|
+Artigo 3.o Definições |
Artigo 3.o DefiniçõesArtigo 3.o Definições Para efeitos do presente regulamento, entende-se por:
1)
«Produto com elementos digitais», um produto de software ou hardware e as suas soluções de tratamento remoto de dados, incluindo componentes de software ou hardware que sejam colocados no mercado separadamente;
2)
«Tratamento remoto de dados», tratamento de dados à distância para o qual o software tenha sido concebido e desenvolvido pelo fabricante ou sob a sua responsabilidade e cuja inexistência impediria o produto com elementos digitais de desempenhar uma das suas funções;
3)
«Cibersegurança», cibersegurança na aceção do artigo 2.o, ponto 1, do Regulamento (UE) 2019/881;
4)
«Software», a parte de um sistema de informação eletrónico que consiste em código de computador;
5)
«Hardware», um sistema de informação eletrónico físico, ou partes do mesmo, capaz de tratar, armazenar ou transmitir dados digitais;
6)
«Componente», software ou hardware destinado a ser integrado num sistema de informação eletrónico;
7)
«Sistema de informação eletrónico», um sistema, incluindo equipamento elétrico ou eletrónico, capaz de tratar, armazenar ou transmitir dados digitais;
8)
«Conexão lógica», uma representação virtual de uma conexão de dados efetuada através de uma interface de software;
9)
«Conexão física», uma conexão entre sistemas de informação eletrónicos ou componentes efetuada por meios físicos, nomeadamente através de interfaces elétricas, óticas ou mecânicas, cabos ou ondas radioelétricas;
10)
«Conexão indireta», uma conexão a um dispositivo ou a uma rede que não ocorre diretamente, mas sim como parte de um sistema maior diretamente conectável a esse dispositivo ou rede;
11)
«Ponto terminal», qualquer dispositivo conectado a uma rede e que serve de ponto de entrada nessa rede;
12)
«Operador económico», o fabricante, o mandatário, o importador, o distribuidor ou outra pessoa singular ou coletiva sujeita a obrigações relacionadas com o fabrico de produtos com elementos digitais ou com a disponibilização de produtos com elementos digitais no mercado em conformidade com o presente regulamento;
13)
«Fabricante», uma pessoa singular ou coletiva que desenvolva ou fabrique produtos com elementos digitais, ou que os mande conceber, desenvolver ou fabricar, e os comercialize em seu nome ou sob a sua marca, a título oneroso, monetizado ou gratuito;
14)
«Administrador de software de código-fonte aberto», uma pessoa coletiva, que não um fabricante, cujo propósito ou objetivo consiste em prestar apoio sistemático e contínuo ao desenvolvimento de produtos específicos com elementos digitais que sejam considerados software livre e de código-fonte aberto e se destinem a atividades comerciais, e que garante a viabilidade desses produtos;
15)
«Mandatário», uma pessoa singular ou coletiva, estabelecida na União, mandatada por escrito pelo fabricante para praticar determinados atos em seu nome;
16)
«Importador», uma pessoa singular ou coletiva estabelecida na União que coloque no mercado um produto com elementos digitais que ostente o nome ou a marca de uma pessoa singular ou coletiva estabelecida fora da União;
17)
«Distribuidor», uma pessoa singular ou coletiva inserida na cadeia de abastecimento, distinta do fabricante e do importador, que disponibiliza um produto com elementos digitais no mercado da União sem alterar as suas propriedades;
18)
«Consumidor», uma pessoa singular que age com fins que não se incluam no âmbito da sua atividade comercial, empresarial, artesanal ou profissional;
19)
«Microempresas», «pequenas empresas» e «médias empresas», microempresas, pequenas empresas e médias empresas, respetivamente, na aceção do anexo da Recomendação 2003/361/CE;
20)
«Período de apoio», o período durante o qual um fabricante deve assegurar que as vulnerabilidades de um produto com elementos digitais são tratadas de forma eficaz e em conformidade com os requisitos essenciais de cibersegurança constantes da parte II do anexo I;
21)
«Colocação no mercado», a primeira disponibilização de um produto com elementos digitais no mercado da União;
22)
«Disponibilização no mercado», a oferta de um produto com elementos digitais para distribuição ou utilização no mercado da União no âmbito de uma atividade comercial, a título oneroso ou gratuito;
23)
«Finalidade prevista», a utilização à qual o fabricante destina o produto com elementos digitais, incluindo o contexto específico e as condições de utilização, conforme especificada nas informações facultadas pelo fabricante nas instruções de utilização, nos materiais e declarações promocionais ou de venda, bem como na documentação técnica;
24)
«Utilização razoavelmente previsível», utilização que não é necessariamente a finalidade prevista indicada pelo fabricante nas instruções de utilização, nos materiais e declarações promocionais ou de venda, bem como na documentação técnica, mas que pode resultar de comportamentos humanos ou de operações ou interações técnicas razoavelmente previsíveis;
25)
«Utilização indevida razoavelmente previsível», a utilização de um produto com elementos digitais de uma forma não conforme com a sua finalidade prevista, mas que pode resultar de comportamentos humanos ou de interações com outros sistemas razoavelmente previsíveis;
26)
«Autoridade notificadora», a autoridade nacional responsável por estabelecer e executar os procedimentos necessários para a avaliação, designação e notificação de organismos de avaliação da conformidade e pelo controlo dos mesmos;
27)
«Avaliação da conformidade», o processo de verificação do cumprimento dos requisitos essenciais de cibersegurança constantes do anexo I;
28)
«Organismo de avaliação da conformidade», um organismo de avaliação da conformidade na aceção do artigo 2.o, ponto 13, do Regulamento (CE) n.o 765/2008;
29)
«Organismo notificado», um organismo de avaliação da conformidade designado nos termos do artigo 43.o ou de outra legislação de harmonização da União aplicável;
30)
«Modificação substancial», uma alteração do produto com elementos digitais após a sua colocação no mercado que afete a conformidade do produto com elementos digitais com os requisitos essenciais de cibersegurança constantes da parte I do anexo I, ou que resulte numa modificação da finalidade prevista para a qual o produto com elementos digitais foi avaliado;
31)
«Marcação CE», a marcação através da qual um fabricante indica que um produto com elementos digitais e os processos por si aplicados estão em conformidade com os requisitos essenciais de cibersegurança constantes do anexo I e de outra legislação de harmonização da União aplicável que preveja a sua aposição;
32)
«Legislação de harmonização da União», legislação da União enumerada no anexo I do Regulamento (UE) 2019/1020 e qualquer outra legislação destinada a harmonizar as condições de comercialização dos produtos aos quais esse regulamento se aplica;
33)
«Autoridade de fiscalização do mercado», uma autoridade de fiscalização do mercado na aceção do artigo 3.o, ponto 4, do Regulamento (UE) 2019/1020;
34)
«Norma internacional», uma norma internacional na aceção do artigo 2.o, ponto 1, alínea a), do Regulamento (UE) n.o 1025/2012;
35)
«Norma europeia», uma norma europeia na aceção do artigo 2.o, ponto 1, alínea b), do Regulamento (UE) n.o 1025/2012;
36)
«Norma harmonizada», uma norma harmonizada na aceção do artigo 2.o, ponto 1, alínea c), do Regulamento (UE) n.o 1025/2012;
37)
«Risco de cibersegurança», o potencial de perda ou perturbação causada por um incidente, expresso como uma combinação da magnitude dessa perda ou perturbação e da probabilidade de ocorrência do incidente;
38)
«Risco de cibersegurança significativo», um risco de cibersegurança que, com base nas suas características técnicas, se possa considerar altamente suscetível de dar origem a um incidente com impacto negativo grave, causando, nomeadamente, perturbações ou perdas materiais ou imateriais consideráveis;
39)
«Lista de materiais do software», um registo formal que contém informações pormenorizadas e as relações na cadeia de abastecimento dos componentes incluídos nos elementos de software de um produto com elementos digitais;
40)
«Vulnerabilidade», um ponto fraco, uma suscetibilidade ou uma falha de um produto com elementos digitais passível de ser explorado por uma ciberameaça;
41)
«Vulnerabilidade passível de ser explorada», uma vulnerabilidade com potencial para ser efetivamente utilizada por um adversário em condições operacionais práticas;
42)
«Vulnerabilidade ativamente explorada», uma vulnerabilidade relativamente à qual existem provas fiáveis da sua exploração num sistema por parte de um agente mal-intencionado sem a autorização do proprietário do sistema;
43)
«Incidente», um incidente na aceção do artigo 6.o, ponto 6, da Diretiva (UE) 2022/2555;
44)
«Incidente com impacto na segurança de um produto com elementos digitais», um incidente que afeta ou pode afetar negativamente a capacidade de um produto com elementos digitais de proteger a disponibilidade, autenticidade, integridade ou confidencialidade dos dados ou das funções;
45)
«Quase incidente», um quase incidente na aceção do artigo 6.o, ponto 5, da Diretiva (UE) 2022/2555;
46)
«Ciberameaça», uma ciberameaça na aceção do artigo 2.o, ponto 8, do Regulamento (UE) 2019/881;
47)
«Dados pessoais», dados pessoais na aceção do artigo 4.o, ponto 1, do Regulamento (UE) 2016/679;
48)
«Software livre e de código-fonte aberto», software cujo código-fonte é partilhado abertamente e que é disponibilizado ao abrigo de uma licença gratuita e de código-fonte aberto que prevê todos os direitos para que o software seja livremente acessível, utilizável, modificável e redistribuível;
49)
«Recolha», recolha na aceção do artigo 3.o, ponto 22, do Regulamento (UE) 2019/1020;
50)
«Retirada», retirada na aceção do artigo 3.o, ponto 23, do Regulamento (UE) 2019/1020;
51)
«CSIRT designada coordenadora», uma CSIRT designada coordenadora nos termos do artigo 12.o, n.o 1, da Diretiva (UE) 2022/2555. 1. Visão geral
1.1 Referências1.2 Requisitos identificados1.3 Normas relacionadas2. Requisitos identificados
3. Normas relacionadas
|