+CAPÍTULO I DISPOSIÇÕES GERAIS
---+Artigo 1.o Objeto
---+Artigo 2.o Âmbito de aplicação
------+Artigo 2.o 1.
------+Artigo 2.o 2.
------+Artigo 2.o 3.
------+Artigo 2.o 4.
------+Artigo 2.o 5.
------+Artigo 2.o 6.
------+Artigo 2.o 7.
------+Artigo 2.o 8.
---+Artigo 3.o Definições
---+Artigo 4.o Livre circulação
------+Artigo 4.o 1.
------+Artigo 4.o 2.
------+Artigo 4.o 3.
------+Artigo 4.o 4.
---+Artigo 5.o Aquisição ou utilização de produtos com elementos digitais
------+Artigo 5.o 1.
------+Artigo 5.o 2.
---+Artigo 6.o Requisitos aplicáveis aos produtos com elementos digitais
---+Artigo 7.o Produtos importantes com elementos digitais
------+Artigo 7.o 1.
------+Artigo 7.o 2.
------+Artigo 7.o 3.
------+Artigo 7.o 4.
---+Artigo 8.o Produtos críticos com elementos digitais
------+Artigo 8.o 1.
------+Artigo 8.o 2.
---+Artigo 9.o Consulta das partes interessadas
------+Artigo 9.o 1.
------+Artigo 9.o 2.
---+Artigo 10.o Reforço das competências num ambiente digital de ciber-resiliência
---+Artigo 11.o Segurança geral dos produtos
---+Artigo 12.o Sistemas de IA de risco elevado
------+Artigo 12.o 1.
------+Artigo 12.o 2.
------+Artigo 12.o 3.
------+Artigo 12.o 4.
|
CAPÍTULO I DISPOSIÇÕES GERAIS
CAPÍTULO I DISPOSIÇÕES GERAIS
1. Visão geral
| Título |
Regulamentação |
|
Artigo 1.o Objeto
|
Artigo 1.o
O presente regulamento estabelece o seguinte:
a)
Regras para a disponibilização no mercado de produtos com elementos digitais, a fim de garantir a cibersegurança desses produtos;
b)
Requisitos essenciais de cibersegurança para a conceção, o desenvolvimento e a produção de produtos com elementos digitais e as obrigações dos operadores económicos em relação a esses produtos no que diz respeito à cibersegurança;
c)
Requisitos essenciais de cibersegurança para os processos de tratamento de vulnerabilidades aplicados pelos fabricantes de modo a garantir a cibersegurança dos produtos com elementos digitais durante o período de utilização prevista dos produtos, bem como as obrigações dos operadores económicos em relação a esses processos;
d)
Regras relativas à fiscalização do mercado, designadamente à supervisão, e à aplicação das regras e dos requisitos referidos no presente artigo.
|
|
Artigo 2.o Âmbito de aplicação
|
-
|
|
Artigo 3.o Definições
|
Artigo 3.o
Para efeitos do presente regulamento, entende-se por:
1)
«Produto com elementos digitais», um produto de software ou hardware e as suas soluções de tratamento remoto de dados, incluindo componentes de software ou hardware que sejam colocados no mercado separadamente;
2)
«Tratamento remoto de dados», tratamento de dados à distância para o qual o software tenha sido concebido e desenvolvido pelo fabricante ou sob a sua responsabilidade e cuja inexistência impediria o produto com elementos digitais de desempenhar uma das suas funções;
3)
«Cibersegurança», cibersegurança na aceção do artigo 2.o, ponto 1, do Regulamento (UE) 2019/881;
4)
«Software», a parte de um sistema de informação eletrónico que consiste em código de computador;
5)
«Hardware», um sistema de informação eletrónico físico, ou partes do mesmo, capaz de tratar, armazenar ou transmitir dados digitais;
6)
«Componente», software ou hardware destinado a ser integrado num sistema de informação eletrónico;
7)
«Sistema de informação eletrónico», um sistema, incluindo equipamento elétrico ou eletrónico, capaz de tratar, armazenar ou transmitir dados digitais;
8)
«Conexão lógica», uma representação virtual de uma conexão de dados efetuada através de uma interface de software;
9)
«Conexão física», uma conexão entre sistemas de informação eletrónicos ou componentes efetuada por meios físicos, nomeadamente através de interfaces elétricas, óticas ou mecânicas, cabos ou ondas radioelétricas;
10)
«Conexão indireta», uma conexão a um dispositivo ou a uma rede que não ocorre diretamente, mas sim como parte de um sistema maior diretamente conectável a esse dispositivo ou rede;
11)
«Ponto terminal», qualquer dispositivo conectado a uma rede e que serve de ponto de entrada nessa rede;
12)
«Operador económico», o fabricante, o mandatário, o importador, o distribuidor ou outra pessoa singular ou coletiva sujeita a obrigações relacionadas com o fabrico de produtos com elementos digitais ou com a disponibilização de produtos com elementos digitais no mercado em conformidade com o presente regulamento;
13)
«Fabricante», uma pessoa singular ou coletiva que desenvolva ou fabrique produtos com elementos digitais, ou que os mande conceber, desenvolver ou fabricar, e os comercialize em seu nome ou sob a sua marca, a título oneroso, monetizado ou gratuito;
14)
«Administrador de software de código-fonte aberto», uma pessoa coletiva, que não um fabricante, cujo propósito ou objetivo consiste em prestar apoio sistemático e contínuo ao desenvolvimento de produtos específicos com elementos digitais que sejam considerados software livre e de código-fonte aberto e se destinem a atividades comerciais, e que garante a viabilidade desses produtos;
15)
«Mandatário», uma pessoa singular ou coletiva, estabelecida na União, mandatada por escrito pelo fabricante para praticar determinados atos em seu nome;
16)
«Importador», uma pessoa singular ou coletiva estabelecida na União que coloque no mercado um produto com elementos digitais que ostente o nome ou a marca de uma pessoa singular ou coletiva estabelecida fora da União;
17)
«Distribuidor», uma pessoa singular ou coletiva inserida na cadeia de abastecimento, distinta do fabricante e do importador, que disponibiliza um produto com elementos digitais no mercado da União sem alterar as suas propriedades;
18)
«Consumidor», uma pessoa singular que age com fins que não se incluam no âmbito da sua atividade comercial, empresarial, artesanal ou profissional;
19)
«Microempresas», «pequenas empresas» e «médias empresas», microempresas, pequenas empresas e médias empresas, respetivamente, na aceção do anexo da Recomendação 2003/361/CE;
20)
«Período de apoio», o período durante o qual um fabricante deve assegurar que as vulnerabilidades de um produto com elementos digitais são tratadas de forma eficaz e em conformidade com os requisitos essenciais de cibersegurança constantes da parte II do anexo I;
21)
«Colocação no mercado», a primeira disponibilização de um produto com elementos digitais no mercado da União;
22)
«Disponibilização no mercado», a oferta de um produto com elementos digitais para distribuição ou utilização no mercado da União no âmbito de uma atividade comercial, a título oneroso ou gratuito;
23)
«Finalidade prevista», a utilização à qual o fabricante destina o produto com elementos digitais, incluindo o contexto específico e as condições de utilização, conforme especificada nas informações facultadas pelo fabricante nas instruções de utilização, nos materiais e declarações promocionais ou de venda, bem como na documentação técnica;
24)
«Utilização razoavelmente previsível», utilização que não é necessariamente a finalidade prevista indicada pelo fabricante nas instruções de utilização, nos materiais e declarações promocionais ou de venda, bem como na documentação técnica, mas que pode resultar de comportamentos humanos ou de operações ou interações técnicas razoavelmente previsíveis;
25)
«Utilização indevida razoavelmente previsível», a utilização de um produto com elementos digitais de uma forma não conforme com a sua finalidade prevista, mas que pode resultar de comportamentos humanos ou de interações com outros sistemas razoavelmente previsíveis;
26)
«Autoridade notificadora», a autoridade nacional responsável por estabelecer e executar os procedimentos necessários para a avaliação, designação e notificação de organismos de avaliação da conformidade e pelo controlo dos mesmos;
27)
«Avaliação da conformidade», o processo de verificação do cumprimento dos requisitos essenciais de cibersegurança constantes do anexo I;
28)
«Organismo de avaliação da conformidade», um organismo de avaliação da conformidade na aceção do artigo 2.o, ponto 13, do Regulamento (CE) n.o 765/2008;
29)
«Organismo notificado», um organismo de avaliação da conformidade designado nos termos do artigo 43.o ou de outra legislação de harmonização da União aplicável;
30)
«Modificação substancial», uma alteração do produto com elementos digitais após a sua colocação no mercado que afete a conformidade do produto com elementos digitais com os requisitos essenciais de cibersegurança constantes da parte I do anexo I, ou que resulte numa modificação da finalidade prevista para a qual o produto com elementos digitais foi avaliado;
31)
«Marcação CE», a marcação através da qual um fabricante indica que um produto com elementos digitais e os processos por si aplicados estão em conformidade com os requisitos essenciais de cibersegurança constantes do anexo I e de outra legislação de harmonização da União aplicável que preveja a sua aposição;
32)
«Legislação de harmonização da União», legislação da União enumerada no anexo I do Regulamento (UE) 2019/1020 e qualquer outra legislação destinada a harmonizar as condições de comercialização dos produtos aos quais esse regulamento se aplica;
33)
«Autoridade de fiscalização do mercado», uma autoridade de fiscalização do mercado na aceção do artigo 3.o, ponto 4, do Regulamento (UE) 2019/1020;
34)
«Norma internacional», uma norma internacional na aceção do artigo 2.o, ponto 1, alínea a), do Regulamento (UE) n.o 1025/2012;
35)
«Norma europeia», uma norma europeia na aceção do artigo 2.o, ponto 1, alínea b), do Regulamento (UE) n.o 1025/2012;
36)
«Norma harmonizada», uma norma harmonizada na aceção do artigo 2.o, ponto 1, alínea c), do Regulamento (UE) n.o 1025/2012;
37)
«Risco de cibersegurança», o potencial de perda ou perturbação causada por um incidente, expresso como uma combinação da magnitude dessa perda ou perturbação e da probabilidade de ocorrência do incidente;
38)
«Risco de cibersegurança significativo», um risco de cibersegurança que, com base nas suas características técnicas, se possa considerar altamente suscetível de dar origem a um incidente com impacto negativo grave, causando, nomeadamente, perturbações ou perdas materiais ou imateriais consideráveis;
39)
«Lista de materiais do software», um registo formal que contém informações pormenorizadas e as relações na cadeia de abastecimento dos componentes incluídos nos elementos de software de um produto com elementos digitais;
40)
«Vulnerabilidade», um ponto fraco, uma suscetibilidade ou uma falha de um produto com elementos digitais passível de ser explorado por uma ciberameaça;
41)
«Vulnerabilidade passível de ser explorada», uma vulnerabilidade com potencial para ser efetivamente utilizada por um adversário em condições operacionais práticas;
42)
«Vulnerabilidade ativamente explorada», uma vulnerabilidade relativamente à qual existem provas fiáveis da sua exploração num sistema por parte de um agente mal-intencionado sem a autorização do proprietário do sistema;
43)
«Incidente», um incidente na aceção do artigo 6.o, ponto 6, da Diretiva (UE) 2022/2555;
44)
«Incidente com impacto na segurança de um produto com elementos digitais», um incidente que afeta ou pode afetar negativamente a capacidade de um produto com elementos digitais de proteger a disponibilidade, autenticidade, integridade ou confidencialidade dos dados ou das funções;
45)
«Quase incidente», um quase incidente na aceção do artigo 6.o, ponto 5, da Diretiva (UE) 2022/2555;
46)
«Ciberameaça», uma ciberameaça na aceção do artigo 2.o, ponto 8, do Regulamento (UE) 2019/881;
47)
«Dados pessoais», dados pessoais na aceção do artigo 4.o, ponto 1, do Regulamento (UE) 2016/679;
48)
«Software livre e de código-fonte aberto», software cujo código-fonte é partilhado abertamente e que é disponibilizado ao abrigo de uma licença gratuita e de código-fonte aberto que prevê todos os direitos para que o software seja livremente acessível, utilizável, modificável e redistribuível;
49)
«Recolha», recolha na aceção do artigo 3.o, ponto 22, do Regulamento (UE) 2019/1020;
50)
«Retirada», retirada na aceção do artigo 3.o, ponto 23, do Regulamento (UE) 2019/1020;
51)
«CSIRT designada coordenadora», uma CSIRT designada coordenadora nos termos do artigo 12.o, n.o 1, da Diretiva (UE) 2022/2555.
|
|
Artigo 4.o Livre circulação
|
-
|
|
Artigo 5.o Aquisição ou utilização de produtos com elementos digitais
|
-
|
|
Artigo 6.o Requisitos aplicáveis aos produtos com elementos digitais
|
Artigo 6.o
Requisitos aplicáveis aos produtos com elementos digitais
Os produtos com elementos digitais só podem ser disponibilizados no mercado se:
a)
Cumprirem os requisitos essenciais de cibersegurança constantes da parte I do anexo I, na condição de serem corretamente instalados, mantidos, utilizados para a respetiva finalidade prevista ou em condições razoavelmente previsíveis e, se for caso disso, de terem sido instaladas as atualizações de segurança necessárias; e
b)
Os processos aplicados pelo fabricante cumprirem os requisitos essenciais de cibersegurança constantes da parte II do anexo I.
|
|
Artigo 7.o Produtos importantes com elementos digitais
|
-
|
|
Artigo 8.o Produtos críticos com elementos digitais
|
-
|
|
Artigo 9.o Consulta das partes interessadas
|
-
|
|
Artigo 10.o Reforço das competências num ambiente digital de ciber-resiliência
|
Artigo 10.o
Reforço das competências num ambiente digital de ciber-resiliência
Para efeitos do presente regulamento e com vista a dar resposta às necessidades dos profissionais em apoio da aplicação do presente regulamento, os Estados-Membros, com o apoio da Comissão, do Centro Europeu de Competências em Cibersegurança e da ENISA, se for caso disso, no pleno respeito da responsabilidade dos Estados-Membros no domínio da educação, promovem medidas e estratégias destinadas a:
a)
Desenvolver competências de cibersegurança e criar instrumentos organizacionais e tecnológicos para assegurar a disponibilidade de profissionais qualificados suficientes, no intuito de apoiar as atividades das autoridades de fiscalização do mercado e dos organismos de avaliação da conformidade;
b)
Intensificar a colaboração entre o setor privado, os operadores económicos, nomeadamente através da requalificação ou da melhoria das competências dos trabalhadores dos fabricantes, dos consumidores, dos prestadores de serviços de formação e das administrações públicas, alargando, desta forma, as opções para os jovens acederem a empregos no setor da cibersegurança.
|
|
Artigo 11.o Segurança geral dos produtos
|
Artigo 11.o
Segurança geral dos produtos
Em derrogação do artigo 2.o, n.o 1, terceiro parágrafo, alínea b), do Regulamento (UE) 2023/988,o capítulo III, secção 1, os capítulos V e VII e os capítulos IX a XI desse regulamento aplicam-se aos produtos com elementos digitais no que respeita aos aspetos e riscos ou às categorias de riscos não abrangidos pelo presente regulamento nos casos em que esses produtos não estejam sujeitos a requisitos de segurança específicos estabelecidos noutra «legislação de harmonização da União», na aceção do artigo 3.o, ponto 27, do Regulamento (UE) 2023/988.
|
|
Artigo 12.o Sistemas de IA de risco elevado
|
-
|
,
1.1 Referências
1.2 Requisitos identificados
1.3 Normas relacionadas
2. Requisitos identificados
Requisitos
| Fonte |
Requisito |
3. Normas relacionadas
Pedidos ligados
|