Governo define entidades críticas e quais as suas obrigações

Entidades públicas ou privadas que operem infraestruturas em que um incidente possa ter “efeitos perturbadores significativos” na prestação de serviços em setores como energia, transportes, bancário, infraestruturas digitais ou distribuição de produtos alimentares são consideradas “entidades críticas”. E com esse estatuto vêm algumas obrigações: entre outras vão ter, dentro de nove meses após notificação da sua designação, de fazer uma avaliação de risco e dentro de 10 apresentar um plano de resiliência ao Secretário-Geral do Sistema de Segurança Interna, de acordo com a resolução do Conselho de Ministros publicada esta sexta-feira em Diário da República.

A Estratégia Nacional para a Resiliência das Entidades Críticas transpõe a Diretiva Europeia 2022/2557, do Parlamento Europeu e do Conselho, de 14 de dezembro, relativa à resiliência das entidades críticas. A mesma visa estabelecer “o enquadramento, as medidas políticas, os objetivos estratégicos e as respetivas linhas de ação, tendo em consideração a avaliação nacional de risco”, pode ler-se no documento publicado em Diário da República. A mesma tem como “objetivos estratégicos” reforçar a “resiliência global das entidades críticas, tendo em conta as dependências e interdependências transfronteiriças e intersetoriais”.

“O novo regime jurídico substitui o modelo precedente, centrado iminentemente na proteção de infraestruturas críticas nacionais, por um paradigma mais dinâmico e funcional, que atribui relevo à prevenção, resposta e recuperação face a incidentes com impacto potencial na prestação de serviços essenciais. Define também um quadro de governação partilhada, assente na articulação estreita entre o Secretário-Geral do Sistema de Segurança Interna, o Conselho Nacional de Planeamento Civil de Emergência, as entidades setoriais, as entidades críticas e demais entidades fundamentais para o seu escopo”, pode ler-se na resolução.

O enquadramento normativo impõe ainda obrigações concretas às entidades críticas, incluindo a “realização de avaliações de risco, a elaboração de planos de resiliência, a notificação de incidentes relevantes, a realização de exercícios regulares e a designação de agentes de ligação com as entidades legalmente previstas“, refere ainda. E, em simultâneo, “estabelece mecanismos de supervisão, fiscalização e responsabilização, prevendo sanções para situações de incumprimento”.

O que são “entidades críticas” e quais as suas obrigações

O documento define que entidades são consideradas “críticas” bem como um conjunto de obrigações. São entidades críticas a “entidade pública ou privada, identificada e designada enquanto tal pelo Conselho Nacional de Planeamento Civil de Emergência, que opera uma ou mais infraestruturas críticas localizadas em território nacional, em que um incidente teria efeitos perturbadores significativos sobre a prestação de um ou mais serviços essenciais nos setores da energia; transportes; bancário; infraestruturas do mercado financeiro; saúde; água potável; águas residuais; infraestruturas digitais; Administração Pública; espaço; seguros e fundos de pensões, e produção, transformação e distribuição de produtos alimentares“, pode ler-se no documento.

Estas entidades têm um conjunto de obrigações, como fazer avaliações de risco e apresentar planos de resiliência. No prazo de “nove meses a contar da data da receção da notificação da sua designação”, a entidade crítica tem de fazer uma avaliação de risco “que inclui obrigatoriamente a avaliação dos riscos específicos relativos a cada uma das suas infraestruturas críticas”.

No prazo de 10 meses devem depois submeter um plano de resiliência ao Secretário-Geral do Sistema de Segurança Interna para aprovação, que deve incluir “um plano de segurança por cada infraestrutura crítica”.

“As entidades críticas devem rever o plano de resiliência no prazo máximo de quatro anos ou sempre que se justifique, nomeadamente em caso de perturbação grave na prestação do serviço essencial, alteração significativa das infraestruturas críticas ou obtenção de novos conhecimentos relevantes”, refere ainda a resolução.

Ao longo da vigência do plano de resiliência — quatro anos — as entidades críticas têm de realizar “pelo menos” um exercício. Nesse período são também testados “de forma obrigatória todos os planos de segurança, devendo ser envolvidas as forças de segurança e os serviços municipais de proteção civil territorialmente competentes”, sendo produzido um relatório e enviado ao Secretário-Geral do Sistema de Segurança Interna, “no prazo máximo de 30 dias”.

“Em caso de incidentes que perturbem significativamente, ou sejam suscetíveis de perturbar, a prestação de serviços essenciais ou o funcionamento das infraestruturas críticas, as entidades críticas devem notificar de imediato o Secretário-Geral do Sistema de Segurança Interna, fornecendo informação detalhada sobre o incidente no prazo máximo de 24 horas e, depois, um relatório pormenorizado no prazo de um mês“, é ainda referido.