Source: http://docplayer.com.br/5961119-Jornal-oficial-da-uniao-europeia-l-235-legislacao-atos-nao-legislativos-58-o-ano-edicao-em-lingua-portuguesa-9-de-setembro-de-2015.html
Timestamp: 2018-04-25 14:37:04+00:00

Document:
Jornal Oficial da União Europeia L 235. Legislação. Atos não legislativos. 58. o ano. Edição em língua portuguesa. 9 de setembro de PDF
Download "Jornal Oficial da União Europeia L 235. Legislação. Atos não legislativos. 58. o ano. Edição em língua portuguesa. 9 de setembro de 2015."
Bento Igrejas Lima
1 Jornal Oficial da União Europeia L 235 Edição em língua portuguesa Legislação 58. o ano 9 de setembro de 2015 Índice II Atos não legislativos REGULAMENTOS Regulamento de Execução (UE) 2015/1501 da Comissão, de 8 de setembro de 2015, que estabelece o quadro de interoperabilidade, nos termos do artigo 12. o, n. o 8, do Regulamento (UE) n. o 910/2014 do Parlamento Europeu e do Conselho relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno ( 1 )... 1 Regulamento de Execução (UE) 2015/1502 da Comissão, de 8 de setembro de 2015, que estabelece as especificações técnicas mínimas e os procedimentos para a atribuição dos níveis de garantia dos meios de identificação eletrónica, nos termos do artigo 8. o, n. o 3, do Regulamento (UE) n. o 910/2014 do Parlamento Europeu e do Conselho relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno ( 1 ) 7 Regulamento de Execução (UE) 2015/1503 da Comissão, de 8 de setembro de 2015, que estabelece os valores forfetários de importação para a determinação do preço de entrada de certos frutos e produtos hortícolas DECISÕES Decisão de Execução (UE) 2015/1504 da Comissão, de 7 de setembro de 2015, que concede derrogações a certos Estados-Membros no que diz respeito à transmissão de estatísticas nos termos do Regulamento (CE) n. o 1099/2008 do Parlamento Europeu e do Conselho relativo às estatísticas da energia [notificada com o número C(2015) 6105] ( 1 ) Decisão de Execução (UE) 2015/1505 da Comissão, de 8 de setembro de 2015, que estabelece as especificações técnicas e os formatos relativos às listas de confiança, nos termos do artigo 22. o, n. o 5, do Regulamento (UE) n. o 910/2014 do Parlamento Europeu e do Conselho relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno ( 1 ) ( 1 ) Texto relevante para efeitos do EEE (continua no verso da capa) Os atos cujos títulos são impressos em tipo fino são atos de gestão corrente adotados no âmbito da política agrícola e que têm, em geral, um período de validade limitado. Os atos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes.
2 Decisão de Execução (UE) 2015/1506 da Comissão, de 8 de setembro de 2015, que estabelece especificações relativas aos formatos das assinaturas eletrónicas avançadas e dos selos eletrónicos avançados para reconhecimento pelos organismos públicos nos termos dos artigos 27. o, n. o 5, e 37. o, n. o 5, do Regulamento (UE) n. o 910/2014 do Parlamento Europeu e do Conselho relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno ( 1 ) ( 1 ) Texto relevante para efeitos do EEE
3 L 235/1 II (Atos não legislativos) REGULAMENTOS REGULAMENTO DE EXECUÇÃO (UE) 2015/1501 DA COMISSÃO de 8 de setembro de 2015 que estabelece o quadro de interoperabilidade, nos termos do artigo 12. o, n. o 8, do Regulamento (UE) n. o 910/2014 do Parlamento Europeu e do Conselho relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno (Texto relevante para efeitos do EEE) A COMISSÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, Tendo em conta o Regulamento (UE) n. o 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno e que revoga a Diretiva 1999/93/CE ( 1 ), nomeadamente o artigo 12. o, n. o 8, Considerando o seguinte: (1) O artigo 12. o, n. o 2, do Regulamento (UE) n. o 910/2014 prevê que deve ser estabelecido um quadro de interoperabilidade para efeitos da interoperabilidade dos sistemas nacionais de identificação eletrónica notificados nos termos do artigo 9. o, n. o 1, do referido regulamento. (2) Os nós desempenham um papel central na interligação dos sistemas de identificação eletrónica dos Estados- -Membros. O seu contributo é explicado na documentação relacionada com o Mecanismo Interligar a Europa criado pelo Regulamento (UE) n. o 1316/2013 do Parlamento Europeu e do Conselho ( 2 ), incluindo as funções e componentes do «nó eidas». (3) Sempre que um Estado-Membro ou a Comissão forneça software para assegurar a autenticação de um nó explorado noutro Estado-Membro, a parte que fornece e atualiza o software utilizado no mecanismo de autenticação pode estabelecer por acordo com a parte que acolhe o software a forma como o funcionamento do mecanismo de autenticação será gerido. Este acordo não deve impor à parte que acolhe o software requisitos técnicos ou custos desproporcionados (incluindo o apoio, responsabilidades, alojamento e outras despesas). (4) Na medida em que a aplicação do quadro de interoperabilidade o justifique, poderão ser elaboradas pela Comissão, em colaboração com os Estados-Membros, outras especificações técnicas que pormenorizem os requisitos técnicos estabelecidos no presente regulamento, em especial tendo em conta os pareceres da rede de cooperação referida no artigo 14. o, alínea d), da Decisão de Execução (UE) 2015/296 da Comissão ( 3 ). Estas especificações devem ser elaboradas como parte das infraestruturas de serviços digitais previstas no Regulamento (UE) n. o 1316/2013, que estabelece os meios para a aplicação prática de um elemento de identificação eletrónica. ( 1 ) JO L 257 de , p. 73. ( 2 ) Regulamento (UE) n. o 1316/2013 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2013, que cria o Mecanismo Interligar a Europa, altera o Regulamento (UE) n. o 913/2010 e revoga os Regulamentos (CE) n. o 680/2007 e (CE) n. o 67/2010 (JO L 348 de , p. 129). ( 3 ) Decisão de Execução (UE) 2015/296 da Comissão, de 24 de fevereiro de 2015, que estabelece as disposições processuais de cooperação entre Estados-Membros em matéria de identificação eletrónica nos termos do artigo 12. o, n. o 7, do Regulamento (UE) n. o 910/2014 do Parlamento Europeu e do Conselho relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno (JO L 53 de , p. 14).
4 L 235/ (5) Os requisitos técnicos estabelecidos no presente regulamento devem ser aplicáveis não obstante eventuais alterações nas especificações técnicas que possam vir a ser elaboradas nos termos do artigo 12. o do presente regulamento. (6) O projeto-piloto de grande escala STORK, incluindo as especificações aí desenvolvidas, e os princípios e conceitos do quadro europeu de interoperabilidade para os serviços públicos europeus foram tidos na máxima conta ao estabelecer as modalidades do quadro de interoperabilidade no presente regulamento. (7) Os resultados da cooperação entre os Estados-Membros foram tidos na máxima conta. (8) As medidas previstas no presente regulamento são conformes com o parecer do comité instituído pelo artigo 48. o do Regulamento (UE) n. o 910/2014, ADOTOU O PRESENTE REGULAMENTO: Artigo 1. o Objeto O presente regulamento estabelece os requisitos técnicos e operacionais do quadro de interoperabilidade, a fim de garantir a interoperabilidade dos sistemas de identificação eletrónica que os Estados-Membros notificam à Comissão. Estes requisitos incluem, em especial: a) Requisitos técnicos mínimos relacionados com os níveis de garantia e a correspondência entre os níveis de garantia nacionais dos meios de identificação eletrónica notificados emitidos no âmbito de sistemas de identificação eletrónica notificados nos termos do artigo 8. o do Regulamento (UE) n. o 910/2014, que são definidos nos artigos 3. o e 4. o ; b) Requisitos técnicos mínimos para a interoperabilidade, que são definidos nos artigos 5. o e 8. o ; c) O conjunto mínimo de dados de identificação que representam de modo único uma pessoa singular ou coletiva, que é definido no artigo 11. o e no anexo; d) As normas comuns de segurança operacional, que são definidas nos artigos 6. o, 7. o, 9. o e 10. o ; e) As modalidades de resolução de litígios, que são definidas no artigo 13. o. Artigo 2. o Definições Para efeitos do presente regulamento, entende-se por: 1) «Nó», um ponto de ligação que faz parte da arquitetura da interoperabilidade da identificação eletrónica e que participa na autenticação transfronteiriça de pessoas, tendo capacidade para reconhecer e tratar ou transmitir comunicações de ou para outros nós, permitindo às infraestruturas de identificação eletrónica nacionais de um Estado-Membro interagirem com as infraestruturas de identificação eletrónica de outros Estados-Membros; 2) «Operador do nó», a entidade responsável por assegurar que o nó funciona corretamente e realiza de forma fiável as suas funções de ponto de ligação.
5 L 235/3 Artigo 3. o Requisitos técnicos mínimos relacionados com os níveis de garantia Os requisitos técnicos mínimos relacionados com os níveis de garantia são definidos no Regulamento de Execução (UE) 2015/1502 da Comissão ( 1 ). Artigo 4. o Recenseamento dos níveis de garantia nacionais O recenseamento dos níveis de garantia nacionais dos sistemas de identificação eletrónica notificados deve satisfazer os requisitos estabelecidos no Regulamento de Execução (UE) 2015/1502 da Comissão. Os resultados do recenseamento devem ser notificados à Comissão, utilizando o modelo de notificação definido na Decisão de Execução (UE) 2015/1505 da Comissão ( 2 ). Artigo 5. o 1. O nó de um Estado-Membro deve poder ligar-se aos nós de outros Estados-Membros. Nós 2. Os nós devem ser capazes de distinguir entre os organismos do setor público e as outras partes utilizadoras através de meios técnicos. 3. A aplicação por um Estado-Membro dos requisitos técnicos estabelecidos no presente regulamento não pode impor requisitos técnicos ou custos desproporcionados a outros Estados-Membros para que estes possam interagir com o sistema adotado pelo primeiro. Artigo 6. o Privacidade e confidencialidade dos dados 1. A proteção da vida privada e da confidencialidade dos dados trocados e a conservação da integridade dos dados entre os nós devem ser garantidas mediante a utilização das melhores soluções técnicas e práticas de proteção disponíveis. 2. Os nós não devem armazenar quaisquer dados pessoais, exceto para os fins previstos no artigo 9. o, n. o 3. Artigo 7. o Integridade e autenticidade dos dados a comunicar A comunicação entre os nós deve assegurar a integridade e autenticidade dos dados de forma a garantir que todos os pedidos e respostas são autênticos e não foram manipulados. Para o efeito, devem utilizar as soluções que foram aplicadas com êxito na utilização operacional transfronteiriça. ( 1 ) Regulamento de Execução (UE) 2015/1502 da Comissão, de 8 de setembro de 2015, que estabelece as especificações técnicas mínimas e os procedimentos para a atribuição dos níveis de garantia dos meios de identificação eletrónica, nos termos do artigo 8. o, n. o 3, do Regulamento (UE) n. o 910/2014 do Parlamento Europeu e do Conselho relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno (ver página 7 do presente Jornal Oficial). ( 2 ) Decisão de Execução (UE) 2015/1505 da Comissão, de 8 de setembro de 2015, que estabelece as especificações técnicas e os formatos relativos às listas de confiança, nos termos do artigo 22. o, n. o 5, do Regulamento (UE) n. o 910/2014 do Parlamento Europeu e do Conselho relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno (ver página 26 do presente Jornal Oficial).
6 L 235/ Artigo 8. o Formato das mensagens para a comunicação Os nós devem utilizar uma sintaxe comum de formatos de mensagem baseados em normas que já foram utilizadas mais do que uma vez entre os Estados-Membros e que deram provas de funcionalidade num ambiente operacional. A sintaxe deve permitir: a) O tratamento adequado do conjunto mínimo de dados de identificação que representam de modo único uma pessoa singular ou coletiva; b) O tratamento adequado do nível de garantia dos meios de identificação eletrónica; c) A distinção entre os organismos do setor público e as outras partes utilizadoras; d) A flexibilidade para responder às necessidades de atributos adicionais de identificação. Artigo 9. o Gestão da segurança da informação e metadados 1. O operador do nó deve comunicar os metadados de gestão do nó num formato normalizado que permita o tratamento automatizado e de um modo seguro e fiável. 2. No mínimo, os parâmetros relevantes para a segurança devem ser tratados automaticamente. 3. O operador do nó deve armazenar os dados que, em caso de incidente, permitam a reconstrução da sequência da troca de mensagens por forma a determinar o local e a natureza do incidente. Os dados são armazenados durante um período de tempo de acordo com os requisitos nacionais e, no mínimo, devem conter os seguintes elementos: a) Identificação do nó; b) Identificação da mensagem; c) Data e hora da mensagem. Artigo 10. o Normas de garantia e segurança da informação 1. Os operadores de nós que prestam serviços de autenticação devem provar que, relativamente aos nós que participam no quadro de interoperabilidade, o seu nó cumpre os requisitos da norma ISO/IEC através da certificação ou de métodos equivalentes de avaliação ou de acordo com a legislação nacional. 2. Os operadores de nós devem proceder às atualizações críticas de segurança sem demora injustificada. Artigo 11. o Dados de identificação pessoal 1. O conjunto mínimo de dados de identificação que representam de modo único uma pessoa singular ou coletiva deve cumprir os requisitos estabelecidos no anexo, quando utilizado num contexto transfronteiriço. 2. O conjunto mínimo de dados para uma pessoa singular que represente uma pessoa coletiva deve incluir a combinação dos atributos enumerados no anexo para as pessoas singulares e para as pessoas coletivas, quando utilizado num contexto transfronteiriço. 3. Os dados devem ser transmitidos com base nos carateres originais e, quando adequado, também com a sua transliteração em carateres latinos.
7 L 235/5 Artigo 12. o Especificações técnicas 1. Quando o processo de aplicação do quadro de interoperabilidade o justifique, a rede de cooperação estabelecida pela Decisão de Execução (UE) 2015/296 pode emitir pareceres ao abrigo do artigo 14. o, alínea d), sobre a necessidade de elaborar especificações técnicas. Essas especificações técnicas devem fornecer informações mais pormenorizadas sobre os requisitos técnicos estabelecidos no presente regulamento. 2. Nos termos do parecer referido no n. o 1, a Comissão, em cooperação com os Estados-Membros, deve elaborar as especificações técnicas como parte das infraestruturas de serviços digitais do Regulamento (UE) n. o 1316/ A rede de cooperação deve emitir um parecer nos termos do artigo 14. o, alínea d), da Decisão de Execução (UE) 2015/296, em que avalia se, e em que medida, as especificações técnicas elaboradas nos termos do n. o 2 correspondem às necessidades identificadas no parecer referido no n. o 1, ou cumprem os requisitos estabelecidos no presente regulamento. A rede de cooperação pode recomendar que os Estados-Membros tomem em conta as especificações técnicas ao aplicarem o quadro de interoperabilidade. 4. A Comissão deve fornecer uma aplicação de referência como um exemplo de interpretação das especificações técnicas. Os Estados-Membros podem aplicar esta aplicação de referência ou utilizá-la como amostra quando se testam outras aplicações das especificações técnicas. Artigo 13. o Resolução de litígios 1. Sempre que possível, quaisquer litígios relativos ao quadro de interoperabilidade devem ser resolvidos pelos Estados-Membros em causa através de negociações. 2. Se não se alcançar a uma solução em conformidade com o disposto no n. o 1, a rede de cooperação estabelecida pela Decisão de Execução (UE) 2015/296 terá competência para resolver o litígio em conformidade com o seu regulamento interno. Artigo 14. o Entrada em vigor O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros. Feito em Bruxelas, em 8 de setembro de Pela Comissão O Presidente Jean-Claude JUNCKER
8 L 235/ ANEXO Requisitos relativos ao conjunto mínimo de dados de identificação que representem de modo único uma pessoa singular ou coletiva referido no artigo 11. o 1. Conjunto mínimo de dados para uma pessoa singular O conjunto mínimo de dados para uma pessoa singular deve conter obrigatoriamente todas as seguintes características: a) Apelido(s) atual(is); b) Nome(s) próprio(s) atual(is); c) Data de nascimento; d) Um identificador único atribuído pelo Estado-Membro de expedição, conforme com as especificações técnicas para efeitos de identificação transfronteiriça e tão persistente quanto possível no tempo. O conjunto mínimo de dados para uma pessoa singular pode conter uma ou mais das seguintes características: a) Nome(s) próprio(s) e apelido(s) de nascimento; b) Local de nascimento; c) Endereço atual; d) Sexo. 2. Conjunto mínimo de dados para uma pessoa coletiva O conjunto mínimo de dados para uma pessoa coletiva deve conter obrigatoriamente todas as seguintes características: a) Denominação oficial atual; b) Um identificador único atribuído pelo Estado-Membro de expedição, conforme com as especificações técnicas para efeitos de identificação transfronteiriça e tão persistente quanto possível no tempo. O conjunto mínimo de dados para uma pessoa coletiva pode conter uma ou mais das seguintes características: a) Endereço atual; b) Número do IVA; c) Número de identificação fiscal; d) O identificador relacionado com o artigo 3. o, n. o 1, da Diretiva 2009/101/CE do Parlamento Europeu e do Conselho ( 1 ); e) Identificador de pessoa jurídica a que se refere o Regulamento de Execução (UE) n. o 1247/2012 da Comissão ( 2 ); f) Número de registo de operador económico (EORI) a que se refere o Regulamento de Execução (UE) n. o 1352/2013 da Comissão ( 3 ); g) Número de imposto especial de consumo previsto no artigo 2. o, n. o 12, do Regulamento (UE) n. o 389/2012 do Conselho ( 4 ). ( 1 ) Diretiva 2009/101/CE do Parlamento Europeu e do Conselho, de 16 de setembro de 2009, tendente a coordenar as garantias que, para proteção dos interesses dos sócios e de terceiros, são exigidas nos Estados-Membros às sociedades, na aceção do segundo parágrafo do artigo 48. o do Tratado, a fim de tornar equivalentes essas garantias em toda a Comunidade (JO L 258 de , p. 11). ( 2 ) Regulamento de Execução (UE) n. o 1247/2012 da Comissão, de 19 de dezembro de 2012, que estabelece as normas técnicas de execução no que se refere ao formato e à periodicidade dos relatórios de transações a transmitir aos repositórios de transações nos termos do Regulamento (UE) n. o 648/2012 do Parlamento Europeu e do Conselho relativo aos derivados do mercado de balcão, às contrapartes centrais e aos repositórios de transações (JO L 352 de , p. 20). ( 3 ) Regulamento de Execução (UE) n. o 1352/2013 da Comissão, de 4 de dezembro de 2013, que estabelece os formulários previstos no Regulamento (UE) n. o 608/2013 do Parlamento Europeu e do Conselho relativo à intervenção das autoridades aduaneiras para assegurar o cumprimento da legislação sobre os direitos de propriedade intelectual (JO L 341 de , p. 10). ( 4 ) Regulamento (UE) n. o 389/2012 do Conselho, de 2 de maio de 2012, relativo à cooperação administrativa no domínio dos impostos especiais de consumo e que revoga o Regulamento (CE) n. o 2073/2004 (JO L 121 de , p. 1).
9 L 235/7 REGULAMENTO DE EXECUÇÃO (UE) 2015/1502 DA COMISSÃO de 8 de setembro de 2015 que estabelece as especificações técnicas mínimas e os procedimentos para a atribuição dos níveis de garantia dos meios de identificação eletrónica, nos termos do artigo 8. o, n. o 3, do Regulamento (UE) n. o 910/2014 do Parlamento Europeu e do Conselho relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno (Texto relevante para efeitos do EEE) A COMISSÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, Tendo em conta o Regulamento (UE) n. o 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno e que revoga a Diretiva 1999/93/CE ( 1 ), nomeadamente o artigo 8. o, n. o 3, Considerando o seguinte: (1) O artigo 8. o do Regulamento (UE) n. o 910/2014 prevê que os sistemas de identificação eletrónica notificados nos termos do artigo 9. o, n. o 1, especifiquem os níveis de garantia reduzido, substancial e elevado para os meios de identificação eletrónica neles produzidos. (2) É essencial definir as especificações técnicas mínimas, as normas e os procedimentos aplicáveis, a fim de assegurar um entendimento comum dos elementos dos níveis de garantia, bem como a sua interoperabilidade, ao recensear os níveis de garantia nacionais dos sistemas de identificação eletrónica notificados relativamente aos níveis de garantia previstos no artigo 8. o, tal como previsto no artigo 12. o, n. o 4, alínea b), do Regulamento (UE) n. o 910/2014. (3) A norma internacional ISO/IEC foi tida em consideração para as especificações e procedimentos previstos no presente ato de execução, dado que se trata da principal norma internacional existente no domínio dos níveis de segurança dos meios de identificação eletrónica. No entanto, o conteúdo do Regulamento (UE) n. o 910/2014 difere da norma internacional, em especial no que diz respeito aos requisitos de prova e verificação da identidade, bem como quanto à forma como as diferentes modalidades de identidade dos Estados-Membros e os instrumentos existentes na UE para esse efeito são tidos em consideração. Por conseguinte, embora o anexo nela se baseie, não deve fazer referência a qualquer conteúdo concreto da norma internacional ISO/IEC (4) O presente regulamento foi concebido numa abordagem devidamente baseada nos resultados, o que também se reflete nas definições utilizadas para especificar os termos e conceitos. Estes têm em conta o objetivo do Regulamento (UE) n. o 910/2014 em relação aos níveis de segurança dos meios de identificação eletrónica. Por conseguinte, o projeto-piloto de grande escala STORK, incluindo as especificações aí desenvolvidas, bem como as definições e conceitos da norma ISO/IEC 29115, devem ser tidos na máxima conta ao estabelecer as especificações e procedimentos previstos no presente ato de execução. (5) Em função do contexto em que um elemento de prova de identidade tem de ser verificado, as fontes qualificadas podem assumir muitas formas, nomeadamente registos, documentos ou organismos. As fontes qualificadas que podem ser diferentes nos diversos Estados-Membros, mesmo num contexto semelhante. (6) Os requisitos de prova e verificação da identidade devem ter em conta os diferentes sistemas e práticas, assegurando simultaneamente um grau de garantia suficientemente elevado para estabelecer a confiança necessária. Portanto, a aceitação dos procedimentos utilizados anteriormente para outros fins que não a produção de meios de identificação eletrónica deve estar subordinada à confirmação de que esses procedimentos cumprem os requisitos previstos para o nível de garantia correspondente. ( 1 ) JO L 257 de , p. 73.
10 L 235/ (7) Em geral são utilizados certos fatores de autenticação, como a partilha de segredos comerciais, dispositivos físicos e atributos físicos. No entanto, a utilização de um maior número de fatores de autenticação, em especial de diferentes categorias, deve ser incentivada para aumentar a segurança do processo de autenticação. (8) O presente regulamento não deve afetar os direitos de representação das pessoas coletivas. No entanto, o anexo deve prever os requisitos para a ligação entre os meios de identificação eletrónica de pessoas singulares e coletivas. (9) A importância da segurança da informação e dos sistemas de gestão de serviços deve ser reconhecida, tal como deve ser reconhecida a importância do emprego de metodologias reconhecidas e da aplicação dos princípios consagrados em normas como a ISO/IEC e a série de normas ISO/IEC (10) As boas práticas relativamente aos níveis de garantia nos Estados-Membros também devem ser tidas em conta. (11) A certificação de segurança informática baseada em normas internacionais é um instrumento importante para verificar a conformidade dos produtos com os requisitos previstos no presente ato de execução. (12) O Comité referido no artigo 48. o do Regulamento (UE) n. o 910/2014 não emitiu um parecer no prazo estipulado pela respetiva presidência, ADOTOU O PRESENTE REGULAMENTO: Artigo 1. o 1. Os níveis de garantia reduzido, substancial e elevado dos meios de identificação eletrónica produzidos no âmbito de um sistema de identificação eletrónica notificado são determinados com base nas especificações e procedimentos definidos no anexo. 2. As especificações e procedimentos definidos no anexo devem ser utilizados para especificar o nível de garantia dos meios de identificação eletrónica produzidos no âmbito de um sistema de identificação eletrónica notificado, para determinar a confiança e qualidade dos seguintes elementos: a) A inscrição, conforme definida no ponto 2.1 do anexo do presente regulamento, em conformidade com o artigo 8. o, n. o 3, alínea a), do Regulamento (UE) n. o 910/2014; b) A gestão dos meios de identificação eletrónica, conforme definida no ponto 2.2 do anexo do presente regulamento, em conformidade com o artigo 8. o, n. o 3, alíneas b) e f), do Regulamento (UE) n. o 910/2014; c) A autenticação, conforme definida no ponto 2.3 do anexo do presente regulamento, em conformidade com o artigo 8. o, n. o 3, alínea c), do Regulamento (UE) n. o 910/2014; d) A gestão e organização, conforme definidas no ponto 2.4 do anexo do presente regulamento, em conformidade com o artigo 8. o, n. o 3, alíneas d) e e), do Regulamento (UE) n. o 910/ Quando os meios de identificação eletrónica produzidos no âmbito de um sistema de identificação eletrónica notificado cumprirem os requisitos do nível de garantia mais elevado, presume-se que cumprem os requisitos equivalentes de um nível de garantia inferior. 4. Salvo indicação em contrário na parte relevante do anexo, todos os elementos enumerados no anexo para um determinado nível de garantia do meio de identificação eletrónica produzido no âmbito de um sistema de identificação eletrónica notificado devem ser cumpridos para se atingir o nível de garantia em questão. Artigo 2. o O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.
11 L 235/9 O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros. Feito em Bruxelas, em 8 de setembro de Pela Comissão O Presidente Jean-Claude JUNCKER
12 L 235/ ANEXO Especificações técnicas e procedimentos para a atribuição dos níveis de garantia reduzido, substancial e elevado dos meios de identificação eletrónica produzidos no âmbito de um sistema de identificação eletrónica notificado 1. Definições aplicáveis Para efeitos do presente anexo, entende-se por: 1) «Fonte qualificada», qualquer fonte, independentemente da sua forma, que pode ser considerada fiável para fornecer dados exatos, informações e/ou elementos de prova que podem ser utilizados para comprovar a identidade; 2) «Fator de autenticação», um elemento confirmado como ligado a uma pessoa, que se enquadra numa das seguintes categorias: a) «Fator de autenticação baseado na posse», um fator de autenticação em que a pessoa em causa tem de provar a sua posse; b) «Fator de autenticação baseado no conhecimento», um fator de autenticação em que a pessoa em causa tem de demonstrar o conhecimento do mesmo; c) «Fator de autenticação inerente», um fator de autenticação que tem por base um atributo físico de uma pessoa singular, que a pessoa em causa tem de demonstrar possuir; 3) «Autenticação dinâmica», um processo eletrónico que utiliza criptografia ou outras técnicas para fornecer um meio de criar a pedido uma prova eletrónica de que a pessoa em causa controla ou tem na sua posse os dados de identificação e que se altera com cada autenticação entre a pessoa em causa e o sistema que verifica a sua identidade; 4) «Sistema de gestão da segurança das informações», um conjunto de processos e procedimentos destinados a garantir níveis aceitáveis de riscos associados à segurança da informação. 2. Especificações técnicas e procedimentos Os elementos das especificações técnicas e procedimentos descritos no presente anexo devem ser utilizados para determinar a forma como os requisitos e critérios estabelecidos no artigo 8. o do Regulamento (UE) n. o 910/2014 devem ser aplicados aos meios de identificação eletrónica produzidos por um sistema de identificação eletrónica Inscrição Pedido e registo Nível de garantia Reduzido Elementos necessários 1. Assegurar que o requerente tem conhecimento dos termos e condições relacionados com a utilização dos meios de identificação eletrónica. 2. Assegurar que o requerente tem conhecimento das precauções recomendadas relativamente à utilização dos meios de identificação eletrónica. 3. Recolher os dados de identificação necessários para a prova e verificação da identidade. Substancial Idênticos ao nível reduzido. Elevado Idênticos ao nível reduzido.
13 L 235/ Prova e verificação da identidade (pessoa singular) Nível de garantia Reduzido Elementos necessários 1. Pode considerar-se que a pessoa está na posse de elementos de prova reconhecidos pelo Estado-Membro em que se efetua o pedido de meios de identidade eletrónica e que representam a identidade declarada. 2. Pode considerar-se que os elementos de prova são genuínos, ou que são conformes com uma fonte qualificada e parecem ser válidos. 3. Sabe-se, de acordo com uma fonte qualificada, que a identidade declarada existe e pode presumir-se que a pessoa que declara a identidade é a própria. Substancial Idênticos ao nível reduzido, acrescidos de uma das alternativas enumeradas nos pontos 1 a 4: 1. Verificou-se que a pessoa está na posse de elementos de prova reconhecidos pelo Estado- -Membro em que se efetua o pedido de meios de identidade eletrónica e que representam a identidade declarada e Os elementos de prova são controlados para verificar se são genuínos; ou, de acordo com uma fonte qualificada, sabe-se que existem e que se referem a uma pessoa real e Foram tomadas medidas para minimizar o risco de que a identidade da pessoa não seja a identidade declarada, tendo em conta, por exemplo, o risco de apresentação de elementos de prova perdidos, roubados, suspensos, revogados ou caducados; ou 2. Um documento de identidade é apresentado durante um processo de registo no Estado- -Membro em que o documento foi emitido e o documento parece dizer respeito à pessoa que o apresenta e Foram tomadas medidas para minimizar o risco de que a identidade da pessoa não seja a identidade declarada, tendo em conta, por exemplo, o risco de apresentação de documentos perdidos, roubados, suspensos, revogados ou caducados; ou 3. Quando os procedimentos anteriormente utilizados no mesmo Estado-Membro por uma entidade pública ou privada, para outros fins que não a produção de meios de identificação eletrónica, assegurarem um nível de garantia equivalente ao estabelecido no ponto para o nível garantia substancial, a entidade competente para o registo não tem de repetir esses procedimentos anteriores, desde que essa garantia equivalente seja confirmada por um organismo de avaliação da conformidade referido no artigo 2. o, n. o 13, do Regulamento (CE) n. o 765/2008 do Parlamento Europeu e do Conselho ( 1 ), ou por um organismo equivalente; ou 4. Nos casos em que são produzidos meios de identificação eletrónica com base em meios de identificação eletrónica válidos com um nível de garantia substancial ou elevado, e tendo em conta o risco de uma alteração dos dados de identificação pessoal, não é necessário repetir os processos de prova e verificação da identidade. Se os meios de identificação eletrónica que servem de base não tiverem sido notificados, o nível de garantia substancial ou elevado deve ser confirmado por um organismo de avaliação da conformidade a que se refere o artigo 2. o, n. o 13, do Regulamento (CE) n. o 765/2008, ou por um órgão equivalente.
14 L 235/ Nível de garantia Elementos necessários Elevado Têm de ser respeitados os requisitos do ponto 1 ou 2: 1. Idênticos ao nível substancial, acrescidos de uma das alternativas enumeradas nos pontos a) a c): a) Nos casos em que se verifique que a pessoa está na posse de elementos de identificação com fotografia ou dados biométricos reconhecidos pelo Estado-Membro em que se efetua o pedido de identidade eletrónica, e que os elementos de prova representem a identidade declarada, os elementos de prova são controlados para verificar se esta é válida de acordo com uma fonte qualificada; e O requerente é identificado com a identidade declarada através da comparação de uma ou mais características físicas da pessoa com uma fonte qualificada; ou b) Quando os procedimentos anteriormente utilizados no mesmo Estado-Membro por uma entidade pública ou privada, para outros fins que não a produção de meios de identificação eletrónica, assegurarem um nível de garantia equivalente ao estabelecido no ponto para o nível garantia elevado, a entidade competente para o registo não tem de repetir esses procedimentos anteriores, desde que essa garantia equivalente seja confirmada por um organismo de avaliação da conformidade referido no artigo 2. o, n. o 13, do Regulamento (CE) n. o 765/2008 do Parlamento Europeu e do Conselho, ou por um organismo equivalente; e Foram tomadas medidas para demonstrar que os resultados dos procedimentos anteriores continuam a ser válidos; ou c) Nos casos em que são produzidos meios de identificação eletrónica com base em meios de identificação eletrónica válidos com um nível de garantia elevado, e tendo em conta o risco de uma alteração dos dados de identificação pessoal, não é necessário repetir os processos de prova e verificação da identidade. Se os meios de identificação eletrónica que servem de base não tiverem sido notificados, o nível de garantia elevado deve ser confirmado por um organismo de avaliação da conformidade a que se refere o artigo 2. o, n. o 13, do Regulamento (CE) n. o 765/2008, ou por um órgão equivalente. OU e Foram tomadas medidas para demonstrar que os resultados do anterior procedimento de emissão de um meio de identificação eletrónica notificado continuam válidos. 2. Se o requerente não apresentar quaisquer elementos de identificação reconhecidos com fotografia ou dados biométricos, são aplicados os mesmos procedimentos utilizados a nível nacional no Estado-Membro da entidade responsável pelo registo para obter tais elementos de identificação reconhecidos com fotografia ou dados biométricos. ( 1 ) Regulamento (CE) n. o 765/2008 do Parlamento Europeu e do Conselho, de 9 de julho de 2008, que estabelece os requisitos de acreditação e fiscalização do mercado relativos à comercialização de produtos, e que revoga o Regulamento (CEE) n. o 339/93 (JO L 218 de , p. 30) Prova e verificação da identidade (pessoa coletiva) Nível de garantia Reduzido Elementos necessários 1. A identidade declarada é demonstrada com base em elementos de prova reconhecidos pelo Estado-Membro em que se efetua o pedido de meios de identidade eletrónica.
15 L 235/13 Nível de garantia Elementos necessários 2. Os elementos de prova aparentam ser válidos e genuínos, ou presume-se a sua existência de acordo com uma fonte qualificada, quando a inclusão de uma pessoa coletiva na fonte autorizada é voluntária e está regulamentada por um acordo entre a pessoa coletiva e a fonte qualificada. 3. A pessoa coletiva não é reconhecida por uma fonte qualificada com um estatuto que a impeça de atuar como pessoa coletiva. Substancial Idênticos ao nível reduzido, acrescidos de uma das alternativas enumeradas nos pontos 1 a 3: 1. A identidade da pessoa coletiva declarada é demonstrada com base em elementos de prova reconhecidos pelo Estado-Membro em que se efetua o pedido de meios de identidade eletrónica, incluindo a designação da pessoa coletiva, a forma jurídica e (quando aplicável) o número de registo. e Os elementos de prova são analisados a fim de determinar a sua autenticidade, ou se a sua existência é conhecida em conformidade com uma fonte qualificada, quando a inclusão da pessoa coletiva na fonte qualificada é uma condição para a pessoa coletiva exercer a atividade no seu setor e Foram tomadas medidas para minimizar o risco de que a identidade da pessoa coletiva não seja a identidade declarada, tendo em conta, por exemplo, o risco de apresentação de documentos perdidos, roubados, suspensos, revogados ou caducados; ou 2. Quando os procedimentos anteriormente utilizados no mesmo Estado-Membro por uma entidade pública ou privada, para outros fins que não a produção de meios de identificação eletrónica, assegurarem um nível de garantia equivalente ao estabelecido no ponto para o nível garantia substancial, a entidade competente para o registo não tem de repetir esses procedimentos anteriores, desde que essa garantia equivalente seja confirmada por um organismo de avaliação da conformidade referido no artigo 2. o, n. o 13, do Regulamento (CE) n. o 765/2008 ou por um organismo equivalente; ou 3. Nos casos em que são produzidos meios de identificação eletrónica com base em meios de identificação eletrónica válidos com um nível de garantia substancial ou elevado, não é necessário repetir os processos de prova e verificação da identidade. Se os meios de identificação eletrónica que servem de base não tiverem sido notificados, o nível de garantia substancial ou elevado deve ser confirmado por um organismo de avaliação da conformidade a que se refere o artigo 2. o, n. o 13, do Regulamento (CE) n. o 765/2008, ou por um órgão equivalente. Elevado Idênticos ao nível substancial, acrescidos de uma das alternativas enumeradas nos pontos 1 a 3: 1. A identidade da pessoa coletiva declarada é demonstrada com base em elementos de prova reconhecidos pelo Estado-Membro em que se efetua o pedido de meios de identidade eletrónica, incluindo a designação da pessoa coletiva, a forma jurídica e, pelo menos, um identificador único que represente a pessoa coletiva, utilizado num contexto nacional. e Os elementos de prova são controlados para verificar a sua validade de acordo com uma fonte qualificada; ou
16 L 235/ Nível de garantia Elementos necessários 2. Quando os procedimentos anteriormente utilizados no mesmo Estado-Membro por uma entidade pública ou privada, para outros fins que não a produção de meios de identificação eletrónica, assegurarem um nível de garantia equivalente ao estabelecido no ponto para o nível garantia elevado, a entidade competente para o registo não tem de repetir esses procedimentos anteriores, desde que essa garantia equivalente seja confirmada por um organismo de avaliação da conformidade referido no artigo 2. o, n. o 13, do Regulamento (CE) n. o 765/2008 ou por um organismo equivalente; e Foram tomadas medidas para demonstrar que os resultados dos procedimentos anteriores continuam a ser válidos; ou 3. Nos casos em que são produzidos meios de identificação eletrónica com base em meios de identificação eletrónica válidos com um nível de garantia elevado, não é necessário repetir os processos de prova e verificação da identidade. Se os meios de identificação eletrónica que servem de base não tiverem sido notificados, o nível de garantia elevado deve ser confirmado por um organismo de avaliação da conformidade a que se refere o artigo 2. o, n. o 13, do Regulamento (CE) n. o 765/2008, ou por um órgão equivalente. e Foram tomadas medidas para demonstrar que os resultados do anterior procedimento de emissão de um meio de identificação eletrónica notificado continuam válidos Ligação entre os meios de identificação eletrónica de pessoas singulares e coletivas Se for caso disso, são aplicáveis as seguintes condições à ligação entre o meios de identificação eletrónica de uma pessoa singular e os meios de identificação eletrónica de uma pessoa coletiva («ligação»): 1) É possível suspender e/ou revogar uma ligação. O ciclo de vida de uma ligação (por exemplo, ativação, suspensão, renovação, revogação) é gerido de acordo com os procedimentos reconhecidos a nível nacional. 2) A pessoa singular cujos meios de identificação eletrónica estão ligados aos meios de identificação eletrónica da pessoa coletiva pode delegar o exercício da ligação noutra pessoa singular com base em procedimentos reconhecidos a nível nacional. No entanto, a pessoa singular que efetua a delegação permanecerá responsável. 3) A ligação efetua-se do seguinte modo: Nível de garantia Reduzido Elementos necessários 1. A prova de identidade da pessoa singular que age em nome da pessoa coletiva é verificada como tendo sido realizada com um nível de garantia reduzido ou superior. 2. A ligação foi estabelecida com base nos procedimentos reconhecidos a nível nacional. 3. A pessoa singular não é reconhecida por uma fonte qualificada com um estatuto que a impeça de agir em nome da pessoa coletiva. Substancial Ponto 3 do nível reduzido, acrescido de: 1. A prova de identidade da pessoa singular que age em nome da pessoa coletiva é verificada como tendo sido realizada com um nível de garantia substancial ou elevado.
17 L 235/15 Nível de garantia Elementos necessários 2. A ligação foi estabelecida com base nos procedimentos reconhecidos a nível nacional, o que resultou na inscrição da ligação numa fonte qualificada. 3. A ligação foi verificada com base nas informações provenientes de uma fonte qualificada. Elevado Ponto 3 do nível reduzido e ponto 2 do nível substancial, acrescido de: 1. A prova de identidade da pessoa singular que age em nome da pessoa coletiva é verificada como tendo sido realizada com um nível de garantia elevado. 2. A ligação foi verificada com base num identificador único que representa a pessoa coletiva, utilizado no contexto nacional; e, com base nas informações de uma fonte qualificada que representam de modo único uma pessoa singular Gestão dos meios de identificação eletrónica Características e configuração dos meios de identificação eletrónica Nível de garantia Reduzido Elementos necessários 1. Os meios de identificação eletrónica utilizam, pelo menos, um fator de autenticação. 2. Os meios de identificação eletrónica são concebidos de modo a assegurar que o emitente toma as medidas razoáveis para verificar que só são utilizados sob o controlo ou na posse da pessoa a que pertencem. Substancial 1. Os meios de identificação eletrónica utilizam, pelo menos, dois fatores de autenticação de diferentes categorias. 2. Os meios de identificação eletrónica são concebidos de modo a permitir presumir que só são utilizados sob o controlo ou na posse da pessoa a que pertencem. Elevado Nível substancial, acrescido de: 1. O meio de identificação eletrónica protege contra a duplicação e a manipulação, bem como contra ataques de elevado potencial 2. O meio de identificação eletrónica é concebido de forma a poder ser eficazmente protegido pela pessoa a que pertence contra a utilização por terceiros Emissão, entrega e ativação Nível de garantia Reduzido Elementos necessários Após a emissão, os meios de identificação eletrónica são entregues através de um mecanismo que permite presumir que só chegam à pessoa a que se destinam. Substancial Após a emissão, os meios de identificação eletrónica são entregues através de um mecanismo que permite presumir que só ficam na posse da pessoa a que pertencem. Elevado O processo de ativação verifica se os meios de identificação eletrónica foram entregues e ficaram na posse da pessoa a que pertencem.
18 L 235/ Suspensão, revogação e reativação Nível de garantia Reduzido Substancial Elevado Elementos necessários 1. É possível suspender e/ou revogar um meio de identificação eletrónica de uma forma atempada e eficaz. 2. Foram tomadas medidas para impedir a sua revogação, suspensão e/ou reativação não autorizadas. 3. A reativação só terá lugar se os mesmos requisitos de garantia estabelecidos antes da suspensão ou revogação continuarem a verificar-se. Idênticos ao nível reduzido. Idênticos ao nível reduzido Renovação e substituição Nível de garantia Reduzido Substancial Elevado Elementos necessários Tendo em conta o risco de alteração dos dados de identificação pessoal, a renovação ou substituição devem cumprir os mesmos requisitos de garantia do processo inicial de prova e verificação da identidade, ou basear-se num meio de identificação eletrónica válido do mesmo nível de garantia ou superior. Idênticos ao nível reduzido. Nível reduzido, acrescido de: Em caso de renovação ou substituição com base num meio de identificação eletrónica válido, os dados de identificação são verificados junto de uma fonte qualificada Autenticação Esta secção debruça-se sobre os perigos associados à utilização do mecanismo de autenticação e enumera os requisitos para cada nível de garantia. As verificações previstas nesta secção devem ser entendidas como proporcionais aos riscos de determinado nível de garantia Mecanismo de autenticação O quadro seguinte apresenta os requisitos por nível de garantia relativos ao mecanismo de autenticação, através do qual a pessoa singular ou coletiva utiliza o meio de identificação eletrónica para confirmar a sua identidade perante um utilizador. Nível de garantia Reduzido Elementos necessários 1. A introdução dos dados de identificação pessoal é precedida por uma verificação fiável dos meios de identificação eletrónica e da sua validade. 2. Nos casos em que os dados de identificação pessoal são armazenados no quadro do mecanismo de autenticação, essas informações devem ser securizadas de modo a assegurar a sua proteção contra as perdas e fuga, incluindo a análise fora de linha. 3. O mecanismo de autenticação executa controlos de segurança para a verificação dos meios de identificação eletrónica, de forma a que seja altamente improvável que atividades como a adivinhação, escutas não autorizadas, reprodução ou manipulação de comunicações por um intruso com capacidade de ataque básica-reforçada possa subverter os mecanismos de autenticação.
19 L 235/17 Nível de garantia Substancial Nível reduzido, acrescido de: Elementos necessários 1. A introdução dos dados de identificação pessoal é precedida por uma verificação fiável dos meios de identificação eletrónica e da sua validade através de uma autenticação dinâmica. 2. O mecanismo de autenticação executa controlos de segurança para a verificação dos meios de identificação eletrónica, de forma a que seja altamente improvável que atividades como a adivinhação, escutas não autorizadas, reprodução ou manipulação de comunicações por um intruso com capacidade de ataque moderada possa subverter os mecanismos de autenticação. Elevado Nível substancial, acrescido de: O mecanismo de autenticação executa controlos de segurança para a verificação dos meios de identificação eletrónica, de forma a que seja altamente improvável que atividades como a adivinhação, escutas não autorizadas, reprodução ou manipulação de comunicações por um intruso com capacidade de ataque elevada possa subverter os mecanismos de autenticação Gestão e organização Todos os participantes que prestam um serviço relacionado com a identificação eletrónica num contexto transfronteiriço (a seguir designados «prestadores») devem dispor de práticas documentadas de gestão da segurança da informação, políticas e abordagens em matéria de gestão do risco e outros controlos reconhecidos que ofereçam garantias aos órgãos de gestão responsáveis pelos sistemas de identificação eletrónica dos respetivos Estados-Membros de que estão em vigor práticas eficazes. Ao longo de toda a secção 2.4, todos os requisitos/ /elementos devem ser entendidos como proporcionais aos riscos de determinado nível Disposições gerais Nível de garantia Reduzido Elementos necessários 1. Os prestadores de serviços operacionais abrangidos pelo presente regulamento são uma autoridade pública ou uma entidade jurídica reconhecida como tal pelo direito nacional de um Estado-Membro, com uma organização estabelecida e plenamente operacional em todas as partes relevantes para a prestação dos serviços. 2. Os prestadores têm de cumprir todos os requisitos legais que lhes incumbem no âmbito da operação e prestação dos serviços, incluindo os tipos de informações que podem ser solicitadas, a forma como a verificação da identidade é realizada, o tipo de informações que podem ser conservadas e durante quanto tempo. 3. Os prestadores devem poder demonstrar a sua capacidade para assumirem os riscos decorrentes da responsabilidade por danos, bem como dispor dos recursos financeiros suficientes para garantir a continuidade das operações e da prestação dos serviços. 4. Os prestadores são responsáveis pelo cumprimento de qualquer dos compromissos subcontratados a outra entidade e pela conformidade com o regime, como se eles próprios prestassem os serviços. 5. Os sistemas de identificação eletrónica não instituídos pela legislação nacional devem prever um plano de cessação efetiva. Esse plano deve prever interrupções ordenadas do serviço ou a continuação por outro prestador, a forma como as autoridades competentes e os utilizadores finais são informados, bem como os pormenores sobre a forma como os registos devem ser protegidos, mantidos e destruídos em conformidade com a política do sistema. Substancial Idênticos ao nível reduzido. Elevado Idênticos ao nível reduzido.
20 L 235/ Publicação de notificações e informações para os utilizadores Nível de garantia Reduzido Substancial Elevado Elementos necessários 1. Existe uma definição de serviços publicada que inclui todos os termos, condições e taxas, incluindo eventuais restrições à sua utilização. A definição de serviços deve incluir uma política de proteção da privacidade. 2. Devem ser postos em prática políticas e procedimentos adequados para assegurar que os utilizadores do serviço são informados atempadamente e de forma fiável de quaisquer alterações da definição ou das condições de quaisquer serviços ou da política de proteção da privacidade dos serviços em causa. 3. Devem ser postas em vigor políticas e procedimentos adequados para que os pedidos de informações recebam respostas exaustivas e exatas. Idênticos ao nível reduzido. Idênticos ao nível reduzido Gestão da segurança da informação Nível de garantia Reduzido Substancial Elevado Elementos necessários Existe um sistema de gestão da segurança da informação eficaz para a gestão e controlo dos riscos da segurança da informação. Nível reduzido, acrescido de: O sistema de gestão da segurança das informações respeita normas ou princípios comprovados de gestão e controlo dos riscos de segurança da informação. Idênticos ao nível substancial Manutenção de registos Nível de garantia Reduzido Substancial Elevado Elementos necessários 1. Registar e conservar as informações relevantes utilizando um sistema de gestão de arquivos eficaz, tendo em conta a legislação aplicável e as boas práticas em matéria de proteção e conservação de dados. 2. Manter, na medida em que tal seja permitido pela legislação nacional ou outras disposições administrativas nacionais, e proteger os registos enquanto forem necessários para fins de auditoria e investigação de violações da segurança, e de manutenção, após o que os registos devem ser destruídos de forma segura. Idênticos ao nível reduzido. Idênticos ao nível reduzido Instalações e pessoal O quadro seguinte apresenta os requisitos relativos a instalações e pessoal e, quando aplicável, a subcontratantes que desempenham funções abrangidas pelo presente regulamento. A conformidade com todos os requisitos deve ser proporcional ao nível de risco associado ao nível de garantia em questão.

References: artigo 12
 artigo 8
 artigo 22
 artigo 12
 artigo 12
 artigo 12
 artigo 9
 artigo 14
 artigo 12
 artigo 12
 artigo 48
 Artigo 1
 artigo 8
 artigo 11
 artigo 13
 Artigo 2
 Artigo 3
 Artigo 4
 Artigo 5
 Artigo 6
 artigo 9
 Artigo 7
 artigo 8
 artigo 22
 Artigo 8
 Artigo 9
 Artigo 10
 Artigo 11
 Artigo 12
 artigo 14
 artigo 14
 Artigo 13
 Artigo 14
 artigo 11
 artigo 3
 artigo 2
 artigo 48
 artigo 8
 artigo 8
 artigo 8
 artigo 9
 artigo 8
 artigo 12
 artigo 48
 Artigo 1
 artigo 8
 artigo 8
 artigo 8
 artigo 8
 Artigo 2
 artigo 8
 artigo 2
 artigo 2
 artigo 2
 artigo 2
 artigo 2
 artigo 2
 artigo 2
 artigo 2