(1)

As redes e os sistemas de informação e as redes e os serviços de comunicações eletrónicas desempenham um papel crucial na sociedade e tornaram-se a espinha dorsal do crescimento económico. As tecnologias da informação e comunicação (TIC) estão na base de sistemas complexos que apoiam as atividades sociais quotidianas, asseguram o funcionamento das nossas economias em setores determinantes como a saúde, a energia, as finanças e os transportes e apoiam, em especial, o funcionamento do mercado interno.

(2)

A utilização de redes e sistemas de informação por cidadãos, organizações e empresas da União é agora generalizada. A digitalização e a conectividade estão a tornar-se características centrais num número cada vez maior de produtos e serviços e, com o surgimento da Internet das coisas (IdC), espera-se que um número extremamente elevado de dispositivos digitais conectados seja implantado em toda a União durante a próxima década. Embora haja cada vez mais dispositivos conectados à Internet, a segurança e a resiliência não são suficientemente integradas na conceção, o que conduz a uma insuficiência a nível da cibersegurança. Nesse contexto, a utilização reduzida da certificação conduz à insuficiência da informação ao dispor dos utilizadores, sejam estes particulares, organizações ou empresas, sobre as características de cibersegurança dos produtos, serviços e processos de TIC, o que compromete a confiança nas soluções digitais. As redes e os sistemas de informação têm capacidade para apoiar todos os aspetos das nossas vidas e impulsionar o crescimento económico da União, constituindo a pedra angular da realização do mercado único digital.

(3)

A digitalização e conectividade crescentes acarretam maiores riscos para a cibersegurança, tornando, assim, a sociedade em geral mais vulnerável a ciberameaças e agravando os perigos que as pessoas enfrentam, nomeadamente as pessoas vulneráveis como as crianças. A fim de reduzir esses riscos, têm de ser adotadas todas as medidas necessárias para aumentar a cibersegurança na União de modo a que as redes e os sistemas de informação, as redes de comunicações e os produtos, serviços e dispositivos digitais utilizados pelos cidadãos, organizações e empresas — desde as pequenas e médias empresas (PME) na aceção da Recomendação 2003/361/CE da Comissão (4) aos operadores de infraestruturas críticas — estejam melhor protegidos das ciberameaças.

(4)

Ao disponibilizar ao público as informações relevantes, a Agência da União Europeia para a Segurança das Redes e da Informação (ENISA), criada pelo Regulamento (UE) n.o 526/2013 do Parlamento Europeu e do Conselho (5) contribui para o desenvolvimento da indústria da cibersegurança na União, em especial as PME e as empresas em fase de arranque. A ENISA deverá envidar esforços no sentido de uma cooperação mais estreita com as universidades e os organismos de investigação, a fim de contribuir para reduzir a dependência de produtos e serviços de cibersegurança de fora da União e para reforçar as cadeias de abastecimento no interior da União.

(5)

Os ciberataques aumentam e as economias e sociedades conectadas, mais vulneráveis a ciberameaças e ciberataques, requerem defesas mais robustas. No entanto, apesar de os ciberataques terem amiúde uma natureza transfronteiriça, a competência das autoridades responsáveis pela cibersegurança e pelo controlo da aplicação da lei é predominantemente nacional, bem como as ações por estas adotadas. Os incidentes em grande escala são suscetíveis de perturbar a prestação de serviços essenciais na União. Esta realidade implica uma atuação e gestão de crises efetiva e coordenada a nível da União, com base em políticas específicas e instrumentos mais abrangentes para a solidariedade e a assistência mútua a nível europeu. Além disso, é importante para os decisores políticos, para a indústria e os utilizadores que se proceda a uma avaliação regular da situação em matéria de cibersegurança e de resiliência na União, com base em dados fiáveis da União, bem como a previsões sistemáticas da evolução, dos desafios e das ameaças futuras, tanto a nível da União como a nível mundial.

(6)

Atendendo aos desafios de cibersegurança cada vez maiores que a União enfrenta, afigura-se necessário um conjunto abrangente de medidas que tenha por base ações anteriores da União e que promova objetivos que se reforcem mutuamente. Entre estes contam-se o reforço das capacidades e do grau de preparação dos Estados-Membros e das empresas, bem como melhorar a cooperação, o intercâmbio de informações e a coordenação entre Estados-Membros e instituições, órgãos e organismos da União. Além disso, atendendo à natureza transfronteiriça das ciberameaças, é necessário aumentar a nível da União as capacidades suscetíveis de complementar a ação dos Estados-Membros, designadamente em casos de crises e incidentes transfronteiriços em grande escala, tendo simultaneamente em conta a importância de manter e reforçar as capacidades nacionais de resposta a ciberameaças de qualquer escala.

(7)

São também necessários mais esforços para aumentar a sensibilização dos cidadãos, das organizações e das empresas para as questões da cibersegurança. Além disso, dado que os incidentes comprometem a confiança, nomeadamente dos consumidores, nos prestadores de serviços digitais e no próprio mercado único digital, é necessário continuar a reforçar a confiança mediante a disponibilização de informações de forma transparente sobre o nível de segurança dos produtos, processos e serviços de TIC, realçando que mesmo um nível elevado de certificação da cibersegurança não consegue garantir a total segurança de um produto, serviço ou processo de TIC. O aumento da confiança pode ser mais facilmente alcançado por meio de uma certificação a nível da União que preveja requisitos de cibersegurança e critérios de avaliação comuns nos mercados e setores nacionais.

(8)

A cibersegurança não é só uma questão relacionada com a tecnologia; o comportamento humano é igualmente importante. Por conseguinte, dever-se-á promover ativamente aquilo que se entente por «ciber-higiene», ou seja, medidas simples de rotina que, quando implementadas e aplicadas com regularidade pelos cidadãos, as organizações e as empresas, minimizam a sua exposição aos riscos decorrentes de ciberameaças.

(9)

No intuito de reforçar as estruturas de cibersegurança da União, é importante manter e desenvolver as capacidades dos Estados-Membros para responder de forma exaustiva às ciberameaças, incluindo os incidentes transfronteiriços.

(10)

As empresas e os consumidores particulares deverão dispor de informações exatas sobre o nível de garantia para o qual foi certificada a segurança dos seus produtos, serviços e processos de TIC. Ao mesmo tempo, nenhum produto ou serviço de TIC é totalmente ciberseguro e é necessário promover e dar prioridade a regras básicas de ciber-higiene. Dada a crescente disponibilidade de dispositivos da IdC, há uma gama de medidas voluntárias que o setor privado pode tomar para reforçar a confiança na segurança dos produtos, serviços e processos de TIC.

(11)

Os produtos e sistemas de TIC modernos integram e baseiam-se muitas vezes numa ou em mais tecnologias e componentes de terceiros, tais como módulos ou bibliotecas de programas informáticos ou interfaces de programação de aplicações. Esta situação, que se designa por «dependência», poderá acarretar riscos adicionais para a cibersegurança, uma vez que as vulnerabilidades existentes em componentes de terceiros também poderão afetar a segurança dos produtos, serviços e processos de TIC. Em muitos casos, a identificação e a documentação dessas dependências permite que os utilizadores finais dos produtos, serviços e processos de TIC aperfeiçoem as suas atividades de gestão dos riscos para a cibersegurança, reforçando, por exemplo, a gestão das vulnerabilidades de cibersegurança dos utilizadores, assim como os procedimentos de correção.

(12)

As organizações, os fabricantes ou os prestadores de serviços envolvidos na conceção e no desenvolvimento de produtos, serviços ou processos de TIC deverão ser incentivados a tomar medidas, nas fases iniciais de conceção e desenvolvimento, para proteger a segurança desses produtos, serviços e processos ao nível mais elevado possível, de uma tal forma que se presuma a ocorrência de ciberataques e que se preveja e minimize o seu impacto («segurança desde a conceção»). É necessário garantir a segurança ao longo da vida útil dos produtos, serviços ou processos de TIC, através de processos de conceção e desenvolvimento em evolução constante de modo a reduzir os prejuízos causados por exploração maliciosa.

(13)

As empresas, as organizações e o setor público deverão configurar os produtos, serviços ou processos de TIC por eles concebidos de forma a garantir um nível mais elevado de segurança, o que deverá assegurar que o primeiro utilizador disponha de uma configuração por defeito com definições da mais elevada segurança possível («segurança por defeito»), reduzindo assim o ónus que impende sobre os utilizadores de configurarem os produtos, serviços ou processo de TIC de forma adequada. A segurança por defeito não deverá exigir uma configuração extensa, nem conhecimentos técnicos específicos ou comportamentos não intuitivos da parte do utilizador e deverá permitir um funcionamento fácil e fiável quando implementada. Se, numa base caso a caso, em função de uma análise de risco e da facilidade de utilização, se concluir que uma tal definição por defeito não é viável, os utilizadores deverão ser alertados para optarem pela definição mais segura.

(14)

O Regulamento (CE) n.o 460/2004 do Parlamento Europeu e do Conselho (6) criou a ENISA, a fim de contribuir para a consecução dos objetivos de garantir um nível elevado e eficaz de segurança das redes e da informação na União e de desenvolver uma cultura de segurança das redes e da informação em benefício dos cidadãos, dos consumidores, das empresas e das administrações públicas. O Regulamento (CE) n.o 1007/2008 do Parlamento Europeu e do Conselho (7) prorrogou o mandato da ENISA até março de 2012. O Regulamento (UE) n.o 580/2011 do Parlamento Europeu e do Conselho (8) prorrogou novamente o mandato da Agência até 13 de setembro de 2013. O Regulamento (UE) n.o 526/2013 prorrogou o mandato da ENISA até 19 de junho de 2020.

(15)

A União já tomou medidas importantes para garantir a cibersegurança e reforçar a confiança nas tecnologias digitais. Em 2013, foi adotada a Estratégia da União Europeia para a Cibersegurança, a fim de orientar a resposta política da União às ciberameaças e aos riscos para a cibersegurança. Num esforço para melhor proteger os cidadãos em linha, a União adotou o primeiro ato legislativo no domínio da cibersegurança em 2016: a Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho (9). A Diretiva (UE) 2016/1148 estabeleceu requisitos relativos às capacidades nacionais no domínio da cibersegurança, criou os primeiros mecanismos para reforçar a cooperação estratégica e operacional entre os Estados-Membros e impôs obrigações relativas às medidas de segurança e notificações de incidentes nos setores que são vitais para a economia e a sociedade, tais como a energia, os transportes, o fornecimento e a distribuição de água potável, a banca, as infraestruturas do mercado financeiro, os cuidados de saúde, as infraestruturas digitais, bem como os prestadores de serviços digitais essenciais (motores de busca, serviços de computação em nuvem e mercados em linha).

Foi atribuída à ENISA uma função importante de apoio à execução da referida diretiva. Além disso, a luta eficaz contra a cibercriminalidade constitui uma prioridade importante da Agenda Europeia para a Segurança, o que contribui para o objetivo geral de alcançar um elevado nível de cibersegurança. Há ainda outros atos jurídicos, como o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho (10) e as Diretivas 2002/58/CE (11) e (UE) 2018/1972 (12) do Parlamento Europeu e do Conselho, que também contribuem para um elevado nível de cibersegurança no mercado único digital.

(16)

Desde a adoção da Estratégia da União Europeia para a Cibersegurança, de 2013, e da última revisão do mandato da ENISA, o contexto geral de ação política alterou-se significativamente, uma vez que o ambiente mundial se tornou mais incerto e menos seguro. Com este pano de fundo e no contexto da evolução positiva da função da ENISA como ponto de referência em matéria de aconselhamento e conhecimentos especializados e como facilitadora da cooperação e do desenvolvimento de capacidades, assim como no âmbito da nova política de cibersegurança da União, é necessário rever o mandato da ENISA para estabelecer o seu papel no ecossistema alterado de cibersegurança e assegurar que contribua eficazmente para a resposta da União aos desafios de cibersegurança decorrentes do cenário de ciberameaça radicalmente transformado, para o qual, conforme se reconheceu durante a avaliação da própria ENISA, o mandato atual não é suficiente.

(17)

A ENISA criada pelo presente regulamento deverá suceder à ENISA criada pelo Regulamento (UE) n.o 526/2013. A ENISA deverá exercer as atribuições que lhe são conferidas pelo presente regulamento e pelos outros atos jurídicos da União no domínio da cibersegurança, nomeadamente disponibilizando aconselhamento e conhecimentos especializados e funcionando como um centro de informação e de conhecimentos da União. A ENISA deverá promover o intercâmbio de melhores práticas entre os Estados-Membros e as partes interessadas do setor privado, apresentando à Comissão e aos Estados-Membros sugestões de ação política, atuando como um ponto de referência para as iniciativas de política setorial da União no tocante às questões de cibersegurança e promovendo a cooperação operacional entre os Estados-Membros e entre os Estados-Membros e as instituições, órgãos e organismos da União.

(18)

No âmbito da Decisão 2004/97/CE, Euratom, tomada de comum acordo entre os representantes dos Estados-Membros reunidos a nível de Chefes de Estados ou de Governo (13), os representantes dos Estados-Membros decidiram que a ENISA ficaria sediada numa cidade da Grécia, a determinar pelo Governo grego. O Estado-Membro de acolhimento da ENISA deverá assegurar as melhores condições possíveis para o funcionamento normal e eficiente da ENISA. Para poder exercer correta e eficientemente as suas atribuições, recrutar e fixar o seu pessoal e aumentar a eficiência das suas atividades de rede, é indispensável que a ENISA esteja sediada num local adequado que ofereça, nomeadamente, ligações de transporte e serviços adequados aos cônjuges e filhos dos membros do seu pessoal. As disposições necessárias deverão ser estabelecidas num acordo entre a ENISA e o Estado-Membro de acolhimento, celebrado após aprovação do conselho de administração da ENISA.

(19)

Atendendo ao aumento dos riscos e desafios de cibersegurança que a União enfrenta, haverá que aumentar os recursos financeiros e humanos atribuídos à ENISA para refletir o reforço do seu papel e das suas atribuições, bem como a sua posição crucial no sistema das organizações que defendem o ecossistema digital da União, permitindo-lhe exercer com eficácia as atribuições que lhe são conferidas pelo presente regulamento.

(20)

A ENISA deverá desenvolver e manter um elevado nível de conhecimentos especializados e servir de ponto de referência que instaure a confiança no mercado único graças à sua independência, à qualidade do aconselhamento prestado, à qualidade das informações que divulga, à transparência dos seus procedimentos, à transparência dos seus métodos de funcionamento e à sua diligência no exercício das suas atribuições. A ENISA deverá apoiar ativamente os esforços nacionais e contribuir de forma proativa para os esforços da União, exercendo simultaneamente as suas atribuições em plena cooperação com as instituições, os órgãos e os organismos da União e com os Estados-Membros, evitando a duplicação de esforços e promovendo as sinergias. Além disso, a ENISA deverá tirar partido da cooperação com o setor privado e outras partes interessadas e dos seus contributos. Um conjunto de atribuições deverá determinar o modo como a ENISA deverá atingir os seus objetivos, permitindo-lhe ao mesmo tempo flexibilidade de funcionamento.

(21)

A fim de poder prestar um apoio adequado à cooperação operacional entre os Estados-Membros, a ENISA deverá reforçar ainda mais as suas próprias capacidades e competências a nível técnico e humano. A ENISA deverá aumentar os seus conhecimentos especializados e as suas capacidades. A ENISA e os Estados-Membros poderão, a título voluntário, desenvolver programas de destacamento de peritos nacionais para a ENISA, criando grupos de peritos e fomentando o intercâmbio de pessoal.

(22)

A ENISA deverá prestar assistência à Comissão por meio de aconselhamento, da formulação de pareceres e da realização de análises sobre todas as matérias da competência da União relacionadas com a elaboração, atualização e revisão das políticas e da legislação no domínio da cibersegurança e dos respetivos aspetos setoriais específicos, a fim de aumentar a pertinência das políticas e da legislação da União com uma vertente de cibersegurança e de permitir a aplicação coerente dessas políticas e dessa legislação. A ENISA deverá atuar como um ponto de referência de aconselhamento e conhecimentos especializados para iniciativas políticas e legislativas que envolvam questões relacionadas com a cibersegurança. A ENISA deverá informar regularmente o Parlamento Europeu sobre as suas atividades.

(23)

O núcleo público da internet aberta, ou seja, os seus principais protocolos e infraestruturas, que são um bem público mundial, assegura a principal funcionalidade da internet no seu conjunto e serve de base ao seu funcionamento normal. A ENISA deverá apoiar a segurança do núcleo público da internet aberta e a estabilidade do seu funcionamento, incluindo, entre outros, os protocolos essenciais (nomeadamente, DNS, BGP e IPv6), o funcionamento do sistema de nomes de domínio (tal como o funcionamento de todos os domínios de topo) e o funcionamento da zona de raiz.

(24)

A atribuição de base da ENISA é promover a aplicação coerente do regime jurídico aplicável, nomeadamente a execução eficaz da Diretiva (UE) 2016/1148 e de outros instrumentos jurídicos aplicáveis que contenham elementos de cibersegurança, o que é essencial para aumentar a ciber-resiliência. Atendendo à rápida evolução do cenário de ciberameaça, é evidente que os Estados-Membros devem ser apoiados através de uma abordagem mais abrangente e transversal em matéria de ação política para reforçar a ciber-resiliência.

(25)

A ENISA deverá prestar assistência aos Estados-Membros e às instituições, órgãos e organismos da União nos seus esforços para criar e reforçar as capacidades e o grau de preparação para prevenir, detetar e responder a ciberameaças e incidentes de cibersegurança e em relação à segurança das redes e dos sistemas de informação. Concretamente, a ENISA deverá apoiar o desenvolvimento e o reforço da equipa de resposta a incidentes de segurança informática (CSIRT) nacionais e da União, previstas na Diretiva (UE) 2016/1148 a fim de que estas atinjam um elevado nível comum de maturidade na União. As atividades exercidas pela ENISA que se relacionem com as capacidades operacionais dos Estados-Membros deverão apoiar ativamente as medidas por estes adotadas para dar cumprimento às obrigações que lhes incumbem por força da Diretiva (UE) 2016/1148, não devendo, pois, substituí-las.

(26)

A ENISA deverá igualmente prestar assistência no desenvolvimento e na atualização, a nível da União e, a pedido, dos Estados-Membros, de estratégias de segurança das redes e dos sistemas de informação, nomeadamente de cibersegurança, e deverá promover a divulgação dessas estratégias e acompanhar os progressos realizados na sua execução. A ENISA deverá também contribuir para dar resposta às necessidades de formação e de material de formação, inclusive dos organismos públicos, e, se se justificar, em grande medida, para «formar os formadores» com base no Quadro de Competências Digitais para os Cidadãos, no intuito de assistir os Estados-Membros e as instituições, os órgãos e organismos da União no desenvolvimento das suas próprias capacidades de formação.

(27)

A ENISA deverá apoiar os Estados-Membros nos domínios da sensibilização e da educação para a cibersegurança, facilitando o reforço da coordenação e o intercâmbio das melhores práticas entre os Estados-Membros. Esse apoio poderá consistir, nomeadamente, no desenvolvimento de uma rede de pontos de contacto nacionais em matéria de educação e de uma plataforma de formação em matéria de cibersegurança. A rede de pontos de contacto nacionais em matéria de educação poderá funcionar dentro da rede de agentes de ligação nacionais e servir de ponto de partida para a futura coordenação no interior dos Estados-Membros.

(28)

A ENISA deverá assistir o grupo de cooperação criado pela Diretiva (UE) 2016/1148 no exercício das suas atribuições, em especial fornecendo conhecimentos especializados e aconselhamento e facilitando o intercâmbio das melhores práticas, referentes, entre outros, à identificação dos operadores de serviços essenciais pelos Estados-Membros, incluindo quanto a dependências transfronteiriças, no que respeita a riscos e incidentes.

(29)

Com vista a estimular a cooperação entre o setor público e privado e dentro do setor privado, nomeadamente para apoiar a defesa de infraestruturas críticas, a ENISA deverá apoiar a partilha de informações dentro dos diferentes setores e entre eles, em particular setores enumerados no anexo II da Diretiva (UE) 2016/1148, divulgando as melhores práticas e orientações sobre os instrumentos e os procedimentos disponíveis, bem como prestando orientações sobre a forma de abordar questões regulamentares relativas à partilha de informações, designadamente facilitando a criação de centros de partilha e análise de informações a nível setorial.

(30)

Uma vez que aumenta constantemente o potencial impacto negativo das vulnerabilidades dos produtos, serviços e processos de TIC, a deteção e correção dessas vulnerabilidades é importante para reduzir o risco global de cibersegurança. Está demonstrado que a cooperação entre as organizações, os fabricantes de produtos de TIC vulneráveis, os prestadores de serviços de TIC vulneráveis e os fornecedores de processos de TIC vulneráveis e os membros da comunidade de investigação no domínio da cibersegurança, bem como os governos que detetam tais vulnerabilidades contribui significativamente para o aumento das taxas de deteção e de correção das vulnerabilidades em produtos, serviços e processos de TIC. A divulgação coordenada das vulnerabilidades consiste num processo estruturado de cooperação em que as vulnerabilidades são comunicadas ao proprietário do sistema de informação, dando a essa organização a oportunidade de diagnosticar e corrigir as vulnerabilidades antes de serem divulgadas a terceiros ou ao público informações pormenorizadas sobre essas vulnerabilidades. O processo prevê igualmente a coordenação entre a entidade que deteta as vulnerabilidades e a organização, no que diz respeito à publicação dessas vulnerabilidades. A existência de processos de gestão da divulgação coordenada das vulnerabilidades pode desempenhar um papel importante nos esforços dos Estados-Membros para reforçar a cibersegurança.

(31)

A ENISA deverá agregar e analisar relatórios nacionais partilhados a título voluntário das CSIRT e da equipa de resposta a emergências informáticas para as instituições, órgãos e organismos da UE, criada pelo Acordo entre o Parlamento Europeu, o Conselho Europeu, o Conselho da União Europeia, a Comissão Europeia, o Tribunal de Justiça da União Europeia, o Banco Central Europeu, o Tribunal de Contas Europeu, o Serviço Europeu para a Ação Externa, o Comité Económico e Social Europeu, o Comité das Regiões Europeu e o Banco Europeu de Investimento sobre a organização e o funcionamento de uma equipa de resposta a emergências informáticas das instituições, órgãos e organismos da União (CERT-UE) (14) com o objetivo de contribuir para criar procedimentos, linguagem e terminologia comuns para o intercâmbio de informações. Nesse contexto, a ENISA deverá envolver o setor privado, no âmbito da Diretiva (UE) 2016/1148 que estabelece os fundamentos para o intercâmbio voluntário de informações técnicas a nível operacional no âmbito da rede de equipas de resposta a incidentes de segurança informática («rede de CSIRT») criada pela referida diretiva.

(32)

A Agência deverá contribuir para uma resposta a nível da União, em caso de crise e incidentes transfronteiriços em grande escala relacionados com a cibersegurança. Esta atribuição deverá ser exercida de acordo com o mandato da ENISA, nos termos do presente regulamento, e segundo uma abordagem a ser definida pelos Estados-Membros no contexto da Recomendação (UE) 2017/1584 da Comissão (15) e das Conclusões do Conselho de 26 de junho de 2018 sobre a resposta coordenada da União a incidentes e crises de cibersegurança de grande escala. Essa atribuição poderá abranger a recolha de informações relevantes e a atividade de facilitação entre a rede de CSIRT, a comunidade técnica e os decisores políticos responsáveis pela gestão de crises. Além disso, a ENISA deverá apoiar a cooperação operacional entre os Estados-Membros, a pedido de um ou mais Estados-Membros, no tratamento de incidentes de uma perspetiva técnica, através da facilitação do intercâmbio de soluções técnicas pertinentes entre Estados-Membros e de contribuições para a comunicação com o público. A ENISA deverá apoiar a cooperação operacional testando modalidades dessa cooperação por meio de exercícios regulares de cibersegurança.

(33)

Ao prestar apoio à cooperação operacional, a ENISA deverá recorrer aos conhecimentos especializados de natureza técnica e operacional da CERT-UE mediante uma cooperação estruturada. Essa cooperação estruturada poderá basear-se nos conhecimentos especializados da ENISA. Sempre que pertinente, deverão ser acordadas entre as duas organizações as disposições adequadas para definir o modo de pôr em prática essa cooperação e evitar a duplicação de atividades.

(34)

Em consonância com a sua atribuição de prestar apoio à cooperação operacional no âmbito da rede de CSIRT, a ENISA deverá estar apta a prestar apoio aos Estados-Membros, a pedido destes, nomeadamente aconselhando-os sobre a forma de reforçarem as suas capacidades de prevenção, deteção e resposta a incidentes, facilitando o tratamento técnico de incidentes com um impacto significativo ou substancial ou assegurando a análise de ciberameaças e incidentes. A ENISA deverá facilitar o tratamento técnico de incidentes com um impacto significativo ou substancial, em particular, apoiando a partilha voluntária de soluções técnicas entre os Estados-Membros ou produzindo informações técnicas combinadas, designadamente soluções técnicas partilhadas pelos Estados-Membros a título voluntário. A Recomendação (UE) 2017/1584 recomenda que os Estados-Membros cooperem de boa-fé e partilhem entre si e com a ENISA, sem atrasos injustificados, informações sobre incidentes e crises em grande escala relacionados com a cibersegurança. Essas informações deveriam ajudar a ENISA no exercício das suas atribuições de apoio à cooperação operacional.

(35)

Como parte da cooperação regular a nível técnico para apoiar o conhecimento da situação na União, a ENISA deverá, em estreita colaboração com os Estados-Membros, elaborar regularmente um relatório aprofundado sobre a situação técnica da cibersegurança na União quanto a incidentes e ciberameaças, baseando-se em informações publicamente disponíveis, nas suas próprias análises e em relatórios com ela partilhados pelas CSIRT dos Estados-Membros ou pelos pontos de contacto únicos nacionais para a segurança das redes e dos sistemas de informação (a seguir designados «ponto de contacto único») previstos na Diretiva (UE) 2016/1148, ambos numa base voluntária, pelo Centro Europeu da Cibercriminalidade (EC3) da Europol, pela CERT-UE e, se pertinente, pelo Centro de Situação e de Informações da UE (INTCEN) do Serviço Europeu para a Ação Externa. O referido relatório deverá ser disponibilizado ao Conselho, à Comissão, ao Alto Representante da União para os Negócios Estrangeiros e a Política de Segurança e à rede de CSIRT.

(36)

O apoio prestado pela ENISA, a pedido dos Estados-Membros em causa, em inquéritos técnicos ex post a incidentes com impacto significativo ou substancial deverá concentrar-se na prevenção de futuros incidentes. Os Estados-Membros em causa deverão fornecer as informações e a assistência necessárias para que a ENISA possa apoiar eficazmente o inquérito técnico ex post.

(37)

Os Estados-Membros poderão convidar as empresas afetadas pelo incidente a cooperarem mediante o fornecimento das informações e da assistência necessárias à ENISA, sem prejuízo do seu direito de protegerem as informações comercialmente sensíveis e as informações relevantes para a segurança pública.

(38)

Para compreender melhor os desafios no domínio da cibersegurança, e com vista a prestar aconselhamento estratégico de longo prazo aos Estados-Membros e às instituições, aos órgãos e organismos da União, a ENISA necessita de analisar os riscos atuais e emergentes para a cibersegurança. Para o efeito, a ENISA deverá, em cooperação com os Estados-Membros e, se pertinente, com institutos de estatística e outros organismos, recolher informações relevantes publicamente disponíveis ou partilhadas a título voluntário, analisar tecnologias emergentes e fornecer avaliações dos tópicos específicos sobre o possível impacto societal, jurídico, económico e regulamentar das inovações tecnológicas sobre a segurança das redes e da informação, nomeadamente sobre a cibersegurança. Além disso, a ENISA deverá apoiar os Estados-Membros e as instituições, órgãos e organismos da União na identificação dos riscos emergentes para a cibersegurança e na prevenção dos incidentes, mediante a análise das ciberameaças, das vulnerabilidades e dos incidentes.

(39)

A fim de aumentar a resiliência da União, a ENISA deverá desenvolver conhecimentos especializados no domínio da cibersegurança das infraestruturas, designadamente, em apoio dos setores enumerados no anexo II da Diretiva (UE) 2016/1148 e das infraestruturas que são utilizadas pelos prestadores dos serviços digitais enumerados no anexo III da mesma diretiva, prestando aconselhamento, emitindo orientações e procedendo ao intercâmbio das melhores práticas. Com vista a assegurar um acesso mais fácil a informações mais bem estruturadas sobre os riscos para a cibersegurança e as eventuais soluções, a ENISA deverá desenvolver e manter o «polo de informação» da União, um portal único que preste ao público informações sobre cibersegurança provenientes das instituições, dos órgãos e dos organismos da União e nacionais. Facilitar o acesso a informações mais bem estruturadas sobre os riscos para a cibersegurança e as eventuais soluções também pode ajudar os Estados-Membros a reforçar as suas capacidades e alinhar as suas práticas, aumentando, assim, a sua resiliência geral aos ciberataques.

(40)

A ENISA deverá contribuir para a sensibilização do público para os riscos para a cibersegurança, incluindo através de uma campanha de sensibilização a nível da União promovendo a educação, e deverá fornecer orientações destinadas aos cidadãos, às organizações e às empresas sobre as boas práticas para utilizadores individuais. A ENISA deverá também contribuir para promover as melhores práticas e soluções, incluindo a ciber-higiene e a ciberliteracia, a nível dos cidadãos, organizações e empresas, recolhendo e analisando informações publicamente disponíveis relativas a incidentes importantes e coligindo e publicando relatórios e orientações destinados aos cidadãos, às organizações e às empresas, a fim de a melhorar o seu nível geral de preparação e resiliência. A ENISA deverá igualmente procurar prestar aos consumidores informações pertinentes sobre os sistemas de certificação aplicáveis, por exemplo, emitindo orientações e recomendações. Além disso, a ENISA deverá organizar, em conformidade com o Plano de Ação para a Educação Digital criado pela Comunicação da Comissão de 17 de janeiro de 2018, e em cooperação com os Estados-Membros e as instituições, órgãos e organismos da União, ações de sensibilização e campanhas públicas de informação regulares destinadas aos utilizadores finais, a fim de promover comportamentos individuais em linha mais seguros e a literacia digital, de sensibilizar para as potenciais ciberameaças, incluindo atividades criminosas em linha, como os ataques de mistificação da interface (phishing), as redes de computadores infetados (botnets), as fraudes financeiras e bancárias e a falsificação de dados, e de prestar aconselhamento básico, sobre a autenticação multifatores, o patching, a cifragem, a anonimização e a proteção de dados.

(41)

A ENISA deverá desempenhar um papel central na rápida sensibilização dos utilizadores finais para a segurança dos dispositivos e para uma utilização segura dos serviços, e deverá promover, a nível da União, a segurança desde a conceção e a privacidade desde a conceção. Na consecução deste objetivo, a ENISA deverá recorrer às melhores práticas e experiências disponíveis, especialmente de instituições académicas e investigadores no domínio da segurança informática.

(42)

A fim de apoiar as empresas que operam no setor da cibersegurança, bem como os utilizadores de soluções de cibersegurança, a ENISA deverá desenvolver e manter um «observatório do mercado» mediante a realização de análises regulares e a divulgação das principais tendências no mercado da cibersegurança, tanto do lado da procura como da oferta.

(43)

A ENISA deverá contribuir para os esforços da União para cooperar com organizações internacionais, bem como no âmbito de quadros de cooperação internacional relevantes no domínio da cibersegurança. Em particular, a ENISA deverá, quando se justificar, contribuir para a cooperação com organizações como a OCDE, a OSCE e a OTAN. Tal cooperação poderá compreender exercícios conjuntos de cibersegurança e de coordenação da resposta a incidentes. Nesse contexto, haverá que assegurar o pleno respeito dos princípios da inclusividade, da reciprocidade e da autonomia de decisão da União, sem prejuízo do caráter específico da política de segurança e defesa de qualquer dos Estados-Membros.

(44)

A fim de assegurar a plena realização dos seus objetivos, a ENISA deverá estabelecer ligações com as autoridades de supervisão e outras autoridades competentes na União, as instituições, os órgãos e os organismos da União, incluindo a CERT-UE, o EC3, a Agência Europeia de Defesa (AED), a Agência do sistema global de navegação por satélite (Agência do GNSS Europeu), o Organismo de Reguladores Europeus das Comunicações Eletrónicas (ORECE), a Agência Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA), o Banco Central Europeu (BCE), a Autoridade Bancária Europeia (EBA), o Comité Europeu para a Proteção de Dados (CEPD), a Agência de Cooperação dos Reguladores da Energia (ACER), a Agência Europeia para a Segurança da Aviação (AESA) e qualquer outro organismo da União que esteja envolvido na cibersegurança. A ENISA deverá ainda estabelecer ligações com autoridades com responsabilidades no domínio da proteção de dados, a fim de partilhar conhecimentos especializados e melhores práticas e deverá prestar aconselhamento sobre os aspetos da cibersegurança suscetíveis de afetarem o trabalho dessas autoridades. Deverão poder participar no grupo consultivo da ENISA representantes das autoridades nacionais e da União encarregadas do controlo da aplicação da lei e da proteção de dados. Ao estabelecer ligações com as autoridades encarregadas do controlo da aplicação da lei sobre os aspetos de segurança das redes e da informação que possam afetar o seu trabalho, a ENISA deverá respeitar os canais de informação existentes e as redes estabelecidas.

(45)

Poderão ser estabelecidas parcerias com instituições académicas que desenvolvam iniciativas de investigação nos domínios relevantes, e os contributos das associações de consumidores e de outras organizações deverão dispor de canais adequados e ser tomados em consideração.

(46)

A ENISA, ao assegurar o serviço de secretariado da rede de CSIRT, deverá apoiar as CSIRT dos Estados-Membros e a CERT-UE na cooperação operacional no que se refere às atribuições relevantes da rede de CSIRT, referidas na Diretiva (UE) 2016/1148. Além disso, a ENISA deverá promover e apoiar a cooperação entre as CSIRT pertinentes em caso de incidentes, ataques ou perturbações nas redes ou infraestruturas por estas geridas ou protegidas e que impliquem, ou sejam capazes de implicar, pelo menos duas CSIRT, tendo simultaneamente na devida conta os procedimentos operacionais normalizados da rede de CSIRT.

(47)

Com vista a elevar o grau de preparação da União na resposta aos incidentes, a ENISA deverá organizar regularmente exercícios de cibersegurança a nível da União e, a seu pedido, apoiar os Estados-Membros e as instituições, os órgãos e os organismos da União na organização de tais exercícios. De dois em dois anos, deverão ser organizados exercícios abrangentes em grande escala, que incluam elementos técnicos, operacionais ou estratégicos. Além disso, a ENISA deverá poder organizar regularmente exercícios menos abrangentes com o mesmo objetivo de aumentar o grau de preparação da União para dar resposta a incidentes.

(48)

A ENISA deverá ainda desenvolver e manter os seus conhecimentos especializados em matéria de certificação da cibersegurança, com vista a apoiar a política da União neste domínio. A ENISA deverá basear-se nas melhores práticas existentes e promover a adoção da certificação da cibersegurança na União, nomeadamente contribuindo para a criação e manutenção de um enquadramento para a certificação da cibersegurança a nível da União (a seguir designado «enquadramento europeu para a certificação da cibersegurança») com vista a aumentar a transparência no que respeita à garantia da cibersegurança dos produtos, serviços e processos de TIC e, desta forma, reforçar a confiança e a competitividade no mercado interno digital.

(49)

As políticas de cibersegurança eficientes deverão basear-se em métodos bem desenvolvidos de avaliação dos riscos, tanto no setor público quanto no setor privado. Os métodos de avaliação dos riscos são utilizados a diferentes níveis, sem que exista uma prática comum para a sua aplicação eficiente. A promoção e o desenvolvimento de melhores práticas em matéria de avaliação dos riscos e de soluções interoperáveis de gestão de riscos nas organizações dos setores público e privado elevarão o nível de cibersegurança na União. Para esse efeito, a ENISA deverá apoiar a cooperação entre as partes interessadas a nível da União e facilitar os seus esforços no que respeita à criação e à aplicação de normas europeias e internacionais em matéria de gestão dos riscos e de segurança mensurável dos produtos, sistemas, redes e serviços eletrónicos que, juntamente com os suportes lógicos, constituem as redes e os sistemas de informação.

(50)

A ENISA deverá encorajar os Estados-Membros, os fabricantes de produtos de TIC, os prestadores de serviços de TIC e os fornecedores de processos de TIC a reforçarem as suas normas gerais de segurança, para que todos os utilizadores da internet possam tomar as medidas necessárias para assegurar a sua própria cibersegurança e deverão receber incentivos para tal. Concretamente, os fabricantes de produtos de TIC, os prestadores de serviços de TIC e os fornecedores de processos de TIC deverão assegurar as atualizações necessárias e recolher, retirar ou reciclar os produtos e os serviços ou processos de TIC que não cumpram as normas de cibersegurança, enquanto os importadores e distribuidores deverão assegurar que os produtos, os serviços e os processos de TIC que colocam no mercado da União cumpram os requisitos aplicáveis e não comportem riscos para os consumidores da União.

(51)

Em cooperação com as autoridades competentes, a ENISA deverá poder divulgar informações relativas ao nível de cibersegurança dos produtos, serviços e processos de TIC disponibilizados no mercado interno e emitir alertas que visem os fabricantes de produtos de TIC, os prestadores de serviços de TIC e os fornecedores de processos de TIC e solicitar-lhes que reforcem a segurança dos seus produtos, serviços e processos de TIC, incluindo a cibersegurança.

(52)

A ENISA deverá ter plenamente em conta as atividades de investigação, desenvolvimento e avaliação tecnológica em curso, em especial as realizadas pelas diversas iniciativas de investigação da União, a fim de aconselhar as instituições e os órgãos e organismos da União e, se se justificar, os Estados-Membros, a pedido destes, sobre as necessidades e prioridades de investigação no domínio da cibersegurança. A fim de identificar as necessidades e prioridades de investigação, a ENISA deverá igualmente consultar os grupos de utilizadores pertinentes. Mais especificamente, poderá estabelecer-se a cooperação com o Conselho Europeu de Investigação, o Instituto Europeu de Inovação e Tecnologia e o Instituto de Estudos de Segurança da União Europeia.

(53)

A ENISA deverá consultar com regularidade os organismos de normalização, em particular os organismos europeus de normalização, nomeadamente aquando da elaboração dos sistemas europeus de certificação da cibersegurança.

(54)

As ciberameaças constituem um problema mundial. É necessário reforçar a cooperação internacional a fim de aperfeiçoar as normas de cibersegurança, incluindo a necessidade de contar com a definição de normas comuns de comportamento e a adoção de códigos de conduta, a aplicação de normas internacionais e a partilha de informações, promovendo assim uma colaboração internacional mais célere na resposta aos problemas de segurança das redes e da informação, bem como uma abordagem global comum desses problemas. Para esse efeito, a ENISA deverá apoiar um maior envolvimento e cooperação da União com os países terceiros e com as organizações internacionais fornecendo, quando necessário, os conhecimentos especializados e as análises necessárias às instituições, órgãos e organismos competentes da União.

(55)

A ENISA deverá estar apta a responder a pedidos ad hoc de aconselhamento e assistência da parte dos Estados-Membros e das instituições, órgãos e organismos da União sobre matérias abrangidas pelo seu mandato.

(56)

É sensato e recomendável aplicar certos princípios relativos à governação da ENISA a fim de dar cumprimento à Declaração Comum e à Abordagem Comum acordadas em julho de 2012 pelo Grupo de Trabalho Interinstitucional sobre as agências descentralizadas da União, cujo objetivo consiste em racionalizar as atividades das agências descentralizadas e melhorar o seu desempenho. As recomendações constantes da Declaração Comum e da Abordagem Comum deverão também ser refletidas, conforme adequado, nos programas de trabalho, nas avaliações, na elaboração dos relatórios e nas práticas administrativas da ENISA.

(57)

O conselho de administração, composto por representantes dos Estados-Membros e da Comissão, deverá estabelecer a orientação geral das operações da ENISA e garantir que esta exerça as suas atribuições de acordo com o presente regulamento. O conselho de administração deverá ser dotado dos poderes necessários para elaborar o orçamento, verificar a sua execução, aprovar as regras financeiras adequadas, estabelecer procedimentos de trabalho transparentes para o processo decisório da ENISA, aprovar o documento único de programação da ENISA, aprovar o seu próprio regulamento interno, nomear o diretor executivo e decidir da prorrogação ou do termo do mandato deste último.

(58)

Para o funcionamento correto e eficaz da ENISA, a Comissão e os Estados-Membros deverão assegurar que as pessoas nomeadas para o conselho de administração tenham as competências profissionais especializadas e a experiência adequadas. A Comissão e os Estados-Membros deverão também procurar limitar a rotação dos seus representantes no conselho de administração, a fim de assegurar a continuidade do trabalho deste órgão.

(59)

O bom funcionamento da ENISA exige que o seu diretor executivo seja nomeado com base no mérito e em competências administrativas e de gestão documentadas, bem como na competência e experiência relevantes para a cibersegurança. As funções do diretor executivo deverão ser exercidas com total independência. O diretor executivo deverá preparar uma proposta de programa de trabalho anual da ENISA, após consulta à Comissão, e tomar todas as medidas necessárias para garantir a boa execução do programa de trabalho. O diretor executivo deverá preparar um relatório anual que cubra a execução do programa de trabalho anual da ENISA, a apresentar ao conselho de administração, elaborar um projeto de mapa previsional das receitas e despesas da ENISA e executar o orçamento. Além disso, o diretor executivo deverá ter a possibilidade de criar grupos de trabalho ad hoc para questões específicas, designadamente de natureza científica, técnica, legal ou socioeconómica. Em especial no que diz respeito à preparação de um projeto de sistema europeu de certificação da cibersegurança específico (a seguir designado «projeto de sistema»), é considerada necessária a criação de um grupo de trabalho ad hoc. O diretor executivo deverá assegurar que os membros dos grupos de trabalho ad hoc sejam selecionados segundo os mais elevados padrões de especialização, com o objetivo de assegurar o equilíbrio entre os géneros e uma representação equilibrada, em função das questões específicas em causa, entre as administrações públicas dos Estados-Membros, as instituições, os órgãos e organismos da União e o setor privado, incluindo empresas, utilizadores e académicos especializados em segurança das redes e da informação.

(60)

A comissão executiva deverá contribuir para o funcionamento eficaz do conselho de administração. No âmbito do seu trabalho preparatório relacionado com as decisões do conselho de administração, o conselho executivo deverá examinar pormenorizadamente as informações pertinentes, explorar as opções disponíveis e disponibilizar aconselhamento e soluções para preparar as decisões do conselho de administração.

(61)

A ENISA deverá dispor de um grupo consultivo da ENISA, como órgão consultivo, para assegurar o diálogo regular com o setor privado, com as associações de consumidores e com outras partes interessadas. O grupo consultivo da ENISA, criado pelo conselho de administração sob proposta do diretor executivo, deverá concentrar-se em questões pertinentes para as partes interessadas e submetê-las à apreciação da ENISA. Esse grupo consultivo deverá ser consultado particularmente no que diz respeito ao projeto de programa de trabalho anual da ENISA. A composição do grupo consultivo da ENISA e as atribuições que lhe são conferidas deverão assegurar uma representação suficiente das partes interessadas.

(62)

Deverá ser criado o grupo das partes interessadas para a certificação da cibersegurança a fim de ajudar a ENISA e a Comissão a facilitarem a consulta das partes interessadas. Esse grupo deverá ser constituído por membros que representem o setor numa proporção equilibrada, tanto do lado da procura como do lado da oferta de produtos e serviços de TIC, incluindo, em especial, as PME, os prestadores de serviços digitais, os organismos de normalização europeus e internacionais, os organismos nacionais de acreditação, as autoridades de supervisão da proteção de dados, e os organismos de avaliação da conformidade, de acordo com disposto no Regulamento (CE) n.o 765/2008 do Parlamento Europeu e do Conselho (16), e o meio académico, bem como as organizações de consumidores.

(63)

A ENISA deverá dispor de regras em matéria de prevenção e gestão de conflitos de interesses. A ENISA deverá igualmente aplicar as disposições relevantes da União sobre o acesso do público a documentos previstas no Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho (17). O tratamento de dados pessoais por parte da ENISA deverá estar sujeito ao disposto no Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho (18). A ENISA deverá respeitar as disposições aplicáveis às instituições, órgãos e organismos da União e a legislação nacional relativa ao tratamento de informações, nomeadamente de informações sensíveis não classificadas e de informações classificadas da União Europeia (ICUE).

(64)

A fim de assegurar a plena autonomia e independência da ENISA e de lhe permitir exercer atribuições adicionais, incluindo atribuições de emergência imprevistas, a ENISA deverá ser dotada de um orçamento autónomo suficiente cujas receitas provenham essencialmente de uma contribuição da União e de contribuições dos países terceiros que participem nos trabalhos da ENISA. É fundamental dispor de um orçamento adequado para garantir que a ENISA tenha capacidade suficiente para exercer cabalmente as suas crescentes atribuições e atingir os seus objetivos. A maior parte do pessoal da ENISA deverá estar diretamente implicada na execução operacional do mandato da Agência. O Estado-Membro de acolhimento, e qualquer outro Estado-Membro, deverá poder contribuir voluntariamente para as receitas da ENISA. O procedimento orçamental da União deverá permanecer aplicável no que diz respeito a todas as subvenções imputadas ao orçamento geral da União. Além disso, o Tribunal de Contas deverá proceder à auditoria das contas da ENISA, a fim de assegurar a transparência e a responsabilização.

(65)

A certificação da cibersegurança desempenha um papel importante no aumento da confiança e segurança dos produtos, serviços e processos de TIC. O mercado único digital e, em especial, a economia dos dados e a IdC, apenas pode prosperar se houver uma confiança pública generalizada em que esses produtos, serviços e processos forneçam um determinado nível de cibersegurança. Os automóveis conectados e automatizados, os dispositivos médicos eletrónicos, os sistemas de controlo da automação industrial ou as redes inteligentes são apenas alguns exemplos de setores nos quais a certificação é já amplamente utilizada ou suscetível de o vir a ser no futuro próximo. Os setores regulados pela Diretiva (UE) 2016/1148 são também setores nos quais a certificação da cibersegurança é crucial.

(66)

Na comunicação de 2016 intitulada «Reforçar o sistema de ciber-resiliência da Europa e promover uma indústria de cibersegurança competitiva e inovadora», a Comissão salientou a necessidade de se dispor de produtos e soluções de cibersegurança de elevada qualidade, a preços acessíveis e interoperáveis. O fornecimento de produtos, serviços e processos de TIC no mercado único continua a ser geograficamente muito fragmentado. Esta circunstância deve-se ao facto de a indústria da cibersegurança na Europa se ter desenvolvido essencialmente com base na procura pública nacional. Além disso, a falta de soluções interoperáveis (normas técnicas), de práticas e mecanismos de certificação à escala da União são outras das lacunas que afetam o mercado único no domínio da cibersegurança. Esta situação reduz a capacidade concorrencial das empresas europeias a nível nacional, da União e mundial e a escolha de tecnologias de cibersegurança viáveis e utilizáveis a que os cidadãos e as empresas têm acesso. De igual modo, na Comunicação de 2017 sobre a revisão intercalar relativa à aplicação da Estratégia para o Mercado Único Digital — «Um Mercado Único Digital Conectado para todos», a Comissão salientou a necessidade de dispor de produtos e sistemas conectados seguros e indicou que a criação de um enquadramento europeu de segurança das TIC que defina regras sobre o modo de organizar a certificação da segurança das TIC na União poderia preservar a confiança na internet e resolver a atual fragmentação do mercado interno.

(67)

Atualmente, a certificação da cibersegurança de produtos, serviços e processos de TIC é utilizada apenas de forma limitada. Quando existe, verifica-se na sua maioria a nível do Estado-Membro ou no âmbito de sistemas impulsionados pela indústria. Neste contexto, um certificado emitido por uma autoridade nacional de certificação da cibersegurança não é, em princípio, reconhecido noutros Estados-Membros. Por conseguinte, as empresas poderão ter de certificar os seus produtos, serviços e processos de TIC nos vários Estados-Membros onde operam, nomeadamente com vista a participar em processo nacionais de adjudicação de contratos, o que representa custos suplementares para as empresas. Acresce que, embora estejam a surgir novos sistemas, parece não existir uma abordagem coerente e holística das questões horizontais de cibersegurança, designadamente no domínio da IdC. Os sistemas existentes apresentam insuficiências e diferenças consideráveis em termos de cobertura de produtos, níveis de garantia, critérios substantivos e utilização efetiva, o que impede a existência de mecanismos de reconhecimento mútuo no interior da União.

(68)

Foram já envidados alguns esforços para assegurar o reconhecimento mútuo de certificados na União. Todavia, tais esforços apenas foram parcialmente bem-sucedidos. O exemplo mais importante a este respeito é o acordo de reconhecimento mútuo (ARM) do Grupo de Altos Funcionários para a Segurança dos Sistemas de Informação (SOG-IS). Embora represente o modelo mais importante para cooperação e reconhecimento mútuo no domínio da certificação da segurança, o SOG-IS apenas abrange uma parte dos Estados-Membros. Este facto limitou a eficácia do ARM do SOG-IS do ponto de vista do mercado interno.

(69)

Atendendo ao que precede, afigura-se necessário adotar uma abordagem comum e criar um enquadramento europeu para a certificação da cibersegurança que estabeleça os principais requisitos horizontais para os sistemas europeus de certificação da cibersegurança a desenvolver e que permita que os certificados de cibersegurança europeus e as declarações União de conformidade dos produtos, serviços e processos de TIC sejam reconhecidos e utilizados em todos os Estados-Membros. Para tal, é essencial tomar por base os sistemas nacionais e internacionais, bem como sistemas de reconhecimento mútuo, designadamente o SOG-IS, e permitir uma transição harmoniosa dos sistemas existentes para os sistemas aplicáveis ao abrigo do novo enquadramento europeu para a certificação da cibersegurança. O enquadramento europeu para a certificação da cibersegurança deverá ter uma dupla finalidade: em primeiro lugar, deverá ajudar a aumentar a confiança nos produtos, serviços e processos de TIC que tenham sido certificados ao abrigo dos sistemas europeus de certificação da cibersegurança. Em segundo lugar, deverá ajudar a evitar a multiplicação de sistemas nacionais de certificações da cibersegurança que entrem em conflito ou que se sobreponham e, desta forma, reduzir os custos a cargo das empresas que operam no mercado único digital. Os sistemas europeus de certificação da cibersegurança deverão ser não discriminatórios e basear-se em normas europeias ou internacionais, salvo se tais normas forem ineficazes ou desadequadas para satisfazer os objetivos legítimos da União a este respeito.

(70)

Deverá ser estabelecido um enquadramento europeu para a certificação da cibersegurança de forma homogénea em todos os Estados-Membros para evitar a procura da certificação mais vantajosa («certification shopping») com base na disparidade dos níveis de exigência existentes entre os diferentes Estados-Membros.

(71)

Os sistemas europeus de certificação da cibersegurança deverão assentar no que já existe a nível internacional e nacional e, se necessário, nas especificações técnicas de fóruns e consórcios, colhendo ensinamentos dos atuais pontos fortes e avaliando e corrigindo eventuais pontos fracos.

(72)

São necessárias soluções flexíveis em matéria de cibersegurança para que a indústria se antecipe a ciberameaças, pelo que os sistemas de certificação deverão ser concebidos de forma a evitar o risco de ficarem rapidamente desatualizados.

(73)

Deverão ser conferidos poderes à Comissão para adotar sistemas europeus de certificação da cibersegurança relativamente a grupos específicos de produtos, serviços e processos de TIC. Esses sistemas deverão ser implementados e supervisionados por autoridades nacionais de certificação da cibersegurança e os certificados emitidos ao abrigo desses sistemas deverão ser válidos e reconhecidos em toda a União. Os sistemas de certificação geridos pela indústria ou outras organizações privadas deverão ser excluídos do âmbito de aplicação do presente regulamento. Contudo, os organismos que giram tais sistemas deverão poder propor à Comissão que os considere como base para a aprovação de sistemas europeus de certificação de cibersegurança.

(74)

As disposições do presente regulamento deverão aplicar-se sem prejuízo do direito da União que preveja regras específicas em matéria de certificação de produtos, serviços e processos de TIC. Designadamente, o Regulamento (UE) 2016/679 estabelece disposições para a criação de procedimentos de certificação e de selos e marcas de proteção de dados, para efeitos de comprovação da conformidade com o referido regulamento das operações de tratamento efetuadas pelos responsáveis pelo tratamento e subcontratantes. Tais procedimentos de certificação e selos e marcas de proteção de dados deverão permitir que os titulares dos dados avaliem rapidamente o nível de proteção de dados proporcionado pelos produtos, serviços e processos de TIC em causa. O presente regulamento aplica-se sem prejuízo da certificação das operações de tratamento de dados ao abrigo do Regulamento (UE) 2016/679, nomeadamente quando essas operações estejam integradas em produtos, serviços e processos de TIC.

(75)

Os sistemas europeus de certificação da cibersegurança deverão ter por objetivo garantir que os produtos, serviços e processos de TIC certificados ao seu abrigo cumpram os requisitos especificados a fim de proteger a disponibilidade, autenticidade, integridade e confidencialidade dos dados armazenados, transmitidos ou tratados, ou das funções conexas ou dos serviços oferecidos por esses produtos, processos, serviços ou acessíveis por via deles ao longo do respetivo ciclo de vida. É impossível definir pormenorizadamente no presente regulamento os requisitos de cibersegurança relativos a todos os produtos, serviços e processos de TIC. Os produtos, serviços e processos de TIC e as necessidades de cibersegurança conexas são de tal forma diversos que é muito difícil definir requisitos de cibersegurança globais aplicáveis em todas as circunstâncias. Por conseguinte, é necessário adotar uma noção lata e geral de cibersegurança para efeitos de certificação, que deverá ser complementada por um conjunto de objetivos específicos de cibersegurança que deverão ser tidos em conta durante a conceção dos sistemas europeus de certificação da cibersegurança. As disposições segundo as quais esses objetivos serão alcançados em produtos, serviços e processos de TIC específicos deverão depois ser estabelecidas em pormenor a nível do sistema de certificação individual adotado pela Comissão, nomeadamente mediante referência a normas ou especificações técnicas, se não estiverem disponíveis normas adequadas.

(76)

As especificações técnicas a utilizar nos sistemas europeus de certificação da cibersegurança deverão respeitar os princípios estabelecidos no anexo II do Regulamento (UE) n.o 1025/2012 do Parlamento Europeu e do Conselho (19). Contudo, poderão ser considerados necessários alguns desvios a estes requisitos, em casos devidamente justificados em que essas especificações técnicas devam ser utilizadas num sistema europeu de certificação da cibersegurança correspondente a um nível de garantia «elevado». Deverão ser divulgadas as razões que justificaram tais desvios.

(77)

A avaliação da conformidade é um procedimento que se destina a avaliar se foram cumpridos os requisitos especificados para um determinado produto, serviço ou processo de TIC. Esse procedimento é executado por um terceiro independente, que não é o fabricante do produto TIC, o prestador do serviço de TIC nem o fornecedor do processo TIC alvo da avaliação. O certificado europeu de cibersegurança deverá ser emitido na sequência de uma avaliação bem-sucedida de um determinado produto, serviço ou processo de TIC. O certificado europeu de cibersegurança deverá ser considerado a confirmação de que a avaliação foi efetuada corretamente. Consoante o nível de garantia, o sistema europeu de certificação da cibersegurança deverá indicar se o certificado europeu de cibersegurança deve ser emitido por uma entidade pública ou privada. A avaliação e a certificação da conformidade não podem garantir por si sós que os produtos, serviços e processos de TIC certificados sejam ciberseguros. Consistem antes em procedimentos e metodologias técnicas para atestar que os produtos, serviços e processos de TIC foram ensaiados e que cumprem determinados requisitos de cibersegurança estabelecidos por outros meios, por exemplo, em normas técnicas.

(78)

A escolha da certificação adequada e dos requisitos de segurança conexos pelos utilizadores dos certificados europeus de cibersegurança deverá basear-se numa análise dos riscos associados com a utilização do produto, serviço ou processo de TIC. Por conseguinte, o nível de garantia deverá ser proporcional ao nível do risco associado à utilização prevista do produto, serviço ou processo de TIC.

(79)

Os sistemas europeus de certificação da cibersegurança poderão prever a realização de uma avaliação da conformidade sob a exclusiva responsabilidade do fabricante de produtos de TIC, do prestador de serviços de TIC ou do fornecedor de processos de TIC (a seguir designada «autoavaliação da conformidade»). Nesses casos, deverá bastar que o próprio fabricante dos produtos de TIC, o prestador dos serviços de TIC ou o fornecedor de processos de TIC efetue todos os controlos a fim de garantir que os produtos, serviços ou processos de TIC são conformes com o sistema europeu de certificação de cibersegurança. A autoavaliação da conformidade deverá ser considerada adequado para produtos e serviços de TIC de reduzida complexidade ou processos de TIC que apresentem um risco baixo, tais como uma conceção e um mecanismo de produção simples. Além disso, a autoavaliação da conformidade deverá ser permitida para os produtos, serviços e processos de TIC que correspondam apenas ao nível de garantia «básico».

(80)

Os sistemas europeus de certificação da cibersegurança poderão permitir tanto a autoavaliação da conformidade como as certificações dos produtos, serviços e processos de TIC. Nesse caso, o sistema deverá prever meios claros e compreensíveis para os consumidores ou outros utilizadores poderem distinguir entre os produtos, serviços e processos de TIC que são avaliados sob a responsabilidade do fabricante de produtos de TIC, do prestador de serviços de TIC ou do fornecedor de processos de TIC e os produtos, serviços e processos de TIC que são certificados por terceiros.

(81)

O fabricante de produtos de TIC, o prestador de serviços de TIC ou o fornecedor de processos de TIC que realize uma autoavaliação da conformidade deverá poder emitir e assinar a declaração UE de conformidade no âmbito do procedimento de avaliação da conformidade. A declaração UE de conformidade é o documento que atesta que determinado produto, serviço ou processo de TIC cumpre os requisitos do sistema europeu de certificação da cibersegurança. Ao emitir e assinar a declaração UE de conformidade, o fabricante de produtos de TIC, o prestador de serviços de TIC ou o fornecedor de processos de TIC assume a responsabilidade pela conformidade do produto, serviço ou processo de TIC com os requisitos legais do sistema europeu de certificação da cibersegurança. Deverá ser apresentada à autoridade nacional de certificação da cibersegurança e à ENISA uma cópia da declaração UE de conformidade.

(82)

O fabricante de produtos de TIC, o prestador de serviços de TIC ou o fornecedor de processos de TIC deverá manter à disposição da autoridade nacional de certificação da cibersegurança competente, pelo prazo previsto no sistema europeu de certificação da cibersegurança em causa, a declaração UE de conformidade, a documentação técnica e todas as outras informações relevantes sobre a conformidade dos produtos, serviços ou processos de TIC com um determinado sistema europeu de certificação da cibersegurança. A documentação técnica deverá especificar os requisitos aplicáveis por força do sistema e abranger, na medida em que for relevante para a autoavaliação da conformidade, a conceção, o fabrico e o funcionamento do produto, serviço ou processo de TIC. A documentação técnica deverá ser compilada de modo a permitir avaliar se um produto, um serviço ou um processo de TIC cumpre os requisitos aplicáveis por força desse sistema.

(83)

A governação do enquadramento europeu para a certificação da cibersegurança tem em conta a participação dos Estados-Membros, bem como a participação adequada das partes interessadas e determina o papel da Comissão Europeia em todo o processo de planeamento, apresentação de propostas, apresentação de pedidos, elaboração, adoção e revisão de sistemas europeus de certificação da cibersegurança.

(84)

A Comissão deverá preparar, com o apoio do grupo europeu para a certificação da cibersegurança (GECC) e o grupo das partes interessadas para a certificação da cibersegurança e após uma consulta aberta e alargada, um programa de trabalho evolutivo da União para os sistemas europeus de certificação da cibersegurança e proceder à sua publicação sob a forma de um instrumento não vinculativo. O programa de trabalho evolutivo da União deverá ser um documento estratégico que permita que a indústria, as autoridades nacionais e os organismos de normalização, em particular, se preparem com antecedência para os futuros sistemas europeus de certificação da cibersegurança. O programa de trabalho evolutivo da União deverá incluir um resumo plurianual dos pedidos de projetos de sistemas que a Comissão tenciona apresentar à ENISA para preparação, com base em motivos específicos. A Comissão deverá ter em conta o programa de trabalho evolutivo da União durante a elaboração do seu próprio plano evolutivo para a normalização das TIC e os pedidos de normalização apresentados aos organismos europeus de normalização. Atendendo à rápida introdução e adoção de novas tecnologias, à emergência de riscos para a cibersegurança anteriormente desconhecidos ou à evolução em termos legislativos e de mercado, a Comissão ou o GECC deverão poder pedir à ENISA que elabore projetos de sistemas que não tenham sido incluídos no programa de trabalho evolutivo da União. Nesses casos, a Comissão e o GECC deverão também avaliar a pertinência de tal pedido, tendo para isso em conta as metas e os objetivos globais do presente regulamento e a necessidade de assegurar a continuidade no que diz respeito ao planeamento e à utilização de recursos por parte da ENISA.

Na sequência de tal pedido, a ENISA deverá elaborar sem demora injustificada projetos de sistemas destinados a produtos, serviços ou projetos de TIC específicos. A Comissão deverá avaliar o impacto positivo e negativo do seu pedido no mercado específico em causa, especialmente o impacto nas PME, na inovação, nos obstáculos à entrada nesse mercado e aos custos a cargo dos utilizadores finais. Deverão ser conferidos poderes à Comissão para adotar, com base no projeto de sistema elaborado pela ENISA, o sistema europeu de certificação da cibersegurança por meio de atos de execução. Tendo em conta a finalidade geral e os objetivos de segurança identificados no presente regulamento, os sistemas europeus de certificação da cibersegurança adotados pela Comissão deverão especificar um conjunto mínimo de elementos relativos ao objeto, ao âmbito de aplicação e ao funcionamento do sistema em causa. Os referidos elementos deverão incluir, entre outras coisas, o âmbito de aplicação e o objeto da certificação da cibersegurança, designadamente as categorias de produtos, serviços e processos de TIC abrangidos, a especificação pormenorizada dos requisitos de cibersegurança, por exemplo mediante referência a normas ou especificações técnicas, os critérios específicos de avaliação e os métodos de avaliação, bem como o nível previsto de garantia («básico», «substancial» ou «elevado») e os níveis de avaliação, quando aplicável. A ENISA deverá poder recusar um pedido do GECC. Essas decisões deverão ser adotadas e devidamente justificadas pelo conselho de administração.

(85)

A ENISA deverá manter um sítio Web que disponibilize informações sobre os sistemas europeus de certificação da cibersegurança e para os publicitar, que deverá incluir, nomeadamente, os pedidos de elaboração de um projeto de sistema e as reações recebidas no processo de consulta realizado pela ENISA durante a fase de elaboração. O referido sítio Web deverá igualmente disponibilizar informações sobre os certificados europeus de cibersegurança e as declarações UE de conformidade emitidos nos termos do presente regulamento, incluindo informação sobre a revogação e caducidade de tais certificados e declarações. O sítio Web deverá ainda indicar quais os sistemas nacionais de certificação da cibersegurança que tenham sido substituídos por um sistema europeu de certificação da cibersegurança.

(86)

O nível de garantia dado por um sistema europeu de certificação é a base que permite confiar em que um processo, um produto ou serviço de TIC cumpre os requisitos de segurança de um determinado sistema europeu de certificação da cibersegurança. A fim de assegurar a coerência do enquadramento europeu para a certificação da cibersegurança, um sistema europeu de certificação da cibersegurança deverá poder especificar níveis de garantia para os certificados europeus de cibersegurança e para as declarações UE de conformidade emitidas ao abrigo desse sistema. Cada certificado europeu de cibersegurança poderá corresponder a um dos níveis de garantia — «básico», «substancial» ou «elevado» —, ao passo que a declaração UE de conformidade apenas poderá corresponder ao nível de garantia «básico». Os níveis de garantia deverão corresponder ao rigor e à exaustividade da avaliação do produto, serviço ou processo de TIC e deverão caracterizar-se por referência a especificações técnicas, normas e procedimentos conexos, nomeadamente controlos técnicos cujo objetivo consista em reduzir o impacto ou prevenir incidentes. Cada nível de garantia deverá ser coerente entre os diferentes domínios setoriais nos quais é aplicada a certificação.

(87)

Os sistemas europeus de certificação da cibersegurança poderão especificar vários níveis de avaliação em função do rigor e do alcance da metodologia de avaliação utilizada. Os níveis de avaliação deverão corresponder a um dos níveis de garantia e estar associados a uma combinação adequada de componentes de garantia. Para todos os níveis de garantia, o produto, serviço ou processo de TIC deverá conter um conjunto de funcionalidades de segurança, tal como especificadas pelo sistema, que podem incluir: uma configuração inovadora segura, um código de assinatura, atualizações seguras e técnicas de mitigação e proteção completa de memórias empilhadas ou amontoadas (stack ou heap). Essas funcionalidades deverão ser elaboradas e mantidas seguindo abordagens de desenvolvimento centradas na segurança e utilizando as ferramentas conexas, para assegurar que sejam incorporados mecanismos eficazes tanto de programas informáticos como de equipamento informático de forma fiável.

(88)

Para o nível de garantia «básico», a avaliação deverá ser orientada, no mínimo, pelos seguintes componentes de garantia: a avaliação deverá incluir, pelo menos, uma análise da documentação técnica do produto, serviço ou processo de TIC pelo organismo de avaliação da conformidade. Quando a certificação incluir processos de TIC, o processo utilizado para conceber, desenvolver e manter um produto, serviço ou processo de TIC também deverá ser objeto de exame técnico. Nos casos em que um sistema europeu de certificação da cibersegurança preveja uma autoavaliação da conformidade, deverá ser suficiente que o fabricante de produtos de TIC, o prestador de serviços de TIC e o fornecedor de processos de TIC realize uma autoavaliação da conformidade dos produtos, serviços ou processos de TIC com o sistema de certificação.

(89)

Para o nível de garantia «substancial», a avaliação deverá, para além dos requisitos previstos para o nível de garantia «básico», ser orientada, no mínimo, pela verificação da conformidade das funcionalidades de segurança do produto, serviço ou processo de TIC com a respetiva documentação técnica.

(90)

Para o nível de garantia «elevado», a avaliação deverá, para além dos requisitos previstos para o nível de garantia «substancial», ser orientada, no mínimo, por um ensaio de eficiência que avalie a resistência das funcionalidades de segurança do produto, serviço ou processo de TIC a ciberataques elaborados, levados a cabo por pessoas com competências e recursos significativos.

(91)

O recurso à certificação europeia da cibersegurança e a declarações UE de conformidade deverá ser voluntário, salvo disposição em contrário no direito da União ou dos Estados-Membros adotado nos termos do direito da União. Na falta de legislação harmonizada, os Estados-Membros podem adotar regulamentação técnica nacional, que preveja a certificação obrigatória por força de um sistema europeu de certificação da cibersegurança, nos termos da Diretiva (UE) 2015/1535 do Parlamento Europeu e do Conselho (20). Os Estados-Membros podem recorrer também à certificação europeia da cibersegurança no contexto da adjudicação de contratos públicos e da Diretiva 2014/24/UE do Parlamento Europeu e do Conselho (21).

(92)

Em algumas áreas, poderá vir a ser necessário impor determinados requisitos de cibersegurança e tornar obrigatória a respetiva certificação para certos produtos, serviços ou processos de TIC, a fim de elevar o nível de cibersegurança na União. A Comissão deverá acompanhar regularmente o impacto dos sistemas europeus de certificação da cibersegurança adotados sobre a disponibilidade de produtos, serviços e processos de TIC seguros no mercado interno e deverá avaliar regularmente o nível de utilização dos sistemas de certificação pelos fabricantes de produtos TIC, prestadores de serviços de TIC ou fornecedores de processos de TIC da União. A eficiência dos sistemas europeus de certificação da cibersegurança e a necessidade de tornar obrigatórios determinados sistemas específicos deverão ser apreciadas à luz da legislação da União em matéria de cibersegurança, em especial a Diretiva (UE) 2016/1148, tomando em consideração a segurança das redes e dos sistemas de informação utilizados pelos operadores de serviços essenciais.

(93)

Os certificados europeus de cibersegurança e as declarações UE de conformidade deverão ajudar os utilizadores finais a fazerem escolhas informadas. Por conseguinte, os produtos, processos e serviços de TIC que tenham sido certificados ou para os quais tenha sido emitido um certificado UE de conformidade deverão ser acompanhados de informações estruturadas adaptadas ao nível técnico esperado dos utilizadores finais a que se destinam. Todas as informações deverão estar disponíveis em linha e, se adequado, em formato físico. O utilizador final deverá ter acesso às informações relativas ao número de referência do sistema de certificação, ao nível de garantia, à descrição dos riscos para a cibersegurança associados ao produto, serviço ou processo de TIC e à autoridade ou ao organismo emissor, ou deverá poder obter uma cópia do certificado europeu de cibersegurança. Além disso, o utilizador final deverá ser informado da política de apoio à cibersegurança do fabricante do produto de TIC, do fornecedor do serviço de TIC ou do fornecedor do processo de TIC, ou seja, durante quanto tempo o utilizador final pode esperar receber atualizações e correções de cibersegurança. Se for o caso, deverão ser disponibilizadas orientações sobre as medidas que o utilizador final pode tomar ou as definições que pode selecionar para manter ou aumentar a cibersegurança do produto ou serviço de TIC, e informações sobre um ponto de contacto único para comunicar e receber apoio em caso de ciberataque (para além da comunicação automática). Essas informações deverão ser regularmente atualizadas e disponibilizadas num sítio Web que forneça informações sobre os sistemas europeus de certificação da cibersegurança.

(94)

Com vista à consecução dos objetivos do presente regulamento e para evitar a fragmentação do mercado interno, os sistemas ou procedimentos nacionais de certificação da cibersegurança de produtos, serviços e processos de TIC abrangidos por um sistema europeu de certificação da cibersegurança deverão deixar de se aplicar a partir de uma data fixada pela Comissão através de atos de execução. Além disso, os Estados-Membros não deverão criar novos sistemas nacionais de certificação da cibersegurança de produtos, serviços e processos de TIC já abrangidos por um sistema europeu de certificação da cibersegurança existente. No entanto, os Estados-Membros não deverão ser impedidos de criar ou manter sistemas nacionais de certificação da cibersegurança para efeitos de segurança nacional. Os Estados-Membros deverão informar a Comissão e o GECC da intenção de criar novos sistemas nacionais de certificação da cibersegurança. A Comissão e o GECC deverão avaliar o impacto dos novos sistemas nacionais de certificação da cibersegurança sobre o bom funcionamento do mercado interno, ponderando o interesse estratégico de solicitar, em vez disso, um sistema europeu de certificação da cibersegurança.

(95)

Os sistemas europeus de certificação da cibersegurança destinam-se a contribuir para harmonizar as práticas de cibersegurança na União. Esses sistemas devem contribuir para elevar o nível de cibersegurança na União. A conceção de sistemas europeus de certificação de cibersegurança deverá ter em conta e permitir inovações no domínio da cibersegurança.

(96)

Os sistemas europeus de certificação da cibersegurança deverão ter em conta os atuais métodos de desenvolvimento de programas e equipamentos informáticos e, em especial, o impacto das frequentes atualizações dos programas informáticos ou do firmware nos certificados europeus da cibersegurança individuais. Os sistemas europeus de certificação da cibersegurança deverão especificar as condições em que uma atualização pode exigir que determinado produto, serviço ou processo de TIC volte a ser certificado ou que o âmbito de um certificado europeu de cibersegurança seja reduzido, tendo em conta os eventuais efeitos negativos da atualização sobre a conformidade desse certificado com os requisitos de segurança.

(97)

Quando for adotado um sistema europeu de certificação da cibersegurança, os fabricantes de produtos de TIC, os prestadores de serviços de TIC ou os fornecedores de processos de TIC deverão poder apresentar candidaturas para a certificação dos seus produtos, serviços ou processos de TIC a um organismo de avaliação da conformidade da sua escolha, em qualquer ponto da União. Os organismos de avaliação da conformidade deverão ser acreditados por um organismo de acreditação nacional se cumprirem determinados requisitos estabelecidos no presente regulamento. A acreditação deverá ser emitida por um período máximo de cinco anos e deverá ser renovável nas mesmas condições, desde que o organismo de avaliação da conformidade continue a cumprir os requisitos. Os organismos de acreditação nacionais deverão restringir, suspender ou revogar a acreditação de um organismo de avaliação da conformidade se as condições para a acreditação não forem cumpridas ou deixarem de ser cumpridas, ou se o organismo de avaliação da conformidade tomar medidas que constituam infração ao presente regulamento.

(98)

As referências da legislação nacional para normas nacionais que tenham deixado de ser aplicáveis em virtude da entrada em vigor de um sistema europeu de certificação da cibersegurança, podem constituir uma fonte de confusão. Por conseguinte, os Estados-Membros deverão refletir na sua legislação nacional a adoção de um sistema europeu de certificação da cibersegurança.

(99)

A fim de assegurar a equivalência das normas em toda a União, facilitar o reconhecimento mútuo e promover a aceitação global dos certificados europeus de cibersegurança e das declarações UE de conformidade, é necessário pôr em prática um sistema de análise pelos pares entre as autoridades nacionais de certificação da cibersegurança. A análise pelos pares deverá abranger os procedimentos destinados a supervisionar a conformidade dos produtos, serviços e processos de TIC com os certificados europeus de cibersegurança, a controlar o cumprimento das obrigações dos fabricantes de produtos TIC, dos prestadores de serviços de TIC ou dos fornecedores de processos de TIC ou que procedam à autoavaliação da conformidade e a fiscalizar os organismos de avaliação de conformidade, bem como a adequação das competências técnicas do pessoal dos organismos emissores de certificados para o nível «elevado» de garantia. A Comissão deverá, através de atos de execução, estabelecer pelo menos um plano quinquenal para as análises pelos pares e definir os critérios e as metodologias para o funcionamento do sistema de análise pelos pares.

(100)

Sem prejuízo do sistema geral de análise pelos pares a pôr em prática entre todas as autoridades nacionais de certificação da cibersegurança de acordo com o enquadramento europeu para a certificação da cibersegurança, determinados sistemas europeus de certificação da cibersegurança poderão compreender um sistema de avaliação pelos pares aplicável aos organismos emissores dos certificados europeus de cibersegurança para produtos, serviços e processos de TIC com o nível de garantia «elevado» ao abrigo de tais sistemas. O GECS deverá apoiar a aplicação desse tipo de sistemas de avaliação pelos pares. As avaliações pelos pares deverão, em especial, verificar se os organismos em causa desempenham as suas funções de forma harmonizada, podendo prever mecanismos de recurso. Os resultados das avaliações pelos pares deverão ser disponibilizados ao público. Os organismos em causa poderão adotar medidas adequadas para adaptar as suas práticas e os seus conhecimentos especializados de acordo com os resultados.

(101)

Os Estados-Membros deverão designar uma ou mais autoridades nacionais de certificação da cibersegurança para supervisionar o cumprimento das obrigações decorrentes do presente regulamento. Uma autoridade nacional de certificação de cibersegurança pode ser uma autoridade já existente ou uma autoridade nova. Os Estados-Membros deverão também poder, em acordo com outro Estado-Membro, designar uma ou mais autoridades nacionais de certificação da cibersegurança no território desse outro Estado-Membro.

(102)

As autoridades nacionais de certificação da cibersegurança deverão, nomeadamente, controlar e fazer cumprir as obrigações dos fabricantes de produtos de TIC, dos fornecedores de serviços de TIC ou dos fornecedores de processos de TIC estabelecidos no respetivo território no que respeita à declaração UE de conformidade, deverão prestar assistência aos organismos nacionais de acreditação no controlo e na supervisão das atividades dos organismos de avaliação da conformidade, disponibilizando-lhes conhecimentos especializados e as informações pertinentes, autorizar os organismos de avaliação da conformidade a exercer as suas atribuições quando cumpram os requisitos adicionais estabelecidos no sistema europeu de certificação de cibersegurança, e deverão acompanhar as evoluções pertinentes no domínio da certificação da cibersegurança. As autoridades nacionais de certificação da cibersegurança deverão também tratar as reclamações apresentadas por pessoas singulares ou coletivas relativamente a certificados europeus de cibersegurança por elas emitidos ou a certificados emitidos por organismos de avaliação da conformidade que indiquem um nível de garantia «elevado», investigar, na medida do necessário, o objeto das reclamações e informar os respetivos autores do andamento e do resultado da investigação num prazo razoável. Além disso, deverão cooperar com outras autoridades nacionais de certificação da cibersegurança ou outras autoridades públicas, nomeadamente através da partilha de informações sobre a eventual não conformidade de produtos, serviços e processos de TIC com os requisitos do presente regulamento ou com sistemas europeus específicos de certificação da cibersegurança. A Comissão deverá facilitar a partilha de informações através da disponibilização de um sistema geral de apoio às informações eletrónicas, por exemplo o Sistema de Fiscalização do Mercado e de Intercâmbio de Informações (ICSMS) e o sistema de alerta rápido para produtos de consumo não alimentares (RAPEX), já utilizados pelas autoridades de fiscalização do mercado de acordo com o Regulamento (CE) n.o 765/2008.

(103)

Com vista a assegurar a aplicação consistente do enquadramento europeu para a certificação da cibersegurança, deverá ser criado um GECC composto por representantes das autoridades nacionais de certificação da cibersegurança ou outras autoridades nacionais competentes. As principais atribuições do GECC deverão ser: aconselhar e assistir a Comissão no seu trabalho destinado a assegurar uma execução e uma aplicação coerentes do enquadramento europeu para a certificação da cibersegurança; assistir e cooperar estreitamente com a ENISA na preparação de projetos de sistemas de certificação da cibersegurança; em casos devidamente justificados, solicitar à ENISA que elabore um projeto de sistema europeu de certificação da cibersegurança; adotar pareceres à atenção da ENISA a respeito dos projetos de sistemas e adotar pareceres à atenção da Comissão a respeito da manutenção e revisão dos sistemas europeus de certificação da cibersegurança existentes. O GECC deverá facilitar o intercâmbio de boas práticas e dos conhecimentos especializados entre as diversas autoridades nacionais de certificação da cibersegurança responsáveis pela autorização dos organismos de avaliação da conformidade e pela emissão de certificados europeus de cibersegurança.

(104)

A fim de sensibilizar para os futuros sistemas de certificação da cibersegurança da União e de facilitar a sua aceitação, a Comissão pode emitir orientações gerais ou setoriais sobre cibersegurança, abordando, por exemplo, as boas práticas de cibersegurança ou o comportamento responsável em matéria de cibersegurança, salientando o efeito positivo da utilização de produtos, serviços e processos de TIC certificados.

(105)

A fim de facilitar mais o comércio, e reconhecendo que as cadeias de abastecimento de TIC são mundiais, podem ser celebrados pela União, nos termos do artigo 218.o do Tratado sobre o Funcionamento da União Europeia (TFUE), acordos de reconhecimento mútuo relativos aos certificados europeus de cibersegurança. A Comissão, tendo em conta o aconselhamento prestado pela ENISA e pelo GECC, pode recomendar a abertura de negociações nesse sentido. Cada sistema europeu de certificação da cibersegurança deverá prever condições específicas para esses acordos de reconhecimento mútuo com os países terceiros.

(106)

A fim de assegurar condições uniformes para a execução do presente regulamento, deverão ser atribuídas competências de execução à Comissão. Tais competências deverão ser exercidas nos termos do Regulamento (UE) n.o 182/2011 do Parlamento Europeu e do Conselho (22).

(107)

O procedimento de exame deverá ser seguido para a adoção de atos de execução relativos aos sistemas europeus de certificação da cibersegurança de produtos, serviços e processos de TIC, às disposições relativas à realização de inquéritos por parte da ENISA, a um plano para a análise pelos pares das autoridades nacionais de certificação da cibersegurança, e às circunstâncias, formatos e procedimentos de notificação dos organismos de avaliação da conformidade acreditados pelas autoridades nacionais de certificação da cibersegurança à Comissão.

(108)

As atividades da ENISA deverão ser submetidas a uma avaliação regular e independente. Essa avaliação deverá incidir sobre os objetivos por parte da ENISA, os seus métodos de trabalho e a relevância das suas atribuições, em especial, as relacionadas com a cooperação operacional a nível da União. Essa avaliação deverá também incidir sobre o impacto, a eficácia e a eficiência do enquadramento europeu para a certificação da cibersegurança. Em caso de revisão, a Comissão deverá verificar de que modo será possível reforçar o papel da ENISA enquanto ponto de referência em matéria de aconselhamento e de conhecimentos especializados e a possibilidade de a ENISA desempenhar um papel de apoio na avaliação dos produtos, serviços e processos de TIC de países terceiros que entrem no território da União e não cumpram as regras da União.

(109)

Atendendo a que os objetivos do presente regulamento não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, devido à sua dimensão e aos seus efeitos, ser mais bem alcançados a nível da União, a União pode adotar medidas em conformidade com o princípio da subsidiariedade consagrado no artigo 5.o do Tratado da União Europeia (TUE). Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para alcançar esses objetivos.

(110)

O Regulamento (UE) n.o 526/2013 deverá ser revogado,