REGULAMENTO (UE) 2019/881 DO PARLAMENTO EUROPEU E DO CONSELHO de 17 de abril de 2019 relativo à ENISA (Agência da União Europeia para a Cibersegurança) e à certificação da cibersegurança das tecnologias da informação e comunicação e que revoga o Regulamento (UE) n. o 526/2013 (Regulamento Cibersegurança) (Texto relevante para efeitos do EEE)

Os organismos de avaliação da conformidade devem estar constituídos nos termos do direito nacional e ser dotados de personalidade jurídica.

Os organismos de avaliação da conformidade devem ser organismos terceiros independentes da organização ou dos produtos, serviços ou processos de TIC ou serviços de segurança geridos que avaliam.

Os organismos que pertençam a organizações empresariais ou associações profissionais que representem empresas envolvidas nas atividades de conceção, fabrico, fornecimento, montagem, utilização ou manutenção de produtos, serviços ou processos de TIC ou serviços de segurança geridos por si avaliados podem ser considerados organismos de avaliação da conformidade, desde que demonstrem a respetiva independência e a inexistência de conflitos de interesses.

Os organismos de avaliação da conformidade, os seus quadros superiores e o pessoal encarregado de executar as tarefas de avaliação da conformidade não podem ser o projetista, o fabricante, o fornecedor, o instalador, o comprador, o proprietário, o utilizador ou o responsável pela manutenção dos produtos, serviços ou processos de TIC ou do serviço de segurança gerido a avaliar, ou o representante autorizado de uma dessas partes. Esta proibição não obsta à utilização de produtos de TIC avaliados que sejam necessários às atividades do organismo de avaliação da conformidade, nem à utilização desses produtos de TIC para fins pessoais.

Os organismos de avaliação da conformidade, os seus quadros superiores e o pessoal encarregado de executar as tarefas de avaliação da conformidade não podem intervir diretamente na conceção, no fabrico ou na construção, no fornecimento, na comercialização, na instalação, na utilização nem na manutenção dos produtos, serviços ou processos de TIC ou serviços de segurança geridos que são objeto da avaliação. Os organismos de avaliação da conformidade, os seus quadros superiores e o pessoal encarregado de executar as tarefas de avaliação da conformidade não podem exercer qualquer atividade suscetível de comprometer a independência do seu julgamento ou a sua integridade no exercício das atividades de avaliação da conformidade. Essa proibição é aplicável, nomeadamente, aos serviços de consultoria.

Se os organismos de avaliação da conformidade forem propriedade de entidades ou instituições públicas, ou geridos por tais entidades ou instituições, devem ser garantidas e documentadas a independência e a inexistência de conflitos de interesses entre a autoridade nacional de certificação de cibersegurança e o organismo de avaliação da conformidade.

Os organismos de avaliação da conformidade devem assegurar que as atividades das suas filiais ou subcontratantes não afetem a confidencialidade, a objetividade ou a imparcialidade das respetivas atividades de avaliação da conformidade.

Os organismos de avaliação da conformidade e o seu pessoal devem executar as atividades de avaliação da conformidade com a maior integridade profissional e a maior competência técnica necessária no domínio específico em causa, e não podem estar sujeitos a quaisquer pressões ou incentivos, incluindo de natureza financeira, suscetíveis de influenciar o seu julgamento ou os resultados das suas atividades de avaliação da conformidade, em especial por parte de pessoas ou grupos de pessoas interessadas nos resultados dessas atividades.

Os organismos de avaliação da conformidade devem ter capacidade para executar todas as tarefas de avaliação de conformidade que lhes sejam atribuídas ao abrigo do presente regulamento, quer essas tarefas sejam executadas pelos próprios organismos de avaliação da conformidade ou em seu nome e sob a sua responsabilidade. A subcontratação ou consulta a pessoal externo deve ser devidamente documentada, não pode envolver intermediários e deve estar subordinada a um acordo escrito que abranja, entre outros aspetos, a confidencialidade e os conflitos de interesses. O organismo de avaliação da conformidade em causa assume a responsabilidade plena pelas tarefas executadas.

▼M1

Para cada procedimento de avaliação da conformidade e para cada tipo, categoria ou subcategoria de produtos, serviços ou processos de TIC ou serviços de segurança geridos, os organismos de avaliação da conformidade devem sempre dispor de:

▼B

▼M1

▼B

Os organismos de avaliação da conformidade devem dispor dos meios necessários para a boa execução das tarefas técnicas e administrativas relacionadas com as atividades de avaliação da conformidade e ter acesso a todos os equipamentos e instalações necessários.

O pessoal responsável por executar as atividades de avaliação da conformidade deve dispor de:

Deve ser garantida a imparcialidade dos organismos de avaliação da conformidade, dos seus quadros superiores, das pessoas responsáveis por executar as atividades de avaliação da conformidade e dos subcontratantes.

A remuneração dos quadros superiores e das pessoas responsáveis por executar as atividades de avaliação da conformidade não pode depender do número de avaliações de conformidade realizadas nem do seu resultado.

Os organismos de avaliação da conformidade devem subscrever um seguro de responsabilidade civil, salvo se essa responsabilidade for assumida pelo Estado-Membro nos termos do direito nacional, ou se o próprio Estado-Membro for diretamente responsável pelas avaliações da conformidade.

Os organismos de avaliação da conformidade e o seu pessoal, os seus comités, as suas filiais, os seus subcontratantes, e qualquer outro organismo associado ou o pessoal externo de organismos de avaliação da conformidade, devem manter a confidencialidade e respeitar o sigilo profissional no que se refere a todas as informações obtidas no cumprimento das suas tarefas de avaliação da conformidade no âmbito do presente regulamento ou de qualquer disposição do direito nacional que lhe dê aplicação, salvo nos casos em que a divulgação seja exigida pelo direito da União ou do Estado-Membro ao qual essas pessoas estão sujeitas, e exceto em relação às autoridades competentes do Estado-Membro em que exercem as suas atividades. Os direitos de propriedade intelectual devem ser protegidos. Os organismos de avaliação da conformidade devem dispor de procedimentos documentados referentes aos requisitos do presente ponto.

Com exceção do ponto 16, os requisitos estabelecidos no presente anexo em nada obstam ao intercâmbio de informações técnicas e de orientações regulamentares entre organismos de avaliação da conformidade e pessoas que apresentem, ou ponderem apresentar, pedidos de certificação.

Os organismos de avaliação da conformidade devem funcionar de acordo com um conjunto de condições coerentes, justas e razoáveis, tendo em conta os interesses das PME no que respeita às taxas.

Os organismos de avaliação da conformidade devem cumprir os requisitos da norma harmonizada aplicável, na aceção do artigo 2.o, ponto 9, do Regulamento (CE) n.o 765/2008, para a acreditação de organismos de avaliação da conformidade que certifiquem produtos, serviços ou processos de TIC ou serviços de segurança geridos.

Os organismos de avaliação da conformidade devem assegurar que os laboratórios de ensaio utilizados para fins de avaliação da conformidade cumpram os requisitos da norma harmonizada aplicável, na aceção do artigo 2.o, ponto 9, do Regulamento (CE) n.o 765/2008 para a acreditação de laboratórios que realizem ensaios.