|
+ANEXO VIII PROCEDIMENTOS DE AVALIAÇÃO DA CONFORMIDADE |
ANEXO VIII PROCEDIMENTOS DE AVALIAÇÃO DA CONFORMIDADE
ANEXO VIII PROCEDIMENTOS DE AVALIAÇÃO DA CONFORMIDADE Parte I Procedimento de avaliação da conformidade baseado no controlo interno (com base no módulo A) 1. O controlo interno é o procedimento de avaliação da conformidade mediante o qual o fabricante cumpre as obrigações estabelecidas nos pontos 2, 3 e 4 da presente parte e garante e declara, sob a sua exclusiva responsabilidade, que os produtos com elementos digitais cumprem todos os requisitos essenciais de cibersegurança constantes da parte I do anexo I, e que o fabricante cumpre os requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I. 2. O fabricante deve elaborar a documentação técnica descrita no anexo VII. 3. Conceção, desenvolvimento, produção e tratamento de vulnerabilidades de produtos com elementos digitais O fabricante deve tomar todas as medidas necessárias para que os processos de conceção, desenvolvimento, produção e tratamento de vulnerabilidades, bem como o respetivo controlo, assegurem a conformidade dos produtos com elementos digitais fabricados ou desenvolvidos e dos processos aplicados pelo fabricante com os requisitos essenciais de cibersegurança previstos nas partes I e II do anexo I. 4. Marcação de conformidade e declaração de conformidade 4.1. O fabricante deve apor a marcação CE em cada produto com elementos digitais que cumpra os requisitos aplicáveis previstos no presente regulamento. 4.2. O fabricante deve elaborar uma declaração de conformidade UE escrita para cada produto com elementos digitais nos termos do artigo 28.o e mantê-la, juntamente com a documentação técnica, à disposição das autoridades nacionais, por um período de 10 anos a contar da data de colocação no mercado do produto com elementos digitais ou durante período de apoio, consoante o que for mais longo. A declaração de conformidade UE deve identificar o produto com elementos digitais para o qual foi elaborada. Deve ser fornecida cópia da declaração de conformidade UE às autoridades competentes, a seu pedido. 5. Mandatários As obrigações do fabricante enunciadas no ponto 4 podem ser cumpridas, em seu nome e sob a sua responsabilidade, pelo seu mandatário, desde que as obrigações pertinentes se encontrem especificadas no mandato. Parte II Exame UE de tipo (com base no módulo B) 1. O exame UE de tipo é a parte do procedimento de avaliação da conformidade em que um organismo notificado examina o projeto técnico e o desenvolvimento de um produto com elementos digitais, bem como os processos de tratamento de vulnerabilidades aplicados pelo fabricante, e certifica que um produto com elementos digitais cumpre os requisitos essenciais de cibersegurança estabelecidos na parte I do anexo I, e que o fabricante cumpre os requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I. 2. O exame UE de tipo deve ser realizado através da avaliação da adequação do projeto técnico e do desenvolvimento do produto com elementos digitais mediante análise da documentação técnica e dos elementos de prova referidos no ponto 3, bem como do exame de amostras de uma ou mais partes críticas do produto (combinação de tipo de produção e tipo de projeto). 3. O fabricante deve apresentar o pedido de exame UE de tipo a um único organismo notificado da sua escolha. O pedido deve incluir os seguintes elementos:
3.1.
o nome e o endereço do fabricante e, se for apresentado pelo mandatário, o nome e o endereço deste último,
3.2.
uma declaração por escrito indicando que o mesmo pedido não foi apresentado a nenhum outro organismo notificado,
3.3.
a documentação técnica, que deve permitir avaliar a conformidade do produto com elementos digitais com os requisitos essenciais de cibersegurança aplicáveis constantes da parte I do anexo I, e os processos de tratamento de vulnerabilidades do fabricante constantes da parte II do anexo I, e deve incluir uma análise e uma avaliação adequadas dos riscos. A documentação técnica deve especificar os requisitos aplicáveis e abranger, se tal for pertinente para efeitos de avaliação, a conceção, o fabrico e o funcionamento do produto com elementos digitais. A documentação técnica deve conter, se for caso disso, pelo menos os elementos previstos no anexo VII,
3.4.
os elementos de prova da adequação das soluções de projeto técnico e desenvolvimento e dos processos de tratamento de vulnerabilidades. Esses elementos devem fazer menção aos documentos utilizados, designadamente nos casos em que não foram integralmente aplicadas as normas harmonizadas ou as especificações técnicas pertinentes. Os elementos de prova devem incluir, se necessário, os resultados dos ensaios realizados pelo laboratório competente do fabricante ou por qualquer outro laboratório de ensaios em nome e sob a responsabilidade do fabricante. 4. O organismo notificado deve:
4.1.
Examinar a documentação técnica e os elementos de prova para avaliar a adequação do projeto técnico e do desenvolvimento do produto com elementos digitais aos requisitos essenciais de cibersegurança constantes da parte I do anexo I, e a adequação dos processos de tratamento de vulnerabilidades aplicados pelo fabricante aos requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I;
4.2.
Verificar se as amostras foram desenvolvidas ou fabricadas em conformidade com a documentação técnica e identificar os elementos concebidos e desenvolvidos de acordo com as disposições aplicáveis das normas harmonizadas ou especificações técnicas pertinentes, bem como os elementos cuja conceção e desenvolvimento não se baseiem nas disposições pertinentes dessas normas;
4.3.
Realizar, ou mandar realizar, os exames e os ensaios adequados para verificar que, caso o fabricante tenha optado pelas soluções constantes das normas harmonizadas ou especificações técnicas pertinentes para os requisitos previstos no anexo I, essas soluções foram corretamente aplicadas;
4.4.
Realizar, ou mandar realizar, os exames e ensaios necessários para verificar que, caso as soluções constantes das normas harmonizadas ou especificações técnicas pertinentes para os requisitos previstos no anexo I não tenham sido aplicadas, as soluções adotadas pelo fabricante cumprem os requisitos essenciais de cibersegurança correspondentes;
4.5.
Acordar com o fabricante o local de realização dos exames e dos ensaios. 5. O organismo notificado deve elaborar um relatório de avaliação que indique as atividades desenvolvidas de acordo com o ponto 4 e os respetivos resultados. Sem prejuízo das suas obrigações para com as autoridades notificadoras, o organismo notificado só pode divulgar, no todo ou em parte, o conteúdo desse relatório com o acordo do fabricante. 6. Se o tipo e os processos de tratamento de vulnerabilidades cumprirem os requisitos essenciais de cibersegurança constantes do anexo I, o organismo notificado deve remeter ao fabricante um certificado de exame UE de tipo. O certificado deve conter o nome e o endereço do fabricante, as conclusões do exame, as condições (se as houver) da sua validade e os dados necessários à identificação do tipo aprovado e dos processos de tratamento de vulnerabilidades. O certificado pode ser acompanhado de um ou mais anexos. O certificado e os seus anexos devem conter todas as informações necessárias para permitir a avaliação da conformidade dos produtos com elementos digitais fabricados ou desenvolvidos com o tipo e os processos de tratamento de vulnerabilidades examinados e para permitir o controlo em serviço. Nos casos em que o tipo e os processos de tratamento de vulnerabilidades não cumpram os requisitos essenciais de cibersegurança aplicáveis constantes do anexo I, o organismo notificado deve recusar emitir um certificado de exame UE de tipo e deve informar o requerente desse facto, fundamentando pormenorizadamente as razões da sua recusa. 7. O organismo notificado deve manter-se a par das alterações do estado da técnica geralmente reconhecido que indiquem que o tipo aprovado e os processos de tratamento de vulnerabilidades podem ter deixado de cumprir os requisitos essenciais de cibersegurança aplicáveis constantes do anexo I e deve determinar se tais alterações requerem exames complementares. Em caso afirmativo, o organismo notificado deve informar o fabricante desse facto. O fabricante deve informar o organismo notificado que possui a documentação técnica relativa ao certificado de exame UE de tipo de todas as modificações do tipo aprovado e dos processos de tratamento de vulnerabilidades que possam afetar a conformidade com os requisitos essenciais de cibersegurança constantes do anexo I ou as condições de validade do certificado. Tais modificações devem ser objeto de aprovação complementar, na forma de aditamento ao certificado original de exame UE de tipo. 8. O organismo notificado deve efetuar auditorias periódicas para assegurar que os processos de tratamento das vulnerabilidades previstos na parte II do anexo I, são aplicados de forma adequada. 9. O organismo notificado deve informar as autoridades notificadoras dos certificados de exame UE de tipo e respetivos aditamentos que emitiu ou retirou e fornecer-lhes periodicamente, ou mediante pedido, a lista dos certificados e respetivos aditamentos recusados, suspensos ou objeto de restrições. Cada organismo notificado deve informar os outros organismos notificados dos certificados de exame UE de tipo e respetivos aditamentos que tenha recusado, retirado, suspendido ou submetido a quaisquer outras restrições e, mediante pedido, dos certificados que tenha emitido e dos aditamentos que tenha introduzido nos mesmos. A Comissão, os Estados-Membros e os outros organismos notificados podem, mediante pedido, obter cópia dos certificados de exame UE de tipo e quaisquer aditamentos. Mediante pedido, a Comissão e os Estados-Membros podem obter cópia da documentação técnica e dos resultados dos exames efetuados pelo organismo notificado. O organismo notificado deve conservar uma cópia do certificado de exame UE de tipo e dos respetivos anexos e aditamentos, assim como do processo técnico, incluindo a documentação apresentada pelo fabricante, até ao termo da validade do certificado. 10. O fabricante deve manter à disposição das autoridades nacionais uma cópia do certificado de exame UE de tipo e dos respetivos anexos e aditamentos, assim como da documentação técnica, por um período de 10 anos a contar da data de colocação do produto com elementos digitais no mercado ou durante o período de apoio, consoante o que for mais longo. 11. O mandatário do fabricante pode apresentar o pedido referido no ponto 3 e cumprir as obrigações previstas nos pontos 7 e 10, desde que as obrigações pertinentes se encontrem especificadas no mandato. Parte III Conformidade com o tipo baseada no controlo interno da produção (com base no módulo C) 1. A conformidade com o tipo baseada no controlo interno da produção é a parte do procedimento de avaliação da conformidade mediante a qual o fabricante cumpre as obrigações previstas nos pontos 2 e 3 da presente parte e garante e declara que os produtos com elementos digitais em causa estão em conformidade com o tipo descrito no certificado de exame UE de tipo e satisfazem os requisitos essenciais de cibersegurança constantes da parte I do anexo I, e que o fabricante cumpre os requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I. 2. Produção O fabricante deve tomar todas as medidas necessárias para que a produção e o respetivo controlo garantam a conformidade dos produtos fabricados com o tipo aprovado descrito no certificado de exame UE de tipo e com os requisitos essenciais de cibersegurança constantes da parte I do anexo I, e garante que o fabricante cumpre os requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I. 3. Marcação de conformidade e declaração de conformidade
3.1.
O fabricante deve apor a marcação CE em cada produto com elementos digitais que esteja em conformidade com o tipo descrito no certificado de exame UE de tipo e que cumpra os requisitos aplicáveis definidos no presente regulamento.
3.2.
O fabricante deve elaborar uma declaração de conformidade escrita para cada modelo de produto e mantê-la à disposição das autoridades nacionais, por um período de 10 anos a contar da data de colocação do produto com elementos digitais no mercado ou durante o período de apoio, consoante o que for mais longo. A declaração de conformidade deve identificar o modelo de produto para o qual foi elaborada. Deve ser fornecida às autoridades competentes, a pedido destas, uma cópia da declaração de conformidade. 4. Mandatário As obrigações do fabricante enunciadas no ponto 3 podem ser cumpridas, em seu nome e sob a sua responsabilidade, pelo seu mandatário, desde que as obrigações pertinentes se encontrem especificadas no mandato. Parte IV Conformidade baseada na garantia de qualidade total (com base no módulo H) 1. A conformidade baseada na garantia de qualidade total é o procedimento de avaliação da conformidade mediante o qual o fabricante cumpre as obrigações estabelecidas nos pontos 2 e 5 da presente parte e garante e declara, sob a sua exclusiva responsabilidade, que os produtos com elementos digitais ou as categorias de produtos em causa cumprem os requisitos essenciais de cibersegurança constantes da parte I do anexo I, e que os processos de tratamento de vulnerabilidades por si aplicados cumprem os requisitos estabelecidos na parte II do anexo I. 2. Conceção, desenvolvimento, produção e tratamento de vulnerabilidades de produtos com elementos digitais O fabricante deve aplicar um sistema de qualidade aprovado, nos termos do ponto 3, para a conceção, o desenvolvimento e a inspeção e o ensaio dos produtos com elementos digitais em causa e para o tratamento de vulnerabilidades, deve manter a sua eficácia durante todo o período de apoio e fica sujeito à fiscalização prevista no ponto 4. 3. Sistema de qualidade
3.1.
O fabricante deve apresentar um pedido de avaliação do seu sistema de qualidade para os produtos com elementos digitais em causa a um organismo notificado da sua escolha. O pedido deve incluir os seguintes elementos:
a)
o nome e o endereço do fabricante e, se for apresentado pelo mandatário, o nome e o endereço deste último;
b)
a documentação técnica para um modelo de cada categoria de produtos com elementos digitais que se pretende fabricar ou desenvolver. A documentação técnica deve conter, no mínimo, se aplicável, os elementos previstos no anexo VII;
c)
a documentação relativa ao sistema de qualidade; e
d)
uma declaração escrita indicando que o mesmo pedido não foi apresentado a nenhum outro organismo notificado.
3.2.
O sistema de qualidade deve assegurar a conformidade dos produtos com elementos digitais com os requisitos essenciais de cibersegurança constantes da parte I do anexo I, e a conformidade dos processos de tratamento de vulnerabilidades aplicados pelo fabricante com os requisitos estabelecidos na parte II do anexo I. Todos os elementos, requisitos e disposições adotados pelo fabricante devem ser documentados de modo sistemático e ordenado, sob a forma de políticas, procedimentos e instruções escritas. A documentação relativa ao sistema de qualidade deve permitir uma interpretação coerente dos programas, planos, manuais e registos de qualidade. Em especial, deve conter uma descrição adequada do seguinte:
a)
objetivos de qualidade e estrutura organizativa, responsabilidades e competências dos órgãos de gestão no que diz respeito à conceção, ao desenvolvimento, à qualidade do produto e ao tratamento de vulnerabilidades;
b)
especificações do projeto técnico e do desenvolvimento, incluindo as normas que serão aplicadas e, se as normas harmonizadas e/ou as especificações técnicas pertinentes não forem integralmente aplicadas, os meios a utilizar para assegurar o cumprimento dos requisitos essenciais de cibersegurança constantes da parte I do anexo I, aplicáveis aos produtos com elementos digitais;
c)
especificações processuais, incluindo as normas que serão aplicadas e, se as normas harmonizadas ou as especificações técnicas pertinentes não forem integralmente aplicadas, os meios a utilizar para assegurar o cumprimento dos requisitos essenciais de cibersegurança constantes da parte II do anexo I, aplicáveis ao fabricante;
d)
o controlo da conceção e do desenvolvimento, bem como as técnicas, os processos e as ações sistemáticas de verificação da conceção e do desenvolvimento a adotar ao conceber e desenvolver os produtos com elementos digitais pertencentes à categoria abrangida;
e)
as técnicas, processos e ações sistemáticas de produção, controlo da qualidade e garantia da qualidade a aplicar correspondentes;
f)
exames e ensaios a executar antes, durante e após a produção, e a frequência com que serão realizados;
g)
os registos de qualidade, como relatórios de inspeções e dados dos ensaios, dados de calibração e relatórios de qualificação do pessoal envolvido, etc.;
h)
meios que permitam controlar a obtenção da qualidade exigida ao nível da conceção e do produto, bem como a eficácia do funcionamento do sistema de qualidade.
3.3.
O organismo notificado deve avaliar o sistema de qualidade para determinar se este satisfaz os requisitos referidos no ponto 3.2. O organismo notificado deve presumir que são conformes com esses requisitos os elementos do sistema de qualidade que cumpram as especificações correspondentes da norma nacional que transpõe a norma harmonizada ou as especificações técnicas aplicáveis. Para além de experiência em sistemas de gestão da qualidade, o grupo de auditores deve incluir pelo menos um membro com experiência como assessor no domínio pertinente do produto e na tecnologia do produto em causa e ter conhecimento dos requisitos aplicáveis previstos no presente regulamento. A auditoria deve incluir uma visita de avaliação às instalações do fabricante, no caso de estas existirem. O grupo de auditores deve analisar a documentação técnica referida no ponto 3.1, alínea b), para verificar a capacidade de o fabricante identificar os requisitos aplicáveis previstos no presente regulamento e realizar os exames necessários, com vista a assegurar a conformidade do produto com elementos digitais com esses requisitos. A decisão deve ser notificada ao fabricante ou ao respetivo mandatário. A notificação deve conter as conclusões da auditoria e a decisão de avaliação fundamentada.
3.4.
O fabricante compromete-se a cumprir as obrigações decorrentes do sistema de qualidade aprovado e a assegurar que permanece adequado e eficaz.
3.5.
O fabricante mantém informado o organismo notificado que tiver aprovado o sistema de qualidade de qualquer alteração planeada para o referido sistema. O organismo notificado deve avaliar as alterações propostas e decidir se o sistema da qualidade alterado continua a satisfazer os requisitos referidos no ponto 3.2 ou se é necessária uma reavaliação. O organismo notificado deve notificar o fabricante da sua decisão. A notificação deve conter as conclusões do exame e a decisão de avaliação fundamentada. 4. Fiscalização sob a responsabilidade do organismo notificado
4.1.
O objetivo da fiscalização é garantir que o fabricante cumpre devidamente as obrigações decorrentes do sistema de qualidade aprovado.
4.2.
O fabricante deve permitir o acesso do organismo notificado, para fins de avaliação, aos locais de conceção, desenvolvimento, produção, inspeção, ensaio e armazenamento, e facultar-lhe todas as informações necessárias, em especial:
a)
a documentação relativa ao sistema de qualidade;
b)
os registos de qualidade previstos na parte do sistema de qualidade dedicada à conceção, tais como resultados de análises, cálculos e ensaios;
c)
os registos de qualidade previstos na parte do sistema de qualidade dedicada ao fabrico, tais como relatórios de inspeções, dados dos ensaios e de calibração e relatórios de qualificação do pessoal envolvido.
4.3.
O organismo notificado deve efetuar auditorias periódicas para se certificar de que o fabricante mantém e aplica o sistema de qualidade e deve fornecer-lhe os relatórios dessas auditorias. 5. Marcação de conformidade e declaração de conformidade
5.1.
O fabricante deve apor a marcação CE e, sob a responsabilidade do organismo notificado referido no ponto 3.1, o número de identificação deste último em cada produto com elementos digitais que cumpra os requisitos constantes da parte I do anexo I.
5.2.
O fabricante deve elaborar uma declaração de conformidade escrita para cada modelo de produto e mantê-la à disposição das autoridades nacionais, por um período de 10 anos a contar da data de colocação do produto com elementos digitais no mercado ou durante o período de apoio, consoante o que for mais longo. A declaração de conformidade deve identificar o modelo de produto para o qual foi elaborada. Deve ser disponibilizada às autoridades competentes, a pedido destas, uma cópia da declaração de conformidade. 6. O fabricante deve manter à disposição das autoridades nacionais, durante um período não inferior a 10 anos após a data de colocação do produto com elementos digitais no mercado ou durante o período de apoio, consoante o que for mais longo:
a)
a documentação técnica referida no ponto 3.1;
b)
a documentação relativa ao sistema de qualidade referida no ponto 3.1;
c)
a alteração, aprovada, a que se refere o ponto 3.5;
d)
as decisões e os relatórios do organismo notificado a que se referem os pontos 3.5 e 4.3. 7. Cada organismo notificado deve informar as suas autoridades notificadoras das aprovações de sistemas de qualidade concedidas ou retiradas e, periodicamente ou mediante pedido, deve disponibilizar a essas autoridades a lista das aprovações de sistemas de qualidade que tenha recusado, suspendido ou submetido a quaisquer outras restrições. Cada organismo notificado deve informar os outros organismos notificados das aprovações de sistemas de qualidade que tenha recusado, suspendido, retirado e, se lhe for pedido, das aprovações que tenha concedido a sistemas de qualidade. 8. Mandatário As obrigações do fabricante enunciadas nos pontos 3.1, 3.5, 5 e 6 podem ser cumpridas, em seu nome e sob a sua responsabilidade, pelo respetivo mandatário, desde que as obrigações pertinentes se encontrem especificadas no mandato. Foi feita uma declaração relativamente ao presente ato, que pode ser consultada em JO C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj. 1. Visão geral
1.1 Referências1.2 Requisitos identificados1.3 Normas relacionadas2. Requisitos identificados
3. Normas relacionadas
Pedidos ligados
|