclusão e a especificação de requisitos em matéria de cibersegurança aplicáveis a produtos de TIC e serviços de TIC nos procedimentos de contratação pública, incluindo no que respeita à certificação de cibersegurança, à cifragem e à utilização de produtos de cibersegurança de fonte aberta; |
| --- | --- |

b)

Sobre a inclusão e a especificação de requisitos em matéria de cibersegurança aplicáveis a produtos de TIC e serviços de TIC nos procedimentos de contratação pública, incluindo no que respeita à certificação de cibersegurança, à cifragem e à utilização de produtos de cibersegurança de fonte aberta;

| c) | Que assegurem a gestão das vulnerabilidades, incluindo a promoção e a facilitação da divulgação coordenada de vulnerabilidades nos termos do artigo 12.o, n.o 1; |
| --- | --- |

c)

Que assegurem a gestão das vulnerabilidades, incluindo a promoção e a facilitação da divulgação coordenada de vulnerabilidades nos termos do artigo 12.o, n.o 1;

| d) | Sobre a manutenção da disponibilidade geral, da integridade e da confidencialidade do núcleo público da Internet aberta, incluindo, quando pertinente, a cibersegurança dos cabos submarinos de comunicações; |
| --- | --- |

d)

Sobre a manutenção da disponibilidade geral, da integridade e da confidencialidade do núcleo público da Internet aberta, incluindo, quando pertinente, a cibersegurança dos cabos submarinos de comunicações;

| e) | Que promovam o desenvolvimento e a integração de tecnologias avançadas relevantes que visem a aplicação de medidas de vanguarda em matéria de gestão dos riscos de cibersegurança; |
| --- | --- |

e)

Que promovam o desenvolvimento e a integração de tecnologias avançadas relevantes que visem a aplicação de medidas de vanguarda em matéria de gestão dos riscos de cibersegurança;

| f) | Que promovam e desenvolvam a educação e a formação em cibersegurança, as competências no domínio da cibersegurança, a sensibilização e as iniciativas de investigação e desenvolvimento no domínio da cibersegurança, bem como orientações sobre boas práticas e controlos em matéria de ciber-higiene, destinadas aos cidadãos, às partes interessadas e às entidades; |
| --- | --- |

f)

Que promovam e desenvolvam a educação e a formação em cibersegurança, as competências no domínio da cibersegurança, a sensibilização e as iniciativas de investigação e desenvolvimento no domínio da cibersegurança, bem como orientações sobre boas práticas e controlos em matéria de ciber-higiene, destinadas aos cidadãos, às partes interessadas e às entidades;

| g) | Que apoiem as instituições académicas e de investigação no desenvolvimento, na melhoria e na promoção da implantação de ferramentas de cibersegurança e de infraestruturas de redes seguras; |
| --- | --- |

g)

Que apoiem as instituições académicas e de investigação no desenvolvimento, na melhoria e na promoção da implantação de ferramentas de cibersegurança e de infraestruturas de redes seguras;

| h) | Que incluam procedimentos relevantes e ferramentas adequadas de partilha de informações para apoiar a partilha voluntária de informações sobre cibersegurança entre as entidades, em conformidade com o direito da União; |
| --- | --- |

h)

Que incluam procedimentos relevantes e ferramentas adequadas de partilha de informações para apoiar a partilha voluntária de informações sobre cibersegurança entre as entidades, em conformidade com o direito da União;

| i) | Que reforcem a ciber-resiliência e a base de referência em matéria de ciber-higiene das pequenas e médias empresas, especialmente das que estão excluídas do âmbito da presente diretiva, através da disponibilização de orientações e assistência facilmente acessíveis e adaptados às suas necessidades específicas; |
| --- | --- |

i)

Que reforcem a ciber-resiliência e a base de referência em matéria de ciber-higiene das pequenas e médias empresas, especialmente das que estão excluídas do âmbito da presente diretiva, através da disponibilização de orientações e assistência facilmente acessíveis e adaptados às suas necessidades específicas;

| j) | Que promovam a ciberproteção ativa. |
| --- | --- |

j)

Que promovam a ciberproteção ativa.

3.   Os Estados-Membros devem notificar as suas estratégias nacionais de cibersegurança à Comissão no prazo de três meses a contar da sua adoção. Os Estados-Membros podem excluir informações relacionadas com a sua segurança nacional dessas notificações.

4.   Os Estados-Membros devem avaliar as suas estratégias nacionais de cibersegurança com regularidade e, pelo menos, de cinco em cinco anos com base em indicadores-chave de desempenho e, quando necessário, devem atualizá-las. A pedido dos Estados-Membros, a ENISA deve ajudá-los a formular ou a atualizar a estratégia nacional de cibersegurança e indicadores-chave de desempenho para a avaliação dessa estratégia, a fim de a alinhar com os requisitos e obrigações estabelecidos na presente diretiva.

Artigo 8.o

Autoridades competentes e pontos de contacto únicos

1.   Cada Estado-Membro deve designar ou criar uma ou várias autoridades competentes responsáveis pela cibersegurança e pelo desempenho das funções de supervisão estabelecidas no capítulo VII (autoridades competentes).

2.   As autoridades competentes a que se refere o n.o 1 devem acompanhar a aplicação da presente diretiva a nível nacional.

3.   Cada Estado-Membro deve designar ou criar um ponto de contacto único. Caso um Estado-Membro designe ou crie apenas uma autoridade competente nos termos do n.o 1, esta é também o ponto de contacto único desse Estado-Membro.

4.   Cada ponto de contacto único desempenha uma função de ligação para assegurar a cooperação transfronteiriça das autoridades do seu Estado-Membro com as autoridades competentes de outros Estados-Membros e, se for caso disso, com a Comissão e a ENISA, bem como para assegurar a cooperação transetorial com outras autoridades competentes do seu Estado-Membro.

5.   Os Estados-Membros devem certificar-se de que as suas autoridades competentes e pontos de contacto únicos dispõem de recursos adequados para desempenharem, de forma eficaz e eficiente, as suas funções e, desse modo, cumprirem os objetivos da presente diretiva.

6.   Cada Estado-Membro deve notificar a Comissão, sem demora injustificada, da identidade da autoridade competente a que se refere o n.o 1 e do ponto de contacto único a que se refere o n.o 3, das respetivas funções e de quaisquer alterações posteriores das mesmas. Cada Estado-Membro deve publicar a identidade da sua autoridade competente. A Comissão deve publicar uma lista dos pontos de contacto únicos.

Artigo 9.o

Quadros nacionais de gestão de cibercrises

1.   Os Estados-Membros devem designar ou criar uma ou várias autoridades competentes responsáveis pela gestão de crises e de incidentes de cibersegurança em grande escala (autoridades de gestão de cibercrises). Os Estados-Membros devem assegurar que essas autoridades dispõem dos recursos necessários para desempenhar, de forma eficaz e eficiente, as suas funções. Os Estados-Membros devem assegurar a coerência com os quadros existentes de gestão geral de crises a nível nacional.

2.   Caso um Estado-Membro designe ou crie mais do que uma autoridade de gestão de cibercrises referida no n.o 1, deve indicar claramente qual dessas autoridades assume o papel de coordenadora para a gestão de crises e de incidentes de cibersegurança em grande escala.

3.   Cada Estado-Membro deve identificar capacidades, ativos e procedimentos passíveis de utilização em caso de crise, para os efeitos da presente diretiva.

4.   Cada Estado-Membro deve adotar um plano nacional de resposta a crises e a incidentes de cibersegurança em grande escala que estabeleça os objetivos e as modalidades de gestão de crises e de incidentes de cibersegurança em grande escala. Esse plano deve estabelecer, nomeadamente:

| a) | Os objetivos das atividades e medidas nacionais de preparação; |
| --- | --- |

a)

Os objetivos das atividades e medidas nacionais de preparação;

| b) | As funções e responsabilidades das autoridades de gestão de cibercrises; |
| --- | --- |

b)

As funções e responsabilidades das autoridades de gestão de cibercrises;

| c) | Os procedimentos de gestão de cibercrises, incluindo a sua integração no quadro geral de gestão de crises e canais de intercâmbio de informações; |
| --- | --- |

c)

Os procedimentos de gestão de cibercrises, incluindo a sua integração no quadro geral de gestão de crises e canais de intercâmbio de informações;

| d) | Medidas nacionais de preparação, incluindo exercícios e atividades de formação; |
| --- | --- |

d)

Medidas nacionais de preparação, incluindo exercícios e atividades de formação;

| e) | As partes interessadas pertinentes dos setores público e privado e infraestruturas envolvidas; |
| --- | --- |

e)

As partes interessadas pertinentes dos setores público e privado e infraestruturas envolvidas;

| f) | Os procedimentos nacionais e acordos entre as autoridades e os organismos nacionais competentes para assegurar o apoio do Estado-Membro e a sua participação efetiva na gestão coordenada de crises e incidentes de cibersegurança em grande escala a nível da União. |
| --- | --- |

f)

Os procedimentos nacionais e acordos entre as autoridades e os organismos nacionais competentes para assegurar o apoio do Estado-Membro e a sua participação efetiva na gestão coordenada de crises e incidentes de cibersegurança em grande escala a nível da União.

5.   No prazo de três meses a contar da designação ou criação da autoridade de gestão de cibercrises a que se refere o n.o 1, cada Estado-Membro deve notificar a Comissão da identidade da sua autoridade e de quaisquer alterações subsequentes da mesma. Os Estados-Membros devem apresentar à Comissão e à Rede Europeia de Organizações de Coordenação de Cibercrises (UE-CyCLONe) informações pertinentes sobre os requisitos do n.o 4 sobre os respetivos planos nacionais de resposta a crises e incidentes de cibersegurança em grande escala no prazo de três meses a contar da adoção desses planos. Os Estados-Membros podem excluir informações, na medida em que essa exclusão seja necessária para salvaguardar a sua segurança nacional.

Artigo 10.o

Equipas de resposta a incidentes de segurança informática (CSIRT)

1.   Cada Estado-Membro deve designar ou criar uma ou várias CSIRT. As CSIRT podem ser designadas ou criadas no seio de uma autoridade competente. As CSIRT devem cumprir os requisitos estabelecidos no artigo 11.o, n.o 1, devem abranger pelo menos os setores, subsetores e tipos de entidades referidos nos anexos I e II, e devem ser responsáveis pelo tratamento de incidentes de acordo com um processo bem definido.

2.   Os Estados-Membros devem certificar-se de que cada CSIRT dispõe dos recursos adequados para desempenhar eficazmente as suas funções, tal como definidas no artigo 11.o, n.o 3.

3.   Os Estados-Membros devem assegurar que cada CSIRT tenha ao seu dispor uma infraestrutura de informação e comunicação adequada, segura e resiliente através da qual possa trocar informações com entidades essenciais e importantes e com outras partes interessadas. Para este efeito, devem garantir que cada CSIRT contribui para a implantação de ferramentas seguras de partilha de informações.

4.   As CSIRT devem cooperar e, se for caso disso, trocar informações importantes, em conformidade com o artigo 29.o, com comunidades setoriais ou transetoriais de entidades essenciais e importantes.

5.   As CSIRT devem participar em avaliações pelos pares organizadas nos termos do artigo 19.o.

6.   Os Estados-Membros devem garantir a cooperação eficaz, eficiente e segura das suas CSIRT no âmbito da rede de CSIRT.

7.   As CSIRT podem estabelecer relações de cooperação com equipas nacionais de resposta a incidentes de segurança informática de países terceiros. No âmbito dessas relações de cooperação, os Estados-Membros devem facilitar um intercâmbio de informações eficaz, eficiente e seguro com as referidas equipas nacionais de resposta a incidentes de segurança informática de países terceiros, utilizando protocolos pertinentes de partilha de informações, nomeadamente o protocolo «sinalização luminosa». As CSIRT podem trocar informações pertinentes com equipas nacionais de resposta a incidentes de segurança informática de países terceiros, incluindo dados pessoais, em conformidade com o direito da União em matéria de proteção de dados.

8.   As CSIRT podem cooperar com equipas nacionais de resposta a incidentes de segurança informática de países terceiros ou organismos equivalentes de países terceiros, nomeadamente para lhes prestar assistência em matéria de cibersegurança.

9.   Cada Estado-Membro deve notificar a Comissão, sem demora injustificada, da identidade da CSIRT a que se refere o n.o 1 do presente artigo e da CSIRT coordenadora designada nos termos do artigo 12.o, n.o 1, das respetivas funções em relação a entidades essenciais e importantes e de quaisquer alterações posteriores das mesmas.

10.   Os Estados-Membros podem solicitar a assistência da ENISA na criação das respetivas CSIRT.

Artigo 11.o

Requisitos, capacidades técnicas e funções das CSIRT

1.   As CSIRT devem cumprir os seguintes requisitos:

| a) | As CSIRT devem garantir uma ampla disponibilidade dos seus canais de comunicação, evitando as falhas pontuais, e devem dispor de vários meios para contactar outras partes e para serem contactadas em qualquer momento. As CSIRT devem especificar claramente os canais de comunicação e divulgá-los junto da sua base de clientes e dos seus parceiros de cooperação; |
| --- | --- |

a)

As CSIRT devem garantir uma ampla disponibilidade dos seus canais de comunicação, evitando as falhas pontuais, e devem dispor de vários meios para contactar outras partes e para serem contactadas em qualquer momento. As CSIRT devem especificar claramente os canais de comunicação e divulgá-los junto da sua base de clientes e dos seus parceiros de cooperação;

| b) | As instalações das CSIRT e os seus sistemas de informação de apoio devem estar situados em locais seguros; |
| --- | --- |

b)

As instalações das CSIRT e os seus sistemas de informação de apoio devem estar situados em locais seguros;

| c) | As CSIRT devem estar equipadas com um sistema adequado de gestão e encaminhamento de pedidos, sobretudo para facilitar transferências eficazes e eficientes; |
| --- | --- |

c)

As CSIRT devem estar equipadas com um sistema adequado de gestão e encaminhamento de pedidos, sobretudo para facilitar transferências eficazes e eficientes;

| d) | As CSIRT devem assegurar a confidencialidade e a credibilidade das suas operações; |
| --- | --- |

d)

As CSIRT devem assegurar a confidencialidade e a credibilidade das suas operações;

| e) | As CSIRT devem dispor de pessoal suficiente para assegurar a disponibilidade dos seus serviços em qualquer momento e devem garantir que o seu pessoal tem formação adequada; |
| --- | --- |

e)

As CSIRT devem dispor de pessoal suficiente para assegurar a disponibilidade dos seus serviços em qualquer momento e devem garantir que o seu pessoal tem formação adequada;

| f) | As CSIRT devem estar equipadas com sistemas redundantes e dispor de um espaço de trabalho de recurso para assegurar a continuidade dos seus serviços. |
| --- | --- |

f)

As CSIRT devem estar equipadas com sistemas redundantes e dispor de um espaço de trabalho de recurso para assegurar a continuidade dos seus serviços.

As CSIRT podem participar em redes de cooperação internacional.

2.   Os Estados-Membros devem assegurar que as respetivas CSIRT dispõe conjuntamente das capacidades técnicas necessárias para desempenhar as funções referidas no n.o 3. Os Estados-Membros devem assegurar a afetação de recursos suficientes às suas CSIRT, a fim de assegurar níveis de pessoal adequados para efeitos de permitir às CSIRT desenvolver as suas capacidades técnicas.

3.   As funções das CSIRT são as seguintes:

| a) | Monitorizar e analisar ciberameaças, vulnerabilidades e incidentes a nível nacional e, mediante pedido, prestar assistência a entidades essenciais e importantes em causa relativamente à monitorização em tempo real ou quase real dos seus sistemas de rede e informação; |
| --- | --- |

a)

Monitorizar e analisar ciberameaças, vulnerabilidades e incidentes a nível nacional e, mediante pedido, prestar assistência a entidades essenciais e importantes em causa relativamente à monitorização em tempo real ou quase real dos seus sistemas de rede e informação;

| b) | Ativar os mecanismos de alerta rápido, enviar mensagens de alerta, fazer comunicações e divulgar informações às entidades essenciais e importantes, bem como a autoridades competentes e a outras partes interessadas, sobre ciberameaças, vulnerabilidades e incidentes, se possível em tempo quase real; |
| --- | --- |

b)

Ativar os mecanismos de alerta rápido, enviar mensagens de alerta, fazer comunicações e divulgar informações às entidades essenciais e importantes, bem como a autoridades competentes e a outras partes interessadas, sobre ciberameaças, vulnerabilidades e incidentes, se possível em tempo quase real;

| c) | Intervir em caso de incidentes e prestar assistência às entidades essenciais e importantes envolvidas, se aplicável; |
| --- | --- |

c)

Intervir em caso de incidentes e prestar assistência às entidades essenciais e importantes envolvidas, se aplicável;

| d) | Recolher e analisar dados forenses, proceder à análise dinâmica dos riscos e dos incidentes e desenvolver o conhecimento situacional em matéria de cibersegurança; |
| --- | --- |

d)

Recolher e analisar dados forenses, proceder à análise dinâmica dos riscos e dos incidentes e desenvolver o conhecimento situacional em matéria de cibersegurança;

| e) | Realizar, a pedido de uma entidade essencial ou importante, uma análise proativa dos sistemas de rede e informação da entidade em causa, a fim de detetar vulnerabilidades com um potencial impacto significativo; |
| --- | --- |

e)

Realizar, a pedido de uma entidade essencial ou importante, uma análise proativa dos sistemas de rede e informação da entidade em causa, a fim de detetar vulnerabilidades com um potencial impacto significativo;

| f) | Participar na rede de CSIRT e prestar assistência mútua, em conformidade com as suas capacidades e competências, a outros membros da rede de CSIRT, a pedido destes; |
| --- | --- |

f)

Participar na rede de CSIRT e prestar assistência mútua, em conformidade com as suas capacidades e competências, a outros membros da rede de CSIRT, a pedido destes;

| g) | Se aplicável, atuar como coordenador para efeitos do processo de divulgação coordenada de vulnerabilidades a que se refere o artigo 12.o, n.o 1; |
| --- | --- |

g)

Se aplicável, atuar como coordenador para efeitos do processo de divulgação coordenada de vulnerabilidades a que se refere o artigo 12.o, n.o 1;

| h) | Contribuir para a implantação de ferramentas seguras de partilha de informações nos termos do artigo 10.o, n.o 3. |
| --- | --- |

h)

Contribuir para a implantação de ferramentas seguras de partilha de informações nos termos do artigo 10.o, n.o 3.

As CSIRT podem realizar uma análise proativa e não intrusiva de sistemas de rede e informação acessíveis ao público de entidades essenciais e importantes. Essa análise deve ser efetuada com o objetivo de detetar sistemas de rede e informação vulneráveis ou inseguros e de informar as entidades em causa. Essa análise não deve ter qualquer impacto negativo no funcionamento dos serviços das entidades.

No exercício das funções a que se refere o primeiro parágrafo, as CSIRT podem dar prioridade a determinadas tarefas com base numa abordagem baseada no risco.

4.   As CSIRT devem estabelecer relações de cooperação com as partes interessadas pertinentes do setor privado, com vista a alcançar da melhor forma os objetivos da presente diretiva.

5.   A fim de facilitar a cooperação referida no n.o 4, as CSIRT devem promover a adoção e a utilização de práticas, sistemas de classificação e taxonomias comuns ou normalizadas em relação aos seguintes aspetos:

| a) | Procedimentos de tratamento de incidentes; |
| --- | --- |

a)

Procedimentos de tratamento de incidentes;

| b) | Gestão de crises; e |
| --- | --- |

b)

Gestão de crises; e

| c) | Divulgação coordenada de vulnerabilidades nos termos do artigo 12.o, n.o 1. |
| --- | --- |

c)

Divulgação coordenada de vulnerabilidades nos termos do artigo 12.o, n.o 1.

Artigo 12.o

Divulgação coordenada de vulnerabilidades e base de dados europeia de vulnerabilidades

1.   Cada Estado-Membro deve designar uma das suas CSIRT como coordenadora para efeitos da divulgação coordenada de vulnerabilidades. A CSIRT designada coordenadora deve desempenhar o papel de intermediário de confiança, facilitando, quando necessário, a interação entre a pessoa singular ou coletiva notificadora e o fabricante ou fornecedor de produtos de TIC ou prestador de serviços de TIC que sejam potencialmente vulneráveis, a pedido de qualquer uma das partes. As funções da CSIRT designada coordenadora devem incluir:

| a) | A identificação e o contacto das entidades em causa; |
| --- | --- |

a)

A identificação e o contacto das entidades em causa;

| b) | A prestação de apoio às pessoas singulares ou coletivas que notifiquem as vulnerabilidades; e |
| --- | --- |

b)

A prestação de apoio às pessoas singulares ou coletivas que notifiquem as vulnerabilidades; e

| c) | A negociação do calendário de divulgação e a gestão das vulnerabilidades que afetem várias entidades. |
| --- | --- |

c)

A negociação do calendário de divulgação e a gestão das vulnerabilidades que afetem várias entidades.

Os Estados-Membros devem assegurar que as pessoas singulares ou coletivas possam comunicar uma vulnerabilidade à CSIRT designada coordenadora, de forma anónima se assim o solicitarem. A CSIRT designada coordenadora assegura a realização de ações de acompanhamento diligentes no que diz respeito à vulnerabilidade comunicada e assegura o anonimato da pessoa singular ou coletiva que comunica a vulnerabilidade. Nos casos em que a vulnerabilidade notificada possa ter um impacto importante sobre entidades em mais do que um Estado-Membro, a CSIRT designada como coordenadora por cada Estado-Membro em causa deve, se for caso disso, cooperar com outras CSIRT designadas como coordenadoras no âmbito da rede de CSIRT.

2.   Após consulta do grupo de cooperação, a ENISA deve criar e manter uma base de dados europeia de vulnerabilidades. Para tal, deve estabelecer e manter sistemas de informação, políticas e procedimentos adequados, e adotar as medidas técnicas e organizativas necessárias para assegurar a segurança e a integridade da base de dados europeia de vulnerabilidades, tendo em vista, em especial, permitir que entidades, independentemente de estarem abrangidas pelo âmbito da presente diretiva, e os respetivos fornecedores de sistemas de rede e informação, divulguem e registem, a título voluntário, vulnerabilidades publicamente conhecidas presentes nos produtos de TIC ou serviços de TIC. Todas as partes interessadas devem ter acesso às informações sobre as vulnerabilidades constantes da base de dados europeia de vulnerabilidades. A referida base de dados deve incluir:

| a) | Informações que descrevam a vulnerabilidade; |
| --- | --- |

a)

Informações que descrevam a vulnerabilidade;

| b) | Os produtos de TIC ou os serviços de TIC afetados e a gravidade da vulnerabilidade em termos das circunstâncias em que pode ser explorada; |
| --- | --- |

b)

Os produtos de TIC ou os serviços de TIC afetados e a gravidade da vulnerabilidade em termos das circunstâncias em que pode ser explorada;

| c) | A disponibilidade de correções e, na falta de correções, orientações fornecidas pelas autoridades competentes ou CSIRT destinadas aos utilizadores de produtos de TIC e serviços de TIC vulneráveis sobre formas de minimizar os riscos resultantes das vulnerabilidades divulgadas. |
| --- | --- |

c)

A disponibilidade de correções e, na falta de correções, orientações fornecidas pelas autoridades competentes ou CSIRT destinadas aos utilizadores de produtos de TIC e serviços de TIC vulneráveis sobre formas de minimizar os riscos resultantes das vulnerabilidades divulgadas.

Artigo 13.o

Cooperação a nível nacional

1.   Se forem entidades distintas, as autoridades competentes, o ponto de contacto único e as CSIRT do mesmo Estado-Membro devem cooperar entre si no que diz respeito ao cumprimento das obrigações previstas na presente diretiva.

2.   Os Estados-Membros devem assegurar que as respetivas CSIRT ou, se aplicável, as respetivas autoridades competentes recebem notificações sobre incidentes significativos, nos termos do artigo 23.o, e sobre incidentes, ciberameaças e quase incidentes, nos termos do artigo 30.o.

3.   Os Estados-Membros devem assegurar que as respetivas CSIRT ou, se aplicável, as respetivas autoridades competentes informam o seu ponto de contacto único das notificações de incidentes, ciberameaças e quase incidentes efetuadas nos termos da presente diretiva.

4.   A fim de assegurar que as funções e obrigações das autoridades competentes, dos pontos de contacto únicos e das CSIRT são desempenhadas de forma eficaz, os Estados-Membros devem assegurar, na medida do possível, uma cooperação adequada entre esses organismos e as autoridades policiais, as autoridades de proteção de dados, as autoridades nacionais nos termos dos Regulamentos (CE) n.o 300/2008 e (UE) 2018/1139, os organismos de supervisão nos termos do Regulamento (UE) n.o 910/2014, as autoridades competentes anos termos do Regulamento (UE) 2022/2554, as autoridades reguladoras nacionais nos termos da Diretiva (UE) 2018/1972, as autoridades competentes nos termos da Diretiva (UE) 2022/2557, bem como as autoridades competentes nos termos de outros atos jurídicos setoriais da União no âmbito desse Estado-Membro.

5.   Os Estados-Membros devem assegurar que as respetivas autoridades competentes nos termos da presente diretiva e as respetivas autoridades competentes nos termos da Diretiva (UE) 2022/2557 cooperam e trocam regularmente informações sobre a identificação de entidades críticas, sobre riscos, ciberameaças e incidentes, bem como sobre riscos, ameaças e incidentes não cibernéticos que afetem entidades essenciais identificadas como entidades críticas nos termos da Diretiva (UE) 2022/2557, bem como as medidas adotadas em resposta a esses riscos, ameaças e incidentes. Os Estados-Membros devem assegurar igualmente que as respetivas autoridades competentes ao abrigo da presente diretiva e as respetivas autoridades competentes nos termos do Regulamento (UE) n.o 910/2014, do Regulamento (UE) 2022/2554 e da Diretiva (UE) 2018/1972 troquem regularmente informações pertinentes, nomeadamente no que diz respeito a incidentes e ciberameaças relevantes.

6.   Os Estados-Membros simplificam a comunicação de informações através de meios técnicos para as notificações a que se referem os artigos 23.o e 30.o.

CAPÍTULO III

COOPERAÇÃO A NÍVEL DA UNIÃO E A NÍVEL INTERNACIONAL

Artigo 14.o

Grupo de cooperação

1.   É criado um grupo de cooperação para apoiar e facilitar a cooperação estratégica e o intercâmbio de informações entre os Estados-Membros, bem como para reforçar a confiança.

2.   O grupo de cooperação desempenha as suas funções com base nos programas de trabalho bienais a que se refere o n.o 7.

3.   O grupo de cooperação é composto por representantes dos Estados-Membros, da Comissão e da ENISA. O Serviço Europeu para a Ação Externa participa nas atividades do grupo de cooperação na qualidade de observador. As autoridades europeias de supervisão (AES) e as autoridades competentes ao abrigo do Regulamento (UE) 2022/2554 podem participar nas atividades do grupo de cooperação nos termos do artigo 47.o, n.o 1, do referido regulamento.

Se for caso disso, o grupo de cooperação pode convidar o Parlamento Europeu e representantes de partes interessadas relevantes para participar nos seus trabalhos.

O secretariado do grupo é assegurado pela Comissão.

4.   As funções do grupo de cooperação são as seguintes:

| a) | Fornecer orientações às autoridades competentes sobre a transposição e aplicação da presente diretiva; |
| --- | --- |

a)

Fornecer orientações às autoridades competentes sobre a transposição e aplicação da presente diretiva;

| b) | Fornecer orientações às autoridades competentes sobre a elaboração e a execução de políticas em matéria de divulgação coordenada de vulnerabilidades, tal como se refere no artigo 7.o, n.o 2, alínea c); |
| --- | --- |

b)

Fornecer orientações às autoridades competentes sobre a elaboração e a execução de políticas em matéria de divulgação coordenada de vulnerabilidades, tal como se refere no artigo 7.o, n.o 2, alínea c);

| c) | Proceder ao intercâmbio de boas práticas e informações sobre a aplicação da presente diretiva, nomeadamente no que respeita a ciberameaças, incidentes, vulnerabilidades, quase incidentes, iniciativas de sensibilização, ações de formação, exercícios e competências, desenvolvimento das capacidades, normas e especificações técnicas, bem como a identificação de entidades essenciais e importantes nos termos do artigo 2.o, n.o 2, alíneas b) a e); |
| --- | --- |

c)

Proceder ao intercâmbio de boas práticas e informações sobre a aplicação da presente diretiva, nomeadamente no que respeita a ciberameaças, incidentes, vulnerabilidades, quase incidentes, iniciativas de sensibilização, ações de formação, exercícios e competências, desenvolvimento das capacidades, normas e especificações técnicas, bem como a identificação de entidades essenciais e importantes nos termos do artigo 2.o, n.o 2, alíneas b) a e);

| d) | Trocar pareceres e cooperar com a Comissão em novas iniciativas políticas no domínio da cibersegurança e da coerência global dos requisitos de cibersegurança setoriais; |
| --- | --- |

d)

Trocar pareceres e cooperar com a Comissão em novas iniciativas políticas no domínio da cibersegurança e da coerência global dos requisitos de cibersegurança setoriais;

| e) | Trocar pareceres e cooperar com a Comissão em projetos de atos delegados ou de execução adotados nos termos da presente diretiva; |
| --- | --- |

e)

Trocar pareceres e cooperar com a Comissão em projetos de atos delegados ou de execução adotados nos termos da presente diretiva;

| f) | Proceder ao intercâmbio de boas práticas e informações com instituições, órgãos e organismos competentes da União; |
| --- | --- |

f)

Proceder ao intercâmbio de boas práticas e informações com instituições, órgãos e organismos competentes da União;

| g) | Proceder a trocas de pontos de vista sobre a aplicação de atos jurídicos setoriais da União que contenham disposições em matéria de cibersegurança; |
| --- | --- |

g)

Proceder a trocas de pontos de vista sobre a aplicação de atos jurídicos setoriais da União que contenham disposições em matéria de cibersegurança;

| h) | Quando pertinente, discutir os relatórios das avaliações pelos pares a que se refere o artigo 19.o, n.o 9, e elaborar conclusões e recomendações; |
| --- | --- |

h)

Quando pertinente, discutir os relatórios das avaliações pelos pares a que se refere o artigo 19.o, n.o 9, e elaborar conclusões e recomendações;

| i) | Realizar avaliações coordenadas dos riscos de segurança das cadeias de abastecimento críticas, em conformidade com o artigo 22.o, n.o 1; |
| --- | --- |

i)

Realizar avaliações coordenadas dos riscos de segurança das cadeias de abastecimento críticas, em conformidade com o artigo 22.o, n.o 1;

| j) | Discutir casos de assistência mútua, incluindo experiências e os resultados de ações de supervisão conjunta transfronteiriça a que se refere o artigo 37.o; |
| --- | --- |

j)

Discutir casos de assistência mútua, incluindo experiências e os resultados de ações de supervisão conjunta transfronteiriça a que se refere o artigo 37.o;

| k) | A pedido de um ou mais Estados-Membros envolvidos, discutir os pedidos específicos de assistência mútua a que se refere o artigo 37.o; |
| --- | --- |

k)

A pedido de um ou mais Estados-Membros envolvidos, discutir os pedidos específicos de assistência mútua a que se refere o artigo 37.o;

| l) | Fornecer orientações estratégicas à rede de CSIRT e à UE–CyCLONe sobre questões emergentes específicas; |
| --- | --- |

l)

Fornecer orientações estratégicas à rede de CSIRT e à UE–CyCLONe sobre questões emergentes específicas;

| m) | Proceder a trocas de pontos de vista sobre a política em matéria de ações de acompanhamento na sequência de crises e de incidentes de cibersegurança em grande escala, com base nos ensinamentos retirados da rede de CSIRT e da UE-CyCLONe; |
| --- | --- |

m)

Proceder a trocas de pontos de vista sobre a política em matéria de ações de acompanhamento na sequência de crises e de incidentes de cibersegurança em grande escala, com base nos ensinamentos retirados da rede de CSIRT e da UE-CyCLONe;

| n) | Contribuir para as capacidades de cibersegurança em toda a União, facilitando o intercâmbio de funcionários nacionais no âmbito de um programa de desenvolvimento das capacidades destinado ao pessoal das autoridades competentes ou das CSIRT; |
| --- | --- |

n)

Contribuir para as capacidades de cibersegurança em toda a União, facilitando o intercâmbio de funcionários nacionais no âmbito de um programa de desenvolvimento das capacidades destinado ao pessoal das autoridades competentes ou das CSIRT;

| o) | Organizar regularmente reuniões conjuntas com partes interessadas privadas de toda a União para discutir as atividades desenvolvidas pelo grupo de cooperação e partilhar pontos de vista sobre novos desafios políticos; |
| --- | --- |

o)

Organizar regularmente reuniões conjuntas com partes interessadas privadas de toda a União para discutir as atividades desenvolvidas pelo grupo de cooperação e partilhar pontos de vista sobre novos desafios políticos;

| p) | Discutir o trabalho desenvolvido em relação a exercícios de cibersegurança, incluindo o trabalho realizado pela ENISA; |
| --- | --- |

p)

Discutir o trabalho desenvolvido em relação a exercícios de cibersegurança, incluindo o trabalho realizado pela ENISA;

| q) | Estabelecer a metodologia e os aspetos organizacionais das avaliações pelos pares a que se refere o artigo 19.o, n.o 1, bem como estabelecer a metodologia de autoavaliação para os Estados-Membros nos termos do artigo 19.o, n.o 5, com a assistência da Comissão e da ENISA, e, em cooperação com a Comissão e a ENISA, elaborar códigos de conduta subjacentes aos métodos de trabalho dos peritos em cibersegurança designados nos termos do artigo 19.o, n.o 6; |
| --- | --- |

q)

Estabelecer a metodologia e os aspetos organizacionais das avaliações pelos pares a que se refere o artigo 19.o, n.o 1, bem como estabelecer a metodologia de autoavaliação para os Estados-Membros nos termos do artigo 19.o, n.o 5, com a assistência da Comissão e da ENISA, e, em cooperação com a Comissão e a ENISA, elaborar códigos de conduta subjacentes aos métodos de trabalho dos peritos em cibersegurança designados nos termos do artigo 19.o, n.o 6;

| r) | Para efeitos da avaliação a que se refere o artigo 40.o, preparar relatórios sobre a experiência adquirida a nível estratégico e através de avaliações pelos pares; |
| --- | --- |

r)

Para efeitos da avaliação a que se refere o artigo 40.o, preparar relatórios sobre a experiência adquirida a nível estratégico e através de avaliações pelos pares;

| s) | Discutir e realizar regularmente uma avaliação do ponto da situação das ciberameaças ou incidentes, como o ransomware. |
| --- | --- |

s)

Discutir e realizar regularmente uma avaliação do ponto da situação das ciberameaças ou incidentes, como o ransomware.

O grupo de cooperação apresenta os relatórios referidos no primeiro parágrafo, alínea r), à Comissão, ao Parlamento Europeu e ao Conselho.

5.   Os Estados-Membros garantem a cooperação eficaz, eficiente e segura dos respetivos representantes no grupo de cooperação.

6.   O grupo de cooperação pode solicitar à rede de CSIRT um relatório técnico sobre determinados temas.

7.   Até 1 de fevereiro de 2024 e, posteriormente, de dois em dois anos, o grupo de cooperação deve elaborar um programa de trabalho relativo às ações a desenvolver para alcançar os seus objetivos e executar as suas funções.

8.   A Comissão pode adotar atos de execução que estabeleçam as disposições processuais necessárias ao funcionamento do grupo de cooperação.

Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 39.o, n.o 2.

A Comissão deve proceder ao intercâmbio de aconselhamentos e cooperar com o grupo de cooperação sobre os projetos de atos de execução referidos no primeiro parágrafo do presente número, em conformidade com o n.o 4, alínea e).

9.   O grupo de cooperação reúne-se regularmente, e, em qualquer caso, pelo menos uma vez por ano, com o grupo para a resiliência das entidades críticas criado nos termos da Diretiva (UE) 2022/2557, com vista a promover e a facilitar a cooperação estratégica e o intercâmbio de informações.

Artigo 15.o

Rede de CSIRT

1.   É criada uma rede de CSIRT nacionais para contribuir para o desenvolvimento da confiança e promover uma cooperação operacional célere e eficaz entre os Estados-Membros.

2.   A rede de CSIRT é composta por representantes das CSIRT designadas ou criadas nos termos do artigo 10.o e da Equipa de Resposta a Emergências Informáticas para as instituições, organismos e agências da União (CERT-UE). A Comissão participa na rede de CSIRT na qualidade de observadora. A ENISA assegura os serviços de secretariado e apoia ativamente a cooperação entre as CSIRT.

3.   As funções da rede de CSIRT são as seguintes:

| a) | Proceder ao intercâmbio de informações sobre as capacidades das CSIRT; |
| --- | --- |

a)

Proceder ao intercâmbio de informações sobre as capacidades das CSIRT;

| b) | Facilitar a partilha, a transferência e o intercâmbio de tecnologia e de medidas, políticas, ferramentas, processos, melhores práticas e quadros pertinentes entre as CSIRT; |
| --- | --- |

b)

Facilitar a partilha, a transferência e o intercâmbio de tecnologia e de medidas, políticas, ferramentas, processos, melhores práticas e quadros pertinentes entre as CSIRT;

| c) | Proceder ao intercâmbio de informações importantes sobre incidentes, quase incidentes, ciberameaças, riscos e vulnerabilidades; |
| --- | --- |

c)

Proceder ao intercâmbio de informações importantes sobre incidentes, quase incidentes, ciberameaças, riscos e vulnerabilidades;

| d) | Proceder ao intercâmbio de informações sobre publicações e recomendações em matéria de cibersegurança; |
| --- | --- |

d)

Proceder ao intercâmbio de informações sobre publicações e recomendações em matéria de cibersegurança;

| e) | Assegurar a interoperabilidade no que diz respeito às especificações e protocolos de partilha de informações; |
| --- | --- |

e)

Assegurar a interoperabilidade no que diz respeito às especificações e protocolos de partilha de informações;

| f) | A pedido de um membro da rede de CSIRT potencialmente afetado por um incidente, trocar e discutir informações relacionadas com esses incidentes e com ciberameaças, riscos e vulnerabilidades conexas; |
| --- | --- |

f)

A pedido de um membro da rede de CSIRT potencialmente afetado por um incidente, trocar e discutir informações relacionadas com esses incidentes e com ciberameaças, riscos e vulnerabilidades conexas;

| g) | A pedido de um membro da rede de CSIRT, discutir e, se possível, aplicar uma resposta coordenada a um incidente identificado no âmbito da jurisdição desse Estado-Membro; |
| --- | --- |

g)

A pedido de um membro da rede de CSIRT, discutir e, se possível, aplicar uma resposta coordenada a um incidente identificado no âmbito da jurisdição desse Estado-Membro;

| h) | Prestar apoio aos Estados-Membros no tratamento de incidentes transfronteiriços nos termos da presente diretiva; |
| --- | --- |

h)

Prestar apoio aos Estados-Membros no tratamento de incidentes transfronteiriços nos termos da presente diretiva;

| i) | Cooperar, trocar boas práticas e prestar assistência às CSIRT designadas coordenadoras nos termos do artigo 12.o, n.o 1, relativamente à gestão da divulgação coordenada de vulnerabilidades que possam ter um impacto significativo nas entidades de mais do que um Estado-Membro; |
| --- | --- |

i)

Cooperar, trocar boas práticas e prestar assistência às CSIRT designadas coordenadoras nos termos do artigo 12.o, n.o 1, relativamente à gestão da divulgação coordenada de vulnerabilidades que possam ter um impacto significativo nas entidades de mais do que um Estado-Membro;

| j) | Discutir e identificar outras formas de cooperação operacional, nomeadamente no que se refere:






  i) | às categorias de ciberameaças e incidentes, |
| --- | --- | --- |

j)

Discutir e identificar outras formas de cooperação operacional, nomeadamente no que se refere:

i)

às categorias de ciberameaças e incidentes,

| ii) | aos alertas rápidos, |
| --- | --- |

ii)

aos alertas rápidos,

| iii) | à assistência mútua, |
| --- | --- |

iii)

à assistência mútua,

| iv) | aos princípios e às formas de coordenação na resposta a riscos e incidentes de dimensão transfronteiriça, |
| --- | --- |

iv)

aos princípios e às formas de coordenação na resposta a riscos e incidentes de dimensão transfronteiriça,

| v) | ao contributo para o plano nacional de resposta a crises e incidentes de cibersegurança em grande escala a que se refere o artigo 9.o, n.o 4, a pedido de um Estado-Membro; |
| --- | --- |

v)

ao contributo para o plano nacional de resposta a crises e incidentes de cibersegurança em grande escala a que se refere o artigo 9.o, n.o 4, a pedido de um Estado-Membro;

| k) | Informar o grupo de cooperação sobre as suas atividades e sobre as outras formas de cooperação operacional discutidas nos termos da alínea j) e solicitar, quando necessário, orientações a esse respeito; |
| --- | --- |

k)

Informar o grupo de cooperação sobre as suas atividades e sobre as outras formas de cooperação operacional discutidas nos termos da alínea j) e solicitar, quando necessário, orientações a esse respeito;

| l) | Analisar os resultados dos exercícios de cibersegurança, incluindo os exercícios organizados pela ENISA; |
| --- | --- |

l)

Analisar os resultados dos exercícios de cibersegurança, incluindo os exercícios organizados pela ENISA;

| m) | A pedido de determinada CSIRT, discutir as suas capacidades e o seu grau de preparação; |
| --- | --- |

m)

A pedido de determinada CSIRT, discutir as suas capacidades e o seu grau de preparação;

| n) | Cooperar e trocar informações com centros de operações de segurança regionais e a nível da União, a fim de melhorar o conhecimento situacional comum em matéria de incidentes e ameaças em toda a União; |
| --- | --- |

n)

Cooperar e trocar informações com centros de operações de segurança regionais e a nível da União, a fim de melhorar o conhecimento situacional comum em matéria de incidentes e ameaças em toda a União;

| o) | Quando pertinente, discutir os relatórios das avaliações pelos pares a que se refere o artigo 19.o, n.o 9; |
| --- | --- |

o)

Quando pertinente, discutir os relatórios das avaliações pelos pares a que se refere o artigo 19.o, n.o 9;

| p) | Fornecer orientações a fim de facilitar a convergência das práticas operacionais no que diz respeito à aplicação do disposto no presente artigo em matéria de cooperação operacional. |
| --- | --- |

p)

Fornecer orientações a fim de facilitar a convergência das práticas operacionais no que diz respeito à aplicação do disposto no presente artigo em matéria de cooperação operacional.

4.   Até 17 de janeiro de 2025, e, posteriormente, de dois em dois anos, a rede de CSIRT deve avaliar os progressos alcançados no domínio da cooperação operacional e apresentar um relatório, para efeitos da avaliação a que se refere o artigo 40.o. Em especial, o relatório deve expor conclusões e fazer recomendações sobre os resultados das avaliações pelos pares realizadas nos termos do artigo 19.o em relação às CSIRT nacionais. Esse relatório deve ser apresentado ao grupo de cooperação.

5.   A rede de CSIRT adota o seu regulamento interno.

6.   A rede de CSIRT e a UE-CyCLONe devem acordar disposições processuais e cooperar com base nessas disposições.

Artigo 16.o

Rede Europeia de Organizações de Coordenação de Cibercrises (UE-CyCLONe)

1.   É criada a UE-CyCLONe para apoiar a gestão coordenada de crises e incidentes de cibersegurança em grande escala a nível operacional e para assegurar o intercâmbio regular de informações pertinentes entre os Estados-Membros e as instituições, órgãos e organismos da União.

2.   A UE-CyCLONe é constituída pelos representantes das autoridades de gestão de cibercrises dos Estados-Membros, bem como, nos casos em que um incidente de cibersegurança em grande escala, potencial ou em curso, tenha ou seja suscetível de ter um impacto significativo nos serviços e atividades abrangidos pelo âmbito de aplicação da presente diretiva, pela Comissão. Noutros casos, a Comissão participa nas atividades da UE-CyCLONe na qualidade de observadora.

A ENISA assegura os serviços de secretariado da UE-CyCLONe e presta apoio ao intercâmbio seguro de informações, bem como fornece os instrumentos necessários para apoiar a cooperação entre os Estados-Membros, garantindo o intercâmbio seguro de informações.

Se for caso disso, a UE-CyCLONe pode convidar representantes de partes interessadas relevantes para participar nos seus trabalhos.

3.   As funções da UE-CyCLONe são as seguintes:

| a) | Aumentar o nível de preparação para a gestão de crises e de incidentes de cibersegurança em grande escala; |
| --- | --- |

a)

Aumentar o nível de preparação para a gestão de crises e de incidentes de cibersegurança em grande escala;

| b) | Desenvolver um conhecimento situacional comum relativo a crises e incidentes de cibersegurança em grande escala; |
| --- | --- |

b)

Desenvolver um conhecimento situacional comum relativo a crises e incidentes de cibersegurança em grande escala;

| c) | Avaliar as consequências e o impacto de crises e incidentes de cibersegurança em grande escala relevantes e propor eventuais medidas de atenuação; |
| --- | --- |

c)

Avaliar as consequências e o impacto de crises e incidentes de cibersegurança em grande escala relevantes e propor eventuais medidas de atenuação;

| d) | Coordenar a gestão de crises e de incidentes de cibersegurança em grande escala e apoiar a tomada de decisões a nível político em relação a tais incidentes e crises; |
| --- | --- |

d)

Coordenar a gestão de crises e de incidentes de cibersegurança em grande escala e apoiar a tomada de decisões a nível político em relação a tais incidentes e crises;

| e) | Discutir, a pedido do Estado-Membro em causa, os planos nacionais de resposta a crises e incidentes de cibersegurança em grande escala a que se refere o artigo 9.o, n.o 4. |
| --- | --- |

e)

Discutir, a pedido do Estado-Membro em causa, os planos nacionais de resposta a crises e incidentes de cibersegurança em grande escala a que se refere o artigo 9.o, n.o 4.

4.   A UE-CyCLONe adota o seu regulamento interno.

5.   A UE-CyCLONe presta informações ao grupo de cooperação sobre a gestão de crises e de incidentes de cibersegurança em grande escala, bem como sobre tendências, dedicando especial atenção ao seu impacto em entidades essenciais e importantes.

6.   A UE-CyCLONe coopera com a rede de CSIRT com base nas disposições processuais acordadas previstas no artigo 15.o, n.o 6.

7.   Até 17 de julho de 2024, e, subsequentemente, a intervalos de 18 meses, a UE-CyCLONe apresenta ao Parlamento Europeu e ao Conselho um relatório de avaliação do seu trabalho.

Artigo 17.o

Cooperação internacional

Se for caso disso, a União pode celebrar, em conformidade com o artigo 218.o do TFUE, acordos internacionais com países terceiros ou organizações internacionais, que permitam e rejam a participação destes em determinadas atividades do grupo de cooperação, da rede de CSIRT e da UE-CyCLONe. Esses acordos devem respeitar o direito da União em matéria de proteção de dados.

o

Artigo 18.o

Relatório sobre o estado da cibersegurança na União

1.   A ENISA deve adotar, em cooperação com a Comissão e com o grupo de cooperação, um relatório bienal sobre o estado da cibersegurança na União e deve transmitir e apresentar esse relatório ao Parlamento Europeu. Este relatório deve, nomeadamente, ser disponibilizado em formato legível por máquina e incluir:

| a) | Uma avaliação dos riscos de cibersegurança a nível da União, tendo em conta o panorama das ciberameaças; |
| --- | --- |

a)

Uma avaliação dos riscos de cibersegurança a nível da União, tendo em conta o panorama das ciberameaças;

| b) | Uma avaliação do desenvolvimento das capacidades de cibersegurança nos setores público e privado em toda a União; |
| --- | --- |

b)

Uma avaliação do desenvolvimento das capacidades de cibersegurança nos setores público e privado em toda a União;

| c) | Uma avaliação do nível geral de sensibilização para a cibersegurança e a ciber-higiene entre os cidadãos e as entidades, incluindo as pequenas e médias empresas; |
| --- | --- |

c)

Uma avaliação do nível geral de sensibilização para a cibersegurança e a ciber-higiene entre os cidadãos e as entidades, incluindo as pequenas e médias empresas;

| d) | Uma avaliação agregada dos resultados das avaliações pelos pares a que se refere o artigo 19.o; |
| --- | --- |

d)

Uma avaliação agregada dos resultados das avaliações pelos pares a que se refere o artigo 19.o;

| e) | Uma avaliação agregada do nível de maturidade das capacidades e dos recursos em matéria de cibersegurança em toda a União, incluindo a nível setorial, bem como do grau de alinhamento das estratégias nacionais de cibersegurança dos Estados-Membros. |
| --- | --- |

e)

Uma avaliação agregada do nível de maturidade das capacidades e dos recursos em matéria de cibersegurança em toda a União, incluindo a nível setorial, bem como do grau de alinhamento das estratégias nacionais de cibersegurança dos Estados-Membros.

2.   O relatório deve incluir recomendações políticas específicas, com vista a colmatar lacunas e aumentar o nível de cibersegurança em toda a União, e um resumo das constatações, para o período em questão, dos relatórios sobre a situação técnica da cibersegurança na UE no que se refere a incidentes e ciberameaças elaborados pela ENISA em conformidade com o artigo 7.o, n.o 6, do Regulamento (UE) 2019/881.

3.   A ENISA, em cooperação com a Comissão, o grupo de cooperação e a rede de CSIRT, deve elaborar a metodologia, incluindo as variáveis pertinentes, como os indicadores quantitativos e qualitativos, da avaliação agregada a que se refere o n.o 1, alínea e).

Artigo 19.o

Avaliações pelos pares

1.   O mais tardar a 17 de janeiro de 2025, o grupo de cooperação estabelece, com a assistência da Comissão e da ENISA e, quando pertinente, da rede de CSIRT, a metodologia e os aspetos organizacionais das avaliações pelos pares, com vista a retirar ensinamentos das experiências partilhadas, reforçar a confiança mútua, alcançar um elevado nível comum de cibersegurança e reforçar as capacidades e políticas de cibersegurança dos Estados-Membros necessárias à aplicação da presente diretiva. A participação nas avaliações pelos pares é voluntária. As avaliações pelos pares devem ser realizadas por peritos em cibersegurança. Os peritos em cibersegurança são designados por, pelo menos, dois Estados-Membros, diferentes do Estado-Membro avaliado.

As avaliações pelos pares devem incidir, no mínimo, num dos seguintes aspetos:

| a) | O nível de aplicação das medidas de gestão dos riscos de cibersegurança e das obrigações de notificação previstos nos artigos 21.o e 23.o; |
| --- | --- |

a)

O nível de aplicação das medidas de gestão dos riscos de cibersegurança e das obrigações de notificação previstos nos artigos 21.o e 23.o;

| b) | O nível de capacidades, incluindo os recursos financeiros, técnicos e humanos disponíveis, e a eficácia das autoridades competentes no desempenho das suas funções; |
| --- | --- |

b)

O nível de capacidades, incluindo os recursos financeiros, técnicos e humanos disponíveis, e a eficácia das autoridades competentes no desempenho das suas funções;

| c) | As capacidades operacionais das CSIRT; |
| --- | --- |

c)

As capacidades operacionais das CSIRT;

| d) | O nível de aplicação da assistência mútua a que se refere o artigo 37.o; |
| --- | --- |

d)

O nível de aplicação da assistência mútua a que se refere o artigo 37.o;

| e) | O nível de aplicação dos acordos de partilha de informações em matéria de cibersegurança a que se refere o artigo 29.o; |
| --- | --- |

e)

O nível de aplicação dos acordos de partilha de informações em matéria de cibersegurança a que se refere o artigo 29.o;

| f) | Questões específicas de natureza transfronteiriça ou intersetorial. |
| --- | --- |

f)

Questões específicas de natureza transfronteiriça ou intersetorial.

2.   A metodologia referida no n.o 1 deve incluir critérios objetivos, não discriminatórios, equitativos e transparentes com base nos quais os Estados-Membros designam os peritos em cibersegurança elegíveis para realizarem as avaliações pelos pares. A Comissão e a ENISA participam nas avaliações pelos pares na qualidade de observadores.

3.   Os Estados-Membros podem identificar questões específicas referidas no n.o 1, alínea f), para efeitos de avaliação pelos pares.

4.   Antes de iniciar uma avaliação pelos pares como referido no n.o 1, os Estados Membros notificam os Estados-Membros participantes do âmbito da referida avaliação, incluindo as questões específicas identificadas nos termos do n.o 3.

5.   Antes do início da avaliação pelos pares, os Estados-Membros podem efetuar uma autoavaliação dos aspetos analisados e facultar essa autoavaliação aos peritos em cibersegurança designados. O grupo de cooperação estabelece, com a assistência da Comissão e da ENISA, a metodologia para a autoavaliação pelos Estados-Membros.

6.   As avaliações pelos pares devem incluir visitas virtuais ou físicas aos locais e intercâmbios de informação fora do local. Tendo em conta o princípio da boa cooperação, os Estados-Membros que sejam objeto da avaliação pelos pares devem facultar aos peritos em cibersegurança designados as informações que sejam necessárias para a avaliação, sem prejuízo do direito da União ou nacional relacionado com a proteção de informações confidenciais ou classificadas e com a salvaguarda de funções essenciais do Estado, tais como a segurança nacional. O grupo de cooperação, em cooperação com a Comissão e a ENISA, deve elaborar códigos de conduta adequados nos quais devem assentar os métodos de trabalho dos peritos em cibersegurança designados. As informações obtidas durante a avaliação pelos pares devem ser utilizadas exclusivamente para esse fim. Os peritos em cibersegurança que participam na avaliação pelos pares não podem divulgar a terceiros quaisquer informações sensíveis ou confidenciais obtidas no decurso da referida avaliação.

7.   Os aspetos que tenham sido objeto de uma avaliação pelos pares num Estado-Membro não serão objeto de uma nova avaliação pelos pares nesse Estado-Membro nos dois anos seguintes à conclusão da avaliação pelos pares, salvo em caso de pedido em contrário do Estado-Membro ou de decisão nesse sentido na sequência de uma proposta do grupo de cooperação.

8.   Os Estados-Membros devem assegurar que qualquer risco de conflito de interesses respeitante aos peritos em cibersegurança designados é revelado, antes do início da avaliação pelos pares, aos outros Estados-Membros, ao grupo de cooperação, à Comissão e à ENISA. O Estado-Membro que é objeto de uma avaliação pelos pares pode opor-se à designação de determinados peritos em cibersegurança por motivos devidamente fundamentados comunicados ao Estado-Membro que os designa.

9.   Os peritos em cibersegurança que participam nas avaliações pelos pares devem elaborar relatórios sobre as constatações e conclusões dessas avaliações pelos pares. Os Estados-Membros que são objeto de avaliação pelos pares podem apresentar observações sobre os projetos de relatório que lhes digam respeito, devendo essas observações ser anexadas aos relatórios. Os relatórios devem incluir recomendações que permitam melhorar os aspetos abrangidos pela avaliação pelos pares. Os relatórios devem ser apresentados ao grupo de cooperação e à rede de CSIRT, quando pertinente. Um Estado-Membro objeto de avaliação pelos pares pode decidir tornar público o seu relatório ou uma versão expurgada do mesmo.

CAPÍTULO IV

MEDIDAS DE GESTÃO DOS RISCOS DE CIBERSEGURANÇA E OBRIGAÇÕES DE NOTIFICAÇÃO

Artigo 20.o

Governação

1.   Os Estados-Membros devem assegurar que os órgãos de direção das entidades essenciais e importantes aprovam as medidas de gestão dos riscos de cibersegurança tomadas por essas entidades em cumprimento do disposto no artigo 21.o, supervisionam a sua aplicação e podem ser responsabilizados por infrações cometidas pelas entidades referidas nesse artigo.

O presente número aplica-se sem prejuízo do direito nacional no que respeita às regras em matéria de responsabilidade aplicáveis às instituições públicas, bem como à responsabilidade dos funcionários públicos e dos funcionários eleitos ou nomeados.

2.   Compete igualmente aos Estados-Membros garantir que os membros do órgão de direção das entidades essenciais e importantes sejam obrigados a frequentar ações de formação e incentivar as entidades essenciais e importantes a oferecer regularmente ações de formação semelhantes aos seus trabalhadores, a fim de adquirirem conhecimentos e competências suficientes para identificarem e avaliarem as práticas de gestão dos riscos de cibersegurança, bem como o seu impacto nos serviços prestados pela entidade.

Artigo 21.o

Medidas de gestão dos riscos de cibersegurança

1.   Os Estados-Membros devem assegurar que as entidades essenciais e importantes tomam medidas técnicas, operacionais e organizativas adequadas e proporcionadas para gerir os riscos que se colocam à segurança dos sistemas de rede e informação que utilizam nas suas operações ou na prestação dos seus serviços e para impedir ou minimizar o impacto de incidentes nos destinatários dos seus serviços e noutros serviços.

As medidas referidas no primeiro parágrafo devem garantir um nível de segurança dos sistemas de rede e informação adequado ao risco em causa, tendo em conta os progressos técnicos mais recentes e, se aplicáveis, as normas europeias e internacionais pertinentes, bem como os custos de execução. Ao avaliar a proporcionalidade dessas medidas, deve ser tido em devida conta o grau de exposição da entidade aos riscos, a dimensão da entidade e a probabilidade de ocorrência de incidentes e a sua gravidade, incluindo o seu impacto social e económico.

2.   As medidas referidas no n.o 1 devem basear-se numa abordagem que abranja todos os riscos e que vise proteger os sistemas de rede e informação, bem como o seu ambiente físico contra incidentes, e devem abranger pelo menos os seguintes aspetos:

| a) | Políticas de análise dos riscos e de segurança dos sistemas de informação; |
| --- | --- |

a)

Políticas de análise dos riscos e de segurança dos sistemas de informação;

| b) | Tratamento de incidentes; |
| --- | --- |

b)

Tratamento de incidentes;

| c) | Continuidade das atividades, como a gestão de cópias de segurança e a recuperação de desastres, e gestão de crises; |
| --- | --- |

c)

Continuidade das atividades, como a gestão de cópias de segurança e a recuperação de desastres, e gestão de crises;

| d) | Segurança da cadeia de abastecimento, incluindo aspetos de segurança respeitantes às relações entre cada entidade e os respetivos fornecedores ou prestadores de serviços diretos; |
| --- | --- |

d)

Segurança da cadeia de abastecimento, incluindo aspetos de segurança respeitantes às relações entre cada entidade e os respetivos fornecedores ou prestadores de serviços diretos;

| e) | Segurança na aquisição, desenvolvimento e manutenção dos sistemas de rede e informação, incluindo o tratamento e a divulgação de vulnerabilidades; |
| --- | --- |

e)

Segurança na aquisição, desenvolvimento e manutenção dos sistemas de rede e informação, incluindo o tratamento e a divulgação de vulnerabilidades;

| f) | Políticas e procedimentos para avaliar a eficácia das medidas de gestão dos riscos de cibersegurança; |
| --- | --- |

f)

Políticas e procedimentos para avaliar a eficácia das medidas de gestão dos riscos de cibersegurança;

| g) | Práticas básicas de ciber-higiene e formação em cibersegurança; |
| --- | --- |

g)

Práticas básicas de ciber-higiene e formação em cibersegurança;

| h) | Políticas e procedimentos relativos à utilização de criptografia e, se for caso disso, de cifragem; |
| --- | --- |

h)

Políticas e procedimentos relativos à utilização de criptografia e, se for caso disso, de cifragem;

| i) | Segurança dos recursos humanos, políticas seguidas em matéria de controlo do acesso e gestão de ativos; |
| --- | --- |

i)

Segurança dos recursos humanos, políticas seguidas em matéria de controlo do acesso e gestão de ativos;

| j) | Utilização de soluções de autenticação multifatores ou de autenticação contínua, comunicações seguras de voz, vídeo e texto e sistemas seguros de comunicações de emergência no seio da entidade, se for caso disso. |
| --- | --- |

j)

Utilização de soluções de autenticação multifatores ou de autenticação contínua, comunicações seguras de voz, vídeo e texto e sistemas seguros de comunicações de emergência no seio da entidade, se for caso disso.

3.   Os Estados-Membros devem garantir que, ao ponderarem as medidas adequadas a que se refere o n.o 2, alínea d), do presente artigo, as entidades têm em conta as vulnerabilidades específicas de cada fornecedor direto e cada prestador de serviços, bem como a qualidade global dos produtos e as práticas de cibersegurança dos seus fornecedores e prestadores de serviços, incluindo os respetivos procedimentos de desenvolvimento seguro. Os Estados-Membros asseguram igualmente que, ao avaliarem quais das medidas a que se refere essa alínea, são adequadas, as entidades são obrigadas a ter em conta os resultados das avaliações coordenadas dos riscos de segurança das cadeias de abastecimento críticas realizadas nos termos do artigo 22.o, n.o 1.

4.   Os Estados-Membros devem assegurar que uma entidade que conclua que não cumpre as medidas estabelecidas no n.o 2 tome todas as medidas corretivas necessárias, adequadas e proporcionadas, sem demora injustificada.

5.   Até 17 de outubro de 2024, a Comissão deve adotar atos de execução que estabeleçam os requisitos técnicos e metodológicos das medidas referidas no n.o 2 no que respeita aos prestadores de serviços de DNS, aos registos de nomes de TLD, aos prestadores de serviços de computação em nuvem, aos prestadores de serviços de centro de dados, aos fornecedores de redes de distribuição de conteúdos, aos prestadores de serviços geridos, aos prestadores de serviços de segurança geridos, bem como aos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais e aos prestadores de serviços de confiança.

A Comissão pode adotar atos de execução que estabeleçam os requisitos técnicos e metodológicos, bem como os requisitos setoriais, se necessário, das medidas a que se refere o n.o 2 no que diz respeito às entidades essenciais e importantes que não as referidas no primeiro parágrafo do presente número.

Na preparação dos atos de execução referidos no primeiro e no segundo parágrafos do presente número, a Comissão segue, tanto quanto possível, as normas europeias e internacionais, bem como as especificações técnicas aplicáveis. A Comissão deve proceder ao intercâmbio de aconselhamentos e cooperar com o grupo de cooperação e com a ENISA sobre os projetos de atos de execução, em conformidade com o artigo 14.o, n.o 4, alínea e).

Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 39.o, n.o 2.

Artigo 22.o

Avaliações coordenadas a nível da União dos riscos de segurança de cadeias de abastecimento críticas

1.   Em cooperação com a Comissão e a ENISA, o grupo de cooperação pode realizar avaliações coordenadas dos riscos de segurança de cadeias de abastecimento de produtos de TIC, sistemas de TIC ou serviços de TIC críticos, tendo em conta fatores de risco de natureza técnica e, quando pertinente, de natureza não técnica.

2.   Após consulta do grupo de cooperação e da ENISA e, se necessário, das partes interessadas pertinentes, a Comissão deve identificar os produtos de TIC, sistemas de TIC ou serviços de TIC críticos específicos que podem ser sujeitos à avaliação coordenada dos riscos de segurança a que se refere o n.o 1.

Artigo 23.o

Obrigações de notificação

1.   Os Estados-Membros devem assegurar que as entidades essenciais e importantes notificam a sua CSIRT ou, se aplicável, a sua autoridade competente, sem demora injustificada e nos termos do n.o 4, de qualquer incidente que tenha um impacto significativo na prestação dos seus serviços, tal como referido no n.o 3 (incidente significativo). Se for caso disso, as entidades em causa devem notificar os destinatários dos seus serviços, sem demora injustificada, de incidentes significativos suscetíveis de afetar negativamente a prestação desses serviços. Compete a cada Estado-Membro garantir que as referidas entidades comunicam, nomeadamente, quaisquer informações que permitam à CSIRT ou, se aplicável, à autoridade competente determinar o eventual impacto transfronteiriço do incidente. A mera notificação não sujeita a entidade notificadora a responsabilidades acrescidas.

Sempre que as entidades em causa notifiquem a autoridade competente de um incidente significativo nos termos do primeiro parágrafo, o Estado-Membro vela por que essa autoridade competente transmita a notificação à CSIRT após a sua receção.

Em caso de incidente transfronteiriço ou intersetorial significativo, os Estados-Membros devem assegurar que os seus pontos de contacto únicos recebam em tempo útil as informações pertinentes notificadas em conformidade com o n.o 4.

2.   Quando aplicável, os Estados-Membros devem assegurar que as entidades essenciais e importantes comuniquem, sem demora injustificada, aos destinatários dos seus serviços potencialmente afetados por uma ciberameaça significativa as medidas ou soluções que estes podem adotar para responder a essa ameaça. Se for caso disso, as entidades devem igualmente informar os referidos destinatários da própria ciberameaça significativa.

3.   Considera-se que um incidente é significativo se:

| a) | Tiver causado ou for suscetível de causar graves perturbações operacionais dos serviços ou perdas financeiras à entidade em causa; |
| --- | --- |

a)

Tiver causado ou for suscetível de causar graves perturbações operacionais dos serviços ou perdas financeiras à entidade em causa;

| b) | Tiver afetado ou for suscetível de afetar outras pessoas singulares ou coletivas, causando danos materiais ou imateriais consideráveis. |
| --- | --- |

b)

Tiver afetado ou for suscetível de afetar outras pessoas singulares ou coletivas, causando danos materiais ou imateriais consideráveis.

4.   Os Estados-Membros devem garantir que, para efeitos da notificação prevista no n.o 1, as entidades em causa apresentam à CSIRT ou, se aplicável, à autoridade competente:

| a) | Sem demora injustificada e, em qualquer caso, no prazo de 24 horas depois de terem tomado conhecimento do incidente significativo, um alerta rápido, que, se aplicável, deve indicar se há suspeitas de que o incidente significativo foi causado por um ato ilícito ou malicioso ou se pode ter um impacto transfronteiriço; |
| --- | --- |

a)

Sem demora injustificada e, em qualquer caso, no prazo de 24 horas depois de terem tomado conhecimento do incidente significativo, um alerta rápido, que, se aplicável, deve indicar se há suspeitas de que o incidente significativo foi causado por um ato ilícito ou malicioso ou se pode ter um impacto transfronteiriço;

| b) | Sem demora injustificada e, em qualquer caso, no prazo de 72 horas depois de terem tomado conhecimento do incidente significativo, uma notificação de incidente, que, se aplicável, deve atualizar as informações a que se refere a alínea a) e fornecer uma avaliação inicial do incidente significativo, incluindo da sua gravidade e do seu impacto, bem como, se disponíveis, dos indicadores de exposição a riscos; |
| --- | --- |

b)

Sem demora injustificada e, em qualquer caso, no prazo de 72 horas depois de terem tomado conhecimento do incidente significativo, uma notificação de incidente, que, se aplicável, deve atualizar as informações a que se refere a alínea a) e fornecer uma avaliação inicial do incidente significativo, incluindo da sua gravidade e do seu impacto, bem como, se disponíveis, dos indicadores de exposição a riscos;

| c) | A pedido de uma CSIRT ou, se aplicável, da autoridade competente, um relatório intercalar com informações atualizadas importantes sobre a situação; |
| --- | --- |

c)

A pedido de uma CSIRT ou, se aplicável, da autoridade competente, um relatório intercalar com informações atualizadas importantes sobre a situação;

| d) | O mais tardar um mês após a apresentação da notificação de incidente mencionada na alínea b), um relatório final que contenha os seguintes elementos:






  i) | uma descrição pormenorizada do incidente, incluindo da sua gravidade e do seu impacto, |
| --- | --- | --- |

d)

O mais tardar um mês após a apresentação da notificação de incidente mencionada na alínea b), um relatório final que contenha os seguintes elementos:

i)

uma descrição pormenorizada do incidente, incluindo da sua gravidade e do seu impacto,

| ii) | o tipo de ameaça ou provável causa primária suscetível de ter desencadeado o incidente, |
| --- | --- |

ii)

o tipo de ameaça ou provável causa primária suscetível de ter desencadeado o incidente,

| iii) | medidas de atenuação aplicadas e em curso, |
| --- | --- |

iii)

medidas de atenuação aplicadas e em curso,

| iv) | se aplicável, o impacto transfronteiriço do incidente; |
| --- | --- |

iv)

se aplicável, o impacto transfronteiriço do incidente;

| e) | Em caso de incidente em curso no momento da apresentação do relatório final referido na alínea d), os Estados-Membros devem assegurar que as entidades em causa apresentem um relatório intercalar nessa altura e um relatório final no prazo de um mês após terem resolvido o incidente. |
| --- | --- |

e)

Em caso de incidente em curso no momento da apresentação do relatório final referido na alínea d), os Estados-Membros devem assegurar que as entidades em causa apresentem um relatório intercalar nessa altura e um relatório final no prazo de um mês após terem resolvido o incidente.

Em derrogação do disposto no primeiro parágrafo, alínea b), um prestador de serviços de confiança notifica a CSIRT ou, se aplicável, a autoridade competente, sem demora injustificada e, em qualquer caso, no prazo de 24 horas após ter tomado conhecimento do incidente significativo, de qualquer incidente significativo que afete a prestação dos seus serviços de confiança.

5.   Sem demora injustificada e, se possível, no prazo de 24 horas após a receção do alerta rápido a que se refere o n.o 4, alínea a), a CSIRT ou a autoridade competente devem apresentar uma resposta à entidade notificadora que forneça, designadamente, as suas observações iniciais sobre o incidente significativo e, a pedido da entidade, orientações ou aconselhamento operacional sobre a aplicação de possíveis medidas de atenuação. Nos casos em que a CSIRT não seja o destinatário inicial da notificação a que se refere o n.o 1, as orientações devem ser fornecidas pela autoridade competente, em cooperação com a CSIRT. A CSIRT deve prestar apoio técnico adicional, caso a entidade em causa o solicite. Nos casos em que se suspeite da natureza criminosa do incidente significativo, o CSIRT ou a autoridade competente devem fornecer igualmente orientações sobre a notificação do incidente significativo às autoridades policiais.

6.   Se for caso disso, e em particular se o incidente significativo a que se refere o n.o 1 disser respeito a dois ou mais Estados-Membros, a CSIRT, a autoridade competente ou o ponto de contacto único devem informar, sem demora injustificada, os outros Estados-Membros afetados e a ENISA do incidente significativo. Essas informações devem incluir o tipo de informações recebidas em conformidade com o n.o 4. Ao fazê-lo, a CSIRT, a autoridade competente ou o ponto de contacto único devem salvaguardar, de acordo com o direito da União ou nacional, a segurança e os interesses comerciais da entidade, bem como a confidencialidade das informações prestadas.

7.   Nos casos em que seja necessário sensibilizar o público para evitar um incidente significativo ou para responder a um incidente significativo em curso, ou em que a divulgação do incidente significativo seja de interesse público, a CSIRT de um Estado-Membro ou, se aplicável, a sua autoridade competente e, se for caso disso, as CSIRT ou as autoridades competentes dos outros Estados-Membros afetados podem, após consulta da entidade em causa, informar o público do incidente significativo ou exigir que a entidade o faça.

8.   A pedido da CSIRT ou da autoridade competente, o ponto de contacto único deve transmitir as notificações recebidas nos termos do n.o 1 aos pontos de contacto únicos dos outros Estados-Membros afetados.

9.   O ponto de contacto único deve apresentar à ENISA, a intervalos de três meses, um relatório de síntese que inclua dados anonimizados e agregados sobre os incidentes significativos, os incidentes, as ciberameaças e os quase incidentes notificados nos termos do n.o 1 do presente artigo e do artigo 30.o A fim de contribuir para a comparabilidade das informações apresentadas, a ENISA pode adotar orientações técnicas sobre os parâmetros das informações a incluir no relatório de síntese. A ENISA deve informar o grupo de cooperação e a rede de CSIRT das suas conclusões sobre as notificações recebidas semestralmente.

10.   As CSIRT ou, se aplicável, as autoridades competentes devem fornecer às autoridades competentes nos termos da Diretiva (UE) 2022/2557 informações sobre os incidentes significativos, os incidentes, as ciberameaças e os quase acidentes notificados nos termos do n.o 1 do presente artigo e do artigo 30.o pelas entidades identificadas como entidades críticas nos termos da Diretiva (UE) 2022/2557.

11.   A Comissão pode adotar atos de execução que especifiquem o tipo de informações, o formato e o procedimento das notificações apresentadas nos termos do n.o 1 do presente artigo e do artigo 30.o e das comunicações apresentadas nos termos do n.o 2 do presente artigo.

Até 17 de outubro de 2024, a Comissão deve, no que respeita a prestadores de serviços de DNS, aos registos de nomes de TLD, aos prestadores de serviços de computação em nuvem, aos prestadores de serviços de centro de dados, aos fornecedores de redes de distribuição de conteúdos, aos prestadores de serviços geridos, aos prestadores de serviços de segurança geridos, bem como aos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais, adotar atos de execução que especifiquem os casos em que um incidente deve ser considerado significativo, conforme referido no n.o 3. A Comissão pode adotar atos de execução em relação a outras entidades essenciais e importantes.

A Comissão deve proceder ao intercâmbio de aconselhamentos e cooperar com o grupo de cooperação sobre os projetos de atos de execução referidos no primeiro e no segundo parágrafos, em conformidade com o artigo 14.o, n.o 4, alínea e).

Esses atos de execução são adotados pelo procedimento de exame a que se refere o artigo 39.o, n.o 2.

Artigo 24.o

Utilização dos sistemas europeus de certificação da cibersegurança

1.   A fim de demonstrar o cumprimento de certos requisitos estabelecidos no artigo 21.o, os Estados-Membros podem exigir que as entidades essenciais e importantes utilizem determinados produtos de TIC, serviços de TIC e processos de TIC, desenvolvidos pela entidade essencial ou importante ou fornecidos por terceiros, que estejam certificados no âmbito de sistemas europeus de certificação da cibersegurança adotados nos termos do artigo 49.o do Regulamento (UE) 2019/881. Além disso, os Estados-Membros devem incentivar as entidades essenciais e importantes a utilizar serviços de confiança qualificados.

2.   A Comissão fica habilitada a adotar atos delegados nos termos do artigo 38.o para completar a presente diretiva, especificando as categorias de entidades essenciais e importantes obrigadas a utilizar produtos de TIC, serviços de TIC e processos de TIC certificados ou a obter um certificado ao abrigo de um sistema europeu de cibersegurança adotado nos termos do artigo 49.o do Regulamento (UE) 2019/881. Esses atos delegados devem ser adotados sempre que sejam identificados níveis insuficientes de cibersegurança e devem incluir um período de execução.

Antes de adotar esses atos delegados, a Comissão deve efetuar uma avaliação de impacto e levar a cabo consultas em conformidade com o artigo 56.o do Regulamento (UE) 2019/881.

3.   Nos casos em que não exista um sistema europeu de certificação da cibersegurança adequado para os efeitos do n.o 2 do presente artigo, a Comissão, após consulta do grupo de cooperação e do grupo europeu para a certificação da cibersegurança, pode solicitar à ENISA a elaboração de um projeto de sistema nos termos do artigo 48.o, n.o 2, do Regulamento (UE) 2019/881.

Artigo 25.o

Normalização

1.   A fim de promover a aplicação convergente do artigo 21.o, n.os 1 e 2, os Estados-Membros devem incentivar, sem imporem ou discriminarem em favor da utilização de um determinado tipo de tecnologia, a utilização de normas e especificações técnicas europeias e internacionais aplicáveis à segurança dos sistemas de rede e informação.

2.   A ENISA deve formular, em cooperação com os Estados-Membros, e, se for caso disso, após consulta das partes interessadas pertinentes, recomendações e orientações sobre os domínios técnicos que devem ser considerados no âmbito do n.o 1, bem como sobre as normas já existentes, incluindo as normas nacionais, que permitiriam abranger esses domínios.

CAPÍTULO V

COMPETÊNCIA E REGISTO

Artigo 26.o

Competência e territorialidade

1.   Considera-se que as entidades abrangidas pelo âmbito de aplicação da presente diretiva estão sob a jurisdição do Estado-Membro em que se encontram estabelecidas, exceto:

| a) | Os fornecedores de redes públicas de comunicações eletrónicas ou os prestadores de serviços de comunicações eletrónicas acessíveis ao público, que devem ser considerados como estando sob a jurisdição do Estado-Membro em que prestam os seus serviços; |
| --- | --- |

a)

Os fornecedores de redes públicas de comunicações eletrónicas ou os prestadores de serviços de comunicações eletrónicas acessíveis ao público, que devem ser considerados como estando sob a jurisdição do Estado-Membro em que prestam os seus serviços;

| b) | Os prestadores de serviços de DNS, os registos de nomes de TLD, as entidades que prestam serviços de registo de nomes de domínio, os prestadores de serviços de computação em nuvem, os prestadores de serviços de centro de dados, os fornecedores de redes de distribuição de conteúdos, os prestadores de serviços geridos, os prestadores de serviços de segurança geridos, bem como os prestadores de serviços de mercados em linha, de motores de pesquisa em linha ou de plataformas de serviços de redes sociais, que devem ser considerados como estando sob a jurisdição do Estado-Membro em que têm o seu estabelecimento principal na União, nos termos do n.o 2; |
| --- | --- |

b)

Os prestadores de serviços de DNS, os registos de nomes de TLD, as entidades que prestam serviços de registo de nomes de domínio, os prestadores de serviços de computação em nuvem, os prestadores de serviços de centro de dados, os fornecedores de redes de distribuição de conteúdos, os prestadores de serviços geridos, os prestadores de serviços de segurança geridos, bem como os prestadores de serviços de mercados em linha, de motores de pesquisa em linha ou de plataformas de serviços de redes sociais, que devem ser considerados como estando sob a jurisdição do Estado-Membro em que têm o seu estabelecimento principal na União, nos termos do n.o 2;

| c) | As entidades da administração pública, que devem ser consideradas como estando sob a jurisdição do Estado-Membro que as estabeleceu. |
| --- | --- |

c)

As entidades da administração pública, que devem ser consideradas como estando sob a jurisdição do Estado-Membro que as estabeleceu.

2.   Para efeitos da presente diretiva, considera-se que uma entidade tal como referida no n.o 1, alínea b), tem o seu estabelecimento principal na União no Estado-Membro em que são predominantemente tomadas as decisões relacionadas com as medidas de gestão dos riscos de cibersegurança. Se não for possível determinar esse Estado-Membro ou se tais decisões não forem tomadas na União, considera-se que o estabelecimento principal se situa no Estado-Membro em que são levadas a cabo as operações de cibersegurança. Se não for possível determinar esse Estado-Membro, considera-se que o estabelecimento principal se situa no Estado-Membro em que a entidade em causa tem o estabelecimento com o maior número de trabalhadores na União.

3.   Se uma entidade a que se refere o n.o 1, alínea b), não estiver estabelecida na União, mas aí oferecer serviços, deve designar um representante na União. O representante deve estar estabelecido num dos Estados-Membros em que os serviços são oferecidos. Considera-se que tal entidade está sob a jurisdição do Estado-Membro em que o representante está estabelecido. Na ausência de um representante na União designado nos termos do presente número, qualquer Estado-Membro em que a entidade preste serviços pode intentar ações judiciais contra essa entidade por infração à presente diretiva.

4.   A designação de um representante por parte de uma entidade a que se refere o n.o 1, alínea b), não prejudica as ações judiciais que possam ser intentadas contra a própria entidade.

5.   Os Estados-Membros que tenham recebido um pedido de assistência mútua em relação a uma entidade a que se refere o n.o 1, alínea b), podem, dentro dos limites desse pedido, tomar medidas de supervisão e execução adequadas em relação à entidade em causa que presta serviços ou que tem um sistema de rede e informação no seu território.

Artigo 27.o

Registo de entidades

1.   A ENISA deve criar e manter um registo de prestadores de serviços de DNS, registos de nomes de TLD, entidades que prestam serviços de registo de nomes de domínio, prestadores de serviços de computação em nuvem, prestadores de serviços de centro de dados, fornecedores de redes de distribuição de conteúdos, prestadores de serviços geridos, prestadores de serviços de segurança geridos, bem como dos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais, com base nas informações recebidas dos pontos de contacto únicos em conformidade com o n.o 4. Mediante pedido, a ENISA permite o acesso das autoridades competentes a esse registo, assegurando simultaneamente a proteção da confidencialidade das informações, se aplicável.

2.   O mais tardar em 17 de janeiro de 2025, os Estados-Membros exigem que as entidades a que se refere o n.o 1 apresentem as seguintes informações às autoridades competentes:

| a) | Nome da entidade; |
| --- | --- |

a)

Nome da entidade;

| b) | Setor, subsetor e tipo de entidade a que se referem o anexo I ou II, se aplicável; |
| --- | --- |

b)

Setor, subsetor e tipo de entidade a que se referem o anexo I ou II, se aplicável;

| c) | Endereço do estabelecimento principal da entidade e dos outros estabelecimentos legais que possui na União ou, se não estiver estabelecida na União, do seu representante designado nos termos do artigo 26.o, n.o 3; |
| --- | --- |

c)

Endereço do estabelecimento principal da entidade e dos outros estabelecimentos legais que possui na União ou, se não estiver estabelecida na União, do seu representante designado nos termos do artigo 26.o, n.o 3;

| d) | Contactos atualizados, incluindo endereços de correio eletrónico e números de telefone da entidade e, se aplicável, do seu representante designado nos termos do artigo 26.o, n.o 3; |
| --- | --- |

d)

Contactos atualizados, incluindo endereços de correio eletrónico e números de telefone da entidade e, se aplicável, do seu representante designado nos termos do artigo 26.o, n.o 3;

| e) | Estados-Membros onde a entidade presta serviços; e |
| --- | --- |

e)

Estados-Membros onde a entidade presta serviços; e

| f) | Gamas de endereços IP da entidade. |
| --- | --- |

f)

Gamas de endereços IP da entidade.

3.   Os Estados-Membros devem assegurar que as entidades referidas no n.o 1 notifiquem a autoridade competente de alterações das informações que forneceram nos termos do n.o 2, sem demora e, em qualquer caso, no prazo de três meses a contar da data da alteração.

4.   Após a receção das informações a que se referem os n.os 2 e 3, exceto as referidas no n.o 2, alínea f), o ponto de contacto único do Estado-Membro em causa deve transmitir essas informações à ENISA sem demora injustificada.

5.   Se aplicável, as informações a que se referem os n.os 2 e 3 do presente artigo devem ser transmitidas através do mecanismo nacional a que se refere o artigo 3.o, n.o 4, quarto parágrafo.

Artigo 28.o

Base de dados relativos ao registo dos nomes de domínio

1.   Com vista a contribuir para a segurança, a estabilidade e a resiliência do DNS, os Estados-Membros devem exigir que os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio recolham e mantenham dados exatos e completos relativos ao registo de nomes de domínio numa base de dados específica, com a devida diligência, em conformidade com o direito da União em matéria de proteção de dados no que respeita aos dados pessoais.

2.   Para efeitos do n.o 1, os Estados-Membros devem exigir que a base de dados relativos ao registo de nomes de domínio contenha as informações necessárias para identificar e contactar os titulares dos nomes de domínio e os pontos de contacto que administram os nomes de domínio sob o TLD. Essas informações devem incluir:

| a) | O nome de domínio; |
| --- | --- |

a)

O nome de domínio;

| b) | A data de registo; |
| --- | --- |

b)

A data de registo;

| c) | O nome, o endereço de correio eletrónico de contacto e o número de telefone do requerente de registo; |
| --- | --- |

c)

O nome, o endereço de correio eletrónico de contacto e o número de telefone do requerente de registo;

| d) | O endereço de correio eletrónico de contacto e o número de telefone do ponto de contacto que administra o nome de domínio, caso sejam diferentes dos do requerente de registo. |
| --- | --- |

d)

O endereço de correio eletrónico de contacto e o número de telefone do ponto de contacto que administra o nome de domínio, caso sejam diferentes dos do requerente de registo.

3.   Os Estados-Membros devem ainda exigir que os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio disponham de políticas e procedimentos, incluindo procedimentos de verificação, para assegurar que as bases de dados a que se refere o n.o 1 contêm informações exatas e completas. Os Estados-Membros devem exigir que essas políticas e procedimentos sejam tornados públicos.

4.   Os Estados-Membros devem exigir que os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio a esses registos tornem públicos, sem demora injustificada após o registo de um nome de domínio, os dados relativos ao registo de nomes de domínio que não sejam dados pessoais.

5.   Os Estados-Membros devem exigir que os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio concedam acesso a dados específicos relativos ao registo de nomes de domínio aos requerentes legítimos de acesso que apresentem um pedido lícito e devidamente fundamentado, em conformidade com o direito da União em matéria de proteção de dados. Os Estados-Membros devem exigir que os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio respondam sem demora injustificada e, em qualquer caso, no prazo de 72 horas a contar da receção dos pedidos de acesso. Compete aos Estados-Membros exigir que as políticas e os procedimentos de divulgação dos referidos dados sejam tornados públicos.

6.   O cumprimento das obrigações previstas nos n.os 1 a 5 não pode resultar numa duplicação da recolha dos dados de registo de nomes de domínio. Para o efeito, os Estados-Membros devem exigir que os registos de nomes de TLD e as entidades que prestam serviços de registo de nomes de domínio cooperem entre si.

CAPÍTULO VI

PARTILHA DE INFORMAÇÕES

Artigo 29.o

Acordos de partilha de informações sobre cibersegurança

1.   Os Estados-Membros devem assegurar que as entidades abrangidas pelo âmbito de aplicação da presente diretiva, assim como, quando pertinente, outras entidades não abrangidas pelo âmbito de aplicação da presente diretiva, possam proceder, a título voluntário, ao intercâmbio de informações pertinentes sobre cibersegurança, nomeadamente relacionadas com ciberameaças, quase incidentes, vulnerabilidades, técnicas e procedimentos, indicadores de exposição a riscos, táticas hostis, informações específicas sobre perpetradores de ameaças, alertas de cibersegurança e recomendações relativas à configuração das ferramentas de cibersegurança para a deteção de ciberataques, desde que tal partilha de informações:

| a) | Tenha como objetivo evitar, detetar, dar resposta e recuperar de incidentes ou atenuar o seu impacto; |
| --- | --- |

a)

Tenha como objetivo evitar, detetar, dar resposta e recuperar de incidentes ou atenuar o seu impacto;

| b) | Reforce o nível de cibersegurança, em especial ao sensibilizar para as ciberameaças, limitar ou impedir a sua capacidade de disseminação, apoiar um leque de capacidades defensivas, a correção e divulgação de vulnerabilidades, as técnicas de deteção, contenção e prevenção de ameaças, as estratégias de atenuação ou as fases de resposta e recuperação, ou promover a investigação colaborativa de ciberameaças entre entidades públicas e privadas. |
| --- | --- |

b)

Reforce o nível de cibersegurança, em especial ao sensibilizar para as ciberameaças, limitar ou impedir a sua capacidade de disseminação, apoiar um leque de capacidades defensivas, a correção e divulgação de vulnerabilidades, as técnicas de deteção, contenção e prevenção de ameaças, as estratégias de atenuação ou as fases de resposta e recuperação, ou promover a investigação colaborativa de ciberameaças entre entidades públicas e privadas.

2.   Os Estados-Membros devem assegurar que o intercâmbio de informações ocorre no seio de comunidades de entidades essenciais e importantes e, quando pertinente, dos seus fornecedores ou prestadores de serviços. Tal intercâmbio deve ser executado mediante acordos de partilha de informações sobre cibersegurança que protejam a natureza potencialmente sensível das informações partilhadas.

3.   Os Estados-Membros devem facilitar a celebração dos acordos de partilha de informações sobre cibersegurança a que se refere o n.o 2 do presente artigo. Esses acordos podem especificar os elementos operacionais, incluindo a utilização de plataformas TIC dedicadas e de ferramentas de automatização, o teor e as condições dos acordos de partilha de informações. Ao definir os pormenores do envolvimento das autoridades públicas nesses acordos, os Estados-Membros podem impor condições relativamente às informações disponibilizadas pelas autoridades competentes ou pelas CSIRT. Os Estados-Membros devem oferecer assistência à aplicação de tais acordos, em conformidade com as suas políticas a que se refere o artigo 7.o, n.o 2, alínea h).

4.   Os Estados-Membros devem velar por que as entidades essenciais e importantes notifiquem as autoridades competentes da sua participação nos acordos de partilha de informações sobre cibersegurança referidos no n.o 2, aquando da sua celebração, ou, quando aplicável, da sua retirada de tais acordos, assim que esta produza efeitos.

5.   A ENISA deve prestar assistência à celebração dos acordos de partilha de informações sobre cibersegurança referidos no n.o 2, procedendo ao intercâmbio de boas práticas e facultando orientações.

Artigo 30.o

Notificação voluntária de informações pertinentes

1.   Os Estados-Membros devem assegurar que, para além da obrigação de notificação prevista no artigo 23.o, as notificações possam ser apresentadas às CSIRT ou, se aplicável, às autoridades competentes, a título voluntário, por:

| a) | Entidades essenciais e importantes em caso de incidentes, ciberameaças e quase incidentes; |
| --- | --- |

a)

Entidades essenciais e importantes em caso de incidentes, ciberameaças e quase incidentes;

| b) | Entidades que não as referidas na alínea a), independentemente de serem ou não abrangidas pelo âmbito de aplicação da presente diretiva, em caso de incidentes significativos, ciberameaças e quase incidentes. |
| --- | --- |

b)

Entidades que não as referidas na alínea a), independentemente de serem ou não abrangidas pelo âmbito de aplicação da presente diretiva, em caso de incidentes significativos, ciberameaças e quase incidentes.

2.   Os Estados-Membros devem tratar as notificações a que se refere o n.o 1 do presente artigo de acordo com o procedimento previsto no artigo 23.o. Os Estados-Membros podem dar prioridade ao tratamento das notificações obrigatórias em relação às notificações voluntárias.

Se necessário, as CSIRT e, se aplicável, as autoridades competentes fornecem aos pontos de contacto único as informações sobre as notificações recebidas nos termos do presente artigo, garantindo simultaneamente a confidencialidade e a proteção adequada das informações fornecidas pela entidade notificadora. Sem prejuízo da prevenção, investigação, deteção e repressão de infrações penais, a notificação voluntária não pode dar origem à imposição de quaisquer obrigações adicionais à entidade notificadora, às quais não estaria sujeita se não tivesse apresentado a notificação.

CAPÍTULO VII

SUPERVISÃO E EXECUÇÃO

Artigo 31.o

Aspetos gerais relativos à supervisão e à execução

1.   Os Estados-Membros devem assegurar que as suas autoridades competentes controlam eficazmente o cumprimento da presente diretiva e tomam as medidas necessárias para garantir esse cumprimento.

2.   Os Estados-Membros podem autorizar as suas autoridades competentes a dar prioridade a funções de supervisão. Essa prioritização deve basear-se numa abordagem baseada no risco. Para o efeito, no exercício das suas funções de supervisão previstas nos artigos 32.o e 33.o, as autoridades competentes podem estabelecer metodologias de supervisão que permitam hierarquizar essas funções de acordo com uma abordagem baseada no risco.

3.   Quando tratarem de incidentes que tenham originado violações de dados pessoais, as autoridades competentes devem trabalhar em estreita cooperação com as autoridades de supervisão nos termos do Regulamento (UE) 2016/679, sem prejuízo das competências e funções que incumbem às autoridades de supervisão nos termos desse regulamento.

4.   Sem prejuízo dos enquadramentos legislativos e institucionais nacionais, os Estados-Membros devem assegurar que, no âmbito da supervisão do cumprimento da presente diretiva pelas entidades da administração pública e da imposição de medidas de execução no que respeita a infrações à presente diretiva, as autoridades competentes disponham dos poderes adequados para desempenhar essas funções com independência operacional em relação às entidades da administração pública supervisionadas. Os Estados-Membros podem decidir impor medidas de supervisão e execução adequadas, proporcionadas e eficazes em relação a essas entidades, em conformidade com os enquadramentos legislativos e institucionais nacionais.

Artigo 32.o

Medidas de supervisão e execução relativas a entidades essenciais

1.   Os Estados-Membros devem assegurar que as medidas de supervisão ou de execução impostas às entidades essenciais no que respeita às obrigações previstas na presente diretiva são efetivas, proporcionadas e dissuasivas, tendo em conta as circunstâncias de cada caso concreto.

2.   Os Estados-Membros devem assegurar que, no exercício das suas funções de supervisão em relação a entidades essenciais, as autoridades competentes dispõem de poderes para submeter essas entidades a, pelo menos:

| a) | Inspeções no local e supervisão remota, incluindo controlos aleatórios efetuados por profissionais qualificados; |
| --- | --- |

a)

Inspeções no local e supervisão remota, incluindo controlos aleatórios efetuados por profissionais qualificados;

| b) | Auditorias de segurança regulares e específicas realizadas por um organismo independente ou por uma autoridade competente; |
| --- | --- |

b)

Auditorias de segurança regulares e específicas realizadas por um organismo independente ou por uma autoridade competente;

| c) | Auditorias ad hoc, incluindo em casos justificados por um incidente significativo ou por infração à presente diretiva por parte da entidade essencial; |
| --- | --- |

c)

Auditorias ad hoc, incluindo em casos justificados por um incidente significativo ou por infração à presente diretiva por parte da entidade essencial;

| d) | Verificações de segurança com base em critérios de avaliação dos riscos objetivos, não discriminatórios, equitativos e transparentes, se necessário em cooperação com a entidade em causa; |
| --- | --- |

d)

Verificações de segurança com base em critérios de avaliação dos riscos objetivos, não discriminatórios, equitativos e transparentes, se necessário em cooperação com a entidade em causa;

| e) | Pedidos de informações necessárias para avaliar as medidas de gestão dos riscos de cibersegurança adotadas pela entidade em causa, incluindo políticas de cibersegurança documentadas, bem como o cumprimento da obrigação de apresentar informações às autoridades competentes nos termos do artigo 27.o; |
| --- | --- |

e)

Pedidos de informações necessárias para avaliar as medidas de gestão dos riscos de cibersegurança adotadas pela entidade em causa, incluindo políticas de cibersegurança documentadas, bem como o cumprimento da obrigação de apresentar informações às autoridades competentes nos termos do artigo 27.o;

| f) | Pedidos de acesso a dados, documentos e informações necessárias para o desempenho das funções de supervisão; |
| --- | --- |

f)

Pedidos de acesso a dados, documentos e informações necessárias para o desempenho das funções de supervisão;

| g) | Pedidos de provas da aplicação das políticas de cibersegurança, como os resultados de auditorias de segurança efetuadas por um auditor qualificado e os respetivos elementos de prova subjacentes. |
| --- | --- |

g)

Pedidos de provas da aplicação das políticas de cibersegurança, como os resultados de auditorias de segurança efetuadas por um auditor qualificado e os respetivos elementos de prova subjacentes.

As auditorias de segurança específicas a que se refere o primeiro parágrafo, alínea b), devem basear-se em avaliações de risco realizadas pela autoridade competente ou pela entidade auditada, ou noutras informações disponíveis relacionadas com os riscos.

Os resultados das auditorias de segurança específicas devem ser facultados à autoridade competente. Os custos das auditorias de segurança específicas realizadas por um organismo independente são pagos pela entidade auditada, exceto em casos devidamente fundamentados em que a autoridade competente decida em contrário.

3.   Ao exercerem os poderes previstos no n.o 2, alíneas e), f) ou g), as autoridades competentes devem indicar a finalidade do pedido e especificar as informações solicitadas.

4.   Os Estados-Membros devem assegurar que, no exercício dos seus poderes de execução em relação a entidades essenciais, as suas autoridades competentes dispõem de poderes para, pelo menos:

| a) | Emitir advertências sobre infrações à presente diretiva por parte das entidades em causa; |
| --- | --- |

a)

Emitir advertências sobre infrações à presente diretiva por parte das entidades em causa;

| b) | Adotar instruções vinculativas, inclusivamente em relação às medidas necessárias para impedir ou corrigir um incidente, bem como aos prazos para executar essas medidas e para informar sobre a sua execução, ou uma ordem que exija que as entidades em causa corrijam as deficiências detetadas ou as infrações à presente diretiva; |
| --- | --- |

b)

Adotar instruções vinculativas, inclusivamente em relação às medidas necessárias para impedir ou corrigir um incidente, bem como aos prazos para executar essas medidas e para informar sobre a sua execução, ou uma ordem que exija que as entidades em causa corrijam as deficiências detetadas ou as infrações à presente diretiva;

| c) | Ordenar que as entidades em causa cessem condutas que infrinjam a presente diretiva e se abstenham de as repetir; |
| --- | --- |

c)

Ordenar que as entidades em causa cessem condutas que infrinjam a presente diretiva e se abstenham de as repetir;

| d) | Ordenar que as entidades em causa garantam que as suas medidas de gestão dos riscos de cibersegurança cumpram o disposto no artigo 21.o ou cumpram as obrigações de notificação estabelecidas no artigo 23.o de uma forma e num período especificados; |
| --- | --- |

d)

Ordenar que as entidades em causa garantam que as suas medidas de gestão dos riscos de cibersegurança cumpram o disposto no artigo 21.o ou cumpram as obrigações de notificação estabelecidas no artigo 23.o de uma forma e num período especificados;

| e) | Ordenar que as entidades em causa informem as pessoas singulares ou coletivas a quem prestam serviços ou levam a cabo atividades que sejam potencialmente afetadas por uma ciberameaça significativa da natureza da ameaça, bem como de quaisquer possíveis medidas de proteção ou corretivas que possam ser tomadas por essas pessoas em resposta a essa ameaça; |
| --- | --- |

e)

Ordenar que as entidades em causa informem as pessoas singulares ou coletivas a quem prestam serviços ou levam a cabo atividades que sejam potencialmente afetadas por uma ciberameaça significativa da natureza da ameaça, bem como de quaisquer possíveis medidas de proteção ou corretivas que possam ser tomadas por essas pessoas em resposta a essa ameaça;

| f) | Ordenar que as entidades em causa apliquem, num prazo razoável, as recomendações formuladas em resultado de uma auditoria de segurança; |
| --- | --- |

f)

Ordenar que as entidades em causa apliquem, num prazo razoável, as recomendações formuladas em resultado de uma auditoria de segurança;

| g) | Designar um supervisor com funções bem definidas durante um determinado período para supervisionar o cumprimento pelas entidades em causa dos artigos 21.o e 23.o; |
| --- | --- |

g)

Designar um supervisor com funções bem definidas durante um determinado período para supervisionar o cumprimento pelas entidades em causa dos artigos 21.o e 23.o;

| h) | Ordenar que as entidades em causa tornem públicos os aspetos das infrações à presente diretiva de uma determinada forma; |
| --- | --- |

h)

Ordenar que as entidades em causa tornem públicos os aspetos das infrações à presente diretiva de uma determinada forma;

| i) | Impor ou solicitar a imposição, por parte dos organismos ou tribunais competentes, em conformidade com o direito nacional, de uma coima nos termos do artigo 34.o, em complemento de qualquer uma das medidas referidas nas alíneas a) a h) do presente número. |
| --- | --- |

i)

Impor ou solicitar a imposição, por parte dos organismos ou tribunais competentes, em conformidade com o direito nacional, de uma coima nos termos do artigo 34.o, em complemento de qualquer uma das medidas referidas nas alíneas a) a h) do presente número.

5.   Sempre que as medidas de execução adotadas nos termos do n.o 4, alíneas a) a d) e f), se revelarem ineficazes, os Estados-Membros devem assegurar que as suas autoridades competentes dispõem de poderes para estabelecer um prazo dentro do qual se solicita à entidade essencial que tome as medidas necessárias para corrigir as deficiências ou cumprir os requisitos dessas autoridades. Se a medida solicitada não for tomada dentro do prazo estabelecido, os Estados-Membros devem assegurar que as suas autoridades competentes dispõem de poderes para:

| a) | Suspender temporariamente ou solicitar a um organismo de certificação ou autorização, ou a um tribunal, em conformidade com o direito nacional, a suspensão temporária de uma certificação ou autorização relativa a uma parte ou à totalidade dos serviços relevantes prestados ou das atividades levadas a cabo pela entidade essencial; |
| --- | --- |

a)

Suspender temporariamente ou solicitar a um organismo de certificação ou autorização, ou a um tribunal, em conformidade com o direito nacional, a suspensão temporária de uma certificação ou autorização relativa a uma parte ou à totalidade dos serviços relevantes prestados ou das atividades levadas a cabo pela entidade essencial;

| b) | Solicitar que os organismos ou tribunais competentes, em conformidade com o direito nacional, proíbam temporariamente qualquer pessoa singular com responsabilidades de gestão a nível de diretor executivo ou de representante legal de exercer funções de gestão nessa entidade essencial. |
| --- | --- |

b)

Solicitar que os organismos ou tribunais competentes, em conformidade com o direito nacional, proíbam temporariamente qualquer pessoa singular com responsabilidades de gestão a nível de diretor executivo ou de representante legal de exercer funções de gestão nessa entidade essencial.

As suspensões ou proibições temporárias impostas nos termos do presente número só são aplicadas até a entidade em causa tomar as medidas necessárias para corrigir as deficiências ou cumprir os requisitos da autoridade competente responsável pela aplicação dessas medidas de execução. A imposição dessas suspensões ou proibições temporárias deve ser sujeita a garantias processuais adequadas, em conformidade com os princípios gerais do direito da União e da Carta, como o direito a um recurso efetivo e a um processo equitativo, a presunção de inocência e os direitos de defesa.

As medidas de execução previstas no presente número não são aplicáveis às entidades da administração pública abrangidas pela presente diretiva.

6.   Os Estados-Membros devem assegurar que qualquer pessoa singular responsável por uma entidade essencial ou que atue como representante legal da mesma, com base no poder de a representar, na autoridade para tomar decisões em seu nome, ou na autoridade para exercer o controlo da mesma, dispõe de poder para assegurar o seu cumprimento da presente diretiva. Os Estados-Membros devem assegurar que seja possível considerar essas pessoas singulares responsáveis pela violação dos seus deveres de assegurar o cumprimento da presente diretiva.

No que diz respeito às entidades da administração pública, o presente número é aplicável sem prejuízo do direito nacional em matéria de responsabilidade dos funcionários públicos e dos funcionários eleitos ou nomeados.

7.   Ao tomarem qualquer uma das medidas de execução a que se refere o n.o 4 ou 5, as autoridades competentes devem respeitar os direitos de defesa e ponderar as circunstâncias de cada caso concreto e, no mínimo, ter em devida conta:

| a) | A gravidade da infração e a importância das disposições violadas, sendo que, em qualquer circunstância, devem ser consideradas infrações graves as seguintes infrações:






  i) | violações repetidas, |
| --- | --- | --- |

a)

A gravidade da infração e a importância das disposições violadas, sendo que, em qualquer circunstância, devem ser consideradas infrações graves as seguintes infrações:

i)

violações repetidas,

| ii) | não notificação ou não correção de incidentes significativos, |
| --- | --- |

ii)

não notificação ou não correção de incidentes significativos,

| iii) | não correção de deficiências na sequência de instruções vinculativas das autoridades competentes, |
| --- | --- |

iii)

não correção de deficiências na sequência de instruções vinculativas das autoridades competentes,

| iv) | obstrução de auditorias ou atividades de acompanhamento ordenadas pela autoridade competente na sequência da constatação de uma infração, |
| --- | --- |

iv)

obstrução de auditorias ou atividades de acompanhamento ordenadas pela autoridade competente na sequência da constatação de uma infração,

| v) | prestação de informações falsas ou grosseiramente inexatas em relação às medidas de gestão dos riscos de cibersegurança ou às obrigações de notificação estabelecidas nos artigos 21.o e 23.o; |
| --- | --- |

v)

prestação de informações falsas ou grosseiramente inexatas em relação às medidas de gestão dos riscos de cibersegurança ou às obrigações de notificação estabelecidas nos artigos 21.o e 23.o;

| b) | A duração da infração; |
| --- | --- |

b)

A duração da infração;

| c) | Quaisquer anteriores infrações relevantes cometidas pela entidade em causa; |
| --- | --- |

c)

Quaisquer anteriores infrações relevantes cometidas pela entidade em causa;

| d) | Quaisquer danos materiais ou imateriais causado, incluindo quaisquer prejuízos financeiros ou económicos, os efeitos noutros serviços e o número de utilizadores afetados; |
| --- | --- |

d)

Quaisquer danos materiais ou imateriais causado, incluindo quaisquer prejuízos financeiros ou económicos, os efeitos noutros serviços e o número de utilizadores afetados;

| e) | Qualquer intenção ou negligência do autor da infração; |
| --- | --- |

e)

Qualquer intenção ou negligência do autor da infração;

| f) | Quaisquer medidas tomadas pela entidade para prevenir ou atenuar os danos materiais ou imateriais; |
| --- | --- |

f)

Quaisquer medidas tomadas pela entidade para prevenir ou atenuar os danos materiais ou imateriais;

| g) | Qualquer cumprimento de códigos de conduta ou procedimentos de certificação aprovados; |
| --- | --- |

g)

Qualquer cumprimento de códigos de conduta ou procedimentos de certificação aprovados;

| h) | O nível de cooperação das pessoas singulares ou coletivas consideradas responsáveis com as autoridades competentes. |
| --- | --- |

h)

O nível de cooperação das pessoas singulares ou coletivas consideradas responsáveis com as autoridades competentes.

8.   As autoridades competentes devem apresentar uma fundamentação pormenorizada das suas decisões de aplicação de medidas de execução. Antes de adotarem tais medidas, as autoridades competentes devem notificar as entidades em causa das suas conclusões preliminares. Devem igualmente conceder um prazo razoável para que essas entidades apresentem as suas observações, exceto em casos devidamente fundamentados em que, de outro modo, seja travada a adoção de medidas imediatas para prevenir ou responder a incidentes.

9.   Os Estados-Membros devem assegurar que as suas autoridades competentes nos termos da presente diretiva informam as autoridades competentes no mesmo Estado-Membro nos termos da Diretiva (UE) 2022/2557 no exercício dos seus poderes de supervisão e execução destinados a assegurar o cumprimento da presente diretiva por parte de uma entidade identificada como crítica nos termos da Diretiva 2022/2557. Se for caso disso, as autoridades competentes nos termos da Diretiva (UE) 2022/2557 podem solicitar às autoridades competentes ao abrigo da presente diretiva que exerçam os seus poderes de supervisão e de execução em relação a uma entidade que seja identificada como entidade crítica nos termos da Diretiva (UE) 2022/2557.

10.   Os Estados-Membros devem velar por que as suas autoridades competentes nos termos da presente diretiva cooperem com as autoridades competentes relevantes do Estado-Membro em causa nos termos do Regulamento (UE) 2022/2554. Em particular, os Estados-Membros asseguram que as suas autoridades competentes nos termos da presente diretiva informam o Fórum de Fiscalização criado nos termos do artigo 32.o, n.o 1, do Regulamento (UE) 2022/2554 no exercício dos seus poderes de supervisão e execução destinados a assegurar o cumprimento da presente diretiva por parte de uma entidade essencial que seja identificada como um terceiro prestador de serviços no domínio das TIC crítico nos termos do artigo 31.o do Regulamento (UE) 2022/2554.

Artigo 33.o

Medidas de supervisão e execução relativas a entidades importantes

1.   Sempre que lhes sejam apresentadas provas, indícios ou informações de que uma entidade importante não está alegadamente a cumprir a presente diretiva, em especial os seus artigos 21.o e 23.o, os Estados-Membros devem assegurar que as autoridades competentes atuam em conformidade, se necessário, tomando medidas de supervisão ex post. Os Estados-Membros devem velar por que estas medidas sejam eficazes, proporcionadas e dissuasivas, tendo em conta as circunstâncias de cada caso concreto.

2.   Os Estados-Membros devem assegurar que, no exercício das suas funções de supervisão em relação a entidades importantes, as autoridades competentes dispõem de poderes para submeter essas entidades a, pelo menos:

| a) | Inspeções no local e supervisão ex post remota efetuadas por profissionais qualificados; |
| --- | --- |

a)

Inspeções no local e supervisão ex post remota efetuadas por profissionais qualificados;

| b) | Auditorias de segurança específicas realizadas por um organismo independente ou por uma autoridade competente; |
| --- | --- |

b)

Auditorias de segurança específicas realizadas por um organismo independente ou por uma autoridade competente;

| c) | Verificações de segurança com base em critérios de avaliação dos riscos objetivos, não discriminatórios, equitativos e transparentes, se necessário em cooperação com a entidade em causa; |
| --- | --- |

c)

Verificações de segurança com base em critérios de avaliação dos riscos objetivos, não discriminatórios, equitativos e transparentes, se necessário em cooperação com a entidade em causa;

| d) | Pedidos de informações necessárias para avaliar ex post as medidas de gestão dos riscos de cibersegurança adotadas pela entidade em causa, incluindo políticas de cibersegurança documentadas, bem como o cumprimento da obrigação de apresentar informações às autoridades competentes nos termos do artigo 27.o; |
| --- | --- |

d)

Pedidos de informações necessárias para avaliar ex post as medidas de gestão dos riscos de cibersegurança adotadas pela entidade em causa, incluindo políticas de cibersegurança documentadas, bem como o cumprimento da obrigação de apresentar informações às autoridades competentes nos termos do artigo 27.o;

| e) | Pedidos de acesso a dados, documentos e quaisquer informações necessárias para o desempenho das suas funções de supervisão; |
| --- | --- |

e)

Pedidos de acesso a dados, documentos e quaisquer informações necessárias para o desempenho das suas funções de supervisão;

| f) | Pedidos de provas da aplicação das políticas de cibersegurança, como os resultados de auditorias de segurança efetuadas por um auditor qualificado e os respetivos elementos de prova subjacentes. |
| --- | --- |

f)

Pedidos de provas da aplicação das políticas de cibersegurança, como os resultados de auditorias de segurança efetuadas por um auditor qualificado e os respetivos elementos de prova subjacentes.

As auditorias de segurança específicas a que se refere o primeiro parágrafo, alínea b), devem basear-se em avaliações de risco realizadas pela autoridade competente ou pela entidade auditada, ou noutras informações disponíveis relacionadas com os riscos.

Os resultados das auditorias de segurança específicas devem ser facultados à autoridade competente. Os custos das auditorias de segurança específicas realizadas por um organismo independente são pagos pela entidade auditada, exceto em casos devidamente fundamentados em que a autoridade competente decida em contrário.

3.   Ao exercerem os poderes nos termos do n.o 2, alíneas d), e) ou f), as autoridades competentes devem indicar a finalidade do pedido e especificar as informações solicitadas.

4.   Os Estados-Membros devem assegurar que, no exercício dos seus poderes de execução em relação a entidades importantes, as autoridades competentes dispõem de poderes para pelo menos:

| a) | Emitir advertências sobre infrações à presente diretiva por parte das entidades em causa; |
| --- | --- |

a)

Emitir advertências sobre infrações à presente diretiva por parte das entidades em causa;

| b) | Adotar instruções vinculativas ou uma ordem que exija que as entidades em causa corrijam as deficiências detetadas ou as infrações à presente diretiva; |
| --- | --- |

b)

Adotar instruções vinculativas ou uma ordem que exija que as entidades em causa corrijam as deficiências detetadas ou as infrações à presente diretiva;

| c) | Ordenar que essas entidades cessem condutas que infrinjam apresente diretiva e se abstenham de as repetir; |
| --- | --- |

c)

Ordenar que essas entidades cessem condutas que infrinjam apresente diretiva e se abstenham de as repetir;

| d) | Ordenar que as entidades em causa garantam que as suas medidas de gestão dos riscos de cibersegurança cumpram o disposto no artigo 21.o ou cumpram as obrigações de notificação estabelecidas no artigo 23.o de uma forma e num período especificados; |
| --- | --- |

d)

Ordenar que as entidades em causa garantam que as suas medidas de gestão dos riscos de cibersegurança cumpram o disposto no artigo 21.o ou cumpram as obrigações de notificação estabelecidas no artigo 23.o de uma forma e num período especificados;

| e) | Ordenar que as entidades em causa informem as pessoas singulares ou coletivas a quem prestam serviços ou levam a cabo atividades que sejam potencialmente afetadas por uma ciberameaça significativa da natureza da ameaça, bem como de quaisquer possíveis medidas de proteção ou corretivas que possam ser tomadas por essas pessoas singulares ou coletivas em resposta a essa ameaça; |
| --- | --- |

e)

Ordenar que as entidades em causa informem as pessoas singulares ou coletivas a quem prestam serviços ou levam a cabo atividades que sejam potencialmente afetadas por uma ciberameaça significativa da natureza da ameaça, bem como de quaisquer possíveis medidas de proteção ou corretivas que possam ser tomadas por essas pessoas singulares ou coletivas em resposta a essa ameaça;

| f) | Ordenar que as entidades em causa apliquem, num prazo razoável, as recomendações formuladas em resultado de uma auditoria de segurança; |
| --- | --- |

f)

Ordenar que as entidades em causa apliquem, num prazo razoável, as recomendações formuladas em resultado de uma auditoria de segurança;

| g) | Ordenar que essas entidades tornem públicos os aspetos das infrações à presente diretiva de uma determinada forma; |
| --- | --- |

g)

Ordenar que essas entidades tornem públicos os aspetos das infrações à presente diretiva de uma determinada forma;

| h) | Impor ou solicitar a imposição, por parte dos organismos ou tribunais competentes, em conformidade com o direito nacional, de uma coima nos termos do artigo 34.o, em complemento de qualquer uma das medidas referidas nas alíneas a) a g) do presente número. |
| --- | --- |

h)

Impor ou solicitar a imposição, por parte dos organismos ou tribunais competentes, em conformidade com o direito nacional, de uma coima nos termos do artigo 34.o, em complemento de qualquer uma das medidas referidas nas alíneas a) a g) do presente número.

5.   O artigo 32.o, n.os 6, 7 e 8, aplica-se mutatis mutandis às medidas de supervisão e de execução previstas no presente artigo relativas às entidades importantes.

6.   Os Estados-Membros devem velar por que as suas autoridades competentes nos termos da presente diretiva cooperem com as autoridades competentes relevantes do Estado-Membro em causa nos termos do Regulamento (UE) 2022/2554. Em particular, os Estados-Membros asseguram que as suas autoridades competentes nos termos da presente diretiva informam o Fórum de Fiscalização criado nos termos do artigo 32.o, n.o 1, do Regulamento (UE) 2022/2554 no exercício dos seus poderes de supervisão e execução destinados a assegurar o cumprimento da presente diretiva por parte de uma entidade importante que seja identificada como um terceiro prestador de serviços no domínio das TIC crítico nos termos do artigo 31.o do Regulamento (UE) 2022/2554.

Artigo 34.o

Condições gerais para a aplicação de coimas a entidades essenciais e importantes

1.   Os Estados-Membros devem assegurar que a aplicação de coimas às entidades essenciais e importantes, nos termos do presente artigo, no que respeita às infrações à presente diretiva são efetivas, proporcionadas e dissuasivas, tendo em conta as circunstâncias de cada caso concreto.

2.   São impostas coimas em complemento de qualquer das medidas referidas no artigo 32.o, n.o 4, alíneas a) a h), no artigo 32.o, n.o 5, e no artigo 33.o, n.o 4, alíneas a) a g).

3.   Ao decidir sobre a aplicação de uma coima e sobre o seu montante em cada caso concreto, devem ser tidos em devida consideração, no mínimo, os elementos previstos no artigo 32.o, n.o 7.

4.   Os Estados-Membros devem assegurar que, sempre que violem as obrigações previstas no artigo 21.o ou 23.o, as entidades essenciais sejam sujeitas, nos termos dos n.os 2 e 3 do presente artigo, a coimas num montante máximo não inferior a 10 000 000 EUR ou num montante máximo não inferior a 2 % do volume de negócios anual a nível mundial, no exercício financeiro anterior, da empresa a que a entidade essencial pertence, consoante o montante que for mais elevado.

5.   Os Estados-Membros devem assegurar que, sempre que violem o artigo 21.o ou 23.o, as entidades importantes sejam sujeitas, nos termos dos n.os 2 e 3 do presente artigo, a coimas num montante máximo não inferior a 7 000 000 EUR ou num montante máximo não inferior a 1,4 % do volume de negócios anual a nível mundial, no exercício financeiro anterior, da empresa a que a entidade importante pertence, consoante o montante que for mais elevado.

6.   Os Estados-Membros podem prever o poder de aplicar sanções pecuniárias compulsórias para obrigar uma entidade essencial ou importante a cessar uma violação da presente diretiva em conformidade com uma decisão prévia da autoridade competente.

7.   Sem prejuízo dos poderes das autoridades competentes nos termos dos artigos 32.o e 33.o, os Estados-Membros podem adotar regras para determinar se e em que medida podem ser aplicadas coimas às entidades da administração pública.

8.   Quando o sistema jurídico de um Estado-Membro não preveja coimas, esse Estado-Membro deve garantir que o presente artigo pode ser aplicado de modo a que a sanção pecuniária seja proposta pela autoridade de controlo competente e aplicada pelos tribunais nacionais competentes, garantindo ao mesmo tempo que estas medidas jurídicas corretivas são eficazes e têm um efeito equivalente às coimas impostas pelas autoridades de controlo. Em todo o caso, as sanções pecuniárias impostas devem ser efetivas, proporcionadas e dissuasivas. O Estado-Membro notifica a Comissão das disposições que adotar nos termos do presente número até 17 de outubro de 2024 e, sem demora, de qualquer alteração subsequente das mesmas.

Artigo 35.o

Infrações que implicam uma violação de dados pessoais

1.   Se as autoridades competentes tiverem conhecimento, durante uma ação de supervisão ou execução, de que a infração das obrigações estabelecidas nos artigos 21.o e 23.o da presente diretiva por parte de uma entidade essencial ou importante pode implicar uma violação de dados pessoais, na aceção do artigo 4.o, ponto 12, do Regulamento (UE) 2016/679, a qual deve ser notificada nos termos do artigo 33.o do referido regulamento, devem, sem demora injustificada, informar as autoridades de controlo referidas nos artigos 55.o e 56.o do referido regulamento.

2.   Se as autoridades de controlo a que se refere o artigo 55.o ou 56.o do Regulamento (UE) 2016/679 aplicarem uma coima nos termos do artigo 58.o, n.o 2, alínea i), desse regulamento, as autoridades competentes não aplicam uma coima nos termos do artigo 34.o da presente diretiva por uma infração prevista no n.o 1 do presente artigo que resulte do mesmo comportamento que foi objeto da coima nos termos do artigo 58.o, n.o 2, alínea i), do Regulamento (UE) 2016/679. As autoridades competentes podem, no entanto, impor as medidas de execução previstas no artigo 32.o, n.o 4, alíneas a) a h), no artigo 32.o, n.o 5, e no artigo 33.o, n.o 4, alíneas a) a g) da presente diretiva.

3.   Se a autoridade de controlo competente nos termos do Regulamento (UE) 2016/679 estiver estabelecida num Estado-Membro diferente do da autoridade competente, esta última deve informar a autoridade de controlo estabelecida no seu próprio Estado-Membro acerca da eventual violação de dados pessoais referida no n.o 1.

Artigo 36.o

Sanções

Os Estados-Membros estabelecem as regras relativas às sanções aplicáveis em caso de violação das disposições nacionais adotadas nos termos da presente diretiva e tomam todas as medidas necessárias para garantir a sua aplicação. As sanções previstas devem ser efetivas, proporcionadas e dissuasivas. Os Estados-Membros notificam a Comissão, até 17 de janeiro de 2025, dessas regras e dessas medidas e também, sem demora, de qualquer alteração ulterior.

Artigo 37.o

Assistência mútua

1.   Se uma entidade prestar serviços em mais do que um Estado-Membro, ou prestar serviços em um ou mais Estados-Membros e os seus sistemas de rede e informação estiverem situados noutro ou noutros Estados-Membros, as autoridades competentes dos Estados-Membros em causa devem cooperar entre si e prestar assistência mútua, na medida do necessário. Essa cooperação deve implicar, no mínimo, que:

| a) | As autoridades competentes que apliquem medidas de supervisão ou de execução num Estado-Membro informem e consultem, por intermédio do ponto de contacto único, as autoridades competentes dos outros Estados-Membros em causa sobre as medidas de supervisão e de execução tomadas; |
| --- | --- |

a)

As autoridades competentes que apliquem medidas de supervisão ou de execução num Estado-Membro informem e consultem, por intermédio do ponto de contacto único, as autoridades competentes dos outros Estados-Membros em causa sobre as medidas de supervisão e de execução tomadas;

| b) | Uma autoridade competente possa solicitar a outra autoridade competente que tome medidas de supervisão ou de execução; |
| --- | --- |

b)

Uma autoridade competente possa solicitar a outra autoridade competente que tome medidas de supervisão ou de execução;

| c) | Uma autoridade competente, ao receber um pedido fundamentado de outra autoridade competente, preste à mesma assistência mútua, proporcional aos recursos de que dispõe, para que as medidas de supervisão ou de execução possam ser executadas de forma eficaz, eficiente e coerente. |
| --- | --- |

c)

Uma autoridade competente, ao receber um pedido fundamentado de outra autoridade competente, preste à mesma assistência mútua, proporcional aos recursos de que dispõe, para que as medidas de supervisão ou de execução possam ser executadas de forma eficaz, eficiente e coerente.

A assistência mútua referida no primeiro parágrafo, alínea c), pode abranger pedidos de informações e medidas de supervisão, incluindo pedidos para realizar inspeções no local, supervisão remota ou auditorias de segurança específicas. Uma autoridade competente a quem seja dirigido um pedido de assistência não pode recusar esse pedido, a menos que se determine que não tem competência para prestar a assistência solicitada, que a assistência solicitada não é proporcionada às funções de supervisão da autoridade competente, ou que o pedido diz respeito a informações ou comporta atividades que, se fossem divulgadas ou realizadas, seriam contrárias aos interesses essenciais do Estado-Membro em matéria de segurança nacional, segurança pública ou defesa. Antes de recusar esse pedido, a autoridade competente consulta as outras autoridades competentes em causa, bem como, a pedido de um dos Estados-Membros interessados, a Comissão e a ENISA.

2.   Se for caso disso e de comum acordo, as autoridades competentes de diferentes Estados-Membros podem realizar ações de supervisão conjuntas.

CAPÍTULO VIII

ATOS DELEGADOS E ATOS DE EXECUÇÃO

Artigo 38.o

Exercício da delegação

1.   O poder de adotar atos delegados é conferido à Comissão nas condições estabelecidas no presente artigo.

2.   O poder de adotar atos delegados referido no artigo 24.o, n.o 2, é conferido à Comissão por um prazo de cinco anos a contar de 16 de janeiro de 2023.

3.   A delegação de poderes referida no artigo 24.o, n.o 2 pode ser revogada em qualquer momento pelo Parlamento Europeu ou pelo Conselho. A decisão de revogação põe termo à delegação dos poderes nela especificados. A decisão de revogação produz efeitos a partir do dia seguinte ao da sua publicação no Jornal Oficial da União Europeia ou de uma data posterior nela especificada. A decisão de revogação não afeta os atos delegados já em vigor.

4.   Antes de adotar um ato delegado, a Comissão consulta os peritos designados por cada Estado-Membro de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor.

5.   Assim que adotar um ato delegado, a Comissão notifica-o simultaneamente ao Parlamento Europeu e ao Conselho.

6.   Os atos delegados adotados nos termos do artigo 24.o, n.o 2, só entram em vigor se não tiverem sido formuladas objeções pelo Parlamento Europeu ou pelo Conselho no prazo de dois meses a contar da notificação do ato ao Parlamento Europeu e ao Conselho, ou se, antes do termo desse prazo, o Parlamento Europeu e o Conselho tiverem informado a Comissão de que não têm objeções a formular. O referido prazo é prorrogável por dois meses por iniciativa do Parlamento Europeu ou do Conselho.

Artigo 39.o

Procedimento de comité

1.   A Comissão é assistida por um comité. Este comité é um comité na aceção do Regulamento (UE) n.o 182/2011.

2.   Caso se remeta para o presente número, aplica-se o artigo 5.o do Regulamento (UE) n.o 182/2011.

3.   Caso o parecer do comité deva ser obtido por procedimento escrito, este é encerrado sem resultados se, no prazo fixado para dar o parecer, o presidente assim o decidir ou um dos seus membros assim o requerer.

CAPÍTULO IX

DISPOSIÇÕES FINAIS

Artigo 40.o

Avaliação

Até 17 de outubro de 2027, e, subsequentemente, a intervalos de 36 meses, a Comissão avalia a aplicação da presente diretiva e apresenta um relatório ao Parlamento Europeu e ao Conselho. O relatório avalia, em particular, a pertinência da dimensão das entidades em causa e dos setores, dos subsetores e dos tipos de entidades referidas nos anexos I e II para o funcionamento da economia e da sociedade no que diz respeito à cibersegurança. Para esse efeito, e a fim de promover a cooperação estratégica e operacional, a Comissão tem em conta os relatórios do grupo de cooperação e da rede de CSIRT sobre a experiência adquirida a nível estratégico e operacional. O relatório deve ser acompanhado, se necessário, de uma proposta legislativa.

Artigo 41.o

Transposição

1.   Os Estados-Membros devem adotar e publicar, até 17 de outubro de 2024, as disposições necessárias para dar cumprimento à presente diretiva. Do facto informam imediatamente a Comissão.

Os Estados-Membros devem aplicar essas disposições a partir de 18 de outubro de 2024.

2.   As disposições adotadas pelos Estados-Membros a que se refere o n.o 1 devem fazer referência à presente diretiva ou devem ser acompanhadas dessa referência aquando da sua publicação oficial. Os Estados-Membros estabelecem o modo como deve ser feita a referência.

Artigo 42.o

Alteração do Regulamento (UE) n.o 910/2014

No Regulamento (UE) n.o 910/2014, é suprimido o artigo 19.o com efeitos a partir de 18 de outubro de 2024.

o

o

Artigo 43.o

Alteração da Diretiva (UE) 2018/1972

Na Diretiva (UE) 2018/1972, são suprimidos os artigos 40.o e 41.o com efeitos a partir de 18 de outubro de 2024.

o

o

Artigo 44.o

Revogação

A Diretiva (UE) 2016/1148 é revogada com efeitos a partir de 18 de outubro de 2024.

As remissões para a diretiva revogada devem entender-se como remissões para a presente diretiva e devem ser lidas de acordo com a tabela de correspondência constante do anexo III.

Artigo 45.o

Entrada em vigor

A presente diretiva entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Jornal Oficial da União Europeia

Artigo 46.o

Destinatários

Os destinatários da presente diretiva são os Estados-Membros.

Feito em Estrasburgo, em 14 de dezembro de 2022.

Pelo Parlamento Europeu

A Presidente

R. METSOLA

Pelo Conselho

O Presidente

M. BEK

---

(1)  
  JO C 233 de 16.6.2022, p. 22.

1

(2)  
  JO C 286 de 16.7.2021, p. 170.

2

(3)  Posição do Parlamento Europeu de 10 de novembro de 2022 (ainda não publicada no Jornal Oficial) e decisão do Conselho de 28 de novembro de 2022.

3

(4)  Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União (JO L 194 de 19.7.2016, p. 1).

4

(5)  Recomendação 2003/361/CE da Comissão, de 6 de maio de 2003, relativa à definição de micro, pequenas e médias empresas (JO L 124 de 20.5.2003, p. 36).

5

(6)  Regulamento (UE) n.o 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno e que revoga a Diretiva 1999/93/CE (JO L 257 de 28.8.2014, p. 73).

6

o

(7)  Diretiva 97/67/CE do Parlamento Europeu e do Conselho, de 15 de dezembro de 1997, relativa às regras comuns para o desenvolvimento do mercado interno dos serviços postais comunitários e à melhoria da qualidade de serviço (JO L 15 de 21.1.1998, p. 14).

7

(8)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

8

(9)  Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO L 201 de 31.7.2002, p. 37).

9

(10)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (ver página 1 do presente Jornal Oficial).

10

o

o

o

o

(11)  Regulamento (CE) n.o 300/2008 do Parlamento Europeu e do Conselho, de 11 de março de 2008, relativo ao estabelecimento de regras comuns no domínio da segurança da aviação civil e que revoga o Regulamento (CE) n.o 2320/2002 (JO L 97 de 9.4.2008, p. 72).

11

o

o

(12)  Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho, de 4 de julho de 2018, relativo a regras comuns no domínio da aviação civil que cria a Agência da União Europeia para a Segurança da Aviação, altera os Regulamentos (CE) n.o 2111/2005, (CE) n.o 1008/2008, (UE) n.o 996/2010 e (UE) n.o 376/2014 e as Diretivas 2014/30/UE e 2014/53/UE do Parlamento Europeu e do Conselho, e revoga os Regulamentos (CE) n.o 552/2004 e (CE) n.o 216/2008 do Parlamento Europeu e do Conselho e o Regulamento (CEE) n.o 3922/91 do Conselho (JO L 212 de 22.8.2018, p. 1).

12

o

o

o

o

o

o

o

(13)  Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa à resiliência das entidades críticas, e que revoga a Diretiva 2008/114/CE do Conselho (ver página 164 do presente Jornal Oficial).

13

(14)  Regulamento (UE) 2021/696 do Parlamento Europeu e do Conselho, de 28 de abril de 2021, que cria o Programa Espacial da União e a Agência da União Europeia para o Programa Espacial e que revoga os Regulamentos (UE) n.o 912/2010, (UE) n.o 1285/2013 e (UE) n.o 377/2014 e a Decisão n.o 541/2014/UE (JO L 170 de 12.5.2021, p. 69).

14

o

o

o

o

(15)  Recomendação (UE) 2017/1584 da Comissão, de 13 de setembro de 2017, sobre a resposta coordenada a incidentes e crises de cibersegurança em grande escala (JO L 239 de 19.9.2017, p. 36).

15

(16)  Decisão de Execução (UE) 2018/1993 do Conselho, de 11 de dezembro de 2018, relativa ao Mecanismo Integrado da UE de Resposta Política a Situações de Crise (JO L 320 de 17.12.2018, p. 28).

16

(17)  Decisão n.o 1313/2013/UE do Parlamento Europeu e do Conselho, de 17 de dezembro de 2013, relativa a um Mecanismo de Proteção Civil da União Europeia (JO L 347 de 20.12.2013, p. 924).

17

o

(18)  Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativo à ENISA (Agência da União Europeia para a Cibersegurança) e à certificação da cibersegurança das tecnologias da informação e comunicação e que revoga o Regulamento (UE) n.o 526/2013 (Regulamento Cibersegurança) (JO L 151 de 7.6.2019, p. 15).

18

o

(19)  Recomendação (UE) 2019/534 da Comissão, de 26 de março de 2019, Cibersegurança das redes 5G (JO L 88 de 29.3.2019, p. 42).

19

(20)  Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2018, que estabelece o Código Europeu das Comunicações Eletrónicas (JO L 321 de 17.12.2018, p. 36).

20

(21)  Regulamento (UE) 2021/694 do Parlamento Europeu e do Conselho, de 29 de abril de 2021, que cria o Programa Europa Digital e revoga a Decisão (UE) 2015/2240 (JO L 166 de 11.5.2021, p. 1).

21

(22)  
  JO L 123 de 12.5.2016, p. 1.

22

(23)  Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho, de 16 de fevereiro de 2011, que estabelece as regras e os princípios gerais relativos aos mecanismos de controlo pelos Estados-Membros do exercício das competências de execução pela Comissão (JO L 55 de 28.2.2011, p. 13).

23

o

(24)  Regulamento (UE) 2022/2065 do Parlamento Europeu e do Conselho, de 19 de outubro de 2022, relativo a um mercado único para os serviços digitais e que altera a Diretiva 2000/31/CE (Regulamento dos Serviços Digitais) (JO L 277 de 27.10.2022, p. 1).

24

(25)  Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).

25

o

o

(26)  
  JO C 183 de 11.5.2021, p. 3.

26

(27)  Diretiva 2011/93/UE do Parlamento Europeu e do Conselho, de 13 de dezembro de 2011, relativa à luta contra o abuso sexual e a exploração sexual de crianças e a pornografia infantil, e que substitui a Decisão-Quadro 2004/68/JAI do Conselho (JO L 335 de 17.12.2011, p. 1).

27

(28)  Diretiva 2013/40/UE do Parlamento Europeu e do Conselho, de 12 de agosto de 2013, relativa a ataques contra os sistemas de informação e que substitui a Decisão-Quadro 2005/222/JAI do Conselho (JO L 218 de 14.8.2013, p. 8).

28

(29)  Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho, de 25 de outubro de 2012, relativo à normalização europeia, que altera as Diretivas 89/686/CEE e 93/15/CEE do Conselho e as Diretivas 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE e 2009/105/CE do Parlamento Europeu e do Conselho e revoga a Decisão 87/95/CEE do Conselho e a Decisão n.o 1673/2006/CE do Parlamento Europeu e do Conselho (JO L 316 de 14.11.2012, p. 12).

29

o

o

(30)  Diretiva (UE) 2015/1535 do Parlamento Europeu e do Conselho, de 9 de setembro de 2015, relativa a um procedimento de informação no domínio das regulamentações técnicas e das regras relativas aos serviços da sociedade da informação (JO L 241 de 17.9.2015, p. 1).

30

(31)  Diretiva 2005/29/CE do Parlamento Europeu e do Conselho, de 11 de maio de 2005, relativa às práticas comerciais desleais das empresas face aos consumidores no mercado interno e que altera a Diretiva 84/450/CEE do Conselho, as Diretivas 97/7/CE, 98/27/CE e 2002/65/CE e o Regulamento (CE) n.o 2006/2004 («Diretiva relativa às práticas comerciais desleais») (JO L 149 de 11.6.2005, p. 22).

31

o

(32)  Regulamento (UE) 2019/1150 do Parlamento Europeu e do Conselho, de 20 de junho de 2019, relativo à promoção da equidade e da transparência para os utilizadores profissionais de serviços de intermediação em linha (JO L 186 de 11.7.2019, p. 57).

32

---

ANEXO I

SETORES DE IMPORTÂNCIA CRÍTICA

| Setor | Subsetor | Tipo de entidade |
| --- | --- | --- |
| 1. | Energia |

Setor

Subsetor

Tipo de entidade

1.

Energia

| a) | Eletricidade |
| --- | --- |

a)

Eletricidade

| — | Empresas de eletricidade na aceção do artigo 2.o, ponto 57, da Diretiva (UE) 2019/944 do Parlamento Europeu e do Conselho (1), que exercem a atividade de «comercialização» na aceção do artigo 2.o, ponto 12, da mesma diretiva |
| --- | --- |

—

Empresas de eletricidade na aceção do artigo 2.o, ponto 57, da Diretiva (UE) 2019/944 do Parlamento Europeu e do Conselho (1), que exercem a atividade de «comercialização» na aceção do artigo 2.o, ponto 12, da mesma diretiva

| — | Operadores da rede de distribuição na aceção do artigo 2.o, ponto 29, da Diretiva (UE) 2019/944 |
| --- | --- |

—

Operadores da rede de distribuição na aceção do artigo 2.o, ponto 29, da Diretiva (UE) 2019/944

| — | Operadores da rede de transporte na aceção do artigo 2.o, ponto 35, da Diretiva (UE) 2019/944 |
| --- | --- |

—

Operadores da rede de transporte na aceção do artigo 2.o, ponto 35, da Diretiva (UE) 2019/944

| — | Produtores na aceção do artigo 2.o, ponto 38, da Diretiva (UE) 2019/944 |
| --- | --- |

—

Produtores na aceção do artigo 2.o, ponto 38, da Diretiva (UE) 2019/944

| — | Operadores nomeados do mercado da eletricidade na aceção do artigo 2.o, ponto 8, do Regulamento (UE) 2019/943 do Parlamento Europeu e do Conselho (2) |
| --- | --- |

—

Operadores nomeados do mercado da eletricidade na aceção do artigo 2.o, ponto 8, do Regulamento (UE) 2019/943 do Parlamento Europeu e do Conselho (2)

| — | Participantes no mercado na aceção do artigo 2.o, ponto 25, do Regulamento (UE) 2019/943, que prestam serviços de agregação, resposta da procura ou armazenamento de energia na aceção do artigo 2.o, pontos 18, 20 e 59, da Diretiva (UE) 2019/944 |
| --- | --- |

—

Participantes no mercado na aceção do artigo 2.o, ponto 25, do Regulamento (UE) 2019/943, que prestam serviços de agregação, resposta da procura ou armazenamento de energia na aceção do artigo 2.o, pontos 18, 20 e 59, da Diretiva (UE) 2019/944

| — | Os operadores de um ponto de carregamento que são responsáveis pela gestão e operação de um ponto de carregamento que presta um serviço de carregamento aos utilizadores finais, incluindo em nome e por conta de um prestador de serviços de mobilidade |
| --- | --- |

—

Os operadores de um ponto de carregamento que são responsáveis pela gestão e operação de um ponto de carregamento que presta um serviço de carregamento aos utilizadores finais, incluindo em nome e por conta de um prestador de serviços de mobilidade

| b) | Sistemas de aquecimento e arrefecimento urbano |
| --- | --- |

b)

Sistemas de aquecimento e arrefecimento urbano

| — | Operadores de sistemas de aquecimento urbano ou sistemas de arrefecimento urbano na aceção do artigo 2.o, ponto 19, da Diretiva (UE) 2018/2001 do Parlamento Europeu e do Conselho (3) |
| --- | --- |

—

Operadores de sistemas de aquecimento urbano ou sistemas de arrefecimento urbano na aceção do artigo 2.o, ponto 19, da Diretiva (UE) 2018/2001 do Parlamento Europeu e do Conselho (3)

| c) | Petróleo |
| --- | --- |

c)

Petróleo

| — | Operadores de oleodutos de petróleo |
| --- | --- |

—

Operadores de oleodutos de petróleo

| — | Operadores de instalações de produção, refinamento e tratamento, armazenamento e transporte de petróleo |
| --- | --- |

—

Operadores de instalações de produção, refinamento e tratamento, armazenamento e transporte de petróleo

| — | Entidades centrais de armazenagem na aceção do artigo 2.o, alínea f), da Diretiva 2009/119/CE do Conselho (4) |
| --- | --- |

—

Entidades centrais de armazenagem na aceção do artigo 2.o, alínea f), da Diretiva 2009/119/CE do Conselho (4)

| d) | Gás |
| --- | --- |

d)

Gás

| — | Empresas de comercialização na aceção do artigo 2.o, ponto 8, da Diretiva 2009/73/CE do Parlamento Europeu e do Conselho (5) |
| --- | --- |

—

Empresas de comercialização na aceção do artigo 2.o, ponto 8, da Diretiva 2009/73/CE do Parlamento Europeu e do Conselho (5)

| — | Operadores da rede de distribuição na aceção do artigo 2.o, ponto 6, da Diretiva 2009/73/CE |
| --- | --- |

—

Operadores da rede de distribuição na aceção do artigo 2.o, ponto 6, da Diretiva 2009/73/CE

| — | Operadores da rede de transporte na aceção do artigo 2.o, ponto 4, da Diretiva 2009/73/CE |
| --- | --- |

—

Operadores da rede de transporte na aceção do artigo 2.o, ponto 4, da Diretiva 2009/73/CE

| — | Operadores do sistema de armazenamento na aceção do artigo 2.o, ponto 10, da Diretiva 2009/73/CE |
| --- | --- |

—

Operadores do sistema de armazenamento na aceção do artigo 2.o, ponto 10, da Diretiva 2009/73/CE

| — | Operadores da rede de GNL na aceção do artigo 2.o, ponto 12, da Diretiva 2009/73/CE |
| --- | --- |

—

Operadores da rede de GNL na aceção do artigo 2.o, ponto 12, da Diretiva 2009/73/CE

| — | Empresas de gás natural na aceção do artigo 2.o, ponto 1, da Diretiva 2009/73/CE |
| --- | --- |

—

Empresas de gás natural na aceção do artigo 2.o, ponto 1, da Diretiva 2009/73/CE

| — | Operadores de instalações de refinamento e tratamento de gás natural |
| --- | --- |

—

Operadores de instalações de refinamento e tratamento de gás natural

| e) | Hidrogénio |
| --- | --- |

e)

Hidrogénio

| — | Operadores de produção, armazenamento e transporte de hidrogénio |
| --- | --- |

—

Operadores de produção, armazenamento e transporte de hidrogénio

| 2. | Transportes |
| --- | --- |

2.

Transportes

| a) | Transporte aéreo |
| --- | --- |

a)

Transporte aéreo

| — | Transportadoras aéreas na aceção do artigo 3.o, ponto 4, do Regulamento (CE) n.o 300/2008 utilizadas para fins comerciais |
| --- | --- |

—

Transportadoras aéreas na aceção do artigo 3.o, ponto 4, do Regulamento (CE) n.o 300/2008 utilizadas para fins comerciais

| — | Entidades gestoras aeroportuárias na aceção do artigo 2.o, ponto 2, da Diretiva 2009/12/CE do Parlamento Europeu e do Conselho (6), aeroportos na aceção do artigo 2.o, ponto 1 da mesma diretiva, incluindo os aeroportos principais enumerados no anexo II, secção 2, do Regulamento (UE) n.o 1315/2013 do Parlamento Europeu e do Conselho (7), e as entidades que exploram instalações auxiliares existentes dentro dos aeroportos |
| --- | --- |

—

Entidades gestoras aeroportuárias na aceção do artigo 2.o, ponto 2, da Diretiva 2009/12/CE do Parlamento Europeu e do Conselho (6), aeroportos na aceção do artigo 2.o, ponto 1 da mesma diretiva, incluindo os aeroportos principais enumerados no anexo II, secção 2, do Regulamento (UE) n.o 1315/2013 do Parlamento Europeu e do Conselho (7), e as entidades que exploram instalações auxiliares existentes dentro dos aeroportos

| — | Operadores de controlo da gestão do tráfego aéreo que prestam serviços de controlo de tráfego aéreo (CTA) na aceção do artigo 2.o, ponto 1, do Regulamento (CE) n.o 549/2004 do Parlamento Europeu e do Conselho (8) |
| --- | --- |

—

Operadores de controlo da gestão do tráfego aéreo que prestam serviços de controlo de tráfego aéreo (CTA) na aceção do artigo 2.o, ponto 1, do Regulamento (CE) n.o 549/2004 do Parlamento Europeu e do Conselho (8)

| b) | Transporte ferroviário |
| --- | --- |

b)

Transporte ferroviário

| — | Gestores de infraestrutura na aceção do artigo 3.o, ponto 2, da Diretiva 2012/34/UE do Parlamento Europeu e do Conselho (9) |
| --- | --- |

—

Gestores de infraestrutura na aceção do artigo 3.o, ponto 2, da Diretiva 2012/34/UE do Parlamento Europeu e do Conselho (9)

| — | Empresas ferroviárias na aceção do artigo 3.o, ponto 1, da Diretiva 2012/34/UE, incluindo os operadores das instalações de serviço na aceção do artigo 3.o, ponto 12, dessa diretiva |
| --- | --- |

—

Empresas ferroviárias na aceção do artigo 3.o, ponto 1, da Diretiva 2012/34/UE, incluindo os operadores das instalações de serviço na aceção do artigo 3.o, ponto 12, dessa diretiva

| c) | Transporte aquático |
| --- | --- |

c)

Transporte aquático

| — | Companhias de transporte por vias navegáveis interiores, marítimo e costeiro de passageiros e de mercadorias, tal como definidas para o transporte marítimo no anexo I do Regulamento (CE) n.o 725/2004 do Parlamento Europeu e do Conselho (10), não incluindo os navios explorados por essas companhias |
| --- | --- |

—

Companhias de transporte por vias navegáveis interiores, marítimo e costeiro de passageiros e de mercadorias, tal como definidas para o transporte marítimo no anexo I do Regulamento (CE) n.o 725/2004 do Parlamento Europeu e do Conselho (10), não incluindo os navios explorados por essas companhias

| — | Entidades gestoras dos portos na aceção do artigo 3.o, ponto 1, da Diretiva 2005/65/CE do Parlamento Europeu e do Conselho (11), incluindo as respetivas instalações portuárias na aceção do artigo 2.o, ponto 11, do Regulamento (CE) n.o 725/2004, e as entidades que gerem as obras e o equipamento existentes dentro dos portos |
| --- | --- |

—

Entidades gestoras dos portos na aceção do artigo 3.o, ponto 1, da Diretiva 2005/65/CE do Parlamento Europeu e do Conselho (11), incluindo as respetivas instalações portuárias na aceção do artigo 2.o, ponto 11, do Regulamento (CE) n.o 725/2004, e as entidades que gerem as obras e o equipamento existentes dentro dos portos

| — | Operadores de serviços de tráfego marítimo (VTS, do inglês, vessel traffic services) na aceção do artigo 3.o, alínea o), da Diretiva 2002/59/CE do Parlamento Europeu e do Conselho (12) |
| --- | --- |

—

Operadores de serviços de tráfego marítimo (VTS, do inglês, vessel traffic services) na aceção do artigo 3.o, alínea o), da Diretiva 2002/59/CE do Parlamento Europeu e do Conselho (12)

| d) | Transporte rodoviário |
| --- | --- |

d)

Transporte rodoviário

| — | Autoridades rodoviárias na aceção do artigo 2.o, ponto 12, do Regulamento Delegado (UE) 2015/962 (13) da Comissão, responsáveis pelo controlo da gestão do tráfego, com exceção das entidades públicas nas quais a gestão do tráfego ou a gestão de sistemas de transporte inteligentes constituem uma parte não essencial da sua atividade geral |
| --- | --- |

—

Autoridades rodoviárias na aceção do artigo 2.o, ponto 12, do Regulamento Delegado (UE) 2015/962 (13) da Comissão, responsáveis pelo controlo da gestão do tráfego, com exceção das entidades públicas nas quais a gestão do tráfego ou a gestão de sistemas de transporte inteligentes constituem uma parte não essencial da sua atividade geral

| — | Operadores de sistemas de transporte inteligentes na aceção do artigo 4.o, ponto 1, da Diretiva 2010/40/UE do Parlamento Europeu e do Conselho (14) |
| --- | --- |

—

Operadores de sistemas de transporte inteligentes na aceção do artigo 4.o, ponto 1, da Diretiva 2010/40/UE do Parlamento Europeu e do Conselho (14)

| 3. | Setor bancário |
| --- | --- |

3.

Setor bancário

Instituições de crédito, tal como definidas no artigo 4.o, ponto 1, do Regulamento (UE) n.o 575/2013 do Parlamento Europeu e do Conselho (15)

| 4. | Infraestruturas do mercado financeiro |
| --- | --- |

4.

Infraestruturas do mercado financeiro

| — | Operadores de plataformas de negociação na aceção do artigo 4.o, ponto 24, da Diretiva 2014/65/UE do Parlamento Europeu e do Conselho (16) |
| --- | --- |

—

Operadores de plataformas de negociação na aceção do artigo 4.o, ponto 24, da Diretiva 2014/65/UE do Parlamento Europeu e do Conselho (16)

| — | Contrapartes centrais (CCP) na aceção do artigo 2.o, ponto 1, do Regulamento (UE) n.o 648/2012 do Parlamento Europeu e do Conselho (17) |
| --- | --- |

—

Contrapartes centrais (CCP) na aceção do artigo 2.o, ponto 1, do Regulamento (UE) n.o 648/2012 do Parlamento Europeu e do Conselho (17)

| 5. | Saúde |
| --- | --- |

5.

Saúde

| — | Prestadores de cuidados de saúde na aceção do artigo 3.o, alínea g), da Diretiva 2011/24/UE do Parlamento Europeu e do Conselho (18) |
| --- | --- |

—

Prestadores de cuidados de saúde na aceção do artigo 3.o, alínea g), da Diretiva 2011/24/UE do Parlamento Europeu e do Conselho (18)

| — | Laboratórios de referência da UE referidas no artigo 15.o do Regulamento (UE) .../... do Parlamento Europeu e do Conselho (19) |
| --- | --- |

—

Laboratórios de referência da UE referidas no artigo 15.o do Regulamento (UE) .../... do Parlamento Europeu e do Conselho (19)

| — | Entidades que realizam atividades de investigação e desenvolvimento de medicamentos na aceção do artigo 1.o, ponto 2, da Diretiva 2001/83/CE do Parlamento Europeu e do Conselho (20) |
| --- | --- |

—

Entidades que realizam atividades de investigação e desenvolvimento de medicamentos na aceção do artigo 1.o, ponto 2, da Diretiva 2001/83/CE do Parlamento Europeu e do Conselho (20)

| — | Entidades que fabricam produtos farmacêuticos de base e preparações farmacêuticas referidos na secção C, divisão 21, da NACE Rev. 2 |
| --- | --- |

—

Entidades que fabricam produtos farmacêuticos de base e preparações farmacêuticas referidos na secção C, divisão 21, da NACE Rev. 2

| — | Entidades que fabricam dispositivos médicos considerados críticos durante uma emergência de saúde pública (lista de dispositivos médicos críticos para a emergência de saúde pública) na aceção do artigo 22.o do Regulamento (UE) 2022/123 do Parlamento Europeu e do Conselho (21) |
| --- | --- |

—

Entidades que fabricam dispositivos médicos considerados críticos durante uma emergência de saúde pública (lista de dispositivos médicos críticos para a emergência de saúde pública) na aceção do artigo 22.o do Regulamento (UE) 2022/123 do Parlamento Europeu e do Conselho (21)

| 6. | Água potável |
| --- | --- |

6.

Água potável

Fornecedores e distribuidores de água destinada ao consumo humano na aceção do artigo 2.o, ponto 1, alínea a), da Diretiva (UE) 2020/2184 do Parlamento Europeu e do Conselho (22), excluindo os distribuidores para os quais a distribuição de água para consumo humano constitui uma parte não essencial da sua atividade geral de distribuição de outros produtos de base e mercadorias

| 7. | Águas residuais |
| --- | --- |

7.

Águas residuais

Empresas que recolhem, eliminam ou tratam águas residuais urbanas, domésticas ou industriais na aceção do artigo 2.o, pontos 1, 2 e 3, da Diretiva 91/271/CEE (23) do Conselho, excluindo as empresas para as quais a recolha, eliminação ou tratamento de águas residuais urbanas, domésticas ou industriais constitui uma parte não essencial da sua atividade geral

| 8. | Infraestruturas digitais |
| --- | --- |

8.

Infraestruturas digitais

| — | Fornecedores de pontos de troca de tráfego |
| --- | --- |

—

Fornecedores de pontos de troca de tráfego

| — | Prestadores de serviços de DNS, excluindo operadores de servidores de nomes raiz |
| --- | --- |

—

Prestadores de serviços de DNS, excluindo operadores de servidores de nomes raiz

| — | Registos de nomes de TLD |
| --- | --- |

—

Registos de nomes de TLD

| — | Prestadores de serviços de computação em nuvem |
| --- | --- |

—

Prestadores de serviços de computação em nuvem

| — | Prestadores de serviços de centro de dados |
| --- | --- |

—

Prestadores de serviços de centro de dados

| — | Fornecedores de redes de distribuição de conteúdos |
| --- | --- |

—

Fornecedores de redes de distribuição de conteúdos

| — | Prestadores de serviços de confiança |
| --- | --- |

—

Prestadores de serviços de confiança

| — | Fornecedores de redes públicas de comunicações eletrónicas |
| --- | --- |

—

Fornecedores de redes públicas de comunicações eletrónicas

| — | Prestadores de serviços de comunicações eletrónicas acessíveis ao público |
| --- | --- |

—

Prestadores de serviços de comunicações eletrónicas acessíveis ao público

| 9. | Gestão de serviços TIC (entre empresas) |
| --- | --- |

9.

Gestão de serviços TIC (entre empresas)

| — | Prestadores de serviços geridos |
| --- | --- |

—

Prestadores de serviços geridos

| — | Prestadores de serviços de segurança geridos |
| --- | --- |

—

Prestadores de serviços de segurança geridos

| 10. | Administração pública |
| --- | --- |

10.

Administração pública

| — | Entidades da administração pública a nível central, tal como definidas pelos Estados-Membros em conformidade com o direito nacional |
| --- | --- |

—

Entidades da administração pública a nível central, tal como definidas pelos Estados-Membros em conformidade com o direito nacional

| — | Entidades da administração pública a nível regional tal como definidas por um Estado-Membro em conformidade com o direito nacional |
| --- | --- |

—

Entidades da administração pública a nível regional tal como definidas por um Estado-Membro em conformidade com o direito nacional

| 11. | Espaço |
| --- | --- |

11.

Espaço

Operadores de infraestruturas terrestres, detidas, geridas e operadas por Estados-Membros ou entidades privadas, que apoiam a prestação de serviços espaciais, excluindo os fornecedores de redes públicas de comunicações eletrónicas

---

(1)  Diretiva (UE) 2019/944 do Parlamento Europeu e do Conselho, de 5 de junho de 2019, relativa a regras comuns para o mercado interno da eletricidade e que altera a Diretiva 2012/27/UE (JO L 158 de 14.6.2019, p. 125).

(2)  Regulamento (UE) 2019/943 do Parlamento Europeu e do Conselho, de 5 de junho de 2019, relativo ao mercado interno da eletricidade (JO L 158 de 14.6.2019, p. 54).

(3)  Diretiva (UE) 2018/2001 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2018, relativa à promoção da utilização de energia de fontes renováveis (JO L 328 de 21.12.2018, p. 82).

(4)  Diretiva 2009/119/CE do Conselho, de 14 de setembro de 2009, que obriga os Estados-Membros a manterem um nível mínimo de reservas de petróleo bruto e/ou de produtos petrolíferos (JO L 265 de 9.10.2009, p. 9).

(5)  Diretiva 2009/73/CE do Parlamento Europeu e do Conselho, de 13 de julho de 2009, que estabelece regras comuns para o mercado interno do gás natural e que revoga a Diretiva 2003/55/CE (JO L 211 de 14.8.2009, p. 94).

(6)  Directiva 2009/12/CE do Parlamento Europeu e do Conselho, de 11 de Março de 2009, relativa às taxas aeroportuárias (JO L 70 de 14.3.2009, p. 11).

(7)  Regulamento (UE) n. ° 1315/2013 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2013 , relativo às orientações da União para o desenvolvimento da rede transeuropeia de transportes e que revoga a Decisão n. ° 661/2010/UE (JO L 348 de 20.12.2013, p. 1).

(8)  Regulamento (CE) n.° 549/2004 do Parlamento Europeu e do Conselho, de 10 de Março de 2004, que estabelece o quadro para a realização do céu único europeu ("regulamento-quadro") (JO L 96 de 31.3.2004, p. 1).

(9)  Diretiva 2012/34/UE do Parlamento Europeu e do Conselho, de 21 de novembro de 2012 , que estabelece um espaço ferroviário europeu único (reformulação) (JO L 343 de 14.12.2012, p. 32).

(10)  Regulamento (CE) n.° 725/2004 do Parlamento Europeu e do Conselho, de 31 de Março de 2004, relativo ao reforço da protecção dos navios e das instalações portuárias (JO L 129 de 29.4.2004, p. 6).

(11)  Directiva 2005/65/CE do Parlamento Europeu e do Conselho, de 26 de Outubro de 2005, relativa ao reforço da segurança nos portos (JO L 310 de 25.11.2005, p. 28).

(12)  Directiva 2002/59/CE do Parlamento Europeu e do Conselho, de 27 de Junho de 2002, relativa à instituição de um sistema comunitário de acompanhamento e de informação do tráfego de navios e que revoga a Directiva 93/75/CEE do Conselho (JO L 208 de 5.8.2002, p. 10).

(13)  Regulamento Delegado (UE) 2015/962 da Comissão, de 18 de dezembro de 2014, que complementa a Diretiva 2010/40/UE do Parlamento Europeu e do Conselho no respeitante à prestação de serviços de informação de tráfego em tempo real à escala da UE (JO L 157 de 23.6.2015, p. 21).

(14)  Diretiva 2010/40/UE do Parlamento Europeu e do Conselho, de 7 de julho de 2010, que estabelece um quadro para a implantação de sistemas de transporte inteligentes no transporte rodoviário, inclusive nas interfaces com outros modos de transporte (JO L 207 de 6.8.2010, p. 1).

(15)  Regulamento (UE) n.° 575/2013 do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativo aos requisitos prudenciais para as instituições de crédito e que altera o Regulamento (UE) n.° 648/2012 (JO L 176 de 27.6.2013, p. 1).

(16)  Diretiva 2014/65/UE do Parlamento Europeu e do Conselho, de 15 de maio de 2014, relativa aos mercados de instrumentos financeiros e que altera a Diretiva 2002/92/CE e a Diretiva 2011/61/UE (JO L 173 de 12.6.2014, p. 349).

(17)  Regulamento (UE) n.° 648/2012 do Parlamento Europeu e do Conselho, de 4 de julho de 2012, relativo aos derivados do mercado de balcão, às contrapartes centrais e aos repositórios de transações (JO L 201 de 27.7.2012, p. 1).

(18)  Diretiva 2011/24/UE do Parlamento Europeu e do Conselho, de 9 de março de 2011, relativa ao exercício dos direitos dos doentes em matéria de cuidados de saúde transfronteiriços (JO L 88 de 4.4.2011, p. 45).

(19)  Regulamento (UE) 2022/2371 do Parlamento Europeu e do Conselho, de 23 de novembro de 2022, relativo às ameaças transfronteiriças graves para a saúde e que revoga a Decisão n.° 1082/2013/UE (JO L 314 de 6.12.2022, p. 26).

(20)  Diretiva 2001/83/CE do Parlamento Europeu e do Conselho, de 6 de novembro de 2001, que estabelece um código comunitário relativo aos medicamentos para uso humano (JO L 311 de 28.11.2001, p. 67).

(21)  Regulamento (UE) 2022/123 do Parlamento Europeu e do Conselho, de 25 de janeiro de 2022, relativo ao reforço do papel da Agência Europeia de Medicamentos em matéria de preparação e gestão de crises no que diz respeito a medicamentos e dispositivos médicos (JO L 20 de 31.1.2022, p. 1).

(22)  Diretiva (UE) 2020/2184 do Parlamento Europeu e do Conselho, de 16 de dezembro de 2020, relativa à qualidade da água destinada ao consumo humano (JO L 435 de 23.12.2020, p. 1).

(23)  Diretiva 91/271/CEE do Conselho, de 21 de maio de 1991, relativa ao tratamento de águas residuais urbanas (JO L 135 de 30.5.1991, p. 40).

---

ANEXO II

OUTROS SETORES CRÍTICOS

| Setor | Subsetor | Tipo de entidade |
| --- | --- | --- |
| 1. | Serviços postais e de estafeta |

Setor

Subsetor

Tipo de entidade

1.

Serviços postais e de estafeta

Prestadores de serviços postais na aceção do artigo 2.o, ponto 1-A, da Diretiva 97/67/CE, incluindo prestadores de serviços de estafeta

| 2. | Gestão de resíduos |
| --- | --- |

2.

Gestão de resíduos

Empresas que realizam a gestão de resíduos na aceção do artigo 3.o, ponto 9, da Diretiva 2008/98/CE do Parlamento Europeu e do Conselho (1), mas excluindo as empresas para as quais a gestão de resíduos não constitui a atividade económica principal

| 3. | Produção, fabrico e distribuição de produtos químicos |
| --- | --- |

3.

Produção, fabrico e distribuição de produtos químicos

Empresas que realizam a produção de substâncias e a distribuição de substâncias ou misturas, referidas no artigo 3.o, pontos 9 e 14, do Regulamento (CE) n.o 1907/2006 do Parlamento Europeu e do Conselho (2) e empresas que realizam a produção de «artigos» na aceção do artigo 3.o, ponto 3, do mesmo regulamento, de substâncias ou misturas

| 4. | Produção, transformação e distribuição de produtos alimentares |
| --- | --- |

4.

Produção, transformação e distribuição de produtos alimentares

Empresas do setor alimentar, na aceção do artigo 3.o, ponto 2, do Regulamento (CE) n.o 178/2002 do Parlamento Europeu e do Conselho (3), que se dedicam à distribuição por grosso e à produção e transformação industriais

| 5. | Indústria transformadora |
| --- | --- |

5.

Indústria transformadora

| a) | Fabrico de dispositivos médicos e dispositivos médicos para diagnóstico in vitro |
| --- | --- |

a)

Fabrico de dispositivos médicos e dispositivos médicos para diagnóstico in vitro

Entidades que fabricam dispositivos médicos na aceção do artigo 2.o, ponto 1, do Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho (4), e entidades que fabricam dispositivos médicos para diagnóstico in vitro na aceção do artigo 2.o, ponto 2, do Regulamento (UE) 2017/746 do Parlamento Europeu e do Conselho (5), com exceção das entidades que fabricam dispositivos médicos referidas no anexo I, ponto 5, quinto travessão, da presente diretiva

| b) | Fabricação de equipamentos informáticos, equipamentos para comunicação, produtos eletrónicos e óticos |
| --- | --- |

b)

Fabricação de equipamentos informáticos, equipamentos para comunicação, produtos eletrónicos e óticos

Empresas que exercem qualquer uma das atividades económicas referidas na secção C, divisão 26, da NACE Rev. 2

| c) | Fabricação de equipamento elétrico |
| --- | --- |

c)

Fabricação de equipamento elétrico

Empresas que exercem qualquer uma das atividades económicas referidas na secção C, divisão 27, da NACE Rev. 2

| d) | Fabricação de máquinas e equipamentos (não especificados) |
| --- | --- |

d)

Fabricação de máquinas e equipamentos (não especificados)

Empresas que exercem qualquer uma das atividades económicas referidas na secção C, divisão 28, da NACE Rev. 2

| e) | Fabricação de veículos automóveis, reboques e semirreboques |
| --- | --- |

e)

Fabricação de veículos automóveis, reboques e semirreboques

Empresas que exercem qualquer uma das atividades económicas referidas na secção C, divisão 29, da NACE Rev. 2

| f) | Fabricação de outro equipamento de transporte |
| --- | --- |

f)

Fabricação de outro equipamento de transporte

Empresas que exercem qualquer uma das atividades económicas referidas na secção C, divisão 30, da NACE Rev. 2

| 6. | Prestadores de serviços digitais |
| --- | --- |

6.

Prestadores de serviços digitais

| — | Prestadores de serviço de mercados em linha |
| --- | --- |

—

Prestadores de serviço de mercados em linha

| — | Prestadores de serviço de motores de pesquisa em linha |
| --- | --- |

—

Prestadores de serviço de motores de pesquisa em linha

| — | Prestadores de serviço de plataformas de serviços de redes sociais |
| --- | --- |

—

Prestadores de serviço de plataformas de serviços de redes sociais

| 7. | Investigação |
| --- | --- |

7.

Investigação

Organismos de investigação

---

(1)  Diretiva 2008/98/CE do Parlamento Europeu e do Conselho, de 19 de novembro de 2008, relativa aos resíduos e que revoga certas diretivas (JO L 312 de 22.11.2008, p. 3).

(2)  Regulamento (CE) n.o 1907/2006 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2006, relativo ao registo, avaliação, autorização e restrição dos Produtos Químicos (REACH), que cria a Agência Europeia dos Produtos Químicos, que altera a Diretiva 1999/45/CE e revoga o Regulamento (CEE) n.o 793/93 do Conselho e o Regulamento (CE) n.o 1488/94 da Comissão, bem como a Diretiva 76/769/CEE do Conselho e as Diretivas 91/155/CEE, 93/67/CEE, 93/105/CE e 2000/21/CE da Comissão (JO L 396 de 30.12.2006, p. 1).

(3)  Regulamento (CE) n.o 178/2002 do Parlamento Europeu e do Conselho, de 28 de janeiro de 2002, que determina os princípios e normas gerais da legislação alimentar, cria a Autoridade Europeia para a Segurança dos Alimentos e estabelece procedimentos em matéria de segurança dos géneros alimentícios (JO L 31 de 1.2.2002, p. 1).

(4)  Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho, de 5 de abril de 2017, relativo aos dispositivos médicos, que altera a Diretiva 2001/83/CE, o Regulamento (CE) n.o 178/2002 e o Regulamento (CE) n.o 1223/2009 e que revoga as Diretivas 90/385/CEE e 93/42/CEE do Conselho (JO L 117 de 5.5.2017, p. 1).

(5)  Regulamento (UE) 2017/746 do Parlamento Europeu e do Conselho, de 5 de abril de 2017, relativo aos dispositivos médicos para diagnóstico in vitro e que revoga a Diretiva 98/79/CE e a Decisão 2010/227/UE da Comissão (JO L 117 de 5.5.2017, p. 176).

---

ANEXO III

TABELA DE CORRESPONDÊNCIA

| Diretiva (UE) 2016/1148 | Presente diretiva |
| --- | --- |
| Artigo 1.o, n.o 1 | Artigo 1.o, n.o 1 |
| Artigo 1.o, n.o 2 | Artigo 1.o, n.o 2 |
| Artigo 1.o, n.o 3 | – |
| Artigo 1.o, n.o 4 | Artigo 2.o, n.o 12 |
| Artigo 1.o, n.o 5 | Artigo 2.o, n.o 13 |
| Artigo 1.o, n.o 6 | Artigo 2.o, n.os 6 e 11 |
| Artigo 1.o, n.o 7 | Artigo 4.o |
| Artigo 2.o | Artigo 2.o, n.o 14 |
| Artigo 3.o | Artigo 5.o |
| Artigo 4.o | Artigo 6.o |
| Artigo 5.o | – |
| Artigo 6.o | – |
| Artigo 7.o, n.o 1 | Artigo 7.o, n.os 1 e 2 |
| Artigo 7.o, n.o 2 | Artigo 7.o, n.o 4 |
| Artigo 7.o, n.o 3 | Artigo 7.o, n.o 3 |
| Artigo 8.o, n.os 1 a 5 | Artigo 8.o, n.os 1 a 5 |
| Artigo 8.o, n.o 6 | Artigo 13.o, n.o 4 |
| Artigo 8.o, n.o 7 | Artigo 8.o, n.o 6 |
| Artigo 9.o, n.os 1, 2 e 3 | Artigo 10.o, n.os 1, 2 e 3 |
| Artigo 9.o, n.o 4 | Artigo 10.o, n.o 9 |
| Artigo 9.o, n.o 5 | Artigo 10.o, n.o 10 |
| Artigo 10.o, n.os 1, 2 e 3, primeiro parágrafo | Artigo 13.o, n.os 1, 2 e 3 |
| Artigo 10.o, n.o 3, segundo parágrafo | Artigo 23.o, n.o 9 |
| Artigo 11.o, n.o 1 | Artigo 14.o, n.os 1 e 2 |
| Artigo 11.o, n.o 2 | Artigo 14.o, n.o 3 |
| Artigo 11.o, n.o 3 | Artigo 14.o, n.o 4, primeiro parágrafo, alíneas a) a q) e alínea s), e n.o 7 |
| Artigo 11.o, n.o 4 | Artigo 14.o, n.o 4, primeiro parágrafo, alínea r), e segundo parágrafo |
| Artigo 11.o, n.o 5 | Artigo 14.o, n.o 8 |
| Artigo 12.o, n.os 1 a 5 | Artigo 15.o, n.os 1 a 5 |
| Artigo 13.o | Artigo 17.o |
| Artigo 14.o, n.os 1 e 2 | Artigo 21.o, n.os 1 a 4 |
| Artigo 14.o, n.o 3 | Artigo 23.o, n.o 1 |
| Artigo 14.o, n.o 4 | Artigo 23.o, n.o 3 |
| Artigo 14.o, n.o 5 | Artigo 23.o, n.os 5, 6 e 8 |
| Artigo 14.o, n.o 6 | Artigo 23.o, n.o 7 |
| Artigo 14.o, n.o 7 | Artigo 23.o, n.o 11 |
| Artigo 15.o, n.o 1 | Artigo 31.o, n.o 1 |
| Artigo 15.o, n.o 2, primeiro parágrafo, alínea a) | Artigo 32.o, n.o 2, alínea e) |
| Artigo 15.o, n.o 2, primeiro parágrafo, alínea b) | Artigo 32.o, n.o 2, alínea g) |
| Artigo 15.o, n.o 2, segundo parágrafo | Artigo 32.o, n.o 3 |
| Artigo 15.o, n.o 3 | Artigo 32.o, n.o 4, alínea b) |
| Artigo 15.o, n.o 4 | Artigo 31.o, n.o 3 |
| Artigo 16.o, n.os 1 e 2 | Artigo 21.o, n.os 1 a 4 |
| Artigo 16.o, n.o 3 | Artigo 23.o, n.o 1 |
| Artigo 16.o, n.o 4 | Artigo 23.o, n.o 3 |
| Artigo 16.o, n.o 5 | – |
| Artigo 16.o, n.o 6 | Artigo 23.o, n.o 6 |
| Artigo 16.o, n.o 7 | Artigo 23.o, n.o 7 |
| Artigo 16.o, n.os 8 e 9 | Artigo 21.o, n.o 5, e artigo 23.o, n.o 11 |
| Artigo 16.o, n.o 10 | – |
| Artigo 16.o, n.o 11 | Artigo 2.o, n.os 1, 2 e 3 |
| Artigo 17.o, n.o 1 | Artigo 33.o, n.o 1 |
| Artigo 17.o, n.o 2, alínea a) | Artigo 32.o, n.o 2, alínea e) |
| Artigo 17.o, n.o 2, alínea b) | Artigo 32.o, n.o 4, alínea b) |
| Artigo 17.o, n.o 3 | Artigo 37.o, n.o 1, alíneas a) e b) |
| Artigo 18.o, n.o 1 | Artigo 26.o, n.o 1, alínea b), e n.o 2 |
| Artigo 18.o, n.o 2 | Artigo 26.o, n.o 3 |
| Artigo 18.o, n.o 3 | Artigo 26.o, n.o 4 |
| Artigo 19.o | Artigo 25.o |
| Artigo 20.o | Artigo 30.o |
| Artigo 21.o | Artigo 36.o |
| Artigo 22.o | Artigo 39.o |
| Artigo 23.o | Artigo 40.o |
| Artigo 24.o | – |
| Artigo 25.o | Artigo 41.o |
| Artigo 26.o | Artigo 45.o |
| Artigo 27.o | Artigo 46.o |
| Anexo I, ponto 1 | Artigo 11.o, n.o 1 |
| Anexo I, ponto 2, alínea a), subalíneas i) a iv) | Artigo 11.o, n.o 2, alíneas a) a d) |
| Anexo I, ponto 2, alínea a), subalínea v) | Artigo 11.o, n.o 2, alínea f) |
| Anexo I, ponto 2, alínea b) | Artigo 11.o, n.o 4 |
| Anexo I, ponto 2, alínea c), subalíneas i) e ii) | Artigo 11.o, n.o 5, alínea a) |
| Anexo II | Anexo I |
| Anexo III, pontos 1 e 2 | Anexo II, ponto 6 |
| Anexo III, ponto 3 | Anexo I, ponto 8 |

Diretiva (UE) 2016/1148

Presente diretiva

Artigo 1.o, n.o 1

Artigo 1.o, n.o 1

Artigo 1.o, n.o 2

Artigo 1.o, n.o 2

Artigo 1.o, n.o 3

–

Artigo 1.o, n.o 4

Artigo 2.o, n.o 12

Artigo 1.o, n.o 5

Artigo 2.o, n.o 13

Artigo 1.o, n.o 6

Artigo 2.o, n.os 6 e 11

Artigo 1.o, n.o 7

Artigo 4.o

Artigo 2.o

Artigo 2.o, n.o 14

Artigo 3.o

Artigo 5.o

Artigo 4.o

Artigo 6.o

Artigo 5.o

–

Artigo 6.o

–

Artigo 7.o, n.o 1

Artigo 7.o, n.os 1 e 2

Artigo 7.o, n.o 2

Artigo 7.o, n.o 4

Artigo 7.o, n.o 3

Artigo 7.o, n.o 3

Artigo 8.o, n.os 1 a 5

Artigo 8.o, n.os 1 a 5

Artigo 8.o, n.o 6

Artigo 13.o, n.o 4

Artigo 8.o, n.o 7

Artigo 8.o, n.o 6

Artigo 9.o, n.os 1, 2 e 3

Artigo 10.o, n.os 1, 2 e 3

Artigo 9.o, n.o 4

Artigo 10.o, n.o 9

Artigo 9.o, n.o 5

Artigo 10.o, n.o 10

Artigo 10.o, n.os 1, 2 e 3, primeiro parágrafo

Artigo 13.o, n.os 1, 2 e 3

Artigo 10.o, n.o 3, segundo parágrafo

Artigo 23.o, n.o 9

Artigo 11.o, n.o 1

Artigo 14.o, n.os 1 e 2

Artigo 11.o, n.o 2

Artigo 14.o, n.o 3

Artigo 11.o, n.o 3

Artigo 14.o, n.o 4, primeiro parágrafo, alíneas a) a q) e alínea s), e n.o 7

Artigo 11.o, n.o 4

Artigo 14.o, n.o 4, primeiro parágrafo, alínea r), e segundo parágrafo

Artigo 11.o, n.o 5

Artigo 14.o, n.o 8

Artigo 12.o, n.os 1 a 5

Artigo 15.o, n.os 1 a 5

Artigo 13.o

Artigo 17.o

Artigo 14.o, n.os 1 e 2

Artigo 21.o, n.os 1 a 4

Artigo 14.o, n.o 3

Artigo 23.o, n.o 1

Artigo 14.o, n.o 4

Artigo 23.o, n.o 3

Artigo 14.o, n.o 5

Artigo 23.o, n.os 5, 6 e 8

Artigo 14.o, n.o 6

Artigo 23.o, n.o 7

Artigo 14.o, n.o 7

Artigo 23.o, n.o 11

Artigo 15.o, n.o 1

Artigo 31.o, n.o 1

Artigo 15.o, n.o 2, primeiro parágrafo, alínea a)

Artigo 32.o, n.o 2, alínea e)

Artigo 15.o, n.o 2, primeiro parágrafo, alínea b)

Artigo 32.o, n.o 2, alínea g)

Artigo 15.o, n.o 2, segundo parágrafo

Artigo 32.o, n.o 3

Artigo 15.o, n.o 3

Artigo 32.o, n.o 4, alínea b)

Artigo 15.o, n.o 4

Artigo 31.o, n.o 3

Artigo 16.o, n.os 1 e 2

Artigo 21.o, n.os 1 a 4

Artigo 16.o, n.o 3

Artigo 23.o, n.o 1

Artigo 16.o, n.o 4

Artigo 23.o, n.o 3

Artigo 16.o, n.o 5

–

Artigo 16.o, n.o 6

Artigo 23.o, n.o 6

Artigo 16.o, n.o 7

Artigo 23.o, n.o 7

Artigo 16.o, n.os 8 e 9

Artigo 21.o, n.o 5, e artigo 23.o, n.o 11

Artigo 16.o, n.o 10

–

Artigo 16.o, n.o 11

Artigo 2.o, n.os 1, 2 e 3

Artigo 17.o, n.o 1

Artigo 33.o, n.o 1

Artigo 17.o, n.o 2, alínea a)

Artigo 32.o, n.o 2, alínea e)

Artigo 17.o, n.o 2, alínea b)

Artigo 32.o, n.o 4, alínea b)

Artigo 17.o, n.o 3

Artigo 37.o, n.o 1, alíneas a) e b)

Artigo 18.o, n.o 1

Artigo 26.o, n.o 1, alínea b), e n.o 2

Artigo 18.o, n.o 2

Artigo 26.o, n.o 3

Artigo 18.o, n.o 3

Artigo 26.o, n.o 4

Artigo 19.o

Artigo 25.o

Artigo 20.o

Artigo 30.o

Artigo 21.o

Artigo 36.o

Artigo 22.o

Artigo 39.o

Artigo 23.o

Artigo 40.o

Artigo 24.o

–

Artigo 25.o

Artigo 41.o

Artigo 26.o

Artigo 45.o

Artigo 27.o

Artigo 46.o

Anexo I, ponto 1

Artigo 11.o, n.o 1

Anexo I, ponto 2, alínea a), subalíneas i) a iv)

Artigo 11.o, n.o 2, alíneas a) a d)

Anexo I, ponto 2, alínea a), subalínea v)

Artigo 11.o, n.o 2, alínea f)

Anexo I, ponto 2, alínea b)

Artigo 11.o, n.o 4

Anexo I, ponto 2, alínea c), subalíneas i) e ii)

Artigo 11.o, n.o 5, alínea a)

Anexo II

Anexo I

Anexo III, pontos 1 e 2

Anexo II, ponto 6

Anexo III, ponto 3

Anexo I, ponto 8

---

| 27.12.2022 | PT | Jornal Oficial da União Europeia | L 333/153 |
| --- | --- | --- | --- |

27.12.2022

PT

Jornal Oficial da União Europeia

L 333/153

---

DIRETIVA (UE) 2022/2556 DO PARLAMENTO EUROPEU E DO CONSELHO

de 14 de dezembro de 2022

que altera as Diretivas 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341 no que diz respeito à resiliência operacional digital para o setor financeiro

(Texto relevante para efeitos do EEE)

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 53.o, n.o 1, e o artigo 114.o,

Tendo em conta a proposta da Comissão Europeia,

Após transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer do Banco Central Europeu (1),

Tendo em conta o parecer do Comité Económico e Social Europeu (2),

Deliberando de acordo com o processo legislativo ordinário (3),

Considerando o seguinte:

| (1) | A União precisa de abordar, de forma adequada e exaustiva, os riscos digitais para todas as entidades financeiras decorrentes de uma maior utilização das tecnologias da informação e comunicação (TIC) na prestação e utilização de serviços financeiros, contribuindo assim para a realização do potencial do financiamento digital, em matéria de promoção da inovação e da concorrência num ambiente digital seguro. |
| --- | --- |

(1)

A União precisa de abordar, de forma adequada e exaustiva, os riscos digitais para todas as entidades financeiras decorrentes de uma maior utilização das tecnologias da informação e comunicação (TIC) na prestação e utilização de serviços financeiros, contribuindo assim para a realização do potencial do financiamento digital, em matéria de promoção da inovação e da concorrência num ambiente digital seguro.

| (2) | As entidades financeiras dependem fortemente da utilização das tecnologias digitais nas suas atividades diárias. É, portanto, extremamente importante assegurar a resiliência operacional das suas operações digitais contra o risco associado às TIC. Esta necessidade tornou-se ainda mais premente devido ao crescimento das tecnologias revolucionárias no mercado, nomeadamente tecnologias que permitem que as representações digitais de valores ou direitos sejam transferidas e armazenadas eletronicamente recorrendo à tecnologia de registo distribuído ou a tecnologias semelhantes (criptoativos), bem como do mercado dos serviços relacionados com esses ativos. |
| --- | --- |

(2)

As entidades financeiras dependem fortemente da utilização das tecnologias digitais nas suas atividades diárias. É, portanto, extremamente importante assegurar a resiliência operacional das suas operações digitais contra o risco associado às TIC. Esta necessidade tornou-se ainda mais premente devido ao crescimento das tecnologias revolucionárias no mercado, nomeadamente tecnologias que permitem que as representações digitais de valores ou direitos sejam transferidas e armazenadas eletronicamente recorrendo à tecnologia de registo distribuído ou a tecnologias semelhantes (criptoativos), bem como do mercado dos serviços relacionados com esses ativos.

| (3) | Ao nível da União, os requisitos relacionados com a gestão do risco associado às TIC no setor financeiro estão atualmente previstos nas Diretivas 2009/65/CE (4), 2009/138/CE (5), 2011/61/UE (6), 2013/36/UE (7), 2014/59/UE (8), 2014/65/UE (9), (UE) 2015/2366 (10) e (UE) 2016/2341 (11) do Parlamento Europeu e do Conselho.
  Esses requisitos são diversificados, estando por vezes incompletos. Em alguns casos, o risco associado às TIC apenas foi abordado implicitamente, como parte do risco operacional, enquanto noutros nem sequer foi abordado. Essa situação é corrigida através da adoção do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (12). Essas diretivas deverão, por conseguinte, ser alteradas para garantir a coerência com esse regulamento. Pela presente diretiva são adotadas um conjunto de alterações que se afiguram necessárias para proporcionar clareza e coerência jurídica no que se refere à aplicação, pelas entidades financeiras autorizadas e supervisionadas em conformidade com aquelas diretivas, de vários requisitos relativos à resiliência operacional digital necessários para o exercício das suas atividades e para a prestação de serviços, garantindo assim o bom funcionamento do mercado interno. É necessário assegurar a adequação desses requisitos no que se refere à evolução do mercado, promovendo simultaneamente a proporcionalidade em especial no que diz respeito à dimensão das entidades financeiras e aos regimes específicos a que estão sujeitas, com o objetivo de reduzir os custos de conformidade. |
| --- | --- |

(3)

Ao nível da União, os requisitos relacionados com a gestão do risco associado às TIC no setor financeiro estão atualmente previstos nas Diretivas 2009/65/CE (4), 2009/138/CE (5), 2011/61/UE (6), 2013/36/UE (7), 2014/59/UE (8), 2014/65/UE (9), (UE) 2015/2366 (10) e (UE) 2016/2341 (11) do Parlamento Europeu e do Conselho.

Esses requisitos são diversificados, estando por vezes incompletos. Em alguns casos, o risco associado às TIC apenas foi abordado implicitamente, como parte do risco operacional, enquanto noutros nem sequer foi abordado. Essa situação é corrigida através da adoção do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (12). Essas diretivas deverão, por conseguinte, ser alteradas para garantir a coerência com esse regulamento. Pela presente diretiva são adotadas um conjunto de alterações que se afiguram necessárias para proporcionar clareza e coerência jurídica no que se refere à aplicação, pelas entidades financeiras autorizadas e supervisionadas em conformidade com aquelas diretivas, de vários requisitos relativos à resiliência operacional digital necessários para o exercício das suas atividades e para a prestação de serviços, garantindo assim o bom funcionamento do mercado interno. É necessário assegurar a adequação desses requisitos no que se refere à evolução do mercado, promovendo simultaneamente a proporcionalidade em especial no que diz respeito à dimensão das entidades financeiras e aos regimes específicos a que estão sujeitas, com o objetivo de reduzir os custos de conformidade.

| (4) | No setor dos serviços bancários, a Diretiva 2013/36/UE atualmente estabelece apenas regras gerais de governação interna e disposições referentes ao risco operacional que contêm requisitos relativos aos planos de contingência e de continuidade das atividades que servem implicitamente de base para a gestão do risco associado às TIC. No entanto, a fim de fazer face a esse risco de forma expressa e clara, os requisitos relativos aos planos de contingência e de continuidade das atividades deverão ser alterados de modo a incluir também planos de continuidade das atividades e planos de resposta e recuperação no que se refere ao risco associado às TIC, em conformidade com os requisitos estabelecidos no Regulamento (UE) 2022/2554. Além disso, o risco associado às TIC só implicitamente – como parte da gestão do risco operacional – se encontra incluído no processo de revisão e avaliação pelo supervisor (SREP, do inglês supervisory review and evaluation process) conduzido pelas autoridades competentes, estando os critérios para a sua avaliação atualmente definidos nas Orientações relativas à avaliação do risco das TIC no âmbito do processo de revisão e avaliação pelo supervisor (SREP), emitidas pela Autoridade Europeia de Supervisão (Autoridade Bancária Europeia) (EBA), criada pelo Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho (13). A fim de proporcionar clareza jurídica e assegurar que os supervisores bancários identifiquem o risco associado às TIC e monitorizem a sua gestão por entidades financeiras, em consonância com o novo quadro relativo à resiliência operacional digital, o âmbito do SREP deverá também ser alterado de modo a incluir explicitamente os requisitos estabelecidos no Regulamento (UE) 2022/2554 e abranger, em particular, os riscos evidenciados pelas comunicações de incidentes de caráter severo relacionados com as TIC e pelos resultados dos testes de resiliência operacional digital realizados pelas entidades financeiras em conformidade com o referido regulamento. |
| --- | --- |

(4)

No setor dos serviços bancários, a Diretiva 2013/36/UE atualmente estabelece apenas regras gerais de governação interna e disposições referentes ao risco operacional que contêm requisitos relativos aos planos de contingência e de continuidade das atividades que servem implicitamente de base para a gestão do risco associado às TIC. No entanto, a fim de fazer face a esse risco de forma expressa e clara, os requisitos relativos aos planos de contingência e de continuidade das atividades deverão ser alterados de modo a incluir também planos de continuidade das atividades e planos de resposta e recuperação no que se refere ao risco associado às TIC, em conformidade com os requisitos estabelecidos no Regulamento (UE) 2022/2554. Além disso, o risco associado às TIC só implicitamente – como parte da gestão do risco operacional – se encontra incluído no processo de revisão e avaliação pelo supervisor (SREP, do inglês supervisory review and evaluation process) conduzido pelas autoridades competentes, estando os critérios para a sua avaliação atualmente definidos nas Orientações relativas à avaliação do risco das TIC no âmbito do processo de revisão e avaliação pelo supervisor (SREP), emitidas pela Autoridade Europeia de Supervisão (Autoridade Bancária Europeia) (EBA), criada pelo Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho (13). A fim de proporcionar clareza jurídica e assegurar que os supervisores bancários identifiquem o risco associado às TIC e monitorizem a sua gestão por entidades financeiras, em consonância com o novo quadro relativo à resiliência operacional digital, o âmbito do SREP deverá também ser alterado de modo a incluir explicitamente os requisitos estabelecidos no Regulamento (UE) 2022/2554 e abranger, em particular, os riscos evidenciados pelas comunicações de incidentes de caráter severo relacionados com as TIC e pelos resultados dos testes de resiliência operacional digital realizados pelas entidades financeiras em conformidade com o referido regulamento.

| (5) | A resiliência operacional digital é essencial para preservar as funções críticas e as linhas de negócio críticas de uma entidade financeira em caso de resolução, evitando assim perturbações na economia real e no sistema financeiro. Os incidentes operacionais de caráter severo podem prejudicar a capacidade de uma entidade financeira para continuar a operar e podem comprometer os objetivos da resolução. A existência de certos acordos contratuais relativos à utilização de serviços de TIC é essencial para assegurar a continuidade operacional e fornecer os dados necessários em caso de resolução. A fim de ser harmonizada com os objetivos do quadro da União para a resiliência operacional, a Diretiva 2014/59/UE deverá ser alterada em conformidade, de modo a garantir que as informações relacionadas com a resiliência operacional sejam tidas em conta no contexto do planeamento da resolução e da avaliação da resolubilidade das entidades financeiras. |
| --- | --- |

(5)

A resiliência operacional digital é essencial para preservar as funções críticas e as linhas de negócio críticas de uma entidade financeira em caso de resolução, evitando assim perturbações na economia real e no sistema financeiro. Os incidentes operacionais de caráter severo podem prejudicar a capacidade de uma entidade financeira para continuar a operar e podem comprometer os objetivos da resolução. A existência de certos acordos contratuais relativos à utilização de serviços de TIC é essencial para assegurar a continuidade operacional e fornecer os dados necessários em caso de resolução. A fim de ser harmonizada com os objetivos do quadro da União para a resiliência operacional, a Diretiva 2014/59/UE deverá ser alterada em conformidade, de modo a garantir que as informações relacionadas com a resiliência operacional sejam tidas em conta no contexto do planeamento da resolução e da avaliação da resolubilidade das entidades financeiras.

| (6) | A Diretiva 2014/65/UE determina regras mais rigorosas no domínio do risco associado às TIC para as empresas de investimento e as plataformas de negociação quando estas desenvolvam negociação algorítmica. Os serviços de comunicação de dados e os repositórios de transações são objeto de requisitos menos pormenorizados. Além disso, a Diretiva 2014/65/UE contém apenas referências limitadas a medidas de controlo e de segurança a nível dos seus sistemas de processamento de informações e à utilização de sistemas, recursos e procedimentos adequados com vista a assegurar a continuidade e regularidade dos serviços empresariais. Além disso, a diretiva em questão deverá ser harmonizada com o Regulamento (UE) 2022/2554 no que diz respeito à continuidade e regularidade no desempenho de serviços e atividades de investimento, à resiliência operacional, à capacidade dos sistemas de negociação e à eficácia dos mecanismos de continuidade das atividades e de gestão do risco. |
| --- | --- |

(6)

A Diretiva 2014/65/UE determina regras mais rigorosas no domínio do risco associado às TIC para as empresas de investimento e as plataformas de negociação quando estas desenvolvam negociação algorítmica. Os serviços de comunicação de dados e os repositórios de transações são objeto de requisitos menos pormenorizados. Além disso, a Diretiva 2014/65/UE contém apenas referências limitadas a medidas de controlo e de segurança a nível dos seus sistemas de processamento de informações e à utilização de sistemas, recursos e procedimentos adequados com vista a assegurar a continuidade e regularidade dos serviços empresariais. Além disso, a diretiva em questão deverá ser harmonizada com o Regulamento (UE) 2022/2554 no que diz respeito à continuidade e regularidade no desempenho de serviços e atividades de investimento, à resiliência operacional, à capacidade dos sistemas de negociação e à eficácia dos mecanismos de continuidade das atividades e de gestão do risco.

| (7) | A Diretiva (UE) 2015/2366 estabelece regras específicas no que se refere às medidas de controlo da segurança e aos elementos de redução dos riscos em matéria de TIC para efeitos de obtenção de uma autorização para a prestação de serviços de pagamento. Essas regras de autorização deverão ser alteradas para fins de harmonização com o Regulamento (UE) 2022/2554. Além disso, a fim de reduzir os encargos administrativos e evitar a complexidade e a duplicação dos requisitos de comunicação de informações, as regras de notificação de incidentes previstas nessa diretiva deverão deixar de ser aplicáveis aos prestadores de serviços de pagamento que são regulados por essa diretiva e também sujeitos ao Regulamento (UE) 2022/2554, permitindo assim a esses prestadores de serviços de pagamento beneficiar de um mecanismo único e plenamente harmonizado de notificação de incidentes no que diz respeito a todos os incidentes operacionais ou de segurança relacionados com pagamentos, independentemente de tais incidentes estarem relacionados com as TIC. |
| --- | --- |

(7)

A Diretiva (UE) 2015/2366 estabelece regras específicas no que se refere às medidas de controlo da segurança e aos elementos de redução dos riscos em matéria de TIC para efeitos de obtenção de uma autorização para a prestação de serviços de pagamento. Essas regras de autorização deverão ser alteradas para fins de harmonização com o Regulamento (UE) 2022/2554. Além disso, a fim de reduzir os encargos administrativos e evitar a complexidade e a duplicação dos requisitos de comunicação de informações, as regras de notificação de incidentes previstas nessa diretiva deverão deixar de ser aplicáveis aos prestadores de serviços de pagamento que são regulados por essa diretiva e também sujeitos ao Regulamento (UE) 2022/2554, permitindo assim a esses prestadores de serviços de pagamento beneficiar de um mecanismo único e plenamente harmonizado de notificação de incidentes no que diz respeito a todos os incidentes operacionais ou de segurança relacionados com pagamentos, independentemente de tais incidentes estarem relacionados com as TIC.

| (8) | As Diretivas 2009/138/CE e (UE) 2016/2341 têm parcialmente em conta o risco associado às TIC nas suas disposições gerais referentes à governação e à gestão de riscos, deixando que determinados requisitos sejam especificados através de atos delegados com ou sem referências específicas ao risco associado às TIC. Analogamente, apenas regras muito gerais são aplicáveis aos gestores de fundos de investimento alternativos nos termos da Diretiva 2011/61/UE e às sociedades gestoras, nos termos da Diretiva 2009/65/CE. Essas diretivas deverão portanto ser alinhadas com os requisitos definidos no Regulamento (UE) 2022/2554 no que se refere à gestão dos sistemas e ferramentas de TIC. |
| --- | --- |

(8)

As Diretivas 2009/138/CE e (UE) 2016/2341 têm parcialmente em conta o risco associado às TIC nas suas disposições gerais referentes à governação e à gestão de riscos, deixando que determinados requisitos sejam especificados através de atos delegados com ou sem referências específicas ao risco associado às TIC. Analogamente, apenas regras muito gerais são aplicáveis aos gestores de fundos de investimento alternativos nos termos da Diretiva 2011/61/UE e às sociedades gestoras, nos termos da Diretiva 2009/65/CE. Essas diretivas deverão portanto ser alinhadas com os requisitos definidos no Regulamento (UE) 2022/2554 no que se refere à gestão dos sistemas e ferramentas de TIC.

| (9) | Em muitos casos, já foram estabelecidos requisitos adicionais relativos ao risco associado às TIC em atos delegados e de execução que foram adotados com base em projetos de normas técnicas de regulamentação e em projetos de execução elaborados pela Autoridade Europeia de Supervisão competente. Uma vez que as disposições do Regulamento (UE) 2022/2554 constituem a partir de agora o regime jurídico do risco associado às TIC no setor financeiro, certas habilitações para adotar atos delegados e atos de execução previstas nas Diretivas 2009/65/CE, 2009/138/CE, 2011/61/UE e 2014/65/UE deverão ser alteradas para eliminar as disposições referentes ao risco associado às TIC do âmbito dessas habilitações. |
| --- | --- |

(9)

Em muitos casos, já foram estabelecidos requisitos adicionais relativos ao risco associado às TIC em atos delegados e de execução que foram adotados com base em projetos de normas técnicas de regulamentação e em projetos de execução elaborados pela Autoridade Europeia de Supervisão competente. Uma vez que as disposições do Regulamento (UE) 2022/2554 constituem a partir de agora o regime jurídico do risco associado às TIC no setor financeiro, certas habilitações para adotar atos delegados e atos de execução previstas nas Diretivas 2009/65/CE, 2009/138/CE, 2011/61/UE e 2014/65/UE deverão ser alteradas para eliminar as disposições referentes ao risco associado às TIC do âmbito dessas habilitações.

| (10) | Com o intuito de assegurar uma aplicação coerente do novo quadro referente à resiliência operacional digital do setor financeiro, os Estados-Membros deverão aplicar as disposições do direito nacional que transpõem a presente diretiva a partir da data de aplicação do Regulamento (UE) 2022/2554. |
| --- | --- |

(10)

Com o intuito de assegurar uma aplicação coerente do novo quadro referente à resiliência operacional digital do setor financeiro, os Estados-Membros deverão aplicar as disposições do direito nacional que transpõem a presente diretiva a partir da data de aplicação do Regulamento (UE) 2022/2554.

| (11) | As Diretivas 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341 foram adotadas com base no artigo 53.o, n.o 1, ou no artigo 114.o do Tratado sobre o Funcionamento da União Europeia (TFUE), ou em ambos. As alterações constantes da presente diretiva foram incluídas num único ato legislativo devido à interligação do objeto e dos objetivos dessas alterações. Consequentemente, a presente diretiva deverá ser adotada com base no artigo 53.o, n.o 1, e no artigo 114.o do TFUE. |
| --- | --- |

(11)

As Diretivas 2009/65/CE, 2009/138/CE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 e (UE) 2016/2341 foram adotadas com base no artigo 53.o, n.o 1, ou no artigo 114.o do Tratado sobre o Funcionamento da União Europeia (TFUE), ou em ambos. As alterações constantes da presente diretiva foram incluídas num único ato legislativo devido à interligação do objeto e dos objetivos dessas alterações. Consequentemente, a presente diretiva deverá ser adotada com base no artigo 53.o, n.o 1, e no artigo 114.o do TFUE.

| (12) | Atendendo a que os objetivos da presente diretiva não podem ser suficientemente alcançados pelos Estados-Membros, uma vez que implicam a harmonização de requisitos já contidos nas diretivas, mas podem, devido à dimensão e aos efeitos da ação, ser mais bem alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, a presente diretiva não excede o necessário para alcançar esses objetivos. |
| --- | --- |

(12)

Atendendo a que os objetivos da presente diretiva não podem ser suficientemente alcançados pelos Estados-Membros, uma vez que implicam a harmonização de requisitos já contidos nas diretivas, mas podem, devido à dimensão e aos efeitos da ação, ser mais bem alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, a presente diretiva não excede o necessário para alcançar esses objetivos.

| (13) | De acordo com a declaração política conjunta dos Estados-Membros e da Comissão, de 28 de setembro de 2011, sobre os documentos explicativos (14), os Estados-Membros assumiram o compromisso de fazer acompanhar a notificação das suas medidas de transposição, nos casos em que tal se justifique, de um ou mais documentos que expliquem a relação entre os componentes de uma diretiva e as partes correspondentes dos instrumentos nacionais de transposição. Em relação à presente diretiva, o legislador considera que a transmissão desses documentos se justifica, |
| --- | --- |

(13)

De acordo com a declaração política conjunta dos Estados-Membros e da Comissão, de 28 de setembro de 2011, sobre os documentos explicativos (14), os Estados-Membros assumiram o compromisso de fazer acompanhar a notificação das suas medidas de transposição, nos casos em que tal se justifique, de um ou mais documentos que expliquem a relação entre os componentes de uma diretiva e as partes correspondentes dos instrumentos nacionais de transposição. Em relação à presente diretiva, o legislador considera que a transmissão desses documentos se justifica,

ADOTARAM A PRESENTE DIRETIVA:

Artigo 1.o

Alteração da Diretiva 2009/65/CE

O artigo 12.o da Diretiva 2009/65/CE é alterado do seguinte modo:

o

| 1) | No n.o 1, segundo parágrafo, a alínea a) passa a ter a seguinte redação:






  «a) | Aplique procedimentos administrativos e contabilísticos sólidos e disponha de mecanismos de controlo e segurança em matéria de tratamento eletrónico de dados, incluindo no que toca a sistemas de rede e informação criados e geridos em conformidade com o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*1), bem como de procedimentos de controlo interno adequados, incluindo, em especial, regras relativas às transações pessoais dos seus empregados ou à detenção ou gestão de investimentos em instrumentos financeiros para investirem por conta própria e que garantam, pelo menos, que cada transação em que o OICVM participe possa ser reconstituída quanto à sua origem, às partes nela envolvidas, à sua natureza e ao momento e local em que foi efetuada, e que os ativos dos OICVM geridos pela sociedade gestora sejam investidos de acordo com o regulamento de gestão do fundo ou com os documentos constitutivos e com a legislação em vigor; |
| --- | --- | --- |

1)

No n.o 1, segundo parágrafo, a alínea a) passa a ter a seguinte redação:

o

«a)

Aplique procedimentos administrativos e contabilísticos sólidos e disponha de mecanismos de controlo e segurança em matéria de tratamento eletrónico de dados, incluindo no que toca a sistemas de rede e informação criados e geridos em conformidade com o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*1), bem como de procedimentos de controlo interno adequados, incluindo, em especial, regras relativas às transações pessoais dos seus empregados ou à detenção ou gestão de investimentos em instrumentos financeiros para investirem por conta própria e que garantam, pelo menos, que cada transação em que o OICVM participe possa ser reconstituída quanto à sua origem, às partes nela envolvidas, à sua natureza e ao momento e local em que foi efetuada, e que os ativos dos OICVM geridos pela sociedade gestora sejam investidos de acordo com o regulamento de gestão do fundo ou com os documentos constitutivos e com a legislação em vigor;

*1

(*1)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;"

*1

o

o

o

o

| 2) | O n.o 3 passa a ter a seguinte redação:

  «3.   Sem prejuízo do disposto no artigo 116.o, a Comissão adota, através de atos delegados nos termos do artigo 112.o-A, medidas destinadas a especificar:






  a) | Os procedimentos e mecanismos referidos no n.o 1, segundo parágrafo, alínea a), com exceção dos procedimentos e mecanismos relativos aos sistemas de rede e informação; |
| --- | --- | --- |

2)

O n.o 3 passa a ter a seguinte redação:

o

«3.   Sem prejuízo do disposto no artigo 116.o, a Comissão adota, através de atos delegados nos termos do artigo 112.o-A, medidas destinadas a especificar:

a)

Os procedimentos e mecanismos referidos no n.o 1, segundo parágrafo, alínea a), com exceção dos procedimentos e mecanismos relativos aos sistemas de rede e informação;

| b) | As estruturas e requisitos organizativos necessários para minimizar os conflitos de interesses referidos no n.o 1, segundo parágrafo, alínea b).». |
| --- | --- |

b)

As estruturas e requisitos organizativos necessários para minimizar os conflitos de interesses referidos no n.o 1, segundo parágrafo, alínea b).».

Artigo 2.o

Alteração da Diretiva 2009/138/CE

A Diretiva 2009/138/CE é alterada do seguinte modo:

| 1) | No artigo 41.o, o n.o 4 passa a ter a seguinte redação:

  «4.   As empresas de seguros e de resseguros devem tomar medidas razoáveis para assegurar a continuidade e a regularidade do exercício das suas atividades, incluindo o desenvolvimento de planos de contingência. Para esse efeito, as empresas empregam sistemas, recursos e procedimentos adequados e proporcionados e, em especial, criam e gerem sistemas de rede e informação em conformidade com o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*2).


  (*2)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;" |
| --- | --- |

1)

No artigo 41.o, o n.o 4 passa a ter a seguinte redação:

o

o

«4.   As empresas de seguros e de resseguros devem tomar medidas razoáveis para assegurar a continuidade e a regularidade do exercício das suas atividades, incluindo o desenvolvimento de planos de contingência. Para esse efeito, as empresas empregam sistemas, recursos e procedimentos adequados e proporcionados e, em especial, criam e gerem sistemas de rede e informação em conformidade com o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*2).

(*2)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;"

*2

o

o

o

o

| 2) | No artigo 50.o, n.o 1, as alíneas a) e b) passam a ter a seguinte redação:






  «a) | Os elementos dos sistemas referidos no artigo 41.o, no artigo 44.o, em particular os domínios enumerados no artigo 44.o, n.o 2, e nos artigos 46.o e 47.o, com exceção dos elementos relativos à gestão do risco associado às tecnologias da informação e da comunicação; |
| --- | --- | --- |

2)

No artigo 50.o, n.o 1, as alíneas a) e b) passam a ter a seguinte redação:

o

o

«a)

Os elementos dos sistemas referidos no artigo 41.o, no artigo 44.o, em particular os domínios enumerados no artigo 44.o, n.o 2, e nos artigos 46.o e 47.o, com exceção dos elementos relativos à gestão do risco associado às tecnologias da informação e da comunicação;

o

o

o

o

o

o

| b) | As funções referidas nos artigos 44.o, 46.o, 47.o e 48.o, com exceção das funções relacionadas com a gestão do risco associado às tecnologias da informação e da comunicação.». |
| --- | --- |

b)

As funções referidas nos artigos 44.o, 46.o, 47.o e 48.o, com exceção das funções relacionadas com a gestão do risco associado às tecnologias da informação e da comunicação.».

o

o

o

o

Artigo 3.o

Alteração da Diretiva 2011/61/UE

O artigo 18.o da Diretiva 2011/61/UE passa a ter a seguinte redação:

o

«Artigo 18.o

Princípios gerais

1.   Os Estados-Membros devem exigir que os GFIAs apliquem, a todo o tempo, os recursos humanos e técnicos adequados e apropriados que sejam necessários para a boa gestão dos FIAs.

Em especial, e tendo também em conta a natureza dos FIAs geridos pelo GFIA, as autoridades competentes do Estado-Membro de origem do GFIA devem exigir que este utilize procedimentos administrativos e contabilísticos sãos e disponha de mecanismos de controlo e segurança em matéria de tratamento eletrónico de dados, incluindo no que respeita aos sistemas de rede e informação criados e geridos em conformidade com o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*3), bem como de procedimentos de controlo interno adequados, incluindo, em especial, regras relativas às transações pessoais dos seus empregados ou à detenção ou gestão de investimentos para investir por conta própria, e que assegurem, pelo menos, que cada transação em que os FIAs participem possa ser reconstituída quanto à sua origem, às partes nela envolvidas, à sua natureza e ao momento e local em que foi efetuada, e que os ativos dos FIAs geridos pelo GFIA sejam investidos de acordo com o regulamento ou os instrumentos constitutivos do FIA e com a legislação em vigor.

2.   A Comissão adota, por meio de atos delegados nos termos do artigo 56.o e nas condições previstas nos artigos 57.o e 58.o, medidas para especificar os procedimentos e mecanismos a que se refere o n.o 1 do presente artigo, com exceção dos procedimentos e mecanismos relativos aos sistemas de rede e informação.

Artigo 4.o

Alteração da Diretiva 2013/36/UE

A Diretiva 2013/36/UE é alterada do seguinte modo:

| 1) | No artigo 65.o, n.o 3, alínea a), a subalínea vi) passa a ter a seguinte redação:






  «vi) | terceiros aos quais as entidades a que se referem as subalíneas i) a iv) tenham subcontratado funções ou atividades, incluindo terceiros prestadores de serviços de TIC referidos no capítulo V do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*4); |
| --- | --- | --- |

1)

No artigo 65.o, n.o 3, alínea a), a subalínea vi) passa a ter a seguinte redação:

o

o

«vi)

terceiros aos quais as entidades a que se referem as subalíneas i) a iv) tenham subcontratado funções ou atividades, incluindo terceiros prestadores de serviços de TIC referidos no capítulo V do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*4);

*4

(*4)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;"

*4

o

o

o

o

| 2) | No artigo 74.o, n.o 1, o primeiro parágrafo passa a ter a seguinte redação:

  «As instituições devem dispor de sistemas de governo sólidos, que incluam uma estrutura organizativa clara, com linhas de responsabilidade bem definidas, transparentes e coerentes, processos eficazes para identificar, gerir, monitorizar e comunicar os riscos a que estão ou podem vir a estar expostas, mecanismos adequados de controlo interno, incluindo procedimentos administrativos e contabilísticos sólidos, sistemas de rede e informação criados e geridos em conformidade com o Regulamento (UE) 2022/2554, e políticas e práticas de remuneração consentâneas com uma gestão sólida e eficaz do risco e que promovam esse tipo de gestão.»; |
| --- | --- |

2)

No artigo 74.o, n.o 1, o primeiro parágrafo passa a ter a seguinte redação:

o

o

«As instituições devem dispor de sistemas de governo sólidos, que incluam uma estrutura organizativa clara, com linhas de responsabilidade bem definidas, transparentes e coerentes, processos eficazes para identificar, gerir, monitorizar e comunicar os riscos a que estão ou podem vir a estar expostas, mecanismos adequados de controlo interno, incluindo procedimentos administrativos e contabilísticos sólidos, sistemas de rede e informação criados e geridos em conformidade com o Regulamento (UE) 2022/2554, e políticas e práticas de remuneração consentâneas com uma gestão sólida e eficaz do risco e que promovam esse tipo de gestão.»;

| 3) | No artigo 85.o, o n.o 2 passa a ter a seguinte redação:

  «2.   As autoridades competentes asseguram que as instituições tenham políticas e planos adequados de contingência e de continuidade das atividades, incluindo políticas e planos de continuidade das atividades no domínio das TIC e planos de resposta e recuperação em matéria de TIC para a tecnologia que utilizam na comunicação de informações, e que esses planos sejam estabelecidos, geridos e testados em conformidade com o artigo 11.o do Regulamento (UE) 2022/2554, a fim de permitir que as instituições continuem a operar na eventualidade de uma perturbação grave da sua atividade de negócio e contenham as perdas incorridas em consequência dessa perturbação.»; |
| --- | --- |

3)

No artigo 85.o, o n.o 2 passa a ter a seguinte redação:

o

o

«2.   As autoridades competentes asseguram que as instituições tenham políticas e planos adequados de contingência e de continuidade das atividades, incluindo políticas e planos de continuidade das atividades no domínio das TIC e planos de resposta e recuperação em matéria de TIC para a tecnologia que utilizam na comunicação de informações, e que esses planos sejam estabelecidos, geridos e testados em conformidade com o artigo 11.o do Regulamento (UE) 2022/2554, a fim de permitir que as instituições continuem a operar na eventualidade de uma perturbação grave da sua atividade de negócio e contenham as perdas incorridas em consequência dessa perturbação.»;

| 4) | Ao artigo 97.o, n.o 1, é aditada a seguinte alínea:






  «d) | Os riscos revelados pelos testes de resiliência operacional digital realizados em conformidade com o capítulo IV do Regulamento (UE) 2022/2554». |
| --- | --- | --- |

4)

Ao artigo 97.o, n.o 1, é aditada a seguinte alínea:

o

o

«d)

Os riscos revelados pelos testes de resiliência operacional digital realizados em conformidade com o capítulo IV do Regulamento (UE) 2022/2554».

Artigo 5.o

Alteração da Diretiva 2014/59/UE

A Diretiva 2014/59/UE é alterada do seguinte modo:

| 1) | O artigo 10.o é alterado do seguinte modo:






  a) | No n.o 7, a alínea c) passa a ter a seguinte redação:






  «c) | Uma demonstração da forma como as funções críticas e as linhas de negócio críticas podem ser jurídica e economicamente separadas, na medida do necessário, de outras funções, a fim de assegurar a continuidade e a resiliência operacional digital em caso de insolvência da instituição;»; |
| --- | --- | --- | --- |

1)

O artigo 10.o é alterado do seguinte modo:

o

a)

No n.o 7, a alínea c) passa a ter a seguinte redação:

o

«c)

Uma demonstração da forma como as funções críticas e as linhas de negócio críticas podem ser jurídica e economicamente separadas, na medida do necessário, de outras funções, a fim de assegurar a continuidade e a resiliência operacional digital em caso de insolvência da instituição;»;

| b) | No n.o 7, a alínea q) passa a ter a seguinte redação:






  «q) | Uma descrição das operações e dos sistemas essenciais para manter os processos operacionais da instituição em funcionamento contínuo, incluindo os sistemas de rede e informação a que se refere o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*5); |
| --- | --- | --- |

b)

No n.o 7, a alínea q) passa a ter a seguinte redação:

o

«q)

Uma descrição das operações e dos sistemas essenciais para manter os processos operacionais da instituição em funcionamento contínuo, incluindo os sistemas de rede e informação a que se refere o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*5);

*5

(*5)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;"

*5

o

o

o

o

| c) | Ao n.o 9, é aditado o seguinte parágrafo:

  «Nos termos do artigo 10.o do Regulamento (UE) n.o 1093/2010, a EBA revê e, se necessário, atualiza as normas técnicas de regulamentação a fim de ter em conta, nomeadamente, as disposições do capítulo II do Regulamento (UE) 2022/2554.»; |
| --- | --- |

c)

Ao n.o 9, é aditado o seguinte parágrafo:

o

«Nos termos do artigo 10.o do Regulamento (UE) n.o 1093/2010, a EBA revê e, se necessário, atualiza as normas técnicas de regulamentação a fim de ter em conta, nomeadamente, as disposições do capítulo II do Regulamento (UE) 2022/2554.»;

o

o

| 2) | O anexo é alterado do seguinte modo:






  a) | Na secção A, o ponto 16 passa a ter a seguinte redação:






  «16) | Mecanismos e medidas necessários para manter o funcionamento continuado dos processos operacionais da instituição, incluindo os sistemas de rede e informação criados e geridos em conformidade com o Regulamento (UE) 2022/2554;»; |
| --- | --- | --- | --- |

2)

O anexo é alterado do seguinte modo:

a)

Na secção A, o ponto 16 passa a ter a seguinte redação:

«16)

Mecanismos e medidas necessários para manter o funcionamento continuado dos processos operacionais da instituição, incluindo os sistemas de rede e informação criados e geridos em conformidade com o Regulamento (UE) 2022/2554;»;

| b) | A secção B é alterada do seguinte modo:






  i) | o ponto 14 passa a ter a seguinte redação:






  «14) | Identificação dos proprietários dos sistemas identificados no ponto 13, acordos de nível de serviço associados e programas, sistemas ou licenças informáticos, incluindo uma discriminação das respetivas entidades jurídicas, das operações críticas e das linhas de negócio críticas, bem como uma identificação dos terceiros prestadores de serviços de TIC críticos, tal como definido no artigo 3.o, ponto 23, do Regulamento (UE) 2022/2554;», |
| --- | --- | --- | --- |

b)

A secção B é alterada do seguinte modo:

i)

o ponto 14 passa a ter a seguinte redação:

«14)

Identificação dos proprietários dos sistemas identificados no ponto 13, acordos de nível de serviço associados e programas, sistemas ou licenças informáticos, incluindo uma discriminação das respetivas entidades jurídicas, das operações críticas e das linhas de negócio críticas, bem como uma identificação dos terceiros prestadores de serviços de TIC críticos, tal como definido no artigo 3.o, ponto 23, do Regulamento (UE) 2022/2554;»,

o

| ii) | é inserido o seguinte ponto:






  «14-A) | Resultados dos testes de resiliência operacional digital das instituições realizados ao abrigo do Regulamento (UE) 2022/2554;»; |
| --- | --- | --- |

ii)

é inserido o seguinte ponto:

«14-A)

Resultados dos testes de resiliência operacional digital das instituições realizados ao abrigo do Regulamento (UE) 2022/2554;»;

| c) | A secção C é alterada do seguinte modo:






  i) | o ponto 4 passa a ter a seguinte redação:






  «4) | Em que medida será possível garantir a solidez e o cabal cumprimento dos acordos de serviço, incluindo acordos contratuais relativos à utilização de serviços de TIC, mantidos pela instituição em caso de resolução da mesma.», |
| --- | --- | --- | --- |

c)

A secção C é alterada do seguinte modo:

i)

o ponto 4 passa a ter a seguinte redação:

«4)

Em que medida será possível garantir a solidez e o cabal cumprimento dos acordos de serviço, incluindo acordos contratuais relativos à utilização de serviços de TIC, mantidos pela instituição em caso de resolução da mesma.»,

| ii) | é inserido o seguinte ponto:






  «4-A) | A resiliência operacional digital dos sistemas de rede e informação que apoiam as funções críticas e as linhas de negócio críticas da instituição, tendo em conta a notificação de incidentes de caráter severo relacionados com as TIC e os resultados dos testes de resiliência operacional digital realizados ao abrigo do Regulamento (UE) 2022/2554». |
| --- | --- | --- |

ii)

é inserido o seguinte ponto:

«4-A)

A resiliência operacional digital dos sistemas de rede e informação que apoiam as funções críticas e as linhas de negócio críticas da instituição, tendo em conta a notificação de incidentes de caráter severo relacionados com as TIC e os resultados dos testes de resiliência operacional digital realizados ao abrigo do Regulamento (UE) 2022/2554».

Artigo 6.o

Alteração da Diretiva 2014/65/UE

A Diretiva 2014/65/UE é alterada do seguinte modo:

| 1) | O artigo 16.o é alterado do seguinte modo:






  a) | O n.o 4 passa a ter a seguinte redação:

  «4.   As empresas de investimento tomam medidas razoáveis para assegurar a continuidade e a regularidade da execução dos serviços e atividades de investimento. Para esse efeito, as empresas de investimento empregam sistemas adequados e proporcionados, incluindo sistemas de tecnologias da informação e comunicação (TIC) criados e geridos em conformidade com o artigo 7.o do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*6), bem como recursos e procedimentos adequados e proporcionados.


  (*6)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;" |
| --- | --- | --- |

1)

O artigo 16.o é alterado do seguinte modo:

o

a)

O n.o 4 passa a ter a seguinte redação:

o

«4.   As empresas de investimento tomam medidas razoáveis para assegurar a continuidade e a regularidade da execução dos serviços e atividades de investimento. Para esse efeito, as empresas de investimento empregam sistemas adequados e proporcionados, incluindo sistemas de tecnologias da informação e comunicação (TIC) criados e geridos em conformidade com o artigo 7.o do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*6), bem como recursos e procedimentos adequados e proporcionados.

(*6)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»;"

*6

o

o

o

o

| b) | No n.o 5, os parágrafos segundo e terceiro passam a ter a seguinte redação:

  «As empresas de investimento devem dispor de uma sólida organização administrativa e contabilística, mecanismos de controlo interno e procedimentos eficazes para a avaliação de riscos.
  Sem prejuízo da capacidade das autoridades competentes para exigir o acesso às comunicações, nos termos da presente diretiva e do Regulamento (UE) n.o 600/2014, as empresas de investimento devem aplicar mecanismos de segurança sólidos para garantir, de acordo com os requisitos definidos no Regulamento (UE) 2022/2554, a segurança e a autenticação dos meios de transferência das informações, para minimizar o risco de corrupção de dados e de acesso não autorizado e para evitar fugas de informação, assim mantendo a confidencialidade dos dados em todos os momentos.»; |
| --- | --- |

b)

No n.o 5, os parágrafos segundo e terceiro passam a ter a seguinte redação:

o

«As empresas de investimento devem dispor de uma sólida organização administrativa e contabilística, mecanismos de controlo interno e procedimentos eficazes para a avaliação de riscos.

Sem prejuízo da capacidade das autoridades competentes para exigir o acesso às comunicações, nos termos da presente diretiva e do Regulamento (UE) n.o 600/2014, as empresas de investimento devem aplicar mecanismos de segurança sólidos para garantir, de acordo com os requisitos definidos no Regulamento (UE) 2022/2554, a segurança e a autenticação dos meios de transferência das informações, para minimizar o risco de corrupção de dados e de acesso não autorizado e para evitar fugas de informação, assim mantendo a confidencialidade dos dados em todos os momentos.»;

o

| 2) | O artigo 17.o é alterado do seguinte modo:






  a) | O n.o 1 passa a ter a seguinte redação:

  «1.   Uma empresa de investimento que desenvolva negociação algorítmica dispõe de sistemas e controlos de risco eficazes e adequados às atividades que desenvolve para assegurar que os seus sistemas de negociação sejam resilientes e tenham capacidade suficiente, em conformidade com os requisitos definidos no capítulo II do Regulamento (UE) 2022/2554, estão sujeitos a limiares e limites de negociação adequados e impedem o envio de ordens erradas ou impedem o sistema de funcionar de modo que possa criar ou contribuir para uma perturbação do mercado.
  Essa empresa dispõe também de sistemas e controlos de risco eficazes, a fim de assegurar que os sistemas de negociação não possam ser utilizados para qualquer objetivo contrário ao disposto no Regulamento (UE) n.o 596/2014 ou às regras de uma plataforma de negociação a que esteja ligada.
  A empresa de investimento dispõe ainda de mecanismos de continuidade das atividades eficazes para fazer face a qualquer falha dos seus sistemas de negociação, incluindo uma política e planos de continuidade das atividades no domínio das TIC e planos de resposta e recuperação em matéria de TIC estabelecidos em conformidade com o artigo 11.o do Regulamento (UE) 2022/2554, e assegura que os seus sistemas estão plenamente testados e são devidamente acompanhados, por forma a garantir que satisfazem os requisitos gerais constantes do presente número e quaisquer requisitos específicos definidos nos capítulos II e IV do Regulamento (UE) 2022/2554.»; |
| --- | --- | --- |

2)

O artigo 17.o é alterado do seguinte modo:

o

a)

O n.o 1 passa a ter a seguinte redação:

o

«1.   Uma empresa de investimento que desenvolva negociação algorítmica dispõe de sistemas e controlos de risco eficazes e adequados às atividades que desenvolve para assegurar que os seus sistemas de negociação sejam resilientes e tenham capacidade suficiente, em conformidade com os requisitos definidos no capítulo II do Regulamento (UE) 2022/2554, estão sujeitos a limiares e limites de negociação adequados e impedem o envio de ordens erradas ou impedem o sistema de funcionar de modo que possa criar ou contribuir para uma perturbação do mercado.

Essa empresa dispõe também de sistemas e controlos de risco eficazes, a fim de assegurar que os sistemas de negociação não possam ser utilizados para qualquer objetivo contrário ao disposto no Regulamento (UE) n.o 596/2014 ou às regras de uma plataforma de negociação a que esteja ligada.

A empresa de investimento dispõe ainda de mecanismos de continuidade das atividades eficazes para fazer face a qualquer falha dos seus sistemas de negociação, incluindo uma política e planos de continuidade das atividades no domínio das TIC e planos de resposta e recuperação em matéria de TIC estabelecidos em conformidade com o artigo 11.o do Regulamento (UE) 2022/2554, e assegura que os seus sistemas estão plenamente testados e são devidamente acompanhados, por forma a garantir que satisfazem os requisitos gerais constantes do presente número e quaisquer requisitos específicos definidos nos capítulos II e IV do Regulamento (UE) 2022/2554.»;

| b) | No n.o 7, a alínea a) passa a ter a seguinte redação:






  «a) | Os requisitos pormenorizados em matéria de organização estabelecidos nos n.os 1 a 6 – com exceção dos relacionados com a gestão do risco associado às TIC – que devem ser impostos às empresas de investimento que prestam diferentes serviços de investimento, atividades de investimento e serviços auxiliares ou combinações desses serviços, pelo que as especificações relativas aos requisitos em matéria de organização estabelecidos no n.o 5 definem os requisitos específicos para o acesso direto ao mercado e para o acesso patrocinado, de modo a assegurar que os controlos aplicados ao acesso patrocinado sejam, pelo menos, equivalentes aos aplicados ao acesso direto ao mercado;»; |
| --- | --- | --- |

b)

No n.o 7, a alínea a) passa a ter a seguinte redação:

o

«a)

Os requisitos pormenorizados em matéria de organização estabelecidos nos n.os 1 a 6 – com exceção dos relacionados com a gestão do risco associado às TIC – que devem ser impostos às empresas de investimento que prestam diferentes serviços de investimento, atividades de investimento e serviços auxiliares ou combinações desses serviços, pelo que as especificações relativas aos requisitos em matéria de organização estabelecidos no n.o 5 definem os requisitos específicos para o acesso direto ao mercado e para o acesso patrocinado, de modo a assegurar que os controlos aplicados ao acesso patrocinado sejam, pelo menos, equivalentes aos aplicados ao acesso direto ao mercado;»;

o

o

| 3) | No artigo 47.o, o n.o 1 é alterado do seguinte modo:






  a) | A alínea b) passa a ter a seguinte redação:






  «b) | Esteja dotado dos meios necessários para gerir os riscos a que está exposto, inclusive para gerir o risco associado às TIC de acordo com o capítulo II do Regulamento (UE) 2022/2554, para implementar mecanismos e sistemas adequados para identificar os riscos significativos para o seu funcionamento, bem como para instituir medidas eficazes para mitigar estes riscos;»; |
| --- | --- | --- | --- |

3)

No artigo 47.o, o n.o 1 é alterado do seguinte modo:

o

o

a)

A alínea b) passa a ter a seguinte redação:

«b)

Esteja dotado dos meios necessários para gerir os riscos a que está exposto, inclusive para gerir o risco associado às TIC de acordo com o capítulo II do Regulamento (UE) 2022/2554, para implementar mecanismos e sistemas adequados para identificar os riscos significativos para o seu funcionamento, bem como para instituir medidas eficazes para mitigar estes riscos;»;

| b) | É suprimida a alínea c); |
| --- | --- |

b)

É suprimida a alínea c);

| 4) | O artigo 48.o é alterado do seguinte modo:






  a) | O n.o 1 passa a ter a seguinte redação:

  «1.   Os Estados-Membros exigem que os mercados regulamentados criem e mantenham a sua resiliência operacional em conformidade com os requisitos estabelecidos no capítulo II do Regulamento (UE) 2022/2554 para garantir que os seus sistemas de negociação são resilientes, têm capacidade suficiente para lidarem com picos de ordens e grandes volumes de mensagens, são capazes de assegurar a negociação ordenada em condições de forte tensão no mercado, estão plenamente testados para garantir o cumprimento dessas condições e são regidos por mecanismos de continuidade das atividades eficazes, incluindo uma política e planos de continuidade das atividades no domínio das TIC e planos de resposta e recuperação em matéria de TIC estabelecidos em conformidade com o artigo 11.o do Regulamento (UE) 2022/2554, que asseguram a manutenção dos seus serviços, caso se verifique uma falha dos seus sistemas de negociação.»; |
| --- | --- | --- |

4)

O artigo 48.o é alterado do seguinte modo:

o

a)

O n.o 1 passa a ter a seguinte redação:

o

«1.   Os Estados-Membros exigem que os mercados regulamentados criem e mantenham a sua resiliência operacional em conformidade com os requisitos estabelecidos no capítulo II do Regulamento (UE) 2022/2554 para garantir que os seus sistemas de negociação são resilientes, têm capacidade suficiente para lidarem com picos de ordens e grandes volumes de mensagens, são capazes de assegurar a negociação ordenada em condições de forte tensão no mercado, estão plenamente testados para garantir o cumprimento dessas condições e são regidos por mecanismos de continuidade das atividades eficazes, incluindo uma política e planos de continuidade das atividades no domínio das TIC e planos de resposta e recuperação em matéria de TIC estabelecidos em conformidade com o artigo 11.o do Regulamento (UE) 2022/2554, que asseguram a manutenção dos seus serviços, caso se verifique uma falha dos seus sistemas de negociação.»;

| b) | O n.o 6 passa a ter a seguinte redação:

  «6.   Os Estados-Membros exigem que os mercados regulamentados disponham de sistemas, procedimentos e mecanismos eficazes, incluindo a exigência de que os membros ou participantes realizem os testes apropriados aos algoritmos e proporcionem a criação de ambientes que facilitem a realização de tais testes, de acordo com os requisitos estabelecidos nos capítulos II e IV do Regulamento (UE) 2022/2554, para assegurar que os sistemas de negociação algorítmica não criam nem contribuem para a perturbação da negociação no mercado e para gerir quaisquer perturbações que afetem a negociação decorrentes desses sistemas de negociação algorítmica, incluindo sistemas que limitem o rácio de ordens não executadas face às transações que podem ser introduzidas no sistema por um membro ou participante, a fim de poder abrandar o fluxo de ordens, se se verificar o risco de ser atingida a capacidade máxima do sistema, e de limitar e fazer cumprir a variação mínima da oferta de preços (tick) que pode ser executada no mercado.»; |
| --- | --- |

b)

O n.o 6 passa a ter a seguinte redação:

o

«6.   Os Estados-Membros exigem que os mercados regulamentados disponham de sistemas, procedimentos e mecanismos eficazes, incluindo a exigência de que os membros ou participantes realizem os testes apropriados aos algoritmos e proporcionem a criação de ambientes que facilitem a realização de tais testes, de acordo com os requisitos estabelecidos nos capítulos II e IV do Regulamento (UE) 2022/2554, para assegurar que os sistemas de negociação algorítmica não criam nem contribuem para a perturbação da negociação no mercado e para gerir quaisquer perturbações que afetem a negociação decorrentes desses sistemas de negociação algorítmica, incluindo sistemas que limitem o rácio de ordens não executadas face às transações que podem ser introduzidas no sistema por um membro ou participante, a fim de poder abrandar o fluxo de ordens, se se verificar o risco de ser atingida a capacidade máxima do sistema, e de limitar e fazer cumprir a variação mínima da oferta de preços (tick) que pode ser executada no mercado.»;

| c) | O n.o 12 é alterado do seguinte modo:






  i) | a alínea a) passa a ter a seguinte redação:






  «a) | Os requisitos para assegurar que os sistemas de negociação dos mercados regulamentados sejam resilientes e tenham a capacidade adequada, com exceção dos requisitos relacionados com a resiliência operacional digital;», |
| --- | --- | --- | --- |

c)

O n.o 12 é alterado do seguinte modo:

o

i)

a alínea a) passa a ter a seguinte redação:

«a)

Os requisitos para assegurar que os sistemas de negociação dos mercados regulamentados sejam resilientes e tenham a capacidade adequada, com exceção dos requisitos relacionados com a resiliência operacional digital;»,

| ii) | a alínea g) passa a ter a seguinte redação:






  «g) | Os requisitos para garantir a realização de testes apropriados aos algoritmos, com exceção dos testes de resiliência operacional digital, a fim de assegurar que os sistemas de negociação algorítmica, incluindo os sistemas de negociação algorítmica de alta frequência, não sejam passíveis de criar ou de contribuir para perturbações do processo de negociação no mercado.». |
| --- | --- | --- |

ii)

a alínea g) passa a ter a seguinte redação:

«g)

Os requisitos para garantir a realização de testes apropriados aos algoritmos, com exceção dos testes de resiliência operacional digital, a fim de assegurar que os sistemas de negociação algorítmica, incluindo os sistemas de negociação algorítmica de alta frequência, não sejam passíveis de criar ou de contribuir para perturbações do processo de negociação no mercado.».

Artigo 7.o

Alteração da Diretiva (UE) 2015/2366

A Diretiva (UE) 2015/2366 é alterada do seguinte modo:

| 1) | No artigo 3.o, a alínea j) passa a ter a seguinte redação:






  «j) | Aos serviços prestados por prestadores de serviços técnicos, que apoiam a prestação de serviços de pagamento sem nunca entrarem na posse dos fundos a transferir, incluindo o processamento e o armazenamento de dados, os serviços de proteção da confiança e da privacidade, a autenticação de dados e entidades, o fornecimento de tecnologias da informação e comunicação (TIC) e de redes de comunicação, e o fornecimento e manutenção de terminais e dispositivos utilizados para serviços de pagamento, com exceção dos serviços de iniciação de pagamentos e dos serviços de informação sobre contas;»; |
| --- | --- | --- |

1)

No artigo 3.o, a alínea j) passa a ter a seguinte redação:

o

«j)

Aos serviços prestados por prestadores de serviços técnicos, que apoiam a prestação de serviços de pagamento sem nunca entrarem na posse dos fundos a transferir, incluindo o processamento e o armazenamento de dados, os serviços de proteção da confiança e da privacidade, a autenticação de dados e entidades, o fornecimento de tecnologias da informação e comunicação (TIC) e de redes de comunicação, e o fornecimento e manutenção de terminais e dispositivos utilizados para serviços de pagamento, com exceção dos serviços de iniciação de pagamentos e dos serviços de informação sobre contas;»;

| 2) | O artigo 5.o, n.o 1, é alterado do seguinte modo:






  a) | O primeiro parágrafo é alterado do seguinte modo:






  i) | a alínea e) passa a ter a seguinte redação:






  «e) | Uma descrição dos seus sistemas de governo e dos seus mecanismos de controlo interno, designadamente os procedimentos administrativos, de gestão de riscos e contabilísticos, bem como dos seus acordos relativos à utilização de serviços de TIC nos termos do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*7), que demonstre que esses sistemas de governo e mecanismos de controlo interno são proporcionados, adequados, sólidos e suficientes; |
| --- | --- | --- | --- | --- |

2)

O artigo 5.o, n.o 1, é alterado do seguinte modo:

o

o

a)

O primeiro parágrafo é alterado do seguinte modo:

i)

a alínea e) passa a ter a seguinte redação:

«e)

Uma descrição dos seus sistemas de governo e dos seus mecanismos de controlo interno, designadamente os procedimentos administrativos, de gestão de riscos e contabilísticos, bem como dos seus acordos relativos à utilização de serviços de TIC nos termos do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*7), que demonstre que esses sistemas de governo e mecanismos de controlo interno são proporcionados, adequados, sólidos e suficientes;

*7

(*7)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1).»,"

*7

o

o

o

o

| ii) | a alínea f) passa a ter a seguinte redação:






  «f) | Uma descrição do procedimento criado para verificar, tratar e acompanhar incidentes de segurança e reclamações dos clientes relacionadas com a segurança, incluindo um mecanismo de comunicação de incidentes que tenha em conta as obrigações de notificação da instituição de pagamento previstas no capítulo III do Regulamento (UE) 2022/2554;», |
| --- | --- | --- |

ii)

a alínea f) passa a ter a seguinte redação:

«f)

Uma descrição do procedimento criado para verificar, tratar e acompanhar incidentes de segurança e reclamações dos clientes relacionadas com a segurança, incluindo um mecanismo de comunicação de incidentes que tenha em conta as obrigações de notificação da instituição de pagamento previstas no capítulo III do Regulamento (UE) 2022/2554;»,

| iii) | a alínea h) passa a ter a seguinte redação:






  «h) | Uma descrição dos mecanismos de continuidade das atividades, incluindo uma identificação clara das operações críticas, uma política e planos de continuidade das atividades no domínio das TIC e planos de resposta e recuperação em matéria de TIC eficazes, bem como um procedimento para testar regularmente esses planos, avaliando a sua adequação e eficácia, em conformidade com o Regulamento (UE) 2022/2554;»; |
| --- | --- | --- |

iii)

a alínea h) passa a ter a seguinte redação:

«h)

Uma descrição dos mecanismos de continuidade das atividades, incluindo uma identificação clara das operações críticas, uma política e planos de continuidade das atividades no domínio das TIC e planos de resposta e recuperação em matéria de TIC eficazes, bem como um procedimento para testar regularmente esses planos, avaliando a sua adequação e eficácia, em conformidade com o Regulamento (UE) 2022/2554;»;

| b) | O terceiro parágrafo passa a ter a seguinte redação:

  «A descrição das medidas de controlo da segurança e de redução dos riscos a que se refere o primeiro parágrafo, alínea j), indica a forma como essas medidas garantem um elevado nível de resiliência operacional digital, em conformidade com o capítulo II do Regulamento (UE) 2022/2554, em particular em relação à segurança técnica e à proteção de dados, inclusive a nível do software e dos sistemas de TIC utilizados pelas instituições requerentes ou pelas empresas a que essas instituições externalizem a totalidade ou parte das suas operações. Essas medidas incluem igualmente as medidas de segurança previstas no artigo 95.o, n.o 1, da presente diretiva. Essas medidas têm em conta as orientações da EBA sobre medidas de segurança a que se refere o artigo 95.o, n.o 3, da presente diretiva, uma vez elaboradas.»; |
| --- | --- |

b)

O terceiro parágrafo passa a ter a seguinte redação:

«A descrição das medidas de controlo da segurança e de redução dos riscos a que se refere o primeiro parágrafo, alínea j), indica a forma como essas medidas garantem um elevado nível de resiliência operacional digital, em conformidade com o capítulo II do Regulamento (UE) 2022/2554, em particular em relação à segurança técnica e à proteção de dados, inclusive a nível do software e dos sistemas de TIC utilizados pelas instituições requerentes ou pelas empresas a que essas instituições externalizem a totalidade ou parte das suas operações. Essas medidas incluem igualmente as medidas de segurança previstas no artigo 95.o, n.o 1, da presente diretiva. Essas medidas têm em conta as orientações da EBA sobre medidas de segurança a que se refere o artigo 95.o, n.o 3, da presente diretiva, uma vez elaboradas.»;

o

o

o

o

| 3) | No artigo 19.o, n.o 6, o segundo parágrafo passa a ter a seguinte redação:

  «A externalização de funções operacionais importantes, incluindo sistemas de TIC, não pode ser efetuada de um modo que prejudique significativamente a qualidade do controlo interno da instituição de pagamento nem a capacidade das autoridades competentes para verificarem e reconstituírem o cumprimento, por parte da instituição de pagamento, de todas as obrigações previstas na presente diretiva.»; |
| --- | --- |

3)

No artigo 19.o, n.o 6, o segundo parágrafo passa a ter a seguinte redação:

o

o

«A externalização de funções operacionais importantes, incluindo sistemas de TIC, não pode ser efetuada de um modo que prejudique significativamente a qualidade do controlo interno da instituição de pagamento nem a capacidade das autoridades competentes para verificarem e reconstituírem o cumprimento, por parte da instituição de pagamento, de todas as obrigações previstas na presente diretiva.»;

| 4) | Ao artigo 95.o, n.o 1, é aditado o seguinte parágrafo:

  «O primeiro parágrafo não prejudica a aplicação do capítulo II do Regulamento (UE) 2022/2554:






  a) | Aos prestadores de serviços de pagamento a que se refere o artigo 1.o, n.o 1, alíneas a), b) e d), da presente diretiva; |
| --- | --- | --- |

4)

Ao artigo 95.o, n.o 1, é aditado o seguinte parágrafo:

o

o

«O primeiro parágrafo não prejudica a aplicação do capítulo II do Regulamento (UE) 2022/2554:

a)

Aos prestadores de serviços de pagamento a que se refere o artigo 1.o, n.o 1, alíneas a), b) e d), da presente diretiva;

o

o

| b) | Aos prestadores de serviços de informação sobre contas a que se refere o artigo 33.o, n.o 1, da presente diretiva; |
| --- | --- |

b)

Aos prestadores de serviços de informação sobre contas a que se refere o artigo 33.o, n.o 1, da presente diretiva;

o

o

| c) | Às instituições de pagamento isentas nos termos do artigo 32.o, n.o 1, da presente diretiva; nem |
| --- | --- |

c)

Às instituições de pagamento isentas nos termos do artigo 32.o, n.o 1, da presente diretiva; nem

o

o

| d) | Às instituições de moeda eletrónica que beneficiem de uma isenção nos termos do artigo 9.o, n.o 1, da Diretiva 2009/110/CE.»; |
| --- | --- |

d)

Às instituições de moeda eletrónica que beneficiem de uma isenção nos termos do artigo 9.o, n.o 1, da Diretiva 2009/110/CE.»;

o

o

| 5) | Ao artigo 96.o é aditado o seguinte número:

  «7.   Os Estados-Membros asseguram que os n.os 1 a 5 do presente artigo não se aplicam:






  a) | Aos prestadores de serviços de pagamento a que se refere o artigo 1.o, n.o 1, alíneas a), b) e d), da presente diretiva; |
| --- | --- | --- |

5)

Ao artigo 96.o é aditado o seguinte número:

o

«7.   Os Estados-Membros asseguram que os n.os 1 a 5 do presente artigo não se aplicam:

a)

Aos prestadores de serviços de pagamento a que se refere o artigo 1.o, n.o 1, alíneas a), b) e d), da presente diretiva;

| b) | Aos prestadores de serviços de informação referidos no artigo 33.o, n.o 1 da presente diretiva; |
| --- | --- |

b)

Aos prestadores de serviços de informação referidos no artigo 33.o, n.o 1 da presente diretiva;

| c) | Às instituições de pagamento isentas nos termos do artigo 32.o, n.o 1 da presente diretiva; nem |
| --- | --- |

c)

Às instituições de pagamento isentas nos termos do artigo 32.o, n.o 1 da presente diretiva; nem

| d) | Às instituições de moeda eletrónica que beneficiem de uma isenção nos termos do artigo 9.o, n.o 1, da Diretiva 2009/110/CE.»; |
| --- | --- |

d)

Às instituições de moeda eletrónica que beneficiem de uma isenção nos termos do artigo 9.o, n.o 1, da Diretiva 2009/110/CE.»;

| 6) | No artigo 98.o, o n.o 5 passa a ter a seguinte redação:

  «5.   Nos termos do artigo 10.o do Regulamento (UE) n.o 1093/2010, a EBA revê e, se necessário, atualiza periodicamente as normas técnicas de regulamentação a fim de ter em conta, nomeadamente, a inovação e a evolução tecnológica, bem como as disposições do capítulo II do Regulamento (UE) 2022/2554». |
| --- | --- |

6)

No artigo 98.o, o n.o 5 passa a ter a seguinte redação:

o

o

«5.   Nos termos do artigo 10.o do Regulamento (UE) n.o 1093/2010, a EBA revê e, se necessário, atualiza periodicamente as normas técnicas de regulamentação a fim de ter em conta, nomeadamente, a inovação e a evolução tecnológica, bem como as disposições do capítulo II do Regulamento (UE) 2022/2554».

Artigo 8.o

Alteração da Diretiva (UE) 2016/2341

O artigo 21.o, n.o 5, da Diretiva (UE) 2016/2341, passa a ter a seguinte redação:

o

o

«5.   Os Estados-Membros asseguram que as IRPPP tomem medidas razoáveis para assegurar a continuidade e a regularidade do exercício das suas atividades, incluindo a elaboração de planos de contingência. Para esse efeito, as IRPPP devem utilizar sistemas, recursos e procedimentos adequados e proporcionados, e devem, em especial, criar e gerir sistemas de rede e informação em conformidade com o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (*8), quando aplicável.

Artigo 9.o

Transposição

1.   Os Estados-Membros adotam e publicam até 17 de janeiro de 2025, as disposições necessárias para dar cumprimento à presente diretiva. Do facto informam imediatamente a Comissão.

Os Estados-Membros aplicam essas disposições a partir de 17 de janeiro de 2025.

As disposições adotadas pelos Estados-Membros fazem referência à presente diretiva ou são acompanhadas dessa referência aquando da sua publicação oficial. Os Estados-Membros estabelecem o modo como é feita a referência.

2.   Os Estados-Membros comunicam à Comissão o texto das principais disposições de direito interno que adotarem no domínio regulado pela presente diretiva.

Artigo 10.o

Entrada em vigor

A presente diretiva entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Jornal Oficial da União Europeia

Artigo 11.o

Destinatários

Os destinatários da presente diretiva são os Estados-Membros.

Feito em Estrasburgo, em 14 de dezembro de 2022.

Pelo Parlamento Europeu

A Presidente

R. METSOLA

Pelo Conselho

O Presidente

M. BEK

---

(1)  
  JO C 343 de 26.8.2021, p. 1.

1

(2)  
  JO C 155 de 30.4.2021, p. 38.

2

(3)  Posição do Parlamento Europeu de 10 de novembro de 2022 (ainda não publicada no Jornal Oficial) e decisão do Conselho de 28 de novembro de 2022.

3

(4)  Diretiva 2009/65/CE do Parlamento Europeu e do Conselho, de 13 de julho de 2009, que coordena as disposições legislativas, regulamentares e administrativas respeitantes a alguns organismos de investimento coletivo em valores mobiliários (OICVM) (JO L 302 de 17.11.2009, p. 32).

4

(5)  Diretiva 2009/138/CE do Parlamento Europeu e do Conselho, de 25 de novembro de 2009, relativa ao acesso à atividade de seguros e resseguros e ao seu exercício (Solvência II) (JO L 335 de 17.12.2009, p. 1).

5

(6)  Diretiva 2011/61/UE do Parlamento Europeu e do Conselho, de 8 de junho de 2011, relativa aos gestores de fundos de investimento alternativos e que altera as Diretivas 2003/41/CE e 2009/65/CE e os Regulamentos (CE) n.o 1060/2009 e (UE) n.o 1095/2010 (JO L 174 de 1.7.2011, p. 1).

6

o

o

(7)  Diretiva 2013/36/UE do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativa ao acesso à atividade das instituições de crédito e à supervisão prudencial das instituições de crédito, que altera a Diretiva 2002/87/CE e revoga as Diretivas 2006/48/CE e 2006/49/CE (JO L 176 de 27.6.2013, p. 338).

7

(8)  Diretiva 2014/59/UE do Parlamento Europeu e do Conselho, de 15 de maio de 2014, que estabelece um enquadramento para a recuperação e a resolução de instituições de crédito e de empresas de investimento e que altera a Diretiva 82/891/CEE do Conselho, e as Diretivas 2001/24/CE, 2002/47/CE, 2004/25/CE, 2005/56/CE, 2007/36/CE, 2011/35/UE, 2012/30/UE e 2013/36/UE e os Regulamentos (UE) n.o 1093/2010 e (UE) n.o 648/2012 do Parlamento Europeu e do Conselho (JO L 173 de 12.6.2014, p. 190).

8

o

o

(9)  Diretiva 2014/65/UE do Parlamento Europeu e do Conselho, de 15 de maio de 2014, relativa aos mercados de instrumentos financeiros e que altera a Diretiva 2002/92/CE e a Diretiva 2011/61/UE (JO L 173 de 12.6.2014, p. 349).

9

(10)  Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho, de 25 de novembro de 2015, relativa aos serviços de pagamento no mercado interno, que altera as Diretivas 2002/65/CE, 2009/110/CE e 2013/36/UE e o Regulamento (UE) n.o 1093/2010, e que revoga a Diretiva 2007/64/CE (JO L 337 de 23.12.2015, p. 35).

10

o

(11)  Diretiva (UE) 2016/2341 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2016, relativa às atividades e à supervisão das instituições de realização de planos de pensões profissionais (IRPPP) (JO L 354 de 23.12.2016, p. 37).

11

(12)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (ver página 1 do presente Jornal Oficial).

12

o

o

o

o

(13)  Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho, de 24 de novembro de 2010, que cria uma Autoridade Europeia de Supervisão (Autoridade Bancária Europeia), altera a Decisão n.o 716/2009/CE e revoga a Decisão 2009/78/CE da Comissão (JO L 331 de 15.12.2010, p. 12).

13

o

o

(14)  
  JO C 369 de 17.12.2011, p. 14.

14

---

| 27.12.2022 | PT | Jornal Oficial da União Europeia | L 333/164 |
| --- | --- | --- | --- |

27.12.2022

PT

Jornal Oficial da União Europeia

L 333/164

---

DIRETIVA (UE) 2022/2557 DO PARLAMENTO EUROPEU E DO CONSELHO

de 14 de dezembro de 2022

relativa à resiliência das entidades críticas e que revoga a Diretiva 2008/114/CE do Conselho

(Texto relevante para efeitos do EEE)

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.o,

Tendo em conta a proposta da Comissão Europeia,

Após transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer do Comité Económico e Social Europeu (1),

Tendo em conta o parecer do Comité das Regiões (2),

Deliberando de acordo com o processo legislativo ordinário (3),

Considerando o seguinte:

| (1) | As entidades críticas, enquanto prestadoras de serviços essenciais, desempenham um papel indispensável na manutenção de funções societais ou atividades económicas vitais no mercado interno, numa economia cada vez mais interdependente como a da União. Por conseguinte, é essencial estabelecer um quadro da União destinado a reforçar a resiliência das entidades críticas no mercado interno, estabelecendo regras mínimas harmonizadas, e a prestar-lhes assistência através de medidas coerentes e específicas de apoio e de supervisão. |
| --- | --- |

(1)

As entidades críticas, enquanto prestadoras de serviços essenciais, desempenham um papel indispensável na manutenção de funções societais ou atividades económicas vitais no mercado interno, numa economia cada vez mais interdependente como a da União. Por conseguinte, é essencial estabelecer um quadro da União destinado a reforçar a resiliência das entidades críticas no mercado interno, estabelecendo regras mínimas harmonizadas, e a prestar-lhes assistência através de medidas coerentes e específicas de apoio e de supervisão.

| (2) | A Diretiva 2008/114/CE do Conselho (4) prevê um procedimento de designação de infraestruturas críticas europeias nos setores da energia e dos transportes cuja perturbação ou destruição teria um impacto transfronteiriço significativo em pelo menos dois Estados Membros. Essa diretiva centra-se exclusivamente na proteção de tais infraestruturas. No entanto, a avaliação da Diretiva 2008/114/CE realizada em 2019 concluiu que, devido à natureza cada vez mais interligada e transfronteiriça das operações que utilizam infraestruturas críticas, as medidas de proteção relativas apenas a ativos individuais são insuficientes para evitar a ocorrência de todas as perturbações. Por conseguinte, é necessário alterar a abordagem no sentido de assegurar que se atende melhor aos riscos, que as funções e as obrigações das entidades críticas enquanto prestadoras de serviços essenciais ao funcionamento do mercado interno sejam mais bem definidas e coerentes e que sejam adotadas regras da União, a fim de reforçar a resiliência das entidades críticas. As entidades críticas deverão estar em condições de poder reforçar a sua capacidade para prevenir incidentes com potencial para perturbar a prestação de serviços essenciais, para se protegerem desses incidentes, lhes dar resposta, lhes resistirem, os atenuarem, os absorverem, se adaptarem a eles e recuperarem deles. |
| --- | --- |

(2)

A Diretiva 2008/114/CE do Conselho (4) prevê um procedimento de designação de infraestruturas críticas europeias nos setores da energia e dos transportes cuja perturbação ou destruição teria um impacto transfronteiriço significativo em pelo menos dois Estados Membros. Essa diretiva centra-se exclusivamente na proteção de tais infraestruturas. No entanto, a avaliação da Diretiva 2008/114/CE realizada em 2019 concluiu que, devido à natureza cada vez mais interligada e transfronteiriça das operações que utilizam infraestruturas críticas, as medidas de proteção relativas apenas a ativos individuais são insuficientes para evitar a ocorrência de todas as perturbações. Por conseguinte, é necessário alterar a abordagem no sentido de assegurar que se atende melhor aos riscos, que as funções e as obrigações das entidades críticas enquanto prestadoras de serviços essenciais ao funcionamento do mercado interno sejam mais bem definidas e coerentes e que sejam adotadas regras da União, a fim de reforçar a resiliência das entidades críticas. As entidades críticas deverão estar em condições de poder reforçar a sua capacidade para prevenir incidentes com potencial para perturbar a prestação de serviços essenciais, para se protegerem desses incidentes, lhes dar resposta, lhes resistirem, os atenuarem, os absorverem, se adaptarem a eles e recuperarem deles.

| (3) | Embora uma série de medidas em vigor a nível da União, como o Programa Europeu para a Proteção das Infraestruturas Críticas, e a nível nacional se destinem a apoiar a proteção de infraestruturas críticas na União, importa envidar mais esforços no sentido de equipar melhor as entidades que exploram essas infraestruturas para fazer face aos riscos para as suas operações que possam resultar em perturbações na prestação de serviços essenciais. Também deverá ser feito mais para equipar melhor essas entidades, porque existe um cenário de ameaças dinâmico, que inclui ameaças híbridas e terroristas em evolução e interdependências crescentes entre as infraestruturas e os setores. Além disso, verifica-se um aumento do risco físico devido a catástrofes naturais e a alterações climáticas, o que aumenta a frequência e a dimensão de eventos meteorológicos extremos e origina alterações a longo prazo nas condições climáticas médias que podem reduzir a capacidade, a eficiência e o tempo de vida útil de determinados tipos de infraestruturas se não forem adotadas medidas de adaptação às alterações climáticas. Adicionalmente, o mercado interno caracteriza-se por uma fragmentação no que diz respeito à identificação de entidades críticas, uma vez que alguns setores e categorias de entidades pertinentes não são reconhecidos de forma coerente como críticos em todos os Estados-Membros. Por conseguinte, a presente diretiva deverá alcançar um nível sólido de harmonização em termos dos setores e categorias de entidades abrangidos pelo seu âmbito de aplicação. |
| --- | --- |

(3)

Embora uma série de medidas em vigor a nível da União, como o Programa Europeu para a Proteção das Infraestruturas Críticas, e a nível nacional se destinem a apoiar a proteção de infraestruturas críticas na União, importa envidar mais esforços no sentido de equipar melhor as entidades que exploram essas infraestruturas para fazer face aos riscos para as suas operações que possam resultar em perturbações na prestação de serviços essenciais. Também deverá ser feito mais para equipar melhor essas entidades, porque existe um cenário de ameaças dinâmico, que inclui ameaças híbridas e terroristas em evolução e interdependências crescentes entre as infraestruturas e os setores. Além disso, verifica-se um aumento do risco físico devido a catástrofes naturais e a alterações climáticas, o que aumenta a frequência e a dimensão de eventos meteorológicos extremos e origina alterações a longo prazo nas condições climáticas médias que podem reduzir a capacidade, a eficiência e o tempo de vida útil de determinados tipos de infraestruturas se não forem adotadas medidas de adaptação às alterações climáticas. Adicionalmente, o mercado interno caracteriza-se por uma fragmentação no que diz respeito à identificação de entidades críticas, uma vez que alguns setores e categorias de entidades pertinentes não são reconhecidos de forma coerente como críticos em todos os Estados-Membros. Por conseguinte, a presente diretiva deverá alcançar um nível sólido de harmonização em termos dos setores e categorias de entidades abrangidos pelo seu âmbito de aplicação.

| (4) | Embora certos setores da economia, como os da energia e transportes, já sejam regulamentados por atos jurídicos setoriais específicos da União, esses atos jurídicos contêm disposições exclusivamente relacionadas com determinados aspetos da resiliência das entidades que operam nesses setores. A fim de abordar, de forma aprofundada, a resiliência das entidades críticas para o bom funcionamento do mercado interno, a presente diretiva cria um quadro global que aborda a resiliência das entidades críticas relativamente a todos os riscos, independentemente de serem naturais ou de origem humana, acidentais ou intencionais. |
| --- | --- |

(4)

Embora certos setores da economia, como os da energia e transportes, já sejam regulamentados por atos jurídicos setoriais específicos da União, esses atos jurídicos contêm disposições exclusivamente relacionadas com determinados aspetos da resiliência das entidades que operam nesses setores. A fim de abordar, de forma aprofundada, a resiliência das entidades críticas para o bom funcionamento do mercado interno, a presente diretiva cria um quadro global que aborda a resiliência das entidades críticas relativamente a todos os riscos, independentemente de serem naturais ou de origem humana, acidentais ou intencionais.

| (5) | As crescentes interdependências entre infraestruturas e setores resultam de uma rede de prestação de serviços com um caráter cada vez mais transfronteiriço e interdependente utilizar infraestruturas essenciais em toda a União nos setores da energia, dos transportes, dos serviços bancários, da água potável, das águas residuais, da produção, transformação e distribuição de produtos alimentares, da saúde, espacial, das infraestruturas do mercado financeiro e das infraestruturas digitais, e em determinados aspetos do setor da administração pública. O setor espacial é abrangido pelo âmbito de aplicação da presente diretiva no que se refere à prestação de determinados serviços que dependem de infraestruturas terrestres detidas, geridas e operadas por Estados-Membros ou por entidades privadas, pelo que as infraestruturas detidas, geridas ou operadas pela União ou em seu nome no âmbito do seu programa espacial não são abrangidas pelo âmbito de aplicação da presente diretiva.
  No que respeita ao setor da energia e, em particular, aos métodos de produção e transporte de eletricidade (em termos de abastecimento), entende-se que, se assim se considerar adequado, a produção de eletricidade pode incluir elementos das centrais nucleares que sirvam para o transporte de eletricidade, excluindo contudo os elementos especificamente nucleares abrangidos pelos tratados e o direito da União, incluindo os atos jurídicos pertinentes da União relativos à energia nuclear. O processo de identificação das entidades críticas no setor alimentar deverá refletir adequadamente a natureza do mercado interno nesse setor e as regras exaustivas da União relacionadas com os princípios e requisitos gerais do direito alimentar e da segurança dos alimentos. Por conseguinte, a fim de assegurar que existe uma abordagem proporcionada e de refletir adequadamente o papel e a importância dessas entidades a nível nacional, só deverão ser identificadas entidades críticas entre as empresas do setor alimentar, com ou sem fins lucrativos e quer públicas, quer privadas, que estejam envolvidas exclusivamente na logística e distribuição por grosso e na produção e transformação industriais em grande escala e cuja quota de mercado seja significativa a nível nacional. Em virtude dessas interdependências, qualquer perturbação dos serviços essenciais, mesmo que esteja inicialmente confinada a uma entidade ou a um setor, pode ter repercussões mais vastas e resultar em impactos negativos generalizados e a longo prazo na prestação de serviços em todo o mercado interno. As crises graves, como a pandemia de COVID-19, revelaram a vulnerabilidade das nossas sociedades, cada vez mais interdependentes, perante riscos com baixa probabilidade de ocorrência, mas de elevado impacto. |
| --- | --- |

(5)

As crescentes interdependências entre infraestruturas e setores resultam de uma rede de prestação de serviços com um caráter cada vez mais transfronteiriço e interdependente utilizar infraestruturas essenciais em toda a União nos setores da energia, dos transportes, dos serviços bancários, da água potável, das águas residuais, da produção, transformação e distribuição de produtos alimentares, da saúde, espacial, das infraestruturas do mercado financeiro e das infraestruturas digitais, e em determinados aspetos do setor da administração pública. O setor espacial é abrangido pelo âmbito de aplicação da presente diretiva no que se refere à prestação de determinados serviços que dependem de infraestruturas terrestres detidas, geridas e operadas por Estados-Membros ou por entidades privadas, pelo que as infraestruturas detidas, geridas ou operadas pela União ou em seu nome no âmbito do seu programa espacial não são abrangidas pelo âmbito de aplicação da presente diretiva.

No que respeita ao setor da energia e, em particular, aos métodos de produção e transporte de eletricidade (em termos de abastecimento), entende-se que, se assim se considerar adequado, a produção de eletricidade pode incluir elementos das centrais nucleares que sirvam para o transporte de eletricidade, excluindo contudo os elementos especificamente nucleares abrangidos pelos tratados e o direito da União, incluindo os atos jurídicos pertinentes da União relativos à energia nuclear. O processo de identificação das entidades críticas no setor alimentar deverá refletir adequadamente a natureza do mercado interno nesse setor e as regras exaustivas da União relacionadas com os princípios e requisitos gerais do direito alimentar e da segurança dos alimentos. Por conseguinte, a fim de assegurar que existe uma abordagem proporcionada e de refletir adequadamente o papel e a importância dessas entidades a nível nacional, só deverão ser identificadas entidades críticas entre as empresas do setor alimentar, com ou sem fins lucrativos e quer públicas, quer privadas, que estejam envolvidas exclusivamente na logística e distribuição por grosso e na produção e transformação industriais em grande escala e cuja quota de mercado seja significativa a nível nacional. Em virtude dessas interdependências, qualquer perturbação dos serviços essenciais, mesmo que esteja inicialmente confinada a uma entidade ou a um setor, pode ter repercussões mais vastas e resultar em impactos negativos generalizados e a longo prazo na prestação de serviços em todo o mercado interno. As crises graves, como a pandemia de COVID-19, revelaram a vulnerabilidade das nossas sociedades, cada vez mais interdependentes, perante riscos com baixa probabilidade de ocorrência, mas de elevado impacto.

| (6) | As entidades envolvidas na prestação de serviços essenciais estão cada vez mais sujeitas a requisitos divergentes impostos ao abrigo do direito nacional. O facto de alguns Estados-Membros imporem requisitos de segurança menos rigorosos a essas entidades não só conduz a vários níveis de resiliência, como corre também o risco de ter um impacto negativo na manutenção de funções societais ou atividades económicas vitais em toda a União, conduzindo ainda a obstáculos ao bom funcionamento do mercado interno. Os investidores e as empresas podem fiar-se e confiar em entidades críticas resilientes, sendo a fiabilidade e a confiança pedras angulares do bom funcionamento de um mercado interno. Tipos semelhantes de entidades são considerados críticos em alguns Estados-Membros mas não noutros, e as entidades que são identificadas como críticas estão sujeitas a requisitos divergentes em diferentes Estados-Membros. Tal resulta em encargos administrativos adicionais e desnecessários para as empresas que operam além-fronteiras, nomeadamente para as empresas ativas em Estados-Membros com requisitos mais rigorosos. Por conseguinte, um quadro da União irá também ter o efeito de nivelar as condições de concorrência para as entidades críticas em toda a União. |
| --- | --- |

(6)

As entidades envolvidas na prestação de serviços essenciais estão cada vez mais sujeitas a requisitos divergentes impostos ao abrigo do direito nacional. O facto de alguns Estados-Membros imporem requisitos de segurança menos rigorosos a essas entidades não só conduz a vários níveis de resiliência, como corre também o risco de ter um impacto negativo na manutenção de funções societais ou atividades económicas vitais em toda a União, conduzindo ainda a obstáculos ao bom funcionamento do mercado interno. Os investidores e as empresas podem fiar-se e confiar em entidades críticas resilientes, sendo a fiabilidade e a confiança pedras angulares do bom funcionamento de um mercado interno. Tipos semelhantes de entidades são considerados críticos em alguns Estados-Membros mas não noutros, e as entidades que são identificadas como críticas estão sujeitas a requisitos divergentes em diferentes Estados-Membros. Tal resulta em encargos administrativos adicionais e desnecessários para as empresas que operam além-fronteiras, nomeadamente para as empresas ativas em Estados-Membros com requisitos mais rigorosos. Por conseguinte, um quadro da União irá também ter o efeito de nivelar as condições de concorrência para as entidades críticas em toda a União.

| (7) | É necessário estabelecer regras mínimas harmonizadas para assegurar a prestação de serviços essenciais no mercado interno, reforçar a resiliência das entidades críticas e melhorar a cooperação transfronteiriça entre autoridades competentes. É importante que a conceção e aplicação dessas regras sejam orientadas para o futuro, permitindo simultaneamente a flexibilidade necessária. É igualmente crucial melhorar a capacidade das entidades críticas para prestar serviços essenciais face a um conjunto diversificado de riscos. |
| --- | --- |

(7)

É necessário estabelecer regras mínimas harmonizadas para assegurar a prestação de serviços essenciais no mercado interno, reforçar a resiliência das entidades críticas e melhorar a cooperação transfronteiriça entre autoridades competentes. É importante que a conceção e aplicação dessas regras sejam orientadas para o futuro, permitindo simultaneamente a flexibilidade necessária. É igualmente crucial melhorar a capacidade das entidades críticas para prestar serviços essenciais face a um conjunto diversificado de riscos.

| (8) | A fim de alcançar um elevado nível de resiliência, os Estados-Membros deverão identificar as entidades críticas que ficarão sujeitas a requisitos específicos e a uma supervisão determinada e que receberão apoio e orientações face a todos os riscos pertinentes. |
| --- | --- |

(8)

A fim de alcançar um elevado nível de resiliência, os Estados-Membros deverão identificar as entidades críticas que ficarão sujeitas a requisitos específicos e a uma supervisão determinada e que receberão apoio e orientações face a todos os riscos pertinentes.

| (9) | Dada a importância da cibersegurança para a resiliência das entidades críticas, e por uma questão de coerência, deverá assegurar-se uma abordagem, sempre que possível, coerente entre a presente diretiva e a Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho (5). À luz da maior frequência e das características particulares dos riscos relacionados com a cibersegurança, a Diretiva (UE) 2022/2555 impõe requisitos abrangentes a um vasto conjunto de entidades para assegurar a sua cibersegurança. Dado que a cibersegurança é suficientemente abordada na Diretiva (UE) 2022/2555, as matérias por esta abrangidas deverão ser excluídas do âmbito de aplicação da presente diretiva, sem prejuízo do regime específico aplicável às entidades do setor das infraestruturas digitais. |
| --- | --- |

(9)

Dada a importância da cibersegurança para a resiliência das entidades críticas, e por uma questão de coerência, deverá assegurar-se uma abordagem, sempre que possível, coerente entre a presente diretiva e a Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho (5). À luz da maior frequência e das características particulares dos riscos relacionados com a cibersegurança, a Diretiva (UE) 2022/2555 impõe requisitos abrangentes a um vasto conjunto de entidades para assegurar a sua cibersegurança. Dado que a cibersegurança é suficientemente abordada na Diretiva (UE) 2022/2555, as matérias por esta abrangidas deverão ser excluídas do âmbito de aplicação da presente diretiva, sem prejuízo do regime específico aplicável às entidades do setor das infraestruturas digitais.

| (10) | Caso as disposições de atos jurídicos setoriais específicos da União exijam que as entidades críticas tomem medidas para reforçar a sua resiliência, e caso esses requisitos sejam reconhecidos pelos Estados-Membros como sendo pelo menos equivalentes às obrigações correspondentes estabelecidas na presente diretiva, as disposições pertinentes da presente diretiva não deverão ser aplicáveis, a fim de evitar duplicações e encargos desnecessários. Nesse caso, deverão aplicar-se as disposições pertinentes desses atos jurídicos da União. Caso as disposições pertinentes da presente diretiva não sejam aplicáveis, as disposições em matéria de supervisão e de execução coerciva previstas na presente diretiva também não deverão ser aplicáveis. |
| --- | --- |

(10)

Caso as disposições de atos jurídicos setoriais específicos da União exijam que as entidades críticas tomem medidas para reforçar a sua resiliência, e caso esses requisitos sejam reconhecidos pelos Estados-Membros como sendo pelo menos equivalentes às obrigações correspondentes estabelecidas na presente diretiva, as disposições pertinentes da presente diretiva não deverão ser aplicáveis, a fim de evitar duplicações e encargos desnecessários. Nesse caso, deverão aplicar-se as disposições pertinentes desses atos jurídicos da União. Caso as disposições pertinentes da presente diretiva não sejam aplicáveis, as disposições em matéria de supervisão e de execução coerciva previstas na presente diretiva também não deverão ser aplicáveis.

| (11) | A presente diretiva não afeta as competências dos Estados-Membros e das suas autoridades em termos de autonomia administrativa ou a sua responsabilidade na salvaguarda da segurança ou defesa nacionais, nem a sua competência para salvaguardar outras funções essenciais do Estado, em especial no que se refere à segurança pública, à integridade territorial e à manutenção da ordem pública. A exclusão das entidades da administração pública do âmbito de aplicação da presente diretiva deverá aplicar-se às entidades cujas atividades sejam exercidas predominantemente nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a investigação, deteção e repressão de infrações penais. No entanto, as entidades da administração pública cujas atividades estejam apenas marginalmente relacionadas com esses domínios deverão ser abrangidas pelo âmbito de aplicação da presente diretiva. Para os efeitos da presente diretiva, não se considera que as entidades com competências regulamentares exercem atividades no domínio da aplicação da lei, pelo que não ficam por esse motivo excluídas do âmbito de aplicação da presente diretiva. As entidades da administração pública que sejam estabelecidas conjuntamente com um país terceiro em conformidade com um acordo internacional estão excluídas do âmbito de aplicação da presente diretiva. A presente diretiva não se aplica às missões diplomáticas e consulares dos Estados-Membros em países terceiros.
  Determinadas entidades críticas exercem atividades nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a investigação, deteção e repressão de infrações penais, ou prestam serviços exclusivamente a entidades da administração pública que exercem atividades predominantemente nesses domínios. À luz da sua responsabilidade na salvaguarda da segurança e defesa nacionais, os Estados-Membros deverão poder decidir que as obrigações impostas às entidades críticas por força da presente diretiva não se aplicam, total ou parcialmente, a essas entidades críticas se os serviços que estas prestam ou as atividades que estas exercem estiverem predominantemente relacionados com os domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a investigação, deteção e repressão de infrações penais. As entidades críticas cujos serviços ou atividades estejam apenas marginalmente relacionados com esses domínios deverão ser abrangidas pelo âmbito de aplicação da presente diretiva. Nenhum Estado-Membro deverá ser obrigado a fornecer informações cuja divulgação possa ser contrária aos interesses essenciais da sua segurança nacional. São pertinentes neste contexto as regras nacionais ou da União relativas à proteção de informações classificadas e os acordos de confidencialidade. |
| --- | --- |

(11)

A presente diretiva não afeta as competências dos Estados-Membros e das suas autoridades em termos de autonomia administrativa ou a sua responsabilidade na salvaguarda da segurança ou defesa nacionais, nem a sua competência para salvaguardar outras funções essenciais do Estado, em especial no que se refere à segurança pública, à integridade territorial e à manutenção da ordem pública. A exclusão das entidades da administração pública do âmbito de aplicação da presente diretiva deverá aplicar-se às entidades cujas atividades sejam exercidas predominantemente nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a investigação, deteção e repressão de infrações penais. No entanto, as entidades da administração pública cujas atividades estejam apenas marginalmente relacionadas com esses domínios deverão ser abrangidas pelo âmbito de aplicação da presente diretiva. Para os efeitos da presente diretiva, não se considera que as entidades com competências regulamentares exercem atividades no domínio da aplicação da lei, pelo que não ficam por esse motivo excluídas do âmbito de aplicação da presente diretiva. As entidades da administração pública que sejam estabelecidas conjuntamente com um país terceiro em conformidade com um acordo internacional estão excluídas do âmbito de aplicação da presente diretiva. A presente diretiva não se aplica às missões diplomáticas e consulares dos Estados-Membros em países terceiros.

Determinadas entidades críticas exercem atividades nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a investigação, deteção e repressão de infrações penais, ou prestam serviços exclusivamente a entidades da administração pública que exercem atividades predominantemente nesses domínios. À luz da sua responsabilidade na salvaguarda da segurança e defesa nacionais, os Estados-Membros deverão poder decidir que as obrigações impostas às entidades críticas por força da presente diretiva não se aplicam, total ou parcialmente, a essas entidades críticas se os serviços que estas prestam ou as atividades que estas exercem estiverem predominantemente relacionados com os domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a investigação, deteção e repressão de infrações penais. As entidades críticas cujos serviços ou atividades estejam apenas marginalmente relacionados com esses domínios deverão ser abrangidas pelo âmbito de aplicação da presente diretiva. Nenhum Estado-Membro deverá ser obrigado a fornecer informações cuja divulgação possa ser contrária aos interesses essenciais da sua segurança nacional. São pertinentes neste contexto as regras nacionais ou da União relativas à proteção de informações classificadas e os acordos de confidencialidade.

| (12) | A fim de não comprometer a segurança nacional nem os interesses comerciais e em matéria de segurança das entidades críticas, o acesso a informações sensíveis, bem como o seu intercâmbio e tratamento, deverão ser efetuados com prudência e com especial atenção aos canais de transmissão e às capacidades de armazenamento utilizadas. |
| --- | --- |

(12)

A fim de não comprometer a segurança nacional nem os interesses comerciais e em matéria de segurança das entidades críticas, o acesso a informações sensíveis, bem como o seu intercâmbio e tratamento, deverão ser efetuados com prudência e com especial atenção aos canais de transmissão e às capacidades de armazenamento utilizadas.

| (13) | A fim de assegurar uma abordagem abrangente da resiliência das entidades críticas, cada Estado-Membro deverá dispor de uma estratégia para reforçar a resiliência das entidades críticas («estratégia»). A estratégia deverá estabelecer objetivos estratégicos e medidas políticas a aplicar. Por razões de coerência e eficiência, a estratégia deverá ser concebida de modo a integrar sem descontinuidades as políticas existentes, com base, sempre que possível, nas estratégias nacionais e setoriais, planos ou documentos similares pertinentes existentes. A fim de estabelecer uma abordagem abrangente, os Estados-Membros deverão assegurar que as suas estratégias prevejam um quadro político para o reforço da cooperação entre as autoridades competentes ao abrigo da presente diretiva e as autoridades competentes ao abrigo da Diretiva (UE) 2022/2555 no contexto da partilha de informações sobre os riscos de cibersegurança, as ciberameaças e os ciberincidentes, bem como sobre os riscos, ameaças e incidentes não relacionados com a cibersegurança, e no contexto do exercício de funções de supervisão. Ao aplicar as suas estratégias, os Estados-Membros deverão ter devidamente em conta a natureza híbrida das ameaças às entidades críticas. |
| --- | --- |

(13)

A fim de assegurar uma abordagem abrangente da resiliência das entidades críticas, cada Estado-Membro deverá dispor de uma estratégia para reforçar a resiliência das entidades críticas («estratégia»). A estratégia deverá estabelecer objetivos estratégicos e medidas políticas a aplicar. Por razões de coerência e eficiência, a estratégia deverá ser concebida de modo a integrar sem descontinuidades as políticas existentes, com base, sempre que possível, nas estratégias nacionais e setoriais, planos ou documentos similares pertinentes existentes. A fim de estabelecer uma abordagem abrangente, os Estados-Membros deverão assegurar que as suas estratégias prevejam um quadro político para o reforço da cooperação entre as autoridades competentes ao abrigo da presente diretiva e as autoridades competentes ao abrigo da Diretiva (UE) 2022/2555 no contexto da partilha de informações sobre os riscos de cibersegurança, as ciberameaças e os ciberincidentes, bem como sobre os riscos, ameaças e incidentes não relacionados com a cibersegurança, e no contexto do exercício de funções de supervisão. Ao aplicar as suas estratégias, os Estados-Membros deverão ter devidamente em conta a natureza híbrida das ameaças às entidades críticas.

| (14) | Os Estados-Membros deverão comunicar à Comissão as suas estratégias e as suas atualizações substanciais, nomeadamente para permitir que a Comissão avalie a correta aplicação da presente diretiva no que se refere a abordagens estratégicas para a resiliência das entidades críticas a nível nacional. Sempre que necessário, as estratégias poderão ser comunicadas como informações classificadas. A Comissão deverá elaborar um relatório de síntese sobre as estratégias comunicadas pelos Estados-Membros que sirva de base para os intercâmbios com vista a identificar boas práticas e questões de interesse comum no âmbito de um Grupo para a Resiliência das Entidades Críticas. Devido à natureza sensível das informações agregadas incluídas no relatório de síntese, quer se tratem ou não de informações classificadas, a Comissão deverá gerir o relatório de síntese com o nível de sensibilização adequado no que se refere à segurança das entidades críticas, dos Estados-Membros e da União. O relatório de síntese e as estratégias deverão ser protegidos contra ações ilícitas ou maliciosas e só deverão ser acessíveis a pessoas autorizadas, a fim de cumprir os objetivos da presente diretiva. A comunicação das estratégias e das respetivas atualizações substanciais deverá também ajudar a Comissão a compreender a evolução das abordagens em matéria de resiliência das entidades críticas e contribuir para o acompanhamento do impacto e do valor acrescentado da presente diretiva, que a Comissão deverá rever periodicamente. |
| --- | --- |

(14)

Os Estados-Membros deverão comunicar à Comissão as suas estratégias e as suas atualizações substanciais, nomeadamente para permitir que a Comissão avalie a correta aplicação da presente diretiva no que se refere a abordagens estratégicas para a resiliência das entidades críticas a nível nacional. Sempre que necessário, as estratégias poderão ser comunicadas como informações classificadas. A Comissão deverá elaborar um relatório de síntese sobre as estratégias comunicadas pelos Estados-Membros que sirva de base para os intercâmbios com vista a identificar boas práticas e questões de interesse comum no âmbito de um Grupo para a Resiliência das Entidades Críticas. Devido à natureza sensível das informações agregadas incluídas no relatório de síntese, quer se tratem ou não de informações classificadas, a Comissão deverá gerir o relatório de síntese com o nível de sensibilização adequado no que se refere à segurança das entidades críticas, dos Estados-Membros e da União. O relatório de síntese e as estratégias deverão ser protegidos contra ações ilícitas ou maliciosas e só deverão ser acessíveis a pessoas autorizadas, a fim de cumprir os objetivos da presente diretiva. A comunicação das estratégias e das respetivas atualizações substanciais deverá também ajudar a Comissão a compreender a evolução das abordagens em matéria de resiliência das entidades críticas e contribuir para o acompanhamento do impacto e do valor acrescentado da presente diretiva, que a Comissão deverá rever periodicamente.

| (15) | As ações dos Estados-Membros para identificar as entidades críticas e ajudar a assegurar a sua resiliência deverão seguir uma abordagem baseada no risco que se centre nas entidades mais pertinentes para o desempenho de funções societais ou atividades económicas vitais. A fim de assegurar essa abordagem direcionada, cada Estado-Membro deverá realizar, num quadro harmonizado, uma avaliação dos riscos naturais e de origem humana pertinentes, incluindo os de natureza intersetorial ou transfronteiriça, que possam afetar a prestação de serviços essenciais, nomeadamente acidentes, catástrofes naturais, emergências de saúde pública como as pandemias e as ameaças híbridas ou outras ameaças antagónicas, incluindo infrações terroristas, infiltrações criminosas e sabotagens («avaliação dos riscos do Estado-Membro»). Ao efetuarem avaliações dos riscos do Estado-Membro, os Estados-Membros deverão ter em conta outras avaliações de riscos gerais ou específicas do setor efetuadas nos termos de outros atos jurídicos da União, e deverão ter em consideração em que medida os setores dependem uns dos outros, inclusive setores noutros Estados-Membros e em países terceiros. Os resultados da avaliação dos riscos do Estado-Membro deverão ser utilizados para efeitos da identificação de entidades críticas e para ajudar essas entidades a cumprir os seus requisitos em matéria de resiliência. A presente diretiva só se aplica aos Estados-Membros e às entidades críticas que operam na União. No entanto, as competências especializadas e os conhecimentos gerados pelas autoridades competentes, nomeadamente através de avaliações dos riscos, e pela Comissão, nomeadamente através de várias formas de apoio e cooperação, poderão ser utilizados, se for caso disso e em conformidade com os instrumentos jurídicos aplicáveis, em benefício de países terceiros, designadamente na vizinhança direta da União, contribuindo para a cooperação já existente em matéria de resiliência. |
| --- | --- |

(15)

As ações dos Estados-Membros para identificar as entidades críticas e ajudar a assegurar a sua resiliência deverão seguir uma abordagem baseada no risco que se centre nas entidades mais pertinentes para o desempenho de funções societais ou atividades económicas vitais. A fim de assegurar essa abordagem direcionada, cada Estado-Membro deverá realizar, num quadro harmonizado, uma avaliação dos riscos naturais e de origem humana pertinentes, incluindo os de natureza intersetorial ou transfronteiriça, que possam afetar a prestação de serviços essenciais, nomeadamente acidentes, catástrofes naturais, emergências de saúde pública como as pandemias e as ameaças híbridas ou outras ameaças antagónicas, incluindo infrações terroristas, infiltrações criminosas e sabotagens («avaliação dos riscos do Estado-Membro»). Ao efetuarem avaliações dos riscos do Estado-Membro, os Estados-Membros deverão ter em conta outras avaliações de riscos gerais ou específicas do setor efetuadas nos termos de outros atos jurídicos da União, e deverão ter em consideração em que medida os setores dependem uns dos outros, inclusive setores noutros Estados-Membros e em países terceiros. Os resultados da avaliação dos riscos do Estado-Membro deverão ser utilizados para efeitos da identificação de entidades críticas e para ajudar essas entidades a cumprir os seus requisitos em matéria de resiliência. A presente diretiva só se aplica aos Estados-Membros e às entidades críticas que operam na União. No entanto, as competências especializadas e os conhecimentos gerados pelas autoridades competentes, nomeadamente através de avaliações dos riscos, e pela Comissão, nomeadamente através de várias formas de apoio e cooperação, poderão ser utilizados, se for caso disso e em conformidade com os instrumentos jurídicos aplicáveis, em benefício de países terceiros, designadamente na vizinhança direta da União, contribuindo para a cooperação já existente em matéria de resiliência.

| (16) | A fim de assegurar que todas as entidades pertinentes estão sujeitas aos requisitos em matéria de resiliência previstos na presente diretiva e de reduzir as divergências a esse respeito, é importante estabelecer regras harmonizadas que permitam uma identificação coerente das entidades críticas em toda a União, permitindo simultaneamente aos Estados-Membros refletir de forma adequada o papel e a importância dessas entidades a nível nacional. Ao aplicar os critérios previstos na presente diretiva, cada Estado-Membro deverá identificar as entidades que prestem um ou mais serviços essenciais num Estado-Membro e que operem e possuam infraestruturas críticas localizadas no seu território. Deverá considerar-se que uma entidade opera no território de um Estado-Membro no qual exerce as atividades necessárias para o serviço essencial ou serviços essenciais em causa e no qual está localizada a infraestrutura crítica dessa entidade que é utilizada para prestar esse serviço ou esses serviços. Se não existir nenhuma entidade que cumpra esses critérios num Estado-Membro, esse Estado-Membro não deverá ter a obrigação de identificar nenhuma entidade crítica no setor ou subsetor correspondente. Por razões de eficácia, eficiência, coerência e segurança jurídica, deverão igualmente ser estabelecidas regras adequadas relativamente à notificação de entidades que tenham sido identificadas como entidades críticas. |
| --- | --- |

(16)

A fim de assegurar que todas as entidades pertinentes estão sujeitas aos requisitos em matéria de resiliência previstos na presente diretiva e de reduzir as divergências a esse respeito, é importante estabelecer regras harmonizadas que permitam uma identificação coerente das entidades críticas em toda a União, permitindo simultaneamente aos Estados-Membros refletir de forma adequada o papel e a importância dessas entidades a nível nacional. Ao aplicar os critérios previstos na presente diretiva, cada Estado-Membro deverá identificar as entidades que prestem um ou mais serviços essenciais num Estado-Membro e que operem e possuam infraestruturas críticas localizadas no seu território. Deverá considerar-se que uma entidade opera no território de um Estado-Membro no qual exerce as atividades necessárias para o serviço essencial ou serviços essenciais em causa e no qual está localizada a infraestrutura crítica dessa entidade que é utilizada para prestar esse serviço ou esses serviços. Se não existir nenhuma entidade que cumpra esses critérios num Estado-Membro, esse Estado-Membro não deverá ter a obrigação de identificar nenhuma entidade crítica no setor ou subsetor correspondente. Por razões de eficácia, eficiência, coerência e segurança jurídica, deverão igualmente ser estabelecidas regras adequadas relativamente à notificação de entidades que tenham sido identificadas como entidades críticas.

| (17) | Os Estados-Membros deverão apresentar à Comissão, de uma forma que cumpra os objetivos da presente diretiva, uma lista de serviços essenciais, o número de entidades críticas identificadas para cada um dos setores e subsetores enumerados no anexo e para o serviço essencial ou os serviços essenciais que cada entidade presta e, se forem aplicados, os limiares. Deverá ser possível apresentar limiares separadamente ou de forma agregada, o que significa que a informação pode ser calculada como a média por zona geográfica, por ano, por setor, por subsetor ou por outra forma, e pode incluir dados sobre o conjunto de indicadores facultados. |
| --- | --- |

(17)

Os Estados-Membros deverão apresentar à Comissão, de uma forma que cumpra os objetivos da presente diretiva, uma lista de serviços essenciais, o número de entidades críticas identificadas para cada um dos setores e subsetores enumerados no anexo e para o serviço essencial ou os serviços essenciais que cada entidade presta e, se forem aplicados, os limiares. Deverá ser possível apresentar limiares separadamente ou de forma agregada, o que significa que a informação pode ser calculada como a média por zona geográfica, por ano, por setor, por subsetor ou por outra forma, e pode incluir dados sobre o conjunto de indicadores facultados.

| (18) | Deverão ser estabelecidos critérios para determinar a importância de um efeito perturbador produzido por um incidente. Esses critérios deverão basear-se nos critérios previstos na Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (6), a fim de tirar partido dos esforços envidados pelos Estados-Membros para identificar os operadores dos serviços essenciais definidos na referida diretiva e a experiência adquirida neste contexto. As crises graves, como a pandemia de COVID-19, revelaram a importância de garantir a segurança da cadeia de abastecimento e têm demonstrado de que forma as perturbações nessa cadeia podem ter um impacto económico e societal negativo num grande número de setores e além-fronteiras. Por conseguinte, os Estados-Membros deverão também, tanto quanto possível, ter em conta os efeitos na cadeia de abastecimento ao determinar em que medida outros setores e subsetores dependem do serviço essencial prestado por uma entidade crítica. |
| --- | --- |

(18)

Deverão ser estabelecidos critérios para determinar a importância de um efeito perturbador produzido por um incidente. Esses critérios deverão basear-se nos critérios previstos na Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (6), a fim de tirar partido dos esforços envidados pelos Estados-Membros para identificar os operadores dos serviços essenciais definidos na referida diretiva e a experiência adquirida neste contexto. As crises graves, como a pandemia de COVID-19, revelaram a importância de garantir a segurança da cadeia de abastecimento e têm demonstrado de que forma as perturbações nessa cadeia podem ter um impacto económico e societal negativo num grande número de setores e além-fronteiras. Por conseguinte, os Estados-Membros deverão também, tanto quanto possível, ter em conta os efeitos na cadeia de abastecimento ao determinar em que medida outros setores e subsetores dependem do serviço essencial prestado por uma entidade crítica.

| (19) | Em conformidade com o direito da União e nacional aplicáveis, incluindo o Regulamento (UE) 2019/452 do Parlamento Europeu e do Conselho (7), que estabelece um regime de análise dos investimentos diretos estrangeiros na União, deverá reconhecer-se que a propriedade estrangeira de infraestruturas críticas na União representa uma potencial ameaça, pois os serviços, a economia, a livre circulação e a segurança dos cidadãos da União dependem do bom funcionamento das infraestruturas críticas. |
| --- | --- |

(19)

Em conformidade com o direito da União e nacional aplicáveis, incluindo o Regulamento (UE) 2019/452 do Parlamento Europeu e do Conselho (7), que estabelece um regime de análise dos investimentos diretos estrangeiros na União, deverá reconhecer-se que a propriedade estrangeira de infraestruturas críticas na União representa uma potencial ameaça, pois os serviços, a economia, a livre circulação e a segurança dos cidadãos da União dependem do bom funcionamento das infraestruturas críticas.

| (20) | A Diretiva (UE) 2022/2555 exige que as entidades pertencentes ao setor das infraestruturas digitais, que possam ser identificadas como entidades críticas nos termos da presente diretiva, tomem medidas técnicas, operacionais e organizativas adequadas e proporcionadas para gerir os riscos para a segurança das redes e da informação, bem como para notificar incidentes e ciberameaças significativos. Uma vez que as ameaças à segurança das redes e da informação podem ter diferentes origens, a Diretiva (UE) 2022/2555 aplica uma abordagem que abrange todos os perigos e que inclui a resiliência dos sistemas de rede e informação, bem como dos componentes físicos e ambiente desses sistemas.
  Uma vez que os requisitos estabelecidos na Diretiva (UE) 2022/2555 a esse respeito são pelo menos equivalentes às obrigações correspondentes estabelecidas na presente diretiva, as obrigações estabelecidas no artigo 11.o e nos capítulos III, IV e VI da presente diretiva não deverão aplicar-se a entidades pertencentes ao setor das infraestruturas digitais, a fim de evitar duplicações e encargos desnecessários. Todavia, tendo em consideração a importância dos serviços prestados por entidades pertencentes ao setor das infraestruturas digitais a entidades críticas pertencentes a todos os outros setores, os Estados-Membros deverão identificar, com base nos critérios e recorrendo ao procedimento previsto na presente diretiva, as entidades pertencentes ao setor das infraestruturas digitais como entidades críticas. Por conseguinte, as estratégias, a avaliação dos riscos do Estado-Membro e as medidas de apoio previstas no capítulo II da presente diretiva deverão ser aplicáveis. Os Estados-Membros deverão poder adotar ou manter disposições de direito nacional destinadas a atingir um nível mais elevado de resiliência dessas entidades críticas, desde que essas disposições sejam coerentes com o direito da União aplicável. |
| --- | --- |

(20)

A Diretiva (UE) 2022/2555 exige que as entidades pertencentes ao setor das infraestruturas digitais, que possam ser identificadas como entidades críticas nos termos da presente diretiva, tomem medidas técnicas, operacionais e organizativas adequadas e proporcionadas para gerir os riscos para a segurança das redes e da informação, bem como para notificar incidentes e ciberameaças significativos. Uma vez que as ameaças à segurança das redes e da informação podem ter diferentes origens, a Diretiva (UE) 2022/2555 aplica uma abordagem que abrange todos os perigos e que inclui a resiliência dos sistemas de rede e informação, bem como dos componentes físicos e ambiente desses sistemas.

Uma vez que os requisitos estabelecidos na Diretiva (UE) 2022/2555 a esse respeito são pelo menos equivalentes às obrigações correspondentes estabelecidas na presente diretiva, as obrigações estabelecidas no artigo 11.o e nos capítulos III, IV e VI da presente diretiva não deverão aplicar-se a entidades pertencentes ao setor das infraestruturas digitais, a fim de evitar duplicações e encargos desnecessários. Todavia, tendo em consideração a importância dos serviços prestados por entidades pertencentes ao setor das infraestruturas digitais a entidades críticas pertencentes a todos os outros setores, os Estados-Membros deverão identificar, com base nos critérios e recorrendo ao procedimento previsto na presente diretiva, as entidades pertencentes ao setor das infraestruturas digitais como entidades críticas. Por conseguinte, as estratégias, a avaliação dos riscos do Estado-Membro e as medidas de apoio previstas no capítulo II da presente diretiva deverão ser aplicáveis. Os Estados-Membros deverão poder adotar ou manter disposições de direito nacional destinadas a atingir um nível mais elevado de resiliência dessas entidades críticas, desde que essas disposições sejam coerentes com o direito da União aplicável.

| (21) | O direito da União em matéria de serviços financeiros estabelece requisitos abrangentes aplicáveis às entidades financeiras no sentido de gerirem todos os riscos que enfrentam, incluindo os riscos operacionais, e de assegurarem a continuidade das atividades. Esse direito inclui os Regulamentos (UE) n.o 648/2012 (8), (UE) n.o 575/2013 (9) e (UE) n.o 600/2014 do Parlamento Europeu e do Conselho (10) e as Diretivas 2013/36/UE (11) e 2014/65/UE do Parlamento Europeu e do Conselho (12). Esse quadro jurídico é complementado pelo Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (13), que estabelece requisitos aplicáveis às entidades financeiras no sentido de gerirem os riscos no domínio das tecnologias da informação e comunicação (TIC), incluindo no que se refere à proteção das infraestruturas físicas de TIC. Por conseguinte, uma vez que a resiliência dessas entidades é amplamente abrangida, o disposto no artigo 11.o e nos capítulos III, IV e VI da presente diretiva não deverá aplicar-se a essas entidades, a fim de evitar duplicações e encargos desnecessários.
  Todavia, tendo em consideração a importância dos serviços prestados por entidades do setor financeiro a entidades críticas pertencentes a todos os outros setores, os Estados-Membros deverão identificar, com base nos critérios e recorrendo ao procedimento previsto na presente diretiva, as entidades do setor financeiro como entidades críticas. Por conseguinte, as estratégias, as avaliações dos riscos do Estado-Membro e as medidas de apoio previstas no capítulo II da presente diretiva deverão ser aplicáveis. Os Estados-Membros deverão poder adotar ou manter disposições de direito nacional destinadas a atingir um nível mais elevado de resiliência dessas entidades críticas, desde que essas disposições sejam coerentes com o direito da União aplicável. |
| --- | --- |

(21)

O direito da União em matéria de serviços financeiros estabelece requisitos abrangentes aplicáveis às entidades financeiras no sentido de gerirem todos os riscos que enfrentam, incluindo os riscos operacionais, e de assegurarem a continuidade das atividades. Esse direito inclui os Regulamentos (UE) n.o 648/2012 (8), (UE) n.o 575/2013 (9) e (UE) n.o 600/2014 do Parlamento Europeu e do Conselho (10) e as Diretivas 2013/36/UE (11) e 2014/65/UE do Parlamento Europeu e do Conselho (12). Esse quadro jurídico é complementado pelo Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho (13), que estabelece requisitos aplicáveis às entidades financeiras no sentido de gerirem os riscos no domínio das tecnologias da informação e comunicação (TIC), incluindo no que se refere à proteção das infraestruturas físicas de TIC. Por conseguinte, uma vez que a resiliência dessas entidades é amplamente abrangida, o disposto no artigo 11.o e nos capítulos III, IV e VI da presente diretiva não deverá aplicar-se a essas entidades, a fim de evitar duplicações e encargos desnecessários.

Todavia, tendo em consideração a importância dos serviços prestados por entidades do setor financeiro a entidades críticas pertencentes a todos os outros setores, os Estados-Membros deverão identificar, com base nos critérios e recorrendo ao procedimento previsto na presente diretiva, as entidades do setor financeiro como entidades críticas. Por conseguinte, as estratégias, as avaliações dos riscos do Estado-Membro e as medidas de apoio previstas no capítulo II da presente diretiva deverão ser aplicáveis. Os Estados-Membros deverão poder adotar ou manter disposições de direito nacional destinadas a atingir um nível mais elevado de resiliência dessas entidades críticas, desde que essas disposições sejam coerentes com o direito da União aplicável.

| (22) | Os Estados-Membros deverão designar ou estabelecer autoridades competentes para supervisionar a aplicação das regras da presente diretiva e, sempre que necessário, fazê-las cumprir, e assegurar que essas autoridades dispõem dos poderes e recursos adequados. Dadas as diferenças nas estruturas de governação nacionais, a fim de salvaguardar as disposições setoriais ou os organismos de supervisão e de regulamentação da União existentes, e a fim de evitar duplicações, os Estados-Membros deverão poder designar ou estabelecer mais do que uma autoridade competente. Caso os Estados-Membros designem ou estabeleçam mais do que uma autoridade competente, deverão delinear claramente as respetivas funções das autoridades em causa e assegurar a cooperação harmoniosa e eficaz entre as mesmas. Todas as autoridades competentes deverão igualmente cooperar, de um modo mais geral, com outras autoridades pertinentes, tanto a nível da União como nacional. |
| --- | --- |

(22)

Os Estados-Membros deverão designar ou estabelecer autoridades competentes para supervisionar a aplicação das regras da presente diretiva e, sempre que necessário, fazê-las cumprir, e assegurar que essas autoridades dispõem dos poderes e recursos adequados. Dadas as diferenças nas estruturas de governação nacionais, a fim de salvaguardar as disposições setoriais ou os organismos de supervisão e de regulamentação da União existentes, e a fim de evitar duplicações, os Estados-Membros deverão poder designar ou estabelecer mais do que uma autoridade competente. Caso os Estados-Membros designem ou estabeleçam mais do que uma autoridade competente, deverão delinear claramente as respetivas funções das autoridades em causa e assegurar a cooperação harmoniosa e eficaz entre as mesmas. Todas as autoridades competentes deverão igualmente cooperar, de um modo mais geral, com outras autoridades pertinentes, tanto a nível da União como nacional.

| (23) | A fim de facilitar a cooperação e a comunicação transfronteiriça e permitir a aplicação efetiva da presente diretiva, cada Estado-Membro deverá, sem prejuízo dos requisitos dos atos jurídicos setoriais específicos da União, designar um ponto de contacto único, responsável pela coordenação das questões relacionadas com a resiliência das entidades críticas e a cooperação transfronteiriça a nível da União («ponto de contacto único»), se for caso disso no seio de uma autoridade competente. Cada ponto de contacto único deverá estabelecer ligações e coordenar as comunicações, se for caso disso, com as autoridades competentes do seu Estado-Membro, com os pontos de contacto únicos de outros Estados-Membros e com o Grupo para a Resiliência das Entidades Críticas. |
| --- | --- |

(23)

A fim de facilitar a cooperação e a comunicação transfronteiriça e permitir a aplicação efetiva da presente diretiva, cada Estado-Membro deverá, sem prejuízo dos requisitos dos atos jurídicos setoriais específicos da União, designar um ponto de contacto único, responsável pela coordenação das questões relacionadas com a resiliência das entidades críticas e a cooperação transfronteiriça a nível da União («ponto de contacto único»), se for caso disso no seio de uma autoridade competente. Cada ponto de contacto único deverá estabelecer ligações e coordenar as comunicações, se for caso disso, com as autoridades competentes do seu Estado-Membro, com os pontos de contacto únicos de outros Estados-Membros e com o Grupo para a Resiliência das Entidades Críticas.

| (24) | As autoridades competentes nos termos da presente diretiva e as autoridades competentes nos termos da Diretiva (UE) 2022/2555 deverão cooperar e trocar informações no que diz respeito aos riscos de cibersegurança, às ciberameaças e aos ciberincidentes, bem como aos riscos, ameaças e incidentes não relacionados com a cibersegurança, que afetam entidades críticas, assim como em relação a medidas pertinentes tomadas por autoridades competentes nos termos da presente diretiva e autoridades competentes nos termos da Diretiva (UE) 2022/2555. É importante que os Estados-Membros assegurem que os requisitos previstos na presente diretiva e na Diretiva (UE) 2022/2555 sejam aplicados de forma complementar e que as entidades críticas não sejam sujeitas a encargos administrativos que excedam o necessário para alcançar os objetivos da presente diretiva e dessa diretiva. |
| --- | --- |

(24)

As autoridades competentes nos termos da presente diretiva e as autoridades competentes nos termos da Diretiva (UE) 2022/2555 deverão cooperar e trocar informações no que diz respeito aos riscos de cibersegurança, às ciberameaças e aos ciberincidentes, bem como aos riscos, ameaças e incidentes não relacionados com a cibersegurança, que afetam entidades críticas, assim como em relação a medidas pertinentes tomadas por autoridades competentes nos termos da presente diretiva e autoridades competentes nos termos da Diretiva (UE) 2022/2555. É importante que os Estados-Membros assegurem que os requisitos previstos na presente diretiva e na Diretiva (UE) 2022/2555 sejam aplicados de forma complementar e que as entidades críticas não sejam sujeitas a encargos administrativos que excedam o necessário para alcançar os objetivos da presente diretiva e dessa diretiva.

| (25) | Os Estados-Membros deverão apoiar as entidades críticas, incluindo as que se qualificam como pequenas ou médias empresas, no reforço da sua resiliência, no cumprimento das obrigações que incumbem aos Estados-Membros nos termos da presente diretiva, sem prejuízo da responsabilidade jurídica própria das entidades críticas para assegurar esse cumprimento, prevenindo, deste modo, encargos administrativos excessivos. Os Estados-Membros poderão, nomeadamente, desenvolver documentação e metodologias de orientação, apoiar a organização de exercícios para testar a resiliência das entidades críticas e proporcionar aconselhamento e formação ao pessoal das entidades críticas. Sempre que necessário e justificado por objetivos de interesse público, os Estados-Membros poderão disponibilizar recursos financeiros e deverão facilitar a partilha voluntária de informações e o intercâmbio de boas práticas entre entidades críticas, sem prejuízo da aplicação das regras em matéria de concorrência estabelecidas no Tratado sobre o Funcionamento da União Europeia (TFUE). |
| --- | --- |

(25)

Os Estados-Membros deverão apoiar as entidades críticas, incluindo as que se qualificam como pequenas ou médias empresas, no reforço da sua resiliência, no cumprimento das obrigações que incumbem aos Estados-Membros nos termos da presente diretiva, sem prejuízo da responsabilidade jurídica própria das entidades críticas para assegurar esse cumprimento, prevenindo, deste modo, encargos administrativos excessivos. Os Estados-Membros poderão, nomeadamente, desenvolver documentação e metodologias de orientação, apoiar a organização de exercícios para testar a resiliência das entidades críticas e proporcionar aconselhamento e formação ao pessoal das entidades críticas. Sempre que necessário e justificado por objetivos de interesse público, os Estados-Membros poderão disponibilizar recursos financeiros e deverão facilitar a partilha voluntária de informações e o intercâmbio de boas práticas entre entidades críticas, sem prejuízo da aplicação das regras em matéria de concorrência estabelecidas no Tratado sobre o Funcionamento da União Europeia (TFUE).

| (26) | Com o objetivo de reforçar a resiliência das entidades críticas identificadas pelos Estados-Membros e de reduzir os encargos administrativos que impendem sobre essas entidades críticas, as autoridades competentes deverão proceder a consultas recíprocas, sempre que tal for adequado, para assegurar que a presente diretiva seja aplicada de forma coerente. Tais consultas deverão ser iniciadas a pedido de qualquer autoridade competente interessada e deverão visar principalmente assegurar uma abordagem convergente no que diz respeito às entidades críticas interligadas que utilizam infraestruturas críticas fisicamente ligadas entre dois ou mais Estados-Membros, pertencentes aos mesmos grupos ou estruturas empresariais ou que tenham sido identificadas num Estado-Membro e que prestem serviços essenciais a outros ou noutros Estados-Membros. |
| --- | --- |

(26)

Com o objetivo de reforçar a resiliência das entidades críticas identificadas pelos Estados-Membros e de reduzir os encargos administrativos que impendem sobre essas entidades críticas, as autoridades competentes deverão proceder a consultas recíprocas, sempre que tal for adequado, para assegurar que a presente diretiva seja aplicada de forma coerente. Tais consultas deverão ser iniciadas a pedido de qualquer autoridade competente interessada e deverão visar principalmente assegurar uma abordagem convergente no que diz respeito às entidades críticas interligadas que utilizam infraestruturas críticas fisicamente ligadas entre dois ou mais Estados-Membros, pertencentes aos mesmos grupos ou estruturas empresariais ou que tenham sido identificadas num Estado-Membro e que prestem serviços essenciais a outros ou noutros Estados-Membros.

| (27) | Sempre que as disposições do direito da União ou do direito nacional exijam que as entidades críticas avaliem os riscos pertinentes para efeitos da presente diretiva e tomem medidas para assegurar a sua própria resiliência, tais exigências deverão ser devidamente tidas em conta para efeitos de supervisão do cumprimento da presente diretiva por parte das entidades críticas. |
| --- | --- |

(27)

Sempre que as disposições do direito da União ou do direito nacional exijam que as entidades críticas avaliem os riscos pertinentes para efeitos da presente diretiva e tomem medidas para assegurar a sua própria resiliência, tais exigências deverão ser devidamente tidas em conta para efeitos de supervisão do cumprimento da presente diretiva por parte das entidades críticas.

| (28) | As entidades críticas deverão ter um conhecimento abrangente dos riscos pertinentes a que estão expostas e o dever de analisar esses riscos. Para o efeito, deverão efetuar avaliações dos riscos sempre que necessário, tendo em conta as suas circunstâncias particulares e a evolução desses riscos, e, em todo o caso, de quatro em quatro anos, a fim de avaliar todos os riscos pertinentes que possam perturbar a prestação dos seus serviços essenciais («avaliação dos riscos de entidade crítica»). Sempre que as entidades críticas tenham efetuado outras avaliações dos riscos ou elaborado documentos em conformidade com as obrigações estabelecidas noutros atos jurídicos que sejam pertinentes para a sua avaliação dos riscos de entidade crítica, deverão poder utilizar essas avaliações e documentos para efeitos do cumprimento dos requisitos previstos na presente diretiva relativamente às avaliações dos riscos de entidade crítica. Uma autoridade competente deverá poder declarar que uma avaliação dos riscos existente efetuada por uma entidade crítica que incida sobre os riscos pertinentes e a medida pertinente de dependência, cumpre, total ou parcialmente, as obrigações estabelecidas na presente diretiva. |
| --- | --- |

(28)

As entidades críticas deverão ter um conhecimento abrangente dos riscos pertinentes a que estão expostas e o dever de analisar esses riscos. Para o efeito, deverão efetuar avaliações dos riscos sempre que necessário, tendo em conta as suas circunstâncias particulares e a evolução desses riscos, e, em todo o caso, de quatro em quatro anos, a fim de avaliar todos os riscos pertinentes que possam perturbar a prestação dos seus serviços essenciais («avaliação dos riscos de entidade crítica»). Sempre que as entidades críticas tenham efetuado outras avaliações dos riscos ou elaborado documentos em conformidade com as obrigações estabelecidas noutros atos jurídicos que sejam pertinentes para a sua avaliação dos riscos de entidade crítica, deverão poder utilizar essas avaliações e documentos para efeitos do cumprimento dos requisitos previstos na presente diretiva relativamente às avaliações dos riscos de entidade crítica. Uma autoridade competente deverá poder declarar que uma avaliação dos riscos existente efetuada por uma entidade crítica que incida sobre os riscos pertinentes e a medida pertinente de dependência, cumpre, total ou parcialmente, as obrigações estabelecidas na presente diretiva.

| (29) | As entidades críticas deverão tomar medidas técnicas, de segurança e organizacionais adequadas e proporcionais aos riscos que enfrentam, de modo a prevenirem incidentes, protegerem-se deles, lhes darem resposta, lhes resistirem, os atenuarem, os absorverem, adaptarem-se a eles e recuperarem deles. Embora as entidades críticas devam tomar as referidas medidas em conformidade com a presente diretiva, as particularidades e o alcance dessas medidas deverão refletir os diferentes riscos que cada entidade crítica tenha identificado como parte da sua avaliação dos riscos de entidade crítica e as especificidades dessa entidade de forma adequada e proporcionada. A fim de promover uma abordagem coerente à escala da União, a Comissão deverá, após consulta ao Grupo para a Resiliência das Entidades Críticas, adotar orientações não vinculativas para especificar essas medidas técnicas, de segurança e organizacionais. Os Estados-Membros deverão assegurar que cada entidade crítica designe um agente de ligação ou equivalente como ponto de contacto com as autoridades competentes. |
| --- | --- |

(29)

As entidades críticas deverão tomar medidas técnicas, de segurança e organizacionais adequadas e proporcionais aos riscos que enfrentam, de modo a prevenirem incidentes, protegerem-se deles, lhes darem resposta, lhes resistirem, os atenuarem, os absorverem, adaptarem-se a eles e recuperarem deles. Embora as entidades críticas devam tomar as referidas medidas em conformidade com a presente diretiva, as particularidades e o alcance dessas medidas deverão refletir os diferentes riscos que cada entidade crítica tenha identificado como parte da sua avaliação dos riscos de entidade crítica e as especificidades dessa entidade de forma adequada e proporcionada. A fim de promover uma abordagem coerente à escala da União, a Comissão deverá, após consulta ao Grupo para a Resiliência das Entidades Críticas, adotar orientações não vinculativas para especificar essas medidas técnicas, de segurança e organizacionais. Os Estados-Membros deverão assegurar que cada entidade crítica designe um agente de ligação ou equivalente como ponto de contacto com as autoridades competentes.

| (30) | Por razões de eficácia e de responsabilização, as entidades críticas deverão descrever as medidas que tomem, com um nível de pormenor suficiente para alcançar os objetivos de eficácia e responsabilização, tendo em conta os riscos identificados, num plano de resiliência ou documento(s) equivalente(s) a um plano de resiliência, e aplicar esse plano na prática. Se uma entidade crítica já tiver tomado medidas técnicas, de segurança e organizativas e já tiver elaborado documentos nos termos de outros atos jurídicos que sejam pertinentes para as medidas de reforço da resiliência nos termos da presente diretiva, deverá poder, a fim de evitar duplicações desnecessárias, utilizar essas medidas e documentos para efeitos do cumprimento das suas obrigações em relação às medidas de resiliência nos termos da presente diretiva. A fim de evitar duplicações, uma autoridade competente deverá poder declarar que as medidas de resiliência existentes tomadas por uma entidade critica que atendam à obrigação que a esta incumbe de tomar medidas técnicas, de segurança e organizacionais nos termos da presente diretiva, cumprem, total ou parcialmente, os requisitos da presente diretiva. |
| --- | --- |

(30)

Por razões de eficácia e de responsabilização, as entidades críticas deverão descrever as medidas que tomem, com um nível de pormenor suficiente para alcançar os objetivos de eficácia e responsabilização, tendo em conta os riscos identificados, num plano de resiliência ou documento(s) equivalente(s) a um plano de resiliência, e aplicar esse plano na prática. Se uma entidade crítica já tiver tomado medidas técnicas, de segurança e organizativas e já tiver elaborado documentos nos termos de outros atos jurídicos que sejam pertinentes para as medidas de reforço da resiliência nos termos da presente diretiva, deverá poder, a fim de evitar duplicações desnecessárias, utilizar essas medidas e documentos para efeitos do cumprimento das suas obrigações em relação às medidas de resiliência nos termos da presente diretiva. A fim de evitar duplicações, uma autoridade competente deverá poder declarar que as medidas de resiliência existentes tomadas por uma entidade critica que atendam à obrigação que a esta incumbe de tomar medidas técnicas, de segurança e organizacionais nos termos da presente diretiva, cumprem, total ou parcialmente, os requisitos da presente diretiva.

| (31) | Os Regulamentos (CE) n.o 725/2004 (14) e (CE) n.o 300/2008 do Parlamento Europeu e do Conselho (15) e a Diretiva 2005/65/CE do Parlamento Europeu e do Conselho (16) estabelecem requisitos aplicáveis às entidades dos setores da aviação e dos transportes marítimos para prevenir incidentes causados por atos ilícitos e resistir a tais incidentes e atenuar as consequências dos mesmos. Embora as medidas exigidas por força da presente diretiva sejam mais amplas em termos de riscos abordados e de tipos de medidas a tomar, as entidades críticas nesses setores deverão refletir no seu plano de resiliência ou documentos equivalentes as medidas tomadas em conformidade com esses atos jurídicos da União. As entidades críticas deverão também ter em conta a Diretiva 2008/96/CE do Parlamento Europeu e do Conselho (17), que introduz uma avaliação da totalidade da rede rodoviária para mapear os riscos de acidentes e uma inspeção específica da segurança rodoviária para identificar condições perigosas, defeitos e problemas que aumentem o risco de acidentes e lesões, com base em visitas no local de vias rodoviárias ou de troços existentes. É da maior importância para o setor ferroviário garantir a proteção e a resiliência das entidades críticas e, na aplicação de medidas de resiliência nos termos da presente diretiva, as entidades críticas são incentivadas a fazer referência a orientações não vinculativas e a documentos de boas práticas desenvolvidos no âmbito de fluxos de trabalho setoriais, como a plataforma de segurança dos passageiros ferroviários da UE criada pela Decisão 2018/C 232/03 da Comissão (18). |
| --- | --- |

(31)

Os Regulamentos (CE) n.o 725/2004 (14) e (CE) n.o 300/2008 do Parlamento Europeu e do Conselho (15) e a Diretiva 2005/65/CE do Parlamento Europeu e do Conselho (16) estabelecem requisitos aplicáveis às entidades dos setores da aviação e dos transportes marítimos para prevenir incidentes causados por atos ilícitos e resistir a tais incidentes e atenuar as consequências dos mesmos. Embora as medidas exigidas por força da presente diretiva sejam mais amplas em termos de riscos abordados e de tipos de medidas a tomar, as entidades críticas nesses setores deverão refletir no seu plano de resiliência ou documentos equivalentes as medidas tomadas em conformidade com esses atos jurídicos da União. As entidades críticas deverão também ter em conta a Diretiva 2008/96/CE do Parlamento Europeu e do Conselho (17), que introduz uma avaliação da totalidade da rede rodoviária para mapear os riscos de acidentes e uma inspeção específica da segurança rodoviária para identificar condições perigosas, defeitos e problemas que aumentem o risco de acidentes e lesões, com base em visitas no local de vias rodoviárias ou de troços existentes. É da maior importância para o setor ferroviário garantir a proteção e a resiliência das entidades críticas e, na aplicação de medidas de resiliência nos termos da presente diretiva, as entidades críticas são incentivadas a fazer referência a orientações não vinculativas e a documentos de boas práticas desenvolvidos no âmbito de fluxos de trabalho setoriais, como a plataforma de segurança dos passageiros ferroviários da UE criada pela Decisão 2018/C 232/03 da Comissão (18).

| (32) | O risco de trabalhadores de entidades críticas ou dos contratantes externos destas últimas fazerem uma utilização abusiva, por exemplo, dos seus direitos de acesso no seio da organização da entidade crítica para prejudicar e causar danos é cada vez mais preocupante. Por conseguinte, os Estados-Membros deverão especificar as condições em que as entidades críticas estão autorizadas, em casos devidamente justificados e tendo em conta a avaliação dos riscos do Estado-Membro, a apresentar pedidos de verificação de antecedentes relativos a pessoas pertencentes a categorias específicas do seu pessoal. Deverá garantir-se que as autoridades pertinentes avaliam esses pedidos num prazo razoável e os tratam em conformidade com o direito e procedimentos nacionais, bem como com o direito da União pertinente e aplicável, inclusive em matéria de proteção de dados pessoais. A fim de corroborar a identidade de uma pessoa sujeita a uma verificação de antecedentes, é conveniente que os Estados-Membros exijam uma prova de identidade, como um passaporte, um documento de identificação nacional ou uma forma de identificação digital, em conformidade com o direito aplicável.
  As verificações de antecedentes deverão incluir uma verificação do registo criminal da pessoa em questão. Os Estados-Membros deverão recorrer ao Sistema Europeu de Informação sobre Registos Criminais, de acordo com os procedimentos estabelecidos na Decisão-Quadro 2009/315/JAI do Conselho (19) e, se for caso disso e aplicável, no Regulamento (UE) 2019/816 do Parlamento Europeu e do Conselho (20), para efeitos de obtenção de informações de registos criminais detidos por outros Estados-Membros. Os Estados-Membros poderão também, se for caso disso e aplicável, recorrer ao Sistema de Informação de Schengen de Segunda Geração (SIS II) criado pelo Regulamento (UE) 2018/1862 do Parlamento Europeu e do Conselho (21), a informações provenientes dos serviços de informação e de segurança, bem como a quaisquer outras informações objetivas disponíveis que possam ser necessárias para determinar a adequação da pessoa em causa para ocupar o cargo em relação ao qual a entidade crítica solicitou a realização de uma verificação de antecedentes. |
| --- | --- |

(32)

O risco de trabalhadores de entidades críticas ou dos contratantes externos destas últimas fazerem uma utilização abusiva, por exemplo, dos seus direitos de acesso no seio da organização da entidade crítica para prejudicar e causar danos é cada vez mais preocupante. Por conseguinte, os Estados-Membros deverão especificar as condições em que as entidades críticas estão autorizadas, em casos devidamente justificados e tendo em conta a avaliação dos riscos do Estado-Membro, a apresentar pedidos de verificação de antecedentes relativos a pessoas pertencentes a categorias específicas do seu pessoal. Deverá garantir-se que as autoridades pertinentes avaliam esses pedidos num prazo razoável e os tratam em conformidade com o direito e procedimentos nacionais, bem como com o direito da União pertinente e aplicável, inclusive em matéria de proteção de dados pessoais. A fim de corroborar a identidade de uma pessoa sujeita a uma verificação de antecedentes, é conveniente que os Estados-Membros exijam uma prova de identidade, como um passaporte, um documento de identificação nacional ou uma forma de identificação digital, em conformidade com o direito aplicável.

As verificações de antecedentes deverão incluir uma verificação do registo criminal da pessoa em questão. Os Estados-Membros deverão recorrer ao Sistema Europeu de Informação sobre Registos Criminais, de acordo com os procedimentos estabelecidos na Decisão-Quadro 2009/315/JAI do Conselho (19) e, se for caso disso e aplicável, no Regulamento (UE) 2019/816 do Parlamento Europeu e do Conselho (20), para efeitos de obtenção de informações de registos criminais detidos por outros Estados-Membros. Os Estados-Membros poderão também, se for caso disso e aplicável, recorrer ao Sistema de Informação de Schengen de Segunda Geração (SIS II) criado pelo Regulamento (UE) 2018/1862 do Parlamento Europeu e do Conselho (21), a informações provenientes dos serviços de informação e de segurança, bem como a quaisquer outras informações objetivas disponíveis que possam ser necessárias para determinar a adequação da pessoa em causa para ocupar o cargo em relação ao qual a entidade crítica solicitou a realização de uma verificação de antecedentes.

| (33) | Deverá ser criado um mecanismo para a notificação de determinados incidentes que permita às autoridades competentes responderem de forma rápida e adequada aos incidentes e ter uma visão abrangente do impacto, da natureza, da causa e das eventuais consequências de um incidente com o qual as entidades críticas tenham de lidar. As entidades críticas deverão notificar, sem demora injustificada, as autoridades competentes de incidentes que perturbem significativamente ou que sejam suscetíveis de perturbar significativamente a prestação de serviços essenciais. Exceto se tal não for possível por razões operacionais, as entidades críticas deverão apresentar uma notificação inicial, o mais tardar, 24 horas após terem tido conhecimento de um incidente. A notificação inicial deverá conter apenas as informações estritamente necessárias para dar conhecimento do incidente à autoridade competente e dar à entidade crítica a possibilidade de procurar assistência, caso tal seja necessário. Essa notificação deverá indicar, sempre que possível, a causa presumida do incidente. Os Estados-Membros deverão garantir que a obrigação de apresentar esta notificação inicial não desvia os recursos da entidade crítica das atividades relacionadas com o tratamento de incidentes, às quais deverá ser atribuída prioridade. A notificação inicial deverá ser seguida, se for caso disso, de um relatório pormenorizado, o mais tardar um mês após o incidente. O relatório pormenorizado deverá complementar a notificação inicial e fornecer uma visão mais completa do incidente. |
| --- | --- |

(33)

Deverá ser criado um mecanismo para a notificação de determinados incidentes que permita às autoridades competentes responderem de forma rápida e adequada aos incidentes e ter uma visão abrangente do impacto, da natureza, da causa e das eventuais consequências de um incidente com o qual as entidades críticas tenham de lidar. As entidades críticas deverão notificar, sem demora injustificada, as autoridades competentes de incidentes que perturbem significativamente ou que sejam suscetíveis de perturbar significativamente a prestação de serviços essenciais. Exceto se tal não for possível por razões operacionais, as entidades críticas deverão apresentar uma notificação inicial, o mais tardar, 24 horas após terem tido conhecimento de um incidente. A notificação inicial deverá conter apenas as informações estritamente necessárias para dar conhecimento do incidente à autoridade competente e dar à entidade crítica a possibilidade de procurar assistência, caso tal seja necessário. Essa notificação deverá indicar, sempre que possível, a causa presumida do incidente. Os Estados-Membros deverão garantir que a obrigação de apresentar esta notificação inicial não desvia os recursos da entidade crítica das atividades relacionadas com o tratamento de incidentes, às quais deverá ser atribuída prioridade. A notificação inicial deverá ser seguida, se for caso disso, de um relatório pormenorizado, o mais tardar um mês após o incidente. O relatório pormenorizado deverá complementar a notificação inicial e fornecer uma visão mais completa do incidente.

| (34) | A normalização deverá continuar a ser essencialmente um processo impulsionado pelo mercado. No entanto, podem ainda existir situações em que seja adequado exigir o cumprimento de normas específicas. Os Estados-Membros deverão, sempre que seja útil, incentivar a utilização de normas e de especificações técnicas europeias e internacionais que sejam pertinentes para as medidas de segurança e de resiliência aplicáveis às entidades críticas. |
| --- | --- |

(34)

A normalização deverá continuar a ser essencialmente um processo impulsionado pelo mercado. No entanto, podem ainda existir situações em que seja adequado exigir o cumprimento de normas específicas. Os Estados-Membros deverão, sempre que seja útil, incentivar a utilização de normas e de especificações técnicas europeias e internacionais que sejam pertinentes para as medidas de segurança e de resiliência aplicáveis às entidades críticas.

| (35) | Embora as entidades críticas operem geralmente como parte de uma rede cada vez mais interligada de prestação de serviços e infraestruturas e prestem, frequentemente, serviços essenciais em mais do que um Estado-Membro, algumas dessas entidades críticas revestem-se de especial relevância para a União e o seu mercado interno, uma vez que prestam serviços essenciais a, ou em, seis ou mais Estados-Membros e, por conseguinte, poderão beneficiar de apoio específico a nível da União. Deverão, pois, ser estabelecidas regras sobre missões consultivas destinadas a essas entidades críticas de especial relevância europeia. Essas regras não prejudicam as regras em matéria de supervisão e de execução coerciva estabelecidas na presente diretiva. |
| --- | --- |

(35)

Embora as entidades críticas operem geralmente como parte de uma rede cada vez mais interligada de prestação de serviços e infraestruturas e prestem, frequentemente, serviços essenciais em mais do que um Estado-Membro, algumas dessas entidades críticas revestem-se de especial relevância para a União e o seu mercado interno, uma vez que prestam serviços essenciais a, ou em, seis ou mais Estados-Membros e, por conseguinte, poderão beneficiar de apoio específico a nível da União. Deverão, pois, ser estabelecidas regras sobre missões consultivas destinadas a essas entidades críticas de especial relevância europeia. Essas regras não prejudicam as regras em matéria de supervisão e de execução coerciva estabelecidas na presente diretiva.

| (36) | Mediante pedido fundamentado da Comissão de um ou mais Estados-Membros aos quais ou nos quais seja prestado o serviço essencial, sempre que forem necessárias informações adicionais para poder aconselhar uma entidade crítica no cumprimento das obrigações que lhe incumbem por força da presente diretiva ou para avaliar o cumprimento dessas obrigações por parte de uma entidade crítica de especial relevância europeia, o Estado-Membro que tenha identificado uma entidade crítica de especial relevância europeia como sendo uma entidade crítica deverá facultar à Comissão determinadas informações estabelecidas na presente diretiva. De acordo com o Estado-Membro que tenha identificado a entidade crítica de especial relevância europeia como sendo uma entidade crítica, a Comissão deverá poder organizar uma missão consultiva para avaliar as medidas adotadas por essa entidade. A fim de garantir que tais missões consultivas sejam devidamente realizadas, deverão ser estabelecidas regras complementares, nomeadamente no que se refere à organização e realização das missões consultivas, às medidas de seguimento a tomar e às obrigações que incumbem às entidades críticas de especial relevância europeia em causa. Sem prejuízo da necessidade de o Estado-Membro em que a missão consultiva é realizada e de a entidade crítica em causa cumprirem as regras estabelecidas na presente diretiva, as missões consultivas deverão ser realizadas sob reserva das regras de execução do direito desse Estado-Membro, por exemplo, sobre as condições exatas a preencher para obter acesso a instalações ou documentos pertinentes e sobre as vias de recurso judicial. Os conhecimentos específicos necessários para a realização de tais missões consultivas podem, se for caso disso, ser solicitados através do Centro de Coordenação de Resposta de Emergência criado pela Decisão n.o 1313/2013/UE do Parlamento Europeu e do Conselho (22). |
| --- | --- |

(36)

Mediante pedido fundamentado da Comissão de um ou mais Estados-Membros aos quais ou nos quais seja prestado o serviço essencial, sempre que forem necessárias informações adicionais para poder aconselhar uma entidade crítica no cumprimento das obrigações que lhe incumbem por força da presente diretiva ou para avaliar o cumprimento dessas obrigações por parte de uma entidade crítica de especial relevância europeia, o Estado-Membro que tenha identificado uma entidade crítica de especial relevância europeia como sendo uma entidade crítica deverá facultar à Comissão determinadas informações estabelecidas na presente diretiva. De acordo com o Estado-Membro que tenha identificado a entidade crítica de especial relevância europeia como sendo uma entidade crítica, a Comissão deverá poder organizar uma missão consultiva para avaliar as medidas adotadas por essa entidade. A fim de garantir que tais missões consultivas sejam devidamente realizadas, deverão ser estabelecidas regras complementares, nomeadamente no que se refere à organização e realização das missões consultivas, às medidas de seguimento a tomar e às obrigações que incumbem às entidades críticas de especial relevância europeia em causa. Sem prejuízo da necessidade de o Estado-Membro em que a missão consultiva é realizada e de a entidade crítica em causa cumprirem as regras estabelecidas na presente diretiva, as missões consultivas deverão ser realizadas sob reserva das regras de execução do direito desse Estado-Membro, por exemplo, sobre as condições exatas a preencher para obter acesso a instalações ou documentos pertinentes e sobre as vias de recurso judicial. Os conhecimentos específicos necessários para a realização de tais missões consultivas podem, se for caso disso, ser solicitados através do Centro de Coordenação de Resposta de Emergência criado pela Decisão n.o 1313/2013/UE do Parlamento Europeu e do Conselho (22).

| (37) | A fim de apoiar a Comissão e facilitar a cooperação entre os Estados-Membros e o intercâmbio de informações, incluindo boas práticas, sobre questões relacionadas com a presente diretiva, deverá ser criado um Grupo para a Resiliência das Entidades Críticas, enquanto grupo de peritos da Comissão. Os Estados-Membros deverão esforçar-se por assegurar que os representantes designados das suas autoridades competentes no Grupo para a Resiliência das Entidades Críticas cooperam eficaz e eficientemente, nomeadamente mediante a designação de representantes com credenciação de segurança, se for caso disso. O Grupo para a Resiliência das Entidades Críticas deverá começar a desempenhar as suas funções logo que possível, a fim de proporcionar meios adicionais para uma cooperação adequada durante o período de transposição da presente diretiva. O Grupo para a Resiliência das Entidades Críticas deverá interagir com outros grupos de peritos setoriais pertinentes. |
| --- | --- |

(37)

A fim de apoiar a Comissão e facilitar a cooperação entre os Estados-Membros e o intercâmbio de informações, incluindo boas práticas, sobre questões relacionadas com a presente diretiva, deverá ser criado um Grupo para a Resiliência das Entidades Críticas, enquanto grupo de peritos da Comissão. Os Estados-Membros deverão esforçar-se por assegurar que os representantes designados das suas autoridades competentes no Grupo para a Resiliência das Entidades Críticas cooperam eficaz e eficientemente, nomeadamente mediante a designação de representantes com credenciação de segurança, se for caso disso. O Grupo para a Resiliência das Entidades Críticas deverá começar a desempenhar as suas funções logo que possível, a fim de proporcionar meios adicionais para uma cooperação adequada durante o período de transposição da presente diretiva. O Grupo para a Resiliência das Entidades Críticas deverá interagir com outros grupos de peritos setoriais pertinentes.

| (38) | O Grupo para a Resiliência das Entidades Críticas deverá colaborar com o grupo de cooperação criado ao abrigo da Diretiva (UE) 2022/2555, com vista a apoiar um quadro abrangente para a ciber-resiliência e a resiliência não relacionada com a cibersegurança das entidades críticas. O Grupo para a Resiliência das Entidades Críticas e o grupo de cooperação criado ao abrigo da Diretiva (UE) 2022/2555 deverão manter um diálogo regular, a fim de promover a cooperação entre as autoridades competentes nos termos da presente diretiva e da Diretiva (UE) 2022/2555 e facilitar o intercâmbio de informações, nomeadamente sobre temas pertinentes para ambos os grupos. |
| --- | --- |

(38)

O Grupo para a Resiliência das Entidades Críticas deverá colaborar com o grupo de cooperação criado ao abrigo da Diretiva (UE) 2022/2555, com vista a apoiar um quadro abrangente para a ciber-resiliência e a resiliência não relacionada com a cibersegurança das entidades críticas. O Grupo para a Resiliência das Entidades Críticas e o grupo de cooperação criado ao abrigo da Diretiva (UE) 2022/2555 deverão manter um diálogo regular, a fim de promover a cooperação entre as autoridades competentes nos termos da presente diretiva e da Diretiva (UE) 2022/2555 e facilitar o intercâmbio de informações, nomeadamente sobre temas pertinentes para ambos os grupos.

| (39) | A fim de alcançar os objetivos da presente diretiva, e sem prejuízo da responsabilidade jurídica dos Estados-Membros e das entidades críticas de assegurarem o cumprimento das respetivas obrigações nela estabelecidas, a Comissão deverá, sempre que considerar adequado, apoiar as autoridades competentes e as entidades críticas a fim de facilitar o cumprimento por parte destas das respetivas obrigações. Aquando da prestação de apoio aos Estados-Membros e às entidades críticas no cumprimento das obrigações decorrentes da presente diretiva, a Comissão deverá basear-se nas estruturas e instrumentos existentes, como os do Mecanismo de Proteção Civil da União Europeia, criado pela Decisão n.o 1313/2013/UE, e da rede europeia de referência para a proteção das infraestruturas críticas. Além disso, deverá informar os Estados-Membros dos recursos disponíveis a nível da União, nomeadamente no âmbito do Fundo para a Segurança Interna, criado pelo Regulamento (UE) 2021/1149 do Parlamento Europeu e do Conselho (23), do Horizonte Europa, criado pelo Regulamento (UE) 2021/695 do Parlamento Europeu e do Conselho (24), ou de outros instrumentos pertinentes para a resiliência das entidades críticas. |
| --- | --- |

(39)

A fim de alcançar os objetivos da presente diretiva, e sem prejuízo da responsabilidade jurídica dos Estados-Membros e das entidades críticas de assegurarem o cumprimento das respetivas obrigações nela estabelecidas, a Comissão deverá, sempre que considerar adequado, apoiar as autoridades competentes e as entidades críticas a fim de facilitar o cumprimento por parte destas das respetivas obrigações. Aquando da prestação de apoio aos Estados-Membros e às entidades críticas no cumprimento das obrigações decorrentes da presente diretiva, a Comissão deverá basear-se nas estruturas e instrumentos existentes, como os do Mecanismo de Proteção Civil da União Europeia, criado pela Decisão n.o 1313/2013/UE, e da rede europeia de referência para a proteção das infraestruturas críticas. Além disso, deverá informar os Estados-Membros dos recursos disponíveis a nível da União, nomeadamente no âmbito do Fundo para a Segurança Interna, criado pelo Regulamento (UE) 2021/1149 do Parlamento Europeu e do Conselho (23), do Horizonte Europa, criado pelo Regulamento (UE) 2021/695 do Parlamento Europeu e do Conselho (24), ou de outros instrumentos pertinentes para a resiliência das entidades críticas.

| (40) | Os Estados-Membros deverão assegurar que as suas autoridades competentes dispõem de determinados poderes específicos para assegurar a correta aplicação e execução da presente diretiva em relação a entidades críticas, sempre que essas entidades se encontrem sob a sua jurisdição, tal como especificado na presente diretiva. Esses poderes deverão incluir, nomeadamente, o poder de realizar inspeções e auditorias, o poder de exercer a supervisão, de exigir que as entidades críticas forneçam informações e elementos de prova relativos às medidas por si tomadas para cumprir as obrigações que lhes incumbem e, sempre que necessário, o poder de emitir ordens para corrigir as infrações identificadas. Ao emitir tais ordens, os Estados-Membros não deverão exigir medidas que vão além do necessário e proporcionado para assegurar a conformidade da entidade crítica em causa, tendo especialmente em conta a gravidade da infração e a capacidade económica da entidade crítica em questão. De um modo mais geral, esses poderes deverão ser acompanhados de garantias adequadas e eficazes a especificar no direito nacional em conformidade com a Carta dos Direitos Fundamentais da União Europeia. Ao avaliar o cumprimento, por uma entidade crítica, das obrigações que lhe incumbem nos termos da presente diretiva, as autoridades competentes nos termos da presente diretiva deverão poder solicitar às autoridades competentes nos termos da Diretiva (UE) 2022/2555 que exerçam os seus poderes de supervisão e de execução coerciva em relação a uma entidade nos termos dessa diretiva que tenha sido identificada como sendo uma entidade crítica nos termos da presente diretiva. As autoridades competentes nos termos da presente diretiva e as autoridades competentes nos termos da Diretiva (UE) 2022/2555 deverão colaborar e trocar informações para o efeito. |
| --- | --- |

(40)

Os Estados-Membros deverão assegurar que as suas autoridades competentes dispõem de determinados poderes específicos para assegurar a correta aplicação e execução da presente diretiva em relação a entidades críticas, sempre que essas entidades se encontrem sob a sua jurisdição, tal como especificado na presente diretiva. Esses poderes deverão incluir, nomeadamente, o poder de realizar inspeções e auditorias, o poder de exercer a supervisão, de exigir que as entidades críticas forneçam informações e elementos de prova relativos às medidas por si tomadas para cumprir as obrigações que lhes incumbem e, sempre que necessário, o poder de emitir ordens para corrigir as infrações identificadas. Ao emitir tais ordens, os Estados-Membros não deverão exigir medidas que vão além do necessário e proporcionado para assegurar a conformidade da entidade crítica em causa, tendo especialmente em conta a gravidade da infração e a capacidade económica da entidade crítica em questão. De um modo mais geral, esses poderes deverão ser acompanhados de garantias adequadas e eficazes a especificar no direito nacional em conformidade com a Carta dos Direitos Fundamentais da União Europeia. Ao avaliar o cumprimento, por uma entidade crítica, das obrigações que lhe incumbem nos termos da presente diretiva, as autoridades competentes nos termos da presente diretiva deverão poder solicitar às autoridades competentes nos termos da Diretiva (UE) 2022/2555 que exerçam os seus poderes de supervisão e de execução coerciva em relação a uma entidade nos termos dessa diretiva que tenha sido identificada como sendo uma entidade crítica nos termos da presente diretiva. As autoridades competentes nos termos da presente diretiva e as autoridades competentes nos termos da Diretiva (UE) 2022/2555 deverão colaborar e trocar informações para o efeito.

| (41) | A fim de assegurar que a presente diretiva é aplicada de forma efetiva e coerente, o poder de adotar atos nos termos do artigo 290.o do TFUE deverá ser delegado na Comissão para completar a presente diretiva através da elaboração de uma lista de serviços essenciais. Essa lista deverá ser utilizada pelas autoridades competentes para efeitos da realização de avaliações dos riscos do Estado-Membro e da identificação de entidades críticas nos termos da presente diretiva. À luz da abordagem de harmonização mínima na presente diretiva, essa lista não é exaustiva e os Estados-Membros poderão completá-la com serviços essenciais adicionais a nível nacional, a fim de ter em conta as especificidades nacionais na prestação de serviços essenciais. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (25). Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da preparação dos atos delegados. |
| --- | --- |

(41)

A fim de assegurar que a presente diretiva é aplicada de forma efetiva e coerente, o poder de adotar atos nos termos do artigo 290.o do TFUE deverá ser delegado na Comissão para completar a presente diretiva através da elaboração de uma lista de serviços essenciais. Essa lista deverá ser utilizada pelas autoridades competentes para efeitos da realização de avaliações dos riscos do Estado-Membro e da identificação de entidades críticas nos termos da presente diretiva. À luz da abordagem de harmonização mínima na presente diretiva, essa lista não é exaustiva e os Estados-Membros poderão completá-la com serviços essenciais adicionais a nível nacional, a fim de ter em conta as especificidades nacionais na prestação de serviços essenciais. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor (25). Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da preparação dos atos delegados.

| (42) | A fim de assegurar condições uniformes para a execução da presente diretiva, deverão ser atribuídas competências de execução à Comissão. Essas competências deverão ser exercidas nos termos do Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho (26). |
| --- | --- |

(42)

A fim de assegurar condições uniformes para a execução da presente diretiva, deverão ser atribuídas competências de execução à Comissão. Essas competências deverão ser exercidas nos termos do Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho (26).

| (43) | Atendendo a que os objetivos da presente diretiva, a saber, assegurar que os serviços essenciais para a manutenção de funções societais ou atividades económicas vitais sejam prestados sem entraves no mercado interno e reforçar a resiliência das entidades críticas que prestam tais serviços, não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, devido aos efeitos da ação considerada, ser mais bem alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, a presente diretiva não excede o necessário para alcançar esses objetivos. |
| --- | --- |

(43)

Atendendo a que os objetivos da presente diretiva, a saber, assegurar que os serviços essenciais para a manutenção de funções societais ou atividades económicas vitais sejam prestados sem entraves no mercado interno e reforçar a resiliência das entidades críticas que prestam tais serviços, não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, devido aos efeitos da ação considerada, ser mais bem alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, a presente diretiva não excede o necessário para alcançar esses objetivos.

| (44) | A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (27) e emitiu parecer em 11 de agosto de 2021. |
| --- | --- |

(44)

A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do 42.o, n.o 1, do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (27) e emitiu parecer em 11 de agosto de 2021.

| (45) | Por conseguinte, a Diretiva 2008/114/CE deverá ser revogada, |
| --- | --- |

(45)

Por conseguinte, a Diretiva 2008/114/CE deverá ser revogada,

ADOTARAM A PRESENTE DIRETIVA:

CAPÍTULO I

DISPOSIÇÕES GERAIS

Artigo 1.o

Objeto e âmbito de aplicação

1.   A presente diretiva:

| a) | Estabelece a obrigação de os Estados-Membros tomarem medidas específicas destinadas a assegurar que os serviços que são essenciais para a manutenção de funções societais ou atividades económicas vitais, no âmbito do artigo 114.o do TFUE, sejam prestados sem entraves no mercado interno, em especial a obrigação de identificarem as entidades críticas e de apoiarem as entidades críticas no cumprimento das obrigações que a estas sejam impostas; |
| --- | --- |

a)

Estabelece a obrigação de os Estados-Membros tomarem medidas específicas destinadas a assegurar que os serviços que são essenciais para a manutenção de funções societais ou atividades económicas vitais, no âmbito do artigo 114.o do TFUE, sejam prestados sem entraves no mercado interno, em especial a obrigação de identificarem as entidades críticas e de apoiarem as entidades críticas no cumprimento das obrigações que a estas sejam impostas;

| b) | Estabelece obrigações para as entidades críticas destinadas a reforçar a sua resiliência e a sua capacidade de prestar os serviços referidos na alínea a) no mercado interno; |
| --- | --- |

b)

Estabelece obrigações para as entidades críticas destinadas a reforçar a sua resiliência e a sua capacidade de prestar os serviços referidos na alínea a) no mercado interno;

| c) | Estabelece regras:






  i) | em matéria de supervisão das entidades críticas, |
| --- | --- | --- |

c)

Estabelece regras:

i)

em matéria de supervisão das entidades críticas,

| ii) | em matéria de execução coerciva, |
| --- | --- |

ii)

em matéria de execução coerciva,

| iii) | para a identificação das entidades críticas de especial relevância europeia e em matéria de missões consultivas destinadas a avaliar as medidas aplicadas por essas entidades para cumprirem as suas obrigações nos termos do capítulo III; |
| --- | --- |

iii)

para a identificação das entidades críticas de especial relevância europeia e em matéria de missões consultivas destinadas a avaliar as medidas aplicadas por essas entidades para cumprirem as suas obrigações nos termos do capítulo III;

| d) | Estabelece procedimentos comuns de cooperação e de elaboração de relatórios relativos à aplicação da presente diretiva; |
| --- | --- |

d)

Estabelece procedimentos comuns de cooperação e de elaboração de relatórios relativos à aplicação da presente diretiva;

| e) | Estabelece medidas destinadas a alcançar um elevado nível de resiliência das entidades críticas para assegurar a prestação de serviços essenciais no território da União e melhorar o funcionamento do mercado interno. |
| --- | --- |

e)

Estabelece medidas destinadas a alcançar um elevado nível de resiliência das entidades críticas para assegurar a prestação de serviços essenciais no território da União e melhorar o funcionamento do mercado interno.

2.   A presente diretiva não é aplicável às matérias abrangidas pela Diretiva (UE) 2022/2555, sem prejuízo do artigo 8.o da presente diretiva. À luz da relação entre a segurança física e cibersegurança das entidades críticas, os Estados-Membros asseguram que a presente diretiva e a Diretiva (UE) 2022/2555 são aplicadas de forma coordenada.

3.   Nos casos em que disposições de atos jurídicos setoriais específicos da União exijam que as entidades críticas tomem medidas destinadas a aumentar a sua resiliência, e se tais exigências forem reconhecidas pelos Estados-Membros como sendo pelo menos equivalentes às obrigações correspondentes estabelecidas na presente diretiva, as disposições pertinentes desta última, incluindo as disposições em matéria de supervisão e execução coerciva estabelecidas no capítulo VI, não são aplicáveis.

4.   Sem prejuízo do artigo 346.o do TFUE, as informações classificadas como confidenciais nos termos de regras da União ou de regras nacionais, tais como as regras em matéria de sigilo comercial, só podem ser trocadas com a Comissão e com outras autoridades pertinentes em conformidade com a presente diretiva nos casos em que esse intercâmbio seja necessário para efeitos de aplicação da presente diretiva. As informações trocadas limitam-se ao que for pertinente e proporcionado em relação ao objetivo desse intercâmbio. O intercâmbio de informações preserva a confidencialidade dessas informações e a segurança e os interesses comerciais das entidades críticas, respeitando simultaneamente a segurança dos Estados-Membros.

5.   A presente diretiva não prejudica a responsabilidade de os Estados-Membros salvaguardarem a segurança e defesa nacionais e a sua competência para salvaguardar outras funções essenciais do Estado, incluindo a garantia da integridade territorial do Estado e a manutenção da ordem pública.

6.   A presente diretiva não se aplica às entidades da administração pública que exerçam as suas atividades nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a investigação, deteção e repressão de infrações penais.

7.   Os Estados-Membros podem decidir que o disposto no artigo 11.o e nos capítulos III, IV e VI não é aplicável, total ou parcialmente, às entidades críticas específicas que exerçam atividades nos domínios da segurança nacional, da segurança pública, da defesa ou da aplicação da lei, incluindo a investigação, deteção e repressão de infrações penais, ou que prestem serviços exclusivamente às entidades da administração pública referidas no n.o 6 do presente artigo.

8.   As obrigações previstas na presente diretiva não implicam o fornecimento de informações cuja divulgação seja contrária aos interesses essenciais dos Estados-Membros em matéria de segurança nacional, segurança pública ou defesa.

9.   A presente diretiva não prejudica o direito da União em matéria de proteção de dados pessoais, nomeadamente o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (28) e a Diretiva 2002/58/CE do Parlamento Europeu e do Conselho (29).

Artigo 2.o

Definições

Para efeitos da presente diretiva, entende-se por:

| 1) | «Entidade crítica», uma entidade pública ou privada que tenha sido identificada por um Estado-Membro, nos termos do artigo 6.o, como pertencente a uma das categorias estabelecidas na terceira coluna do quadro constante do anexo; |
| --- | --- |

1)

«Entidade crítica», uma entidade pública ou privada que tenha sido identificada por um Estado-Membro, nos termos do artigo 6.o, como pertencente a uma das categorias estabelecidas na terceira coluna do quadro constante do anexo;

o

| 2) | «Resiliência», a capacidade de uma entidade crítica para prevenir incidentes, se proteger deles, lhes dar resposta, lhes resistir, os atenuar, os absorver, se adaptar a eles e recuperar deles; |
| --- | --- |

2)

«Resiliência», a capacidade de uma entidade crítica para prevenir incidentes, se proteger deles, lhes dar resposta, lhes resistir, os atenuar, os absorver, se adaptar a eles e recuperar deles;

| 3) | «Incidente», um evento que perturbe ou tenha potencial para perturbar significativamente a prestação de um serviço essencial, inclusive quando afetar os sistemas nacionais que salvaguardam o Estado de direito; |
| --- | --- |

3)

«Incidente», um evento que perturbe ou tenha potencial para perturbar significativamente a prestação de um serviço essencial, inclusive quando afetar os sistemas nacionais que salvaguardam o Estado de direito;

| 4) | «Infraestrutura crítica», um ativo, uma instalação, um equipamento, uma rede ou um sistema, no seu todo ou uma parte de um ativo, uma instalação, um equipamento, uma rede ou um sistema, que seja necessário para a prestação de um serviço essencial; |
| --- | --- |

4)

«Infraestrutura crítica», um ativo, uma instalação, um equipamento, uma rede ou um sistema, no seu todo ou uma parte de um ativo, uma instalação, um equipamento, uma rede ou um sistema, que seja necessário para a prestação de um serviço essencial;

| 5) | «Serviço essencial», um serviço que é indispensável à manutenção de funções societais ou atividades económicas vitais, da saúde e segurança pública ou do ambiente; |
| --- | --- |

5)

«Serviço essencial», um serviço que é indispensável à manutenção de funções societais ou atividades económicas vitais, da saúde e segurança pública ou do ambiente;

| 6) | «Risco», o potencial de perda ou perturbação causada por um incidente, expresso como uma combinação da magnitude de tal perda ou perturbação e da probabilidade de ocorrência do incidente; |
| --- | --- |

6)

«Risco», o potencial de perda ou perturbação causada por um incidente, expresso como uma combinação da magnitude de tal perda ou perturbação e da probabilidade de ocorrência do incidente;

| 7) | «Avaliação dos riscos», o processo geral levado a cabo para determinar a natureza e o alcance um risco, através da identificação e análise de potenciais ameaças, vulnerabilidades e perigos pertinentes suscetíveis de provocar um incidente, bem como através da avaliação da potencial perda ou perturbação da prestação de um serviço essencial causada por esse incidente; |
| --- | --- |

7)

«Avaliação dos riscos», o processo geral levado a cabo para determinar a natureza e o alcance um risco, através da identificação e análise de potenciais ameaças, vulnerabilidades e perigos pertinentes suscetíveis de provocar um incidente, bem como através da avaliação da potencial perda ou perturbação da prestação de um serviço essencial causada por esse incidente;

| 8) | «Norma», uma norma na aceção do artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho (30); |
| --- | --- |

8)

«Norma», uma norma na aceção do artigo 2.o, ponto 1, do Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho (30);

o

o

30

| 9) | «Especificação técnica», uma especificação técnica na aceção do artigo 2.o, ponto 4, do Regulamento (UE) n.o 1025/2012; |
| --- | --- |

9)

«Especificação técnica», uma especificação técnica na aceção do artigo 2.o, ponto 4, do Regulamento (UE) n.o 1025/2012;

o

o

| 10) | «Entidade da administração pública», uma entidade reconhecida como tal num Estado-Membro nos termos do direito nacional, excluindo os tribunais, os parlamentos ou os bancos centrais, que cumpra os seguintes critérios:






  a) | Ter sido criada para satisfazer necessidades de interesse geral e não ter caráter industrial ou comercial; |
| --- | --- | --- |

10)

«Entidade da administração pública», uma entidade reconhecida como tal num Estado-Membro nos termos do direito nacional, excluindo os tribunais, os parlamentos ou os bancos centrais, que cumpra os seguintes critérios:

a)

Ter sido criada para satisfazer necessidades de interesse geral e não ter caráter industrial ou comercial;

| b) | Ser dotada de personalidade jurídica ou estar habilitada por lei a agir em nome de outra entidade dotada de personalidade jurídica; |
| --- | --- |

b)

Ser dotada de personalidade jurídica ou estar habilitada por lei a agir em nome de outra entidade dotada de personalidade jurídica;

| c) | Ser financiada maioritariamente pelas autoridades do Estado ou por outros organismos centrais de direito público, a sua gestão estar sujeita a supervisão por parte dessas autoridades ou organismos, mais de metade dos membros dos seus órgãos de administração, direção ou fiscalização serem nomeados pelas autoridades do Estado ou por outros organismos centrais de direito público; |
| --- | --- |

c)

Ser financiada maioritariamente pelas autoridades do Estado ou por outros organismos centrais de direito público, a sua gestão estar sujeita a supervisão por parte dessas autoridades ou organismos, mais de metade dos membros dos seus órgãos de administração, direção ou fiscalização serem nomeados pelas autoridades do Estado ou por outros organismos centrais de direito público;

| d) | Ter competência para tomar decisões de natureza administrativa ou regulamentar que afetem os direitos de pessoas singulares ou coletivas no contexto da circulação transfronteiriça de pessoas, mercadorias, serviços ou capitais. |
| --- | --- |

d)

Ter competência para tomar decisões de natureza administrativa ou regulamentar que afetem os direitos de pessoas singulares ou coletivas no contexto da circulação transfronteiriça de pessoas, mercadorias, serviços ou capitais.

Artigo 3.o

Harmonização mínima

A presente diretiva não obsta a que os Estados-Membros adotem ou mantenham disposições de direito nacional destinadas a atingir um nível mais elevado de resiliência das entidades críticas, desde que essas disposições sejam compatíveis com as obrigações dos Estados-Membros estabelecidas no direito da União.

CAPÍTULO II

QUADROS NACIONAIS PARA A RESILIÊNCIA DAS ENTIDADES CRÍTICAS

Artigo 4.o

Estratégia para a resiliência das entidades críticas

1.   Na sequência de uma consulta que seja, na medida do praticável, aberta às partes interessadas pertinentes, cada Estado-Membro adota, até 17 de janeiro de 2026, uma estratégia para reforçar a resiliência das entidades críticas («estratégia»). A estratégia deve estabelecer objetivos estratégicos e medidas políticas, com base nas estratégias nacionais e setoriais, planos ou documentos similares pertinentes existentes, com vista a alcançar e manter um elevado nível de resiliência dessas entidades críticas e abranger, pelo menos, os setores estabelecidos no anexo.

2.   Cada estratégia contempla, pelo menos, os seguintes elementos:

| a) | Objetivos estratégicos e prioridades no intuito de reforçar a resiliência global das entidades críticas, tendo em conta as dependências e interdependências transfronteiriças e intersetoriais; |
| --- | --- |

a)

Objetivos estratégicos e prioridades no intuito de reforçar a resiliência global das entidades críticas, tendo em conta as dependências e interdependências transfronteiriças e intersetoriais;

| b) | Um quadro de governação para alcançar os objetivos estratégicos e as prioridades, incluindo uma descrição das funções e responsabilidades das diferentes autoridades, entidades críticas e outras partes envolvidas na execução da estratégia; |
| --- | --- |

b)

Um quadro de governação para alcançar os objetivos estratégicos e as prioridades, incluindo uma descrição das funções e responsabilidades das diferentes autoridades, entidades críticas e outras partes envolvidas na execução da estratégia;

| c) | Uma descrição das medidas necessárias para reforçar a resiliência global das entidades críticas, incluindo uma descrição da avaliação dos riscos a que se refere o artigo 5.o; |
| --- | --- |

c)

Uma descrição das medidas necessárias para reforçar a resiliência global das entidades críticas, incluindo uma descrição da avaliação dos riscos a que se refere o artigo 5.o;

| d) | Uma descrição do processo de identificação das entidades críticas; |
| --- | --- |

d)

Uma descrição do processo de identificação das entidades críticas;

| e) | Uma descrição do processo de apoio às entidades críticas em conformidade com o presente capítulo, nomeadamente das medidas destinadas a reforçar a cooperação entre o setor público, por um lado, e o setor privado e as entidades públicas e privadas, por outro; |
| --- | --- |

e)

Uma descrição do processo de apoio às entidades críticas em conformidade com o presente capítulo, nomeadamente das medidas destinadas a reforçar a cooperação entre o setor público, por um lado, e o setor privado e as entidades públicas e privadas, por outro;

| f) | Uma lista das principais autoridades e partes interessadas, com exceção das entidades críticas, envolvidas na execução da estratégia; |
| --- | --- |

f)

Uma lista das principais autoridades e partes interessadas, com exceção das entidades críticas, envolvidas na execução da estratégia;

| g) | Um quadro político para a coordenação entre as autoridades competentes nos termos da presente diretiva («autoridades competentes») e as autoridades competentes nos termos da Diretiva (UE) 2022/2555 para efeitos de partilha de informações sobre riscos de cibersegurança, ciberameaças e ciberincidentes, bem como riscos, ameaças e incidentes não relacionados com a cibersegurança, e do exercício de funções de supervisão; |
| --- | --- |

g)

Um quadro político para a coordenação entre as autoridades competentes nos termos da presente diretiva («autoridades competentes») e as autoridades competentes nos termos da Diretiva (UE) 2022/2555 para efeitos de partilha de informações sobre riscos de cibersegurança, ciberameaças e ciberincidentes, bem como riscos, ameaças e incidentes não relacionados com a cibersegurança, e do exercício de funções de supervisão;

| h) | Uma descrição das medidas já em vigor destinadas a facilitar o cumprimento das obrigações nos termos do capítulo III da presente diretiva pelas pequenas e médias empresas, na aceção do anexo da Recomendação 2003/361/CE da Comissão (31), que tenham sido identificadas como entidades críticas pelos Estados-Membros em questão. |
| --- | --- |

h)

Uma descrição das medidas já em vigor destinadas a facilitar o cumprimento das obrigações nos termos do capítulo III da presente diretiva pelas pequenas e médias empresas, na aceção do anexo da Recomendação 2003/361/CE da Comissão (31), que tenham sido identificadas como entidades críticas pelos Estados-Membros em questão.

Na sequência de uma consulta aberta, na medida do praticável, às partes interessadas pertinentes, os Estados-Membros atualizam as suas estratégias, pelo menos, de quatro em quatro anos.

3.   Os Estados-Membros comunicam à Comissão as suas estratégias, e as atualizações substanciais das mesmas, no prazo de três meses a contar da sua adoção.

Artigo 5.o

Avaliação dos riscos pelos Estados-Membros

1.   A Comissão fica habilitada a adotar um ato delegado, nos termos do artigo 23.o, até 17 de novembro de 2023, para completar a presente diretiva estabelecendo uma lista não exaustiva de serviços essenciais nos setores e subsetores estabelecidos no anexo. As autoridades competentes utilizam essa lista de serviços essenciais com vista a efetuar uma avaliação dos riscos («avaliação dos riscos do Estado-Membro») até 17 de janeiro de 2026, posteriormente sempre que necessário, e pelo menos de quatro em quatro anos. As autoridades competentes utilizam as avaliações dos riscos do Estado-Membro com vista a identificar as entidades críticas nos termos do artigo 6.o, bem como a ajudar essas entidades críticas a tomar medidas nos termos do artigo 13.o.

As avaliações dos riscos do Estado-Membro devem ter em conta os riscos naturais e de origem humana pertinentes, incluindo os de natureza intersetorial ou transfronteiriça, acidentes, catástrofes naturais, emergências de saúde pública e ameaças híbridas ou outras ameaças antagonistas, incluindo infrações terroristas, como previsto na Diretiva (UE) 2017/541 do Parlamento Europeu e do Conselho (32).

2.   Ao efetuar as avaliações dos riscos do Estado-Membro, os Estados-Membros devem ter em conta, pelo menos, os seguintes elementos:

| a) | A avaliação geral dos riscos realizada nos termos do artigo 6.o, n.o 1, da Decisão n.o 1313/2013/UE; |
| --- | --- |

a)

A avaliação geral dos riscos realizada nos termos do artigo 6.o, n.o 1, da Decisão n.o 1313/2013/UE;

| b) | Outras avaliações dos riscos pertinentes, realizadas em conformidade com os requisitos dos atos jurídicos setoriais específicos pertinentes da União, nomeadamente os Regulamentos (UE) 2017/1938 (33) e (UE) 2019/941 (34) do Parlamento Europeu e do Conselho e as Diretivas 2007/60/CE (35) e 2012/18/UE (36) do Parlamento Europeu e do Conselho; |
| --- | --- |

b)

Outras avaliações dos riscos pertinentes, realizadas em conformidade com os requisitos dos atos jurídicos setoriais específicos pertinentes da União, nomeadamente os Regulamentos (UE) 2017/1938 (33) e (UE) 2019/941 (34) do Parlamento Europeu e do Conselho e as Diretivas 2007/60/CE (35) e 2012/18/UE (36) do Parlamento Europeu e do Conselho;

| c) | Os riscos pertinentes decorrentes da medida em que os setores estabelecidos no anexo dependem uns dos outros, inclusive da medida em que dependem de entidades localizadas noutros Estados-Membros e em países terceiros, e o impacto que uma perturbação significativa num setor pode ter noutros setores, incluindo quaisquer riscos significativos para os cidadãos e o mercado interno; |
| --- | --- |

c)

Os riscos pertinentes decorrentes da medida em que os setores estabelecidos no anexo dependem uns dos outros, inclusive da medida em que dependem de entidades localizadas noutros Estados-Membros e em países terceiros, e o impacto que uma perturbação significativa num setor pode ter noutros setores, incluindo quaisquer riscos significativos para os cidadãos e o mercado interno;

| d) | As informações sobre incidentes notificados nos termos do artigo 15.o. |
| --- | --- |

d)

As informações sobre incidentes notificados nos termos do artigo 15.o.

Para efeitos do primeiro parágrafo, alínea c), os Estados-Membros cooperam com as autoridades competentes de outros Estados-Membros e as autoridades competentes de países terceiros, consoante o caso.

3.   Os Estados-Membros disponibilizam os elementos pertinentes das avaliações dos riscos do Estado-Membro, se for caso disso através dos seus pontos de contacto únicos, às entidades críticas que tiverem identificado nos termos do artigo 6.o. Os Estados-Membros asseguram que as informações facultadas às entidades críticas as ajudam a efetuar as suas avaliações dos riscos, nos termos do artigo 12.o, e a tomar medidas para assegurar a sua resiliência, nos termos do artigo 13.o.

4.   No prazo de três meses a contar da realização da avaliação dos riscos do Estado-Membro, um Estado-Membro fornece à Comissão as informações pertinentes sobre os tipos de riscos identificados nas avaliações dos riscos dos Estados-Membros, e os resultados dessas avaliações, discriminados por setor e subsetor estabelecidos no anexo.

5.   A Comissão elabora, em cooperação com os Estados-Membros, um modelo comum de comunicação voluntária para efeitos do cumprimento do disposto no n.o 4.

Artigo 6.o

Identificação das entidades críticas

1.   Até 17 de julho de 2026, cada Estado-Membro identifica as entidades críticas para os setores e subsetores estabelecidos no anexo.

2.   Ao identificar as entidades críticas nos termos do n.o 1, o Estado-Membro tem em conta os resultados da avaliação dos riscos do Estado-Membro e a sua estratégia, e aplica todos os seguintes critérios:

| a) | A entidade presta um ou mais serviços essenciais; |
| --- | --- |

a)

A entidade presta um ou mais serviços essenciais;

| b) | A entidade opera e as suas infraestruturas críticas estão localizadas no território deste Estado-Membro; e |
| --- | --- |

b)

A entidade opera e as suas infraestruturas críticas estão localizadas no território deste Estado-Membro; e

| c) | Um incidente teria efeitos perturbadores significativos, conforme determinados nos termos do artigo 7.o, n.o 1, sobre a prestação pela entidade de um ou mais serviços essenciais ou sobre a prestação de outros serviços essenciais nos setores estabelecidos no anexo que dependam desse serviço essencial ou desses serviços essenciais. |
| --- | --- |

c)

Um incidente teria efeitos perturbadores significativos, conforme determinados nos termos do artigo 7.o, n.o 1, sobre a prestação pela entidade de um ou mais serviços essenciais ou sobre a prestação de outros serviços essenciais nos setores estabelecidos no anexo que dependam desse serviço essencial ou desses serviços essenciais.

3.   Cada Estado-Membro elabora uma lista das entidades críticas identificadas nos termos do n.o 2 e assegura que essas entidades críticas são notificadas da sua identificação como entidades críticas no prazo de um mês a contar dessa identificação. Os Estados-Membros informam essas entidades críticas das suas obrigações nos termos dos capítulos III e IV e da data a partir da qual essas obrigações lhes são aplicáveis, sem prejuízo do artigo 8.o. Os Estados-Membros informam as entidades críticas dos setores estabelecidos nos n.os 3, 4 e 8 do quadro constante do anexo de que elas não têm obrigações nos termos dos capítulos III e IV, salvo se as disposições nacionais estabelecerem o contrário.

O capítulo III é aplicável às entidades críticas em causa dez meses a contar da data da notificação referida no primeiro parágrafo do presente número.

4.   Os Estados-Membros asseguram que as suas autoridades competentes nos termos da presente diretiva notificam às autoridades competentes nos termos da Diretiva (UE) 2022/2555 a identidade das entidades críticas que tiverem identificado nos termos do presente artigo no prazo de um mês a contar da referida identificação. Essa notificação especifica, se for caso disso, que as entidades críticas em causa são entidades críticas dos setores estabelecidos nos n.os 3, 4 e 8 do quadro constante do anexo da presente diretiva e que não têm obrigações nos termos dos capítulos III e IV da mesma.

5.   Os Estados-Membros, sempre que necessário e, em qualquer caso, pelo menos de quatro em quatro anos, reexaminam e, se for caso disso, atualizam a lista das entidades críticas identificadas a que se refere o n.o 3. Caso essas atualizações conduzam à identificação de outras entidades críticas, os n.os 3 e 4 são aplicáveis a essas outras entidades críticas. Além disso, os Estados-Membros asseguram que as entidades que, em resultado dessas atualizações, deixarem de ser identificadas como entidades críticas são notificadas atempadamente desse facto e do facto de que deixam de estar sujeitas às obrigações previstas no capítulo III a partir da data de receção dessa notificação.

6.   A Comissão elabora, em cooperação com os Estados-Membros, recomendações e orientações não vinculativas para apoiar os Estados-Membros na identificação de entidades críticas.

Artigo 7.o

Efeito perturbador significativo

1.   Ao determinar a importância de um efeito perturbador tal como referido no artigo 6.o, n.o 2, alínea c), os Estados-Membros têm em conta os seguintes critérios:

| a) | O número de utilizadores que dependem do serviço essencial prestado pela entidade em questão; |
| --- | --- |

a)

O número de utilizadores que dependem do serviço essencial prestado pela entidade em questão;

| b) | O grau em que outros setores e subsetores estabelecidos no anexo dependem do serviço essencial em questão; |
| --- | --- |

b)

O grau em que outros setores e subsetores estabelecidos no anexo dependem do serviço essencial em questão;

| c) | O possível impacto dos incidentes, em termos de intensidade e duração, sobre as atividades económicas e societais, o ambiente, a proteção e segurança públicas ou a saúde da população; |
| --- | --- |

c)

O possível impacto dos incidentes, em termos de intensidade e duração, sobre as atividades económicas e societais, o ambiente, a proteção e segurança públicas ou a saúde da população;

| d) | A quota de mercado da entidade no mercado do serviço essencial ou serviços essenciais em questão; |
| --- | --- |

d)

A quota de mercado da entidade no mercado do serviço essencial ou serviços essenciais em questão;

| e) | A zona geográfica suscetível de ser afetada por um incidente, incluindo um eventual impacto transfronteiriço, tendo em conta a vulnerabilidade associada ao grau de isolamento de determinados tipos de zonas geográficas, como sejam as regiões insulares, as regiões remotas ou as zonas montanhosas; |
| --- | --- |

e)

A zona geográfica suscetível de ser afetada por um incidente, incluindo um eventual impacto transfronteiriço, tendo em conta a vulnerabilidade associada ao grau de isolamento de determinados tipos de zonas geográficas, como sejam as regiões insulares, as regiões remotas ou as zonas montanhosas;

| f) | A importância da entidade na manutenção de um nível de serviço essencial suficiente, tendo em conta a disponibilidade de meios alternativos para a prestação desse serviço essencial. |
| --- | --- |

f)

A importância da entidade na manutenção de um nível de serviço essencial suficiente, tendo em conta a disponibilidade de meios alternativos para a prestação desse serviço essencial.

2.   Após a identificação das entidades críticas nos termos do artigo 6.o, n.o 1, cada Estado-Membro apresenta à Comissão, sem demora injustificada, as seguintes informações:

| a) | Uma lista de serviços essenciais nesse Estado-Membro caso haja outros serviços essenciais em comparação com a lista de serviços essenciais a que se refere o artigo 5.o, n.o 1; |
| --- | --- |

a)

Uma lista de serviços essenciais nesse Estado-Membro caso haja outros serviços essenciais em comparação com a lista de serviços essenciais a que se refere o artigo 5.o, n.o 1;

| b) | O número de entidades críticas identificadas para cada setor e subsetor estabelecidos no anexo e para cada serviço essencial; |
| --- | --- |

b)

O número de entidades críticas identificadas para cada setor e subsetor estabelecidos no anexo e para cada serviço essencial;

| c) | Quaisquer limiares aplicados para especificar um ou mais dos critérios referidos no n.o 1. |
| --- | --- |

c)

Quaisquer limiares aplicados para especificar um ou mais dos critérios referidos no n.o 1.

Os limiares referidos no primeiro parágrafo, alínea c), podem ser apresentados separadamente ou de forma agregada.

Os Estados-Membros transmitem subsequentemente as informações a que se refere o primeiro parágrafo sempre que necessário e, pelo menos, de quatro em quatro anos.

3.   A Comissão, após consulta ao Grupo para a Resiliência das Entidades Críticas a que se refere o artigo 19.o, adota orientações não vinculativas com vista a facilitar a aplicação dos critérios referidos no n.o 1 do presente artigo, tendo em conta as informações referidas no n.o 2 do presente artigo.

Artigo 8.o

Entidades críticas nos setores dos serviços bancários, das infraestruturas do mercado financeiro e das infraestruturas digitais

Os Estados-Membros asseguram que o disposto no artigo 11.o e nos capítulos III, IV e VI não é aplicável às entidades críticas que tiverem identificado nos setores estabelecidos nos n.os 3, 4 e 8 do quadro constante do anexo. Os Estados-Membros podem adotar ou manter disposições de direito nacional destinadas a atingir um nível mais elevado de resiliência das entidades críticas, desde que essas disposições sejam compatíveis com o direito da União aplicável.

o

os

Artigo 9.o

Autoridades competentes e ponto de contacto único

1.   Cada Estado-Membro designa ou estabelece uma ou mais autoridades competentes responsáveis pela correta aplicação e, sempre que necessário, pela execução coerciva do disposto na presente diretiva a nível nacional.

No que respeita às entidades críticas nos setores estabelecidos nos n.os 3 e 4 do quadro constante do anexo da presente diretiva, as autoridades competentes são, em princípio, as autoridades competentes referidas no artigo 46.o do Regulamento (UE) 2022/2554. No que respeita às entidades críticas no setor estabelecido no n.o 8 do quadro constante do anexo da presente diretiva, as autoridades competentes são, em princípio, as autoridades competentes nos termos da Diretiva (UE) 2022/2555. Os Estados-Membros podem designar uma autoridade competente diferente para os setores estabelecidos nos n.os 3, 4 e 8 do quadro constante do anexo da presente diretiva, em conformidade com os quadros nacionais existentes.

Sempre que os Estados-Membros designarem ou estabelecerem mais do que uma autoridade competente, devem definir claramente as funções de cada uma das autoridades em causa e assegurar que estas cooperam eficazmente no desempenho das suas funções ao abrigo da presente diretiva, nomeadamente no que diz respeito à designação e às atividades do ponto de contacto único a que se refere o n.o 2.

2.   Cada Estado-Membro designa ou estabelece um ponto de contacto único, para exercer uma função de ligação com vista a assegurar a cooperação transfronteiriça com os pontos de contacto únicos de outros Estados-Membros e com o Grupo para a Resiliência das Entidades Críticas a que se refere o artigo 19.o («ponto de contacto único»). Se for caso disso, um Estado-Membro designa o seu ponto de contacto único no âmbito de uma autoridade competente. Se for caso disso, um Estado-Membro pode dispor que o seu ponto de contacto único também exerce uma função de ligação com a Comissão e assegura a cooperação com países terceiros.

3.   Até 17 de julho de 2028 e, posteriormente, de dois em dois anos, os pontos de contacto únicos devem apresentar um relatório de síntese à Comissão e ao Grupo para a Resiliência das Entidades Críticas a que se refere o artigo 19.o sobre as notificações que eles tiverem recebido, incluindo o número de notificações, a natureza dos incidentes notificados e as medidas tomadas nos termos do artigo 15.o, n.o 3.

A Comissão, em cooperação com o Grupo para a Resiliência das Entidades Críticas, elabora um modelo comum de relatório. As autoridades competentes podem utilizar, a título voluntário, o modelo comum de relatório para efeitos da apresentação dos relatórios de síntese referidos no primeiro parágrafo.

4.   Cada Estado-Membro assegura que a sua autoridade competente e o seu ponto de contacto único dispõem dos poderes e dos recursos financeiros, humanos e técnicos adequados para desempenhar, de forma eficaz e eficiente, as funções que lhes são atribuídas.

5.   Cada Estado-Membro assegura que a sua autoridade competente, sempre que adequado e em conformidade com o direito da União e o direito nacional, consulta e coopera com outras autoridades nacionais pertinentes, incluindo as autoridades responsáveis pela proteção civil, pela aplicação da lei e pela proteção dos dados pessoais, bem como com as entidades críticas e as partes interessadas pertinentes.

6.   Cada Estado-Membro assegura que a sua autoridade competente nos termos da presente diretiva coopera e partilha informações com as autoridades competentes nos termos da Diretiva (UE) 2022/2555 no que diz respeito aos riscos de cibersegurança, ciberameaças e ciberincidentes, bem como riscos, ameaças e incidentes não relacionados com a cibersegurança, que afetam as entidades críticas, inclusive no que diz respeito às medidas pertinentes que tiverem sido tomadas pela sua autoridade competente e pelas autoridades competentes nos termos da Diretiva (UE) 2022/2555.

7.   No prazo de três meses a contar da designação ou do estabelecimento da autoridade competente e do ponto de contacto único, cada Estado-Membro notifica à Comissão a sua identidade e as suas funções e responsabilidades ao abrigo da presente diretiva, os seus dados e as eventuais alterações subsequentes. Os Estados-Membros informam a Comissão sempre que decidirem designar uma autoridade diferente das autoridades competentes referidas no n.o 1, segundo parágrafo, como autoridades competentes em relação às entidades críticas dos setores estabelecidos nos n.os 3, 4 e 8 do quadro constante do anexo. Cada Estado-Membro torna pública a identidade da sua autoridade competente e seu do ponto de contacto único.

8.   A Comissão disponibiliza ao público uma lista dos pontos de contacto únicos.

Artigo 10.o

Apoio dos Estados-Membros às entidades críticas

1.   Os Estados-Membros apoiam as entidades críticas no reforço da sua resiliência. Esse apoio pode incluir o desenvolvimento de documentação e metodologias de orientação, ajuda à organização de exercícios para testar a sua resiliência e a prestação de aconselhamento e formação ao pessoal das entidades críticas. Sem prejuízo das regras aplicáveis em matéria de auxílios estatais, os Estados-Membros podem proporcionar recursos financeiros às entidades críticas, sempre que necessário e justificado por objetivos de interesse público.

2.   Cada Estado-Membro assegura que a sua autoridade competente coopera e troca informações e boas práticas com as entidades críticas dos setores estabelecidas no anexo.

3.   Os Estados-Membros facilitam a partilha voluntária de informações entre entidades críticas sobre as matérias abrangidas pela presente diretiva, em conformidade com o direito da União e o direito nacional, em especial sobre informações classificadas e sensíveis, a concorrência e a proteção de dados pessoais.

Artigo 11.o

Cooperação entre os Estados-Membros

1.   Sempre que for caso disso, os Estados-Membros consultam-se mutuamente sobre as entidades críticas, a fim de assegurar uma aplicação coerente da presente diretiva. As referidas consultas incidem, em especial, sobre as entidades críticas que:

| a) | Utilizem infraestruturas críticas fisicamente ligadas entre dois ou mais Estados-Membros; |
| --- | --- |

a)

Utilizem infraestruturas críticas fisicamente ligadas entre dois ou mais Estados-Membros;

| b) | Façam parte de estruturas empresariais ligadas a entidades críticas noutros Estados-Membros, ou associadas a estas; |
| --- | --- |

b)

Façam parte de estruturas empresariais ligadas a entidades críticas noutros Estados-Membros, ou associadas a estas;

| c) | Tenham sido identificadas como entidades críticas num Estado-Membro e prestem serviços essenciais a outros ou noutros Estados-Membros. |
| --- | --- |

c)

Tenham sido identificadas como entidades críticas num Estado-Membro e prestem serviços essenciais a outros ou noutros Estados-Membros.

2.   As consultas referidas no n.o 1 devem ter por objetivo reforçar a resiliência das entidades críticas e, sempre que possível, reduzir os encargos administrativos das mesmas.

CAPÍTULO III

RESILIÊNCIA DAS ENTIDADES CRÍTICAS

Artigo 12.o

Avaliação dos riscos pelas entidades críticas

1.   Não obstante o prazo fixado no artigo 6.o, n.o 3, segundo parágrafo, os Estados-Membros asseguram que as entidades críticas efetuam uma avaliação dos riscos, no prazo de nove meses a contar da receção da notificação a que se refere o artigo 6.o, n.o 3, posteriormente sempre que necessário, e pelo menos de quatro em quatro anos, com base nas avaliações dos riscos do Estado-Membro e noutras fontes de informação pertinentes, a fim de avaliar todos os riscos pertinentes suscetíveis de perturbar a prestação dos seus serviços essenciais («avaliação dos riscos de entidade crítica»).

2.   As avaliações dos riscos de entidade crítica devem ter em conta todos os riscos naturais e de origem humana pertinentes, suscetíveis de provocar um incidente, incluindo os de natureza intersetorial ou transfronteiriça, acidentes, catástrofes naturais, emergências de saúde pública e ameaças híbridas e outras ameaças antagónicas, incluindo infrações terroristas, como previsto na Diretiva (UE) 2017/541. Uma avaliação dos riscos de entidade crítica tem em conta o grau em que outros setores estabelecidos no anexo dependem do serviço essencial prestado pela entidade crítica e o grau em que essa entidade crítica depende dos serviços essenciais prestados por outras entidades nesses outros setores, inclusive, se for caso disso, nos Estados-Membros vizinhos e países terceiros.

Sempre que uma entidade crítica tiver efetuado outras avaliações dos riscos ou elaborado documentos em conformidade com as obrigações estabelecidas noutros atos jurídicos que sejam pertinentes para a sua avaliação dos riscos de entidade crítica, pode utilizar essas avaliações e documentos para efeitos do cumprimento dos requisitos previstos no presente artigo. No exercício das suas funções de supervisão, a autoridade competente pode declarar que uma avaliação dos riscos existente efetuada por uma entidade crítica que aborde os riscos e o grau de dependência a que se refere o primeiro parágrafo do presente número cumpre, parcial ou totalmente, as obrigações por força do presente artigo.

Artigo 13.o

Medidas de resiliência das entidades críticas

1.   Os Estados-Membros asseguram que as entidades críticas tomam medidas técnicas, de segurança e organizativas adequadas e proporcionadas para garantir a sua resiliência, com base em informações pertinentes prestadas pelos Estados-Membros sobre a avaliação dos riscos do Estado-Membro e sobre os resultados da avaliação dos riscos de entidade crítica, incluindo as medidas necessárias para:

| a) | Prevenir a ocorrência de incidentes, tendo devidamente em conta a redução do risco de catástrofes e as medidas de adaptação às alterações climáticas; |
| --- | --- |

a)

Prevenir a ocorrência de incidentes, tendo devidamente em conta a redução do risco de catástrofes e as medidas de adaptação às alterações climáticas;

| b) | Assegurar uma proteção física adequada das suas instalações e infraestruturas críticas, tendo devidamente em conta, por exemplo, vedações, barreiras, ferramentas e rotinas de vigilância do perímetro, equipamento de deteção e controlos do acesso; |
| --- | --- |

b)

Assegurar uma proteção física adequada das suas instalações e infraestruturas críticas, tendo devidamente em conta, por exemplo, vedações, barreiras, ferramentas e rotinas de vigilância do perímetro, equipamento de deteção e controlos do acesso;

| c) | Dar resposta e resistir às consequências dos incidentes, bem como para as atenuar, tendo devidamente em conta a aplicação de procedimentos e protocolos de gestão de riscos e crises e de rotinas de alerta; |
| --- | --- |

c)

Dar resposta e resistir às consequências dos incidentes, bem como para as atenuar, tendo devidamente em conta a aplicação de procedimentos e protocolos de gestão de riscos e crises e de rotinas de alerta;

| d) | Recuperar de incidentes, tendo devidamente em conta a adoção de medidas de continuidade das atividades e a identificação de cadeias de abastecimento alternativas, a fim de retomar a prestação do serviço essencial; |
| --- | --- |

d)

Recuperar de incidentes, tendo devidamente em conta a adoção de medidas de continuidade das atividades e a identificação de cadeias de abastecimento alternativas, a fim de retomar a prestação do serviço essencial;

| e) | Assegurar uma gestão adequada das questões de segurança relacionadas com o pessoal, tendo devidamente em conta medidas como a definição das categorias de pessoal que exercem funções críticas, o estabelecimento de direitos de acesso a instalações, infraestruturas críticas e informações sensíveis, o estabelecimento de procedimentos para a realização de verificações de antecedentes nos termos do artigo 14.o e a designação das categorias de pessoas obrigatoriamente sujeitas a tais verificações de antecedentes, e a fixação de requisitos de formação e de qualificação adequados. |
| --- | --- |

e)

Assegurar uma gestão adequada das questões de segurança relacionadas com o pessoal, tendo devidamente em conta medidas como a definição das categorias de pessoal que exercem funções críticas, o estabelecimento de direitos de acesso a instalações, infraestruturas críticas e informações sensíveis, o estabelecimento de procedimentos para a realização de verificações de antecedentes nos termos do artigo 14.o e a designação das categorias de pessoas obrigatoriamente sujeitas a tais verificações de antecedentes, e a fixação de requisitos de formação e de qualificação adequados.

| f) | Sensibilizar o pessoal competente para as medidas referidas nas alíneas a) a e), tendo devidamente em conta formações, documentação informativa e exercícios. |
| --- | --- |

f)

Sensibilizar o pessoal competente para as medidas referidas nas alíneas a) a e), tendo devidamente em conta formações, documentação informativa e exercícios.

Para efeitos do primeiro parágrafo, alínea e), os Estados-Membros asseguram que as entidades críticas têm em conta o pessoal dos prestadores de serviços externos ao definir as categorias de pessoal que exercem funções críticas.

2.   Os Estados-Membros asseguram que as entidades críticas adotam e aplicam um plano de resiliência ou um documento ou documentos equivalentes, que descreva as medidas tomadas nos termos do n.o 1. Caso as entidades críticas tenham elaborado documentos ou tomado medidas em conformidade com as obrigações previstas noutros atos jurídicos da União que sejam pertinentes para as medidas a que se refere o n.o 1, podem utilizar essas medidas e documentos para efeitos do cumprimento dos requisitos estabelecidos no presente artigo. No exercício das suas funções de supervisão, a autoridade competente pode declarar que as medidas de reforço da resiliência existentes, tomadas por uma entidade crítica, que abordem, de forma adequada e proporcionada, as medidas técnicas, de segurança e organizativas a que se refere o n.o 1 cumprem, parcial ou totalmente, as obrigações previstas no presente artigo.

3.   Os Estados-Membros asseguram que cada entidade crítica designa um agente de ligação ou equivalente como ponto de contacto com as autoridades competentes.

4.   A pedido do Estado-Membro que identificou a entidade crítica em causa, e com o acordo desta, a Comissão organiza missões consultivas, nos termos do artigo 18.o, n.os 6, 8 e 9, com vista a prestar conselho à referida entidade crítica para o cumprimento das obrigações que a esta incumbem ao abrigo do capítulo III. A missão consultiva comunica as suas conclusões à Comissão, ao Estado-Membro e à entidade crítica em causa.

5.   A Comissão, após consulta ao Grupo para a Resiliência das Entidades Críticas referido no artigo 19.o, adota orientações não vinculativas com vista a especificar mais pormenorizadamente as medidas técnicas, de segurança e organizativas que podem ser tomadas nos termos do n.o 1 do presente artigo.

6.   A Comissão adota atos de execução a fim de estabelecer as especificações técnicas e metodológicas necessárias para a aplicação das medidas a que se refere o n.o 1 do presente artigo. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 24.o, n.o 2.

Artigo 14.o

Verificação de antecedentes

1.   Os Estados-Membros especificam as condições em que uma entidade crítica, em casos devidamente justificados e tendo em conta a avaliação dos riscos do Estado-Membro, está autorizada a apresentar pedidos de verificação de antecedentes relativos a pessoas que:

| a) | Exercem funções sensíveis na entidade crítica ou em proveito desta, nomeadamente funções relacionadas com a resiliência da entidade crítica; |
| --- | --- |

a)

Exercem funções sensíveis na entidade crítica ou em proveito desta, nomeadamente funções relacionadas com a resiliência da entidade crítica;

| b) | Estejam autorizadas a ter acesso, direto ou remoto, às suas instalações, informações ou sistemas de controlo, incluindo no contexto da segurança da entidade crítica; |
| --- | --- |

b)

Estejam autorizadas a ter acesso, direto ou remoto, às suas instalações, informações ou sistemas de controlo, incluindo no contexto da segurança da entidade crítica;

| c) | Sejam suscetíveis de serem recrutadas para cargos abrangidos pelos critérios estabelecidos na alínea a) ou alínea b). |
| --- | --- |

c)

Sejam suscetíveis de serem recrutadas para cargos abrangidos pelos critérios estabelecidos na alínea a) ou alínea b).

2.   Os pedidos referidos no n.o 1 do presente artigo devem ser avaliados num prazo razoável e tratados em conformidade com o direito e procedimentos nacionais, bem como com o direito da União pertinente e aplicável, nomeadamente o Regulamento (UE) 2016/679 e a Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho (37). As verificações de antecedentes devem ser proporcionadas e estritamente limitadas ao necessário. Devem ser realizadas exclusivamente para avaliar um potencial risco de segurança para a entidade crítica em questão.

3.   As verificações de antecedentes a que se refere o n.o 1 devem, pelo menos:

| a) | Corroborar a identidade da pessoa que sujeita a verificação de antecedentes; |
| --- | --- |

a)

Corroborar a identidade da pessoa que sujeita a verificação de antecedentes;

| b) | Verificar os registos criminais dessa pessoa no que respeita a infrações que sejam pertinentes para determinado cargo. |
| --- | --- |

b)

Verificar os registos criminais dessa pessoa no que respeita a infrações que sejam pertinentes para determinado cargo.

Sempre que efetuarem a verificação de antecedentes, os Estados-Membros devem utilizar o Sistema Europeu de Informação sobre Registos Criminais, de acordo com os procedimentos estabelecidos na Decisão-Quadro 2009/315/JAI e, se for caso disso e aplicável, no Regulamento (UE) 2019/816 para efeitos de obtenção de informações de registos criminais detidos por outros Estados-Membros. As autoridades centrais mencionadas no artigo 3.o, n.o 1, da Decisão-Quadro 2009/315/JAI e no artigo 3.o, n.o 5, do Regulamento (UE) 2019/816 devem responder aos pedidos de informações no prazo de 10 dias úteis a contar da data de receção do pedido nos termos do artigo 8.o, n.o 1, da Decisão-Quadro 2009/315/JAI.

Artigo 15.o

Notificação de incidentes

1.   Os Estados-Membros asseguram que as entidades críticas notificam, sem demora injustificada, à autoridade competente os incidentes que perturbam significativamente ou sejam suscetíveis de perturbar significativamente a prestação de serviços essenciais. Os Estados-Membros asseguram que, salvo impossibilidade operacional de o fazer, as entidades críticas apresentam uma notificação inicial no prazo de 24 horas após terem tido conhecimento de um incidente, seguida, se for caso disso, de um relatório pormenorizado apresentado no prazo de um mês após essa data. A fim de determinar a importância da perturbação, devem ser tidos em conta, em particular, os seguintes parâmetros:

| a) | O número e a percentagem de utilizadores afetados pela perturbação; |
| --- | --- |

a)

O número e a percentagem de utilizadores afetados pela perturbação;

| b) | A duração da perturbação; |
| --- | --- |

b)

A duração da perturbação;

| c) | A zona geográfica afetada pela perturbação, tendo em conta o seu eventual isolamento geográfico. |
| --- | --- |

c)

A zona geográfica afetada pela perturbação, tendo em conta o seu eventual isolamento geográfico.

Se um incidente tiver ou puder ter um impacto significativo na continuidade da prestação de serviços essenciais a, ou em, seis ou mais Estados-Membros, as autoridades competentes dos Estados-Membros afetados pelo incidente notificam-no à Comissão.

2.   As notificações referidas no n.o 1, primeiro parágrafo, devem incluir todas as informações disponíveis necessárias para permitir à autoridade competente compreender a natureza, a causa presumida e as possíveis consequências do incidente, nomeadamente todas as informações disponíveis necessárias para determinar o seu impacto transfronteiriço. As referidas notificações não acarretam responsabilidades acrescidas para as entidades críticas.

3.   Com base nas informações prestadas por uma entidade crítica numa notificação referida no n.o 1, a autoridade competente pertinente, através do ponto de contacto único, informa o ponto de contacto único de outros Estados-Membros afetados se o incidente tiver ou puder ter um impacto significativo nas entidades críticas e na continuidade da prestação de serviços essenciais a um ou a mais Estados-Membros, ou num ou em mais Estados-Membros.

Os pontos de contacto únicos que transmitam e recebam informações nos termos do primeiro parágrafo devem, em conformidade com o direito da União ou com o direito nacional, tratar essas informações de forma a respeitar a sua confidencialidade e a proteger a segurança e os interesses comerciais da entidade crítica em causa.

4.   Logo que possível, após uma notificação referida no n.o 1, a autoridade competente em questão faculta à entidade crítica em causa informações pertinentes sobre o seguimento dado, incluindo informações que possam apoiar a resposta eficaz da entidade crítica ao incidente em questão. Os Estados-Membros informam o público caso concluam que tal é do interesse público.

Artigo 16.o

Normas

A fim de promover a aplicação convergente da presente diretiva, os Estados-Membros devem, sempre que seja útil e sem impor nem discriminar a favor da utilização de um determinado tipo de tecnologia, incentivar a utilização de normas ou especificações técnicas europeias e internacionais pertinentes para as medidas de segurança e de resiliência aplicáveis às entidades críticas.

CAPÍTULO IV

ENTIDADES CRÍTICAS DE ESPECIAL RELEVÂNCIA EUROPEIA

Artigo 17.o

Identificação das entidades críticas de especial relevância europeia

1.   Uma entidade é considerada uma entidade crítica de especial relevância europeia se:

| a) | Tiver sido identificada como entidade crítica nos termos do artigo 6.o, n.o 1; |
| --- | --- |

a)

Tiver sido identificada como entidade crítica nos termos do artigo 6.o, n.o 1;

| b) | Prestar serviços essenciais iguais ou semelhantes a, ou em, seis ou mais Estados-Membros; e |
| --- | --- |

b)

Prestar serviços essenciais iguais ou semelhantes a, ou em, seis ou mais Estados-Membros; e

| c) | Tiver sido notificada nos termos do n.o 3 do presente artigo. |
| --- | --- |

c)

Tiver sido notificada nos termos do n.o 3 do presente artigo.

2.   Os Estados-Membros asseguram que, após a notificação a que se refere o artigo 6.o, n.o 3, a entidade crítica informe a sua autoridade competente se prestar serviços essenciais a, ou em, seis ou mais Estados-Membros. Nesse caso, os Estados-Membros asseguram que a entidade crítica informe a sua autoridade competente de quais são os serviços essenciais que presta aos ou nos Estados-Membros referidos e de quais são os Estados-Membros aos quais ou nos quais presta esses serviços essenciais. Os Estados-Membros notificam, sem demora injustificada, à Comissão a identidade das referidas entidades críticas e as informações que facultam nos termos do presente número.

A Comissão consulta a autoridade competente do Estado-Membro que tiver identificado uma entidade crítica referida no primeiro parágrafo, a autoridade competente de outros Estados-Membros em causa e a entidade crítica em questão. No âmbito dessas consultas, cada Estado-Membro informa a Comissão caso considere que os serviços que lhe são prestados pela entidade crítica são serviços essenciais.

3.   Se a Comissão determinar, com base nas consultas referidas no n.o 2 do presente artigo, que a entidade crítica em causa presta serviços essenciais a, ou em, seis ou mais Estados-Membros, notifica essa entidade crítica, por intermédio da respetiva autoridade competente, de que é considerada uma entidade crítica de especial relevância europeia e informa-a das suas obrigações nos termos do presente capítulo e da data a partir da qual essas obrigações lhe são aplicadas. Assim que a Comissão informar a autoridade competente da sua decisão de considerar uma entidade crítica como sendo uma entidade crítica de especial relevância europeia, a autoridade competente reencaminha, sem demora injustificada, essa notificação para a entidade crítica.

4.   O presente capítulo é aplicável à entidade crítica de especial relevância europeia em causa a partir da data de receção da notificação a que se refere o n.o 3 do presente artigo.

Artigo 18.o

Missões consultivas

1.   A pedido do Estado-Membro que tiver identificado uma entidade crítica de especial relevância europeia como sendo uma entidade crítica nos termos do artigo 6.o, n.o 1, a Comissão organiza uma missão consultiva destinada a avaliar as medidas aplicadas por essa entidade crítica para cumprir as suas obrigações nos termos do capítulo III.

2.   Por sua iniciativa própria ou a pedido de um ou mais Estados-Membros aos quais ou nos quais é prestado o serviço essencial, e desde que o Estado-Membro que tiver identificado uma entidade crítica de especial relevância europeia como sendo uma entidade crítica nos termos do artigo 6.o, n.o 1, dê o seu acordo, a Comissão organiza a missão consultiva a que se refere o n.o 1 do presente artigo.

3.   A pedido fundamentado da Comissão ou de um ou mais Estados-Membros aos quais ou nos quais é prestado o serviço essencial, o Estado-Membro que tiver identificado uma entidade crítica de especial relevância europeia como sendo uma entidade crítica nos termos do artigo 6.o, n.o 1, fornece à Comissão os seguintes elementos:

| a) | As partes pertinentes da avaliação dos riscos de entidade crítica; |
| --- | --- |

a)

As partes pertinentes da avaliação dos riscos de entidade crítica;

| b) | Uma lista das medidas pertinentes tomadas nos termos do artigo 13.o; |
| --- | --- |

b)

Uma lista das medidas pertinentes tomadas nos termos do artigo 13.o;

| c) | As medidas de supervisão ou de execução coerciva, incluindo as avaliações de conformidade ou as ordens emitidas, que a sua autoridade competente tiver tomado nos termos dos artigos 21.o e 22.o em relação à entidade crítica em questão. |
| --- | --- |

c)

As medidas de supervisão ou de execução coerciva, incluindo as avaliações de conformidade ou as ordens emitidas, que a sua autoridade competente tiver tomado nos termos dos artigos 21.o e 22.o em relação à entidade crítica em questão.

4.   A missão consultiva comunica as suas conclusões à Comissão, ao Estado-Membro que tiver identificado uma entidade crítica de especial relevância europeia como sendo uma entidade crítica nos termos do artigo 6.o, n.o 1, aos Estados-Membros aos quais ou nos quais o serviço essencial é prestado e à entidade crítica em causa no prazo de três meses a contar da conclusão da missão.

Os Estados-Membros aos quais ou nos quais é prestado o serviço essencial analisam o relatório referido no primeiro parágrafo e, sempre que necessário, aconselham a Comissão dando-lhe indicações sobre o cumprimento pela entidade crítica de especial relevância europeia em causa das suas obrigações nos termos do capítulo III e, se for caso disso, sobre as medidas que poderão ser tomadas para melhorar a resiliência dessa entidade crítica.

Com base no aconselhamento referido no segundo parágrafo do presente número, a Comissão comunica ao Estado-Membro que tiver identificado uma entidade crítica de especial relevância europeia como sendo uma entidade crítica nos termos do artigo 6.o, n.o 1, aos Estados-Membros aos quais ou nos quais é prestado o serviço essencial e à própria entidade crítica o seu parecer sobre se esta última cumpre as suas obrigações nos termos do capítulo III e, se for caso disso, quais as medidas que poderão ser tomadas para melhorar a resiliência dessa entidade crítica.

O Estado-Membro que tiver identificado uma entidade crítica de especial relevância europeia como sendo uma entidade crítica nos termos do artigo 6.o, n.o 1, assegura que a sua autoridade competente e a entidade crítica em causa têm devidamente em conta o parecer referido no terceiro parágrafo do presente número e faculta informações à Comissão e aos Estados-Membros aos quais ou nos quais é prestado o serviço essencial sobre as medidas que tiver tomado em conformidade com o referido parecer.

5.   Cada missão consultiva é composta por peritos do Estado-Membro em que está localizada a entidade crítica de especial relevância europeia, por peritos dos Estados-Membros aos quais ou nos quais é prestado o serviço essencial e por representantes da Comissão. Esses Estados-Membros podem propor candidatos para fazerem parte das missões consultivas. A Comissão, após consulta ao Estado-Membro que tiver identificado uma entidade crítica de especial relevância europeia como sendo uma entidade crítica nos termos do artigo 6.o, n.o 1, seleciona e nomeia os membros de cada missão consultiva em função da sua capacidade profissional, assegurando, sempre que possível, uma representação geograficamente equilibrada de todos esses Estados-Membros. Sempre que necessário, os membros da missão consultiva devem dispor de uma credenciação de segurança válida e adequada. A Comissão suporta os custos relacionados com a participação na missão consultiva.

A Comissão organiza o programa de cada missão consultiva, em consulta com os membros da missão consultiva em questão e em concertação com o Estado-Membro que tiver identificado uma entidade crítica de especial relevância europeia como sendo uma entidade crítica nos termos do artigo 6.o, n.o 1.

6.   A Comissão adota um ato de execução que estabeleça as regras processuais relativas aos pedidos para organizar missões consultivas, ao tratamento desses pedidos, à realização das missões consultivas e aos seus relatórios, bem como ao tratamento da comunicação do parecer da Comissão referido no n.o 4, terceiro parágrafo, do presente artigo e das medidas tomadas, tendo devidamente em conta a confidencialidade e a sensibilidade comercial das informações em causa. O referido ato de execução é adotado pelo procedimento de exame a que se refere o artigo 24.o, n.o 2.

7.   Os Estados-Membros asseguram que as entidades críticas de especial relevância europeia em causa facultem às missões consultivas acesso a informações, sistemas e instalações relacionados com a prestação dos seus serviços essenciais necessários à realização da missão consultiva em questão.

8.   As missões consultivas devem ser realizadas em conformidade com o direito nacional aplicável do Estado-Membro em que são efetuadas, no respeito pela responsabilidade desse Estado-Membro pela segurança nacional e pela defesa dos seus interesses em matéria de segurança.

9.   Ao organizar as missões consultivas, a Comissão tem em conta os relatórios das inspeções efetuadas pela Comissão ao abrigo dos Regulamentos (CE) n.o 725/2004 e (CE) n.o 300/2008, bem como os relatórios de qualquer controlo efetuado pela Comissão ao abrigo da Diretiva 2005/65/CE relativamente à entidade crítica em questão.

10.   A Comissão informa o Grupo para a Resiliência das Entidades Críticas referido no artigo 19.o sempre que for organizada uma missão consultiva. O Estado-Membro em que se realizou a missão consultiva e a Comissão informam igualmente o Grupo para a Resiliência das Entidades Críticas das principais conclusões da missão consultiva e dos ensinamentos daí retirados, com vista a promover a aprendizagem mútua.

CAPÍTULO V

COOPERAÇÃO E APRESENTAÇÃO DE RELATÓRIOS

Artigo 19.o

Grupo para a Resiliência das Entidades Críticas

1.   É criado um Grupo para a Resiliência das Entidades Críticas. O Grupo para a Resiliência das Entidades Críticas apoia a Comissão e facilita a cooperação entre os Estados-Membros e o intercâmbio de informações sobre questões relacionadas com a presente diretiva.

2.   O Grupo para a Resiliência das Entidades Críticas é composto por representantes dos Estados-Membros e da Comissão com credenciação de segurança, se for caso disso. Se tal for pertinente para o desempenho das suas atribuições, o Grupo para a Resiliência das Entidades Críticas pode convidar partes interessadas pertinentes a participar nos seus trabalhos. A pedido do Parlamento Europeu, a Comissão pode convidar peritos do Parlamento Europeu a participarem nas reuniões do Grupo para a Resiliência das Entidades Críticas.

O representante da Comissão preside ao Grupo para a Resiliência das Entidades Críticas.

3.   O Grupo para a Resiliência das Entidades Críticas tem as seguintes atribuições:

| a) | Ajudar a Comissão a prestar assistência aos Estados-Membros no reforço da sua capacidade para assegurar a resiliência das entidades críticas em conformidade com a presente diretiva; |
| --- | --- |

a)

Ajudar a Comissão a prestar assistência aos Estados-Membros no reforço da sua capacidade para assegurar a resiliência das entidades críticas em conformidade com a presente diretiva;

| b) | Analisar as estratégias a fim de identificar as boas práticas no que respeita às estratégias; |
| --- | --- |

b)

Analisar as estratégias a fim de identificar as boas práticas no que respeita às estratégias;

| c) | Facilitar o intercâmbio de boas práticas relativamente à identificação de entidades críticas pelos Estados-Membros, nos termos do artigo 6.o, n.o 1, nomeadamente no que diz respeito às dependências transfronteiriças e intersetoriais, bem como aos riscos e incidentes; |
| --- | --- |

c)

Facilitar o intercâmbio de boas práticas relativamente à identificação de entidades críticas pelos Estados-Membros, nos termos do artigo 6.o, n.o 1, nomeadamente no que diz respeito às dependências transfronteiriças e intersetoriais, bem como aos riscos e incidentes;

| d) | Se for caso disso, dar contributos sobre questões relacionadas com a presente diretiva para os documentos relativos à resiliência a nível da União; |
| --- | --- |

d)

Se for caso disso, dar contributos sobre questões relacionadas com a presente diretiva para os documentos relativos à resiliência a nível da União;

| e) | Contribuir para a elaboração das orientações a que se referem o artigo 7.o, n.o 3, e o artigo 13.o, n.o 5, e, mediante pedido, dos atos delegados ou atos de execução adotados por força da presente diretiva; |
| --- | --- |

e)

Contribuir para a elaboração das orientações a que se referem o artigo 7.o, n.o 3, e o artigo 13.o, n.o 5, e, mediante pedido, dos atos delegados ou atos de execução adotados por força da presente diretiva;

| f) | Analisar os relatórios de síntese a que se refere o artigo 9.o, n.o 3, com vista a promover a partilha de boas práticas sobre as medidas tomadas nos termos do artigo 15.o, n.o 3; |
| --- | --- |

f)

Analisar os relatórios de síntese a que se refere o artigo 9.o, n.o 3, com vista a promover a partilha de boas práticas sobre as medidas tomadas nos termos do artigo 15.o, n.o 3;

| g) | Proceder à troca de boas práticas relacionadas com a notificação de incidentes referida no artigo 15.o; |
| --- | --- |

g)

Proceder à troca de boas práticas relacionadas com a notificação de incidentes referida no artigo 15.o;

| h) | Debater os relatórios de síntese das missões consultivas e os ensinamentos retirados, nos termos do artigo 18.o, n.o 10; |
| --- | --- |

h)

Debater os relatórios de síntese das missões consultivas e os ensinamentos retirados, nos termos do artigo 18.o, n.o 10;

| i) | Proceder ao intercâmbio de informações e de boas práticas em matéria de inovação, investigação e desenvolvimento relacionadas com a resiliência das entidades críticas, em conformidade com a presente diretiva; |
| --- | --- |

i)

Proceder ao intercâmbio de informações e de boas práticas em matéria de inovação, investigação e desenvolvimento relacionadas com a resiliência das entidades críticas, em conformidade com a presente diretiva;

| j) | Se for caso disso, proceder ao intercâmbio de informações com as instituições, órgãos e organismos competentes da União sobre questões relacionadas com a resiliência das entidades críticas. |
| --- | --- |

j)

Se for caso disso, proceder ao intercâmbio de informações com as instituições, órgãos e organismos competentes da União sobre questões relacionadas com a resiliência das entidades críticas.

4.   Até 17 de janeiro de 2025, e, posteriormente, de dois em dois anos, o Grupo para a Resiliência das Entidades Críticas define um programa de trabalho relativo às ações a empreender para cumprir os seus objetivos e as suas atribuições. Esse programa de trabalho deve ser coerente com os requisitos e objetivos da presente diretiva.

5.   O Grupo para a Resiliência das Entidades Críticas reúne-se periodicamente e, em todo o caso, pelo menos, uma vez por ano com o grupo de cooperação criado ao abrigo da Diretiva (UE) 2022/2555 para promover e facilitar a cooperação e o intercâmbio de informações.

6.   A Comissão pode adotar atos de execução que estabeleçam as disposições processuais necessárias ao funcionamento do Grupo para a Resiliência das Entidades Críticas, no respeito do artigo 1.o, n.o 4. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 24.o, n.o 2.

7.   A Comissão apresenta ao Grupo para a Resiliência das Entidades Críticas um relatório de síntese das informações prestadas pelos Estados-Membros nos termos do artigo 4.o, n.o 3, e do artigo 5.o, n.o 4, até 17 de janeiro de 2027, posteriormente sempre que necessário e, pelo menos, de quatro em quatro anos.

Artigo 20.o

Apoio da Comissão às autoridades competentes e às entidades críticas

1.   A Comissão apoia, se for caso disso, os Estados-Membros e as entidades críticas no cumprimento das obrigações que lhes incumbem por força da presente diretiva. A Comissão elabora uma panorâmica a nível da União dos riscos transfronteiriços e intersetoriais para a prestação de serviços essenciais, organiza as missões consultivas a que se referem o artigo 13.o, n.o 4, e o artigo 18.o, e facilita o intercâmbio de informações entre Estados-Membros e peritos de toda a União.

2.   A Comissão complementa as atividades dos Estados-Membros referidas no artigo 10.o desenvolvendo boas práticas, documentação e metodologias de orientação, bem como atividades de formação e exercícios transfronteiriços para testar a resiliência das entidades críticas.

3.   A Comissão informa os Estados-Membros dos recursos financeiros a nível da União que lhes são disponibilizados para reforçarem a resiliência das entidades críticas.

CAPÍTULO VI

SUPERVISÃO E EXECUÇÃO COERCIVA

Artigo 21.o

Supervisão e execução coerciva

1.   A fim de avaliar o cumprimento das entidades identificadas pelos Estados-Membros como sendo entidades críticas nos termos do artigo 6.o, n.o 1, das obrigações previstas na presente diretiva, os Estados-Membros asseguram que as autoridades competentes dispõem dos poderes e dos meios necessários para:

| a) | Realizar inspeções no local das infraestruturas críticas e das instalações que a entidade crítica utiliza para prestar os seus serviços essenciais, e supervisionar fora do local as medidas tomadas pelas entidades críticas nos termos do artigo 13.o; |
| --- | --- |

a)

Realizar inspeções no local das infraestruturas críticas e das instalações que a entidade crítica utiliza para prestar os seus serviços essenciais, e supervisionar fora do local as medidas tomadas pelas entidades críticas nos termos do artigo 13.o;

| b) | Realizar ou encomendar auditorias a entidades críticas. |
| --- | --- |

b)

Realizar ou encomendar auditorias a entidades críticas.

2.   Os Estados-Membros asseguram que as autoridades competentes dispõem dos poderes e dos meios para exigir, sempre que tal for necessário para o exercício das suas atribuições nos termos da presente diretiva, que as entidades nos termos da Diretiva (UE) 2022/2555 que os Estados-Membros tiverem identificado como sendo entidades críticas nos termos da presente diretiva facultem, num prazo razoável fixado pelas referidas autoridades:

| a) | As informações necessárias para avaliar se as medidas tomadas por essas entidades para assegurar a sua resiliência cumprem os requisitos do artigo 13.o; |
| --- | --- |

a)

As informações necessárias para avaliar se as medidas tomadas por essas entidades para assegurar a sua resiliência cumprem os requisitos do artigo 13.o;

| b) | Elementos comprovativos da aplicação efetiva dessas medidas, incluindo os resultados de uma auditoria realizada por um auditor independente e qualificado selecionado por essa entidade a expensas desta. |
| --- | --- |

b)

Elementos comprovativos da aplicação efetiva dessas medidas, incluindo os resultados de uma auditoria realizada por um auditor independente e qualificado selecionado por essa entidade a expensas desta.

Ao requererem essas informações, as autoridades competentes devem declarar a finalidade do seu pedido e especificar as informações requeridas.

3.   Sem prejuízo da possibilidade de impor sanções por força do artigo 22.o, as autoridades competentes podem, na sequência das medidas de supervisão a que se refere o n.o 1 do presente artigo ou da avaliação das informações a que se refere o n.o 2 do presente artigo, ordenar às entidades críticas em causa que tomem as medidas necessárias e proporcionadas para corrigir as infrações identificadas à presente diretiva, num prazo razoável fixado pelas referidas autoridades, e que as informem das medidas tomadas. Tais ordens devem ter em conta, nomeadamente, a gravidade da infração.

4.   Os Estados-Membros asseguram que os poderes previstos nos n.os 1, 2 e 3 só podem ser exercidos com as garantias adequadas. Tais garantias asseguram, em especial, que esses poderes são exercidos de forma objetiva, transparente e proporcionada e que os direitos e interesses legítimos das entidades críticas afetadas, como a proteção dos segredos comerciais, são devidamente salvaguardados, incluindo o direito de serem ouvidas, o direito de defesa e o direito de um recurso efetivo perante um tribunal independente.

5.   Os Estados-Membros asseguram que, caso uma autoridade competente nos termos da presente diretiva avalie a cumprimento de uma entidade crítica ao abrigo do presente artigo, essa autoridade competente informa as autoridades competentes dos Estados-Membros em causa ao abrigo da Diretiva (UE) 2022/2555. Para o efeito, os Estados-Membros asseguram que as autoridades competentes nos termos da presente diretiva podem solicitar às autoridades competentes nos termos da Diretiva (UE) 2022/2555 que exerçam os seus poderes de supervisão e execução coerciva em relação a uma entidade ao abrigo dessa diretiva que tenha sido identificada como sendo uma entidade crítica nos termos da presente diretiva. Para o efeito, os Estados-Membros asseguram que as autoridades competentes nos termos da presente diretiva cooperam e trocam informações com as autoridades competentes nos termos da Diretiva (UE) 2022/2555.

Artigo 22.o

Sanções

Os Estados-Membros estabelecem as regras relativas às sanções aplicáveis em caso de violação das disposições nacionais adotadas nos termos da presente diretiva e tomam todas as medidas necessárias para garantir a sua aplicação. As sanções previstas devem ser efetivas, proporcionadas e dissuasivas. Os Estados-Membros notificam a Comissão, até 17 de outubro de 2024, dessas regras e dessas medidas e também, sem demora, de qualquer alteração ulterior.

CAPÍTULO VII

ATOS DELEGADOS E ATOS DE EXECUÇÃO

Artigo 23.o

Exercício da delegação

1.   O poder de adotar atos delegados é conferido à Comissão nas condições estabelecidas no presente artigo.

2.   O poder de adotar atos delegados a que se refere o artigo 5.o, n.o 1, é conferido à Comissão por um prazo de cinco anos a contar de 16 de janeiro de 2023.

3.   A delegação de poderes referida no artigo 5.o, n.o 1, pode ser revogada em qualquer momento pelo Parlamento Europeu ou pelo Conselho. A decisão de revogação põe termo à delegação dos poderes nela especificados. A decisão de revogação produz efeitos a partir do dia seguinte ao da sua publicação no Jornal Oficial da União Europeia ou de uma data posterior nela especificada. A decisão de revogação não afeta os atos delegados já em vigor.

4.   Antes de adotar um ato delegado, a Comissão consulta os peritos designados por cada Estado-Membro de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor.

5.   Assim que adotar um ato delegado, a Comissão notifica-o simultaneamente ao Parlamento Europeu e ao Conselho.

6.   Os atos delegados adotados nos termos do artigo 5.o, n.o 1, só entram em vigor se não tiverem sido formuladas objeções pelo Parlamento Europeu ou pelo Conselho no prazo de dois meses a contar da notificação do ato ao Parlamento Europeu e ao Conselho, ou se, antes do termo desse prazo, o Parlamento Europeu e o Conselho tiverem informado a Comissão de que não têm objeções a formular. O referido prazo é prorrogável por dois meses por iniciativa do Parlamento Europeu ou do Conselho.

Artigo 24.o

Procedimento de comité

1.   A Comissão é assistida por um comité. Este comité é um comité na aceção do Regulamento (UE) n.o 182/2011.

2.   Caso se remeta para o presente número, aplica-se o artigo 5.o do Regulamento (UE) n.o 182/2011.

CAPÍTULO VIII

DISPOSIÇÕES FINAIS

Artigo 25.o

Apresentação de relatórios e revisão

A Comissão apresenta, até 17 de julho de 2027, um relatório ao Parlamento Europeu e ao Conselho, no qual avalie em que medida cada Estado-Membro tomou as medidas necessárias para dar cumprimento à presente diretiva.

A Comissão avalia periodicamente a aplicação da presente diretiva e apresenta um relatório ao Parlamento Europeu e ao Conselho. O relatório avalia, em especial, o valor acrescentado da presente diretiva, o impacto desta última na efetivação da resiliência das entidades críticas e se o anexo da presente diretiva deve ser alterado. A Comissão apresenta o primeiro relatório até 17 de junho de 2029. Para efeitos da apresentação de relatórios nos termos do presente artigo, a Comissão tem em conta os documentos pertinentes do Grupo para a Resiliência das Entidades Críticas.

Artigo 26.o

Transposição

1.   Os Estados-Membros adotam e publicam, até 17 de outubro de 2024, as disposições necessárias para dar cumprimento à presente diretiva. Do facto informam imediatamente a Comissão.

Os Estados-Membros aplicam essas disposições a partir de 18 de outubro de 2024.

2.   As disposições referidas no n.o 1 adotadas pelos Estados-Membros fazem referência à presente diretiva ou são acompanhadas dessa referência aquando da sua publicação oficial. Os Estados-Membros estabelecem o modo como é feita a referência.

Artigo 27.o

Revogação da Diretiva 2008/114/CE

A Diretiva 2008/114/CE é revogada com efeitos a partir de 18 de outubro de 2024].

As remissões para a diretiva revogada entendem-se como remissões para a presente diretiva.

Artigo 28.o

Entrada em vigor

A presente diretiva entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Jornal Oficial da União Europeia

Artigo 29.o

Destinatários

Os destinatários da presente diretiva são os Estados-Membros.

Feito em Estrasburgo, em 14 de dezembro de 2022.

Pelo Parlamento Europeu

A Presidente

R. METSOLA

Pelo Conselho

O Presidente

M. BEK

---

(1)  
  JO C 286 de 16.7.2021, p. 170.

1

(2)  
  JO C 440 de 29.10.2021, p. 99.

2

(3)  Posição do Parlamento Europeu de 22 de novembro de 2022 (ainda não publicado no Jornal Oficial) e decisão do Conselho de 8 de dezembro de 2022.

3

(4)  Diretiva 2008/114/CE do Conselho, de 8 de dezembro de 2008, relativa à identificação e designação das infraestruturas críticas europeias e à avaliação da necessidade de melhorar a sua proteção (JO L 345 de 23.12.2008, p. 75).

4

(5)  Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União, que altera o Regulamento (UE) n.o 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (ver página 80 do presente Jornal Oficial).

5

o

(6)  Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União (JO L 194 de 19.7.2016, p. 1).

6

(7)  Regulamento (UE) 2019/452 do Parlamento Europeu e do Conselho, de 19 de março de 2019, que estabelece um regime de análise dos investimentos diretos estrangeiros na União (JO L 79I de 21.3.2019, p. 1).

7

(8)  Regulamento (UE) n.o 648/2012 do Parlamento Europeu e do Conselho, de 4 de julho de 2012, relativo aos derivados do mercado de balcão, às contrapartes centrais e aos repositórios de transações (JO L 201 de 27.7.2012, p. 1).

8

o

(9)  Regulamento (UE) n.o 575/2013 do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativo aos requisitos prudenciais para as instituições de crédito e que altera o Regulamento (UE) n.o 648/2012 (JO L 176 de 27.6.2013, p. 1).

9

o

o

(10)  Regulamento (UE) n.o 600/2014 do Parlamento Europeu e do Conselho, de 15 de maio de 2014, relativo aos mercados de instrumentos financeiros e que altera o Regulamento (UE) n.o 648/2012 (JO L 173 de 12.6.2014, p. 84).

10

o

o

(11)  Diretiva 2013/36/UE do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativa ao acesso à atividade das instituições de crédito e à supervisão prudencial das instituições de crédito e empresas de investimento, que altera a Diretiva 2002/87/CE e revoga as Diretivas 2006/48/CE e 2006/49/CE (JO L 176 de 27.6.2013, p. 338).

11

(12)  Diretiva 2014/65/UE do Parlamento Europeu e do Conselho, de 15 de maio de 2014, relativa aos mercados de instrumentos financeiros e que altera a Diretiva 2002/92/CE e a Diretiva 2011/61/UE (JO L 173 de 12.6.2014, p. 349).

12

(13)  Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os regulamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014, (UE) n.o 909/2014 e (UE) 2016/1011 (ver página 1 do presente Jornal Oficial)).

13

o

o

o

o

(14)  Regulamento (CE) n.o 725/2004 do Parlamento Europeu e do Conselho, de 31 de março de 2004, relativo ao reforço da proteção dos navios e das instalações portuárias (JO L 129 de 29.4.2004, p. 6).

14

o

(15)  Regulamento (CE) n.o 300/2008 do Parlamento Europeu e do Conselho, de 11 de março de 2008, relativo ao estabelecimento de regras comuns no domínio da segurança da aviação civil e que revoga o Regulamento (CE) n.o 2320/2002 (JO L 97 de 9.4.2008, p. 72).

15

o

o

(16)  Diretiva 2005/65/CE do Parlamento Europeu e do Conselho, de 26 de outubro de 2005, relativa ao reforço da segurança nos portos (JO L 310 de 25.11.2005, p. 28).

16

(17)  Diretiva 2008/96/CE do Parlamento Europeu e do Conselho, de 19 de novembro de 2008, relativa à gestão da segurança da infraestrutura rodoviária (JO L 319 de 29.11.2008, p. 59).

17

(18)  Decisão da Comissão de 29 de junho de 2018, que cria a plataforma de segurança dos passageiros ferroviários da UE (2018/C 232/03) (JO C 232 de 3.7.2018, p. 10).

18

(19)  Decisão-Quadro 2009/315/JAI do Conselho, de 26 de fevereiro de 2009, relativa à organização e ao conteúdo do intercâmbio de informações extraídas do registo criminal entre os Estados-Membros (JO L 93 de 7.4.2009, p. 23).

19

(20)  Regulamento (UE) 2019/816 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, que cria um sistema centralizado para a determinação dos Estados-Membros que possuem informações sobre condenações de nacionais de países terceiros e de apátridas (ECRIS-TCN) tendo em vista completar o Sistema Europeu de Informação sobre Registos Criminais e que altera o Regulamento (UE) 2018/1726 (JO L 135 de 22.5.2019, p. 1).

20

(21)  Regulamento (UE) 2018/1862 do Parlamento Europeu e do Conselho, de 28 de novembro de 2018, relativo ao estabelecimento, ao funcionamento e à utilização do Sistema de Informação de Schengen (SIS) no domínio da cooperação policial e da cooperação judiciária em matéria penal, e que altera e revoga a Decisão 2007/533/JAI do Conselho e revoga o Regulamento (CE) n.o 1986/2006 do Parlamento Europeu e do Conselho e a Decisão 2010/261/UE da Comissão (JO L 312 de 7.12.2018, p. 56).

21

o

(22)  Decisão n.o 1313/2013/UE do Parlamento Europeu e do Conselho, de 17 de dezembro de 2013, relativa a um Mecanismo de Proteção Civil da União Europeia (JO L 347 de 20.12.2013, p. 924).

22

o

(23)  Regulamento (UE) 2021/1149 do Parlamento Europeu e do Conselho, de 7 de julho de 2021, que cria o Fundo para a Segurança Interna (JO L 251 de 15.7.2021, p. 94).

23

(24)  Regulamento (UE) 2021/695 do Parlamento Europeu e do Conselho, de 28 de abril de 2021, que estabelece o Horizonte Europa – Programa-Quadro de Investigação e Inovação, que define as suas regras de participação e difusão, e que revoga os Regulamentos (UE) n.o 1290/2013 e (UE) n.o 1291/2013 (JO L 170 de 12.5.2021, p. 1).

24

o

o

(25)  
  JO L 123 de 12.5.2016, p. 1.

25

(26)  Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho, de 16 de fevereiro de 2011, que estabelece as regras e os princípios gerais relativos aos mecanismos de controlo pelos Estados-Membros do exercício das competências de execução pela Comissão (JO L 55 de 28.2.2011, p. 13).

26

o

(27)  Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).

27

o

o

(28)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

28

(29)  Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas) (JO L 201 de 31.7.2002, p. 37).

29

(30)  Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho, de 25 de outubro de 2012, relativo à normalização europeia, que altera as Diretivas 89/686/CEE e 93/15/CEE do Conselho e as Diretivas 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE e 2009/105/CE do Parlamento Europeu e do Conselho e revoga a Decisão 87/95/CEE do Conselho e a Decisão n.o 1673/2006/CE do Parlamento Europeu e do Conselho (JO L 316 de 14.11.2012, p. 12).

30

o

o

(31)  Recomendação 2003/361/CE da Comissão, de 6 de maio de 2003, relativa à definição de micro, pequenas e médias empresas (JO L 124 de 20.5.2003, p. 36).

31

(32)  Diretiva (UE) 2017/541 do Parlamento Europeu e do Conselho, de 15 de março de 2017, relativa à luta contra o terrorismo e que substitui a Decisão-Quadro 2002/475/JAI do Conselho e altera a Decisão 2005/671/JAI do Conselho (JO L 88 de 31.3.2017, p. 6).

32

(33)  Regulamento (UE) 2017/1938 do Parlamento Europeu e do Conselho, de 25 de outubro de 2017, relativo a medidas destinadas a garantir a segurança do aprovisionamento de gás e que revoga o Regulamento (UE) n.o 994/2010 (JO L 280 de 28.10.2017, p. 1).

33

o

(34)  Regulamento (UE) 2019/941 do Parlamento Europeu e do Conselho, de 5 de junho de 2019, relativo à preparação para riscos no setor da eletricidade e que revoga a Diretiva 2005/89/CE (JO L 158 de 14.6.2019, p. 1).

34

(35)  Diretiva 2007/60/CE, do Parlamento Europeu e do Conselho, de 23 de outubro de 2007, relativa à avaliação e gestão dos riscos de inundações (JO L 288 de 6.11.2007, p. 27).

35

(36)  Diretiva 2012/18/UE do Parlamento Europeu e do Conselho, de 4 de julho de 2012, relativa ao controlo dos perigos associados a acidentes graves que envolvem substâncias perigosas, que altera e subsequentemente revoga a Diretiva 96/82/CE do Conselho (JO L 197 de 24.7.2012, p. 1).

36

(37)  Diretiva (UE) 2016/680 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou execução de sanções penais, e à livre circulação desses dados, e que revoga a Decisão-Quadro 2008/977/JAI do Conselho (JO L 119 de 4.5.2016, p. 89).

37

---

ANEXO

SETORES, SUBSETORES E CATEGORIAS DE ENTIDADES

| Setores | Subsetores | Categorias de entidades |
| --- | --- | --- |
| 1. | Energia |

Setores

Subsetores

Categorias de entidades

1.

Energia

| a) | Eletricidade |
| --- | --- |

a)

Eletricidade

| — | Empresas de eletricidade na aceção do artigo 2.o, ponto 57, da Diretiva (UE) 2019/944 do Parlamento Europeu e do Conselho (1), que exerce a atividade de «comercialização» na aceção do artigo 2.o, ponto 12, dessa diretiva |
| --- | --- |

—

Empresas de eletricidade na aceção do artigo 2.o, ponto 57, da Diretiva (UE) 2019/944 do Parlamento Europeu e do Conselho (1), que exerce a atividade de «comercialização» na aceção do artigo 2.o, ponto 12, dessa diretiva

| — | Operadores da rede de distribuição na aceção do artigo 2.o, ponto 29, da Diretiva (UE) 2019/944 |
| --- | --- |

—

Operadores da rede de distribuição na aceção do artigo 2.o, ponto 29, da Diretiva (UE) 2019/944

| — | Operadores da rede de transporte na aceção do artigo 2.o, ponto 35, da Diretiva (UE) 2019/944 |
| --- | --- |

—

Operadores da rede de transporte na aceção do artigo 2.o, ponto 35, da Diretiva (UE) 2019/944

| — | Produtores na aceção do artigo 2.o, ponto 38, da Diretiva (UE) 2019/944 |
| --- | --- |

—

Produtores na aceção do artigo 2.o, ponto 38, da Diretiva (UE) 2019/944

| — | Operadores nomeados do mercado da eletricidade na aceção do artigo 2.o, ponto 8, do Regulamento (UE) 2019/943 do Parlamento Europeu e do Conselho (2) |
| --- | --- |

—

Operadores nomeados do mercado da eletricidade na aceção do artigo 2.o, ponto 8, do Regulamento (UE) 2019/943 do Parlamento Europeu e do Conselho (2)

| — | Participantes no mercado na aceção do artigo 2.o, ponto 25, do Regulamento (UE) 2019/943, que prestam serviços de agregação, resposta da procura ou armazenamento de energia na aceção do artigo 2.o, pontos 18, 20 e 59, da Diretiva (UE) 2019/944 |
| --- | --- |

—

Participantes no mercado na aceção do artigo 2.o, ponto 25, do Regulamento (UE) 2019/943, que prestam serviços de agregação, resposta da procura ou armazenamento de energia na aceção do artigo 2.o, pontos 18, 20 e 59, da Diretiva (UE) 2019/944

| b) | Aquecimento e arrefecimento urbano |
| --- | --- |

b)

Aquecimento e arrefecimento urbano

| — | Operadores de aquecimento urbano ou de arrefecimento urbano na aceção do artigo 2.o, ponto 19, da Diretiva (UE) 2018/2001 do Parlamento Europeu e do Conselho (3) |
| --- | --- |

—

Operadores de aquecimento urbano ou de arrefecimento urbano na aceção do artigo 2.o, ponto 19, da Diretiva (UE) 2018/2001 do Parlamento Europeu e do Conselho (3)

| c) | Petróleo |
| --- | --- |

c)

Petróleo

| — | Operadores de oleodutos de petróleo |
| --- | --- |

—

Operadores de oleodutos de petróleo

| — | Operadores de instalações de produção, refinamento e tratamento, armazenamento e transporte de petróleo |
| --- | --- |

—

Operadores de instalações de produção, refinamento e tratamento, armazenamento e transporte de petróleo

| — | Entidades centrais de armazenagem de petróleo na aceção do artigo 2.o, alínea f), da Diretiva 2009/119/CE do Conselho (4) |
| --- | --- |

—

Entidades centrais de armazenagem de petróleo na aceção do artigo 2.o, alínea f), da Diretiva 2009/119/CE do Conselho (4)

| d) | Gás |
| --- | --- |

d)

Gás

| — | Empresa de comercialização na aceção do artigo 2.o, ponto 8, da Diretiva n.o 2009/73/CE do Parlamento Europeu e do Conselho (5) |
| --- | --- |

—

Empresa de comercialização na aceção do artigo 2.o, ponto 8, da Diretiva n.o 2009/73/CE do Parlamento Europeu e do Conselho (5)

| — | Operadores da rede de distribuição na aceção do artigo 2.o, ponto 6, da Diretiva 2009/73/CE |
| --- | --- |

—

Operadores da rede de distribuição na aceção do artigo 2.o, ponto 6, da Diretiva 2009/73/CE

| — | Operadores da rede de transporte na aceção do artigo 2.o, ponto 4, da Diretiva 2009/73/CE |
| --- | --- |

—

Operadores da rede de transporte na aceção do artigo 2.o, ponto 4, da Diretiva 2009/73/CE

| — | Operadores do sistema de armazenamento na aceção do artigo 2.o, ponto 10, da Diretiva 2009/73/CE |
| --- | --- |

—

Operadores do sistema de armazenamento na aceção do artigo 2.o, ponto 10, da Diretiva 2009/73/CE

| — | Operadores da rede de GNL na aceção do artigo 2.o, ponto 12, da Diretiva 2009/73/CE |
| --- | --- |

—

Operadores da rede de GNL na aceção do artigo 2.o, ponto 12, da Diretiva 2009/73/CE

| — | Empresas de gás natural na aceção do artigo 2.o, ponto 1, da Diretiva 2009/73/CE |
| --- | --- |

—

Empresas de gás natural na aceção do artigo 2.o, ponto 1, da Diretiva 2009/73/CE

| — | Operadores de instalações de refinamento e tratamento de gás natural |
| --- | --- |

—

Operadores de instalações de refinamento e tratamento de gás natural

| e) | Hidrogénio |
| --- | --- |

e)

Hidrogénio

| — | Operadores de produção, armazenamento e transporte de hidrogénio |
| --- | --- |

—

Operadores de produção, armazenamento e transporte de hidrogénio

| 2. | Transportes |
| --- | --- |

2.

Transportes

| a) | Transporte aéreo |
| --- | --- |

a)

Transporte aéreo

| — | Transportadoras aéreas na aceção do artigo 3.o, ponto 4, do Regulamento (CE) n.o 300/2008 utilizadas para fins comerciais |
| --- | --- |

—

Transportadoras aéreas na aceção do artigo 3.o, ponto 4, do Regulamento (CE) n.o 300/2008 utilizadas para fins comerciais

| — | Entidades gestoras aeroportuárias na aceção do artigo 2.o, ponto 2, da Diretiva 2009/12/CE do Parlamento Europeu e do Conselho (6), aeroportos na aceção do artigo 2.o, ponto 1, dessa diretiva, incluindo os aeroportos principais constantes da lista do anexo II, secção 2, do Regulamento (UE) n.o 1315/2013 do Parlamento Europeu e do Conselho (7), e as entidades que exploram instalações anexas existentes dentro dos aeroportos |
| --- | --- |

—

Entidades gestoras aeroportuárias na aceção do artigo 2.o, ponto 2, da Diretiva 2009/12/CE do Parlamento Europeu e do Conselho (6), aeroportos na aceção do artigo 2.o, ponto 1, dessa diretiva, incluindo os aeroportos principais constantes da lista do anexo II, secção 2, do Regulamento (UE) n.o 1315/2013 do Parlamento Europeu e do Conselho (7), e as entidades que exploram instalações anexas existentes dentro dos aeroportos

| — | Operadores de controlo da gestão do tráfego aéreo que prestam serviços de controlo de tráfego aéreo (CTA) na aceção do artigo 2.o, ponto 1, do Regulamento (CE) n.o 549/2004 do Parlamento Europeu e do Conselho (8) |
| --- | --- |

—

Operadores de controlo da gestão do tráfego aéreo que prestam serviços de controlo de tráfego aéreo (CTA) na aceção do artigo 2.o, ponto 1, do Regulamento (CE) n.o 549/2004 do Parlamento Europeu e do Conselho (8)

| b) | Transporte ferroviário |
| --- | --- |

b)

Transporte ferroviário

| — | Gestores de infraestrutura na aceção do artigo 3.o, ponto 2, da Diretiva 2012/34/UE do Parlamento Europeu e do Conselho (9) |
| --- | --- |

—

Gestores de infraestrutura na aceção do artigo 3.o, ponto 2, da Diretiva 2012/34/UE do Parlamento Europeu e do Conselho (9)

| — | Empresas ferroviárias na aceção do artigo 3.o, ponto 1, da Diretiva 2012/34/UE, e operadores das instalações de serviço na aceção do artigo 3.o, ponto 12, dessa diretiva |
| --- | --- |

—

Empresas ferroviárias na aceção do artigo 3.o, ponto 1, da Diretiva 2012/34/UE, e operadores das instalações de serviço na aceção do artigo 3.o, ponto 12, dessa diretiva

| c) | Transporte por vias navegáveis |
| --- | --- |

c)

Transporte por vias navegáveis

| — | Companhias de transporte marítimo, costeiro e por vias navegáveis interiores de passageiros e de mercadorias, na aceção, para o transporte marítimo, do anexo I do Regulamento (CE) n.o 725/2004, não incluindo os navios explorados por essas companhias |
| --- | --- |

—

Companhias de transporte marítimo, costeiro e por vias navegáveis interiores de passageiros e de mercadorias, na aceção, para o transporte marítimo, do anexo I do Regulamento (CE) n.o 725/2004, não incluindo os navios explorados por essas companhias

| — | Entidades gestoras dos portos na aceção do artigo 3.o, ponto 1, da Diretiva 2005/65/CE, incluindo as respetivas instalações portuárias na aceção do artigo 2.o, ponto 11, do Regulamento (CE) n.o 725/2004, e as entidades que gerem as obras e o equipamento existentes dentro dos portos |
| --- | --- |

—

Entidades gestoras dos portos na aceção do artigo 3.o, ponto 1, da Diretiva 2005/65/CE, incluindo as respetivas instalações portuárias na aceção do artigo 2.o, ponto 11, do Regulamento (CE) n.o 725/2004, e as entidades que gerem as obras e o equipamento existentes dentro dos portos

| — | Operadores de serviços de tráfego marítimo (VTS) na aceção do artigo 3.o, alínea o), da Diretiva 2002/59/CE do Parlamento Europeu e do Conselho (10) |
| --- | --- |

—

Operadores de serviços de tráfego marítimo (VTS) na aceção do artigo 3.o, alínea o), da Diretiva 2002/59/CE do Parlamento Europeu e do Conselho (10)

| d) | Transporte rodoviário |
| --- | --- |

d)

Transporte rodoviário

| — | Autoridades rodoviárias na aceção do artigo 2.o, ponto 12, do Regulamento Delegado (UE) 2015/962 da Comissão (11), responsáveis pelo controlo da gestão do tráfego, com exceção das entidades públicas nas quais a gestão do tráfego ou a exploração de sistemas de transporte inteligentes constituem apenas uma parte não essencial da sua atividade geral |
| --- | --- |

—

Autoridades rodoviárias na aceção do artigo 2.o, ponto 12, do Regulamento Delegado (UE) 2015/962 da Comissão (11), responsáveis pelo controlo da gestão do tráfego, com exceção das entidades públicas nas quais a gestão do tráfego ou a exploração de sistemas de transporte inteligentes constituem apenas uma parte não essencial da sua atividade geral

| — | Operadores de sistemas de transporte inteligentes na aceção do artigo 4.o, ponto 1, da Diretiva 2010/40/UE do Parlamento Europeu e do Conselho (12) |
| --- | --- |

—

Operadores de sistemas de transporte inteligentes na aceção do artigo 4.o, ponto 1, da Diretiva 2010/40/UE do Parlamento Europeu e do Conselho (12)

| e) | Transportes públicos |
| --- | --- |

e)

Transportes públicos

| — | Operadores de serviços públicos na aceção do artigo 2.o, alínea d), do Regulamento (CE) n.o 1370/2007 do Parlamento Europeu e do Conselho (13) |
| --- | --- |

—

Operadores de serviços públicos na aceção do artigo 2.o, alínea d), do Regulamento (CE) n.o 1370/2007 do Parlamento Europeu e do Conselho (13)

| 3. | Setor bancário |
| --- | --- |

3.

Setor bancário

| — | Instituições de crédito na aceção do artigo 4.o, ponto 1, do Regulamento (UE) n.o 575/2013 |
| --- | --- |

—

Instituições de crédito na aceção do artigo 4.o, ponto 1, do Regulamento (UE) n.o 575/2013

| 4. | Infraestruturas do mercado financeiro |
| --- | --- |

4.

Infraestruturas do mercado financeiro

| — | Operadores de plataformas de negociação na aceção do artigo 4.o, ponto 24, da Diretiva 2014/65/UE |
| --- | --- |

—

Operadores de plataformas de negociação na aceção do artigo 4.o, ponto 24, da Diretiva 2014/65/UE

| — | Contrapartes centrais (CCP) na aceção do artigo 2.o, ponto 1, do Regulamento (UE) n.o 648/2012 |
| --- | --- |

—

Contrapartes centrais (CCP) na aceção do artigo 2.o, ponto 1, do Regulamento (UE) n.o 648/2012

| 5. | Saúde |
| --- | --- |

5.

Saúde

| — | Prestadores de cuidados de saúde na aceção do artigo 3.o, alínea g), da Diretiva (UE) n.o 2011/24/UE do Parlamento Europeu e do Conselho (14) |
| --- | --- |

—

Prestadores de cuidados de saúde na aceção do artigo 3.o, alínea g), da Diretiva (UE) n.o 2011/24/UE do Parlamento Europeu e do Conselho (14)

| — | Laboratórios de referência da UE na aceção do artigo 15.o do Regulamento (UE) 2022/2371 do Parlamento Europeu e do Conselho (15) |
| --- | --- |

—

Laboratórios de referência da UE na aceção do artigo 15.o do Regulamento (UE) 2022/2371 do Parlamento Europeu e do Conselho (15)

| — | Entidades que realizam atividades de investigação e desenvolvimento de medicamentos na aceção do artigo 1.o, ponto 2, da Diretiva 2001/83/CE do Parlamento Europeu e do Conselho (16) |
| --- | --- |

—

Entidades que realizam atividades de investigação e desenvolvimento de medicamentos na aceção do artigo 1.o, ponto 2, da Diretiva 2001/83/CE do Parlamento Europeu e do Conselho (16)

| — | Entidades que fabricam produtos farmacêuticos de base e preparações farmacêuticas a que se refere a secção C, divisão 21, da NACE Rev. 2 |
| --- | --- |

—

Entidades que fabricam produtos farmacêuticos de base e preparações farmacêuticas a que se refere a secção C, divisão 21, da NACE Rev. 2

| — | Entidades que fabricam dispositivos médicos considerados críticos durante uma emergência de saúde pública («lista de dispositivos críticos para a emergência de saúde pública») na aceção do artigo 22.o do Regulamento (UE) 2022/123 do Parlamento Europeu e do Conselho (17) |
| --- | --- |

—

Entidades que fabricam dispositivos médicos considerados críticos durante uma emergência de saúde pública («lista de dispositivos críticos para a emergência de saúde pública») na aceção do artigo 22.o do Regulamento (UE) 2022/123 do Parlamento Europeu e do Conselho (17)

| — | Entidades titulares de uma autorização de distribuição a que se refere o artigo 79.o da Diretiva 2001/83/CE |
| --- | --- |

—

Entidades titulares de uma autorização de distribuição a que se refere o artigo 79.o da Diretiva 2001/83/CE

| 6. | Água potável |
| --- | --- |

6.

Água potável

| — | Fornecedores e distribuidores de água destinada ao consumo humano na aceção do artigo 2.o, ponto 1, alínea a), da Diretiva (UE) 2020/2184 do Parlamento Europeu e do Conselho (18), com exceção dos distribuidores para os quais a distribuição de água para consumo humano constitui uma parte não-essencial da sua atividade geral de distribuição de outros produtos de base e mercadorias |
| --- | --- |

—

Fornecedores e distribuidores de água destinada ao consumo humano na aceção do artigo 2.o, ponto 1, alínea a), da Diretiva (UE) 2020/2184 do Parlamento Europeu e do Conselho (18), com exceção dos distribuidores para os quais a distribuição de água para consumo humano constitui uma parte não-essencial da sua atividade geral de distribuição de outros produtos de base e mercadorias

| 7. | Águas residuais |
| --- | --- |

7.

Águas residuais

| — | Empresas que recolhem, eliminam ou tratam águas residuais urbanas, águas residuais domésticas ou águas residuais industriais na aceção do artigo 2.o, pontos 1, 2 e 3, da Diretiva 91/271/CEE do Conselho (19), com exceção das empresas nas quais a recolha, eliminação ou tratamento de águas residuais urbanas, águas residuais domésticas e águas residuais industriais constitui uma parte não essencial da sua atividade geral |
| --- | --- |

—

Empresas que recolhem, eliminam ou tratam águas residuais urbanas, águas residuais domésticas ou águas residuais industriais na aceção do artigo 2.o, pontos 1, 2 e 3, da Diretiva 91/271/CEE do Conselho (19), com exceção das empresas nas quais a recolha, eliminação ou tratamento de águas residuais urbanas, águas residuais domésticas e águas residuais industriais constitui uma parte não essencial da sua atividade geral

| 8. | Infraestruturas digitais |
| --- | --- |

8.

Infraestruturas digitais

| — | Fornecedores de pontos de troca de tráfego na aceção do artigo 6.o, ponto 18, da Diretiva (UE) 2022/2555 |
| --- | --- |

—

Fornecedores de pontos de troca de tráfego na aceção do artigo 6.o, ponto 18, da Diretiva (UE) 2022/2555

| — | Prestadores de serviços de DNS na aceção do artigo 6.o, ponto 20, da Diretiva (UE) 2022/2555, com exceção dos operadores de servidores de nomes da zona raiz |
| --- | --- |

—

Prestadores de serviços de DNS na aceção do artigo 6.o, ponto 20, da Diretiva (UE) 2022/2555, com exceção dos operadores de servidores de nomes da zona raiz

| — | Registos de nomes de domínio de topo na aceção do artigo 6.o, ponto 21, da Diretiva (UE) 2022/2555 |
| --- | --- |

—

Registos de nomes de domínio de topo na aceção do artigo 6.o, ponto 21, da Diretiva (UE) 2022/2555

| — | Prestadores de serviços de computação em nuvem na aceção do artigo 6.o, ponto 30, da Diretiva (UE) 2022/2555 |
| --- | --- |

—

Prestadores de serviços de computação em nuvem na aceção do artigo 6.o, ponto 30, da Diretiva (UE) 2022/2555

| — | Prestadores de serviços de centro de dados na aceção do artigo 6.o, ponto 31, da Diretiva (UE) 2022/2555 |
| --- | --- |

—

Prestadores de serviços de centro de dados na aceção do artigo 6.o, ponto 31, da Diretiva (UE) 2022/2555

| — | Fornecedores de redes de distribuição de conteúdos na aceção do artigo 6.o, ponto 32, da Diretiva (UE) 2022/2555 |
| --- | --- |

—

Fornecedores de redes de distribuição de conteúdos na aceção do artigo 6.o, ponto 32, da Diretiva (UE) 2022/2555

| — | Prestadores de serviços de confiança na aceção do artigo 3.o, ponto 19, do Regulamento (UE) n.o 910/2014 do Parlamento Europeu e do Conselho (20) |
| --- | --- |

—

Prestadores de serviços de confiança na aceção do artigo 3.o, ponto 19, do Regulamento (UE) n.o 910/2014 do Parlamento Europeu e do Conselho (20)

| — | Fornecedores de redes públicas de comunicações eletrónicas na aceção do artigo 2.o, ponto 8, da Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho (21) |
| --- | --- |

—

Fornecedores de redes públicas de comunicações eletrónicas na aceção do artigo 2.o, ponto 8, da Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho (21)

| — | Fornecedores de serviços de comunicações eletrónicas na aceção do artigo 2.o, ponto 4, da Diretiva (UE) 2018/1972, na medida em que os seus serviços sejam acessíveis ao público |
| --- | --- |

—

Fornecedores de serviços de comunicações eletrónicas na aceção do artigo 2.o, ponto 4, da Diretiva (UE) 2018/1972, na medida em que os seus serviços sejam acessíveis ao público

| 9. | Administração pública |
| --- | --- |

9.

Administração pública

| — | Entidades da administração pública a nível central tal como definidas pelos Estados-Membros em conformidade com o direito nacional |
| --- | --- |

—

Entidades da administração pública a nível central tal como definidas pelos Estados-Membros em conformidade com o direito nacional

| 10. | Espaço |
| --- | --- |

10.

Espaço

| — | Operadores de infraestruturas terrestres detidas, geridas e operadas pelos Estados-Membros ou por entidades privadas que apoiam a oferta de serviços espaciais, excluindo os fornecedores de redes públicas de comunicações eletrónicas na aceção do artigo 2.o, ponto 8, da Diretiva (UE) 2018/1972 |
| --- | --- |

—

Operadores de infraestruturas terrestres detidas, geridas e operadas pelos Estados-Membros ou por entidades privadas que apoiam a oferta de serviços espaciais, excluindo os fornecedores de redes públicas de comunicações eletrónicas na aceção do artigo 2.o, ponto 8, da Diretiva (UE) 2018/1972

| 11. | Produção, transformação e distribuição de produtos alimentares |
| --- | --- |

11.

Produção, transformação e distribuição de produtos alimentares

| — | Empresas do setor alimentar na aceção do artigo 3.o, ponto 2, do Regulamento (CE) n.o 178/2002 do Parlamento Europeu e do Conselho (22), que estejam envolvidas exclusivamente na logística e na distribuição por grosso e produção e transformação industriais em grande escala |
| --- | --- |

—

Empresas do setor alimentar na aceção do artigo 3.o, ponto 2, do Regulamento (CE) n.o 178/2002 do Parlamento Europeu e do Conselho (22), que estejam envolvidas exclusivamente na logística e na distribuição por grosso e produção e transformação industriais em grande escala

---

(1)  Diretiva (UE) 2019/944 do Parlamento Europeu e do Conselho, de 5 de junho de 2019, relativa a regras comuns para o mercado interno da eletricidade e que altera a Diretiva 2012/27/UE (JO L 158 de 14.6.2019, p. 125).

(2)  Regulamento (UE) 2019/943 do Parlamento Europeu e do Conselho, de 5 de junho de 2019, relativo ao mercado interno da eletricidade (JO L 158 de 14.6.2019, p. 54).

(3)  Diretiva (UE) 2018/2001 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2018, relativa à promoção da utilização de energia de fontes renováveis (JO L 328 de 21.12.2018, p. 82).

(4)  Diretiva 2009/119/CE do Conselho, de 14 de setembro de 2009, que obriga os Estados-Membros a manterem um nível mínimo de reservas de petróleo bruto e/ou de produtos petrolíferos (JO L 265 de 9.10.2009, p. 9).

(5)  Diretiva 2009/73/CE do Parlamento Europeu e do Conselho, de 13 de julho de 2009, que estabelece regras comuns para o mercado interno do gás natural e que revoga a Diretiva 2003/55/CE (JO L 211 de 14.8.2009, p. 94).

(6)  Diretiva 2009/12/CE do Parlamento Europeu e do Conselho, de 11 de março de 2009, relativa às taxas aeroportuárias (JO L 70 de 14.3.2009, p. 11).

(7)  Regulamento (UE) n.o 1315/2013 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2013, relativo às orientações da União para o desenvolvimento da rede transeuropeia de transportes e que revoga a Decisão n.o 661/2010/UE (JO L 348 de 20.12.2013, p. 1).

(8)  Regulamento (CE) n.o 549/2004 do Parlamento Europeu e do Conselho, de 10 de março de 2004, que estabelece o quadro para a realização do céu único europeu («regulamento-quadro») (JO L 96 de 31.3.2004, p. 1).

(9)  Diretiva 2012/34/UE do Parlamento Europeu e do Conselho, de 21 de novembro de 2012, que estabelece um espaço ferroviário europeu único (JO L 343 de 14.12.2012, p. 32).

(10)  Diretiva 2002/59/CE do Parlamento Europeu e do Conselho, de 27 de junho de 2002, relativa à instituição de um sistema comunitário de acompanhamento e de informação do tráfego de navios e que revoga a Diretiva 93/75/CEE do Conselho (JO L 208 de 5.8.2002, p. 10).

(11)  Regulamento Delegado (UE) 2015/962 da Comissão, de 18 de dezembro de 2014, que complementa a Diretiva 2010/40/UE do Parlamento Europeu e do Conselho no respeitante à prestação de serviços de informação de tráfego em tempo real à escala da UE (JO L 157 de 23.6.2015, p. 21).

(12)  Diretiva 2010/40/UE do Parlamento Europeu e do Conselho, de 7 de julho de 2010, que estabelece um quadro para a implantação de sistemas de transporte inteligentes no transporte rodoviário, inclusive nas interfaces com outros modos de transporte (JO L 207 de 6.8.2010, p. 1).

(13)  Regulamento (CE) n.o 1370/2007 do Parlamento Europeu e do Conselho, de 23 de outubro de 2007, relativo aos serviços públicos de transporte ferroviário e rodoviário de passageiros e que revoga os Regulamentos (CEE) n.o 1191/69 e (CEE) n.o 1107/70 do Conselho (JO L 315 de 3.12.2007, p. 1).

(14)  Diretiva 2011/24/UE do Parlamento Europeu e do Conselho, de 9 de março de 2011, relativa ao exercício dos direitos dos doentes em matéria de cuidados de saúde transfronteiriços (JO L 88 de 4.4.2011, p. 45).

(15)  Regulamento (UE) 2022/2371 do Parlamento Europeu e do Conselho, de 23 de novembro de 2022, relativo às ameaças transfronteiriças graves para a saúde e que revoga a Decisão n.o 1082/2013/UE (JO L 314 de 6.12.2022, p. 26),

(16)  Diretiva 2001/83/CE do Parlamento Europeu e do Conselho, de 6 de novembro de 2001, que estabelece um código comunitário relativo aos medicamentos para uso humano (JO L 311 de 28.11.2001, p. 67).

(17)  Regulamento (UE) 2022/123 do Parlamento Europeu e do Conselho, de 25 de janeiro de 2022, relativo ao reforço do papel da Agência Europeia de Medicamentos em matéria de preparação e gestão de crises no que diz respeito a medicamentos e dispositivos médicos (JO L 20 de 31.1.2022, p. 1).

(18)  Diretiva (UE) 2020/2184 do Parlamento Europeu e do Conselho, de 16 de dezembro de 2020, relativa à qualidade da água destinada ao consumo humano (JO L 435 de 23.12.2020, p. 1).

(19)  Diretiva 91/271/CEE do Conselho, de 21 de maio de 1991, relativa ao tratamento de águas residuais urbanas (JO L 135 de 30.5.1991, p. 40).

(20)  Regulamento (UE) n.o 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno e que revoga a Diretiva 1999/93/CE (JO L 257 de 28.8.2014, p. 73).

(21)  Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2018, que estabelece o Código Europeu das Comunicações Eletrónicas (JO L 321 de 17.12.2018, p. 36).

(22)  Regulamento (CE) n.o 178/2002 do Parlamento Europeu e do Conselho, de 28 de janeiro de 2002, que determina os princípios e normas gerais da legislação alimentar, cria a Autoridade Europeia para a Segurança dos Alimentos e estabelece procedimentos em matéria de segurança dos géneros alimentícios (JO L 31 de 1.2.2002, p. 1).

---