Artigo 1.o

O presente regulamento estabelece o seguinte:

Artigo 2.o

A Comissão fica habilitada a adotar atos delegados nos termos do artigo 61.o de forma a completar o presente regulamento, especificando se tal limitação ou exclusão é necessária, os produtos e as regras em causa, bem como o âmbito da limitação, se for caso disso.

Artigo 3.o

Para efeitos do presente regulamento, entende-se por:

Artigo 4.o

Artigo 5.o

Artigo 6.o

Os produtos com elementos digitais só podem ser disponibilizados no mercado se:

Artigo 7.o

Os atos delegados a que se refere o primeiro parágrafo do presente número preveem, se for caso disso, um período de transição mínimo de 12 meses, em especial se for aditada uma nova categoria de produtos importantes com elementos digitais à classe I ou II ou for transferida da classe I para a classe II constantes do anexo III, antes da aplicação dos procedimentos de avaliação da conformidade pertinentes a que se refere o artigo 32.o, n.os 2 e 3, salvo se, por imperativos de urgência, se justificar um período de transição mais curto.

Artigo 8.o

Antes de adotar esses atos delegados, a Comissão procede a uma avaliação do potencial impacto das medidas previstas no mercado e consulta as partes interessadas pertinentes, inclusive o grupo europeu para a certificação da cibersegurança criado nos termos do Regulamento (UE) 2019/881. A avaliação deve ter em conta o grau de preparação e de capacidade dos Estados-Membros para a aplicação do sistema europeu de certificação da cibersegurança pertinente. Caso não tenham sido adotados os atos delegados a que se refere o primeiro parágrafo do presente número, os produtos com elementos digitais cuja funcionalidade principal seja a de uma categoria de produtos constante do anexo IV estão sujeitos aos procedimentos de avaliação da conformidade a que se refere o artigo 32.o, n.o 3.

Os atos delegados a que se refere o primeiro parágrafo preveem um período de transição mínimo de seis meses, salvo se, por imperativos de urgência, se justificar um período de transição mais curto.

Antes de adotar esses atos delegados, a Comissão procede a uma avaliação do tipo a que se refere o n.o 1.

Os atos delegados a que se refere o primeiro parágrafo preveem um período de transição mínimo de seis meses, salvo se, por imperativos de urgência, se justificar um período de transição mais curto.

Artigo 9.o

Artigo 10.o

Para efeitos do presente regulamento e com vista a dar resposta às necessidades dos profissionais em apoio da aplicação do presente regulamento, os Estados-Membros, com o apoio da Comissão, do Centro Europeu de Competências em Cibersegurança e da ENISA, se for caso disso, no pleno respeito da responsabilidade dos Estados-Membros no domínio da educação, promovem medidas e estratégias destinadas a:

Artigo 11.o

Em derrogação do artigo 2.o, n.o 1, terceiro parágrafo, alínea b), do Regulamento (UE) 2023/988,o capítulo III, secção 1, os capítulos V e VII e os capítulos IX a XI desse regulamento aplicam-se aos produtos com elementos digitais no que respeita aos aspetos e riscos ou às categorias de riscos não abrangidos pelo presente regulamento nos casos em que esses produtos não estejam sujeitos a requisitos de segurança específicos estabelecidos noutra «legislação de harmonização da União», na aceção do artigo 3.o, ponto 27, do Regulamento (UE) 2023/988.

Artigo 12.o

Artigo 13.o

Os fabricantes devem determinar o período de apoio de modo que reflita o período durante o qual se prevê que o produto seja utilizado, tendo em conta, em especial, as expectativas razoáveis dos utilizadores, a natureza do produto, incluindo a sua finalidade prevista, assim como a legislação pertinente da União que determina a vida útil dos produtos com elementos digitais. Ao determinarem o período de apoio, os fabricantes podem também ter em conta os períodos de apoio dos produtos com elementos digitais que oferecem uma funcionalidade semelhante colocados no mercado por outros fabricantes, a disponibilidade do ambiente operacional, os períodos de apoio dos componentes integrados que têm um papel essencial e provêm de terceiros, assim como as orientações pertinentes dadas pelo grupo de cooperação administrativa (ADCO) específico criado nos termos do artigo 52.o, n.o 15, e pela Comissão. Os aspetos a ter em conta para determinar o período de apoio devem ser considerados de um modo que garanta a proporcionalidade.

Sem prejuízo do disposto no segundo parágrafo, o período de apoio é de, pelo menos, cinco anos. Caso se preveja que o produto com elementos digitais seja utilizado durante menos de cinco anos, o período de apoio deve corresponder ao tempo de utilização previsto.

Tendo em conta as recomendações do ADCO a que se refere o artigo 52.o, n.o 16, a Comissão pode adotar atos delegados, nos termos do artigo 61.o, para completar o presente regulamento, especificando o período mínimo de apoio para categorias específicas de produtos sempre que os dados de fiscalização do mercado sugiram períodos de apoio inadequados.

Os fabricantes devem incluir, na documentação técnica, as informações que foram tidas em conta para determinar o período de apoio de um produto com elementos digitais em conformidade com o anexo VII.

Os fabricantes devem dispor de políticas e procedimentos adequados, incluindo as políticas de divulgação coordenada de vulnerabilidades referidas na parte II, ponto 5, do anexo I para tratar e corrigir potenciais vulnerabilidades no produto com elementos digitais comunicadas por fontes internas ou externas.

Os fabricantes devem executar ou mandar executar os procedimentos de avaliação da conformidade escolhidos a que se refere o artigo 32.o.

Sempre que a conformidade do produto com elementos digitais com os requisitos essenciais de cibersegurança constantes da parte I do anexo I, e dos processos aplicados pelo fabricante com os requisitos essenciais de cibersegurança constantes da parte II do anexo I, tenha sido demonstrada através desse procedimento de avaliação da conformidade, os fabricantes devem elaborar a declaração de conformidade UE nos termos do artigo 28.o e apor a marcação CE nos termos do artigo 30.o.

Os fabricantes devem assegurar que o ponto de contacto único seja facilmente identificável pelos utilizadores. Devem também incluir o ponto de contacto único nas informações e instruções destinadas ao utilizador previstas no anexo II.

O ponto de contacto único deve permitir aos utilizadores escolher os seus meios de comunicação preferidos e não deve limitar esses meios a ferramentas automatizadas.

Sempre que seja tecnicamente viável tendo em conta a natureza do produto com elementos digitais, os fabricantes devem apresentar uma notificação aos utilizadores informando-os de que o seu produto com elementos digitais atingiu o fim do respetivo período de apoio.

Artigo 14.o

Para efeitos do presente regulamento, considera-se que um fabricante tem o seu estabelecimento principal na União no Estado-Membro em que são predominantemente tomadas as decisões relacionadas com a cibersegurança dos seus produtos com elementos digitais. Se não for possível determinar esse Estado-Membro, considera-se que o estabelecimento principal se situa no Estado-Membro em que o fabricante em causa tem o estabelecimento com o maior número de trabalhadores na União.

Se um fabricante não tiver um estabelecimento principal na União, deve apresentar as notificações a que se referem os n.os 1 e 3 utilizando o terminal de notificação eletrónica da CSIRT designada como coordenadora no Estado-Membro determinado de acordo com a seguinte ordem e com base nas informações de que o fabricante dispõe:

Em relação ao terceiro parágrafo, alínea d), o fabricante pode apresentar notificações relacionadas com qualquer posterior vulnerabilidade ativamente explorada ou incidente grave com impacto na segurança do produto com elementos digitais à mesma CSIRT designada como coordenadora à qual notificou pela primeira vez.

Artigo 15.o

A CSIRT designada coordenadora pode dar prioridade ao tratamento das notificações obrigatórias em relação às notificações voluntárias.

Artigo 16.o

Em circunstâncias excecionais e especialmente a pedido do fabricante e tendo em conta o grau de sensibilidade das informações notificadas – tal como indicado pelo fabricante nos termos do artigo 14.o, n.o 2, alínea a), do presente regulamento –, a divulgação da notificação pode ser adiada com base em motivos fundamentados relacionados com a cibersegurança durante um período de tempo estritamente necessário, incluindo nos casos em que uma vulnerabilidade esteja sujeita a um procedimento de divulgação coordenada de vulnerabilidades a que se refere o artigo 12.o, n.o 1, da Diretiva (UE) 2022/2555. Caso uma CSIRT decida reter uma notificação, deve informar imediatamente a ENISA da decisão e apresentar uma justificação para a mesma, bem como indicar quando irá divulgar a notificação em conformidade com o procedimento de divulgação previsto no presente número. A ENISA pode apoiar a CSIRT na invocação de motivos relacionados com a cibersegurança para o adiamento da divulgação da notificação.

Em circunstâncias particularmente excecionais, se na notificação referida no artigo 14.o, n.o 2, alínea b), o fabricante indicar:

apenas são disponibilizadas simultaneamente à ENISA a informação de que o fabricante efetuou uma notificação, informações gerais sobre o produto, a informação sobre a natureza geral da exploração e a informação de que foram invocados motivos relacionados com a segurança, até que a notificação completa seja divulgada às CSIRT em causa e à ENISA. Se a ENISA, com base nessas informações, considerar que existe um risco sistémico que afeta a segurança no mercado interno, ela recomenda à CSIRT destinatária que divulgue a notificação completa às outras CSIRT designadas como coordenadoras e à própria ENISA.

Artigo 17.o

Artigo 18.o

Artigo 19.o

Para efeitos do presente número, os importadores devem poder apresentar os documentos necessários que comprovem o cumprimento dos requisitos estabelecidos no presente artigo.

Sempre que um importador tenha motivos para crer que um produto com elementos digitais pode apresentar um risco de cibersegurança significativo à luz de fatores de risco não técnicos, o importador deve informar desse facto as autoridades de fiscalização do mercado. Após a receção dessas informações, as autoridades de fiscalização do mercado devem seguir os procedimentos referidos no artigo 54.o, n.o 2.

Ao tomarem conhecimento de uma vulnerabilidade no produto com elementos digitais, os importadores devem informar o fabricante, sem demora injustificada, dessa vulnerabilidade. Além disso, se o produto com elementos digitais apresentar um risco de cibersegurança significativo, os importadores devem informar imediatamente desse facto as autoridades de fiscalização do mercado dos Estados-Membros em cujo mercado disponibilizaram o produto com elementos digitais, fornecendo-lhes as informações relevantes, sobretudo no que se refere à não conformidade e às medidas corretivas aplicadas.

Artigo 20.o

Ao tomarem conhecimento de uma vulnerabilidade no produto com elementos digitais, os distribuidores devem informar o fabricante, sem demora injustificada, dessa vulnerabilidade. Além disso, se o produto com elementos digitais apresentar um risco de cibersegurança significativo, os distribuidores devem informar imediatamente desse facto as autoridades de fiscalização do mercado dos Estados-Membros em cujo mercado disponibilizaram o produto com elementos digitais, facultando-lhes as informações relevantes, sobretudo no que se refere à não conformidade e às medidas corretivas aplicadas.

Artigo 21.o

Para efeitos do presente regulamento, os importadores ou os distribuidores são considerados fabricantes e ficam sujeitos ao disposto nos artigos 13.o e 14.o, sempre que esses importadores ou distribuidores coloquem no mercado um produto com elementos digitais em seu nome ou ao abrigo de uma marca sua ou efetuem uma modificação substancial de um produto com elementos digitais já colocado no mercado.

Artigo 22.o

Artigo 23.o

Artigo 24.o

Na sequência de um pedido fundamentado de uma autoridade de fiscalização do mercado, os administradores de software de código-fonte aberto devem facultar a essa autoridade – numa língua que possa ser facilmente compreendida por essa autoridade – a documentação referida no n.o 1, em papel ou em suporte eletrónico.

Artigo 25.o

Com vista a facilitar o cumprimento da obrigação de exercer a diligência devida, estabelecida no artigo 13.o, n.o 5, em particular no que diz respeito aos fabricantes que integram componentes de software livre e de código-fonte aberto nos seus produtos com elementos digitais, a Comissão fica habilitada a adotar atos delegados em conformidade com o artigo 61.o para completar o presente regulamento estabelecendo programas voluntários de certificação de segurança que permitam aos programadores ou aos utilizadores de produtos com elementos digitais que sejam considerados software livre e de código-fonte aberto, bem como a terceiros, avaliar a conformidade desses produtos com a totalidade ou parte dos requisitos essenciais de cibersegurança ou de outras obrigações estabelecidos no presente regulamento.

Artigo 26.o

A Comissão deve igualmente manter uma lista de fácil acesso que indique os atos delegados e de execução adotados nos termos do presente regulamento.

Artigo 27.o

A Comissão, em conformidade com o artigo 10.o, n.o 1, do Regulamento (UE) n.o 1025/2012, deve solicitar a uma ou várias organizações europeias de normalização que elaborem normas harmonizadas para os requisitos essenciais de cibersegurança previstos no anexo I do presente regulamento. Ao elaborar pedidos de normalização para o presente regulamento, a Comissão deve procurar ter em conta as normas europeias e internacionais existentes em matéria de cibersegurança que estejam em vigor ou em fase de desenvolvimento, a fim de simplificar a conceção de normas harmonizadas, em conformidade com o Regulamento (UE) n.o 1025/2012.

Os referidos atos de execução só são adotados se estiverem preenchidas as seguintes condições:

Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 62.o, n.o 2.

Artigo 28.o

A declaração de conformidade UE simplificada a que se refere o artigo 13.o, n.o 20, respeita o modelo que consta do anexo VI. Deve ser disponibilizada nas línguas exigidas pelo Estado-Membro em cujo mercado o produto com elementos digitais é colocado ou disponibilizado.

Artigo 29.o

A marcação CE está sujeita aos princípios gerais enunciados no artigo 30.o do Regulamento (CE) n.o 765/2008.

Artigo 30.o

O número de identificação do organismo notificado é aposto pelo próprio organismo ou, segundo as suas instruções, pelo fabricante ou pelo seu mandatário.

Artigo 31.o

Artigo 32.o

Artigo 33.o

Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 62.o, n.o 2.

Artigo 34.o

Tendo em conta o nível de desenvolvimento técnico e a abordagem em matéria de avaliação da conformidade de um país terceiro, a União pode celebrar acordos de reconhecimento mútuo com países terceiros, nos termos do artigo 218.o do TFUE, com o objetivo de promover e facilitar o comércio internacional.

Artigo 35.o

Artigo 36.o

Artigo 37.o

Artigo 38.o

Artigo 39.o

Pode considerar-se como organismo terceiro qualquer organismo que pertença a uma organização empresarial ou associação profissional representativa de empresas envolvidas em atividades de conceção, desenvolvimento, produção, fornecimento, montagem, utilização ou manutenção dos produtos com elementos digitais que avalia, desde que prove a respetiva independência e a inexistência de conflitos de interesses.

Os organismos de avaliação da conformidade, a sua direção de topo e o pessoal encarregado de executar as tarefas de avaliação da conformidade não podem intervir diretamente na conceção, no desenvolvimento, na produção, na importação, na distribuição, na comercialização, na instalação, na utilização ou na manutenção desses produtos com elementos digitais que avaliam, nem representar as partes envolvidas nessas atividades. Não podem exercer nenhuma atividade suscetível de pôr em causa a independência da sua apreciação ou a sua integridade no desempenho das atividades de avaliação da conformidade para as quais são notificados. Esta disposição é aplicável nomeadamente aos serviços de consultoria.

Os organismos de avaliação da conformidade devem certificar-se de que as atividades das suas filiais ou dos seus subcontratados não afetam a confidencialidade, a objetividade e a imparcialidade das suas atividades de avaliação da conformidade.

Em todas as circunstâncias e para cada procedimento de avaliação da conformidade e para cada tipo ou categoria de produtos com elementos digitais para os quais tenham sido notificados, os organismos de avaliação da conformidade devem dispor de:

Os organismos de avaliação da conformidade devem dispor dos meios necessários para a boa execução das tarefas técnicas e administrativas relacionadas com as atividades de avaliação da conformidade e devem ter acesso a todos os equipamentos e instalações necessários.

A remuneração da direção de topo e do pessoal encarregado da avaliação dos organismos de avaliação da conformidade não pode depender do número de avaliações realizadas, nem do respetivo resultado.

Artigo 40.o

Presume-se que os organismos de avaliação da conformidade que provem a sua conformidade com os critérios estabelecidos nas normas harmonizadas aplicáveis, ou em partes destas, cujas referências tenham sido publicadas no Jornal Oficial da União Europeia, cumprem os requisitos previstos no artigo 39.o, na medida em que as normas harmonizadas aplicáveis abranjam esses requisitos.

Artigo 41.o

Artigo 42.o

Artigo 43.o

Apenas esse organismo pode ser considerado como organismo notificado para efeitos do presente regulamento.

Artigo 44.o

O número atribuído é único, mesmo que o organismo esteja notificado ao abrigo de vários atos jurídicos da União.

Cabe à Comissão garantir a atualização dessa lista.

Artigo 45.o

Artigo 46.o

Artigo 47.o

Artigo 48.o

Os Estados-Membros asseguram a existência de procedimentos de recurso das decisões dos organismos notificados.

Artigo 49.o

Artigo 50.o

A Comissão deve organizar os intercâmbios de experiências entre as autoridades nacionais dos Estados-Membros responsáveis pela política de notificação.

Artigo 51.o

Artigo 52.o

As autoridades que supervisionam a legislação da União em matéria de proteção de dados devem dispor de poderes para solicitar e aceder a qualquer documentação criada ou conservada ao abrigo do presente regulamento sempre que o acesso a essa documentação seja necessário para o desempenho das suas funções. As referidas autoridades devem informar as autoridades de fiscalização do mercado designadas do Estado-Membro em causa sobre tais pedidos.

O ADCO publica, numa forma acessível ao público e de fácil utilização, estatísticas pertinentes sobre as categorias de produtos com elementos digitais, incluindo os períodos médios de apoio, conforme determinado pelo fabricante nos termos do artigo 13.o, n.o 8, bem como fornece orientações que incluam períodos de apoio indicativos para as categorias de produtos com elementos digitais.

Se os dados sugerirem períodos de apoio inadequados para categorias específicas de produtos com elementos digitais, o ADCO pode formular recomendações destinadas às autoridades de fiscalização do mercado para que estas centrem as suas atividades nessas categorias de produtos com elementos digitais.

Artigo 53.o

Sempre que necessário para avaliar a conformidade dos produtos com elementos digitais e dos processos aplicados pelos seus fabricantes com os requisitos essenciais de cibersegurança constantes do anexo I, as autoridades de fiscalização do mercado devem, mediante pedido fundamentado, ser autorizadas a aceder, numa língua que compreendam facilmente, aos dados necessários para avaliar a conceção, o desenvolvimento, a produção e o tratamento de vulnerabilidades desses produtos, incluindo a documentação interna conexa do operador económico pertinente.

Artigo 54.o

Sempre que, no decurso dessa avaliação, verifiquem que o produto com elementos digitais não cumpre os requisitos estabelecidos no presente regulamento, as autoridades de fiscalização do mercado devem exigir sem demora ao operador económico em causa que tome todas as medidas corretivas adequadas para assegurar a conformidade do produto com elementos digitais com os requisitos mencionados, para o retirar do mercado ou para o recolher num prazo razoável que seja proporcional à natureza do risco de cibersegurança e que seja fixado pela autoridade de fiscalização do mercado.

A autoridade de fiscalização do mercado deve informar desse facto o organismo notificado pertinente. O artigo 18.o do Regulamento (UE) 2019/1020 é aplicável às medidas corretivas.

A referida autoridade deve notificar sem demora a Comissão e os outros Estados-Membros da adoção de tais medidas.

Artigo 55.o

Artigo 56.o

Artigo 57.o

As medidas referidas no primeiro parágrafo podem incluir medidas destinadas a assegurar que o produto com elementos digitais em causa e os processos aplicados pelo fabricante já não apresentem os riscos pertinentes aquando da disponibilização no mercado, da retirada do mercado do produto com elementos digitais em causa ou da sua recolha, e devem ser proporcionais à natureza desses riscos.

Artigo 58.o

Artigo 59.o

Artigo 60.o

Artigo 61.o

Artigo 62.o

Artigo 63.o

Artigo 64.o

Artigo 65.o

A Diretiva (UE) 2020/1828 é aplicável às ações coletivas intentadas contra infrações às disposições constantes do presente regulamento cometidas por operadores económicos que prejudiquem, ou sejam suscetíveis de prejudicar, os interesses coletivos dos consumidores.

Artigo 66.o

Ao anexo I do Regulamento (UE) 2019/1020, é aditado o seguinte ponto:

Artigo 67.o

Ao anexo I da Diretiva (UE) 2020/1828, é aditado o seguinte ponto:

▼C2

▼B

Artigo 68.o

À parte C1, no quadro, do anexo II do Regulamento (UE) n.o 168/2013 do Parlamento Europeu e do Conselho ( 3 ), é aditada a seguinte entrada:

«

»

Artigo 69.o

Artigo 70.o

Artigo 71.o

Todavia, o artigo 14.o é aplicável a partir de 11 de setembro de 2026 e o capítulo IV (artigos 35.o a 51.o) é aplicável a partir de 11 de junho de 2026.