+REGULAMENTO (UE) 2024/2847 DO PARLAMENTO EUROPEU E DO CONSELHO de 23 de outubro de 2024 relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais e que altera os Regulamentos (UE) n. o 168/2013 e (UE) 2019/1020 e a Diretiva (UE) 2020/1828 (Regulamento de Ciber-Resiliência) (Texto relevante para efeitos do EEE)
---+CAPÍTULO I DISPOSIÇÕES GERAIS
------+Artigo 1.o Objeto
------+Artigo 2.o Âmbito de aplicação
---------+Artigo 2.o 1.
---------+Artigo 2.o 2.
---------+Artigo 2.o 3.
---------+Artigo 2.o 4.
---------+Artigo 2.o 5.
---------+Artigo 2.o 6.
---------+Artigo 2.o 7.
---------+Artigo 2.o 8.
------+Artigo 3.o Definições
------+Artigo 4.o Livre circulação
---------+Artigo 4.o 1.
---------+Artigo 4.o 2.
---------+Artigo 4.o 3.
---------+Artigo 4.o 4.
------+Artigo 5.o Aquisição ou utilização de produtos com elementos digitais
---------+Artigo 5.o 1.
---------+Artigo 5.o 2.
------+Artigo 6.o Requisitos aplicáveis aos produtos com elementos digitais
------+Artigo 7.o Produtos importantes com elementos digitais
---------+Artigo 7.o 1.
---------+Artigo 7.o 2.
---------+Artigo 7.o 3.
---------+Artigo 7.o 4.
------+Artigo 8.o Produtos críticos com elementos digitais
---------+Artigo 8.o 1.
---------+Artigo 8.o 2.
------+Artigo 9.o Consulta das partes interessadas
---------+Artigo 9.o 1.
---------+Artigo 9.o 2.
------+Artigo 10.o Reforço das competências num ambiente digital de ciber-resiliência
------+Artigo 11.o Segurança geral dos produtos
------+Artigo 12.o Sistemas de IA de risco elevado
---------+Artigo 12.o 1.
---------+Artigo 12.o 2.
---------+Artigo 12.o 3.
---------+Artigo 12.o 4.
---+CAPÍTULO II OBRIGAÇÕES DOS OPERADORES ECONÓMICOS E DISPOSIÇÕES EM RELAÇÃO AOSOFTWARELIVRE E DE CÓDIGO-FONTE ABERTO
------+Artigo 13.o Obrigações dos fabricantes
---------+Artigo 13.o 1.
---------+Artigo 13.o 2.
---------+Artigo 13.o 3.
---------+Artigo 13.o 4.
---------+Artigo 13.o 5.
---------+Artigo 13.o 6.
---------+Artigo 13.o 7.
---------+Artigo 13.o 8.
---------+Artigo 13.o 9.
---------+Artigo 13.o 10.
---------+Artigo 13.o 11.
---------+Artigo 13.o 12.
---------+Artigo 13.o 13.
---------+Artigo 13.o 14.
---------+Artigo 13.o 15.
---------+Artigo 13.o 16.
---------+Artigo 13.o 17.
---------+Artigo 13.o 18.
---------+Artigo 13.o 19.
---------+Artigo 13.o 20.
---------+Artigo 13.o 21.
---------+Artigo 13.o 22.
---------+Artigo 13.o 23.
---------+Artigo 13.o 24.
---------+Artigo 13.o 25.
------+Artigo 14.o Obrigações dos fabricantes em matéria de comunicação de informações
---------+Artigo 14.o 1.
---------+Artigo 14.o 2.
---------+Artigo 14.o 3.
---------+Artigo 14.o 4.
---------+Artigo 14.o 5.
---------+Artigo 14.o 6.
---------+Artigo 14.o 7.
---------+Artigo 14.o 8.
---------+Artigo 14.o 9.
---------+Artigo 14.o 10.
------+Artigo 15.o Transmissão voluntária de informações
---------+Artigo 15.o 1.
---------+Artigo 15.o 2.
---------+Artigo 15.o 3.
---------+Artigo 15.o 4.
---------+Artigo 15.o 5.
------+Artigo 16.o Criação de uma plataforma única de comunicação de informações
---------+Artigo 16.o 1.
---------+Artigo 16.o 2.
---------+Artigo 16.o 3.
---------+Artigo 16.o 4.
---------+Artigo 16.o 5.
---------+Artigo 16.o 6.
------+Artigo 17.o Outras disposições relacionadas com a comunicação
---------+Artigo 17.o 1.
---------+Artigo 17.o 2.
---------+Artigo 17.o 3.
---------+Artigo 17.o 4.
---------+Artigo 17.o 5.
---------+Artigo 17.o 6.
------+Artigo 18.o Mandatários
---------+Artigo 18.o 1.
---------+Artigo 18.o 2.
---------+Artigo 18.o 3.
------+Artigo 19.o Obrigações dos importadores
---------+Artigo 19.o 1.
---------+Artigo 19.o 2.
---------+Artigo 19.o 3.
---------+Artigo 19.o 4.
---------+Artigo 19.o 5.
---------+Artigo 19.o 6.
---------+Artigo 19.o 7.
---------+Artigo 19.o 8.
------+Artigo 20.o Obrigações dos distribuidores
---------+Artigo 20.o 1.
---------+Artigo 20.o 2.
---------+Artigo 20.o 3.
---------+Artigo 20.o 4.
---------+Artigo 20.o 5.
---------+Artigo 20.o 6.
------+Artigo 21.o Casos em que as obrigações dos fabricantes se aplicam aos importadores e distribuidores
------+Artigo 22.o Outros casos em que se aplicam as obrigações dos fabricantes
---------+Artigo 22.o 1.
---------+Artigo 22.o 2.
------+Artigo 23.o Identificação dos operadores económicos
---------+Artigo 23.o 1.
---------+Artigo 23.o 2.
------+Artigo 24.o Obrigações dos administradores desoftwarede código-fonte aberto
---------+Artigo 24.o 1.
---------+Artigo 24.o 2.
---------+Artigo 24.o 3.
------+Artigo 25.o Certificado de segurança dosoftwarelivre e de código-fonte aberto
------+Artigo 26.o Orientações
---------+Artigo 26.o 1.
---------+Artigo 26.o 2.
---------+Artigo 26.o 3.
---+CAPÍTULO III CONFORMIDADE DO PRODUTO COM ELEMENTOS DIGITAIS
------+Artigo 27.o Presunção da conformidade
---------+Artigo 27.o 1.
---------+Artigo 27.o 2.
---------+Artigo 27.o 3.
---------+Artigo 27.o 4.
---------+Artigo 27.o 5.
---------+Artigo 27.o 6.
---------+Artigo 27.o 7.
---------+Artigo 27.o 8.
---------+Artigo 27.o 9.
------+Artigo 28.o Declaração de conformidade UE
---------+Artigo 28.o 1.
---------+Artigo 28.o 2.
---------+Artigo 28.o 3.
---------+Artigo 28.o 4.
---------+Artigo 28.o 5.
------+Artigo 29.o Princípios gerais da marcação CE
------+Artigo 30.o Regras e condições para a aposição da marcação CE
---------+Artigo 30.o 1.
---------+Artigo 30.o 2.
---------+Artigo 30.o 3.
---------+Artigo 30.o 4.
---------+Artigo 30.o 5.
---------+Artigo 30.o 6.
------+Artigo 31.o Documentação técnica
---------+Artigo 31.o 1.
---------+Artigo 31.o 2.
---------+Artigo 31.o 3.
---------+Artigo 31.o 4.
---------+Artigo 31.o 5.
------+Artigo 32.o Procedimentos de avaliação da conformidade dos produtos com elementos digitais
---------+Artigo 32.o 1.
---------+Artigo 32.o 2.
---------+Artigo 32.o 3.
---------+Artigo 32.o 4.
---------+Artigo 32.o 5.
---------+Artigo 32.o 6.
------+Artigo 33.o Medidas de apoio para as microempresas e as pequenas e médias empresas, incluindo as empresas em fase de arranque
---------+Artigo 33.o 1.
---------+Artigo 33.o 2.
---------+Artigo 33.o 3.
---------+Artigo 33.o 4.
---------+Artigo 33.o 5.
------+Artigo 34.o Acordos de reconhecimento mútuo
---+CAPÍTULO IV NOTIFICAÇÃO DOS ORGANISMOS DE AVALIAÇÃO DA CONFORMIDADE
------+Artigo 35.o Notificação
---------+Artigo 35.o 1.
---------+Artigo 35.o 2.
------+Artigo 36.o Autoridades notificadoras
---------+Artigo 36.o 1.
---------+Artigo 36.o 2.
---------+Artigo 36.o 3.
---------+Artigo 36.o 4.
------+Artigo 37.o Requisitos relativos às autoridades notificadoras
---------+Artigo 37.o 1.
---------+Artigo 37.o 2.
---------+Artigo 37.o 3.
---------+Artigo 37.o 4.
---------+Artigo 37.o 5.
---------+Artigo 37.o 6.
------+Artigo 38.o Obrigação de informação das autoridades notificadoras
---------+Artigo 38.o 1.
---------+Artigo 38.o 2.
------+Artigo 39.o Requisitos aplicáveis aos organismos notificados
---------+Artigo 39.o 1.
---------+Artigo 39.o 2.
---------+Artigo 39.o 3.
---------+Artigo 39.o 4.
---------+Artigo 39.o 5.
---------+Artigo 39.o 6.
---------+Artigo 39.o 7.
---------+Artigo 39.o 8.
---------+Artigo 39.o 9.
---------+Artigo 39.o 10.
---------+Artigo 39.o 11.
---------+Artigo 39.o 12.
------+Artigo 40.o Presunção da conformidade dos organismos notificados
------+Artigo 41.o Filiais e subcontratados dos organismos notificados
---------+Artigo 41.o 1.
---------+Artigo 41.o 2.
---------+Artigo 41.o 3.
---------+Artigo 41.o 4.
------+Artigo 42.o Pedido de notificação
---------+Artigo 42.o 1.
---------+Artigo 42.o 2.
---------+Artigo 42.o 3.
------+Artigo 43.o Procedimento de notificação
---------+Artigo 43.o 1.
---------+Artigo 43.o 2.
---------+Artigo 43.o 3.
---------+Artigo 43.o 4.
---------+Artigo 43.o 5.
---------+Artigo 43.o 6.
------+Artigo 44.o Números de identificação e listas de organismos notificados
---------+Artigo 44.o 1.
---------+Artigo 44.o 2.
------+Artigo 45.o Alterações das notificações
---------+Artigo 45.o 1.
---------+Artigo 45.o 2.
------+Artigo 46.o Contestação da competência dos organismos notificados
---------+Artigo 46.o 1.
---------+Artigo 46.o 2.
---------+Artigo 46.o 3.
---------+Artigo 46.o 4.
------+Artigo 47.o Obrigações operacionais dos organismos notificados
---------+Artigo 47.o 1.
---------+Artigo 47.o 2.
---------+Artigo 47.o 3.
---------+Artigo 47.o 4.
---------+Artigo 47.o 5.
---------+Artigo 47.o 6.
------+Artigo 48.o Recurso das decisões dos organismos notificados
------+Artigo 49.o Obrigação de informação dos organismos notificados
---------+Artigo 49.o 1.
---------+Artigo 49.o 2.
------+Artigo 50.o Intercâmbio de experiências
------+Artigo 51.o Coordenação dos organismos notificados
---------+Artigo 51.o 1.
---------+Artigo 51.o 2.
---+CAPÍTULO V FISCALIZAÇÃO DO MERCADO E APLICAÇÃO DA LEGISLAÇÃO
------+Artigo 52.o Fiscalização do mercado e controlo dos produtos com elementos digitais no mercado da União
---------+Artigo 52.o 1.
---------+Artigo 52.o 2.
---------+Artigo 52.o 3.
---------+Artigo 52.o 4.
---------+Artigo 52.o 5.
---------+Artigo 52.o 6.
---------+Artigo 52.o 7.
---------+Artigo 52.o 8.
---------+Artigo 52.o 9.
---------+Artigo 52.o 10.
---------+Artigo 52.o 11.
---------+Artigo 52.o 12.
---------+Artigo 52.o 13.
---------+Artigo 52.o 14.
---------+Artigo 52.o 15.
---------+Artigo 52.o 16.
------+Artigo 53.o Acesso a dados e a documentação
------+Artigo 54.o Procedimento a nível nacional relativo a produtos com elementos digitais que apresentam um risco de cibersegurança significativo
---------+Artigo 54.o 1.
---------+Artigo 54.o 2.
---------+Artigo 54.o 3.
---------+Artigo 54.o 4.
---------+Artigo 54.o 5.
---------+Artigo 54.o 6.
---------+Artigo 54.o 7.
---------+Artigo 54.o 8.
---------+Artigo 54.o 9.
------+Artigo 55.o Procedimento de salvaguarda da União
---------+Artigo 55.o 1.
---------+Artigo 55.o 2.
---------+Artigo 55.o 3.
---------+Artigo 55.o 4.
---------+Artigo 55.o 5.
------+Artigo 56.o Procedimento a nível da União relativo a produtos com elementos digitais que apresentam um risco de cibersegurança significativo
---------+Artigo 56.o 1.
---------+Artigo 56.o 2.
---------+Artigo 56.o 3.
---------+Artigo 56.o 4.
---------+Artigo 56.o 5.
---------+Artigo 56.o 6.
---------+Artigo 56.o 7.
------+Artigo 57.o Produtos com elementos digitais conformes que apresentam um risco de cibersegurança significativo
---------+Artigo 57.o 1.
---------+Artigo 57.o 2.
---------+Artigo 57.o 3.
---------+Artigo 57.o 4.
---------+Artigo 57.o 5.
---------+Artigo 57.o 6.
---------+Artigo 57.o 7.
---------+Artigo 57.o 8.
---------+Artigo 57.o 9.
---------+Artigo 57.o 10.
---------+Artigo 57.o 11.
------+Artigo 58.o Não conformidade formal
---------+Artigo 58.o 1.
---------+Artigo 58.o 2.
------+Artigo 59.o Atividades conjuntas das autoridades de fiscalização do mercado
---------+Artigo 59.o 1.
---------+Artigo 59.o 2.
---------+Artigo 59.o 3.
---------+Artigo 59.o 4.
---------+Artigo 59.o 5.
------+Artigo 60.o Ações de fiscalização conjuntas
---------+Artigo 60.o 1.
---------+Artigo 60.o 2.
---------+Artigo 60.o 3.
---------+Artigo 60.o 4.
---------+Artigo 60.o 5.
---+CAPÍTULO VI PODERES DELEGADOS E PROCEDIMENTO DE COMITÉ
------+Artigo 61.o Exercício da delegação
---------+Artigo 61.o 1.
---------+Artigo 61.o 2.
---------+Artigo 61.o 3.
---------+Artigo 61.o 4.
---------+Artigo 61.o 5.
---------+Artigo 61.o 6.
------+Artigo 62.o Procedimento de comité
---------+Artigo 62.o 1.
---------+Artigo 62.o 2.
---------+Artigo 62.o 3.
---+CAPÍTULO VII CONFIDENCIALIDADE E SANÇÕES
------+Artigo 63.o Confidencialidade
---------+Artigo 63.o 1.
---------+Artigo 63.o 2.
---------+Artigo 63.o 3.
---------+Artigo 63.o 4.
------+Artigo 64.o Sanções
---------+Artigo 64.o 1.
---------+Artigo 64.o 2.
---------+Artigo 64.o 3.
---------+Artigo 64.o 4.
---------+Artigo 64.o 5.
---------+Artigo 64.o 6.
---------+Artigo 64.o 7.
---------+Artigo 64.o 8.
---------+Artigo 64.o 9.
---------+Artigo 64.o 10.
------+Artigo 65.o Ações coletivas
---+CAPÍTULO VIII DISPOSIÇÕES TRANSITÓRIAS E FINAIS
------+Artigo 66.o Alteração do Regulamento (UE) 2019/1020
------+Artigo 67.o Alteração da Diretiva (UE) 2020/1828
------+Artigo 68.o Alteração do Regulamento (UE) n.o168/2013
------+Artigo 69.o Disposições transitórias
---------+Artigo 69.o 1.
---------+Artigo 69.o 2.
---------+Artigo 69.o 3.
------+Artigo 70.o Avaliação e reexame
---------+Artigo 70.o 1.
---------+Artigo 70.o 2.
------+Artigo 71.o Entrada em vigor e aplicação
---------+Artigo 71.o 1.
---------+Artigo 71.o 2.
---+ANEXO I REQUISITOS ESSENCIAIS DE CIBERSEGURANÇA
---+ANEXO II INFORMAÇÕES E INSTRUÇÕES DESTINADAS AO UTILIZADOR
---+ANEXO III PRODUTOS IMPORTANTES COM ELEMENTOS DIGITAIS
---+ANEXO IV PRODUTOS CRÍTICOS COM ELEMENTOS DIGITAIS
---+ANEXO V DECLARAÇÃO DE CONFORMIDADE UE
---+ANEXO VI DECLARAÇÃO DE CONFORMIDADE UE SIMPLIFICADA
---+ANEXO VII TEOR DA DOCUMENTAÇÃO TÉCNICA
---+ANEXO VIII PROCEDIMENTOS DE AVALIAÇÃO DA CONFORMIDADE
|
English -
European Union -
REGULAMENTO (UE) 2024/2847 DO PARLAMENTO EUROPEU E DO CONSELHO de 23 de outubro de 2024 relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais e que altera os Regulamentos (UE) n. o 168/2013 e (UE) 2019/1020 e a Diretiva (UE) 2020/1828 (Regulamento de Ciber-Resiliência) (Texto relevante para efeitos do EEE)
REGULAMENTO (UE) 2024/2847 DO PARLAMENTO EUROPEU E DO CONSELHO
de 23 de outubro de 2024
relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais e que altera os Regulamentos (UE) n.o 168/2013 e (UE) 2019/1020 e a Diretiva (UE) 2020/1828 (Regulamento de Ciber-Resiliência)
(Texto relevante para efeitos do EEE)
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
1. Visão geral
| Título |
Regulamentação |
|
CAPÍTULO I DISPOSIÇÕES GERAIS
|
CAPÍTULO I DISPOSIÇÕES GERAIS
|
|
CAPÍTULO II OBRIGAÇÕES DOS OPERADORES ECONÓMICOS E DISPOSIÇÕES EM RELAÇÃO AOSOFTWARELIVRE E DE CÓDIGO-FONTE ABERTO
|
CAPÍTULO II OBRIGAÇÕES DOS OPERADORES ECONÓMICOS E DISPOSIÇÕES EM RELAÇÃO AOSOFTWARELIVRE E DE CÓDIGO-FONTE ABERTO
|
|
CAPÍTULO III CONFORMIDADE DO PRODUTO COM ELEMENTOS DIGITAIS
|
CAPÍTULO III CONFORMIDADE DO PRODUTO COM ELEMENTOS DIGITAIS
|
|
CAPÍTULO IV NOTIFICAÇÃO DOS ORGANISMOS DE AVALIAÇÃO DA CONFORMIDADE
|
CAPÍTULO IV NOTIFICAÇÃO DOS ORGANISMOS DE AVALIAÇÃO DA CONFORMIDADE
|
|
CAPÍTULO V FISCALIZAÇÃO DO MERCADO E APLICAÇÃO DA LEGISLAÇÃO
|
CAPÍTULO V FISCALIZAÇÃO DO MERCADO E APLICAÇÃO DA LEGISLAÇÃO
|
|
CAPÍTULO VI PODERES DELEGADOS E PROCEDIMENTO DE COMITÉ
|
CAPÍTULO VI PODERES DELEGADOS E PROCEDIMENTO DE COMITÉ
|
|
CAPÍTULO VII CONFIDENCIALIDADE E SANÇÕES
|
CAPÍTULO VII CONFIDENCIALIDADE E SANÇÕES
|
|
CAPÍTULO VIII DISPOSIÇÕES TRANSITÓRIAS E FINAIS
|
CAPÍTULO VIII DISPOSIÇÕES TRANSITÓRIAS E FINAIS
|
|
ANEXO I REQUISITOS ESSENCIAIS DE CIBERSEGURANÇA
|
ANEXO I
REQUISITOS ESSENCIAIS DE CIBERSEGURANÇA
Parte I Requisitos de cibersegurança relativos às propriedades dos produtos com elementos digitais
1) Os produtos com elementos digitais devem ser concebidos, desenvolvidos e produzidos de modo a garantir um nível adequado de cibersegurança com base nos riscos.
2) Com base na avaliação dos riscos de cibersegurança referida no artigo 13.o, n.o 2, e se for caso disso, os produtos com elementos digitais devem:
a)
Ser disponibilizados no mercado sem nenhuma vulnerabilidade passível de ser explorada conhecida;
b)
Ser disponibilizados no mercado com uma configuração segura por defeito, salvo acordo em contrário entre o fabricante e o utilizador profissional em relação a um produto personalizado com elementos digitais, incluindo a possibilidade de restaurar o produto para o seu estado original;
c)
Assegurar que as vulnerabilidades possam ser corrigidas através de atualizações de segurança, incluindo, se for caso disso, atualizações de segurança automáticas, instaladas num prazo adequado, configuradas por defeito, com um mecanismo de autoexclusão claro e de fácil utilização, por meio da notificação das atualizações disponíveis aos utilizadores e com a opção de as adiar temporariamente;
d)
Assegurar a proteção contra o acesso não autorizado através de mecanismos de controlo adequados, incluindo, nomeadamente, sistemas de autenticação, identidade ou gestão de acessos, e comunicar eventuais acessos não autorizados;
e)
Proteger a confidencialidade dos dados armazenados, transmitidos ou tratados de outra forma, sejam eles pessoais ou de outra natureza, por exemplo através da cifragem de dados inativos ou em trânsito pertinentes por mecanismos de ponta e da utilização de outros meios técnicos;
f)
Proteger a integridade dos dados armazenados, transmitidos ou tratados de outra forma, sejam eles pessoais ou de outra natureza, dos comandos, dos programas e da configuração contra qualquer manipulação ou modificação não autorizada pelo utilizador, e comunicar informações sobre as corrupções;
g)
Tratar apenas dados, pessoais ou de outra natureza, que sejam adequados, pertinentes e limitados ao que é necessário para a finalidade prevista do produto com elementos digitais (minimização de dados);
h)
Proteger a disponibilidade de funções essenciais e básicas, inclusivamente após um incidente, incluindo através de medidas de resiliência e atenuação contra-ataques de negação de serviço;
i)
Minimizar o impacto negativo pelos próprios produtos ou dispositivos conectados na disponibilidade de serviços prestados por outros dispositivos ou redes;
j)
Ser concebidos, desenvolvidos e produzidos de forma a limitar superfícies de ataque, incluindo interfaces externas;
k)
Ser concebidos, desenvolvidos e produzidos de forma a reduzir o impacto de incidentes, utilizando mecanismos e técnicas adequados de atenuação da exploração;
l)
Facultar informações relacionadas com a segurança através do registo e controlo da atividade interna pertinente, incluindo o acesso ou a alteração de dados, serviços ou funções, com um mecanismo de autoexclusão para o utilizador;
m)
Prever a possibilidade de os utilizadores removerem de forma segura, fácil e permanente todos os dados e parâmetros e, nos casos em que esses dados possam ser transferidos para outros produtos ou sistemas, assegurar que tal é feito de forma segura.
Parte II Requisitos de tratamento de vulnerabilidades
Os fabricantes de produtos com elementos digitais devem:
1)
Identificar e documentar vulnerabilidades e componentes existentes nos produtos com elementos digitais, nomeadamente elaborando uma lista de materiais do software num formato de uso corrente e legível por máquina que abranja, pelo menos, as dependências de nível superior dos produtos;
2)
Em relação aos riscos que os produtos com elementos digitais enfrentam, resolver e corrigir, sem demora, as vulnerabilidades, nomeadamente disponibilizando atualizações de segurança; sempre que tecnicamente viável, devem ser fornecidas novas atualizações de segurança, distintas das atualizações das funcionalidades;
3)
Efetuar ensaios e análises eficazes e regulares da segurança do produto com elementos digitais;
4)
Uma vez disponibilizada uma atualização de segurança, partilhar e divulgar publicamente informações sobre as vulnerabilidades corrigidas, incluindo uma descrição das mesmas, informações que permitam aos utilizadores identificar o produto com elementos digitais afetado, os impactos das vulnerabilidades, a sua gravidade e informações claras e acessíveis, que ajudem os utilizadores a corrigir as vulnerabilidades; em casos devidamente justificados, sempre que os fabricantes considerem que os riscos de segurança da publicação superam os benefícios relacionados com a segurança, podem adiar a divulgação pública de informações sobre uma vulnerabilidade corrigida até que os utilizadores tenham a possibilidade de aplicar a correção pertinente;
5)
Definir e aplicar uma política de divulgação coordenada de vulnerabilidades;
6)
Tomar medidas para facilitar a partilha de informações sobre potenciais vulnerabilidades no seu produto com elementos digitais, bem como em componentes de terceiros incluídos nesse produto, nomeadamente facultando um endereço de contacto para a comunicação das vulnerabilidades detetadas no produto com elementos digitais;
7)
Prever mecanismos para distribuir de forma segura as atualizações de produtos com elementos digitais, a fim de assegurar a correção ou atenuação das vulnerabilidades em tempo útil e, se aplicável às atualizações de segurança, de uma forma automática;
8)
Assegurar que as atualizações de segurança disponíveis para resolver problemas de segurança identificados sejam distribuídas sem demora e, salvo acordo em contrário entre um fabricante e um utilizador profissional em relação a um produto personalizado com elementos digitais, de forma gratuita, juntamente com orientações que facultem aos utilizadores informações pertinentes, nomeadamente sobre as eventuais medidas a tomar.
|
|
ANEXO II INFORMAÇÕES E INSTRUÇÕES DESTINADAS AO UTILIZADOR
|
ANEXO II
INFORMAÇÕES E INSTRUÇÕES DESTINADAS AO UTILIZADOR
No mínimo, devem ser facultadas com o produto com elementos digitais as seguintes indicações:
1.
O nome, nome comercial registado ou marca registada do fabricante, bem como o seu endereço postal, o endereço de correio eletrónico ou outro contacto digital e, se existir, o sítio Web através do qual o fabricante pode ser contactado;
2.
O ponto de contacto único por meio do qual se pode comunicar e receber informações sobre vulnerabilidades do produto com elementos digitais e a política do fabricante em matéria de divulgação coordenada das vulnerabilidades;
3.
Nome e tipo do produto com elementos digitais, bem como quaisquer informações complementares que permitam a sua identificação única;
4.
A finalidade prevista do produto com elementos digitais, incluindo o ambiente de segurança proporcionado pelo fabricante, bem como as funcionalidades essenciais do produto e informações sobre as propriedades de segurança;
5.
Qualquer circunstância conhecida ou previsível, relacionada com a utilização do produto com elementos digitais de acordo com a sua finalidade prevista ou em condições de utilização indevida razoavelmente previsível que possam dar origem a riscos de cibersegurança significativos;
6.
Se for caso disso, o endereço Internet que permite aceder à declaração de conformidade UE;
7.
O tipo de apoio técnico no domínio da segurança que o fabricante oferece e a data-limite do período de apoio durante o qual os utilizadores podem esperar que as vulnerabilidades sejam tratadas e receber atualizações de segurança;
8.
Instruções pormenorizadas ou um endereço Internet que remeta para tais instruções pormenorizadas e informações sobre:
a)
As medidas a tomar quando o produto com elementos digitais é posto em funcionamento pela primeira vez e ao longo de toda a sua vida útil de modo a garantir uma utilização segura do mesmo;
b)
Como as alterações do produto com elementos digitais podem afetar a segurança dos dados;
c)
Como podem ser instaladas atualizações relevantes em termos de segurança;
d)
A desativação segura do produto com elementos digitais, incluindo informações sobre como se pode remover de forma segura os dados dos utilizadores.
e)
A forma como pode ser desligada a configuração por defeito que permite a instalação automática de atualizações de segurança, conforme exigido pela parte I, ponto 2, alínea c), do anexo I;
f)
Se o produto com elementos digitais se destinar a ser integrado noutros produtos com elementos digitais, as informações necessárias para que o responsável pela integração cumpra os requisitos essenciais de cibersegurança estabelecidos no anexo I e os requisitos em matéria de documentação estabelecidos no anexo VII.
9.
Se o fabricante decidir disponibilizar a lista de materiais de software ao utilizador, informações sobre o local onde se pode aceder à lista de materiais do software.
|
|
ANEXO III PRODUTOS IMPORTANTES COM ELEMENTOS DIGITAIS
|
ANEXO III
PRODUTOS IMPORTANTES COM ELEMENTOS DIGITAIS
Classe I
1. Sistemas de gestão de identidade e software e hardware de gestão de acesso privilegiado, nomeadamente leitores de autenticação e controlo do acesso, incluindo leitores biométricos
2. Navegadores autónomos e incorporados
4.
Software de pesquisa, remoção ou colocação em quarentena de software malicioso
5. Produtos com elementos digitais com a função de rede privada virtual (VPN)
6. Sistemas de gestão de rede
7. Sistemas de gestão de informações e eventos de segurança (SIEM)
9. Infraestruturas de chaves públicas e software de emissão de certificados digitais
10. Interfaces físicas e virtuais da rede
12. Encaminhadores, modems para ligação à Internet e comutadores
13. Microprocessadores com funcionalidades relacionadas com a cibersegurança
14. Microcontroladores com funcionalidades relacionadas com a cibersegurança
15. Circuitos integrados de aplicação específica (ASIC) e redes de portas lógicas programáveis (FPGA) com funcionalidades relacionadas com a cibersegurança
16. Assistentes virtuais de uso geral para residências inteligentes
17. Produtos domésticos inteligentes com funcionalidades de segurança, incluindo fechaduras inteligentes, câmaras de segurança, sistemas de monitorização de bebés e sistemas de alarme
18. Brinquedos ligados à Internet, abrangidos pela Diretiva 2009/48/CE do Parlamento Europeu e do Conselho (
4
), com características sociais interativas (por exemplo, que falam ou filmam) ou que têm características de localização
19. Produtos pessoais usáveis, para usar ou colocar no corpo humano, destinados à monitorização do estado de saúde (p. ex., rastreio) e aos quais não se aplicam o Regulamento (UE) 2017/745 ou (UE) 2017/746, ou produtos pessoais usáveis, a utilizar por crianças ou a estas destinados
Classe II
1. Hipervisores e sistemas container runtime que permitam a execução virtualizada de sistemas operativos e ambientes semelhantes
2. Barreiras de segurança, sistemas de deteção e prevenção de intrusões
3. Microprocessadores invioláveis
4. Microcontroladores invioláveis
|
|
ANEXO IV PRODUTOS CRÍTICOS COM ELEMENTOS DIGITAIS
|
ANEXO IV
PRODUTOS CRÍTICOS COM ELEMENTOS DIGITAIS
1. Dispositivos de hardware com caixas de segurança
2. Pontos de acesso para contadores inteligentes no âmbito de sistemas de contadores inteligentes, conforme definidos no artigo 2.o, ponto 23, da Diretiva (UE) 2019/944 do Parlamento Europeu e do Conselho (
5
), e outros dispositivos para fins avançados de segurança, incluindo o criptoprocessamento seguro
3. Cartões inteligentes ou dispositivos semelhantes, incluindo elementos seguros
|
|
ANEXO V DECLARAÇÃO DE CONFORMIDADE UE
|
ANEXO V
DECLARAÇÃO DE CONFORMIDADE UE
A declaração de conformidade UE referida no artigo 28.o deve conter todas as seguintes informações:
1.
Nome e tipo do produto com elementos digitais, bem como quaisquer informações complementares que permitam a sua identificação única
2.
Nome e endereço do fabricante ou do respetivo mandatário
3.
Menção de que a declaração de conformidade UE é emitida sob a exclusiva responsabilidade do fornecedor
4.
Objeto da declaração (identificação do produto com elementos digitais que permita rastreá-lo, podendo incluir uma fotografia, se for caso disso)
5.
Menção de que o objeto da declaração acima mencionado está em conformidade com a legislação de harmonização da União aplicável
6.
Referências a quaisquer normas harmonizadas pertinentes aplicadas ou a quaisquer outras especificações comuns ou certificações da cibersegurança em relação às quais é declarada a conformidade
7.
Se for caso disso, nome e número do organismo notificado, descrição do procedimento de avaliação da conformidade efetuado e identificação do certificado emitido
8.
Informações complementares:
Assinado em nome de:
(local e data de emissão):
(nome, cargo) (assinatura):
|
|
ANEXO VI DECLARAÇÃO DE CONFORMIDADE UE SIMPLIFICADA
|
ANEXO VI
DECLARAÇÃO DE CONFORMIDADE UE SIMPLIFICADA
A declaração de conformidade UE simplificada a que se refere o artigo 13.o, n.o 20, deve conter os seguintes dados:
Pela presente, … [ nome do fabricante] declara que o tipo de produto com elementos digitais … [ designação do tipo de produto com elemento digital] está em conformidade com o Regulamento (UE) 2024/2847 (
6
). O texto integral da declaração de conformidade UE está disponível no seguinte endereço eletrónico: …
|
|
ANEXO VII TEOR DA DOCUMENTAÇÃO TÉCNICA
|
ANEXO VII
TEOR DA DOCUMENTAÇÃO TÉCNICA
A documentação técnica referida no artigo 31.o deve incluir, pelo menos, as informações indicadas a seguir, consoante aplicável ao produto com elementos digitais em causa:
1.
Uma descrição geral do produto com elementos digitais, incluindo:
a)
A sua finalidade prevista;
b)
Versões do software suscetíveis de afetar a conformidade com os requisitos essenciais de cibersegurança;
c)
Se o produto com elementos digitais for um produto de hardware, fotografias ou ilustrações que mostrem as características externas, a marcação e a disposição interna;
d)
Informações e instruções destinadas aos utilizadores, conforme consta do anexo II;
2.
Uma descrição da conceção, do desenvolvimento, da produção do produto com elementos digitais e dos processos de tratamento de vulnerabilidades, incluindo:
a)
Informações necessárias sobre a conceção e o desenvolvimento do produto com elementos digitais, incluindo, se for caso disso, ilustrações e esquemas e uma descrição da arquitetura do sistema que explique de que forma os componentes de software se apoiam ou se alimentam mutuamente e se integram no processamento global;
b)
Informações e especificações necessárias sobre os processos de tratamento de vulnerabilidades aplicados pelo fabricante, incluindo a lista de materiais do software, a política de divulgação coordenada de vulnerabilidades, comprovativos da disponibilização de um endereço de contacto para a comunicação de vulnerabilidades e uma descrição das soluções técnicas escolhidas para a distribuição segura de atualizações;
c)
Informações e especificações necessárias sobre os processos de produção e controlo do produto com elementos digitais e a validação desses processos;
3.
Uma avaliação dos riscos de cibersegurança tidos em conta na conceção, no desenvolvimento, na produção, na entrega e na manutenção do produto com elementos digitais, nos termos do artigo 13.o, incluindo a forma como são aplicáveis os requisitos essenciais de cibersegurança estabelecidos na parte I do anexo I;
4.
Informações pertinentes tidas em conta para determinar o período de apoio nos termos do artigo 13.o, n.o 8, do produto com elementos digitais;
5.
Uma lista das normas harmonizadas aplicadas total ou parcialmente, cujas referências tenham sido publicadas no Jornal Oficial da União Europeia, das especificações comuns previstas no artigo 27.o do presente regulamento ou dos sistemas europeus de certificação da cibersegurança adotados ao abrigo do Regulamento (UE) 2019/881, nos termos do artigo 27.o, n.o 8, do presente regulamento e, nos casos em que essas normas harmonizadas, especificações comuns ou sistemas europeus de certificação da cibersegurança não tenham sido aplicados, uma descrição das soluções adotadas para dar cumprimento aos requisitos essenciais de cibersegurança estabelecidos nas partes I e II do anexo I, incluindo uma lista de outras especificações técnicas pertinentes aplicadas. Em caso de aplicação parcial das normas harmonizadas, das especificações comuns ou dos sistemas europeus de certificação da cibersegurança, a documentação técnica deve especificar as partes que foram aplicadas;
6.
Relatórios dos ensaios realizados para verificar a conformidade do produto com elementos digitais e dos processos de tratamento de vulnerabilidades com os requisitos essenciais de cibersegurança aplicáveis estabelecidos nas partes I e II do anexo I;
7.
Uma cópia da declaração de conformidade UE;
8.
Se for caso disso, a lista de materiais do software, na sequência de um pedido fundamentado de uma autoridade de fiscalização do mercado, desde que tal seja necessário para que a referida autoridade possa verificar a conformidade com os requisitos essenciais de cibersegurança estabelecidos no anexo I.
|
|
ANEXO VIII PROCEDIMENTOS DE AVALIAÇÃO DA CONFORMIDADE
|
ANEXO VIII
PROCEDIMENTOS DE AVALIAÇÃO DA CONFORMIDADE
Parte I Procedimento de avaliação da conformidade baseado no controlo interno (com base no módulo A)
1. O controlo interno é o procedimento de avaliação da conformidade mediante o qual o fabricante cumpre as obrigações estabelecidas nos pontos 2, 3 e 4 da presente parte e garante e declara, sob a sua exclusiva responsabilidade, que os produtos com elementos digitais cumprem todos os requisitos essenciais de cibersegurança constantes da parte I do anexo I, e que o fabricante cumpre os requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I.
2. O fabricante deve elaborar a documentação técnica descrita no anexo VII.
3. Conceção, desenvolvimento, produção e tratamento de vulnerabilidades de produtos com elementos digitais
O fabricante deve tomar todas as medidas necessárias para que os processos de conceção, desenvolvimento, produção e tratamento de vulnerabilidades, bem como o respetivo controlo, assegurem a conformidade dos produtos com elementos digitais fabricados ou desenvolvidos e dos processos aplicados pelo fabricante com os requisitos essenciais de cibersegurança previstos nas partes I e II do anexo I.
4. Marcação de conformidade e declaração de conformidade
4.1. O fabricante deve apor a marcação CE em cada produto com elementos digitais que cumpra os requisitos aplicáveis previstos no presente regulamento.
4.2. O fabricante deve elaborar uma declaração de conformidade UE escrita para cada produto com elementos digitais nos termos do artigo 28.o e mantê-la, juntamente com a documentação técnica, à disposição das autoridades nacionais, por um período de 10 anos a contar da data de colocação no mercado do produto com elementos digitais ou durante período de apoio, consoante o que for mais longo. A declaração de conformidade UE deve identificar o produto com elementos digitais para o qual foi elaborada. Deve ser fornecida cópia da declaração de conformidade UE às autoridades competentes, a seu pedido.
As obrigações do fabricante enunciadas no ponto 4 podem ser cumpridas, em seu nome e sob a sua responsabilidade, pelo seu mandatário, desde que as obrigações pertinentes se encontrem especificadas no mandato.
Parte II Exame UE de tipo (com base no módulo B)
1. O exame UE de tipo é a parte do procedimento de avaliação da conformidade em que um organismo notificado examina o projeto técnico e o desenvolvimento de um produto com elementos digitais, bem como os processos de tratamento de vulnerabilidades aplicados pelo fabricante, e certifica que um produto com elementos digitais cumpre os requisitos essenciais de cibersegurança estabelecidos na parte I do anexo I, e que o fabricante cumpre os requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I.
2. O exame UE de tipo deve ser realizado através da avaliação da adequação do projeto técnico e do desenvolvimento do produto com elementos digitais mediante análise da documentação técnica e dos elementos de prova referidos no ponto 3, bem como do exame de amostras de uma ou mais partes críticas do produto (combinação de tipo de produção e tipo de projeto).
3. O fabricante deve apresentar o pedido de exame UE de tipo a um único organismo notificado da sua escolha.
O pedido deve incluir os seguintes elementos:
3.1.
o nome e o endereço do fabricante e, se for apresentado pelo mandatário, o nome e o endereço deste último,
3.2.
uma declaração por escrito indicando que o mesmo pedido não foi apresentado a nenhum outro organismo notificado,
3.3.
a documentação técnica, que deve permitir avaliar a conformidade do produto com elementos digitais com os requisitos essenciais de cibersegurança aplicáveis constantes da parte I do anexo I, e os processos de tratamento de vulnerabilidades do fabricante constantes da parte II do anexo I, e deve incluir uma análise e uma avaliação adequadas dos riscos. A documentação técnica deve especificar os requisitos aplicáveis e abranger, se tal for pertinente para efeitos de avaliação, a conceção, o fabrico e o funcionamento do produto com elementos digitais. A documentação técnica deve conter, se for caso disso, pelo menos os elementos previstos no anexo VII,
3.4.
os elementos de prova da adequação das soluções de projeto técnico e desenvolvimento e dos processos de tratamento de vulnerabilidades. Esses elementos devem fazer menção aos documentos utilizados, designadamente nos casos em que não foram integralmente aplicadas as normas harmonizadas ou as especificações técnicas pertinentes. Os elementos de prova devem incluir, se necessário, os resultados dos ensaios realizados pelo laboratório competente do fabricante ou por qualquer outro laboratório de ensaios em nome e sob a responsabilidade do fabricante.
4. O organismo notificado deve:
4.1.
Examinar a documentação técnica e os elementos de prova para avaliar a adequação do projeto técnico e do desenvolvimento do produto com elementos digitais aos requisitos essenciais de cibersegurança constantes da parte I do anexo I, e a adequação dos processos de tratamento de vulnerabilidades aplicados pelo fabricante aos requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I;
4.2.
Verificar se as amostras foram desenvolvidas ou fabricadas em conformidade com a documentação técnica e identificar os elementos concebidos e desenvolvidos de acordo com as disposições aplicáveis das normas harmonizadas ou especificações técnicas pertinentes, bem como os elementos cuja conceção e desenvolvimento não se baseiem nas disposições pertinentes dessas normas;
4.3.
Realizar, ou mandar realizar, os exames e os ensaios adequados para verificar que, caso o fabricante tenha optado pelas soluções constantes das normas harmonizadas ou especificações técnicas pertinentes para os requisitos previstos no anexo I, essas soluções foram corretamente aplicadas;
4.4.
Realizar, ou mandar realizar, os exames e ensaios necessários para verificar que, caso as soluções constantes das normas harmonizadas ou especificações técnicas pertinentes para os requisitos previstos no anexo I não tenham sido aplicadas, as soluções adotadas pelo fabricante cumprem os requisitos essenciais de cibersegurança correspondentes;
4.5.
Acordar com o fabricante o local de realização dos exames e dos ensaios.
5. O organismo notificado deve elaborar um relatório de avaliação que indique as atividades desenvolvidas de acordo com o ponto 4 e os respetivos resultados. Sem prejuízo das suas obrigações para com as autoridades notificadoras, o organismo notificado só pode divulgar, no todo ou em parte, o conteúdo desse relatório com o acordo do fabricante.
6. Se o tipo e os processos de tratamento de vulnerabilidades cumprirem os requisitos essenciais de cibersegurança constantes do anexo I, o organismo notificado deve remeter ao fabricante um certificado de exame UE de tipo. O certificado deve conter o nome e o endereço do fabricante, as conclusões do exame, as condições (se as houver) da sua validade e os dados necessários à identificação do tipo aprovado e dos processos de tratamento de vulnerabilidades. O certificado pode ser acompanhado de um ou mais anexos.
O certificado e os seus anexos devem conter todas as informações necessárias para permitir a avaliação da conformidade dos produtos com elementos digitais fabricados ou desenvolvidos com o tipo e os processos de tratamento de vulnerabilidades examinados e para permitir o controlo em serviço.
Nos casos em que o tipo e os processos de tratamento de vulnerabilidades não cumpram os requisitos essenciais de cibersegurança aplicáveis constantes do anexo I, o organismo notificado deve recusar emitir um certificado de exame UE de tipo e deve informar o requerente desse facto, fundamentando pormenorizadamente as razões da sua recusa.
7. O organismo notificado deve manter-se a par das alterações do estado da técnica geralmente reconhecido que indiquem que o tipo aprovado e os processos de tratamento de vulnerabilidades podem ter deixado de cumprir os requisitos essenciais de cibersegurança aplicáveis constantes do anexo I e deve determinar se tais alterações requerem exames complementares. Em caso afirmativo, o organismo notificado deve informar o fabricante desse facto.
O fabricante deve informar o organismo notificado que possui a documentação técnica relativa ao certificado de exame UE de tipo de todas as modificações do tipo aprovado e dos processos de tratamento de vulnerabilidades que possam afetar a conformidade com os requisitos essenciais de cibersegurança constantes do anexo I ou as condições de validade do certificado. Tais modificações devem ser objeto de aprovação complementar, na forma de aditamento ao certificado original de exame UE de tipo.
8. O organismo notificado deve efetuar auditorias periódicas para assegurar que os processos de tratamento das vulnerabilidades previstos na parte II do anexo I, são aplicados de forma adequada.
9. O organismo notificado deve informar as autoridades notificadoras dos certificados de exame UE de tipo e respetivos aditamentos que emitiu ou retirou e fornecer-lhes periodicamente, ou mediante pedido, a lista dos certificados e respetivos aditamentos recusados, suspensos ou objeto de restrições.
Cada organismo notificado deve informar os outros organismos notificados dos certificados de exame UE de tipo e respetivos aditamentos que tenha recusado, retirado, suspendido ou submetido a quaisquer outras restrições e, mediante pedido, dos certificados que tenha emitido e dos aditamentos que tenha introduzido nos mesmos.
A Comissão, os Estados-Membros e os outros organismos notificados podem, mediante pedido, obter cópia dos certificados de exame UE de tipo e quaisquer aditamentos. Mediante pedido, a Comissão e os Estados-Membros podem obter cópia da documentação técnica e dos resultados dos exames efetuados pelo organismo notificado. O organismo notificado deve conservar uma cópia do certificado de exame UE de tipo e dos respetivos anexos e aditamentos, assim como do processo técnico, incluindo a documentação apresentada pelo fabricante, até ao termo da validade do certificado.
10. O fabricante deve manter à disposição das autoridades nacionais uma cópia do certificado de exame UE de tipo e dos respetivos anexos e aditamentos, assim como da documentação técnica, por um período de 10 anos a contar da data de colocação do produto com elementos digitais no mercado ou durante o período de apoio, consoante o que for mais longo.
11. O mandatário do fabricante pode apresentar o pedido referido no ponto 3 e cumprir as obrigações previstas nos pontos 7 e 10, desde que as obrigações pertinentes se encontrem especificadas no mandato.
Parte III Conformidade com o tipo baseada no controlo interno da produção (com base no módulo C)
1. A conformidade com o tipo baseada no controlo interno da produção é a parte do procedimento de avaliação da conformidade mediante a qual o fabricante cumpre as obrigações previstas nos pontos 2 e 3 da presente parte e garante e declara que os produtos com elementos digitais em causa estão em conformidade com o tipo descrito no certificado de exame UE de tipo e satisfazem os requisitos essenciais de cibersegurança constantes da parte I do anexo I, e que o fabricante cumpre os requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I.
O fabricante deve tomar todas as medidas necessárias para que a produção e o respetivo controlo garantam a conformidade dos produtos fabricados com o tipo aprovado descrito no certificado de exame UE de tipo e com os requisitos essenciais de cibersegurança constantes da parte I do anexo I, e garante que o fabricante cumpre os requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I.
3. Marcação de conformidade e declaração de conformidade
3.1.
O fabricante deve apor a marcação CE em cada produto com elementos digitais que esteja em conformidade com o tipo descrito no certificado de exame UE de tipo e que cumpra os requisitos aplicáveis definidos no presente regulamento.
3.2.
O fabricante deve elaborar uma declaração de conformidade escrita para cada modelo de produto e mantê-la à disposição das autoridades nacionais, por um período de 10 anos a contar da data de colocação do produto com elementos digitais no mercado ou durante o período de apoio, consoante o que for mais longo. A declaração de conformidade deve identificar o modelo de produto para o qual foi elaborada. Deve ser fornecida às autoridades competentes, a pedido destas, uma cópia da declaração de conformidade.
As obrigações do fabricante enunciadas no ponto 3 podem ser cumpridas, em seu nome e sob a sua responsabilidade, pelo seu mandatário, desde que as obrigações pertinentes se encontrem especificadas no mandato.
Parte IV Conformidade baseada na garantia de qualidade total (com base no módulo H)
1. A conformidade baseada na garantia de qualidade total é o procedimento de avaliação da conformidade mediante o qual o fabricante cumpre as obrigações estabelecidas nos pontos 2 e 5 da presente parte e garante e declara, sob a sua exclusiva responsabilidade, que os produtos com elementos digitais ou as categorias de produtos em causa cumprem os requisitos essenciais de cibersegurança constantes da parte I do anexo I, e que os processos de tratamento de vulnerabilidades por si aplicados cumprem os requisitos estabelecidos na parte II do anexo I.
2. Conceção, desenvolvimento, produção e tratamento de vulnerabilidades de produtos com elementos digitais
O fabricante deve aplicar um sistema de qualidade aprovado, nos termos do ponto 3, para a conceção, o desenvolvimento e a inspeção e o ensaio dos produtos com elementos digitais em causa e para o tratamento de vulnerabilidades, deve manter a sua eficácia durante todo o período de apoio e fica sujeito à fiscalização prevista no ponto 4.
3.1.
O fabricante deve apresentar um pedido de avaliação do seu sistema de qualidade para os produtos com elementos digitais em causa a um organismo notificado da sua escolha.
O pedido deve incluir os seguintes elementos:
a)
o nome e o endereço do fabricante e, se for apresentado pelo mandatário, o nome e o endereço deste último;
b)
a documentação técnica para um modelo de cada categoria de produtos com elementos digitais que se pretende fabricar ou desenvolver. A documentação técnica deve conter, no mínimo, se aplicável, os elementos previstos no anexo VII;
c)
a documentação relativa ao sistema de qualidade; e
d)
uma declaração escrita indicando que o mesmo pedido não foi apresentado a nenhum outro organismo notificado.
3.2.
O sistema de qualidade deve assegurar a conformidade dos produtos com elementos digitais com os requisitos essenciais de cibersegurança constantes da parte I do anexo I, e a conformidade dos processos de tratamento de vulnerabilidades aplicados pelo fabricante com os requisitos estabelecidos na parte II do anexo I.
Todos os elementos, requisitos e disposições adotados pelo fabricante devem ser documentados de modo sistemático e ordenado, sob a forma de políticas, procedimentos e instruções escritas. A documentação relativa ao sistema de qualidade deve permitir uma interpretação coerente dos programas, planos, manuais e registos de qualidade.
Em especial, deve conter uma descrição adequada do seguinte:
a)
objetivos de qualidade e estrutura organizativa, responsabilidades e competências dos órgãos de gestão no que diz respeito à conceção, ao desenvolvimento, à qualidade do produto e ao tratamento de vulnerabilidades;
b)
especificações do projeto técnico e do desenvolvimento, incluindo as normas que serão aplicadas e, se as normas harmonizadas e/ou as especificações técnicas pertinentes não forem integralmente aplicadas, os meios a utilizar para assegurar o cumprimento dos requisitos essenciais de cibersegurança constantes da parte I do anexo I, aplicáveis aos produtos com elementos digitais;
c)
especificações processuais, incluindo as normas que serão aplicadas e, se as normas harmonizadas ou as especificações técnicas pertinentes não forem integralmente aplicadas, os meios a utilizar para assegurar o cumprimento dos requisitos essenciais de cibersegurança constantes da parte II do anexo I, aplicáveis ao fabricante;
d)
o controlo da conceção e do desenvolvimento, bem como as técnicas, os processos e as ações sistemáticas de verificação da conceção e do desenvolvimento a adotar ao conceber e desenvolver os produtos com elementos digitais pertencentes à categoria abrangida;
e)
as técnicas, processos e ações sistemáticas de produção, controlo da qualidade e garantia da qualidade a aplicar correspondentes;
f)
exames e ensaios a executar antes, durante e após a produção, e a frequência com que serão realizados;
g)
os registos de qualidade, como relatórios de inspeções e dados dos ensaios, dados de calibração e relatórios de qualificação do pessoal envolvido, etc.;
h)
meios que permitam controlar a obtenção da qualidade exigida ao nível da conceção e do produto, bem como a eficácia do funcionamento do sistema de qualidade.
3.3.
O organismo notificado deve avaliar o sistema de qualidade para determinar se este satisfaz os requisitos referidos no ponto 3.2.
O organismo notificado deve presumir que são conformes com esses requisitos os elementos do sistema de qualidade que cumpram as especificações correspondentes da norma nacional que transpõe a norma harmonizada ou as especificações técnicas aplicáveis.
Para além de experiência em sistemas de gestão da qualidade, o grupo de auditores deve incluir pelo menos um membro com experiência como assessor no domínio pertinente do produto e na tecnologia do produto em causa e ter conhecimento dos requisitos aplicáveis previstos no presente regulamento. A auditoria deve incluir uma visita de avaliação às instalações do fabricante, no caso de estas existirem. O grupo de auditores deve analisar a documentação técnica referida no ponto 3.1, alínea b), para verificar a capacidade de o fabricante identificar os requisitos aplicáveis previstos no presente regulamento e realizar os exames necessários, com vista a assegurar a conformidade do produto com elementos digitais com esses requisitos.
A decisão deve ser notificada ao fabricante ou ao respetivo mandatário.
A notificação deve conter as conclusões da auditoria e a decisão de avaliação fundamentada.
3.4.
O fabricante compromete-se a cumprir as obrigações decorrentes do sistema de qualidade aprovado e a assegurar que permanece adequado e eficaz.
3.5.
O fabricante mantém informado o organismo notificado que tiver aprovado o sistema de qualidade de qualquer alteração planeada para o referido sistema.
O organismo notificado deve avaliar as alterações propostas e decidir se o sistema da qualidade alterado continua a satisfazer os requisitos referidos no ponto 3.2 ou se é necessária uma reavaliação.
O organismo notificado deve notificar o fabricante da sua decisão. A notificação deve conter as conclusões do exame e a decisão de avaliação fundamentada.
4. Fiscalização sob a responsabilidade do organismo notificado
4.1.
O objetivo da fiscalização é garantir que o fabricante cumpre devidamente as obrigações decorrentes do sistema de qualidade aprovado.
4.2.
O fabricante deve permitir o acesso do organismo notificado, para fins de avaliação, aos locais de conceção, desenvolvimento, produção, inspeção, ensaio e armazenamento, e facultar-lhe todas as informações necessárias, em especial:
a)
a documentação relativa ao sistema de qualidade;
b)
os registos de qualidade previstos na parte do sistema de qualidade dedicada à conceção, tais como resultados de análises, cálculos e ensaios;
c)
os registos de qualidade previstos na parte do sistema de qualidade dedicada ao fabrico, tais como relatórios de inspeções, dados dos ensaios e de calibração e relatórios de qualificação do pessoal envolvido.
4.3.
O organismo notificado deve efetuar auditorias periódicas para se certificar de que o fabricante mantém e aplica o sistema de qualidade e deve fornecer-lhe os relatórios dessas auditorias.
5. Marcação de conformidade e declaração de conformidade
5.1.
O fabricante deve apor a marcação CE e, sob a responsabilidade do organismo notificado referido no ponto 3.1, o número de identificação deste último em cada produto com elementos digitais que cumpra os requisitos constantes da parte I do anexo I.
5.2.
O fabricante deve elaborar uma declaração de conformidade escrita para cada modelo de produto e mantê-la à disposição das autoridades nacionais, por um período de 10 anos a contar da data de colocação do produto com elementos digitais no mercado ou durante o período de apoio, consoante o que for mais longo. A declaração de conformidade deve identificar o modelo de produto para o qual foi elaborada.
Deve ser disponibilizada às autoridades competentes, a pedido destas, uma cópia da declaração de conformidade.
6. O fabricante deve manter à disposição das autoridades nacionais, durante um período não inferior a 10 anos após a data de colocação do produto com elementos digitais no mercado ou durante o período de apoio, consoante o que for mais longo:
a)
a documentação técnica referida no ponto 3.1;
b)
a documentação relativa ao sistema de qualidade referida no ponto 3.1;
c)
a alteração, aprovada, a que se refere o ponto 3.5;
d)
as decisões e os relatórios do organismo notificado a que se referem os pontos 3.5 e 4.3.
7. Cada organismo notificado deve informar as suas autoridades notificadoras das aprovações de sistemas de qualidade concedidas ou retiradas e, periodicamente ou mediante pedido, deve disponibilizar a essas autoridades a lista das aprovações de sistemas de qualidade que tenha recusado, suspendido ou submetido a quaisquer outras restrições.
Cada organismo notificado deve informar os outros organismos notificados das aprovações de sistemas de qualidade que tenha recusado, suspendido, retirado e, se lhe for pedido, das aprovações que tenha concedido a sistemas de qualidade.
As obrigações do fabricante enunciadas nos pontos 3.1, 3.5, 5 e 6 podem ser cumpridas, em seu nome e sob a sua responsabilidade, pelo respetivo mandatário, desde que as obrigações pertinentes se encontrem especificadas no mandato.
Foi feita uma declaração relativamente ao presente ato, que pode ser consultada em JO C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.
|
,
1.1 Referências
1.2 Requisitos identificados
1.3 Normas relacionadas
2. Requisitos identificados
Requisitos
| Fonte |
Requisito |
3. Normas relacionadas
Pedidos ligados
|