1- As entidades essenciais e importantes devem elaborar e manter um relatório anual que contenha os seguintes elementos em relação ao ano civil a que se reportam:

1. Descrição sumária das principais atividades desenvolvidas em matéria de segurança das redes e dos serviços de informação;
2. Estatística trimestral de todos os incidentes, com indicação do número e do tipo dos incidentes;
3. Análise agregada dos incidentes com impacto significativo, com informação sobre:
   • i) Número de utilizadores afetados pela perturbação serviço;
   • ii) Duração dos incidentes;
   • iii) Distribuição geográfica, no que se refere à zona afetada pelos incidentes, incluindo a indicação de impacto transfronteiriço.
4. Recomendações de atividades, de medidas ou de práticas que promovam a melhoria da segurança das redes e dos sistemas de informação;
5. Problemas identificados e medidas implementadas na sequência dos incidentes;
6. Qualquer outra informação que se considere relevante.

2 - As entidades essenciais remetem o relatório anual à autoridade de cibersegurança competente, devidamente assinado pelo responsável de cibersegurança, nos seguintes termos:

1. O primeiro relatório anual é submetido:
   • i) Até ao último dia útil do mês de janeiro do ano civil seguinte ao primeiro ano civil de atividade, quando esta tenha tido início no primeiro semestre;
   • ii) Até ao último dia útil do mês de janeiro do segundo ano civil seguinte ao primeiro ano civil de atividade, quando esta tenha tido início no segundo semestre.
2. Os relatórios anuais subsequentes são submetidos até ao último dia útil do mês de janeiro do ano civil seguinte aos quais os mesmos se reportam.

3- Para efeitos do disposto na subalínea ii) da alínea a) do número anterior, o relatório anual deve abranger também o período entre a data de início de atividade e o final do ano civil anterior ao que se reporta.

4- As entidades importantes devem comunicar o relatório anual ao CNCS sempre que solicitado.