Artigo 52.o Níveis de garantia dos sistemas europeus de certificação da cibersegurança

Os sistemas europeus de certificação da cibersegurança podem especificar um ou mais dos seguintes níveis de garantia de produtos, serviços e processos de TIC e serviços de segurança geridos: «básico», «substancial» ou «elevado». O nível de garantia é proporcional ao nível do risco associado à utilização prevista do produto, serviço ou processo de TIC ou do serviço de segurança gerido, em termos de probabilidade e impacto de ocorrência de um incidente.

O certificado europeu de cibersegurança e a declaração UE de conformidade indicam o nível de garantia especificado no sistema europeu de certificação da cibersegurança ao abrigo do qual é emitido o certificado europeu de cibersegurança ou a declaração UE de conformidade.

Os requisitos de segurança que correspondem a cada nível de garantia são fornecidos no sistema europeu de certificação da segurança relevante, incluindo as funcionalidades de segurança e o rigor e a exaustividade correspondentes da avaliação a que deve ser sujeito o produto, serviço ou processo de TIC ou o serviço de segurança gerido.

O certificado ou a declaração UE de conformidade faz referência a especificações técnicas, normas e procedimentos conexos, incluindo controlos técnicos, cuja finalidade é reduzir ou prevenir o risco de incidentes de cibersegurança.

Um certificado europeu de cibersegurança ou uma declaração UE de conformidade que ateste um nível de garantia «básico» dá garantia de que os produtos, serviços e processos de TIC ou os serviços de segurança geridos objeto desse certificado ou dessa declaração UE de conformidade cumprem os requisitos de segurança correspondentes, incluindo as funcionalidades de segurança, e de que foram avaliados a um nível que visa a redução ao mínimo dos riscos básicos conhecidos de incidentes e ciberataques. As atividades de avaliação a realizar compreendem, pelo menos, uma análise da documentação técnica. Caso tal análise não seja adequada, são realizadas atividades de avaliação alternativas de efeito equivalente.

Um certificado europeu de cibersegurança que ateste um nível de garantia «substancial» dá garantia de que os produtos, serviços e processos de TIC ou os serviços de segurança geridos objeto desse certificado cumprem os requisitos de segurança correspondentes, incluindo as funcionalidades de segurança, e de que foram avaliados a um nível que visa a redução ao mínimo dos riscos conhecidos para a cibersegurança e do risco de incidentes e ciberataques levados a cabo por autores com competências e recursos limitados. As atividades de avaliação a realizar compreendem, pelo menos, o seguinte: uma análise para demonstrar a inexistência de vulnerabilidades que sejam do conhecimento público e a realização de ensaios para demonstrar que os produtos, serviços ou processos de TIC ou os serviços de segurança geridos aplicam corretamente as funcionalidades de segurança necessárias. Caso tais atividades de avaliação não sejam adequadas, são realizadas atividades de avaliação alternativas de efeito equivalente.

Um certificado europeu de cibersegurança que ateste um nível de garantia «elevado» dá garantia de que os produtos, serviços e processos de TIC ou os serviços de segurança geridos objeto desse certificado cumprem os requisitos de segurança correspondentes, incluindo as funcionalidades de segurança, e de que foram avaliados a um nível que visa a redução ao mínimo dos riscos de ciberataques sofisticados levados a cabo por autores com competências e recursos significativos. As atividades de avaliação a realizar compreendem, pelo menos, o seguinte: uma análise para demonstrar a inexistência de vulnerabilidades que sejam do conhecimento público, a realização de ensaios para demonstrar que os produtos, serviços ou processos de TIC ou os serviços de segurança geridos aplicam corretamente as funcionalidades de segurança necessárias, ao nível tecnológico mais avançado, e uma avaliação da sua resistência a atacantes competentes através de testes de intrusão. Caso tais atividades de avaliação não sejam adequadas, são realizadas atividades de avaliação alternativas de efeito equivalente.

Um sistema europeu de certificação da cibersegurança pode especificar vários níveis de avaliação, em função do rigor e do alcance da metodologia de avaliação utilizada. Cada nível de avaliação corresponde a um dos níveis de garantia e é definido através de uma combinação adequada de componentes de garantia.