+Artigo 56.o Certificação da cibersegurança
---+Artigo 56.o 1.
---+Artigo 56.o 2.
---+Artigo 56.o 3.
---+Artigo 56.o 4.
---+Artigo 56.o 5.
---+Artigo 56.o 6.
---+Artigo 56.o 7.
---+Artigo 56.o 8.
---+Artigo 56.o 9.
---+Artigo 56.o 10.

Artigo 56.o Certificação da cibersegurança

1. Visão geral

,
Artigo 56.o 1.
Presume-se que os produtos, serviços e processos de TIC e os serviços de segurança geridos que tenham sido certificados ao abrigo de um sistema europeu de certificação da cibersegurança adotado nos termos do artigo 49.o cumprem os requisitos desse sistema.
Artigo 56.o 2.
A certificação de cibersegurança é voluntária, salvo disposição em contrário no direito da União ou dos Estados-Membros.
Artigo 56.o 3.
►M1  A Comissão avalia regularmente a eficiência e a utilização dos sistemas europeus de certificação da cibersegurança adotados e se algum sistema europeu de certificação da cibersegurança específico deve passar a ser obrigatório por força do direito aplicável da União, a fim de assegurar um nível adequado de cibersegurança dos produtos, serviços e processos de TIC e, a partir de 4 de fevereiro de 2025, dos serviços de segurança geridos na União e melhorar o funcionamento do mercado interno. A primeira dessas avaliações deve ser realizada até 31 de dezembro de 2023 e as avaliações subsequentes devem ser efetuadas pelo menos de dois em dois anos. Com base no resultado dessas avaliações, a Comissão identifica os produtos, serviços e processos de TIC e os serviços de segurança geridos abrangidos por um sistema de certificação existente que devem ser abrangidos por um sistema de certificação obrigatório. ◄

A Comissão concentra-se prioritariamente nos setores enumerados no anexo II da Diretiva (UE) 2016/1148, que são avaliados o mais tardar dois anos após a adoção do primeiro sistema europeu de certificação da cibersegurança.

Ao preparar a avaliação, a Comissão:

a) 

Toma em consideração o impacto das medidas para os fabricantes de produtos de TIC, os prestadores de serviços de TIC, os fornecedores de processos de TIC e os prestadores de serviços de segurança geridos e para os utilizadores em termos de custos dessas medidas, e os benefícios societais ou económicos decorrentes do reforço previsto do nível de segurança para os produtos, serviços e processos de TIC e os serviços de segurança geridos visados;

b) 

Tem em conta a existência e a aplicação do direito aplicável do Estado-Membro e do país terceiro;

c) 

Procede a uma consulta aberta, transparente e inclusiva de todas as partes interessadas e Estados-Membros;

d) 

Toma em consideração os prazos de aplicação, as medidas e os períodos de transição, tendo especialmente em conta o eventual impacto da medida para os fabricantes de produtos de TIC, os prestadores de serviços de TIC, os fornecedores de processos de TIC e os prestadores de serviços de segurança geridos, incluindo os interesses e necessidades específicos das PME, incluindo microempresas;

e) 

Propõe a forma mais célere e eficaz de efetuar a transição dos sistemas de certificação voluntários para os obrigatórios.
Artigo 56.o 4.
Os organismos de avaliação da conformidade a que se refere o artigo 60.o emitem certificados europeu de cibersegurança, nos termos do presente artigo, atestando um nível de garantia «básico» ou «substancial», com base nos critérios incluídos no sistema europeu de certificação da cibersegurança adotado pela Comissão, nos termos do artigo 49.o.
Artigo 56.o 5.

Em derrogação do n.o 4, em casos devidamente justificados um sistema europeu de certificação da cibersegurança pode prever que os certificados europeus de cibersegurança ao abrigo desse sistema só possam ser emitidos por um organismo público. Esse organismo deve ser um dos seguintes:

a) 

Uma autoridade nacional de certificação da cibersegurança a que se refere o artigo 58.o, n.o 1; ou

b) 

Um organismo público acreditado como organismo de avaliação da conformidade nos termos do artigo 60.o, n.o 1.
Artigo 56.o 6.

Nos casos em que um sistema europeu de certificação da cibersegurança adotado nos termos do artigo 49.o exija um nível de garantia «elevado», o certificado europeu de cibersegurança ao abrigo desse sistema só pode ser emitido por uma autoridade nacional de certificação da cibersegurança ou, nos casos a seguir indicadas, por um organismo de avaliação:

a) 

Mediante aprovação prévia pela autoridade nacional de certificação da cibersegurança para cada certificado europeu de cibersegurança individual emitido por um organismo de avaliação da conformidade; ou

b) 

Com base numa delegação geral prévia do poder de emitir esses certificados europeus de certificação da cibersegurança pela autoridade nacional de certificação da cibersegurança no organismo de avaliação da conformidade.
Artigo 56.o 7.
As pessoas singulares ou coletivas que submetem os seus produtos, serviços ou processos de TIC ou serviços de segurança geridos à certificação disponibilizam à autoridade nacional de certificação da cibersegurança designada nos termos do artigo 58.o, quando essa autoridade for o organismo que emite o certificado europeu de certificação da cibersegurança ou o organismo de avaliação da conformidade a que se refere o artigo 60.o, todas as informações necessárias para efetuar a certificação.
Artigo 56.o 8.
O titular de um certificado europeu de cibersegurança informa a autoridade ou o organismo referido no n.o 7 de quaisquer vulnerabilidades ou irregularidades posteriormente detetadas relativas à segurança do produto, serviço ou processo de TIC ou do serviço de segurança gerido certificado que possam ter um impacto na conformidade do produto, serviço ou processo de TIC ou do serviço de segurança gerido com os requisitos relacionados com a certificação. Essa autoridade ou organismo transmite essas informações sem demora injustificada à autoridade nacional de certificação da cibersegurança.
Artigo 56.o 9.
Os certificados europeus de cibersegurança são emitidos pelo período definido pelo sistema europeu de certificação da cibersegurança em causa e podem ser renovados, desde que continuem a ser cumpridos os requisitos aplicáveis.
Artigo 56.o 10.
Os certificados europeus de cibersegurança emitidos ao abrigo do presente artigo são reconhecidos em todos os Estados-Membros.

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

Requisitos

3. Normas relacionadas

Normas
  • Builddate: 04.02.2025 00:00:00 -Doknr: CELEX:32019R0881
  • EULAW -

    EN: Legal acts of the European Union from EUR-Lex, https://eur-lex.europa.eu/. © European Union. Re-use is authorised by Decision 2011/833/EU, provided the source is acknowledged; the consolidated texts are licensed under CC BY 4.0 (EUR-Lex legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the legislation published in the Official Journal of the European Union is deemed authentic.

    DE: Rechtsakte der Europäischen Union aus EUR-Lex, https://eur-lex.europa.eu/. © Europäische Union. Weiterverwendung nach Beschluss 2011/833/EU mit Quellenangabe gestattet; die konsolidierten Fassungen stehen unter CC BY 4.0 (Rechtlicher Hinweis von EUR-Lex). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Rechtsakte.