Direito da União
Sistema europeu de certificação da cibersegurança baseado nos Critérios Comuns (EUCC)
REGULAMENTO CIBERSEGURANÇA
Sistema europeu de certificação da cibersegurança baseado nos Critérios Comuns (EUCC)
07-02-2024
Regras de execução do Sistema europeu de certificação da cibersegurança baseado nos Critérios Comuns (EUCC)
Acordos de reconhecimento mútuo com países terceiros
Análise das vulnerabilidades dos produtos de TIC
Autoridades nacionais de certificação da cibersegurança
Avaliação de vulnerabilidades dos Critérios Comuns (AVA_VAN), componentes 1 a 5
Avaliação da conformidade por terceiros, efetuada pelos ITSEF e organismos de certificação
Avaliação pelos pares de um organismo de certificação
Centros de avaliação da segurança das tecnologias da informação (ITSEF)
Certificados EUCC
Critérios Comuns para a Avaliação da Segurança das Tecnologias da Informação: «Common Criteria for Information Technology Security Evaluation»
Conservação de registos pelos organismos de certificação e pelo ITSEF
Documentação relativa à utilização prevista do produto de TIC e análise dos níveis de risco associados a essa utilização
ENISA (Agência da União Europeia para a Cibersegurança)
Fiscalização do mercado e conformidade dos produtos
Gestão das vulnerabilidades
Grupo de Altos Funcionários para a Segurança dos Sistemas de Informação (SOG-IS)
Grupo Europeu para a Certificação da Cibersegurança (GECC)
Marca e rótulo
Metodologia Comum para a Avaliação da Segurança das Tecnologias da Informação: «Common Methodology for Information Níveis de garantia
Technology Security Evaluation»
Métodos de certificação de produtos de TIC
Normas de avaliação: Critérios Comuns e Metodologia Comum de Avaliação.
Normas internacionais ISO/IEC
Organismo de avaliação da conformidade: ITSEF e organismos de certificação acreditados
Perfis de proteção (PP) certificados
Período de validade de um certificado EUCC (não deve exceder cinco anos)
Processo de certificação dos produtos de TIC
Produtos de tecnologias da informação e comunicação (TIC)
Requerente de um certificado UCC
Retirada de um certificado EUCC
Revisão de um certificado EUCC
Sistemas nacionais abrangidos pelo EUCC
Suspensão do certificado EUCC
(1) Regulamento de Execução (UE) 2024/482 da Comissão, de 31 de janeiro de 2024, que estabelece regras de execução do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho no respeitante à adoção do sistema europeu de certificação da cibersegurança baseado nos Critérios Comuns (EUCC) [C/2024/560]. JO L, 2024/482, 07.02.2024, p. 1-45.
▼ ISO/IEC 15408 — Segurança da informação, cibersegurança e proteção da privacidade — Critérios de avaliação da segurança informática: «ISO/IEC 15408 — Information security, cybersecurity and privacy protection — Evaluation criteria for IT security».
▼ISO/IEC 18045 — Segurança da informação, cibersegurança e proteção da privacidade — Critérios de avaliação da segurança informática — Metodologia de avaliação da segurança informática: »ISO/IEC 18045 — Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Methodology for IT security evaluation».
Considerandos (1) a (33),
ADOTOU O PRESENTE REGULAMENTO:
CAPÍTULO I
DISPOSIÇÕES GERAIS
Artigo 1.º
Objeto e âmbito de aplicação
O presente regulamento estabelece o sistema europeu de certificação da cibersegurança baseado nos Critérios Comuns (EUCC).
O presente regulamento aplica-se a todos os produtos de tecnologias da informação e comunicação («TIC»), incluindo a respetiva documentação, que são submetidos a certificação ao abrigo do EUCC, e a todos os perfis de proteção submetidos a certificação no âmbito do processo de TIC conducente à certificação de produtos de TIC.
Artigo 3.º
Normas de avaliação
Às avaliações efetuadas no âmbito do sistema EUCC aplicam-se as seguintes normas:
(a) Os Critérios Comuns;
(b) A Metodologia Comum de Avaliação.
Artigo 4.º
Níveis de garantia
1. Os organismos de certificação emitem certificados EUCC de nível de garantia «substancial» ou «elevado».
2. Os certificados EUCC de nível de garantia «substancial» correspondem aos certificados que abrangem os níveis AVA_VAN 1 ou 2.
3. Os certificados EUCC de nível de garantia «elevado» correspondem aos certificados que abrangem os níveis AVA_VAN 3, 4 ou 5.
4. O nível de garantia confirmado num certificado EUCC distingue entre a utilização conforme e a utilização aumentada dos componentes de garantia, especificada nos Critérios Comuns, nos termos do anexo VIII.
5. Os organismos de avaliação da conformidade devem aplicar os componentes de garantia dos quais depende o nível AVA_VAN selecionado, de acordo com as normas referidas no artigo 3.º.
Artigo 5.º
Métodos de certificação de produtos de TIC
1. A certificação de um produto de TIC é efetuada em relação à sua meta de segurança:
(a) Conforme definida pelo requerente; ou
(b) Incorporando um perfil de proteção certificado como parte do processo de TIC, se o produto de TIC pertencer à categoria de produtos de TIC abrangida por esse perfil de proteção.
2. Os perfis de proteção devem ser certificados exclusivamente para efeitos da certificação de produtos de TIC pertencentes à categoria específica de produtos de TIC abrangida pelo perfil de proteção.
Artigo 6.º
Autoavaliação da conformidade
Não é permitida a autoavaliação da conformidade, na aceção do artigo 53.ºdo Regulamento (UE) 2019/881.
CAPÍTULO XI
DISPOSIÇÕES FINAIS
Artigo 49.º
Sistemas nacionais abrangidos pelo EUCC
1. Em conformidade com o artigo 57.º, n.º 1, do Regulamento (UE) 2019/881, e sem prejuízo do disposto no artigo 57.º, n.º 3, desse regulamento, todos os sistemas nacionais de certificação da cibersegurança e os procedimentos conexos relativos aos produtos e processos de TIC abrangidos pelo EUCC deixam de produzir efeitos 12 meses após a entrada em vigor do presente regulamento.
2. Em derrogação do artigo 50.º, é possível iniciar um processo de certificação ao abrigo de um sistema nacional de certificação da cibersegurança no prazo de 12 meses a contar da entrada em vigor do presente regulamento desde que esse processo esteja concluído, o mais tardar, 24 meses após a entrada em vigor do presente regulamento.
3. Os certificados emitidos ao abrigo de sistemas nacionais de certificação da cibersegurança podem ser sujeitos a revisão. Os novos certificados que substituam os certificados revistos são emitidos em conformidade com o presente regulamento.
Artigo 50.º
Entrada em vigor
O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação noJornal Oficial da União Europeia.
O presente regulamento é aplicável a partir de 27 de fevereiro de 2025.
O capítulo IV e o anexo V são aplicáveis a partir da data de entrada em vigor do presente regulamento.
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
ANEXO I
Domínios técnicos e documentos sobre o estado da arte
ANEXO II
Perfis de proteção certificados nos níveis AVA_VAN 4 ou 5
ANEXO III
Perfis de proteção recomendados (que ilustram os domínios técnicos do anexo I)
ANEXO IV
Continuidade da garantia e revisão do certificado
ANEXO V
CONTEÚDO DO RELATÓRIO DE CERTIFICAÇÃO
ANEXO VI
ÂMBITO E COMPOSIÇÃO DA EQUIPA DAS AVALIAÇÕES PELOS PARES
ANEXO VII
Conteúdo de um certificado EUCC
ANEXO VIII
Declaração do pacote de garantia
ANEXO IX
Marca e rótulo
(2) Acordo de Reconhecimento Mútuo («ARM») de Certificados de Avaliação da Segurança das Tecnologias da Informação do Grupo de Altos Funcionários para a Segurança dos Sistemas de Informação («SOG-IS»): Mutual Recognition Agreement of Information Technology Security Evaluation Certificates, versão 3.0 de janeiro de 2010, disponível em sogis.eu, aprovado pelo Grupo de Altos Funcionários para a Segurança dos Sistemas de Informação da Comissão Europeia, em resposta ao ponto 3 da Recomendação 95/144/CE do Conselho, de 7 de abril de 1995, relativa a critérios comuns de avaliação da segurança nas tecnologias da informação (JO L 93 de 26.4.1995, p. 27).
(3) Regulamento (CE) n.º 765/2008 do Parlamento Europeu e do Conselho, de 9 de julho de 2008, que estabelece os requisitos de acreditação e que revoga o Regulamento (CEE) n.º 339/93 (Texto relevante para efeitos do EEE). JO L 218 de 13.8.2008, p. 30-47. Versão consolidada atual:16/07/2021
► ALTERAÇÃO pelo Regulamento (UE) 2019/1020 do Parlamento Europeu e do Conselho, de 20 de junho.
(4) Regulamento (UE) n.º 526/2013 do Parlamento Europeu e do Conselho, de 21 de maio de 2013, relativo à Agência da União Europeia para a Segurança das Redes e da Informação (ENISA) e que revoga o Regulamento (CE) n.º 460/2004 (JO L 165 de 18.6.2013, p. 41).
► REVOGAÇÃO pelo artigo 68.º do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho, de 17 de abril, com efeitos a partir de 27 de junho de 2019.
(5) Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativo à ENISA (Agência da União Europeia para a Cibersegurança) e à certificação da cibersegurança das tecnologias da informação e comunicação e que revoga o Regulamento (UE) n.º 526/2013 (Regulamento Cibersegurança) (Texto relevante para efeitos do EEE) [PE/86/2018/REV/1]. JO L 151 de 7.6.2019, p. 15-69.
► REGRAS DE EXECUÇÃO previstas no
Considerandos (1) a (110),
ADOTARAM O PRESENTE REGULAMENTO:
TÍTULO I
DISPOSIÇÕES GERAIS
Artigo 1.º
Objeto e âmbito de aplicação
1. Com vista a assegurar o bom funcionamento do mercado interno e, simultaneamente, a alcançar um nível elevado de cibersegurança, de ciber-resiliência e de confiança no seio da União, o presente regulamento estabelece:
a) Os objetivos, as atribuições e os aspetos organizativos da ENISA («Agência da União Europeia para a Cibersegurança»); e
b) Um enquadramento para a criação de sistemas europeus de certificação da cibersegurança com o objetivo de assegurar um nível adequado de cibersegurança para os produtos, os serviços e os processos de TIC na União e de evitar a fragmentação do mercado interno no que toca aos sistemas de certificação da cibersegurança na União.
O enquadramento referido na alínea b) do primeiro parágrafo, é aplicável sem prejuízo de disposições específicas constantes de outros atos jurídicos da União em matéria de certificação de caráter voluntário ou obrigatório.
2. O presente regulamento não prejudica as competências dos Estados-Membros no que toca às suas atividades em matéria de segurança pública, de defesa e de segurança nacional, nem as atividades do Estado no domínio do direito penal.
Artigo 68.º
Revogação e sucessão
1. O Regulamento (UE) n.º 526/2013 é revogado com efeitos a partir de 27 de junho de 2019.
2. As remissões para o Regulamento (UE) n.º 526/2013 e as referências para a ENISA, tal como criada por esse regulamento, entendem-se como remissões para o presente regulamento e como referências para a ENISA, tal como criada pelo presente regulamento.
3. A ENISA tal como criada pelo presente regulamento sucede à ENISA tal como criada pelo Regulamento (UE) n.o 526/2013 no que respeita a todos os direitos de propriedade, acordos, obrigações legais, contratos de trabalho, compromissos financeiros e responsabilidades. As decisões do conselho de administração e da comissão executiva adotadas nos termos do Regulamento (UE) n.o 526/2013 permanecem válidas, desde que cumpram com o presente regulamento.
4. A ENISA é criada por um período indeterminado a partir de 27 de junho de 2019.
5. O diretor executivo nomeado ao abrigo do artigo 24.º, n.º 4, do Regulamento (UE) n.º 526/2013 permanece em funções e exerce as suas atribuições de diretor executivo da ENISA, nos termos do artigo 20.odo presente regulamento, durante o período remanescente do mandato do diretor executivo. As demais condições do seu contrato permanecem inalteradas.
6. Os membros do conselho de administração e respetivos suplentes nomeados ao abrigo do artigo 6.ºdo Regulamento (UE) n.º 526/2013 permanecem em funções e exercem as funções do conselho de administração, nos termos do artigo 15.ºdo presente regulamento, durante o período remanescente do seu mandato.
Artigo 69.º
Entrada em vigor
1. O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação noJornal Oficial da União Europeia.
2. Os artigos 58.º, 60.º, 61.º, 63.º, 64.ºe 65.ºsão aplicáveis a partir de 28 de junho de 2021.
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
ANEXO
REQUISITOS A CUMPRIR PELOS ORGANISMOS DE AVALIAÇÃO DA CONFORMIDADE
(5) Regulamento (UE) 2019/1020 do Parlamento Europeu e do Conselho, de 20 de junho de 2019, relativo à fiscalização do mercado e à conformidade dos produtos e que altera a Diretiva 2004/42/CE e os Regulamentos (CE) n.º 765/2008 e (UE) n.º 305/2011 (Texto relevante para efeitos do EEE) [PE/45/2019/REV/1]. JO L 169 de 25.6.2019, p. 1-44.
Considerandos (1) a (68),
ADOTARAM O PRESENTE REGULAMENTO:
CAPÍTULO I
DISPOSIÇÕES GERAIS
Artigo 1.º
Objeto
1. O objetivo do presente regulamento consiste em melhorar o funcionamento do mercado interno através do reforço da fiscalização do mercado dos produtos abrangidos pela legislação de harmonização da União a que se refere o artigo 2.º, a fim de garantir que só sejam disponibilizados no mercado da União os produtos que cumprem os requisitos que asseguram um elevado nível de proteção do interesse público em domínios como a saúde e a segurança em geral, a saúde e segurança no local de trabalho, a defesa do consumidor, a proteção do ambiente, a segurança pública e quaisquer outros interesses públicos protegidos por essa legislação.
2. O presente regulamento estabelece regras e procedimentos para os operadores económicos no que respeita aos produtos sujeitos a determinada legislação de harmonização da União e estabelece um quadro para a cooperação com os operadores económicos.
3. O presente regulamento estabelece também um quadro para os controlos dos produtos que entram no mercado da União.
Artigo 2.º
Âmbito de aplicação
1. O presente regulamento é aplicável aos produtos sujeitos à legislação de harmonização da União enunciada no anexo I (a seguir designada «legislação de harmonização da União»), na medida em que não existam, na legislação de harmonização da União, disposições especiais com o mesmo objetivo que regem de forma mais precisa determinados aspetos da fiscalização do mercado e da aplicação da lei.
2. Os artigos 25.ºa 28.ºsó são aplicáveis aos produtos abrangidos pelo direito da União na medida em que não existam disposições especiais no direito da União em matéria de organização de controlos dos produtos que entram no mercado da União.
3. A aplicação do presente regulamento não obsta a que as autoridades de fiscalização do mercado adotem medidas mais específicas nos termos da Diretiva 2001/95/CE.
4. O presente regulamento não prejudica a aplicação dos artigos 12.ºa 15.ºda Diretiva 2000/31/CE.
Artigo 44.º
Entrada em vigor e aplicação
O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicaçãoJornal Oficial da União Europeia.
O presente regulamento é aplicável a partir de 16 de julho de 2021. No entanto, os artigos 29.º, 30.º, 31.º, 32.º, 33.ºe 36.ºsão aplicáveis a partir de 1 de janeiro de 2021.
O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
ANEXO I
Lista da legislação de harmonização da União
ANEXO II
Lista da legislação de harmonização da União sem disposições relativas às sanções
ANEXO III
Tabela de correspondência
Regulamento (CE) n.º 765/2008 | Presente regulamento
(6) Joint Interpretation Library: Minimum ITSEF Requirements for Security Evaluations of Smart cards and similar devices (não traduzido para português), versão 2.1 de fevereiro de 2020, disponível em sogis.eu.
(7) Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (Texto relevante para efeitos do EEE) [PE/32/2022/REV/2]. JO L 333 de 27.12.2022, p. 80-152.
______________________________________________________
BIBLIOTECA DA ORDEM DOS ADVOGADOS
Catálogo da Biblioteca | boa@cg.oa.pt | Informação Jurídica
2024-02-07 / 12:02