Norma regulamentar da Autoridade de Supervisão de Seguros e Fundos de Pensões n.º 6/2026-R, de 28 de outubro

Norma Regulamentar da Autoridade de Supervisão de Seguros e Fundos de Pensões n.º 6/2026-R

Reporte à ASF para supervisão da resiliência operacional digital

As Normas Regulamentares n.^os 4/2023-R e 5/2023-R, de 11 de julho, regulam a prestação de informação à Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) para efeitos do exercício das competências de supervisão que lhe estão legalmente cometidas por, respetivamente, empresas de seguros e de resseguros e sociedades gestoras de fundos de pensões, tendo sido, subsequentemente, alteradas pelas Normas Regulamentares n.^os 6/2024-R, de 20 de agosto, 10/2024-R, de 5 de novembro, 11/2024-R, de 20 de novembro, e 7/2025-R, de 26 de agosto.

Por sua vez, a Norma Regulamentar n.º 13/2020-R, de 30 de dezembro, veio regulamentar o regime jurídico da distribuição de seguros e de resseguros, tendo sido, subsequentemente, alterada pelas Normas Regulamentares n.^os 11/2023-R, de 12 de dezembro, 10/2024-R, de 5 de novembro, e 4/2025-R, de 27 de maio.

A 17 de janeiro de 2025, entrou em aplicação o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro (“Regulamento DORA”), tendo sido publicada, a 23 de dezembro, a Lei n.º 73/2025, que assegura a implementação de atos jurídicos europeus no ordenamento nacional relativos à resiliência operacional digital do setor financeiro.

Nos termos do n.º 1 do artigo 3.º da referida lei, a ASF é a autoridade competente para assegurar o cumprimento do Regulamento DORA, da lei e da legislação ou regulamentação europeia ou nacional aplicável em matéria de resiliência operacional digital, no que respeita às entidades sujeitas à respetiva supervisão.

Determina ainda o n.º 1 do artigo 2.º da Lei n.º 73/2025, de 23 de dezembro, que o regime previsto naquele regulamento, na referida lei e na legislação ou regulamentação europeia ou nacional relevante em matéria de resiliência operacional digital é aplicável às empresas de seguros e de resseguros com sede em Portugal às quais se aplica o regime jurídico de acesso e exercício da atividade seguradora e resseguradora (RJASR), aprovado pela Lei n.º 147/2015, de 9 de setembro, e às entidades gestoras de fundos de pensões autorizadas em Portugal às quais se aplica o regime jurídico da constituição e do funcionamento dos fundos de pensões e das entidades gestoras de fundos de pensões (RJFP), aprovado pela Lei n.º 27/2020, de 23 de julho.

Adicionalmente, nos termos da alínea d) do n.º 2 do artigo 232.º do RJASR, é aplicável às sucursais de empresas de seguros e de resseguros de um país terceiro o regime geral aplicável às empresas de seguros e de resseguros com sede em Portugal, designadamente, o artigo 64.º, cujo n.º 6 determina que “A fim de adotar as medidas necessárias para assegurar a continuidade e a regularidade do exercício das suas atividades, incluindo o desenvolvimento de planos de contingência, as empresas de seguros e de resseguros devem utilizar sistemas, recursos e procedimentos adequados e proporcionados e, em especial, criar e gerir sistemas de rede e informação em conformidade com o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022.”.

Por outro lado, da conjugação do disposto na alínea o) do n.º 1 com a alínea e) do n.º 2, ambos do artigo 2.º do Regulamento DORA, resulta que este é aplicável aos mediadores de seguros, de resseguros e de seguros a título acessório que não sejam microempresas ou pequenas ou médias empresas, na aceção dos pontos 60), 63) e 64) do artigo 3.º do referido regulamento, isto é, aos mediadores de seguros, de resseguros e de seguros a título acessório residentes ou com sede em Portugal, que empreguem, no mínimo, 250 pessoas ou cujo volume de negócios anual é superior a 50 milhões de euros e o balanço total anual é superior a 43 milhões de euros.

Quanto a estas entidades, nota-se que, no caso de instituições de crédito que exerçam a atividade de distribuição de seguros, o Banco de Portugal é a única autoridade competente para a receção das comunicações dos incidentes de caráter severo relacionados com as TIC e de notificações voluntárias de ciberameaças significativas, nos termos da alínea a) do n.º 2 do artigo 3.º da Lei n.º 73/2025, de 23 de dezembro.

De igual forma, de acordo com os critérios de reporte às Autoridades Europeias de Supervisão (ESA) do registo de informações previsto do primeiro parágrafo do n.º 3 do artigo 28.º do Regulamento DORA, as instituições de crédito que exerçam atividades de distribuição de seguros devem reportar o registo de informações à autoridade de supervisão do setor bancário.

Ressalvando-se estas situações, os mediadores de seguros, de resseguros e de seguros a título acessório que não sejam microempresas ou pequenas ou médias empresas, nos termos do Regulamento DORA, devem reportar à ASF informação em matéria de resiliência operacional digital, conforme previsto na presente norma regulamentar.

Neste sentido, cumpre proceder à introdução de novos deveres de reporte à ASF para efeitos do exercício das competências de supervisão que lhe estão legalmente cometidas nos termos da Lei n.º 73/2025, de 23 de dezembro.

Assim, estabelece-se, através da presente alteração regulamentar, a prestação de informação sobre acordos contratuais relativos à utilização dos serviços de tecnologias de informação e comunicação (TIC) prestados por terceiros prestadores de serviços de TIC, bem como em caso de ocorrência de incidentes de caráter severo relacionados com as TIC e ciberameaças significativas, de acordo com o disposto no Regulamento DORA, e respetivos atos delegados e de execução.

Em matéria de incidentes, aproveita-se ainda a oportunidade para alargar a periodicidade (de mensal para trimestral) e para eliminar as variáveis relativas ao impacto económico do reporte de incidentes cibernéticos, previsto nas Normas Regulamentares n.^os 4/2023-R e 5/2023-R, de 11 de julho. Esta opção regulatória enquadra-se no âmbito do objetivo estratégico da ASF de simplificação do respetivo acervo regulamentar, tendo em vista assegurar a proporcionalidade dos encargos associados a este reporte e a adequação os dados reportados aos objetivos de utilização pela autoridade de supervisão.

Prevê-se, também, a possibilidade de a ASF solicitar o relatório de análise do quadro de gestão do risco associado às TIC, nos termos do Regulamento DORA, e uma estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC, nos termos deste regulamento e de acordo com as Orientações do Comité Conjunto das ESA relativas à estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC nos termos do Regulamento (UE) 2022/2554, assim se procedendo igualmente à respetiva incorporação no quadro jurídico aplicável.

Por último, regulamenta-se a comunicação à ASF da participação em acordos de partilha de informações específicas e sensíveis relativas a ciberataques, após validação dessa mesma participação ou, quando aplicável, após a cessação da sua participação, assim que esta produza efeitos.

Face ao exposto, de forma a evitar sobreposições de regimes e de requisitos de reporte em matéria de resiliência operacional digital, são revogadas a Norma Regulamentar n.º 6/2022-R, de 7 de junho, relativa à segurança e governação das tecnologias de informação e comunicação (TIC) e subcontratação a prestadores de serviços de computação em nuvem, e a Norma Regulamentar n.º 7/2024-R, de 20 de agosto, relativa à segurança e governação das tecnologias de informação e comunicação (TIC) e subcontratação a prestadores de serviços de computação em nuvem no âmbito da gestão de fundos de pensões. São ainda revogadas a Norma Regulamentar n.º 9/2024-R, de 26 de setembro, que regula a comunicação à ASF de incidentes de caráter severo relacionados com as TIC, e a Circular n.º 3/2025, de 8 de abril, sobre o reporte de incidentes de caráter severo relacionados com as TIC e de ciberameaças significativas.

O projeto da presente norma regulamentar esteve em processo de consulta pública, nos termos do artigo 47.º dos Estatutos da ASF, aprovados pelo Decreto-Lei n.º 1/2015, de 6 de janeiro, tendo sido recebidos os comentários considerados nos termos do Relatório da Consulta Pública n.º 2/2026.

Assim, a Autoridade de Supervisão de Seguros e Fundos de Pensões, ao abrigo do disposto nas alíneas a) a e) e g) do artigo 7.º da Lei n.º 73/2025, de 23 de dezembro, bem como na alínea a) do n.º 3 do artigo 16.º dos seus Estatutos, emite a seguinte norma regulamentar:

Artigo 1.º

Objeto

1 - A presente norma regulamentar procede à:

a) Quinta alteração à Norma Regulamentar n.º 4/2023-R, de 11 de julho, que regula a prestação de informação pelas entidades supervisionadas à Autoridade de Supervisão de Seguros e Fundos de Pensões (ASF) para efeitos do exercício das competências de supervisão que lhe estão legalmente cometidas, alterada pela Norma Regulamentar n.º 6/2024-R, de 20 de agosto, pela Norma Regulamentar n.º 10/2024-R, de 5 de novembro, pela Norma Regulamentar n.º 11/2024-R, de 20 de novembro, e pela Norma Regulamentar n.º 7/2025-R, de 26 de agosto;

b) Quinta alteração à Norma Regulamentar n.º 5/2023-R, de 11 de julho, que define o conjunto de relatórios e elementos de índole financeira, estatística e comportamental que as sociedades gestoras de fundos de pensões devem remeter à ASF para efeitos do exercício das competências de supervisão que lhe estão legalmente cometidas, alterada pela Norma Regulamentar n.º 6/2024-R, de 20 de agosto, pela Norma Regulamentar n.º 10/2024-R, de 5 de novembro, pela Norma Regulamentar n.º 11/2024-R, de 20 de novembro, e pela Norma Regulamentar n.º 7/2025-R, de 26 de agosto;

c) Quarta alteração à Norma Regulamentar n.º 13/2020-R, de 30 de dezembro, que regulamenta o regime jurídico da distribuição de seguros e de resseguros, alterada pela Norma Regulamentar n.º 11/2023-R, de 12 de dezembro, pela Norma Regulamentar n.º 10/2024-R, de 5 de novembro, e pela Norma Regulamentar n.º 4/2025-R, de 27 de maio.

2 - A presente norma regulamentar procede ainda à incorporação no quadro jurídico aplicável das Orientações do Comité Conjunto das Autoridades Europeias de Supervisão relativas à estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC nos termos do Regulamento (UE) 2022/2554, de 5 de junho de 2024.

Artigo 2.º

Alteração à Norma Regulamentar n.º 4/2023-R, de 11 de julho

Os artigos 2.º, 3.º e 26.º da Norma Regulamentar n.º 4/2023-R, de 11 de julho, alterada pela Norma Regulamentar n.º 6/2024-R, de 20 de agosto, pela Norma Regulamentar n.º 10/2024-R, de 5 de novembro, pela Norma Regulamentar n.º 11/2024-R, de 20 de novembro, e pela Norma Regulamentar n.º 7/2025-R, de 26 de agosto, passam a ter a seguinte redação:

«Artigo 2.º

[...]

1 - [...]

2 - [...]

3 - O disposto no Título V aplica-se também às sucursais de empresas de seguros e de resseguros de um país terceiro.

Artigo 3.º

[...]

1 - [...]

2 - [...]

3 - [...]

4 - [...]

5 - A presente norma regulamentar aplica-se à informação que as empresas de seguros e de resseguros devem remeter à ASF para efeitos do exercício das competências de supervisão que lhe estão legalmente cometidas na Lei n.º 73/2025, de 23 de dezembro, que assegura a implementação de atos jurídicos europeus no ordenamento nacional relativos à resiliência operacional digital do setor financeiro.

6 - [Anterior n.º 5.]

Artigo 26.º

[...]

[...]

a) [...]

b) [...]

c) [...]

d) [...]

e) [...]

f) [...]

g) [...]

h) [...]

i) Reporte de incidentes cibernéticos, no prazo de 20 dias após o final de cada trimestre, com referência ao trimestre anterior;

j) [...]

k) [...]»

Artigo 3.º

Aditamento à Norma Regulamentar n.º 4/2023-R, de 11 de julho

1 - É aditado à Norma Regulamentar n.º 4/2023-R, de 11 de julho, o Título V, com a seguinte redação:

«TÍTULO V

PRESTAÇÃO DE INFORMAÇÃO RELACIONADA COM A RESILIÊNCIA OPERACIONAL DIGITAL

Artigo 39.º-A

Acordos contratuais relativos à utilização dos serviços TIC prestados por terceiros prestadores de serviços de TIC

1 - As empresas de seguros e de resseguros comunicam à ASF:

a) O registo de informações em relação a todos os acordos contratuais relativos à utilização dos serviços de tecnologias de informação e comunicação (TIC) prestados por terceiros prestadores de serviços de TIC, nos termos do quarto parágrafo do n.º 3 do artigo 28.º do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro (“Regulamento DORA”), de acordo com o disposto no Regulamento de Execução (UE) 2024/2956 da Comissão, de 29 de novembro de 2024, que estabelece normas técnicas de execução para a aplicação do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no respeitante aos modelos normalizados para o registo de informações, até 28 de fevereiro, com referência a 31 de dezembro do ano precedente;

b) Informação referente a qualquer acordo contratual planeado para a utilização de serviços de TIC que apoiem funções críticas ou importantes, bem como quando uma determinada função passar a ser crítica ou importante, nos termos do quinto parágrafo do n.º 3 do artigo 28.º do Regulamento DORA, designadamente:

i) A denominação legal do terceiro prestador de serviço;

ii) O identificador de entidade jurídica, caso exista;

iii) A data de início do acordo contratual;

iv) A identificação da função apoiada pelo serviço de TIC ou da função que passa a ser crítica ou importante.

2 - A informação prevista na alínea a) do número anterior deve ser prestada ao nível mais elevado de consolidação na União Europeia, caso as empresas de seguros ou de resseguros integrem grupos seguradores ou resseguradores cuja empresa-mãe seja supervisionada pela ASF, ou ao nível subconsolidado ou numa base individual, caso não integrem grupos seguradores ou resseguradores ou integrem grupos seguradores ou resseguradores cuja empresa-mãe não seja supervisionada pela ASF.

3 - As empresas de seguros e de resseguros prestam a informação prevista na alínea a) do n.º 1 de acordo com o pacote de documentação técnica disponibilizado pelas Autoridades Europeias de Supervisão, acessível no sítio da ASF na Internet.

4 - Com fundamento em critérios de proporcionalidade, previstos no n.º 2 do artigo 4.º e à alínea b) do n.º 1 do artigo 28.º do Regulamento DORA, a ASF pode dispensar determinadas empresas de seguros e de resseguros do envio do registo de informações, bem como estabelecer uma periodicidade ou um formato de envio diversos dos previstos, respetivamente, na alínea a) do n.º 1 e no número anterior.

Artigo 39.º-B

Incidentes de caráter severo relacionados com as TIC e ciberameaças significativas

1 - As empresas de seguros e de resseguros comunicam à ASF:

a) Os incidentes de caráter severo relacionados com as TIC, nos termos dos n.^os 1 e 4 do artigo 19.º do Regulamento DORA, de acordo com o disposto no Regulamento Delegado (UE) 2025/301 da Comissão, de 23 de outubro de 2024, que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, no que respeita às normas técnicas de regulamentação que especificam o conteúdo e os prazos para a notificação inicial e os relatórios intercalar e final sobre incidentes de caráter severo relacionados com as TIC, bem como o conteúdo da notificação voluntária de ciberameaças significativas, e no Regulamento de Execução (UE) 2025/302 da Comissão, de 23 de outubro de 2024, que estabelece normas técnicas de execução para a aplicação do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, no que respeita aos formulários, modelos e procedimentos normalizados que as entidades financeiras devem utilizar para comunicar incidentes de caráter severo relacionados com as TIC e notificar uma ciberameaça significativa;

b) A título voluntário, as ciberameaças significativas, nos termos do n.º 2 do artigo 19.º do Regulamento DORA, de acordo com o disposto nos diplomas legais mencionados na alínea anterior.

2 - As empresas de seguros e de resseguros mantêm disponível para consulta e, quando solicitado, para prestação de informação à ASF, uma estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC, nos termos do n.º 10 do artigo 11.º do Regulamento DORA, de acordo com o disposto nas Orientações do Comité Conjunto das Autoridades Europeias de Supervisão relativas à estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC nos termos do Regulamento (UE) 2022/2554, utilizando o modelo de reporte em anexo às referidas orientações.

Artigo 39.º-C

Quadro de gestão do risco associado às TIC

As empresas de seguros e de resseguros mantêm disponível para consulta e, quando solicitado, para prestação de informação à ASF o relatório de análise do quadro de gestão do risco associado às TIC, nos termos do n.º 5 do artigo 6.º do Regulamento DORA.

Artigo 39.º-D

Acordos de partilha de informações específicas e sensíveis relativas a ciberataques

As empresas de seguros e de resseguros comunicam à ASF informação sobre a sua participação nos acordos de partilha de informações a que se refere o n.º 1 do artigo 45.º do Regulamento DORA, após validação dessa mesma participação ou, quando aplicável, após a cessação da sua participação, assim que esta produza efeitos, nos termos do n.º 3 da referida disposição, designadamente:

a) A denominação e identificação do acordo ou comunidade de partilha;

b) As entidades participantes ou tipologia da comunidade;

c) O âmbito da partilha;

d) A data de início e, quando aplicável, a de cessação da participação.

Artigo 39.º-E

Meio de prestação da informação

1 - Os elementos previstos na alínea a) do n.º 1 do artigo 39.º-A, no n.º 2 do artigo 39.º-B e no artigo 39.º-C são enviados à ASF através da utilização do Portal de Operadores residente em www.asf.com.pt.

2 - Os elementos previstos na alínea b) do n.º 1 do artigo 39.º-A e no artigo 39.º-D devem ser remetidos através do endereço eletrónico supervisao@asf.com.pt.

3 - Os elementos previstos no n.º 1 do artigo 39.º-B são enviados à ASF através do preenchimento de formulários próprios, acessíveis através de hiperligação colocada no sítio da ASF na Internet.

4 - Em caso de impossibilidade de envio pontual dos elementos previstos no n.º 1 do artigo 39.º-B ou de indisponibilidade dos formulários referidos no número anterior, a informação deve ser prestada através de outro meio seguro, após consulta à ASF para o efeito.

5 - Os formulários, os modelos de reporte e as instruções a utilizar para efeitos da prestação de informação prevista no presente título, bem como as alterações aos mesmos, são disponibilizados no sítio da ASF na Internet, após aprovação pelo Conselho de Administração desta Autoridade.

6 - Os elementos previstos na alínea b) do n.º 1 do artigo 39.º-A e no artigo 39.º-C devem incluir, em anexo, uma cópia do formulário relativo ao tratamento de dados pessoais disponível no sítio da ASF na Internet, o qual deve ser do conhecimento de todos os titulares cujos dados pessoais constem dos referidos elementos.»

Artigo 4.º

Alteração sistemática à Norma Regulamentar n.º 4/2023-R, de 11 de julho

O Título V da Norma Regulamentar n.º 4/2023-R, de 11 de julho, é renumerado como Título VI, sendo as referências a esse título atualizadas de acordo com a nova numeração.

Artigo 5.º

Alteração à Norma Regulamentar n.º 5/2023-R, de 11 de julho

O artigo 1.º, 4.º e 15.º da Norma Regulamentar n.º 5/2023-R, de 11 de julho, alterada pela Norma Regulamentar n.º 6/2024-R, de 20 de agosto, pela Norma Regulamentar n.º 10/2024-R, de 5 de novembro, pela Norma Regulamentar n.º 11/2024-R, de 20 de novembro, e pela Norma Regulamentar n.º 7/2025-R, de 26 de agosto, passam a ter a seguinte redação:

«Artigo 1.º

[...]

1 - [...]

2 - A presente norma regulamentar aplica-se à informação que as sociedades gestoras de fundos de pensões devem remeter à ASF para efeitos do exercício das competências de supervisão que lhe estão legalmente cometidas na Lei n.º 73/2025, de 23 de dezembro, que assegura a implementação de atos jurídicos europeus no ordenamento nacional relativos à resiliência operacional digital do setor financeiro.

3 - [Anterior n.º 2.]

Artigo 4.º

[...]

1 - [...]

a) [...]

b) [...]

c) [...]

d) [...]

e) [...]

f) [...]

g) [...]

h) [...]

i) [...]

j) Reporte de incidentes cibernéticos, no prazo de 20 dias após o final de cada trimestre, com referência ao trimestre anterior;

k) [...]

l) [...]

m) [...]

n) [...]

o) [...]

2 - [...]

3 - [...]

4 - [...]

5 - [...]

Artigo 15.º

[...]

1 - Sem prejuízo do disposto nos números seguintes, o processo de disponibilização e envio dos elementos financeiros e estatísticos previstos no artigo 3.º, dos relatórios e elementos para efeitos de supervisão estabelecidos no artigo 4.º e da informação prevista no artigo 14.º, na alínea a) do artigo 14.º-A, no n.º 2 do artigo 14.º-B e no artigo 14.º-C, é efetuado através da utilização do Portal de Operadores residente em www.asf.com.pt.

2 - Sem prejuízo do disposto no número seguinte, os elementos de reporte pontual previstos nos artigos 5.º a 9.º, 13.º-A e 13.º-B, na alínea b) do n.º 1 do artigo 14.º-A e no artigo 14.º-D devem ser remetidos para o e-mail dfp@asf.com.pt.

3 - [...]

4 - [...]

5 - [...]

6 - Os elementos previstos no n.º 1 do artigo 14.º-B são remetidos à ASF através do preenchimento de formulários próprios, acessíveis através de hiperligação colocada no sítio da ASF na Internet.

7 - Em caso de impossibilidade de envio pontual dos elementos previstos no n.º 1 do artigo 14.º-B ou de indisponibilidade dos formulários referidos no número anterior, a informação deve ser prestada através de outro meio seguro, após consulta à ASF para o efeito.

8 - Os formulários, os mapas e modelos de reporte e as instruções a utilizar para efeitos da prestação de informação prevista na presente norma regulamentar, bem como as alterações aos mesmos, são disponibilizados no sítio da ASF na Internet, após aprovação pelo Conselho de Administração desta Autoridade.

9 - Os elementos previstos na segunda parte da subalínea ii) da alínea k) do n.º 1 do artigo 3.º, no artigo 4.º, com exceção das alíneas h) e i) do n.º 1, na alínea b) do n.º 1 do artigo 14.º-B e no artigo 14.º-C devem incluir, em anexo, uma cópia do formulário relativo ao tratamento de dados pessoais disponível no sítio da ASF Internet, o qual deve ser do conhecimento de todos os titulares cujos dados pessoais constem dos referidos elementos.»

Artigo 6.º

Aditamento à Norma Regulamentar n.º 5/2023-R, de 11 de julho

1 - É aditado à Norma Regulamentar n.º 5/2023-R, de 11 de julho, o Capítulo V, com a seguinte redação:

«CAPÍTULO V

PRESTAÇÃO DE INFORMAÇÃO RELACIONADA COM A RESILIÊNCIA OPERACIONAL DIGITAL

Artigo 14.º-A

Acordos contratuais relativos à utilização dos serviços TIC prestados por terceiros prestadores de serviços de TIC

1 - As sociedades gestoras de fundos de pensões comunicam à ASF:

a) O registo de informações, ao nível da entidade, em relação a todos os acordos contratuais relativos à utilização dos serviços de tecnologias de informação e comunicação (TIC) prestados por terceiros prestadores de serviços de TIC, nos termos do quarto parágrafo do n.º 3 do artigo 28.º do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro (“Regulamento DORA”), de acordo com o disposto no Regulamento de Execução (UE) 2024/2956 da Comissão, de 29 de novembro de 2024, que estabelece normas técnicas de execução para a aplicação do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no respeitante aos modelos normalizados para o registo de informações, até 28 de fevereiro, com referência a 31 de dezembro do ano precedente;

b) Informação referente a qualquer acordo contratual planeado para a utilização de serviços de TIC que apoiem funções críticas ou importantes, bem como quando uma determinada função passar a ser crítica ou importante, nos termos do quinto parágrafo do n.º 3 do artigo 28.º do Regulamento DORA, designadamente:

i) A denominação legal do terceiro prestador de serviço;

ii) O identificador de entidade jurídica, caso exista;

iii) A data de início do acordo contratual;

iv) A identificação da função apoiada pelo serviço de TIC ou da função que passa a ser crítica ou importante.

2 - As sociedades gestoras de fundos de pensões prestam a informação prevista na alínea a) do número anterior de acordo com o pacote de documentação técnica disponibilizado pelas Autoridades Europeias de Supervisão, acessível no sítio da ASF na Internet.

3 - Com fundamento em critérios de proporcionalidade, previstos no n.º 2 do artigo 4.º e à alínea b) do n.º 1 do artigo 28.º do Regulamento DORA, a ASF pode dispensar determinadas sociedades gestoras de fundos de pensões do envio do registo de informações, bem como estabelecer uma periodicidade ou um formato de envio diversos dos previstos, respetivamente, na alínea a) do n.º 1 e no número anterior.

Artigo 14.º-B

Incidentes de caráter severo relacionados com as TIC e ciberameaças significativas

1 - As sociedades gestoras de fundos de pensões comunicam à ASF:

a) Os incidentes de caráter severo relacionados com as TIC, nos termos dos n.^os 1 e 4 do artigo 19.º do Regulamento DORA, de acordo com o disposto no Regulamento Delegado (UE) 2025/301 da Comissão, de 23 de outubro de 2024, que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, no que respeita às normas técnicas de regulamentação que especificam o conteúdo e os prazos para a notificação inicial e os relatórios intercalar e final sobre incidentes de caráter severo relacionados com as TIC, bem como o conteúdo da notificação voluntária de ciberameaças significativas, e no Regulamento de Execução (UE) 2025/302 da Comissão, de 23 de outubro de 2024, que estabelece normas técnicas de execução para a aplicação do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, no que respeita aos formulários, modelos e procedimentos normalizados que as entidades financeiras devem utilizar para comunicar incidentes de caráter severo relacionados com as TIC e notificar uma ciberameaça significativa;

b) A título voluntário, as ciberameaças significativas, nos termos do n.º 2 do artigo 19.º do Regulamento DORA, de acordo com o disposto nos diplomas legais mencionados na alínea anterior.

2 - As sociedades gestoras de fundos de pensões mantêm disponível para consulta e, quando solicitado, para prestação de informação à ASF, uma estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC, nos termos do n.º 10 do artigo 11.º do Regulamento DORA, de acordo com o disposto nas Orientações do Comité Conjunto das Autoridades Europeias de Supervisão relativas à estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC nos termos do Regulamento (UE) 2022/2554, utilizando o modelo de reporte em anexo às referidas orientações.

Artigo 14.º-C

Quadro de gestão do risco associado às TIC

As sociedades gestoras de fundos de pensões mantêm disponível para consulta e, quando solicitado, para prestação de informação à ASF o relatório de análise do quadro de gestão do risco associado às TIC, nos termos do n.º 5 do artigo 6.º ou do n.º 2 do artigo 16.º do Regulamento DORA, consoante aplicável.

Artigo 14.º-D

Acordos de partilha de informações específicas e sensíveis relativas a ciberataques

As sociedades gestoras de fundos de pensões comunicam à ASF informação sobre a sua participação nos acordos de partilha de informações a que se refere o n.º 1 do artigo 45.º do Regulamento DORA, após validação dessa mesma participação ou, quando aplicável, após a cessação da sua participação, assim que esta produza efeitos, nos termos do n.º 3 da referida disposição, designadamente:

a) A denominação e identificação do acordo ou comunidade de partilha;

b) As entidades participantes ou tipologia da comunidade;

c) O âmbito da partilha;

d) A data de início e, quando aplicável, a de cessação da participação.»

Artigo 7.º

Alteração sistemática à Norma Regulamentar n.º 5/2023-R, de 11 de julho

Os Capítulos V e VI da Norma Regulamentar n.º 5/2023-R, de 11 de julho, são renumerados como Capítulos VI e VII, sendo as referências a esse título atualizadas de acordo com a nova numeração.

Artigo 8.º

Alteração à Norma Regulamentar n.º 13/2020-R, de 30 de dezembro

O artigo 1.º da Norma Regulamentar n.º 13/2020-R, de 30 de dezembro, alterada pela Norma Regulamentar n.º 11/2023-R, de 12 de dezembro, pela Norma Regulamentar n.º 10/2024-R, de 5 de novembro, e pela Norma Regulamentar n.º 4/2025-R, de 27 de maio, passa a ter a seguinte redação:

«Artigo 1.º

[...]

1 - [...]

2 - A presente norma regulamentar define ainda a informação que os mediadores de seguros, de resseguros e de seguros a título acessório sujeitos ao disposto no Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro (“Regulamento DORA”) devem remeter à ASF para efeitos do exercício das competências de supervisão que lhe estão legalmente cometidas na Lei n.º 73/2025, de 23 de dezembro, que assegura a implementação de atos jurídicos europeus no ordenamento nacional relativos à resiliência operacional digital do setor financeiro.

3 - Para o efeito do número anterior, consideram-se mediadores de seguros, de resseguros e de seguros a título acessório sujeitos ao Regulamento DORA os residentes ou com sede em Portugal, que empreguem, no mínimo, 250 pessoas ou cujo volume de negócios anual é superior a 50 milhões de euros e o balanço total anual é superior a 43 milhões de euros.»

Artigo 9.º

Aditamento à Norma Regulamentar n.º 13/2020-R, de 30 de dezembro

São aditados à Norma Regulamentar n.º 13/2020-R, de 30 de dezembro, os artigos 57.º-A, 57.º-B, 57.º-C, 57.º-D e 57.º-E, com a seguinte redação:

«Artigo 57.º-A

Acordos contratuais relativos à utilização dos serviços TIC prestados por terceiros prestadores de serviços de TIC

1 - Os mediadores de seguros, de resseguros e de seguros a título acessório abrangidos pelo Regulamento DORA comunicam à ASF:

a) O registo de informações, ao nível da entidade, em relação a todos os acordos contratuais relativos à utilização dos serviços de tecnologias de informação e comunicação (TIC) prestados por terceiros prestadores de serviços de TIC, nos termos do quarto parágrafo do n.º 3 do artigo 28.º do Regulamento DORA, de acordo com o disposto no Regulamento de Execução (UE) 2024/2956 da Comissão, de 29 de novembro de 2024, que estabelece normas técnicas de execução para a aplicação do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no respeitante aos modelos normalizados para o registo de informações, até 28 de fevereiro, com referência a 31 de dezembro do ano precedente;

b) Informação referente a qualquer acordo contratual planeado para a utilização de serviços de TIC que apoiem funções críticas ou importantes, bem como quando uma determinada função passar a ser crítica ou importante, nos termos do quinto parágrafo do n.º 3 do artigo 28.º do Regulamento DORA designadamente:

i) A denominação legal do terceiro prestador de serviço;

ii) O identificador de entidade jurídica, caso exista;

iii) A data de início do acordo contratual;

iv) A identificação da função apoiada pelo serviço de TIC ou da função que passa a ser crítica ou importante.

2 - Os mediadores de seguros, de resseguros e de seguros a título acessório sujeitos ao disposto no Regulamento DORA prestam a informação prevista na alínea a) do número anterior de acordo com o pacote de documentação técnica disponibilizado pelas Autoridades Europeias de Supervisão, acessível no sítio da ASF na Internet.

3 - Com fundamento em critérios de proporcionalidade, previstos no n.º 2 do artigo 4.º e à alínea b) do n.º 1 do artigo 28.º do Regulamento DORA, a ASF pode dispensar determinados mediadores de seguros, de resseguros e de seguros a título acessório sujeitos ao disposto no Regulamento DORA do envio do registo de informações, bem como estabelecer uma periodicidade ou um formato de envio diversos dos previstos, respetivamente, na alínea a) do n.º 1 e no número anterior.

Artigo 57.º-B

Incidentes de caráter severo relacionados com as TIC e ciberameaças significativas

1 - Sem prejuízo do disposto na alínea a) do n.º 2 do artigo 3.º da Lei n.º 73/2025, de 23 de dezembro, os mediadores de seguros, de resseguros e de seguros a título acessório abrangidos pelo Regulamento DORA comunicam à ASF:

a) Os incidentes de caráter severo relacionados com as TIC, nos termos dos n.^os 1 e 4 do artigo 19.º do Regulamento DORA, de acordo com o disposto no Regulamento Delegado (UE) 2025/301 da Comissão, de 23 de outubro de 2024, que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, no que respeita às normas técnicas de regulamentação que especificam o conteúdo e os prazos para a notificação inicial e os relatórios intercalar e final sobre incidentes de caráter severo relacionados com as TIC, bem como o conteúdo da notificação voluntária de ciberameaças significativas, e no Regulamento de Execução (UE) 2025/302 da Comissão, de 23 de outubro de 2024, que estabelece normas técnicas de execução para a aplicação do Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, no que respeita aos formulários, modelos e procedimentos normalizados que as entidades financeiras devem utilizar para comunicar incidentes de caráter severo relacionados com as TIC e notificar uma ciberameaça significativa;

b) A título voluntário, as ciberameaças significativas, nos termos do n.º 2 do artigo 19.º do Regulamento DORA, de acordo com o disposto nos diplomas legais mencionados na alínea anterior.

2 - Os mediadores de seguros, de resseguros e de seguros a título acessório abrangidos pelo Regulamento DORA, mantêm disponível para consulta e, quando solicitado, para prestação de informação à ASF, uma estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC, nos termos do n.º 10 do artigo 11.º do Regulamento DORA, de acordo com o disposto nas Orientações do Comité Conjunto das Autoridades Europeias de Supervisão relativas à estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC nos termos do Regulamento (UE) 2022/2554, utilizando o modelo de reporte em anexo às referidas orientações.

Artigo 57.º-C

Quadro de gestão do risco associado às TIC

Os mediadores de seguros, de resseguros e de seguros a título acessório abrangidos pelo Regulamento DORA mantêm disponível para consulta e, quando solicitado, para prestação de informação à ASF o relatório de análise do quadro de gestão do risco associado às TIC, nos termos do n.º 5 do artigo 6.º do Regulamento DORA.

Artigo 57.º-D

Acordos de partilha de informações específicas e sensíveis relativas a ciberataques

Os mediadores de seguros, de resseguros e de seguros a título acessório abrangidos pelo Regulamento DORA comunicam à ASF informação sobre a sua participação nos acordos de partilha de informações a que se refere o n.º 1 do artigo 45.º do Regulamento DORA, após validação dessa mesma participação ou, quando aplicável, após a cessação da sua participação, assim que esta produza efeitos, nos termos do n.º 3 da referida disposição, designadamente:

a) A denominação e identificação do acordo ou comunidade de partilha;

b) As entidades participantes ou tipologia da comunidade;

c) O âmbito da partilha;

d) A data de início e, quando aplicável, a de cessação da participação.

Artigo 57.º-E

Meio de prestação da informação

1 - Os elementos previstos na alínea a) do artigo 57.º-A, no n.º 2 do artigo 57.º-B e no artigo 57.º-C são enviados à ASF através da utilização do Portal de Operadores residente em www.asf.com.pt.

2 - Os elementos previstos na alínea b) do n.º 1 do artigo 57.º-A e no artigo 57.º-D devem ser remetidos através do endereço eletrónico prudencial.mediacao@asf.com.pt.

3 - Os elementos previstos no n.º 1 do artigo 57.º-B são enviados à ASF através do preenchimento de formulários próprios, acessíveis através de hiperligação colocada no sítio da ASF na Internet.

4 - Em caso de impossibilidade de envio pontual dos elementos previstos no n.º 1 do artigo 57.º-B ou de indisponibilidade dos formulários referidos no número anterior, a informação deve ser prestada através de outro meio seguro, após consulta à ASF para o efeito.

5 - Os formulários, os modelos de reporte e as instruções a utilizar para efeitos da prestação de informação relacionada com a resiliência operacional digital, bem como as alterações ao mesmo, são disponibilizados no sítio da ASF na Internet, após aprovação pelo Conselho de Administração desta Autoridade.

6 - Os elementos previstos na alínea b) do n.º 1 do artigo 57.º-A e no artigo 57.º-C devem incluir, em anexo, uma cópia do formulário relativo ao tratamento de dados pessoais disponível no sítio da ASF Internet, o qual deve ser do conhecimento de todos os titulares cujos dados pessoais constem dos referidos relatórios.»

Artigo 10.º

Norma revogatória

São revogadas a Norma Regulamentar n.º 6/2022-R, de 7 de junho, a Norma Regulamentar n.º 7/2024-R, de 20 de agosto, a Norma Regulamentar n.º 9/2024-R, de 26 de setembro, e a Circular n.º 3/2025, de 8 de abril.

Artigo 11.º

Início de vigência

1 - Sem prejuízo do número seguinte, a presente norma regulamentar entra em vigor no dia imediato ao da sua publicação.

2 - A alínea b) do n.º 1 do artigo 39.º-A da Norma Regulamentar n.º 4/2023-R, de 11 de julho, a alínea b) do n.º 1 do artigo 14.º-A da Norma Regulamentar n.º 5/2023-R, de 11 de julho, e a alínea b) do n.º 1 do artigo 57.º-A da Norma Regulamentar n.º 13/2020-R, de 11 de julho, entram em vigor 30 dias após a publicação da presente norma regulamentar.

20 de outubro de 2026. ― O Conselho de Administração: Gabriel Bernardino, presidente - Rui Nuno Baleiras, vice-presidente.

320056305