(1)

O Regulamento de Execução (UE) 2024/482 da Comissão (2) especifica as funções, regras e obrigações, bem como a estrutura do sistema europeu de certificação da cibersegurança baseado nos Critérios Comuns (EUCC), em conformidade com o enquadramento europeu para a certificação da cibersegurança estabelecido no Regulamento (UE) 2019/881.

(2)

O Regulamento de Execução (UE) 2024/482 baseia-se em normas internacionais estabelecidas, a saber, os Critérios Comuns e a Metodologia Comum de Avaliação mantidos pela Organização Internacional de Normalização (ISO) e pela Comissão Eletrotécnica Internacional (IEC). O Regulamento de Execução (UE) 2024/482 faz referência às normas ISO/IEC, mas não especifica a versão aplicável dessas normas. Por conseguinte, há que especificar que versão das normas se aplica aos certificados emitidos ao abrigo do EUCC.

(3)

As organizações governamentais que contribuíram para o desenvolvimento dos Critérios Comuns e da Metodologia Comum de Avaliação por meio do Acordo de Reconhecimento de Certificados de Critérios Comuns no domínio da Segurança das TI (ARCC) são cotitulares, juntamente com a ISO/IEC, dos direitos de autor sobre os mesmos. Essas organizações governamentais conservam o respetivo direito de utilização. Tendo em conta a importância desses documentos decorrentes do ARCC, é conveniente que também eles constituam uma base para a certificação ao abrigo do EUCC.

(4)

As normas dos Critérios Comuns e da Metodologia Comum de Avaliação estão sujeitas a interpretações feitas pelo ARCC que facilitam a aplicação das mesmas e que podem ser tidas em conta pelos centros de avaliação da segurança das tecnologias da informação (ITSEF) e pelos organismos de certificação.

(5)

As normas internacionais relativas aos Critérios Comuns podem ser objeto de atualizações. Para assegurar uma transição ordenada e atempada, é conveniente definir regras de transição para dar aos vendedores, aos ITSEF e aos organismos de certificação, bem como a outros intervenientes relevantes, tempo suficiente para procederem aos ajustamentos necessários. Essas regras de transição devem alinhar-se, conforme adequado, pelas práticas mundiais, como as estabelecidas pelo ARCC.

(6)

O Regulamento de Execução (UE) 2024/482 não especifica até quando a certificação de um produto de TIC se pode basear nas versões anteriores das normas dos Critérios Comuns e da Metodologia Comum de Avaliação. Os domínios técnicos e os perfis de proteção enumerados nos anexos I, II e III do referido regulamento de execução baseiam-se em versões anteriores das normas ISO/IEC 15408 e 18045. O Regulamento de Execução (UE) 2024/482 deve, por conseguinte, especificar em que circunstâncias a versão anterior dos Critérios Comuns e da Metodologia Comum de Avaliação continua a ser aplicável e como se procederá à transição para a versão mais recente das normas internacionais.

(7)

Durante o período de transição, as partes interessadas devem dar prioridade à atualização dos domínios técnicos e dos perfis de proteção pertinentes. O Regulamento de Execução (UE) 2024/482 deve prever que as metas de segurança baseadas numa versão anterior das normas sejam aceites até 31 de dezembro de 2027, em consonância com a política de transição adotada pelo ARCC. No entanto, importa salientar que a política de transição do ARCC abrange avaliações iniciais de produtos e perfis de proteção com início, no máximo, em 30 de junho de 2024, data em que o EUCC ainda não era aplicável. Além disso, em conformidade com a política de transição do ARCC, o Regulamento de Execução (UE) 2024/482 deve prever que sejam aceites até 31 de dezembro de 2027 metas de segurança conformes com esse regulamento de execução que declarem a conformidade com perfis de proteção baseados numa versão anterior das normas. Acresce que, se for emitido um novo certificado ao abrigo do Regulamento de Execução (UE) 2024/482 no contexto de um processo de revisão de um certificado nacional que tenha início num prazo de dois anos a contar da emissão do certificado inicial, deve ser possível utilizar uma versão anterior das normas. Tal não será relevante no caso de um processo de revisão que não exija a emissão de um novo certificado ao abrigo do Regulamento de Execução (UE) 2024/482 e caso o certificado permaneça válido.

(8)

A fim de assegurar uma transição ordenada para a versão mais recente das normas, o Regulamento de Execução (UE) 2024/482 deve prever regras de transição específicas e continuar a permitir a emissão de certificados ao abrigo desse regulamento de execução que declarem a conformidade com perfis de proteção baseados em versões anteriores das normas publicadas pelo ARCC, sempre que a legislação da União exija a utilização de tais perfis de proteção. É o caso do Regulamento de Execução (UE) 2016/799 da Comissão (3), bem como do Regulamento (UE) n.o 910/2014 do Parlamento Europeu e do Conselho (4) e da Decisão de Execução (UE) 2016/650 da Comissão (5).

(9)

O anexo I do Regulamento de Execução (UE) 2024/482 enumera documentos sobre o estado da arte aplicáveis à avaliação de produtos de TIC e perfis de proteção. Todavia, não especifica a versão dos documentos. Há, pois, que especificar que versão dos documentos se aplica aos certificados emitidos ao abrigo do EUCC. Essas versões baseiam-se em documentos aprovados pelo Grupo Europeu para a Certificação da Cibersegurança (GECC), tendo sido objeto de uma análise mais aprofundada para a sua inclusão no EUCC. Além disso, o anexo I deve ser alterado de modo a incluir documentos atualizados e novos documentos sobre o estado da arte na sequência da sua aprovação pelo GECC, assegurando assim uma acreditação uniforme dos organismos de avaliação da conformidade no âmbito do EUCC. Os requisitos de acreditação relacionados com a acreditação de ITSEF devem ser atualizados para clarificar a aplicação dos critérios de independência e imparcialidade e deve ser estabelecido um novo documento sobre o estado da arte para a acreditação de organismos de certificação.

(10)

Os documentos sobre o estado da arte poderão ser acrescentados ao EUCC ou ser objeto de atualizações no contexto das suas atividades de manutenção. No caso de documentos sobre o estado da arte novos ou atualizados, poderá ser necessário estabelecer regras de transição adequadas para permitir que os vendedores, os ITSEF, os organismos de certificação e outras partes interessadas procedam aos ajustamentos necessários. Para a atualização do documento sobre o estado da arte relacionado com a acreditação de ITSEF, o documento atualizado só deve aplicar-se às acreditações emitidas antes de 8 de julho de 2025 quando as mesmas forem revistas, por exemplo no contexto de um procedimento de avaliação ou reavaliação. Além disso, o documento atualizado deve aplicar-se a todas as acreditações de ITSEF emitidas após 8 de julho de 2025.

(11)

São feitas outras retificações dos artigos 5.o, 8.o, 16.o, 29.o e 44.o e do anexo IV do Regulamento de Execução (UE) 2024/482 que contribuem para assegurar uma redação uniforme e uma interpretação jurídica clara.

(12)

As regras relativas às notificações dos organismos de avaliação da conformidade devem ser estabelecidas de forma transversal a todos os sistemas abrangidos pelo enquadramento europeu para a certificação da cibersegurança. O Regulamento de Execução (UE) 2024/3143 da Comissão (6) abarca essas regras de notificação. Os artigos 23.o e 24.o do Regulamento de Execução (UE) 2024/482 devem, portanto, ser suprimidos a partir da data de aplicação do Regulamento de Execução (UE) 2024/3143.

(13)

O Regulamento de Execução (UE) 2024/482 deve, por conseguinte, ser alterado e retificado em conformidade.

(14)

As medidas previstas no presente regulamento estão em conformidade com o parecer do comité criado pelo artigo 66.o do Regulamento (UE) 2019/881,

(1)

No artigo 2.o, os pontos 1 e 2 passam a ter a seguinte redação:

(2)

O artigo 3.o passa a ter a seguinte redação:

(*1)  Regulamento de Execução (UE) 2016/799 da Comissão, de 18 de março de 2016, que dá execução ao Regulamento (UE) n.o 165/2014 do Parlamento Europeu e do Conselho que estabelece os requisitos para construção, ensaio, instalação, funcionamento e reparação de tacógrafos e seus componentes (JO L 139 de 26.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg_impl/2016/799/oj)."

(*2)  Regulamento (UE) n.o 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno e que revoga a Diretiva 1999/93/CE (JO L 257 de 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj)."

(*3)  Decisão de Execução (UE) 2016/650 da Comissão, de 25 de abril de 2016, que estabelece normas para a avaliação da segurança dos dispositivos qualificados de criação de assinaturas e selos nos termos dos artigos 30.o, n.o 3, e 39.o, n.o 2, do Regulamento (UE) n.o 910/2014 do Parlamento Europeu e do Conselho relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno (JO L 109 de 26.4.2016, p. 40, ELI: http://data.europa.eu/eli/dec_impl/2016/650/oj).»;"

(3)

No capítulo IV, é inserido o seguinte artigo 20.o-A:

(4)

São suprimidos os artigos 23.o e 24.o;

(5)

Ao artigo 48.o é aditado o seguinte n.o 4:

(6)

Ao artigo 49.o é aditado o seguinte n.o 4:

(7)

O anexo I é substituído pelo texto constante do anexo I do presente regulamento;

(8)

O anexo IV é alterado em conformidade com o anexo II do presente regulamento.

(1)

No artigo 5.o, n.o 1, a alínea b) passa a ter a seguinte redação:

(2)

O artigo 8.o é retificado do seguinte modo:

(3)

O artigo 16.o passa a ter a seguinte redação:

(4)

No artigo 17.o, é suprimido o n.o 1;

(5)

No artigo 29.o, o n.o 2 passa a ter a seguinte redação: