COMISSÃO EUROPEIA Bruxelas, 15.9.2022 COM(2022) 454 final 2022/0272(COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais e que altera o Regulamento (UE) 2019/1020 (Texto relevante para efeitos do EEE) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



EXPOSIÇÃO DE MOTIVOS 1.CONTEXTO DA PROPOSTA •Razões e objetivos da proposta Os produtos de hardware e software estão cada vez mais sujeitos a ciberataques bem-sucedidos, o que terá dado origem a um custo anual global estimado da cibercriminalidade de 5,5 biliões de EUR até 2021. Estes produtos são afetados por dois problemas importantes que aumentam os custos para os utilizadores e para a sociedade: 1) um baixo nível de cibersegurança, que se traduz em vulnerabilidades generalizadas e numa disponibilização insuficiente e incoerente de atualizações de segurança para as resolver, e 2) um entendimento e um acesso deficientes dos utilizadores à informação, o que os impede de escolher produtos com propriedades de cibersegurança adequadas ou de os utilizar de forma segura. Num ambiente conectado, um incidente de cibersegurança num produto pode afetar toda uma organização ou toda a cadeia de abastecimento, propagando-se muitas vezes através das fronteiras do mercado interno numa questão de minutos, o que pode provocar perturbações graves das atividades económicas e sociais ou mesmo tornar-se uma ameaça para a vida das pessoas. A cibersegurança dos produtos com elementos digitais tem uma forte dimensão transfronteiriça, uma vez que os produtos fabricados num país são muitas vezes utilizados em todo o mercado interno. Além disso, os incidentes que afetam inicialmente uma única entidade ou um único Estado-Membro propagam-se com frequência numa questão de minutos por todo o mercado interno. Embora a legislação em vigor relativa ao mercado interno se aplique a determinados produtos com elementos digitais, a maioria dos produtos de hardware e software não está atualmente abrangida por nenhuma legislação da UE que aborde a sua cibersegurança. Em especial, o atual quadro jurídico da UE não aborda a cibersegurança de software não incorporado, apesar de os ataques de cibersegurança visarem cada vez mais as vulnerabilidades destes produtos, dando origem a custos sociais e económicos significativos. Existem numerosos exemplos de ciberataques importantes, resultantes de uma segurança insuficiente dos produtos, como o software de sequestro (do tipo verme) WannaCry, que explorou uma vulnerabilidade do Windows que afetou, em 2017, 200 000 computadores em 150 países e causou danos no montante de milhares de milhões de USD; o ataque à cadeia de abastecimento do Kaseya VSA, que utilizou o software de administração da rede da Kaseya para atacar mais de 1 000 empresas e forçou uma cadeia de supermercados a encerrar as suas 500 lojas em toda a Suécia; ou os inúmeros incidentes em que aplicações bancárias são pirateadas para roubar dinheiro a consumidores incautos. Foram identificados dois objetivos principais destinados a assegurar o bom funcionamento do mercado interno: 1) criar condições para o desenvolvimento de produtos com elementos digitais seguros, assegurando que sejam colocados no mercado produtos de hardware e software com menos vulnerabilidades, e garantir que os fabricantes encarem a segurança com seriedade ao longo de todo o ciclo de vida de um produto; e 2) criar condições que permitam aos utilizadores ter em conta a cibersegurança aquando da seleção e da utilização de produtos com elementos digitais. Foram definidos quatro objetivos específicos: i) assegurar que os fabricantes melhorem a segurança dos produtos com elementos digitais desde a fase de conceção e desenvolvimento e ao longo de todo o ciclo de vida; ii) assegurar um quadro de cibersegurança coerente, que facilite a conformidade por parte dos produtores de hardware e software; iii) aumentar a transparência das propriedades de segurança dos produtos com elementos digitais; e iv) permitir que as empresas e os consumidores utilizem produtos com elementos digitais de forma segura. A natureza marcadamente transfronteiriça da cibersegurança e o aumento dos incidentes com repercussões além-fronteiras e entre setores e produtos significam que os objetivos não podem ser eficazmente alcançados pelos Estados-Membros de forma isolada. Dada a natureza global dos mercados de produtos com elementos digitais, os Estados-Membros enfrentam, no respetivo território, os mesmos riscos para o mesmo produto com elementos digitais. Um quadro fragmentado emergente de regras nacionais potencialmente divergentes pode prejudicar um mercado único aberto e competitivo para os produtos com elementos digitais. Torna-se, deste modo, necessária uma ação conjunta a nível da UE a fim de aumentar o nível de confiança entre os utilizadores e a atratividade dos produtos da UE com elementos digitais. Esta beneficiará igualmente o mercado interno, proporcionando segurança jurídica e criando condições de concorrência equitativas para os vendedores de produtos com elementos digitais, conforme salientado no relatório final da Conferência sobre o Futuro da Europa, em que os cidadãos apelam ao reforço do papel da UE na luta contra as ameaças à cibersegurança. •Interação com as disposições existentes da mesma política setorial O quadro da UE inclui vários atos legislativos horizontais que abrangem determinados aspetos relacionados com a cibersegurança a partir de diferentes ângulos (produtos, serviços, gestão de crises e crimes). Em 2013, entrou em vigor a Diretiva relativa a ataques contra os sistemas de informação, que harmoniza a criminalização e as sanções aplicáveis a um conjunto de infrações contra os sistemas de informação. Em agosto de 2016, entrou em vigor a Diretiva (UE) 2016/1148 relativa à segurança das redes e da informação (Diretiva SRI). Trata-se do primeiro ato legislativo a nível da UE em matéria de cibersegurança. A sua revisão, que resultou na Diretiva [Diretiva XXX/XXXX (SRI 2)], aumenta o nível comum de ambição da UE. Em 2019, entrou em vigor o Regulamento Cibersegurança destinado a reforçar a segurança dos produtos, serviços e processos de TIC através da introdução de um quadro europeu para a certificação voluntária da cibersegurança. Só é possível garantir a cibersegurança de toda a cadeia de abastecimento se a totalidade dos seus componentes estiver protegida contra as ciberameaças. No entanto, a legislação da UE acima referida apresenta lacunas a este respeito, uma vez que não abrange os requisitos obrigatórios para a segurança dos produtos com elementos digitais. Se a proposta de ato legislativo sobre a ciber-resiliência abrange produtos com elementos digitais colocados no mercado, a Diretiva [Diretiva XXX/XXX (SRI 2)] visa assegurar um elevado nível de cibersegurança dos serviços prestados por entidades essenciais e importantes. A Diretiva [Diretiva XXX/XXXX (SRI 2)] exige que os Estados-Membros assegurem que as entidades essenciais e importantes abrangidas pelo âmbito de aplicação, como os prestadores de cuidados de saúde ou de serviços de computação em nuvem e as entidades da administração pública, tomem medidas técnicas, operacionais e organizativas adequadas e proporcionadas em matéria de cibersegurança. Tal inclui, nomeadamente, um requisito para garantir a segurança na aquisição, desenvolvimento e manutenção das redes e dos sistemas de informação, incluindo o tratamento e a divulgação de vulnerabilidades. A Diretiva [Diretiva XXX/XXXX (SRI 2)] exige que a Comissão adote atos de execução que estabeleçam os requisitos técnicos e metodológicos dessas medidas no prazo de 21 meses a contar da data de entrada em vigor desta diretiva para determinados tipos de entidades, como os prestadores de serviços de computação em nuvem. No caso das demais entidades, a Comissão pode adotar um ato de execução que estabeleça os requisitos técnicos e metodológicos, bem como os requisitos setoriais. Este quadro assegurará que as especificações técnicas e as medidas semelhantes aos requisitos essenciais de cibersegurança do ato legislativo sobre a ciber-resiliência também sejam aplicadas para a conceção, o desenvolvimento e o tratamento das vulnerabilidades do software prestado como um serviço (software-as-a-service). Tal poderá, por exemplo, constituir um meio para assegurar um elevado nível de cibersegurança em casos como os sistemas de registos de saúde eletrónicos (RSE), nomeadamente quando fornecidos sob a forma de software como serviço (SaaS) ou desenvolvidos em instituições de saúde (internamente), em conformidade com a proposta de [Regulamento Espaço Europeu de Dados de Saúde]. •Interação com outras políticas da União Tal como referido na Comunicação «Construir o futuro digital da Europa», é crucial que a UE tire partido de todos os benefícios da era digital e reforce a sua capacidade industrial e de inovação dentro de limites éticos e seguros. A estratégia europeia para os dados define quatro pilares – a proteção de dados, os direitos fundamentais, a segurança e a cibersegurança –, que constituem condições essenciais para uma sociedade capacitada pela utilização dos dados. O quadro jurídico da UE atualmente aplicável aos produtos que possam conter elementos digitais inclui vários atos legislativos, como a legislação da UE sobre produtos específicos respeitante aos aspetos ligados à segurança e a legislação geral em matéria de responsabilidade pelos produtos. A proposta é coerente com o atual quadro regulamentar da UE relacionado com os produtos, assim como com as recentes propostas legislativas, como a proposta de regulamento da Comissão [Regulamento Inteligência Artificial (IA)]. A proposta de regulamento será aplicável a todos os equipamentos de rádio no âmbito de aplicação do Regulamento Delegado (UE) 2022/30 da Comissão. Além disso, os requisitos estabelecidos no presente regulamento incluem todos os elementos dos requisitos essenciais a que se refere o artigo 3.º, n.º 3, alíneas d), e) e f), da Diretiva 2014/53/UE, incluindo os principais elementos estabelecidos na [Decisão de Execução XXX/2022 da Comissão relativa a um pedido de normalização às organizações europeias de normalização] emitido com base nesse regulamento delegado. A fim de evitar uma sobreposição regulamentar, prevê-se que a Comissão revogue ou altere o regulamento delegado no que diz respeito aos equipamentos de rádio abrangidos pelo regulamento proposto, de modo que este último lhes seja aplicável, assim que entrar em vigor. Além disso, a fim de evitar uma duplicação de esforços, prevê-se que a Comissão e as organizações europeias de normalização tenham em conta o trabalho de normalização realizado no contexto da Decisão de Execução C(2022)5637 da Comissão relativa a um pedido de normalização para o Regulamento Delegado 2022/30 da DER na elaboração e desenvolvimento de normas harmonizadas para facilitar a aplicação do regulamento. 2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE •Base jurídica

A base jurídica da proposta é o artigo 114.º do Tratado sobre o Funcionamento da União Europeia (TFUE), que prevê a adoção de medidas para assegurar o estabelecimento e o funcionamento do mercado interno. O objetivo da proposta é harmonizar os requisitos de cibersegurança dos produtos com elementos digitais em todos os Estados-Membros e eliminar os obstáculos à livre circulação de mercadorias. O artigo 114.º do TFUE pode ser utilizado como base jurídica para evitar a ocorrência destes obstáculos resultantes de leis e abordagens nacionais divergentes sobre a forma de resolver as incertezas e as lacunas jurídicas nos quadros jurídicos existentes. Além disso, o Tribunal de Justiça reconheceu que a aplicação de requisitos técnicos heterogéneos pode constituir um motivo válido para desencadear a aplicação do artigo 114.º do TFUE. O atual quadro legislativo da UE aplicável aos produtos com elementos digitais baseia-se no artigo 114.º do TFUE e compreende vários atos legislativos, incluindo sobre produtos específicos e aspetos ligados à segurança ou a legislação geral em matéria de responsabilidade pelos produtos. No entanto, abrange apenas determinados aspetos relacionados com a cibersegurança de produtos digitais corpóreos e, se for caso disso, de software incorporado nesses produtos. A nível nacional, os Estados-Membros começam a tomar medidas nacionais que exigem que os fornecedores de produtos digitais reforcem a sua cibersegurança. Paralelamente, a cibersegurança dos produtos digitais tem uma dimensão transfronteiriça particularmente forte, uma vez que os produtos fabricados num país são muitas vezes utilizados por organizações e consumidores em todo o mercado interno. Os incidentes que inicialmente dizem respeito a uma só entidade ou Estado-Membro propagam-se com frequência numa questão de minutos por organizações, setores e vários Estados-Membros. Os vários atos e iniciativas adotados até à data a nível da UE e a nível nacional apenas abordam parcialmente os problemas identificados e correm o risco de criar um mosaico legislativo no mercado interno, aumentando a insegurança jurídica tanto para os fornecedores como para os utilizadores destes produtos e impondo desnecessariamente mais encargos às empresas no cumprimento de uma série de requisitos para tipos semelhantes de produtos. O regulamento proposto harmonizará e simplificará o quadro regulamentar da UE, introduzindo requisitos de cibersegurança dos produtos com elementos digitais e evitando a sobreposição de requisitos decorrentes de diferentes atos legislativos. Criar-se-á, assim, uma maior segurança jurídica para os operadores e utilizadores em toda a União, bem como uma melhor harmonização do mercado único europeu, dando origem a condições mais viáveis para os operadores que pretendam entrar no mercado da UE. •Subsidiariedade (no caso de competência não exclusiva) A natureza marcadamente transfronteiriça da cibersegurança em geral e o número crescente de riscos e incidentes com repercussões além-fronteiras e entre setores e produtos significam que os objetivos da presente intervenção não podem ser eficazmente alcançados pelos Estados-Membros de forma isolada. As abordagens nacionais à resolução dos problemas e, em especial, as abordagens que introduzem requisitos obrigatórios criarão insegurança jurídica e barreiras jurídicas adicionais. As empresas poderão deparar-se com obstáculos à sua fácil expansão para outros Estados-Membros, privando os utilizadores dos benefícios dos seus produtos. Por conseguinte, é necessária uma ação conjunta a nível da UE para estabelecer um elevado nível de confiança entre os utilizadores, aumentando a atratividade dos produtos da UE com elementos digitais. Esta beneficiará igualmente o mercado único digital e o mercado interno em geral, proporcionando segurança jurídica e criando condições de concorrência equitativas para os fabricantes de produtos com elementos digitais. Em última análise, as Conclusões do Conselho de 23 de maio de 2022 sobre o desenvolvimento da postura da União Europeia no ciberespaço instam a Comissão a propor, até ao final de 2022, requisitos comuns de cibersegurança para os dispositivos conectados. •Proporcionalidade No que diz respeito à proporcionalidade do regulamento proposto, as medidas previstas nas opções estratégicas consideradas não excederão o necessário para alcançar os objetivos gerais e específicos e não implicarão custos desproporcionados. Mais concretamente, a intervenção considerada assegurará a proteção dos produtos com elementos digitais ao longo de todo o seu ciclo de vida e proporcionalmente aos riscos enfrentados através de requisitos orientados para objetivos e neutros do ponto de vista tecnológico, que continuam a ser razoáveis e correspondem, de modo geral, ao interesse das entidades envolvidas. Os requisitos essenciais de cibersegurança da proposta baseiam-se em normas amplamente utilizadas e o processo de normalização subsequente terá em conta as especificidades técnicas dos produtos. Quer isto dizer que, sempre que necessário para um determinado nível de risco, os controlos de segurança serão adaptados. Além disso, as regras horizontais previstas apenas contemplarão a avaliação por terceiros de produtos críticos, o que incluirá apenas uma parte limitada do mercado de produtos com elementos digitais. O impacto nas PME dependerá da sua presença no mercado destas categorias específicas de produtos. No que se refere à proporcionalidade dos custos da avaliação da conformidade, os organismos notificados que realizam as avaliações externas terão em conta a dimensão da empresa ao fixarem as taxas. Será igualmente previsto um período de transição razoável de 24 meses para preparar a execução, o que dá tempo aos mercados relevantes para se prepararem, transmitindo simultaneamente uma orientação clara para os investimentos em I&D. Quaisquer custos de conformidade para as empresas serão compensados pelos benefícios proporcionados por um nível mais elevado de segurança dos produtos com elementos digitais e, em última análise, pelo aumento da confiança dos utilizadores nestes produtos. •Escolha do instrumento Uma intervenção regulamentar implicará a adoção de um regulamento e não de uma diretiva. Com efeito, para este tipo específico de legislação relativa a produtos, um regulamento resolverá de forma mais eficaz os problemas identificados e cumprirá os objetivos formulados, uma vez que se trata de uma intervenção que condiciona a colocação no mercado interno de uma categoria muito vasta de produtos. O processo de transposição, no caso de uma diretiva relativa a esse tipo de intervenção, poderá deixar uma margem discricionária excessiva a nível nacional, conduzindo potencialmente à falta de uniformidade de certos requisitos essenciais em matéria de cibersegurança, à insegurança jurídica, a uma maior fragmentação ou mesmo a situações discriminatórias transfronteiriças, tanto mais se for tido em conta o facto de os produtos abrangidos poderem ter múltiplas finalidades ou utilizações e de os fabricantes poderem produzir várias categorias desses produtos. 3.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO •Consultas das partes interessadas A Comissão consultou um vasto leque de partes interessadas. Os Estados-Membros e as partes interessadas foram convidados a participar na consulta pública aberta e nos inquéritos e seminários organizados no contexto de um estudo de apoio aos trabalhos preparatórios da Comissão para a avaliação de impacto realizado por um consórcio composto pela Wavestone, pelo Centro de Estudos de Política Europeia (CEPE) e pela ICF. As partes interessadas consultadas incluíram autoridades nacionais de fiscalização do mercado, organismos da União que lidam com a cibersegurança, fabricantes de hardware e software, importadores e distribuidores de hardware e software, associações comerciais, organizações de consumidores e utilizadores de produtos com elementos digitais e cidadãos, investigadores e universidades, organismos notificados e organismos de acreditação e ainda profissionais do setor da cibersegurança. As atividades de consulta incluíram: ·Um primeiro estudo realizado por um consórcio composto pela ICF, a Wavestone, a Carsa e o CEPE, que foi publicado em dezembro de 2021. O estudo identificou várias deficiências do mercado e avaliou possíveis intervenções regulamentares.

·Uma consulta pública aberta dirigida a cidadãos, partes interessadas e peritos em cibersegurança. Foram apresentadas 176 respostas. Estas contribuíram para a recolha de opiniões e experiências diversas de todos os grupos de partes interessadas. ·Os seminários organizados no âmbito do estudo de apoio aos trabalhos preparatórios da Comissão para um ato legislativo sobre a ciber-resiliência reuniram cerca de 100 representantes de uma série de partes interessadas, provenientes dos 27 Estados-Membros. ·Foram realizadas entrevistas a especialistas para obter um entendimento mais aprofundado dos atuais desafios em matéria de cibersegurança relacionados com produtos com elementos digitais, bem como para debater opções estratégicas para uma eventual intervenção regulamentar. ·Foram realizados debates bilaterais com as autoridades nacionais de cibersegurança, o setor privado e as organizações de consumidores. ·Foram conduzidas ações de sensibilização específicas junto das principais partes interessadas das PME. •Recolha e utilização de conhecimentos especializados As atividades de consulta visaram obter contributos sobre os cinco principais critérios de avaliação com base nas orientações da UE para legislar melhor (eficácia, eficiência, pertinência, coerência, valor acrescentado da UE), assim como sobre os potenciais impactos de possíveis opções para o futuro. O contratante não só contactou as partes interessadas que serão diretamente afetadas pela proposta de regulamento, como também consultou um vasto leque de peritos no domínio da cibersegurança. •Avaliação de impacto A Comissão realizou uma avaliação de impacto da presente proposta, que foi analisada pelo Comité de Controlo da Regulamentação (CCR) da Comissão. Em 6 de julho de 2022, realizou-se uma reunião com o CCR, a que se seguiu um parecer positivo. A avaliação de impacto foi ajustada para dar resposta às recomendações e observações do CCR. A Comissão examinou diferentes opções estratégicas para alcançar os objetivos gerais da proposta: ·Abordagem não vinculativa e medidas voluntárias (opção 1): nesta opção, não haveria qualquer intervenção regulamentar obrigatória. Pelo contrário, a Comissão emitiria comunicações, orientações, recomendações e, eventualmente, códigos de conduta para incentivar medidas voluntárias. Continuariam a ser desenvolvidos regimes nacionais, voluntários ou obrigatórios, a fim de compensar a ausência de regras horizontais da UE. ·Intervenção regulamentar ad hoc específica para a cibersegurança dos produtos corpóreos com elementos digitais e respetivo software incorporado (opção 2): esta opção implicaria uma intervenção regulamentar ad hoc específica para cada produto, que se limitaria a acrescentar e/ou a alterar os requisitos de cibersegurança na legislação já em vigor ou a introduzir nova legislação à medida que surgissem novos riscos, incluindo, eventualmente, sobre software não incorporado. As opções 3 e 4 implicam uma intervenção regulamentar horizontal de âmbito variável, em grande medida em conformidade com o novo quadro legislativo (NQL). Este quadro estabelece requisitos essenciais como condição para a colocação de determinados produtos no mercado interno. O NQL também prevê, por norma, uma avaliação da conformidade, um processo conduzido pelo fabricante para demonstrar se foram cumpridos os requisitos especificados relativos a um produto. ·Abordagem mista, incluindo regras vinculativas horizontais sobre a cibersegurança dos produtos corpóreos com elementos digitais e respetivo software incorporado e uma abordagem faseada para o software não incorporado (opção 3): esta opção implicaria um regulamento que introduz requisitos horizontais de cibersegurança para todos os produtos corpóreos com elementos digitais e o software neles incorporado, como condição para a colocação no mercado, e incluiria duas subopções com e sem avaliação obrigatória por terceiros (3i e 3ii). O software não incorporado não seria regulamentado. ·Uma intervenção regulamentar horizontal que introduz requisitos de cibersegurança para uma vasta gama de produtos digitais corpóreos e não corpóreos com elementos digitais, incluindo software não incorporado (opção 4): esta opção assemelha-se à opção 3, com exceção do âmbito de aplicação. A opção 4 incluiria o software não incorporado (com duas subopções que englobariam, respetivamente, apenas o software crítico (4a) ou todo o software (4a) no âmbito de um eventual regulamento. Para cada subopção, seriam consideradas as mesmas subopções relacionadas com a avaliação da conformidade que para a opção 3. A opção 4 (com subopções que abrangem todo o software e envolvem a avaliação obrigatória por terceiros de produtos críticos) foi considerada a opção preferida com base na avaliação da eficácia em relação aos objetivos específicos e à eficiência custos-benefícios. Esta opção assegurará a definição de requisitos horizontais específicos de cibersegurança para todos os produtos com elementos digitais colocados ou disponibilizados no mercado interno e será a única opção a abranger toda a cadeia de abastecimento digital. O software não incorporado, muitas vezes exposto a vulnerabilidades, também será abrangido por essa intervenção regulamentar, assegurando assim uma abordagem coerente em relação a todos os produtos com elementos digitais, com uma partilha clara das responsabilidades dos vários operadores económicos. Esta opção estratégica também proporciona valor acrescentado ao abranger aspetos relacionados com o dever de diligência e todo o ciclo de vida após a colocação dos produtos com elementos digitais no mercado, a fim de assegurar, nomeadamente, informações adequadas sobre o apoio prestado no domínio da segurança e a disponibilização de atualizações de segurança. Esta opção estratégica será também mais eficaz para complementar a recente revisão do quadro de SRI, garantindo os pré-requisitos para uma segurança reforçada da cadeia de abastecimento. A opção preferida gerará benefícios significativos para as várias partes interessadas. Para as empresas, permitirá evitar a aplicação de regras de segurança divergentes aos produtos com elementos digitais e reduzir os custos de conformidade com a legislação conexa em matéria de cibersegurança. Reduzirá o número de ciberincidentes, os custos do tratamento de incidentes e os danos à reputação. Para a UE no seu conjunto, estima-se que a iniciativa possa conduzir a uma redução dos custos decorrentes de incidentes que afetam as empresas em cerca de 180 a 290 mil milhões de EUR por ano. Conduzirá a um aumento do volume de negócios em virtude do aumento da procura de produtos com elementos digitais. Melhorará a reputação global das empresas, levando a um aumento da procura também por parte de países terceiros. Para os utilizadores, a opção preferida reforçará a transparência das propriedades de segurança e facilitará a utilização de produtos com elementos digitais. Os consumidores e os cidadãos também beneficiarão de uma melhor proteção dos seus direitos fundamentais, como a privacidade e a proteção de dados. Quando convidados a classificar a eficácia das intervenções estratégicas, os respondentes na consulta pública concordaram que a opção 4 seria a medida mais eficaz (4,08 numa escala de 1 a 5). Entre os respondentes, contavam-se organizações de consumidores (5,00), pessoas que se identificavam como utilizadores (4,22), organismos notificados (4,17), autoridades de fiscalização do mercado (5,00) e produtores de produtos com elementos digitais (3,85), incluindo os de pequena e média dimensão (4,05). •Adequação da regulamentação e simplificação

A presente proposta estabelece requisitos aplicáveis aos fabricantes de software e hardware. Verifica-se a necessidade de garantir a segurança jurídica e evitar uma maior fragmentação, a nível do mercado, dos requisitos de cibersegurança relacionados com os produtos no mercado interno, o que foi demonstrado pelo amplo apoio de várias partes interessadas a uma intervenção horizontal. A proposta minimizará os encargos regulamentares impostos aos fabricantes por vários atos legislativos em matéria de segurança dos produtos. O alinhamento com o NQL significa um melhor funcionamento da intervenção e da sua aplicação. A proposta simplifica o processo dos procedimentos de salvaguarda ao envolver os fabricantes e os Estados-Membros de a Comissão ser notificada. Uma grande parte dos fabricantes abrangidos pelo âmbito de aplicação da proposta já está familiarizada com o funcionamento do NQL, o que contribuirá para a sua compreensão e aplicação. Para os consumidores e as empresas, a proposta promoverá a confiança nos produtos com elementos digitais. •Direitos fundamentais Espera-se que todas as opções estratégicas reforcem, em certa medida, a proteção dos direitos e liberdades fundamentais, como a privacidade, a proteção dos dados pessoais, a liberdade de empresa e a proteção da propriedade ou da dignidade e integridade pessoais. Em especial, a opção 4 (a opção preferida), que consiste em intervenções regulamentares horizontais e num vasto âmbito político, será a mais eficaz a este respeito, uma vez que é mais provável que ajude a reduzir o número e a gravidade dos incidentes, incluindo as violações de dados pessoais. Aumentará igualmente a segurança jurídica e assegurará condições equitativas para os operadores económicos, reforçará a confiança entre os utilizadores e a atratividade dos produtos da UE com elementos digitais no seu conjunto, protegendo assim a propriedade e melhorando as condições para os operadores económicos exercerem a sua atividade. Os requisitos horizontais de cibersegurança contribuirão para a segurança dos dados pessoais, protegendo a confidencialidade, a integridade e a disponibilidade de informações em produtos com elementos digitais. O cumprimento desses requisitos facilitará o cumprimento do requisito de segurança do tratamento de dados pessoais previsto no Regulamento (UE) 2016/679 relativo à proteção de dados (RGPD). A proposta reforçará a transparência e a informação dos utilizadores, incluindo aqueles que possam possuir menos competências em matéria de cibersegurança. Os utilizadores estarão também mais bem informados sobre os riscos, as capacidades e as limitações dos produtos com elementos digitais, o que os colocará numa melhor posição para tomar as medidas preventivas e de atenuação necessárias para reduzir os riscos residuais. 4.INCIDÊNCIA ORÇAMENTAL A fim de desempenhar as funções atribuídas à Agência da União Europeia para a Cibersegurança (ENISA) ao abrigo do presente regulamento, a ENISA terá de reafetar recursos na ordem dos 4,5 ETC aproximadamente. A Comissão terá de atribuir 7 ETC para cumprir as suas responsabilidades em matéria de execução ao abrigo do presente regulamento. É disponibilizada uma panorâmica pormenorizada dos custos na «ficha financeira» anexa à presente proposta. 5.OUTROS ELEMENTOS •Planos de execução e acompanhamento, avaliação e prestação de informações A Comissão acompanhará a execução, a aplicação e a conformidade com as referidas novas disposições com vista a avaliar a sua eficácia. O regulamento solicitará uma avaliação e revisão pela Comissão e a apresentação de um relatório público sobre esta matéria ao Parlamento Europeu e ao Conselho até 36 meses após a data de aplicação e, posteriormente, de quatro em quatro anos. •Explicação pormenorizada das disposições específicas da proposta Disposições gerais (capítulo I) A presente proposta de regulamento estabelece a) regras para a colocação no mercado de produtos com elementos digitais, a fim de garantir a cibersegurança desses produtos; b) requisitos essenciais para a conceção, o desenvolvimento e a produção de produtos com elementos digitais e obrigações dos operadores económicos em relação a esses produtos no que diz respeito à cibersegurança; c) requisitos essenciais para os processos de tratamento das vulnerabilidades aplicados pelos fabricantes para assegurar a cibersegurança dos produtos com elementos digitais durante todo o ciclo de vida, bem como obrigações dos operadores económicos em relação a estes processos; d) regras relativas à fiscalização do mercado e à aplicação das regras e requisitos acima referidos. O regulamento proposto será aplicável a todos os produtos com elementos digitais cuja utilização prevista e razoavelmente previsível inclua uma conexão de dados lógica ou física, direta ou indireta, a um dispositivo ou rede. O regulamento proposto não será aplicável aos produtos com elementos digitais abrangidos pelo âmbito de aplicação do Regulamento (UE) 2017/745 [dispositivos médicos para uso humano e acessórios para esses dispositivos] e do Regulamento (UE) 2017/746 [dispositivos médicos para diagnóstico in vitro para uso humano e acessórios desses dispositivos], uma vez que ambos os regulamentos preveem requisitos relativos a dispositivos, incluindo em matéria de software e obrigações gerais dos fabricantes, abrangendo todo o ciclo de vida dos produtos, bem como procedimentos de avaliação da conformidade. O presente regulamento não será aplicável aos produtos com elementos digitais que tenham sido certificados em conformidade com o Regulamento (UE) 2018/1139 [nível elevado e uniforme de segurança da aviação civil], nem aos produtos aos quais se aplica o Regulamento (UE) 2019/2144 [relativo aos requisitos de homologação dos veículos a motor e seus reboques e dos sistemas, componentes e unidades técnicas destinados a esses veículos]. Os produtos críticos com elementos digitais devem estar sujeitos a procedimentos de avaliação da conformidade específicos e ser divididos nas classes I e II, tal como estabelecido no anexo III, de modo a refletir o seu nível de risco de cibersegurança, representando a classe II um risco mais elevado. Um produto com elementos digitais é considerado crítico e, por conseguinte, incluído no anexo III, atendendo ao impacto das potenciais vulnerabilidades de cibersegurança incluídas no produto com elementos digitais. A funcionalidade do produto com elementos digitais relacionada com a cibersegurança e a utilização prevista em ambientes sensíveis, nomeadamente em contexto industrial, são tidas em conta na determinação do risco de cibersegurança. A Comissão fica igualmente habilitada a adotar atos delegados a fim de completar o presente regulamento especificando as categorias de produtos altamente críticos com elementos digitais para as quais se exige que os fabricantes obtenham um certificado europeu de cibersegurança ao abrigo de um sistema europeu de certificação da cibersegurança de modo a demonstrar a conformidade com os requisitos essenciais constantes do anexo I, ou partes dos mesmos. Ao determinar essas categorias de produtos altamente críticos com elementos digitais, a Comissão deve ter em conta o nível de risco de cibersegurança associado à categoria de produtos com elementos digitais, à luz de um ou vários dos critérios considerados para a inclusão de produtos críticos com elementos digitais no anexo III, bem como tendo em vista avaliar se essa categoria de produtos é utilizada ou serve de base às entidades essenciais do tipo referido no anexo [anexo I] da Diretiva [Diretiva XXX/XXXX (SRI 2)] ou se é suscetível de ter importância futura para as atividades dessas entidades; ou se é relevante para a resiliência da cadeia de abastecimento global dos produtos com elementos digitais face a acontecimentos disruptivos. Obrigações dos operadores económicos (capítulo II) A proposta engloba obrigações para fabricantes, importadores e distribuidores com base nas disposições de referência previstas na Decisão n.º 768/2008/CE. Os requisitos e obrigações essenciais de cibersegurança exigem que todos os produtos com elementos digitais só sejam disponibilizados no mercado se, quando devidamente fornecidos, corretamente instalados, mantidos e utilizados para a finalidade prevista ou em condições razoavelmente previsíveis, cumprirem os requisitos essenciais de cibersegurança estabelecidos no presente regulamento.

Os requisitos e obrigações essenciais exigirão que os fabricantes tenham em conta a cibersegurança na conceção, no desenvolvimento e na produção dos produtos com elementos digitais, exerçam a devida diligência sobre os aspetos de segurança aquando da conceção e do desenvolvimento dos seus produtos, sejam transparentes sobre os aspetos de cibersegurança que devem ser comunicados aos clientes, assegurem o apoio prestado no domínio da segurança (atualizações) de forma proporcionada e cumpram os requisitos de tratamento das vulnerabilidades. Serão estabelecidas obrigações para os operadores económicos, desde os fabricantes até aos distribuidores e importadores, no que respeita à colocação no mercado de produtos com elementos digitais, de acordo com as suas funções e responsabilidades na cadeia de abastecimento. Conformidade do produto com elementos digitais (capítulo III) Presume-se que o produto com elementos digitais que está em conformidade com as normas harmonizadas ou partes destas, cujas referências tenham sido publicadas no Jornal Oficial da União Europeia, esteja conforme com os requisitos essenciais da presente proposta de regulamento. Caso não existam normas harmonizadas ou estas sejam insuficientes, ou caso se verifiquem atrasos indevidos no procedimento de normalização ou o pedido da Comissão não tenha sido aceite pelas organizações europeias de normalização, a Comissão pode, por meio de atos de execução, adotar especificações comuns. Além disso, presume-se que os produtos com elementos digitais que tenham sido certificados ou para os quais tenha sido emitida uma declaração de conformidade ou um certificado UE no âmbito de um sistema europeu de certificação da cibersegurança nos termos do Regulamento (UE) 2019/881, e relativamente aos quais a Comissão tenha especificado, por meio de um ato de execução, que pode conferir presunção de conformidade com o presente regulamento, cumprem os requisitos essenciais do presente regulamento, ou partes destes, contanto que a declaração de conformidade da UE ou o certificado de cibersegurança, ou partes destes, abranjam esses requisitos. Ademais, a fim de evitar encargos administrativos indevidos para os fabricantes, se for caso disso, a Comissão deve especificar se um certificado de cibersegurança emitido ao abrigo desse sistema europeu de certificação da cibersegurança elimina a obrigação de os fabricantes realizarem uma avaliação da conformidade por terceiros, tal como previsto no presente regulamento para os requisitos correspondentes. O fabricante deve realizar uma avaliação da conformidade do produto com elementos digitais e dos processos de tratamento das vulnerabilidades que aplicou para demonstrar a conformidade com os requisitos essenciais estabelecidos no anexo I, seguindo um dos procedimentos previstos no anexo VI. Os fabricantes de produtos críticos das classes I e II devem utilizar os respetivos módulos necessários para a conformidade. Os fabricantes de produtos críticos da classe II devem recorrer a um terceiro para realizar a sua avaliação da conformidade. Notificação dos organismos de avaliação da conformidade (capítulo IV) O funcionamento adequado dos organismos notificados é crucial para assegurar um elevado nível de cibersegurança e para a confiança de todas as partes interessadas no sistema da nova abordagem. Por conseguinte, em conformidade com a Decisão 768/2008/CE, a proposta estabelece os requisitos aplicáveis às autoridades nacionais responsáveis pelos organismos de avaliação da conformidade (organismos notificados). É deixada aos Estados-Membros a responsabilidade final de designar e controlar os organismos notificados. Os Estados-Membros devem designar uma autoridade notificadora responsável pela instauração e pela execução dos procedimentos necessários para a avaliação e a notificação dos organismos de avaliação da conformidade, bem como pelo controlo dos organismos notificados. Fiscalização do mercado e aplicação da legislação (capítulo V) Em conformidade com o Regulamento (UE) 2019/1020, as autoridades nacionais de fiscalização do mercado realizam a fiscalização do mercado no território do respetivo Estado-Membro. Os Estados-Membros podem optar por designar qualquer autoridade existente ou nova para atuar como autoridade de fiscalização do mercado, incluindo as autoridades nacionais competentes estabelecidas no artigo [artigo X] da Diretiva [Diretiva XXX/XXXX (SRI 2)] ou as autoridades nacionais de certificação da cibersegurança designadas a que se refere o artigo 58.º do Regulamento (UE) 2019/881. Os operadores económicos são convidados a cooperar plenamente com as autoridades de fiscalização do mercado e outras autoridades competentes. Poderes delegados e procedimentos de comité (capítulo VI) A fim de assegurar que o quadro regulamentar possa ser adaptado sempre que necessário, o poder de adotar atos nos termos do artigo 290.º do TFUE é delegado na Comissão para atualizar a lista de produtos críticos das classes I e II e especificar as definições destes produtos; especificar se é necessária uma limitação ou exclusão para produtos com elementos digitais abrangidos por outras regras da União que estabeleçam requisitos suscetíveis de alcançar o mesmo nível de proteção do presente regulamento; impor a certificação de determinados produtos altamente críticos com elementos digitais com base nos critérios estabelecidos no presente regulamento; especificar o conteúdo mínimo da declaração de conformidade UE e completar os elementos a incluir na documentação técnica. A Comissão fica igualmente habilitada a adotar atos de execução para: especificar o formato ou os elementos das obrigações de informação e da lista de materiais do software; especificar os sistemas europeus de certificação da cibersegurança que podem ser utilizados para demonstrar a conformidade com os requisitos essenciais ou partes dos mesmos estabelecidos no presente regulamento; adotar especificações comuns; estabelecer especificações técnicas para a aposição da marcação CE; adotar medidas corretivas ou restritivas a nível da União em circunstâncias excecionais que justifiquem uma intervenção imediata para preservar o bom funcionamento do mercado interno. Confidencialidade e sanções (capítulo VII) Todas as partes envolvidas na aplicação do presente regulamento devem respeitar a confidencialidade das informações e dos dados obtidos no desempenho das suas funções e atividades. A fim de assegurar a aplicação efetiva das obrigações estabelecidas no presente regulamento, cada autoridade de fiscalização do mercado deve ter poderes para impor ou solicitar a imposição de coimas. Pela mesma ordem de ideias, o presente regulamento estabelece níveis máximos para as coimas administrativas que devem ser previstos na legislação nacional em caso de incumprimento das obrigações estabelecidas no presente regulamento. Disposições transitórias e finais (capítulo VIII) A fim de permitir que os fabricantes, os organismos notificados e os Estados-Membros disponham de tempo para se adaptarem aos novos requisitos, o regulamento proposto será aplicável [24 meses] após a sua entrada em vigor, com exceção da obrigação de comunicação de informações imposta aos fabricantes, que será aplicável a partir de [12 meses] após a data de entrada em vigor.





2022/0272 (COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais e que altera o Regulamento (UE) 2019/1020 (Texto relevante para efeitos do EEE) O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.º, Tendo em conta a proposta da Comissão Europeia, Após transmissão do projeto de ato legislativo aos parlamentos nacionais, Tendo em conta o parecer do Comité Económico e Social Europeu, Tendo em conta o parecer do Comité das Regiões, Deliberando de acordo com o processo legislativo ordinário, Considerando o seguinte: (1)É necessário melhorar o funcionamento do mercado interno estabelecendo um quadro jurídico uniforme para os requisitos essenciais de cibersegurança aplicáveis à colocação de produtos com elementos digitais no mercado da União. Importa resolver dois problemas importantes que aumentam os custos para os utilizadores e para a sociedade: o baixo nível de cibersegurança dos produtos com elementos digitais, que se traduz em vulnerabilidades generalizadas e na oferta insuficiente e incoerente de atualizações de segurança para as resolver, e o entendimento e acesso deficientes dos utilizadores à informação, que os impede de escolher produtos com propriedades de cibersegurança adequadas ou de os utilizar de forma segura. (2)O presente regulamento visa estabelecer as condições-limite para o desenvolvimento de produtos com elementos digitais seguros, garantindo que sejam colocados no mercado produtos de hardware e software com menos vulnerabilidades e que os fabricantes encarem a segurança com seriedade ao longo de todo o ciclo de vida de um produto. Pretende ainda criar condições que permitam aos utilizadores ter em conta a cibersegurança aquando da seleção e da utilização de produtos com elementos digitais. (3)A legislação pertinente da União atualmente em vigor contempla vários conjuntos de regras horizontais que abordam determinados aspetos relacionados com a cibersegurança a partir de diferentes ângulos, incluindo medidas para melhorar a segurança da cadeia de abastecimento digital. No entanto, a legislação da União em vigor em matéria de cibersegurança, nomeadamente a [Diretiva XXX/XXXX (SRI 2)] e o Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho, não abrange diretamente os requisitos obrigatórios de segurança dos produtos com elementos digitais. (4)Embora a legislação da União em vigor se aplique a determinados produtos com elementos digitais, não existe um quadro regulamentar horizontal da União que estabeleça requisitos abrangentes de cibersegurança para todos os produtos com elementos digitais. Os diversos atos e iniciativas adotados até à data a nível da União e a nível nacional apenas abordam parcialmente os problemas e riscos identificados relacionados com a cibersegurança, criando um mosaico legislativo no mercado interno, aumentando a insegurança jurídica tanto para os fabricantes como para os utilizadores desses produtos e impondo desnecessariamente mais encargos às empresas no cumprimento de uma série de requisitos para tipos semelhantes de produtos. A cibersegurança destes produtos tem uma dimensão transfronteiriça particularmente forte, uma vez que os produtos fabricados num país são muitas vezes utilizados por organizações e consumidores em todo o mercado interno, o que torna necessário regulamentar este domínio a nível da União. O panorama regulamentar da União deve ser harmonizado através da introdução de requisitos de cibersegurança para os produtos com elementos digitais. Além disso, há que garantir segurança aos operadores e utilizadores em toda a União, assim como uma melhor harmonização do mercado único, criando condições mais viáveis para os operadores que pretendam entrar no mercado da União. (5)A nível da União, vários documentos programáticos e políticos, como a Estratégia de Cibersegurança da UE para a Década Digital, as Conclusões do Conselho de 2 de dezembro de 2020 e de 23 de maio de 2022 ou a Resolução do Parlamento Europeu de 10 de junho de 2021, apelaram à criação de requisitos específicos da União em matéria de cibersegurança para produtos digitais ou conectados, sendo que vários países em todo o mundo introduziram medidas para resolver esta questão por sua própria iniciativa. No relatório final da Conferência sobre o Futuro da Europa, os cidadãos apelaram ao reforço do papel da UE na luta contra as ameaças à cibersegurança. (6)A fim de aumentar o nível global de cibersegurança de todos os produtos com elementos digitais colocados no mercado interno, é necessário introduzir requisitos essenciais de cibersegurança para estes produtos, que sejam orientados para objetivos, tecnologicamente neutros e horizontalmente aplicáveis. (7)Em determinadas condições, todos os produtos com elementos digitais integrados ou conectados a um sistema de informação eletrónico de maior dimensão podem servir de vetor de ataque a agentes mal-intencionados. Consequentemente, mesmo o hardware e o software considerados menos críticos podem resultar no comprometimento inicial de um dispositivo ou rede, permitindo que agentes mal-intencionados obtenham acesso privilegiado a um sistema ou circulem lateralmente entre sistemas. Os fabricantes devem, por conseguinte, assegurar que todos os produtos conectáveis com elementos digitais sejam concebidos e desenvolvidos em conformidade com os requisitos essenciais estabelecidos no presente regulamento. Tal inclui os produtos que podem ser conectados fisicamente através de interfaces de hardware e os produtos que estão conectados logicamente, como interconectores, tubos, ficheiros, interfaces de programação de aplicações ou quaisquer outros tipos de interface de software. Uma vez que as ameaças à cibersegurança podem propagar-se através de vários produtos com elementos digitais antes de alcançar um determinado objetivo, encadeando, por exemplo, múltiplas ações de exploração de vulnerabilidades, os fabricantes devem também garantir a cibersegurança desses produtos que só estão indiretamente conectados a outros dispositivos ou redes.

(8)O estabelecimento de requisitos de cibersegurança para a colocação de produtos com elementos digitais no mercado reforça a cibersegurança destes produtos tanto para os consumidores como para as empresas. Estes incluem igualmente requisitos para a colocação no mercado de produtos de consumo com elementos digitais destinados a consumidores vulneráveis, tais como brinquedos e dispositivos de vigilância de bebés. (9)O presente regulamento assegura um elevado nível de cibersegurança dos produtos com elementos digitais. Não regulamenta serviços, como o software como serviço (software-as-a-service – SaaS), com exceção das soluções de tratamento remoto de dados relativas a produtos com elementos digitais, entendidas como qualquer tratamento de dados à distância para o qual o software tenha sido concebido e desenvolvido pelo fabricante dos produtos em causa ou sob a sua responsabilidade e cuja inexistência impediria os produtos com elementos digitais de desempenhar uma das suas funções. A [Diretiva XXX/XXXX (SRI 2)] estabelece requisitos de cibersegurança e de notificação de incidentes para entidades essenciais e importantes, como as infraestruturas críticas, com vista a aumentar a resiliência dos serviços que prestam. A [Diretiva XXX/XXXX (SRI 2)] é aplicável aos serviços de computação em nuvem e aos modelos de serviços de computação em nuvem, como o SaaS. Todas as entidades que prestam serviços de computação em nuvem na União que atinjam ou excedam o limiar para as médias empresas são abrangidas pelo âmbito de aplicação da referida diretiva. (10)A fim de não prejudicar a inovação ou a investigação, o software livre e de código fonte aberto desenvolvido ou fornecido à margem do exercício de uma atividade comercial não deve ser abrangido pelo presente regulamento. É o que acontece, em especial, com o software, incluindo os respetivos código-fonte e versões modificadas, que é partilhado abertamente e é de acesso, utilização, modificação e redistribuição livres. No contexto do software, uma atividade comercial pode caracterizar-se não só pela cobrança de um preço por um produto, mas também pela cobrança de um preço pelos serviços de apoio técnico, pela disponibilização de uma plataforma de software através da qual o fabricante lucre com outros serviços, ou pela utilização de dados pessoais por razões que não sejam exclusivamente destinadas a melhorar a segurança, a compatibilidade ou a interoperabilidade do software. (11)Uma Internet segura é indispensável para o funcionamento das infraestruturas críticas e para a sociedade no seu conjunto. A [Diretiva XXX/XXXX (SRI 2)] visa garantir um elevado nível de cibersegurança aos serviços prestados por entidades essenciais e importantes, incluindo os fornecedores de infraestruturas digitais que apoiam as funções essenciais da Internet aberta e asseguram o acesso à Internet e os serviços de Internet. Por conseguinte, é importante que os produtos com elementos digitais necessários para que os fornecedores de infraestruturas digitais garantam o funcionamento da Internet sejam desenvolvidos de forma segura e cumpram normas de segurança da Internet bem definidas. O presente regulamento, que se aplica a todos os produtos conectáveis de hardware e software, visa igualmente facilitar a conformidade dos fornecedores de infraestruturas digitais com os requisitos da cadeia de abastecimento previstos na [Diretiva XXX/XXXX (SRI 2)], garantindo que os produtos com elementos digitais que utilizam para a prestação dos seus serviços sejam desenvolvidos de forma segura, bem como o seu acesso a atualizações de segurança atempadas para esses produtos. (12)O Regulamento (UE) 2017/745 do Parlamento Europeu e do Conselho estabelece regras relativas aos dispositivos médicos e o Regulamento (UE) 2017/746 do Parlamento Europeu e do Conselho estabelece regras relativas aos dispositivos médicos para diagnóstico in vitro. Ambos os regulamentos abordam os riscos de cibersegurança e seguem abordagens específicas que também são contempladas no presente regulamento. Mais especificamente, os Regulamentos (UE) 2017/745 e (UE) 2017/746 estabelecem requisitos essenciais para os dispositivos médicos que funcionam através de um sistema eletrónico ou que constituem, por si mesmos, software. Os referidos regulamentos abrangem igualmente certos tipos de software não incorporado, bem como a abordagem de todo o ciclo de vida. Estes requisitos obrigam os fabricantes a desenvolver e construir os seus produtos aplicando princípios de gestão dos riscos e estabelecendo requisitos de segurança informática, bem como os correspondentes procedimentos de avaliação da conformidade. Além disso, desde dezembro de 2019, existem diretrizes específicas em matéria de cibersegurança dos dispositivos médicos, que fornecem aos fabricantes de dispositivos médicos, incluindo dispositivos para diagnóstico in vitro, orientações sobre a forma de cumprir todos os requisitos essenciais pertinentes do anexo I desses regulamentos no que diz respeito à cibersegurança. Os produtos com elementos digitais a que se aplique qualquer um desses regulamentos não devem, por conseguinte, ser abrangidos pelo presente regulamento. (13)O Regulamento (UE) 2019/2144 do Parlamento Europeu e do Conselho estabelece requisitos de homologação de veículos e dos seus sistemas e componentes, introduzindo determinados requisitos de cibersegurança, nomeadamente no que respeita ao funcionamento de um sistema de gestão da cibersegurança certificado e às atualizações de software, abrangendo políticas e processos das organizações em matéria de riscos cibernéticos relacionados com todo o ciclo de vida dos veículos, equipamentos e serviços, em conformidade com os regulamentos das Nações Unidas aplicáveis em matéria de especificações técnicas e cibersegurança, e prevendo procedimentos específicos de avaliação da conformidade. No domínio da aviação, o Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho tem como objetivo principal estabelecer e manter um nível elevado e uniforme de segurança da aviação civil na União. Cria um quadro para os requisitos essenciais de aeronavegabilidade dos produtos, peças e equipamentos aeronáuticos, incluindo o software, que tem em conta as obrigações de proteção contra ameaças à segurança da informação. Os produtos com elementos digitais aos quais se aplica o Regulamento (UE) 2019/2144 e os produtos certificados em conformidade com o Regulamento (UE) 2018/1139 não estão, por conseguinte, sujeitos aos requisitos essenciais e aos procedimentos de avaliação da conformidade estabelecidos no presente regulamento. O processo de certificação previsto no Regulamento (UE) 2018/1139 assegura o nível de garantia visado no presente regulamento. (14)O presente regulamento estabelece regras horizontais em matéria de cibersegurança que não se aplicam especificamente a setores ou a determinados produtos com elementos digitais. No entanto, poderão ser introduzidas regras da União setoriais ou específicas para determinados produtos, que estabeleçam requisitos que abranjam a totalidade ou parte dos riscos contemplados nos requisitos essenciais estabelecidos no presente regulamento. Em tais casos, a aplicação do presente regulamento a produtos com elementos digitais abrangidos por outras regras da União, que estabeleçam requisitos que tenham em conta a totalidade ou parte dos riscos contemplados pelos requisitos essenciais estabelecidos no anexo I do presente regulamento, pode ser limitada ou excluída se essa limitação ou exclusão for coerente com o quadro regulamentar global aplicável a esses produtos e se as regras setoriais permitirem alcançar o mesmo nível de proteção que o previsto no presente regulamento. A Comissão fica habilitada a adotar atos delegados para alterar o presente regulamento, identificando os referidos produtos e regras. O presente regulamento contém disposições específicas que clarificam a sua relação com a legislação da União em vigor que implique a aplicação dessas limitações ou exclusões. (15)O Regulamento Delegado (UE) 2022/30 especifica que os requisitos essenciais estabelecidos no artigo 3.º, n.º 3, alínea d) (danos na rede e utilização inadequada dos recursos da rede), alínea e) (dados pessoais e privacidade) e alínea f) (fraude), da Diretiva 2014/53/UE se aplicam a determinados equipamentos de rádio. A [Decisão de execução XXX/2022 da Comissão relativa a um pedido de normalização às organizações europeias de normalização] estabelece requisitos para o desenvolvimento de normas específicas que definam melhor a forma como estes três requisitos essenciais devem ser tratados. Os requisitos essenciais estabelecidos no presente regulamento incluem todos os elementos dos requisitos essenciais referidos no artigo 3.º, n.º 3, alíneas d), e) e f), da Diretiva 2014/53/UE. Além disso, os requisitos essenciais estabelecidos no presente regulamento harmonizam-se com os objetivos dos requisitos para a elaboração de normas específicas incluídos nesse pedido de normalização. Por conseguinte, se a Comissão revogar ou alterar o Regulamento Delegado (UE) 2022/30 e, consequentemente, este deixar de se aplicar a determinados produtos abrangidos pelo presente regulamento, a Comissão e as organizações europeias de normalização devem ter em conta o trabalho de normalização realizado no contexto da Decisão de Execução C(2022)5637 da Comissão relativa a um pedido de normalização para o Regulamento Delegado 2022/30 da DER na elaboração e no desenvolvimento de normas harmonizadas para facilitar a aplicação do presente regulamento. (16)A Diretiva 85/374/CEE complementa o presente regulamento. Essa diretiva estabelece regras em matéria de responsabilidade decorrente de produtos defeituosos de modo que as pessoas lesadas possam exigir uma indemnização quando um dano tiver sido causado por produtos defeituosos. Estabelece o princípio de que o fabricante de um produto é responsável pelos danos causados pela falta de segurança do seu produto, independentemente da existência de culpa («responsabilidade objetiva»). Sempre que uma tal ausência de segurança consistir numa falta de atualizações de segurança após a colocação do produto no mercado e esta cause danos, a responsabilidade do fabricante poderá ser acionada. As obrigações dos fabricantes que digam respeito ao fornecimento dessas atualizações de segurança devem ser estabelecidas no presente regulamento. (17)O presente regulamento não deve prejudicar o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, incluindo as disposições relativas ao estabelecimento de procedimentos de certificação em matéria de proteção de dados e de selos e marcas de proteção de dados, para efeitos de comprovação da conformidade das operações de tratamento de responsáveis pelo tratamento e subcontratantes com o referido regulamento. Tais operações poderão ser incorporadas num produto com elementos digitais. A proteção de dados desde a conceção e por defeito, bem como a cibersegurança em geral, são elementos fundamentais do Regulamento (UE) 2016/679. Ao proteger os consumidores e as organizações contra os riscos de cibersegurança, os requisitos essenciais de cibersegurança estabelecidos no presente regulamento devem também contribuir para reforçar a proteção dos dados pessoais e da privacidade das pessoas. Importa ponderar o desenvolvimento de sinergias, tanto em matéria de normalização como de certificação dos aspetos de cibersegurança, através da cooperação entre a Comissão, as organizações europeias de normalização, a Agência da União Europeia para a Cibersegurança (ENISA), o Comité Europeu para a Proteção de Dados (CEPD), criado pelo Regulamento (UE) 2016/679, e as autoridades nacionais de controlo da proteção de dados. Devem também ser criadas sinergias entre o presente regulamento e a legislação da União em matéria de proteção de dados no domínio da fiscalização do mercado e da execução. Para o efeito, as autoridades nacionais de fiscalização do mercado designadas ao abrigo do presente regulamento devem cooperar com as autoridades responsáveis pela supervisão da legislação da União em matéria de proteção de dados. Estas últimas devem igualmente ter acesso às informações pertinentes para o desempenho das suas funções. (18)Na medida em que os seus produtos sejam abrangidos pelo âmbito de aplicação do presente regulamento, os emitentes de carteiras europeias de identidade digital a que se refere o artigo [artigo 6.º-A, n.º 2, do Regulamento (UE) n.º 910/2014, com a redação que lhe foi dada pela proposta de regulamento que altera o Regulamento (UE) n.º 910/2014 no respeitante à criação de um quadro europeu para a identidade digital], devem cumprir os requisitos essenciais horizontais estabelecidos no presente regulamento e os requisitos de segurança específicos estabelecidos no artigo [artigo 6.º-A do Regulamento (UE) n.º 910/2014, com a redação que lhe foi dada pela proposta de regulamento que altera o Regulamento (UE) n.º 910/2014 no respeitante à criação de um quadro europeu para a identidade digital]. A fim de facilitar o cumprimento, os emitentes de carteiras digitais devem poder demonstrar a conformidade das carteiras europeias de identidade digital com os requisitos estabelecidos, respetivamente, em ambos os atos, certificando os seus produtos no âmbito de um sistema europeu de certificação da cibersegurança criado nos termos do Regulamento (UE) 2019/881 e relativamente ao qual a Comissão tenha especificado, através de um ato de execução, uma presunção de conformidade com o presente regulamento, contanto que o certificado, ou partes do mesmo, abranja esses requisitos. (19)Determinadas funções previstas no presente regulamento devem ser desempenhadas pela ENISA, nos termos do artigo 3.º, n.º 2, do Regulamento (UE) 2019/881. Em especial, a ENISA deve receber notificações dos fabricantes a respeito de vulnerabilidades ativamente exploradas existentes nos produtos com elementos digitais, bem como de incidentes com impacto na segurança desses produtos. A ENISA deve igualmente transmitir essas notificações às equipas de resposta a incidentes de segurança informática (CSIRT) pertinentes ou, respetivamente, aos pontos de contacto únicos pertinentes dos Estados-Membros designados em conformidade com o artigo [artigo X] da Diretiva [Diretiva XXX/XXXX (SRI 2)], e informar as autoridades de fiscalização do mercado competentes sobre a vulnerabilidade notificada. Com base nas informações que recolhe, a ENISA deve elaborar, de dois em dois anos, um relatório técnico sobre as tendências emergentes em matéria de riscos de cibersegurança de produtos com elementos digitais e apresentá-lo ao grupo de cooperação referido na Diretiva [Diretiva XXX/XXXX (SRI 2)]. Além disso, tendo em conta os seus conhecimentos especializados e o seu mandato, a ENISA deve poder apoiar o processo de aplicação do presente regulamento. Em especial, deve poder propor atividades conjuntas a realizar pelas autoridades de fiscalização do mercado, com base em indícios ou informações sobre a potencial não conformidade de produtos com elementos digitais em vários Estados-Membros com o presente regulamento, ou identificar categorias de produtos para as quais devam ser organizadas ações de controlo coordenadas simultâneas. Em circunstâncias excecionais, a pedido da Comissão, a ENISA deve poder realizar avaliações de produtos específicos com elementos digitais que apresentem um risco de cibersegurança significativo, caso seja necessária uma intervenção imediata para preservar o bom funcionamento do mercado interno. (20)Para que possam circular livremente dentro do mercado interno, os produtos com elementos digitais devem apresentar a marcação CE para indicar o cumprimento do presente regulamento. Os Estados-Membros não podem criar obstáculos injustificados à colocação no mercado de produtos com elementos digitais que cumpram os requisitos previstos no presente regulamento e apresentem a marcação CE. (21)A fim de assegurar que os fabricantes possam lançar software para fins de ensaio antes de submeterem os seus produtos a uma avaliação da conformidade, os Estados-Membros não devem impedir a disponibilização de software inacabado, como versões alfa, versões beta ou candidatos a lançamento, contanto que a versão só seja disponibilizada durante o tempo necessário para testá-la e recolher opiniões. Os fabricantes devem assegurar que o software disponibilizado nestas condições só seja lançado na sequência de uma avaliação dos riscos e que cumpra, na medida do possível, os requisitos de segurança relativos às propriedades dos produtos com elementos digitais impostos pelo presente regulamento. Os fabricantes devem também aplicar, na medida do possível, os requisitos de tratamento das vulnerabilidades. Os fabricantes não devem obrigar os utilizadores à atualização para versões lançadas apenas para fins de ensaio. (22)A fim de assegurar que, uma vez colocados no mercado, os produtos com elementos digitais não acarretem riscos de cibersegurança para as pessoas e as organizações, devem ser estabelecidos requisitos essenciais para esses produtos. Quando os produtos forem subsequentemente modificados, através de meios físicos ou digitais, de uma forma que não esteja prevista pelo fabricante e que possa implicar que deixem de cumprir os requisitos essenciais pertinentes, a modificação deve ser considerada substancial. Por exemplo, as atualizações ou reparações de software podem ser equiparadas a operações de manutenção, desde que não modifiquem um produto já colocado no mercado de tal maneira que possam afetar a conformidade com os requisitos aplicáveis ou alterar a utilização prevista para a qual o produto foi avaliado. Tal como acontece com as reparações ou modificações físicas, um produto com elementos digitais deve ser considerado substancialmente modificado por uma alteração do software quando a atualização do software alterar as funções, o tipo ou o desempenho inicialmente previstos do produto e essas alterações não estiverem previstas na avaliação dos risco inicial, quando a natureza do perigo se tiver alterado ou quando o nível de risco tiver aumentado devido à atualização do software. (23)Em consonância com a noção comummente estabelecida de modificação substancial de produtos regulamentados pela legislação de harmonização da União, sempre que ocorra uma alteração substancial que possa afetar a conformidade de um produto com o presente regulamento ou quando a finalidade prevista desse produto se altere, é conveniente verificar a conformidade do produto com elementos digitais e, se for caso disso, submetê-lo uma nova avaliação da conformidade. Se aplicável, caso o fabricante proceda a uma avaliação da conformidade que envolva terceiros, deve notificar-lhes as alterações que possam conduzir a modificações substanciais. (24)O recondicionamento, a manutenção e a reparação de um produto com elementos digitais, tal como definidos no Regulamento [Regulamento Conceção Ecológica], não conduzem necessariamente a uma modificação substancial do produto se, por exemplo, a utilização e as funcionalidades previstas não forem alteradas e o nível de risco não for afetado. No entanto, a atualização de um produto pelo fabricante pode conduzir a alterações na conceção e no desenvolvimento do produto e, por conseguinte, afetar a sua utilização prevista e a sua conformidade com os requisitos estabelecidos no presente regulamento. (25)Os produtos com elementos digitais devem ser considerados críticos se o impacto negativo da exploração de potenciais vulnerabilidades de cibersegurança no produto for potencialmente grave devido, entre outras razões, à funcionalidade relacionada com a cibersegurança ou à utilização prevista. Em especial, as vulnerabilidades de produtos com elementos digitais com uma funcionalidade relacionada com a cibersegurança, como elementos seguros, por exemplo, podem conduzir a uma multiplicação dos problemas de segurança em toda a cadeia de abastecimento. A gravidade do impacto de um incidente de cibersegurança pode também aumentar se for tida em conta a utilização prevista do produto, por exemplo, num contexto industrial, no contexto de uma entidade essencial do tipo referido no anexo [anexo I] da Diretiva [Diretiva XXX/XXXX (SRI 2)], ou para o desempenho de funções críticas ou sensíveis, como o tratamento de dados pessoais. (26)Os produtos críticos com elementos digitais devem ser objeto de procedimentos de avaliação da conformidade mais rigorosos, sem deixar de manter uma abordagem proporcionada. Para o efeito, os produtos críticos com elementos digitais devem ser divididos em duas classes que reflitam o nível de risco de cibersegurança associado a estas categorias de produtos. Um potencial ciberincidente que envolva produtos da classe II pode ter impactos negativos mais graves do que um incidente que envolva produtos da classe I devido, por exemplo, à natureza da sua função relacionada com a cibersegurança ou à sua utilização prevista em ambientes sensíveis, devendo, por conseguinte, ser objeto de um procedimento de avaliação da conformidade mais rigoroso. (27)As categorias de produtos críticos com elementos digitais referidas no anexo III do presente regulamento devem ser entendidas como os produtos cuja funcionalidade principal é do tipo indicado no anexo III do presente regulamento. Por exemplo, o anexo III do presente regulamento enumera os produtos que são definidos de acordo com a sua funcionalidade principal como microprocessadores de uso geral pertencentes à classe II. Consequentemente, os microprocessadores de uso geral estão sujeitos a uma avaliação obrigatória da conformidade por terceiros. Não é este o caso de outros produtos não explicitamente referidos no anexo III do presente regulamento que possam integrar um microprocessador de uso geral. A Comissão deve adotar atos delegados [no prazo de 12 meses a contar da data de entrada em vigor do presente regulamento] para especificar as definições das categorias de produtos abrangidas pelas classes I e II estabelecidas no anexo III.

(28)O presente regulamento aborda os riscos de cibersegurança de forma direcionada. No entanto, os produtos com elementos digitais podem apresentar outros riscos para a segurança não relacionados com a cibersegurança. Esses riscos devem continuar a ser regulamentados por outra legislação pertinente da União em matéria de produtos. Se não for aplicável outra legislação de harmonização da União, devem estar sujeitos ao Regulamento [Regulamento Segurança Geral dos Produtos]. Por conseguinte, tendo em conta a natureza específica do presente regulamento, em derrogação do artigo 2.º, n.º 1, terceiro parágrafo, alínea b), do Regulamento [Regulamento Segurança Geral dos Produtos], o capítulo III, secção 1, os capítulos V e VII e os capítulos IX a XI do Regulamento [Regulamento Segurança Geral dos Produtos] devem aplicar-se aos produtos com elementos digitais no que diz respeito aos riscos de segurança não abrangidos pelo presente regulamento, se esses produtos não estiverem sujeitos a requisitos específicos impostos por outra legislação de harmonização da União, na aceção do [artigo 3.º, n.º 25, do Regulamento Segurança Geral dos Produtos]. (29)Os produtos com elementos digitais classificados como sistemas de IA de risco elevado nos termos do artigo 6.º do Regulamento [Regulamento Inteligência Artificial] abrangidos pelo âmbito de aplicação do presente regulamento devem cumprir os requisitos essenciais estabelecidos no presente regulamento. Quando esses sistemas de IA de risco elevado cumprem os requisitos essenciais do presente regulamento, devem ser considerados conformes com os requisitos de cibersegurança estabelecidos no artigo [artigo 15.º] do Regulamento [Regulamento Inteligência Artificial], contanto que esses requisitos estejam abrangidos pela declaração de conformidade UE ou partes da mesma emitida ao abrigo do presente regulamento. No que diz respeito aos procedimentos de avaliação da conformidade relacionados com os requisitos essenciais de cibersegurança de um produto com elementos digitais abrangido pelo presente regulamento e classificado como um sistema de IA de risco elevado, as disposições pertinentes do artigo 43.º do Regulamento [Regulamento Inteligência Artificial] devem, em regra, aplicar-se em vez das disposições correspondentes do presente regulamento. No entanto, esta regra não deve resultar na redução do nível de garantia necessário para os produtos críticos com elementos digitais abrangidos pelo presente regulamento. Por conseguinte, em derrogação desta regra, os sistemas de IA de risco elevado abrangidos pelo âmbito de aplicação do Regulamento [Regulamento Inteligência Artificial], também qualificados como produtos críticos com elementos digitais nos termos do presente regulamento e aos quais se aplica o procedimento de avaliação da conformidade baseado no controlo interno referido no anexo VI do Regulamento [Regulamento Inteligência Artificial] devem ser sujeitos às disposições do presente regulamento em matéria de avaliação da conformidade, no que diz respeito aos requisitos essenciais do presente regulamento. Neste caso, em relação aos demais aspetos abrangidos pelo Regulamento [Regulamento Inteligência Artificial], devem aplicar-se as respetivas disposições em matéria de avaliação da conformidade com base no controlo interno estabelecidas no anexo VI do Regulamento [Regulamento Inteligência Artificial]. (30)As máquinas e seus componentes e acessórios abrangidos pelo âmbito de aplicação do Regulamento [proposta de Regulamento Máquinas] que sejam produtos com elementos digitais na aceção do presente regulamento e para os quais tenha sido emitida uma declaração de conformidade com base no presente regulamento devem ser considerados conformes com os requisitos essenciais de saúde e segurança estabelecidos no [anexo III, secções 1.1.9 e 1.2.1] do Regulamento [proposta de Regulamento Máquinas], no que diz respeito à proteção contra a corrupção e à segurança e fiabilidade dos sistemas de comando, na medida em que a conformidade com esses requisitos seja demonstrada pela declaração de conformidade UE emitida ao abrigo do presente regulamento. (31)O Regulamento [proposta de Regulamento Espaço Europeu de Dados de Saúde] complementa os requisitos essenciais estabelecidos no presente regulamento. Os sistemas de registos de saúde eletrónicos («sistemas de RSE») abrangidos pelo âmbito de aplicação do Regulamento [proposta de Regulamento Espaço Europeu de Dados de Saúde] que sejam produtos com elementos digitais na aceção do presente regulamento devem, por conseguinte, cumprir igualmente os requisitos essenciais estabelecidos no presente regulamento. Os respetivos fabricantes devem demonstrar a conformidade, tal como exigido pelo Regulamento [proposta de Regulamento Espaço Europeu de Dados de Saúde]. A fim de facilitar a conformidade, os fabricantes podem elaborar uma documentação técnica única que contenha os elementos exigidos por ambos os atos jurídicos. Uma vez que o presente regulamento não abrange o SaaS enquanto tal, os sistemas de RSE disponibilizados através do modelo de licenciamento e distribuição do SaaS não são abrangidos pelo seu âmbito de aplicação. De igual modo, os sistemas de RSE desenvolvidos e utilizados internamente não são abrangidos pelo âmbito de aplicação do presente regulamento, uma vez que não são colocados no mercado. (32)A fim de garantir a segurança dos produtos com elementos digitais tanto no momento da sua colocação no mercado como ao longo do seu ciclo de vida, é necessário estabelecer requisitos essenciais para o tratamento de vulnerabilidades, bem como requisitos essenciais de cibersegurança relativos às propriedades dos produtos com elementos digitais. Embora devam cumprir todos os requisitos essenciais relativos ao tratamento de vulnerabilidades e assegurar que todos os seus produtos sejam entregues sem quaisquer vulnerabilidades conhecidas que possam ser exploradas, os fabricantes devem determinar que outros requisitos essenciais relativos às propriedades do produto são relevantes para o tipo de produto em causa. Para o efeito, os fabricantes devem realizar uma avaliação dos riscos de cibersegurança associados a um produto com elementos digitais, a fim de identificar os riscos e os requisitos essenciais pertinentes e de aplicar de forma correta normas harmonizadas ou especificações comuns adequadas. (33)Para melhorar a segurança dos produtos com elementos digitais colocados no mercado interno, é necessário estabelecer requisitos essenciais. Estes requisitos essenciais não devem prejudicar as avaliações coordenadas dos riscos das cadeias de abastecimento críticas a nível da UE estabelecidas pelo [artigo X] da Diretiva [Diretiva XXX/XXXX (SRI 2)], que têm em conta fatores de risco técnicos e, se for caso disso, não técnicos, designadamente o exercício de influência indevida de um país terceiro sobre os fornecedores. Além disso, não devem prejudicar as prerrogativas dos Estados-Membros de estabelecer requisitos adicionais que tenham em conta fatores não técnicos com a finalidade de assegurar um elevado nível de resiliência, incluindo os definidos na Recomendação (UE) 2019/534, na avaliação coordenada dos riscos de segurança das redes 5G a nível da União e no conjunto de instrumentos da UE em matéria de cibersegurança das redes 5G acordado pelo grupo de cooperação SRI a que se refere a [Diretiva XXX/XXXX (SRI 2)]. (34)A fim de assegurar que as CSIRT nacionais e o ponto de contacto único designado em conformidade com o artigo [artigo X] da Diretiva [Diretiva XX/XXXX (SRI 2)] recebem as informações necessárias ao desempenho das suas funções e ao reforço do nível global de cibersegurança das entidades essenciais e importantes, bem como de assegurar o funcionamento eficaz das autoridades de fiscalização do mercado, os fabricantes de produtos com elementos digitais devem notificar à ENISA vulnerabilidades que estejam a ser ativamente exploradas. Uma vez que a maioria dos produtos com elementos digitais é comercializada em todo o mercado interno, qualquer vulnerabilidade explorada num produto com elementos digitais deve ser considerada uma ameaça ao funcionamento do mercado interno. Os fabricantes devem igualmente ponderar a divulgação de vulnerabilidades corrigidas na base de dados europeia de vulnerabilidades criada ao abrigo da Diretiva [Diretiva XX/XXXX (SRI 2)] e gerida pela ENISA ou em qualquer outra base de dados de vulnerabilidades acessível ao público. (35)Os fabricantes devem também comunicar à ENISA qualquer incidente com impacto na segurança do produto com elementos digitais. Não obstante as obrigações de notificação de incidentes previstas na Diretiva [Diretiva XXX/XXXX (SRI 2)] para as entidades essenciais e importantes, é crucial que a ENISA, os pontos de contacto únicos designados pelos Estados-Membros nos termos do artigo [artigo X] da Diretiva [Diretiva XXX/XXXX (SRI 2)] e as autoridades de fiscalização do mercado recebam informações dos fabricantes de produtos com elementos digitais que lhes permitam avaliar a segurança desses produtos. A fim de garantir que os utilizadores possam reagir rapidamente a incidentes com impacto na segurança dos seus produtos com elementos digitais, os fabricantes devem também informar os seus utilizadores sobre qualquer incidente desse tipo e, se aplicável, sobre eventuais medidas corretivas que estes possam aplicar para atenuar o impacto do incidente, nomeadamente através da publicação de informações pertinentes nos seus sítios Web ou do contacto direto com os mesmos, caso o fabricante possa fazê-lo e sempre que os riscos o justifiquem. (36)Os fabricantes de produtos com elementos digitais devem instituir políticas de divulgação coordenada de vulnerabilidades, a fim de facilitar a comunicação de vulnerabilidades por parte de pessoas singulares ou de entidades. Uma política de divulgação coordenada das vulnerabilidades deve especificar um processo estruturado através do qual as vulnerabilidades são comunicadas a um fabricante de uma forma que lhe permita diagnosticá-las e corrigi-las antes de serem divulgadas a terceiros ou ao público informações pormenorizadas sobre as mesmas. Dado que as informações sobre vulnerabilidades passíveis de serem exploradas em produtos com elementos digitais amplamente utilizados podem ser vendidas a preços elevados no mercado negro, os fabricantes desses produtos devem poder utilizar programas, no âmbito das suas políticas de divulgação coordenada de vulnerabilidades, para incentivar a comunicação de vulnerabilidades, assegurando que as pessoas ou entidades sejam objeto de reconhecimento e compensação pelos seus esforços (os chamados «programas de recompensas por deteção de erros de programação»). (37)A fim de facilitar a análise de vulnerabilidades, os fabricantes devem identificar e documentar os componentes contidos nos produtos com elementos digitais, nomeadamente através da elaboração de uma lista de materiais do software. Uma lista de materiais do software pode fornecer aos fabricantes, compradores e operadores de software informações que melhoram a sua compreensão da cadeia de abastecimento, o que tem múltiplos benefícios, nomeadamente porque ajuda os fabricantes e os utilizadores a detetar vulnerabilidades e riscos conhecidos surgidos recentemente. É particularmente importante que os fabricantes assegurem que os seus produtos não contenham componentes vulneráveis desenvolvidos por terceiros. (38)A fim de facilitar a avaliação da conformidade com os requisitos estabelecidos no presente regulamento, deve existir uma presunção de conformidade relativamente aos produtos com elementos digitais que estejam em conformidade com as normas harmonizadas, que traduzam os requisitos essenciais do presente regulamento em especificações técnicas pormenorizadas e que sejam adotados nos termos do Regulamento (UE) n.º 1025/2012 do Parlamento Europeu e do Conselho. O Regulamento (UE) n.º 1025/2012 prevê um procedimento para a apresentação de objeções às normas harmonizadas caso essas normas não satisfaçam plenamente os requisitos do presente regulamento. (39)O Regulamento (UE) 2019/881 estabelece um quadro europeu para a certificação voluntária da cibersegurança para produtos, processos e serviços de TIC. Os sistemas europeus de certificação da cibersegurança podem incluir produtos com elementos digitais abrangidos pelo presente regulamento. O presente regulamento deve criar sinergias com o Regulamento (UE) 2019/881. A fim de facilitar a avaliação da conformidade com os requisitos estabelecidos no presente regulamento, presume-se que os produtos com elementos digitais certificados ou relativamente aos quais tenha sido emitida uma declaração de conformidade no âmbito de um sistema de cibersegurança nos termos do Regulamento (UE) 2019/881 e que tenham sido identificados pela Comissão num ato de execução estão conformes com os requisitos essenciais do presente regulamento, contanto que o certificado de cibersegurança ou a declaração de conformidade, ou partes dos mesmos, abranjam esses requisitos. Deve ser avaliada à luz do presente regulamento a necessidade de novos sistemas europeus de certificação da cibersegurança para produtos com elementos digitais. Esses futuros sistemas europeus de certificação da cibersegurança que abranjam produtos com elementos digitais devem ter em conta os requisitos essenciais estabelecidos no presente regulamento e facilitar o cumprimento do presente regulamento. A Comissão deve ficar habilitada a especificar, por meio de atos de execução, os sistemas europeus de certificação da cibersegurança que podem ser utilizados para demonstrar a conformidade com os requisitos essenciais estabelecidos no presente regulamento. Ademais, a fim de evitar encargos administrativos indevidos para os fabricantes, se for caso disso, a Comissão deve especificar se um certificado de cibersegurança emitido ao abrigo desses sistemas europeus de certificação da cibersegurança elimina a obrigação de os fabricantes realizarem uma avaliação da conformidade por terceiros, tal como previsto no presente regulamento para os requisitos correspondentes. (40)Após a entrada em vigor do ato de execução que estabelece o [Regulamento de Execução (UE) n.º .../... da Comissão, de XXX, relativo ao sistema europeu de certificação da cibersegurança baseado em critérios comuns] (EUCC), que diz respeito aos produtos de hardware abrangidos pelo presente regulamento, tais como módulos de segurança físicos e microprocessadores, a Comissão pode especificar, por meio de um ato de execução, de que forma o EUCC confere uma presunção de conformidade com os requisitos essenciais a que se refere o anexo I do presente regulamento ou partes dos mesmos. Além disso, esse ato de execução pode especificar de que forma um certificado emitido no âmbito do EUCC elimina a obrigação de os fabricantes realizarem uma avaliação por terceiros, tal como exigido pelo presente regulamento para os requisitos correspondentes. (41)Se não forem adotadas normas harmonizadas ou se as normas harmonizadas não tiverem suficientemente em conta os requisitos essenciais do presente regulamento, a Comissão deve poder adotar especificações comuns por meio de atos de execução. As razões para o desenvolvimento dessas especificações comuns, ao invés da aplicação de normas harmonizadas, podem incluir uma recusa do pedido de normalização por qualquer das organizações europeias de normalização, atrasos injustificados na elaboração de normas harmonizadas adequadas ou uma falta de conformidade das normas desenvolvidas com os requisitos do presente regulamento ou com um pedido da Comissão. A fim de facilitar a avaliação da conformidade com os requisitos essenciais estabelecidos no presente regulamento, deve presumir-se a conformidade dos produtos com elementos digitais que cumpram as especificações comuns adotadas pela Comissão nos termos do presente regulamento, com vista à formulação de especificações técnicas pormenorizadas para esses requisitos. (42)Os fabricantes devem elaborar uma declaração de conformidade UE, a fim de facultar as informações exigidas pelo presente regulamento acerca da conformidade dos produtos com elementos digitais com os requisitos essenciais do presente regulamento e, sendo caso disso, de outra legislação de harmonização da União aplicável ao produto. Os fabricantes também podem ser obrigados a elaborar uma declaração de conformidade UE por outra legislação da União. Para assegurar o acesso efetivo à informação para efeitos de fiscalização do mercado, deve ser elaborada uma declaração de conformidade UE única respeitante ao cumprimento de todos os atos da União aplicáveis. A fim de reduzir os encargos administrativos que recaem sobre os operadores económicos, essa declaração de conformidade UE única deve poder ser constituída por um dossiê que contenha as várias declarações de conformidade pertinentes. (43)A marcação CE, que indica a conformidade de um produto, é o corolário visível de todo um processo que abrange a avaliação da conformidade em sentido lato. Os princípios gerais que regem a marcação CE encontram-se definidos no Regulamento (CE) n.º 765/2008 do Parlamento Europeu e do Conselho. O presente regulamento deve definir as regras que regem a aposição da marcação CE nos produtos com elementos digitais. A marcação CE deve ser a única que garante que os produtos com elementos digitais cumprem os requisitos do presente regulamento. (44)A fim de permitir que os operadores económicos demonstrem a conformidade com os requisitos essenciais estabelecidos no presente regulamento e que as autoridades de fiscalização do mercado assegurem que os produtos com elementos digitais disponibilizados no mercado cumpram esses requisitos, é necessário prever procedimentos de avaliação da conformidade. A Decisão 768/2008/CE do Parlamento Europeu e do Conselho estabelece módulos para os procedimentos de avaliação da conformidade proporcionais ao nível de risco envolvido e ao nível de segurança exigido. A fim de assegurar a coerência intersetorial e evitar variantes ad hoc, os procedimentos de avaliação da conformidade adequados para verificar a conformidade dos produtos com elementos digitais com os requisitos essenciais estabelecidos no presente regulamento basearam-se nesses módulos. Os procedimentos de avaliação da conformidade devem examinar e verificar os requisitos relativos ao produto e ao processo que abrangem todo o ciclo de vida dos produtos com elementos digitais, incluindo o planeamento, a conceção, o desenvolvimento ou a produção, os ensaios e a manutenção do produto. (45)A avaliação da conformidade dos produtos com elementos digitais deve ser realizada, regra geral, pelo fabricante sob a sua própria responsabilidade, de acordo com o procedimento baseado no módulo A da Decisão 768/2008/CE. O fabricante deve dispor de flexibilidade para escolher um procedimento de avaliação da conformidade mais rigoroso que envolva terceiros. Se o produto for classificado como produto crítico da classe I, é obrigatória uma garantia adicional para demonstrar a conformidade com os requisitos essenciais estabelecidos no presente regulamento. O fabricante deve aplicar normas harmonizadas, especificações comuns ou sistemas de certificação da cibersegurança nos termos do Regulamento (UE) 2019/881 que tenham sido identificados pela Comissão num ato de execução, caso pretenda realizar a avaliação da conformidade sob a sua própria responsabilidade (módulo A). Se não aplicar essas normas harmonizadas, especificações comuns ou sistemas de certificação da cibersegurança, o fabricante deve ser objeto de uma avaliação da conformidade por terceiros. Tendo em conta os encargos administrativos para os fabricantes e o facto de a cibersegurança desempenhar um papel importante na fase de conceção e desenvolvimento de produtos corpóreos e incorpóreos com elementos digitais, os procedimentos de avaliação da conformidade baseados, respetivamente, nos módulos B + C ou no módulo H da Decisão 768/2008/CE foram escolhidos como sendo os mais adequados para avaliar a conformidade dos produtos críticos com elementos digitais de forma proporcionada e eficaz. O fabricante cuja avaliação da conformidade seja realizada por terceiros pode escolher o procedimento que melhor corresponda ao seu processo de conceção e produção. Tendo em conta o risco de cibersegurança ainda maior associado à utilização de produtos classificados como produtos críticos da classe II, a avaliação da conformidade destes produtos deve sempre envolver terceiros. (46)Embora a criação de produtos corpóreos com elementos digitais exija normalmente que os fabricantes desenvolvam esforços substanciais ao longo das fases de conceção, desenvolvimento e produção, a criação de produtos com elementos digitais sob a forma de software centra-se quase exclusivamente na conceção e no desenvolvimento, desempenhando a fase de produção um papel secundário. No entanto, em muitos casos, os produtos de software continuam a ter de ser compilados, construídos, embalados, disponibilizados para descarregamento ou copiados para suportes físicos antes de serem colocados no mercado. Estas atividades devem ser consideradas atividades equivalentes à produção aquando da aplicação dos módulos de avaliação da conformidade pertinentes para verificar a conformidade do produto com os requisitos essenciais do presente regulamento nas fases de conceção, desenvolvimento e produção. (47)Para efeitos de avaliação da conformidade dos produtos com elementos digitais por terceiros, as autoridades notificadoras nacionais devem notificar os organismos de avaliação da conformidade à Comissão e aos outros Estados-Membros, contanto estes que cumpram uma série de requisitos, nomeadamente em termos de independência, competência e ausência de conflitos de interesse.

(48)Com o objetivo de garantir um nível coerente de qualidade no desempenho da avaliação da conformidade dos produtos com elementos digitais, é também necessário estabelecer requisitos a cumprir pelas autoridades notificadoras e por outros organismos envolvidos na avaliação, na notificação e no controlo dos organismos notificados. O sistema estabelecido no presente regulamento deve ser complementado pelo sistema de acreditação previsto no Regulamento (CE) n.º 765/2008. Dado que a acreditação é um meio fundamental para verificar a competência dos organismos de avaliação da conformidade, deve ser igualmente utilizada para efeitos de notificação. (49)Uma acreditação organizada de forma transparente nos termos do Regulamento (CE) n.º 765/2008, que garanta a necessária confiança nos certificados de conformidade, deve ser considerada como o instrumento preferido das autoridades públicas nacionais em toda a União para demonstrar a competência técnica dos organismos de avaliação da conformidade. Contudo, as autoridades nacionais podem considerar que possuem os meios adequados para realizarem por si próprias essa avaliação. Nesse caso, a fim de assegurar o nível adequado de credibilidade das avaliações efetuadas por outras autoridades nacionais, aquelas devem apresentar à Comissão e aos restantes Estados-Membros as devidas provas documentais de que os organismos de avaliação da conformidade avaliados cumprem os requisitos regulamentares aplicáveis. (50)Os organismos de avaliação da conformidade subcontratam frequentemente partes das respetivas atividades relacionadas com a avaliação da conformidade ou recorrem a filiais para esse efeito. A fim de salvaguardar o nível de proteção exigido para a colocação do produto com elementos digitais no mercado, é indispensável que esses subcontratantes e filiais que efetuam a avaliação da conformidade cumpram requisitos idênticos aos dos organismos notificados relativamente ao desempenho de tarefas de avaliação da conformidade. (51)A notificação de um organismo de avaliação da conformidade deve ser enviada pela autoridade notificadora à Comissão e aos outros Estados-Membros através do sistema de informação NANDO (New Approach Notified and Designated Organisations). NANDO é o instrumento de notificação eletrónico desenvolvido e gerido pela Comissão que contém uma lista de todos os organismos notificados. (52)Como os organismos notificados podem propor os seus serviços em todo o território da União, é conveniente dar aos outros Estados-Membros e à Comissão a oportunidade de formular objeções em relação a um organismo notificado. Assim, é primordial prever um período durante o qual possam ser esclarecidas quaisquer dúvidas ou preocupações quanto à competência dos organismos de avaliação da conformidade antes que estes iniciem a suas funções como organismos notificados. (53)No interesse da competitividade, é crucial que os organismos notificados apliquem os procedimentos de avaliação da conformidade sem sobrecarregar desnecessariamente os operadores económicos. Pelo mesmo motivo, e para favorecer a igualdade de tratamento dos operadores económicos, é necessário assegurar que a aplicação técnica dos procedimentos de avaliação da conformidade seja feita de forma coerente. A melhor maneira de o conseguir é através de uma coordenação e cooperação adequadas entre os organismos notificados. (54)A fiscalização do mercado é um instrumento essencial para garantir a aplicação correta e uniforme da legislação da União. Convém, pois, criar um quadro jurídico no âmbito do qual a fiscalização do mercado possa ser realizada de forma adequada. As regras relativas à fiscalização do mercado da União e ao controlo dos produtos que entram no mercado da União, previstas no Regulamento (UE) 2019/1020 do Parlamento Europeu e do Conselho, aplicam-se aos produtos com elementos digitais abrangidos pelo presente regulamento. (55)Em conformidade com o Regulamento (UE) 2019/1020, as autoridades de fiscalização do mercado procedem à fiscalização do mercado no território do respetivo Estado-Membro. O presente regulamento não deve impedir os Estados-Membros de escolher as autoridades competentes para desempenhar essas funções. Cada Estado-Membro deve designar uma ou mais autoridades de fiscalização do mercado no seu território. Os Estados-Membros podem optar por designar qualquer autoridade existente ou nova para atuar como autoridade de fiscalização do mercado, incluindo as autoridades nacionais competentes referidas no artigo [artigo X] da Diretiva [Diretiva XXX/XXXX (SRI 2)] ou as autoridades nacionais de certificação da cibersegurança designadas a que se refere o artigo 58.º do Regulamento (UE) 2019/881. Os operadores económicos devem cooperar plenamente com as autoridades de fiscalização do mercado e outras autoridades competentes. Cada Estado-Membro deve informar a Comissão e os outros Estados-Membros sobre as suas autoridades de fiscalização do mercado e respetivos domínios de competência e deve assegurar os recursos e competências necessários ao desempenho das funções de fiscalização relacionadas com o presente regulamento. Em conformidade com o artigo 10.º, n.os 2 e 3, do Regulamento (UE) 2019/1020, cada Estado-Membro deve designar um serviço de ligação único responsável, nomeadamente, pela representação da posição coordenada das autoridades de fiscalização do mercado e pela assistência na cooperação entre as autoridades de fiscalização do mercado nos diferentes Estados-Membros. (56)Deve ser criado um grupo de cooperação administrativa (ADCO) específico para a aplicação uniforme do presente regulamento, nos termos do artigo 30.º, n.º 2, do Regulamento (UE) 2019/1020. Este grupo ADCO deve incluir representantes das autoridades de fiscalização do mercado designadas e, se for caso disso, representantes dos serviços de ligação únicos. A Comissão deve apoiar e incentivar a cooperação entre as autoridades de fiscalização do mercado através da rede da União para a conformidade dos produtos, criada com base no artigo 29.º do Regulamento (UE) 2019/1020 e composta por representantes de cada Estado-Membro, incluindo um representante de cada serviço de ligação único a que refere o artigo 10.º do Regulamento (UE) 2019/1020, e um perito nacional facultativo, os presidentes dos ADCO e representantes da Comissão. A Comissão deve participar nas reuniões da rede, dos seus subgrupos e do respetivo ADCO. Deve igualmente prestar assistência a este ADCO através de um secretariado executivo que faculte apoio técnico e logístico. (57)A fim de assegurar medidas oportunas, proporcionadas e eficazes em relação a produtos com elementos digitais que apresentem um risco de cibersegurança significativo, deve prever-se um procedimento de salvaguarda da União no âmbito do qual as partes interessadas sejam informadas das medidas previstas para esses produtos. Tal deve ainda permitir às autoridades de fiscalização do mercado atuar numa fase precoce, se necessário, em cooperação com os operadores económicos pertinentes. Nos casos em que os Estados-Membros e a Comissão concordem quanto à justi