REQUISITOS ESPECÍFICOS DE ACREDITAÇÃO CERTIFICAÇÃO DE SERVIÇOS ELETRÓNICOS DE CONFIANÇA (REGULAMENTO eIDAS)
OEC0281.

⚫

2021-03-19

Objetivo

O presente documento tem como objetivo definir o serviço de acreditação para o Regulamento (UE) n.º 910/2014 do Parlamento
Europeu e do Conselho de 23 de julho de 2014 relativo à identificação eletrónica e aos serviços de confiança para as transaçõeseletrónicas no mercado interno e que revoga a Diretiva 1999/93/CE, adiante designado por Regulamento eIDAS, em complemento
do estabelecido no DRC001, DRC006 e documentos conexos.

2.

Entidade competenteO Gabinete Nacional de segurança (GNS) atua como entidade supervisora no âmbito do Regulamento eIDAS, encontrando-se
informação relevante para a atuação dos organismos de certificação no seu sítio internet (www.gns.gov.pt).

3.

Norma de AcreditaçãoConsiderando o referencial de certificação em causa, este serviço está incluído no esquema de acreditação de Organismos deCertificação de Produtos, cujo referencial de acreditação é a ISO/IEC 17065, complementada pelas disposições das seguintes
normas:- ETSI EN 319 403-1 – Electronic Signatures and Infrastructures (ESI); Trust Service Provider Conformity Assessment; Part 1:
Requirements for conformity assessment bodies assessing Trust Service Providers- ETSI TS 119 403-2 - Electronic Signatures and Infrastructures (ESI); Trust Service Provider Conformity Assessment; Part 2:
Additional requirements for conformity assessment bodies auditing trust service providers that issue publicly-trustedcertificates- ETSI TS 119 403-3 - Electronic Signatures and Infrastructures (ESI); Trust Service Provider Conformity Assessment; Part 3:
Additional requirements for conformity assessment bodies assessing EU qualified trust service providers

4.

Documentos Aplicáveis

Consideram-se como documentos aplicáveis (de cumprimento obrigatório) os seguintes:- Regulamento (UE) N.º 910/2014 do Parlamento Europeu e do Conselho de 23 de julho de 2014 relativo à identificação eletrónica
e aos serviços de confiança para as transações eletrónicas no mercado interno (Regulamento eIDAS)- Decreto-Lei n.º 12/2021, de 9 de fevereiro que assegura a execução na ordem jurídica interna do Regulamento (UE) 910/2014,relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno- Portaria n.º 62/2021, de 17 de março que estabelece os requisitos do contrato de seguro de responsabilidade civil emergente
da atividade de prestação de serviços de confiança- Documentos normativos disponibilizados pelo Gabinete Nacional de Segurança nomeadamente quanto a requisitos dosauditores, duração das auditorias e modelo de relatório de auditoria

5.

Condições de Acesso

Para que possa ser aceite a candidatura de um organismo de certificação (OC), deve o mesmo:- Não estar em estado de falência, liquidação ou de cessação de atividade, ou ter pendentes processos correspondentes;- Não ter sido condenado, por sentença transitada em julgado, por qualquer delito que afete a honorabilidade profissional,nomeadamente fraude, ou ter sofrido punição disciplinar por falta grave em matéria profissional, se entretanto não tiver
ocorrido a reabilitação;- Não enviar, de forma consciente ou intencional, informação falsa, incompleta ou omissa com indução de dolo ao IPAC ou às
autoridades competentes;- Dispor de pelo menos um auditor qualificado para cada unidade de acreditação incluída ou a incluir no seu âmbito deacreditação.

Pág. 1 de 3

6.

Descrição do Âmbito de AcreditaçãoA descrição dos âmbitos de acreditação é feita com base nos âmbitos constantes do Regulamento eIDAS, conforme tabela a seguir,considerando-se cada linha como uma unidade de acreditação:REQUISITOS ESPECÍFICOS DE ACREDITAÇÃO CERTIFICAÇÃO DE SERVIÇOS ELETRÓNICOS DE CONFIANÇA (REGULAMENTO eIDAS)
OEC0282021-03-19⚫

Produto/ Processo/ Serviço

Especificação de Certificação

Procedimento de Certificação

Product/ Process/ Service

Certification criteria

Certification procedure

C35 - SERVIÇOS INFORMÁTICOS E CONEXOSINFORMATION TECHNOLOGY SERVICE

C35.07 - Certificação de prestadores de serviços de confiança em conformidade com o Regulamento (UE) Nº 910/2014 (eIDAS)
considerando também os requisitos da ETSI EN 319 403-1 (versão em vigor) e ETSI TS 119 403-2 (versão em vigor) e ETSI TS 119 403-3 (versãoem vigor)

Certificados qualificados de assinaturas eletrónicas

Regulamento (UE) Nº 910/2014
ETSI EN 319 401
ETSI EN 319 411-1
ETSI EN 319 411-2
ETSI EN 319 412-2
ETSI EN 319 412-5(1) (2)

Procedimento(s) de certificação
do OC

Regulamento (UE) Nº 910/2014
ETSI EN 319 401
ETSI EN 319 411-1
ETSI EN 319 411-2
ETSI EN 319 412-3
ETSI EN 319 412-5(2)Procedimento(s) de certificação
do OCRegulamento (UE) Nº 910/2014
ETSI EN 319 401
ETSI EN 319 411-1
ETSI EN 319 411-2
ETSI EN 319 412-4
ETSI EN 319 412-5

Procedimento(s) de certificação
do OCRegulamento (UE) Nº 910/2014
ETSI EN 319 401
ETSI EN 319 421
ETSI EN 319 422

Procedimento(s) de certificação
do OC

assinaturas

Regulamento (UE) Nº 910/2014
ETSI EN 319 401
ETSI TS 119 441
ETSI TS 119 442
ETSI EN 319 102-1
ETSI TS 119 102-2
ETSI TS 119 172-4

Procedimento(s) de certificação
do OCServiço qualificado de validação dos selos eletrónicos
qualificadosRegulamento (UE) Nº 910/2014
ETSI EN 319 401
ETSI TS 119 441
ETSI TS 119 442
ETSI EN 319 102-1
ETSI TS 119 102-2
ETSI TS 119 172-4

Procedimento(s) de certificação
do OCRegulamento (UE) Nº 910/2014
ETSI EN 319 401
ETSI TS 119 511
ETSI TS 119 512

Procedimento(s) de certificação
do OCRegulamento (UE) Nº 910/2014
ETSI EN 319 401
ETSI TS 119 511
ETSI TS 119 512

Procedimento(s) de certificação
do OCRegulamento (UE) Nº 910/2014
ETSI EN 319 401
ETSI EN 319 521
ETSI EN 319 522
ETSI EN 319 531
ETSI EN 319 532

Procedimento(s) de certificaçãodo OCRegulamento (UE) Nº 910/2014
ETSI EN 319 401
ETSI EN 319 411-1

Procedimento(s) de certificaçãodo OC(Artº 28º do Regulamento (UE) Nº 910/2014)

Certificados qualificados de selos eletrónicos(Artº 38º do Regulamento (UE) Nº 910/2014)

Certificados qualificados de autenticação de sítios web(Artº 45º do Regulamento (UE) Nº 910/2014)

Selos temporais qualificados(Artº 42º do Regulamento (UE) Nº 910/2014)

Serviço qualificado deeletrónicas qualificadas

validação de(Artº 33º do Regulamento (UE) Nº 910/2014)(Artº 40º do Regulamento (UE) Nº 910/2014)

Serviço qualificado de preservação de assinaturas
eletrónicas qualificadas(Artº 34º do Regulamento (UE) Nº 910/2014)

Serviço qualificado deeletrónicos qualificadospreservação

dosselos(Artº 40º do Regulamento (UE) Nº 910/2014)

Serviços qualificados de envio registado eletrónico
(Artº 44º do Regulamento (UE) Nº 910/2014)

Pág. 2 de 3

Certificados não qualificados(1) Quando aplicável, Despacho 154/2017 do Gabinete Nacional de Segurança, de 5 de dezembro(2) Quando aplicável, Despacho 155/2017 do Gabinete Nacional de Segurança, de 5 de dezembro

REQUISITOS ESPECÍFICOS DE ACREDITAÇÃO CERTIFICAÇÃO DE SERVIÇOS ELETRÓNICOS DE CONFIANÇA (REGULAMENTO eIDAS)
OEC028⚫

2021-03-19

Nota 1: O âmbito de acreditação constante do Anexo Técnico de Acreditação deverá fazer referência à versão da cada norma em vigor, exceto noscasos em que o organismo de certificação dispõe de uma descrição flexível do âmbito de acreditação.

7.

Procedimento de AcreditaçãoO procedimento de acreditação aplicável encontra-se descrito no DRC001 - Regulamento Geral de Acreditação e noDRC006 - Procedimento para Acreditação de Organismos de Certificação, os quais são complementados pelo conteúdo do presentedocumento.
Para a concessão da acreditação será necessária a realização de uma avaliação nas instalações do OC, complementada pela
realização de pelo menos de 1 testemunho presencial em cada uma das unidades de acreditação atrás identificadas.
Poderão ser avaliadas várias unidades num único testemunho, caso as atividades testemunhadas do prestador de serviços desegurança e do organismo de certificação o justifiquem.
O testemunho no âmbito “Certificados não qualificados” é dispensado com o testemunho num prestador de serviço qualificado.
Para a manutenção da acreditação, e tendo em conta as unidades para as quais o OC possua acreditação, será realizado pelo
menos 1 testemunho presencial em cada uma das unidades acima identificadas em cada ciclo de acreditação. Estes testemunhosserão complementados pela(s) correspondente(s) avaliação(es) nas instalações do OC. Nas situações em que o IPAC considere
existir um baixo risco de incumprimento, nomeadamente quando exista pouca atividade de certificação, poderá ser dispensada arealização de testemunho no ciclo para se evitar repetir a avaliação no mesmo cliente do OC.

8.

Requisitos para o processo de certificaçãoO processo de certificação deve seguir o exposto na norma ETSI EN 319 403, bem como as disposições abaixo.

8.1 Frequência das auditorias
As auditorias aos prestadores de serviços de confiança são efetuadas de acordo com os seguintes referenciais:- Legislação nacional em vigor;- Regulamento eIDAS.

8.2 Modelo de relatório

Pág. 3 de 3

Os relatórios de auditoria serão elaborados seguindo os padrões definidos em documento normativo disponibilizado pelo Gabinete
Nacional de Segurança.