1.   Um produto de TIC submetido a certificação deve, no mínimo, ser avaliado de acordo com os seguintes critérios:

2.   Em casos excecionais e devidamente justificados, um organismo de avaliação da conformidade pode solicitar a não aplicação do documento sobre o estado da arte pertinente. Nesses casos, informa a autoridade nacional de certificação da cibersegurança, fornecendo uma justificação devidamente fundamentada para o seu pedido. A autoridade nacional de certificação da cibersegurança avalia a justificação da exceção e, se fundada, aprova-a. Na pendência da decisão da autoridade nacional de certificação da cibersegurança, o organismo de avaliação da conformidade não emite qualquer certificado. A autoridade nacional de certificação da cibersegurança notifica, sem demora injustificada, a exceção aprovada ao Grupo Europeu para a Certificação da Cibersegurança, que pode emitir um parecer. A autoridade nacional de certificação da cibersegurança deve ter na máxima conta o parecer do Grupo Europeu para a Certificação da Cibersegurança.

3.   A certificação de produtos de TIC nos níveis AVA_VAN 4 ou 5 só é possível nos seguintes cenários:

4.   Sempre que um organismo de avaliação da conformidade considere estar perante um caso excecional e devidamente justificado a que se refere o n.o 3, alínea c), deve notificar a certificação pretendida à autoridade nacional de certificação da cibersegurança, fornecendo-lhe uma justificação e uma proposta de metodologia de avaliação. A autoridade nacional de certificação da cibersegurança avalia a justificação da exceção e, se fundada, aprova ou altera a metodologia de avaliação a aplicar pelo organismo de avaliação da conformidade. Na pendência da decisão da autoridade nacional de certificação da cibersegurança, o organismo de avaliação da conformidade não emite qualquer certificado. A autoridade nacional de certificação da cibersegurança comunica, sem demora injustificada, a certificação pretendida ao Grupo Europeu para a Certificação da Cibersegurança, que pode emitir um parecer. A autoridade nacional de certificação da cibersegurança deve ter na máxima conta o parecer do Grupo Europeu para a Certificação da Cibersegurança.

5.   No caso de um produto de TIC sujeito a uma avaliação de produto composto, em conformidade com os documentos sobre o estado da arte pertinentes, o ITSEF que efetuou a avaliação do produto de TIC subjacente deve partilhar as informações relevantes com o ITSEF que efetua a avaliação do produto de TIC composto.

1.   O requerente da certificação no âmbito do EUCC deve fornecer ou de outro modo disponibilizar ao organismo de certificação e ao ITSEF todas as informações necessárias para as atividades de certificação.

2.   As informações referidas no n.o 1 devem incluir todas as provas pertinentes, de acordo com as secções «Elementos de ação do criador» (Developer action elements), no formato adequado, conforme estabelecido nas secções «Conteúdo e apresentação dos elementos de prova» (Content and presentation of evidence element) dos Critérios Comuns e da Metodologia Comum de Avaliação para o nível de garantia selecionado e os requisitos de garantia de segurança associados. As provas devem incluir, se necessário, pormenores sobre o produto de TIC e o seu código-fonte, em conformidade com o presente regulamento, sob reserva de salvaguardas contra a divulgação não autorizada.

3.   Os requerentes da certificação podem fornecer ao organismo de certificação e ao ITSEF resultados de avaliação adequados de certificações anteriores efetuadas ao abrigo:

4.   Sempre que os resultados da avaliação sejam pertinentes para as suas funções, o ITSEF pode reutilizar os resultados de avaliação fornecidos, desde que os mesmos estejam em conformidade com os requisitos aplicáveis e a sua autenticidade seja confirmada.

5.   Se o organismo de certificação permitir que o produto seja objeto de uma certificação de produto composto, o requerente da certificação deve disponibilizar ao organismo de certificação e ao ITSEF todos os elementos necessários, se for caso disso, de acordo com o documento sobre o estado da arte.

6.   O requerente da certificação também deve fornecer ao organismo de certificação e ao ITSEF as seguintes informações:

7.   Toda a documentação pertinente referida no presente artigo deve ser conservada pelo organismo de certificação, pelo ITSEF e pelo requerente durante um período de cinco anos após a caducidade do certificado.

1.   Os organismos de certificação emitem um certificado EUCC quando estiverem preenchidas todas as seguintes condições:

2.   O requerente da certificação deve assumir os seguintes compromissos:

3.   No caso de um produto de TIC sujeito a uma certificação de produto composto, em conformidade com os documentos sobre o estado da arte pertinentes, o organismo de certificação que efetuou a certificação do produto de TIC subjacente deve partilhar as informações relevantes com o organismo de certificação que efetua a certificação do produto de TIC composto.

1.   O certificado EUCC deve incluir, no mínimo, as informações constantes do anexo VII.

2.   O certificado EUCC ou o relatório de certificação devem especificar de forma inequívoca o âmbito e os limites do produto de TIC certificado, indicando se todo o produto de TIC foi certificado ou apenas partes do mesmo.

3.   O organismo de certificação deve fornecer ao requerente o certificado EUCC pelo menos em formato eletrónico.

4.   O organismo de certificação deve elaborar um relatório de certificação, em conformidade com o anexo V, para cada certificado EUCC que emitir. O relatório de certificação deve basear-se no relatório técnico de avaliação emitido pelo ITSEF. O relatório técnico de avaliação e o relatório de certificação devem indicar os critérios e os métodos específicos de avaliação a que se refere o artigo 7.o utilizados na avaliação.

5.   O organismo de certificação deve fornecer à autoridade nacional de certificação da cibersegurança e à ENISA todos os certificados EUCC e todos os relatórios de certificação em formato eletrónico.

1.   O titular de um certificado pode apor uma marca e um rótulo num produto de TIC certificado. A marca e o rótulo demonstram que o produto de TIC foi certificado em conformidade com o presente regulamento. A marca e o rótulo devem ser apostos em conformidade com o presente artigo e com o anexo IX.

2.   A marca e o rótulo devem ser apostos de forma visível, legível e indelével no produto de TIC certificado ou na respetiva placa de identificação. Sempre que tal não seja possível ou não se justifique devido à natureza do produto, devem ser apostos na embalagem e nos documentos que o acompanham. Se o produto de TIC certificado for fornecido sob a forma de software, a marca e o rótulo devem figurar de forma visível, legível e indelével na documentação que o acompanha, ou esta documentação deve ser fácil e diretamente acessível aos utilizadores através de um sítio Web.

3.   A marca e o rótulo devem ser conformes com o anexo IX e incluir:

4.   A marca e o rótulo devem ser acompanhados de um código QR com uma hiperligação para um sítio Web em que figurem, pelo menos:

1.   O organismo de certificação deve fixar um período de validade para cada certificado EUCC emitido, tendo em conta as características do produto de TIC certificado.

2.   O período de validade do certificado EUCC não pode exceder cinco anos.

3.   Em derrogação do disposto no n.o 2, esse período pode ser superior a cinco anos, sob reserva de aprovação prévia pela autoridade nacional de certificação da cibersegurança. A autoridade nacional de certificação da cibersegurança deve notificar sem demora o Grupo Europeu para a Certificação da Cibersegurança da aprovação concedida.

1.   A pedido do titular do certificado ou por outras razões justificadas, o organismo de certificação pode decidir rever o certificado EUCC de um produto de TIC. A revisão é efetuada em conformidade com o anexo IV. O organismo de certificação determina o âmbito da revisão. Se necessário para a revisão, o organismo de certificação solicita ao ITSEF que efetue uma reavaliação do produto de TIC certificado.

2.   Na sequência dos resultados da revisão e, se for caso disso, da reavaliação, o organismo de certificação:

3.   O organismo de certificação pode decidir suspender, sem demora injustificada, o certificado EUCC em conformidade com o artigo 30.o, até que o titular do certificado EUCC aplique medidas corretivas.

1.   Sem prejuízo do disposto no artigo 58.o, n.o 8, alínea e), do Regulamento (UE) 2019/881, um certificado EUCC é retirado pelo organismo de certificação que o emitiu.

2.   O organismo de certificação a que se refere o n.o 1 deve notificar a autoridade nacional de certificação da cibersegurança da retirada do certificado. Deve também notificar a ENISA dessa retirada, a fim de facilitar o desempenho das funções previstas no artigo 50.o do Regulamento (UE) 2019/881. A autoridade nacional de certificação da cibersegurança deve notificar as outras autoridades de fiscalização do mercado competentes.

3.   O titular de um certificado EUCC pode solicitar a retirada do certificado.

1.   Um perfil de proteção deve ser avaliado, no mínimo, de acordo com os seguintes critérios:

2.   Em casos excecionais e devidamente justificados, um organismo de avaliação da conformidade pode certificar um perfil de proteção sem aplicar os documentos sobre o estado da arte pertinentes. Nesses casos, deve informar a autoridade nacional de certificação da cibersegurança competente, fornecendo uma justificação para a certificação sem aplicação dos documentos sobre o estado da arte pertinentes pretendida e a proposta de metodologia de avaliação. A autoridade nacional de certificação da cibersegurança avalia a justificação e, se fundada, aprova a não aplicação dos documentos sobre o estado da arte pertinentes, aprovando ou alterando ainda, se for caso disso, a metodologia de avaliação a aplicar pelo organismo de avaliação da conformidade. Na pendência da decisão da autoridade nacional de certificação da cibersegurança, o organismo de avaliação da conformidade não emite qualquer certificado para o perfil de proteção. A autoridade nacional de certificação da cibersegurança notifica, sem demora injustificada, a autorização de não aplicação dos documentos sobre o estado da arte pertinentes ao Grupo Europeu para a Certificação da Cibersegurança, que pode emitir um parecer. A autoridade nacional de certificação da cibersegurança deve ter na máxima conta o parecer do Grupo Europeu para a Certificação da Cibersegurança.

1.   O requerente da certificação deve fornecer ao organismo de certificação e ao ITSEF todas as informações necessárias, completas e corretas.

2.   São aplicáveis, mutatis mutandis, os artigos 9.o e 10.o.

3.   Cabe ao ITSEF avaliar se um perfil de proteção é completo, coerente, tecnicamente sólido e eficaz para a utilização prevista e os objetivos de segurança da categoria de produtos de TIC abrangida por esse perfil de proteção.

4.   O perfil de proteção deve ser certificado exclusivamente por:

1.   O organismo de certificação deve fixar um período de validade para cada certificado EUCC.

2.   O período de validade pode prolongar-se até ao fim da duração do perfil de proteção em causa.

1.   A pedido do titular do certificado ou por outras razões justificadas, o organismo de certificação pode decidir rever um certificado EUCC para um perfil de proteção. A revisão deve ser efetuada mediante a aplicação das condições previstas no artigo 15.o. O organismo de certificação determina o âmbito da revisão. Se necessário para a revisão, o organismo de certificação solicita ao ITSEF que efetue uma reavaliação do perfil de proteção certificado.

2.   Na sequência dos resultados da revisão e, se for caso disso, da reavaliação, o organismo de certificação procede de uma das seguintes formas:

1.   Sem prejuízo do disposto no artigo 58.o, n.o 8, alínea e), do Regulamento (UE) 2019/881, o certificado EUCC de um perfil de proteção é retirado pelo organismo de certificação que o emitiu. É aplicável, mutatis mutandis, o artigo 14.o.

2.   Um certificado de um perfil de proteção emitido em conformidade com o artigo 17.o, n.o 4, alínea b), é retirado pela autoridade nacional de certificação da cibersegurança que o aprovou.

1.   Sem prejuízo do disposto no artigo 58.o, n.o 7, do Regulamento (UE) 2019/881, a autoridade nacional de certificação da cibersegurança controla:

2.   A autoridade nacional de certificação da cibersegurança efetua as suas atividades de controlo, nomeadamente com base:

3.   A autoridade nacional de certificação da cibersegurança, em cooperação com outras autoridades de fiscalização do mercado, recolhe anualmente amostras de, pelo menos, 4 % dos certificados EUCC, conforme determinado por uma avaliação dos riscos. A pedido da autoridade nacional de certificação da cibersegurança competente e agindo em nome da mesma, os organismos de certificação e, se necessário, o ITSEF assistem essa autoridade no controlo da conformidade.

4.   A autoridade nacional de certificação da cibersegurança seleciona a amostra de produtos de TIC certificados a verificar com base em critérios objetivos, nomeadamente:

5.   A autoridade nacional de certificação da cibersegurança deve informar os titulares do certificado EUCC sobre os produtos de TIC selecionados e os critérios de seleção.

6.   A pedido da autoridade nacional de certificação da cibersegurança, o organismo de certificação que certificou o produto de TIC incluído na amostra, com a assistência do respetivo ITSEF, deve efetuar uma análise adicional de acordo com o procedimento previsto no anexo IV, secção IV.2, e informar a referida autoridade nacional dos resultados.

7.   Se a autoridade nacional de certificação da cibersegurança tiver razões suficientes para crer que um produto de TIC certificado deixou de estar em conformidade com o presente regulamento ou com o Regulamento (UE) 2019/881, pode realizar investigações ou recorrer a quaisquer outras competências de controlo previstas no artigo 58.o, n.o 8, do Regulamento (UE) 2019/881.

8.   A autoridade nacional de certificação da cibersegurança deve informar o organismo de certificação e o ITSEF em causa sobre as investigações em curso relativas aos produtos de TIC selecionados.

9.   Sempre que a autoridade nacional de certificação da cibersegurança identificar que uma investigação em curso diz respeito a produtos de TIC certificados por organismos de certificação estabelecidos noutros Estados-Membros, deve informar desse facto as autoridades nacionais de certificação da cibersegurança dos Estados-Membros em causa, para que colaborem nas investigações, quando pertinente. Essa autoridade nacional de certificação da cibersegurança também deve notificar o Grupo Europeu para a Certificação da Cibersegurança das investigações transfronteiriças e dos resultados subsequentes.

1.   O organismo de certificação controla:

2.   O organismo de certificação desempenha as suas atividades de controlo com base:

3.   A autoridade nacional de certificação da cibersegurança pode elaborar regras para um diálogo periódico entre os organismos de certificação e os titulares de certificados EUCC, a fim de verificar e comunicar o cumprimento dos compromissos assumidos nos termos do artigo 9.o, n.o 2, sem prejuízo das atividades relacionadas com outras autoridades de fiscalização do mercado competentes.

1.   O titular de um certificado EUCC deve executar as seguintes tarefas para controlar a conformidade do produto de TIC certificado com os seus requisitos de segurança:

2.   O titular de um certificado EUCC deve trabalhar em cooperação com o organismo de certificação, com o ITSEF e, se for caso disso, com a autoridade nacional de certificação da cibersegurança a fim de apoiar as suas atividades de controlo.

1.   Se um produto de TIC certificado ou um perfil de proteção certificado não estiver em conformidade com os requisitos estabelecidos no presente regulamento e no Regulamento (UE) 2019/881, o organismo de certificação deve informar o titular do certificado EUCC sobre a não conformidade identificada e solicitar a adoção de medidas corretivas.

2.   Sempre que um caso de não conformidade com as disposições do presente regulamento possa afetar o cumprimento de outra legislação aplicável da União, que preveja a possibilidade de demonstrar a presunção de conformidade com os requisitos desse ato jurídico utilizando o certificado EUCC, o organismo de certificação deve informar sem demora a autoridade nacional de certificação da cibersegurança. A autoridade nacional de certificação da cibersegurança deve notificar imediatamente o caso de não conformidade identificado à autoridade de fiscalização do mercado responsável por esse outro ato legislativo da União aplicável.

3.   Após a receção das informações referidas no n.o 1, o titular do certificado EUCC deve propor ao organismo de certificação, no prazo por este fixado, que não pode ser superior a 30 dias, as medidas corretivas necessárias para corrigir a não conformidade.

4.   O organismo de certificação pode suspender, sem demora injustificada, o certificado EUCC em conformidade com o artigo 30.o em caso de emergência ou se o titular do certificado EUCC não cooperar devidamente com o organismo de certificação.

5.   O organismo de certificação deve efetuar uma revisão em conformidade com os artigos 13.o e 19.o, avaliando se as medidas corretivas corrigem a não conformidade.

6.   Se o titular do certificado EUCC não propuser medidas corretivas adequadas no prazo referido no n.o 3, o certificado é suspenso, em conformidade com o artigo 30.o, ou retirado, em conformidade com os artigos 14.o ou 20.o.

7.   O presente artigo não é aplicável aos casos de vulnerabilidades que afetem um produto de TIC certificado, que devem ser tratados em conformidade com o capítulo VI.

1.   Se o organismo de certificação constatar que:

2.   Se o titular do certificado EUCC não propuser medidas corretivas adequadas no prazo referido no n.o 1, o certificado é suspenso, em conformidade com o artigo 30.o, ou retirado, em conformidade com os artigos 14.o e 20.o.

3.   A violação continuada ou recorrente das obrigações a que se refere o n.o 1 por parte do titular do certificado EUCC resulta na retirada do certificado EUCC, em conformidade com o artigo 14.o ou o artigo 20.o.

4.   O organismo de certificação deve informar a autoridade nacional de certificação da cibersegurança das conclusões a que se refere o n.o 1. Se o caso de incumprimento afetar o cumprimento de outra legislação aplicável da União, a autoridade nacional de certificação da cibersegurança deve notificar imediatamente a autoridade de fiscalização do mercado responsável por essa outra legislação aplicável da União do caso de incumprimento identificado.

1.   Sempre que o presente regulamento se refira à suspensão de um certificado EUCC, o organismo de certificação suspende o certificado EUCC em causa por um período adequado às circunstâncias que desencadearam a suspensão, que não pode exceder 42 dias. O período de suspensão começa a decorrer no dia seguinte ao dia da decisão do organismo de certificação. A suspensão não afeta a validade do certificado.

2.   O organismo de certificação deve notificar o titular do certificado e a autoridade nacional de certificação da cibersegurança da suspensão, sem demora injustificada, e indicar os motivos da suspensão, as medidas solicitadas a adotar e o período de suspensão.

3.   Os titulares de certificados devem notificar os adquirentes dos produtos de TIC em causa da suspensão e dos motivos subjacentes apresentados pelo organismo de certificação, exceto as partes dos motivos cuja partilha possa constituir um risco de segurança ou que contenham informações sensíveis. O titular do certificado deve igualmente disponibilizar estas informações ao público.

4.   Sempre que outra legislação aplicável da União preveja uma presunção de conformidade baseada em certificados emitidos ao abrigo das disposições do presente regulamento, a autoridade nacional de certificação da cibersegurança deve informar a autoridade de fiscalização do mercado responsável por essa outra legislação aplicável da União sobre a suspensão.

5.   A suspensão de um certificado deve ser notificada à ENISA nos termos do artigo 42.o, n.o 3.

6.   Em casos devidamente justificados, a autoridade nacional de certificação da cibersegurança pode autorizar a prorrogação do período de suspensão de um certificado EUCC. O período total de suspensão não pode exceder um ano.

1.   Caso um organismo de certificação não cumpra as suas obrigações, ou caso se veja em situação de incumprimento na sequência da identificação do incumprimento de um ITSEF, a autoridade nacional de certificação da cibersegurança deve, sem demora injustificada:

2.   Com base nas medidas referidas no n.o 1, o organismo de certificação deve adotar uma das seguintes decisões relativas a cada certificado EUCC afetado:

3.   Com base nas medidas referidas no n.o 1, a autoridade nacional de certificação da cibersegurança deve:

1.   O titular de um certificado EUCC deve estabelecer e manter todos os procedimentos de gestão das vulnerabilidades necessários, em conformidade com as regras estabelecidas na presente secção e, sempre que necessário, complementadas pelos procedimentos definidos na norma EN ISO/IEC 30111.

2.   O titular de um certificado EUCC deve manter e publicar os métodos adequados para receber informações sobre as vulnerabilidades relacionadas com os seus produtos provenientes de fontes externas, designadamente utilizadores, organismos de certificação e investigadores em matéria de segurança.

3.   Sempre que um titular de um certificado EUCC detete ou receba informações sobre uma potencial vulnerabilidade que afete um produto de TIC certificado, deve registá-lo e efetuar uma análise do impacto da vulnerabilidade.

4.   Sempre que uma potencial vulnerabilidade afete um produto composto, o titular do certificado EUCC deve informar o titular de certificados de EUCC dependentes sobre a mesma.

5.   Em resposta a um pedido razoável do organismo de certificação que emitiu o certificado, o titular de um certificado EUCC deve transmitir-lhe todas as informações pertinentes sobre potenciais vulnerabilidades.

1.   A análise do impacto das vulnerabilidades deve referir-se ao alvo da avaliação e às declarações de fiabilidade constantes do certificado. A análise do impacto das vulnerabilidades deve ser realizada num prazo adequado tendo em conta a explorabilidade e a criticidade da potencial vulnerabilidade do produto de TIC certificado.

2.   Se for caso disso, deve ser efetuado um cálculo do potencial de ataque de acordo com a metodologia pertinente constante das normas a que se refere o artigo 3.o e com os documentos sobre o estado da arte pertinentes enumerados no anexo I, a fim de determinar a explorabilidade da vulnerabilidade. Deve ser tido em conta o nível AVA_VAN do certificado EUCC.

1.   Se a análise do impacto mostrar que a vulnerabilidade tem um impacto provável na conformidade do produto de TIC com o seu certificado, o titular deve elaborar um relatório de análise do impacto da mesma.

2.   O relatório de análise do impacto da vulnerabilidade deve conter uma avaliação dos seguintes elementos:

3.   O relatório de análise do impacto da vulnerabilidade deve, se for caso disso, conter pormenores sobre os possíveis meios de exploração da vulnerabilidade. As informações relativas aos possíveis meios de exploração da vulnerabilidade devem ser tratadas de acordo com as medidas de segurança aplicáveis a fim de proteger a sua confidencialidade e assegurar, sempre que necessário, a sua distribuição limitada.

4.   O titular de um certificado EUCC transmite, sem demora injustificada, o relatório de análise do impacto da vulnerabilidade ao organismo de certificação ou à autoridade nacional de certificação da cibersegurança, em conformidade com o artigo 56.o, n.o 8, do Regulamento (UE) 2019/881.

5.   Se o relatório de análise do impacto da vulnerabilidade determinar que a vulnerabilidade não é residual, na aceção das normas referidas no artigo 3.o, e que pode ser corrigida, aplica-se o artigo 36.o.

6.   Se o relatório de análise do impacto da vulnerabilidade determinar que a vulnerabilidade não é residual e que não pode ser corrigida, o certificado EUCC deve ser retirado em conformidade com o artigo 14.o.

7.   O titular do certificado EUCC deve controlar as vulnerabilidades residuais para garantir que não possam ser exploradas em caso de alterações no ambiente operacional.

1.   As informações fornecidas pelo organismo de certificação à autoridade nacional de certificação da cibersegurança devem incluir todos os elementos necessários para que esta autoridade compreenda o impacto da vulnerabilidade, as alterações a introduzir no produto de TIC e, se disponíveis, quaisquer informações do organismo de certificação sobre as implicações mais vastas da vulnerabilidade para outros produtos de TIC certificados.

2.   As informações fornecidas em conformidade com o n.o 1 não podem conter pormenores sobre os meios de exploração da vulnerabilidade. Esta disposição não prejudica os poderes de investigação da autoridade nacional de certificação da cibersegurança.

1.   A autoridade nacional de certificação da cibersegurança deve partilhar as informações pertinentes recebidas nos termos do artigo 37.o com outras autoridades nacionais de certificação da cibersegurança e com a ENISA.

2.   Outras autoridades nacionais de certificação da cibersegurança podem decidir aprofundar a análise da vulnerabilidade ou, depois de informarem o titular do certificado EUCC, solicitar aos organismos de certificação competentes que avaliem se a vulnerabilidade é suscetível de afetar outros produtos de TIC certificados.