COMISSÃO EUROPEIA

Estrasburgo, 20.1.2026

COM(2026) 11 final

2026/0011(COD)

Proposta de

REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO

relativo à Agência da União Europeia para a Cibersegurança (ENISA), ao enquadramento europeu para a certificação da cibersegurança e à segurança da cadeia de abastecimento de TIC e que revoga o Regulamento (UE) 2019/881 (Regulamento Cibersegurança 2)

(Texto relevante para efeitos do EEE)

{SEC(2026) 11 final} - {SWD(2026) 11 final} - {SWD(2026) 12 final}

EXPOSIÇÃO DE MOTIVOS

1.CONTEXTO DA PROPOSTA

•Razões e objetivos da proposta

Neste contexto, existem quatro problemas principais que a presente proposta de revisão do Regulamento Cibersegurança visa resolver: i) o desfasamento entre o quadro político da União em matéria de cibersegurança e as necessidades das partes interessadas num cenário de ameaças cada vez mais hostil; ii) o impasse na aplicação do enquadramento europeu para a certificação da cibersegurança (EECC); iii) a complexidade e a diversidade das políticas relacionadas com a cibersegurança que afetam a postura de cibersegurança da União; e iv) o aumento dos riscos de segurança das cadeias de abastecimento de TIC.

Com base nos principais problemas identificados, os dois objetivos gerais da intervenção consistem em aumentar as capacidades e a resiliência em matéria de cibersegurança e evitar a fragmentação em todo o mercado único:

·contribuindo para reforçar a governação da cibersegurança da União e ajudando a assegurar que as instituições, autoridades e outras partes interessadas pertinentes estejam mais bem preparadas para prevenir, detetar e responder a ameaças à cibersegurança de forma coordenada e eficaz; e

·apoiando o desenvolvimento, a aplicação e a adoção de instrumentos comuns da União em matéria de cibersegurança, como os sistemas de certificação, e proporcionando quadros harmonizados que reforcem a confiança e a interoperabilidade entre os Estados-Membros.

Estes objetivos gerais respondem aos principais desafios identificados na definição do problema. Refletem o objetivo político global de reforçar a governação da cibersegurança na União e apoiar o desenvolvimento de um mercado único digital seguro, resiliente e competitivo.

A fim de ajudar a alcançar os objetivos gerais acima enumerados, esta intervenção prossegue os seguintes objetivos específicos:

·para corrigir o desfasamento entre o quadro estratégico da União em matéria de cibersegurança e as necessidades das partes interessadas:

·OE1: criar capacidade para aplicar eficazmente as políticas da União em matéria de cibersegurança e uma cooperação operacional contínua que permita uma cooperação mais estruturada entre os Estados-Membros;

·OE2: desenvolver e aplicar meios e mecanismos para apoiar e responder eficazmente às necessidades dos Estados-Membros, da indústria e de outras partes interessadas;

·para fazer face à adoção e eficácia limitadas do EECC:

·OE3: criar as condições prévias necessárias para uma entrega mais rápida dos sistemas de certificação da cibersegurança motivados pelas necessidades do mercado, alargando o âmbito do EECC, assegurando uma manutenção eficaz e procedimentos ágeis e aumentando a transparência;

·para responder à fragmentação do panorama da conformidade e à complexidade dos quadros horizontais e setoriais:

·OE4: criar mecanismos e condições para facilitar o cumprimento dos requisitos de cibersegurança, tornando assim a sua aplicação mais coerente e eficaz;

·para fazer face aos riscos de cibersegurança na cadeia de abastecimento:

·OE5: reduzir os riscos associados às cadeias de abastecimento de TIC críticas colocados por entidades estabelecidas ou controladas por entidades de países terceiros que suscitam preocupações em matéria de cibersegurança (fornecedores de alto risco) e reduzir as dependências críticas através do desenvolvimento de um quadro coerente e eficaz a nível da UE para fazer face aos riscos de segurança das cadeias de abastecimento de TIC.

A revisão do Regulamento Cibersegurança insere-se no âmbito do programa para a adequação e a eficácia da regulamentação (REFIT). Contribui de forma significativa para melhorar a clareza, eliminar as ineficiências e alinhar os procedimentos entre os quadros jurídicos. A revisão do Regulamento Cibersegurança contribui para o bom funcionamento do mercado interno, garantindo simultaneamente a segurança e a autonomia estratégica da União.

Mais concretamente, propõe uma reforma completa do mandato da Agência da União Europeia para a Cibersegurança (ENISA), de forma a proporcionar um apoio eficaz à execução das políticas e valor acrescentado em termos de apoio à cooperação operacional entre os Estados-Membros.

Atendendo ao aumento dos riscos e desafios de cibersegurança que a União enfrenta, a proposta visa aumentar os recursos financeiros e humanos da ENISA, a fim de refletir o reforço do seu papel, das suas atribuições e da sua posição crítica na defesa do ecossistema digital da União, o que permitirá à ENISA desempenhar eficazmente as atribuições que lhe são conferidas pela presente proposta.

A revisão contribuirá igualmente para eliminar práticas fragmentadas, melhorar a coordenação e, ao mesmo tempo, reduzir os custos de conformidade e operacionais a longo prazo. Ao revogar o atual Regulamento Cibersegurança e introduzir um EECC reformado, a proposta proporciona um instrumento mais eficaz e eficiente que promove a confiança entre as empresas, o público em geral e as autoridades públicas e facilita o cumprimento da legislação pertinente da União. Aumenta a eficiência através da revisão do modelo de governação e do apoio a procedimentos de certificação mais previsíveis, coerentes e ágeis, a fim de permitir um desenvolvimento e uma aplicação mais rápidos dos sistemas.

O reforço das sinergias com os quadros jurídicos pertinentes da União em vigor promoverá a certificação como instrumento de conformidade para as empresas e reduzirá os encargos administrativos para os organismos de avaliação da conformidade que operam ao abrigo de vários atos legislativos em matéria de cibersegurança. Além disso, ao alargar o âmbito do EECC e ao permitir o desenvolvimento de um sistema relativo à postura de cibersegurança das entidades, a proposta reduz os custos de conformidade para as entidades sujeitas à legislação pertinente da União em matéria de cibersegurança, começando pelas entidades abrangidas pelo âmbito de aplicação da Diretiva SRI 2. Esta abordagem simplificará significativamente as obrigações regulamentares para as entidades sujeitas a múltiplos requisitos de conformidade e assegurará uma utilização mais eficaz dos recursos pelas autoridades nacionais. Para além desta revisão, uma proposta de diretiva que introduz alterações específicas à Diretiva SRI 2 visa simplificar a conformidade com o quadro de cibersegurança e assegurar a aplicação racionalizada e coerente de aspetos específicos do mesmo, nomeadamente no que diz respeito ao âmbito de aplicação, às definições, à comunicação de software de sequestro e à supervisão das entidades que prestam serviços transfronteiriços.

O novo regulamento cria igualmente um quadro harmonizado para fazer face aos riscos não técnicos que afetam as cadeias de abastecimento de TIC, reduzindo a atual fragmentação das abordagens entre os Estados-Membros. Em conjunto, estes aspetos representam uma simplificação e modernização substanciais do quadro jurídico da União em matéria de cibersegurança, plenamente alinhadas com os princípios REFIT de clareza, eficiência e prontidão digital.

•Coerência com as disposições existentes da mesma política setorial

A União alargou os seus instrumentos jurídicos e políticos com a adoção de uma série de instrumentos jurídicos e medidas políticas: i) a Diretiva SRI 2 visa reforçar a cibersegurança das infraestruturas críticas; ii) as medidas de segurança física são definidas na sua «diretiva-irmã», a Diretiva Resiliência das Entidades Críticas (REC); iii) o Regulamento de Ciber-Resiliência reforça a cibersegurança dos produtos; iv) o Regulamento de Cibersolidariedade reforça as capacidades de resposta a nível da UE; v) o Plano de Ação da UE para a Cibersegurança 7 apoia a cooperação a nível da UE no domínio da gestão de crises, na qual a Comissão e o Alto Representante desempenham papéis essenciais em termos de preparação e resposta a incidentes de cibersegurança em grande escala; vi) o conjunto de instrumentos para a cibersegurança das redes 5G (conjunto de instrumentos para as redes 5G) apoia a cibersegurança nessas redes; vii) o Plano de Ação Europeu para a Cibersegurança dos Hospitais e dos Prestadores de Cuidados de Saúde 8 contribui para melhorar a cibersegurança dessas entidades; e viii) a Academia de Competências de Cibersegurança 9 responde ao desafio crescente do défice de talentos no domínio da cibersegurança.

•Coerência com outras políticas da União

2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE

•Base jurídica

•Subsidiariedade (no caso de competência não exclusiva)

As ações abrangidas pela proposta de regulamento proporcionam um claro valor acrescentado ao apoiarem a harmonização, a clareza jurídica e respostas coordenadas aos desafios em matéria de cibersegurança.

•Proporcionalidade

•Escolha do instrumento

3.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO

•Avaliações ex post / balanços de qualidade da legislação existente

·Pertinência: A relevância da ENISA no domínio da cibersegurança é sublinhada pela sua capacidade de resposta à evolução das necessidades das partes interessadas e pela sua adaptabilidade a um panorama em mutação. Embora o nível de satisfação das partes interessadas seja, de um modo geral, elevado, existem oportunidades para aumentar o impacto da ENISA. Para o efeito, é possível melhorar o apoio e a visibilidade de diversos setores, em especial das pequenas e médias empresas (PME), que muitas vezes têm dificuldade em cumprir os requisitos de cibersegurança. É essencial melhorar a organização dos recursos e clarificar a coordenação com as autoridades nacionais. A redefinição das prioridades das atividades e a otimização dos recursos existentes alinharão melhor a ENISA com as necessidades dinâmicas do panorama europeu da cibersegurança.

No que diz respeito ao EECC, apesar do seu ponto de partida promissor, continua a ser considerado como tendo mais potencial do que impacto prático, uma vez que apenas um sistema de certificação se tornou recentemente operacional. O quadro foi concebido para se integrar de forma harmoniosa com outros atos jurídicos da União, a fim de racionalizar os procedimentos e facilitar o comércio transfronteiriço. A sua importância é evidente em domínios em que são necessários níveis de garantia elevados, como os serviços de computação em nuvem e as infraestruturas 5G.

·Eficácia: A ENISA cumpriu com êxito o seu mandato ao concretizar quase todas as realizações previstas, demonstrando flexibilidade e resiliência durante crises como a pandemia de COVID-19 e a guerra de agressão da Rússia contra a Ucrânia. No entanto, é necessário assegurar uma melhor definição de prioridades, uma orientação clara e uma afetação estratégica de recursos para aumentar a eficiência. Uma abordagem mais ágil da governação interna é essencial para permitir a adaptação à evolução das exigências em matéria de cibersegurança e para minimizar os atrasos.

O EECC visava harmonizar a certificação da cibersegurança em toda a União, mas enfrentou desafios significativos, incluindo limitações processuais e fragmentação, que conduziram a atrasos e ineficiências, como a demora na adoção do sistema europeu de certificação da cibersegurança baseado nos Critérios Comuns (EUCC). Fatores externos, como as tensões geopolíticas e a pandemia de COVID-19, complicaram ainda mais a consecução dos objetivos do EECC, o que realça a necessidade de medidas adaptáveis e de uma afetação coerente de recursos entre as partes interessadas, a fim de alcançar a uniformidade e a eficácia da certificação da cibersegurança. Apesar destes obstáculos, registaram-se resultados positivos, em especial na sensibilização dos Estados-Membros para a importância e as complexidades da certificação da cibersegurança.

·Eficiência: A ENISA operou de forma eficiente no âmbito do seu quadro organizacional baseado em matrizes, promovendo a cooperação e a priorização de funções. No entanto, a ENISA teve dificuldades em satisfazer a procura crescente e preencher lugares especializados, agravadas por uma escassez mundial de especialistas em tecnologias da informação, o que conduziu a atrasos e a uma elevada carga de trabalho. Para resolver estas questões, a ENISA poderia otimizar o seu pessoal interno e reafetar recursos de forma eficaz, tal como demonstrado por anteriores ajustamentos estratégicos, como a transferência de recursos de 2022 para a ação de apoio à cibersegurança. Além disso, a melhoria da gestão orçamental e a redução das despesas administrativas aumentariam ainda mais a eficiência operacional da agência.

A eficiência do EECC foi criticada devido aos longos prazos para a adoção de sistemas de certificação da cibersegurança e às complexidades envolvidas, tendo o primeiro sistema sido adotado apenas no início de 2024, quase cinco anos após a adoção do Regulamento Cibersegurança. Os desafios políticos e técnicos, como os debates sobre a soberania dos dados e as dificuldades em traduzir os projetos em atos jurídicos, contribuíram para os atrasos. Os desafios políticos e as exigências técnicas dificultaram a realização de progressos, como se verificou com o sistema de certificação da UE para a computação em nuvem (EUCS) e o sistema EU5G. Apesar destas ineficiências, o quadro deu origem a vários aspetos positivos. No entanto, continua a ser necessário melhorar a participação das partes interessadas e a governação interna, a fim de assegurar um funcionamento otimizado e um contributo estratégico.

·Coerência: A coerência da ENISA é apoiada por uma participação significativa das partes interessadas e pelo alinhamento com os quadros legislativos recentes. No entanto, para reforçar a coerência e a afetação de recursos, é essencial melhorar as sinergias com outros organismos da União, como o Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança (ECCC), e as autoridades nacionais. Além disso, importa aperfeiçoar a comunicação interna e a gestão de recursos no âmbito da ENISA, bem como a interação transparente com as partes interessadas do setor privado. Uma delimitação clara das atribuições da ENISA, coerente com o Regulamento de Ciber-Resiliência e a Diretiva SRI 2, melhorará a eficiência e a coerência regulamentar.

No que diz respeito ao EECC, a plena coerência com outros instrumentos legislativos da União, incluindo a Diretiva SRI 2 e o Regulamento de Ciber-Resiliência, é crucial para assegurar uma abordagem unificada em matéria de cibersegurança. Embora haja um alinhamento teórico do EECC com estas medidas legislativas, a integração na prática continua a ser complexa e exige uma supervisão diligente. A este respeito, a aplicação do sistema EUCC adotado no âmbito do Regulamento de Ciber-Resiliência constituirá um teste significativo.

·Valor acrescentado da UE: A ENISA deu contributos substanciais para o ecossistema de cibersegurança da União, promovendo a cooperação e alinhando as práticas. O seu papel na facilitação dos esforços nacionais e no fornecimento de informações sobre ameaças emergentes tem sido vital. No entanto, as críticas das partes interessadas do setor privado sobre a necessidade de um apoio mais adaptado indicam que é necessário reforçar a participação das partes interessadas e a colaboração com a indústria. A reavaliação estratégica da gestão dos recursos permitiria à ENISA adaptar-se melhor à evolução dos desafios em matéria de cibersegurança e servir de forma mais eficaz diversas partes interessadas. O EECC procurou introduzir processos de certificação harmonizados, mas enfrentou desafios em matéria de execução devido aos prazos prolongados e à fragmentação. O valor acrescentado do EECC foi limitado devido às dificuldades na consecução dos seus objetivos e à sua falta de eficiência. Apesar desses desafios, o EECC melhorou a harmonização entre os Estados-Membros e proporcionou melhores oportunidades de cooperação, nomeadamente através da criação de fóruns de cooperação das partes interessadas, como o Grupo Europeu para a Certificação da Cibersegurança (GECC).

•Consultas das partes interessadas

Entre 2023 e 2025, foram realizadas várias consultas das partes interessadas, no contexto da avaliação do Regulamento Cibersegurança e da sua revisão, como a seguir se indica.

–Em 2023, foram realizadas 65 entrevistas (52 das quais com maior incidência na ENISA e 13 centradas principalmente no EECC), foi realizado um programa de inquéritos, que recebeu 209 respostas (das quais 70 sobre o EECC), foi concluída uma consulta pública e foram organizados dois seminários dedicados a uma análise SWOT (forças, fraquezas, oportunidades e ameaças) e a recomendações, com 26 e 70 participantes, respetivamente. Estas atividades visavam especificamente recolher os pontos de vista das partes interessadas para avaliar o impacto, a eficácia e a eficiência da ENISA. O relatório final do estudo intitulado Study to support the evaluation of the European Union Agency for Cybersecurity (ENISA) and the European Cybersecurity Certification Framework, realizado para a Comissão pela PwC, pela Intellera Consulting e pela PPMI (2024), foi concluído em dezembro de 2024. 

–Em 2025, a Comissão lançou um convite à apresentação de contributos. Em especial, as partes interessadas foram convidadas a apresentar contributos escritos, incluindo documentos de posição, relatórios técnicos ou observações sobre propostas de reforma específicas.  No total, foram recebidos 184 contributos individuais de uma vasta gama de categorias de partes interessadas, incluindo associações industriais, empresas de cibersegurança, PME, instituições académicas e organizações de interesse público.

–Entre abril e junho de 2025, a Comissão organizou uma consulta pública no âmbito da revisão do Regulamento Cibersegurança, tendo recebido 193 respostas. A consulta consistiu em 38 perguntas, tanto fechadas como de resposta livre, abrangendo o mandato da ENISA, o EECC, a segurança da cadeia de abastecimento de TIC e a simplificação.

–Consulta específica (entrevistas): foi realizada uma série de entrevistas semiestruturadas com partes interessadas selecionadas, incluindo representantes da ENISA, bem como autoridades públicas nacionais que desenvolveram ou gerem plataformas nacionais de comunicação de informações. As entrevistas centraram-se no papel e na capacidade da ENISA, no funcionamento operacional do EECC, nos desafios práticos do alinhamento dos processos de certificação a nível nacional e da União, nos encargos relacionados com a comunicação de informações e nos obstáculos à execução. Estes debates forneceram informações qualitativas que enriqueceram a interpretação dos resultados da consulta pública e apoiaram o aperfeiçoamento das opções políticas.

–Consulta dos representantes dos Estados-Membros no âmbito do grupo de trabalho do Conselho 19 e em debates bilaterais, em que os Estados-Membros puderam exprimir os seus pontos de vista sobre a revisão do Regulamento Cibersegurança.

–Consulta específica [grupos EECC — GECC, grupo das partes interessadas para a certificação da cibersegurança]: a Comissão, na sua qualidade de presidente de ambos os grupos, fez o ponto da situação da revisão do Regulamento Cibersegurança nas reuniões do GECC de 12 de março e 3 de julho de 2025 e na reunião do grupo das partes interessadas para a certificação da cibersegurança de 17 de março de 2025. Além disso, foram recolhidos pareceres especializados suplementares dos membros do GECC através de questionários.

·o mandato e o papel operacional da ENISA, incluindo o apoio aos Estados-Membros e os conhecimentos especializados em tecnologias emergentes;

·a eficácia do enquadramento europeu para a certificação da cibersegurança, incluindo os processos de governação e desenvolvimento;

·a complexidade e a fragmentação das obrigações em matéria de cibersegurança, prestando atenção aos encargos relacionados com a comunicação de informações e à potencial simplificação;

·a proporcionalidade dos requisitos para as PME e o potencial para vias de conformidade diferenciadas; e

·os impactos sociais e económicos de regras harmonizadas em matéria de cibersegurança, incluindo efeitos nos consumidores, nos direitos, na inovação e na competitividade.

•Avaliação de impacto

A proposta final não se desvia das opções analisadas na avaliação de impacto.

Opções para fazer face ao desfasamento entre o quadro político da União em matéria de cibersegurança e as necessidades das partes interessadas num ambiente cada vez mais hostil

Opções para o EECC

Opção B.1: Clarificar o âmbito, os elementos e os objetivos do EECC e introduzir um mecanismo de manutenção — Esta opção implicaria um novo mecanismo de manutenção para os sistemas, após a sua adoção, a aplicar pela ENISA.

Opção B.2: Reformar o EECC através da revisão dos seus procedimentos e do alargamento do seu âmbito para facilitar a simplificação da conformidade regulamentar — Esta opção revogaria o Regulamento Cibersegurança e substitui-lo-ia por um novo regulamento. Para além da opção B.1, os procedimentos relacionados com o pedido, o desenvolvimento e a adoção de sistemas seriam revistos para melhorar a responsabilização e a eficiência.

Opção B.3: Reformar o EECC, tal como previsto na opção B.2, e introduzir a certificação obrigatória para a postura de cibersegurança — Esta opção basear-se-ia na opção B.2, mas visa aumentar ainda mais o impacto do quadro através da introdução da certificação obrigatória das entidades essenciais, tendo em conta cenários de risco específicos, em vez de prever exclusivamente a certificação voluntária das entidades.

Opções para simplificação

Opção C.1: Adotar uma abordagem não vinculativa e não legislativa, incluindo o recurso às habilitações existentes (adoção de atos de execução nos termos do artigo 21.º, n.º 5, e do artigo 23.º, n.º 11, da Diretiva SRI 2) — Esta opção prevê a adoção de atos de execução com recurso às habilitações existentes ao abrigo da Diretiva SRI 2 para assegurar um maior grau de harmonização das medidas de gestão dos riscos de cibersegurança, dos limiares de notificação de incidentes, bem como do tipo de informações, dos formatos e do procedimento de notificação. Prevê igualmente a adoção de um conjunto de orientações para reforçar a segurança jurídica e a aplicação harmonizada.

Opção C.2: Intervenção específica, mediante uma maior simplificação da conformidade com o quadro legislativo pertinente da União em matéria de cibersegurança — Esta opção implica uma intervenção limitada assente em alterações do Regulamento Cibersegurança e da Diretiva SRI 2, com o objetivo de simplificar aspetos específicos do quadro de cibersegurança, incluindo adaptações do âmbito de aplicação, harmonização máxima dos atos de execução, prova de conformidade através da certificação e adoção do conjunto de orientações previsto na opção C.1.  

Opção D.1: Adoção de uma abordagem não vinculativa para fazer face aos riscos de cibersegurança para as cadeias de abastecimento de TIC — Esta opção não contemplaria uma intervenção regulamentar a nível da UE. Em vez disso, a Comissão aumentaria o número de avaliações coordenadas dos riscos e de conjuntos de instrumentos voluntários.

Opção D.2: Intervenção regulamentar ad hoc que codifica o conjunto de instrumentos para as redes 5G — Esta opção codificaria as medidas do conjunto de instrumentos para as redes 5G. Introduziria a obrigação de os Estados-Membros assegurarem que os componentes de fornecedores de alto risco não sejam utilizados em principais ativos da rede.

Esta combinação oferece uma resposta equilibrada aos desafios políticos identificados, reforçando significativamente a eficácia, a eficiência e a coerência em toda a União.

Ao mesmo tempo, espera-se que a racionalização e a redução das obrigações de conformidade proporcionem reduções de custos até 15,3 mil milhões de EUR para as empresas ao longo de cinco anos. Além disso, melhorar a postura global de cibersegurança e a soberania tecnológica da União e estimular a inovação e a competitividade traria benefícios significativos para o público em geral, as autoridades públicas e as empresas. Espera-se que, a longo prazo, tal compense amplamente as despesas iniciais.

Ao reduzir a fragmentação do mercado e harmonizar os requisitos regulamentares, as opções preferidas reforçam a igualdade concorrencial em toda a União, proporcionando às empresas vias mais claras para a conformidade e a inovação.

•Adequação da regulamentação e simplificação

•Direitos fundamentais

A proposta legislativa foi avaliada com base no seu potencial para reforçar ou pôr em risco os direitos fundamentais e promover a igualdade e a confiança, com especial destaque para os impactos e direitos sociais, incluindo a privacidade, a proteção de dados e a capacidade das pessoas para compreender, exercer e fazer respeitar os seus direitos.

O alargamento do mandato da ENISA contribuirá para uma maior ciber-resiliência em toda a economia e na sociedade em geral, o que conduzirá a uma melhor proteção da privacidade das pessoas e dos dados pessoais. A proposta apoiará igualmente a educação e a formação em matéria de cibersegurança, uma vez que clarifica o papel da ENISA no desenvolvimento de competências para a mão de obra no domínio da cibersegurança.

Além disso, o EECC melhorará a confiança do público em geral e das empresas, a nível da União, em soluções TIC certificadas que apoiem a vida quotidiana. A criação de sistemas adicionais aumentaria este impacto.

4.INCIDÊNCIA ORÇAMENTAL

5.OUTROS ELEMENTOS

•Planos de execução e acompanhamento, avaliação e prestação de informações

•Documentos explicativos (para diretivas)

•Explicação pormenorizada das disposições específicas da proposta

Título II: ENISA (AGÊNCIA DA UNIÃO EUROPEIA PARA A CIBERSEGURANÇA)

A Comissão pode identificar, através de atos de execução, os principais ativos de TIC utilizados para o fabrico de produtos e a prestação de serviços de acordo com os tipos de entidades referidos nos anexos I e II da Diretiva (UE) 2022/2555. O artigo 102.º especifica mais pormenorizadamente os elementos a ter em conta para a identificação dos principais ativos de TIC. O artigo 103.º estabelece potenciais medidas de atenuação na cadeia de abastecimento de TIC. A Comissão pode decidir, através de atos de execução, que as entidades que operam em setores de importância crítica e noutros setores críticos têm de ser sujeitas a medidas de atenuação específicas, descritas mais pormenorizadamente nesse artigo.

A Comissão deve estabelecer, por meio de atos de execução, listas de fornecedores de alto risco pertinentes para as proibições estabelecidas nos atos de execução adotados nos termos do artigo 103.º, n.º 1, do artigo 103.º, n.º 7, ou para a proibição a que se refere o artigo 110.º, n.º 1, após realizar uma avaliação do local de estabelecimento, da propriedade e do controlo. Deve consultar os fornecedores em causa e as autoridades competentes (artigo 104.º).

Uma entidade estabelecida ou controlada por entidades de um país terceiro que suscita preocupações em matéria de cibersegurança, designado nos termos do artigo 100.º, pode solicitar autorização para fornecer componentes de TIC nos principais ativos de TIC de entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555 e para participar em procedimentos de contratação pública relacionados com o fornecimento desses componentes de TIC. O artigo 105.º especifica o que o pedido deve conter e qual o procedimento aplicável a essa isenção. O artigo 106.º especifica os direitos de defesa de uma dessas entidades. A Comissão deve manter um registo acessível ao público das decisões relativas às isenções (artigo 107.º). Os artigos 108.º e 109.º especificam as regras de confidencialidade e as taxas relacionadas com o procedimento de isenção.

O capítulo II prevê a aplicação do enquadramento para uma cadeia de abastecimento de TIC fiável às redes de comunicações eletrónicas móveis, fixas e por satélite, assegurando o alinhamento com a proposta de ato legislativo relativo às redes digitais.

Os principais ativos de TIC para as redes de comunicações eletrónicas móveis, fixas e por satélite constam do anexo II. O período de transição para a eliminação progressiva dos componentes de TIC dos fornecedores de alto risco para os principais ativos de TIC da rede de comunicações eletrónicas móveis não pode exceder 36 meses a contar da data de entrada em vigor do presente regulamento. Os períodos de transição para as redes de comunicações eletrónicas fixas e por satélite serão especificados pela Comissão por meio de atos de execução. A Comissão fica habilitada a adotar um ato delegado para alterar os principais ativos de TIC designados e os períodos de transição, nomeadamente para as futuras gerações de redes móveis (artigo 110.º). O artigo 111.º estabelece que os fornecedores de redes de comunicações eletrónicas móveis, fixas e por satélite não podem utilizar, instalar ou integrar, sob qualquer forma, componentes de TIC de fornecedores de alto risco e não podem obter uma autorização geral ou individual.

Autoridades competentes, supervisão e execução, jurisdição e direitos de defesa (capítulo III)

O capítulo III estabelece ainda as regras relativas às autoridades competentes, à supervisão, à execução e à jurisdição. 

Os artigos 112.º a 114.º especificam os poderes, os meios e as responsabilidades dos Estados-Membros para assegurar a aplicação e a execução das disposições do título IV. Os Estados-Membros devem designar uma ou mais autoridades competentes, a notificar à Comissão. O artigo 113.º prevê que a Comissão crie uma rede de cooperação entre as autoridades competentes dos Estados-Membros e a Comissão para facilitar o cumprimento, enquanto o artigo 114.º especifica as medidas de supervisão e de execução que as autoridades competentes podem tomar. As sanções aplicáveis em caso de infração ao disposto no título IV são especificadas no artigo 115.º. O artigo 116.º especifica a possibilidade de os Estados-Membros se assistirem mutuamente quando as entidades exercem atividades transfronteiriças ou quando os seus principais ativos de TIC estão localizados em vários Estados-Membros. O artigo 117.º estabelece as regras em matéria de competência e territorialidade.

2026/0011 (COD)

Proposta de

REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO

relativo à Agência da União Europeia para a Cibersegurança (ENISA), ao enquadramento europeu para a certificação da cibersegurança e à segurança da cadeia de abastecimento de TIC e que revoga o Regulamento (UE) 2019/881 (Regulamento Cibersegurança 2)

(Texto relevante para efeitos do EEE)

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.º,

Tendo em conta a proposta da Comissão Europeia,

Após transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer do Comité Económico e Social Europeu 24 ,

Tendo em conta o parecer do Comité das Regiões 25 ,

Deliberando de acordo com o processo legislativo ordinário,

Considerando o seguinte:

(1) Desde a adoção do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho 26 , o panorama geopolítico, tecnológico e político sofreu transformações significativas. Os incidentes de cibersegurança, causados por falhas de sistema, erros humanos, atos maliciosos ou fenómenos naturais, aumentaram e os ciberataques tornaram-se mais sofisticados, afetando entidades essenciais, empresas e o público em geral. O ecossistema da cibercriminalidade proliferou, tendo a atividade baseada em software de sequestro como elemento central. Os incidentes na cadeia de abastecimento, causados por criminosos para obter ganhos financeiros ou por intervenientes estatais para fins de perturbação, espionagem, desinformação ou guerra, intensificaram-se. No âmbito de uma estratégia híbrida mais ampla, os incidentes resultantes de ciberatividades maliciosas e de falhas de sistema propagam-se para o exterior, perturbando serviços essenciais, minando a confiança nas instituições e afetando a prontidão da defesa e da sociedade da União. Estes incidentes demonstraram que são suscetíveis de afetar a atividade económica, a estabilidade financeira e a vida das pessoas. Ao mesmo tempo, a vulnerabilidade das infraestruturas e dos sistemas críticos civis representa um risco para as capacidades de defesa que deles dependem.

(2)Paralelamente, as tecnologias emergentes, como a inteligência artificial e a computação quântica, têm um efeito disruptivo na cibersegurança e na ciberdefesa. Estão a reconfigurar os instrumentos de defesa e as táticas dos adversários, representando ameaças para a cibersegurança e a ciberdefesa ao mesmo tempo que abrem caminho a avanços tecnológicos. Embora possam contribuir para a cibersegurança através do reforço da deteção de ameaças ou da resposta automatizada a incidentes, estão também a aumentar a superfície de ataque global das organizações, são potenciais alvos de manipulação e podem comprometer a viabilidade a longo prazo de medidas de segurança como a cifragem.

(3)Para fazer face a estes desenvolvimentos, a União melhorou os seus instrumentos jurídicos e políticos. A Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho 27 reforça a cibersegurança das infraestruturas críticas, sendo complementada pela Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho 28 no que diz respeito à segurança física. O Regulamento (UE) 2024/2847 do Parlamento Europeu e do Conselho 29 reforça a cibersegurança dos produtos com elementos digitais. O Regulamento (UE) 2025/38 do Parlamento Europeu e do Conselho 30 cria capacidades de resposta à escala da União, e a Recomendação do Conselho, de 6 de junho de 2025, relativa a um plano de ação da UE para a gestão de cibercrises 31 («Recomendação sobre o Plano de Ação para a Cibersegurança») apoia a cooperação no domínio da gestão de crises a nível da União. O conjunto de instrumentos para a cibersegurança das redes 5G 32 constitui um primeiro passo no sentido de uma abordagem coordenada a nível da União para garantir a segurança das redes 5G. A Comunicação da Comissão sobre a Academia de Competências de Cibersegurança 33 aborda o desafio crescente do défice de talentos no domínio da cibersegurança. O quadro de cibersegurança foi ainda reforçado por legislação setorial específica, em especial o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho 34 para o setor financeiro, o Regulamento Delegado (UE) 2024/1366 da Comissão 35 para o subsetor da eletricidade, o Regulamento Delegado (UE) 2022/1645 da Comissão 36 e o Regulamento de Execução (UE) 2023/203 da Comissão 37 (Parte IS), bem como pelas regras pertinentes em matéria de segurança da aviação estabelecidas no Regulamento (UE) 2019/1583 da Comissão 38 para o subsetor do transporte aéreo e por outros documentos estratégicos, como a Comunicação da Comissão relativa a um Plano de Ação Europeu para a Cibersegurança dos Hospitais e dos Prestadores de Cuidados de Saúde 39 . As entidades da União são igualmente reforçadas pelo Regulamento (UE, Euratom) 2023/2841 do Parlamento Europeu e do Conselho 40 , que estabelece medidas destinadas a alcançar um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União. Este quadro jurídico reforçado para a cibersegurança especificou mais pormenorizadamente as atribuições da ENISA.

(4)Neste contexto, e tal como referido nas comunicações intituladas «ProtectEU: uma Estratégia Europeia de Segurança Interna» 41 e «Estratégia para uma União da Preparação» 42 , garantir a preparação, a segurança e a resiliência da sociedade e da economia da União exige uma forte coordenação, confiança e partilha de informações a nível europeu entre as partes interessadas, quadros sólidos para garantir a segurança dos produtos, serviços e processos de TIC e dos serviços de segurança geridos, bem como o aumento e o reforço da mão de obra no domínio da cibersegurança. As referidas comunicações apelam ainda ao fortalecimento das cadeias de abastecimento de TIC, assegurando a soberania tecnológica europeia sobre os principais ativos, o que aumentará a resiliência da União e poderá beneficiar os esforços de ciberdefesa. Além disso, a Comunicação intitulada «Reforçar a segurança económica da UE» 43 identifica como necessidades prioritárias impedir o acesso a informações e dados sensíveis que possam comprometer a segurança económica da UE, bem como evitar e atenuar perturbações nas infraestruturas críticas da UE que afetem a economia da UE. Reconhece igualmente o papel essencial que medidas de cibersegurança eficazes desempenham neste contexto.

(5)Os incidentes de cibersegurança em grande escala que afetem infraestruturas críticas, serviços digitais ou funções societais essenciais podem ter impactos na população que exijam uma ação coordenada de proteção civil e de gestão de crises a nível da União. Em consonância com a abordagem multirriscos da Estratégia para uma União da Preparação e da Decisão n.º 1313/2013/UE relativa a um Mecanismo de Proteção Civil da União Europeia, as disposições do presente regulamento relativas ao conhecimento situacional, à resposta a incidentes e aos exercícios deverão contribuir para a gestão de crises da União, nomeadamente através do Centro de Coordenação de Resposta de Emergência (CCRE).

(6)A presente proposta é coerente com e complementada pela [proposta de diretiva que completa [a revisão do Regulamento (UE) 2019/881] e altera a Diretiva (UE) 2022/2555 no respeitante à simplificação da aplicação de medidas destinadas a garantir um elevado nível comum de cibersegurança na União], bem como com a [proposta de regulamento relativo à simplificação da legislação digital (Regulamento Omnibus Digital)] 44 , que prevê a obrigação de a ENISA desenvolver um ponto de entrada único para a notificação de incidentes através do qual as entidades possam cumprir simultaneamente as obrigações de notificação de incidentes que lhes incumbem por força de vários atos jurídicos.

(7)O Regulamento (CE) n.º 460/2004 do Parlamento Europeu e do Conselho 45 criou a ENISA com o objetivo de contribuir para a garantia de um nível elevado e eficaz de segurança das redes e da informação na União e de desenvolver uma cultura de segurança das redes e da informação em benefício dos cidadãos, dos consumidores, das empresas e das administrações públicas. O mandato da ENISA foi prorrogado três vezes antes de o Regulamento (UE) 2019/881 lhe conferir um mandato permanente. A fim de responder melhor às necessidades criadas pela evolução do panorama tecnológico e das ameaças, em especial no que diz respeito à cooperação operacional e à necessidade crescente de profissionais de cibersegurança, o mandato da ENISA deve ser reforçado. Por razões de segurança jurídica, o Regulamento (UE) 2019/881 deve ser substituído.

(8)Num cenário de ameaças em evolução, em que os incidentes de cibersegurança se tornam cada vez mais significativos, garantir a confiança das pessoas, das autoridades públicas e das empresas na sua utilização diária das tecnologias é mais importante do que nunca. O aumento da confiança pode ser mais facilmente alcançado por meio de uma certificação reforçada a nível da União, no âmbito do EECC, que preveja requisitos de cibersegurança e critérios de avaliação comuns nos mercados e setores nacionais. O novo enquadramento deve estabelecer os principais requisitos horizontais aplicáveis aos sistemas europeus de certificação da cibersegurança e permitir que os certificados europeus de cibersegurança e as declarações UE de conformidade sejam reconhecidos e utilizados em todos os Estados-Membros. Ao fazê-lo, deve estabelecer um procedimento e um quadro de governação que permitam o desenvolvimento e a manutenção atempados e previsíveis dos sistemas europeus de certificação da cibersegurança. Os sistemas europeus de certificação da cibersegurança devem ser aplicados uniformemente em todos os Estados-Membros, a fim de assegurar uma aplicação harmonizada dos requisitos de cibersegurança, criar condições de concorrência equitativas e evitar a procura da certificação mais vantajosa com base na disparidade dos níveis de exigência existentes entre os diferentes Estados-Membros. A ENISA deve desempenhar um papel fundamental no desenvolvimento dos sistemas através de especificações técnicas e na garantia de que esses sistemas se mantêm tecnicamente atualizados. Além disso, a fim de responder eficazmente às necessidades do mercado, o enquadramento deve prever a possibilidade de certificação das medidas de gestão dos riscos de cibersegurança dirigidas às entidades e facilitar o cumprimento de outra legislação da União aplicável no domínio da cibersegurança. O alinhamento com a legislação da União em vigor, nomeadamente o Regulamento (UE) 2024/2847 e a Diretiva (UE) 2022/2555, é essencial para que os sistemas europeus de certificação da cibersegurança contribuam para reduzir os encargos de conformidade para as empresas, para aumentar a sua atratividade e reforçar a ciber-resiliência da União.

(9)A missão da ENISA deve consistir em apoiar os Estados-Membros e as entidades da UE na consecução de um elevado nível de cibersegurança, ciber-resiliência e confiança na União. Para o efeito, a ENISA deve atuar como ponto de referência em matéria de aconselhamento e conhecimentos especializados sobre cibersegurança, e o seu trabalho deve articular-se principalmente em torno de quatro vertentes fundamentais da cibersegurança a nível da União. Em primeiro lugar, a ENISA deve apoiar os Estados-Membros na aplicação coerente das políticas e da legislação da União no domínio da cibersegurança e ajudá-los, através de atividades de reforço das capacidades, a melhorar continuamente as suas capacidades em termos de preparação, resiliência e resposta. Em segundo lugar, a ENISA deve contribuir para a cooperação operacional a nível da União, entre os Estados-Membros, e para o reforço do conhecimento situacional comum das ciberameaças e incidentes entre os Estados-Membros e as entidades da União. A terceira vertente fundamental deve ser a certificação e a normalização da cibersegurança, e a quarta deve ser a criação da Academia de Competências de Cibersegurança, que deverá contribuir para o desenvolvimento de uma mão de obra europeia dinâmica no domínio da cibersegurança, com competências transferíveis para todos os Estados-Membros.

(10)O Regulamento (UE, Euratom) 2023/2841 estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União e define o mandato do CERT-UE, instituindo-o como o Serviço de Cibersegurança para as instituições, órgãos e organismos da União, cuja missão consiste em contribuir para a segurança do ambiente das TIC não classificado das entidades da União, aconselhando-as em matéria de cibersegurança, ajudando-as a prevenir, detetar, gerir, atenuar e dar resposta a incidentes, assim como a recuperar após os mesmos, e agindo como plataforma de intercâmbio de informações de cibersegurança e centro de coordenação da resposta a incidentes. Além disso, o CERT-UE está incumbido de oferecer serviços de cibersegurança pertinentes às entidades da União. No âmbito da sua missão, a ENISA deve apoiar também as entidades da União. Em especial, deve fazê-lo através de uma cooperação estruturada com o CERT-UE no que respeita ao reforço das capacidades, à cooperação operacional e a análises estratégicas a longo prazo das ciberameaças. Se for caso disso, a ENISA pode tirar partido da cooperação estruturada com o CERT-UE para prestar serviços de cibersegurança ou apoio suscetíveis de proporcionar valor acrescentado às entidades da União, de forma coordenada, a fim de assegurar sinergias com os esforços do CERT-UE.

(11)Uma das principais atribuições da ENISA deve consistir em apoiar os Estados-Membros na execução coerente da política e do direito da União no domínio da cibersegurança, em especial no que diz respeito à Diretiva (UE) 2022/2555, ao Regulamento (UE) 2024/2847 e ao Regulamento (UE) 2025/38. A fim de contribuir para uma aplicação coerente e eficaz do acervo da União em matéria de cibersegurança, a ENISA deve emitir orientações técnicas e relatórios, disponibilizar aconselhamento e boas práticas e facilitar o intercâmbio de boas práticas entre as autoridades competentes para o efeito. Além disso, a ENISA avalia o estado da cibersegurança na União e adota um relatório para esse fim, em conformidade com o artigo 18.º da Diretiva (UE) 2022/2555. A ENISA deve também poder responder aos pedidos de aconselhamento e assistência dos Estados-Membros e, se for caso disso, das entidades da União, sobre questões abrangidas pelo seu mandato.

(12)Com vista a estimular a cooperação entre os setores público e privado e no setor privado, nomeadamente para apoiar a proteção das infraestruturas críticas, a ENISA deve apoiar a partilha de informações dentro dos diferentes setores e entre eles, em especial os setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555, e de informações relativas a produtos com elementos digitais abrangidos pelo âmbito de aplicação do Regulamento (UE) 2024/2847. Esse apoio pode assumir a forma de disponibilização de boas práticas e orientações sobre os instrumentos e procedimentos disponíveis, bem como de orientações sobre a forma de abordar as questões regulamentares relacionadas com a partilha de informações, designadamente facilitando a criação de centros de partilha e análise de informações a nível setorial.

(13)A fim de apoiar e facilitar a cooperação estratégica e o intercâmbio de informações, a ENISA deve contribuir para os trabalhos do grupo de cooperação criado pela Diretiva (UE) 2022/2555 («Grupo de Cooperação SRI»), em especial disponibilizando conhecimentos especializados e aconselhamento e facilitando o intercâmbio de boas práticas referentes a riscos e incidentes, nomeadamente quanto às dependências transfronteiriças. A ENISA deve também contribuir para os trabalhos do Grupo de Cooperação Europeia para a Identidade Digital criado pelo Regulamento (UE) n.º 910/2014 do Parlamento Europeu e do Conselho 46 , do Grupo Europeu para a Certificação da Cibersegurança e do Grupo de Cooperação Administrativa (ADCO) criado pelo Regulamento (UE) 2024/2847.

(14)O núcleo público da Internet aberta, ou seja, os seus principais protocolos e infraestruturas, que são um bem público mundial, assegura a principal funcionalidade da Internet no seu conjunto e serve de base ao seu funcionamento normal. No âmbito do seu mandato, a ENISA deve apoiar a segurança e a resiliência do núcleo público da Internet aberta e a estabilidade do seu funcionamento, incluindo, nomeadamente, a implantação e o funcionamento seguros de protocolos essenciais [em especial, o sistema de nomes de domínio, o protocolo BGP (Border Gateway Protocol) e o protocolo Internet versão 6] e o funcionamento do sistema de nomes de domínio (como o funcionamento de todos os domínios de topo), promovendo boas práticas, orientações e cooperação, em conformidade com as disposições multilaterais estabelecidas à escala mundial em matéria de governação da Internet e com as funções e responsabilidades respetivas dos organismos técnicos e operacionais internacionais pertinentes.

(15)A ENISA funciona como ponto de referência para aconselhamento e conhecimentos especializados sobre cibersegurança. Por conseguinte, a pedido da Comissão, a ENISA deve prestar-lhe assistência sob a forma de conhecimentos especializados, aconselhamento técnico, informações, análises, incluindo estudos de viabilidade, pareceres e trabalhos preparatórios sobre qualquer questão específica no domínio da cibersegurança, a fim de informar a elaboração de políticas da Comissão e facilitar o acompanhamento, por parte da Comissão, da aplicação da legislação da União em matéria de cibersegurança.

(16)De igual modo, tendo em conta os seus conhecimentos especializados, a ENISA deve apoiar os Estados‑Membros nos seus esforços para criar e reforçar as capacidades e o grau de preparação para prevenir, detetar e responder a ciberameaças e incidentes e em relação à segurança dos sistemas de rede e informação. Concretamente, a ENISA deve apoiar o desenvolvimento e o reforço das equipas de resposta a incidentes de segurança informática (CSIRT), previstas na Diretiva (UE) 2022/2555, para que atinjam um elevado nível comum de maturidade na União.

(17)A ENISA apoiou e deve continuar a apoiar os Estados-Membros na elaboração e aplicação de orientações para as suas estratégias nacionais de cibersegurança, contribuindo para a adoção e aplicação de estratégias de cibersegurança por todos os Estados-Membros. A ENISA deve promover a divulgação dessas estratégias através do mapa interativo das estratégias nacionais de cibersegurança e continuar a acompanhar os progressos na sua aplicação, nomeadamente prestando apoio no desenvolvimento de indicadores-chave de desempenho neste contexto.

(18)O Regulamento (UE, Euratom) 2023/2841 incumbiu o Conselho Interinstitucional para a Cibersegurança de apoiar as entidades da União na melhoria das respetivas posturas de cibersegurança e o CERT-UE de contribuir para a segurança do ambiente das TIC não classificado de todas as entidades da União. A ENISA, com base na sua experiência em matéria de cibersegurança, deve apoiar o Conselho Interinstitucional para a Cibersegurança e o CERT-UE no exercício das suas atribuições, em conformidade com o Regulamento (UE, Euratom) 2023/2841, nomeadamente contribuindo para a análise de ciberameaças, o conhecimento situacional, os exercícios de cibersegurança, a coordenação da resposta a incidentes e o intercâmbio de competências técnicas e de boas práticas.

(19)Com base nos conhecimentos especializados da ENISA e para complementar as capacidades das autoridades públicas nacionais e da União, a ENISA deve ministrar formação utilizando o Quadro Europeu de Competências em Cibersegurança (QECC) como base, em especial para apoiar a execução eficaz das políticas, a cooperação operacional e a sensibilização.

(20)A fim de assegurar sinergias com o Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança (ECCC) e a Rede de Centros Nacionais de Coordenação criados nos termos do Regulamento (UE) 2021/887 do Parlamento Europeu e do Conselho 47 , a ENISA deve apoiá-los partilhando informações sobre riscos e ciberameaças atuais e emergentes, incluindo riscos e ameaças relacionados com as tecnologias da informação e comunicação.

(21)A Estratégia para uma União da Preparação salienta que a literacia digital, que assenta na aquisição de competências digitais básicas, é essencial para capacitar cidadãos mais resilientes face a potenciais crises. No entanto, tal como salientado na Comunicação da Comissão sobre a União das Competências 48 , quase metade da população adulta não possui competências digitais básicas, apesar de estas serem um requisito para mais de 90 % dos empregos. A fim de assegurar que a mão de obra atual e a potencial mão de obra futura disponham das competências necessárias num ambiente digital em rápida evolução e de contribuir para o desenvolvimento da reserva europeia de talentos no domínio da cibersegurança, a ENISA deve apoiar atividades de sensibilização para a cibersegurança, como o Desafio Europeu da Cibersegurança, que visem atrair talentos e ajudar a informar sobre a educação e as competências necessárias no referido domínio. A este respeito, a ENISA deve coordenar concursos de cibersegurança, provas de «captura da bandeira» e exercícios práticos semelhantes, como forma de desenvolver competências de cibersegurança e promover o reforço das capacidades em toda a União. Ao realizar atividades de sensibilização, a ENISA deve assegurar que estas dão resposta às necessidades das autoridades públicas nacionais e das entidades da União, bem como às necessidades das empresas, em especial das PME, e das instituições de ensino e formação, mantendo quadros e ações de formação de caráter prático, como o conjunto de instrumentos de sensibilização «Awareness Raising in a Box». A ENISA deve continuar a elaborar orientações práticas e exequíveis para apoiar a aplicação das políticas e da legislação da União em matéria de cibersegurança. A ENISA deve igualmente procurar prestar informações pertinentes sobre os sistemas de certificação aplicáveis, por exemplo, emitindo orientações e recomendações.

(22)A fim de apoiar as empresas que operam no setor da cibersegurança e os utilizadores de soluções de cibersegurança e assegurar a aplicação eficaz do título III do presente regulamento, a ENISA deve desenvolver e manter um «observatório do mercado», realizando análises regulares e divulgando informações sobre as principais tendências do mercado da cibersegurança, tanto do lado da procura como da oferta. Além disso, a fim de apoiar os utilizadores da Reserva de Cibersegurança da UE criada nos termos do Regulamento (UE) 2025/38, a ENISA deve preparar o levantamento dos serviços de que esses utilizadores necessitam e da disponibilidade desses serviços, nos termos desse regulamento.

(23)As ciberameaças constituem um problema mundial. É necessária uma cooperação internacional mais estreita para melhorar a cibersegurança, nomeadamente para definir normas de comportamento e abordagens comuns. Para o efeito, a ENISA deve apoiar a cooperação da União com países terceiros, com destaque para os países candidatos à adesão à União, e com organizações internacionais, como a OTAN, fornecendo, quando necessário, os conhecimentos especializados e as análises necessárias à Comissão e às entidades competentes da União. As atividades da ENISA no plano internacional devem estar sempre em consonância com as prioridades da União.

(24)Para ajudar a alcançar um elevado nível de cibersegurança na União, a ENISA deve apoiar a cooperação operacional entre os Estados-Membros, em colaboração com o CERT-UE, entre as entidades da União e entre as partes interessadas. Para o efeito, o papel da ENISA deve ser reforçado. A ENISA deve tornar-se membro da rede de CSIRT, contribuindo para o intercâmbio e a análise de informação que esta desenvolve. A ENISA deve continuar a promover e a apoiar a cooperação entre as CSIRT pertinentes em caso de incidentes, ataques ou perturbações das redes ou infraestruturas geridas ou protegidas pelas CSIRT. O apoio ativo da ENISA ao trabalho da rede de CSIRT e da Rede Europeia de Organizações de Coordenação de Cibercrises (UE-CyCLONe) deve permitir que essas redes continuem a reforçar o seu nível de maturidade. O papel da ENISA no apoio a essa cooperação inclui a luta contra as ameaças à segurança e à integridade das instituições democráticas, das eleições e de outros processos, bem como das infraestruturas críticas de que estes dependem, em consonância com a Comunicação Conjunta «Escudo Europeu da Democracia: capacitar democracias fortes e resilientes» 49 .

(25)A fim de apoiar o reforço das capacidades, a cooperação operacional e as análises estratégicas a longo prazo das ciberameaças, a ENISA deve utilizar os conhecimentos técnicos e operacionais especializados disponíveis do CERT-UE através de uma cooperação estruturada, por exemplo com base em acordos específicos.

(26)Com vista a reforçar a cibersegurança em toda a União e assegurar uma resposta rápida e eficaz às ciberameaças, a ENISA deve apoiar os Estados-Membros, a pedido destes, nomeadamente prestando aconselhamento sobre a melhoria das suas capacidades de prevenção, deteção, resposta e recuperação relativamente a incidentes, facilitando o tratamento técnico de incidentes significativos na aceção da Diretiva (UE) 2022/2555, em especial através do apoio à partilha voluntária de soluções técnicas entre os Estados-Membros, ou assegurando a análise de ciberameaças e incidentes. A ENISA deve também prestar assistência à UE-CyCLONe na elaboração de relatórios destinados ao nível político da União e dos Estados‑Membros.

(27)A fim de reduzir a exposição à ingerência estrangeira, a manipulação da cadeia de abastecimento e a exfiltração estratégica de dados, a ENISA deve utilizar ferramentas de comunicação seguras no âmbito da rede de CSIRT e da UE-CyCLONe. Com base na Recomendação sobre o Plano de Ação para a Cibersegurança, essas ferramentas devem ser fornecidas por entidades jurídicas estabelecidas ou consideradas como estando estabelecidas na União e controladas pelos Estados-Membros ou por nacionais dos Estados-Membros.

(28)A fim de contribuir para a preparação e resposta a nível da União em caso de crises e incidentes de cibersegurança em grande escala, a ENISA deve realizar atividades de conhecimento situacional em matéria de cibersegurança.

(29) O acesso a informações fiáveis, verificadas e em tempo real sobre ciberameaças é crucial para o desenvolvimento de um conhecimento situacional comum na União. A ENISA, a Comissão, o CERT-UE e o Centro Europeu da Cibercriminalidade (EC3) da Europol já desenvolveram repositórios de informações sobre ciberameaças adaptados às suas necessidades específicas. A ENISA e outras entidades competentes da União devem cooperar, a título voluntário, para desenvolver repositórios de informações fiáveis, verificadas e em tempo real sobre ciberameaças, e procurar sinergias para assegurar economias de escala e reforçar a boa gestão financeira. Este trabalho deve também incluir entidades setoriais da União, como a Agência da UE para o Programa Espacial. Cada entidade deve partilhar apenas análises, tendências e táticas, técnicas e procedimentos derivados, e não fontes brutas, e deve respeitar a independência das demais na gestão do ciclo de vida das respetivas informações sobre ciberameaças, em conformidade com os seus mandatos e com as regras relativas à necessidade de conhecer.

(30)A fim de contribuir para uma resposta atempada e coordenada, a ENISA deve poder emitir alertas precoces sobre um incidente significativo ou em grande escala, potencial ou em curso, ou sobre uma ciberameaça de natureza potencialmente transfronteiriça, à ou às CSIRT em causa e, se for caso disso, à rede de CSIRT e à UE-CyCLONe, em especial no que diz respeito às entidades enumeradas nos anexos I e II da Diretiva (UE) 2022/2555. As informações constantes desses alertas precoces podem incluir vulnerabilidades publicamente conhecidas e indicar se estas afetam produtos com elementos digitais abrangidos pelo Regulamento (UE) 2024/2847, bem como técnicas e procedimentos, indicadores de exposição a riscos, táticas hostis, informações específicas sobre autores de ameaças e recomendações sobre medidas de atenuação.

(31) A fim de manter a confiança e não comprometer a partilha de informações, é importante que a ENISA aplique marcações visíveis que indiquem em que medida um documento ou informação que produziu ou recebeu pode ser subsequentemente partilhado. Do mesmo modo, a ENISA deve utilizar os documentos ou as informações que receba para efeitos do exercício das suas atividades, sob reserva de quaisquer limitações indicadas através de uma marcação visível sobre a sua divulgação subsequente.

(32)A fim de ajudar a aumentar a sensibilização para os indicadores de ciberameaças e as recomendações sobre medidas de atenuação, a ENISA deve disponibilizar um serviço de alerta precoce às entidades que operam nos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555. Esses alertas precoces genéricos e voluntários devem beneficiar, em especial, as PME e ser fornecidos num formato legível por máquina disponibilizado ao público. Em todo o caso, esse serviço voluntário é distinto de quaisquer parcerias público-privadas que a ENISA possa estabelecer ou já tenha estabelecido e não está relacionado com as mesmas.

(33)Para apoiar o conhecimento situacional comum da União em matéria de cibersegurança, a ENISA, em estreita colaboração com os Estados-Membros, deve elaborar regularmente um relatório aprofundado sobre a situação técnica da cibersegurança na UE quanto a incidentes e ciberameaças, com base em informações publicamente disponíveis, nas suas próprias análises e em relatórios com ela partilhados, numa base voluntária, pelas CSIRT dos Estados‑Membros ou pelos pontos de contacto únicos nacionais para a segurança dos sistemas de rede e informação («pontos de contacto únicos») previstos na Diretiva (UE) 2022/2555, bem como pela Europol e pelo CERT-UE. Esse relatório deve ser disponibilizado ao Conselho, ao Serviço Europeu para a Ação Externa, à UE-CyCLONe, à rede de CSIRT, à Comissão e à Europol.

(34)A fim de reforçar o conhecimento situacional comum do cenário de ciberameaças e incidentes entre as partes interessadas, a ENISA deve analisar as tendências nesse domínio. Tal deve incluir uma análise periódica que aborde os setores de importância crítica e outros setores críticos enumerados nos anexos I e II da Diretiva (UE) 2022/2555, incluindo os setores dos cuidados de saúde, da energia e dos transportes. Essa análise deve englobar os níveis de maturidade dos setores e identificar, entre outros aspetos, os eventuais desafios específicos de um determinado setor. Se for caso disso, e a fim de identificar os efeitos na cadeia de abastecimento, a análise deve demonstrar as ciberameaças e as tendências relacionadas com as categorias de produtos abrangidas pelo Regulamento (UE) 2024/2847. A ENISA deve desenvolver conhecimentos especializados relativos à cibersegurança das infraestruturas e às suas dependências críticas da cadeia de abastecimento, em especial para apoiar os setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555 e a aplicação do Regulamento (UE) 2024/2847. Para o efeito, a ENISA deve também cooperar, se for caso disso, com outras entidades competentes da União.

(35)Além disso, para compreender melhor os desafios no domínio da cibersegurança, a ENISA deve analisar as tecnologias atuais e emergentes e fornecer avaliações temáticas específicas sobre o impacto social, jurídico, económico e regulamentar esperado das inovações tecnológicas na cibersegurança. A fim de assegurar um acesso mais fácil do público a informações sobre os riscos de cibersegurança e possíveis soluções, a ENISA pode fornecer informações pertinentes no seu sítio Web, de forma convivial e bem estruturada.

(36)O reforço do papel da ENISA na promoção do conhecimento situacional, na análise de ameaças e na prestação de aconselhamento técnico contribuirá para intensificar os esforços coletivos de cibersegurança relativos aos produtos com elementos digitais e para apoiar a aplicação do Regulamento (UE) 2024/2847. Em conformidade com o Regulamento (UE) 2024/2847, a ENISA pode propor atividades conjuntas às autoridades de fiscalização do mercado para verificar a conformidade dos produtos com elementos digitais e identificar as categorias de produtos com elementos digitais para as quais podem ser organizadas ações de fiscalização conjuntas. As informações resultantes da análise de ciberameaças e dos alertas precoces devem reforçar o apoio que a ENISA presta a essas autoridades e contribuir para uma aplicação eficaz do Regulamento (UE) 2024/2847, a fim de prevenir os efeitos dos ciberataques na cadeia de abastecimento em todo o mercado interno e melhorar a preparação global da União.

(37)Os ataques de software de sequestro constituem uma importante ameaça à cibersegurança da União. Para reforçar a cibersegurança da União e combater o software de sequestro, a ENISA deve desenvolver capacidades de conhecimento situacional e de apoio à resposta e recuperação de incidentes. Ao prestar assistência às diferentes entidades essenciais e importantes na resposta e recuperação em caso de ataque de software de sequestro, a ENISA deve cooperar estreitamente com a Europol e com as CSIRT ou as autoridades competentes, consoante o caso, tirando assim partido da experiência adquirida pela Europol na luta contra a criminalidade com software de sequestro. Essa assistência deverá complementar as atividades das CSIRT de apoio à resposta a incidentes. A fim de alcançar sinergias no seu trabalho contra o software de sequestro, a ENISA deve criar um serviço de assistência e, para o efeito, poderá reunir as capacidades e os serviços de combate ao software de sequestro pertinentes e facilitar o acesso a informações, orientações e instrumentos que possam ajudar as entidades essenciais e importantes a responder a um incidente com software de sequestro e a recuperar do mesmo.

(38)A ENISA deve fornecer conhecimentos técnicos especializados e apoio à Comissão na elaboração de um programa anual evolutivo de exercícios de cibersegurança a nível da União, em conformidade com a Recomendação sobre o Plano de Ação para a Cibersegurança, a fim de assegurar a preparação para cibercrises, testar o nível de cibersegurança das entidades que participam nesses exercícios e minimizar a duplicação de esforços. A ENISA deve, por exemplo, prestar aconselhamento sobre os tipos de exercício adequados, como exercícios teóricos, híbridos ou em condições reais, bem como sobre os objetivos, os cenários e a participação.

(39)O acesso a informações corretas e atempadas sobre vulnerabilidades e uma gestão sólida das vulnerabilidades são indispensáveis para assegurar um elevado nível de cibersegurança no mercado interno. Por esse motivo, a ENISA deve manter uma base de dados europeia de vulnerabilidades nos termos da Diretiva (UE) 2022/2555 e criar uma capacidade comum de serviços de gestão de vulnerabilidades a nível da União, de forma a assegurar um nível de serviço resiliente e sustentável e reduzir o risco de perturbações. Para o efeito, a ENISA deve explorar as possibilidades de aprofundar a cooperação estruturada com programas, registos ou bases de dados semelhantes à base de dados europeia de vulnerabilidades, a fim de evitar uma duplicação de esforços e procurar a complementaridade a nível internacional, se for caso disso. Além disso, a ENISA deve apoiar a divulgação coordenada de vulnerabilidades a várias partes a nível da União e prestar serviços de valor acrescentado, tais como avisos de vulnerabilidade, classificações de gravidade e listas de produtos, bem como fornecer um catálogo reforçado de vulnerabilidades exploradas conhecidas a nível europeu para ajudar as entidades na sua gestão das vulnerabilidades.

(40)O papel da ENISA no desenvolvimento do EECC deve ser um aspeto fundamental do seu mandato. A ENISA deve disponibilizar os seus conhecimentos técnicos especializados ao longo de todo o ciclo de vida dos sistemas europeus de certificação da cibersegurança. A ENISA deve identificar as normas ou especificações técnicas existentes que poderão servir de base a um futuro sistema e, se for caso disso, elaborar ela própria projetos de especificações técnicas que possam ser referenciados num sistema. A ENISA deve ser responsável pela elaboração de projetos de sistemas na sequência de um pedido da Comissão. No caso dos sistemas já em vigor, a ENISA deve ser responsável pela sua manutenção. Nesse contexto, a ENISA deve contribuir para a criação e o desenvolvimento de um ecossistema de certificação em que se procure obter as reações dos Estados-Membros e das partes interessadas do setor privado e se reforcem as suas capacidades de certificação. Tal deve também incluir a exploração de um sítio Web dedicado à certificação, que disponibilize acesso livre e público às informações pertinentes relacionadas com os sistemas adotados, incluindo certificados e declarações de conformidade.

(41)A fim de apoiar a aplicação da legislação pertinente da União, a ENISA deve definir o estado da arte em matéria de cibersegurança, fornecendo especificações técnicas para apoiar a aplicação dessa legislação, nomeadamente tendo em vista a sua eventual referenciação nos sistemas europeus de certificação da cibersegurança. A ENISA deve também monitorizar a criação e o desenvolvimento de normas pelos organismos de normalização competentes, com vista a acompanhar as tendências de normalização a nível europeu e mundial e, sempre que necessário, moldar essas normas participando, nomeadamente mediante a elaboração de contributos, nas atividades dos organismos de normalização e assumindo um papel de liderança nesse contexto. Ao fazê-lo, a ENISA deve permanecer imparcial. Por exemplo, poderá haver situações em que a ENISA se deva retirar de atividades pertinentes dos organismos de normalização se for convidada a avaliar as normas europeias solicitadas pela Comissão em apoio da legislação da União. A ENISA não deve contribuir para a elaboração das normas que lhe cabe avaliar.

(42)A fim de apoiar a execução das políticas da União e a preparação de potenciais atividades de normalização, a ENISA deve contribuir para o desenvolvimento e a avaliação de algoritmos criptográficos, em especial no domínio da criptografia pós-quântica. Nesse contexto, quando solicitado pela Comissão e sob reserva de um acordo de contribuição na aceção do Regulamento (UE, Euratom) 2024/2509 do Parlamento Europeu e do Conselho 50 , a ENISA pode estabelecer um processo de pedido e avaliação de algoritmos para algoritmos criptográficos pelas partes interessadas, em especial as comunidades criptográfica, académica e de investigação, bem como pelos fabricantes, pelas CSIRT, pelas autoridades nacionais de certificação da cibersegurança e pelas autoridades competentes nos termos da Diretiva (UE) 2022/2555. Caso contribua para o estabelecimento desses processos, a ENISA deve promover a colaboração entre as partes interessadas e implementar os aspetos organizacionais. O processo deve ser formal, aberto, transparente e inclusivo, prevendo a consulta das partes interessadas sobre os projetos de requisitos mínimos, bem como sobre o processo e os critérios de avaliação, nomeadamente no que respeita à segurança e ao desempenho das avaliações.

(43)A fim de apoiar a execução das atividades de avaliação da conformidade no âmbito dos sistemas europeus de certificação da cibersegurança e de outra legislação pertinente da União, a ENISA pode disponibilizar ferramentas técnicas de teste pertinentes para ajudar os Estados-Membros, as empresas e os organismos de avaliação da conformidade nas suas atividades de avaliação. Essas ferramentas devem ter por objetivo criar sinergias a nível da União e promover o funcionamento eficiente dos procedimentos de avaliação da conformidade por forma a responder às necessidades dos Estados-Membros e do mercado. Tais necessidades podem surgir, por exemplo, no domínio da segurança desde a conceção para apoiar as empresas, incluindo as pequenas e médias empresas, nos seus esforços de aplicação no âmbito do Regulamento (UE) 2024/2847. Neste contexto, a ENISA deve cobrar taxas para cobrir os custos pertinentes relacionados com a criação, conceção, desenvolvimento, manutenção e atualização das capacidades de software e hardware necessárias para essas ferramentas de teste.

(44)A fim de apoiar os Estados-Membros nos seus esforços para fazer face à escassez de profissionais de cibersegurança e à necessidade crescente de uma mão de obra qualificada, diversificada, nomeadamente no que diz respeito ao equilíbrio de género, e ágil, bem como para permitir a mobilidade laboral e a preparação em todos os Estados-Membros, a ENISA deve basear-se nos princípios e no trabalho iniciado no âmbito da Academia de Competências de Cibersegurança. Em especial, a ENISA deve estabelecer o Quadro Europeu de Competências em Cibersegurança («QECC») como um quadro comum para os perfis de funções profissionais no domínio da cibersegurança. A ENISA deve continuar a apoiar os Estados-Membros na luta contra as disparidades de género nas funções relacionadas com a cibersegurança. Esta abordagem é coerente com a visão delineada na Comunicação da Comissão sobre a União das Competências e contribui para os respetivos objetivos. Deve continuar a ser estudada a criação de um selo de qualidade para os atestados individuais europeus de competências de cibersegurança.

(45)O QECC deve ser um instrumento prático e flexível, a utilizar numa base voluntária, que proporcione um entendimento e uma terminologia comuns no que respeita às funções pertinentes e às tarefas, competências e conhecimentos conexos mais necessários para as funções relacionadas com a cibersegurança, com vista a apoiar a identificação de conjuntos de competências críticas, nomeadamente competências transversais, de que necessita a mão de obra, e a permitir que os prestadores de ensino e formação, incluindo empresas, instituições de ensino superior ou prestadores de ensino e formação profissionais, concebam programas e ajudem os decisores políticos a desenvolver iniciativas para colmatar as lacunas de competências. Dado o seu potencial para ser utilizado como quadro de referência para o reconhecimento de competências, deve também ser interoperável com a Classificação Europeia das Competências/Aptidões, Qualificações e Profissões (ESCO), a fim de ajudar os departamentos de recursos humanos a compreender os requisitos em matéria de planeamento de recursos, recrutamento e progressão na carreira para dar resposta às necessidades de cibersegurança. Embora o quadro DigComp 3.0 descreva os conhecimentos, as competências e as atitudes que são necessários para se ser digitalmente competente ao nível da vida quotidiana, da participação na sociedade, do trabalho e da aprendizagem, e que podem ser aplicados tanto por adultos como por crianças, o QECC oferece um quadro simples que identifica as funções relacionadas com a cibersegurança e as tarefas, os conhecimentos e as competências conexos, necessários para as desempenhar. Neste sentido, dirige-se a um público especializado em cibersegurança, desde profissionais de cibersegurança, efetivos ou potenciais, a instituições de ensino e empregadores. O QECC deve também apoiar o desenvolvimento de atestados individuais europeus de competências de cibersegurança, enquanto principal instrumento utilizado para desenvolver os sistemas, permitindo a emergência de novos intervenientes no mercado e apoiando a concorrência no mercado no âmbito de um quadro comum. O QECC deve ser avaliado e atualizado regularmente, a fim de assegurar que reflete adequadamente as necessidades do mercado de trabalho no domínio da cibersegurança e a evolução tecnológica e política. A ENISA deve apoiar a adoção do QECC pelos Estados‑Membros e pelas entidades da União, e prestar apoio adequado sempre que tal assistência seja necessária.

(46)As competências e qualificações em matéria de cibersegurança devem ser comparáveis, transparentes e fiáveis em todo o mercado interno. Para o efeito, os atestados individuais europeus de competências de cibersegurança 51 devem ajudar os empregadores, incluindo as PME e as empresas em fase de arranque, a recrutar profissionais de cibersegurança, efetivos ou potenciais, de forma eficaz nos Estados-Membros e entre eles, em consonância com os objetivos estabelecidos na Comunicação sobre a União das Competências. A fim de assegurar uma aplicação coerente em todos os Estados-Membros, os atestados individuais europeus de competências de cibersegurança devem basear-se num entendimento comum, a nível da União, das competências necessárias para cumprir esses objetivos e devem ser emitidos por prestadores autorizados pela ENISA com base num conjunto comum de critérios. Esta abordagem deve ser coerente com os objetivos da futura Iniciativa sobre a Portabilidade de Competências e contribuir para os mesmos.

(47)O desenvolvimento de sistemas de atestados individuais europeus de competências de cibersegurança deve ter por objetivo complementar as ações dos Estados-Membros, oferecendo às autoridades públicas e aos agentes económicos a possibilidade de utilizarem um mecanismo europeu de atestados, em consonância com a competência de apoio da União no domínio da educação e da formação profissional, tal como referido no artigo 6.º, alínea e), no artigo 165.º, n.º 1, e no artigo 166.º, n.º 1, do TFUE. Os sistemas, juntamente com o trabalho da Academia de Competências de Cibersegurança, podem também representar a base para os programas de ensino superior, como os diplomas setoriais europeus, e para o desenvolvimento de microcredenciais. Por conseguinte, os sistemas de atestados individuais europeus de competências de cibersegurança não devem ter por objetivo harmonizar as disposições legislativas e regulamentares dos Estados-Membros, mas antes ser considerados um facilitador e uma oportunidade que os Estados-Membros e os agentes económicos podem querer aproveitar e promover.

(48)A ENISA deve assegurar que os sistemas de atestados individuais europeus de competências de cibersegurança acompanham de perto as necessidades do mercado e se baseiam na experiência dos prestadores públicos e privados de certificações individuais, incluindo os Estados-Membros, as instituições de ensino superior, as instituições de ensino e formação profissionais e as empresas. A ENISA deve consultar a Comissão sobre a priorização dos sistemas de atestados individuais europeus de competências de cibersegurança, tendo devidamente em conta a execução das políticas e as necessidades do mercado.

(49)A fim de assegurar o alinhamento entre o QECC e os sistemas, a revisão de um perfil de funções do QECC deve desencadear automaticamente uma avaliação da adequação do sistema ou dos sistemas de atestados individuais europeus de competências de cibersegurança conexos, que pode conduzir à sua revisão.

(50)Tendo em conta a diversidade dos perfis de funções relacionados com a cibersegurança e das tarefas, competências e conhecimentos conexos, poderá ser necessário adaptar a avaliação das pessoas e os métodos de avaliação em cada sistema de atestados individuais europeus de competências de cibersegurança. Cada sistema deve assegurar que a avaliação das competências necessárias de uma pessoa em termos de resultados de aprendizagem, incluindo, se for caso disso, a avaliação do nível de proficiência, é sistematicamente realizada em relação a um perfil de funções do QECC ou a um subconjunto desse perfil. Os métodos de avaliação podem incluir elementos como testes de conhecimentos teóricos, exames práticos, pré-requisitos e avaliação pelos pares. A experiência das pessoas deve ser devidamente tida em conta.

(51)A fim de assegurar uma aplicação coerente dos sistemas de atestados individuais europeus de competências de cibersegurança, em especial no que diz respeito à avaliação das pessoas, a ENISA deve ministrar formação obrigatória ao pessoal responsável por essa avaliação. Esse pessoal deverá ter experiência no domínio da cibersegurança, que poderá ser demonstrada pela posse de um atestado individual europeu de competências de cibersegurança para o perfil de funções para o qual realiza a avaliação, a um nível de proficiência pelo menos equivalente ao das pessoas que está a avaliar.

(52)O papel dos prestadores de atestados autorizados consiste em atestar que uma pessoa possui os conhecimentos e as competências requeridos para poder desempenhar uma das funções do QECC e dar garantias aos empregadores em toda a União. Uma vez que também os empregadores que exploram infraestruturas críticas da União considerariam a garantia da qualidade das aptidões e competências das pessoas que adquirem um atestado individual europeu de competências de cibersegurança, os prestadores autorizados que atestem o nível de aptidões e competências devem ser fiáveis do ponto de vista da cibersegurança e não podem estar sujeitos à influência indevida de um país terceiro que possa suscitar preocupações em matéria de cibersegurança. Por conseguinte, as entidades estabelecidas num país terceiro que suscite preocupações em matéria de cibersegurança designado nos termos do presente regulamento, ou controladas por esse país terceiro, por uma entidade estabelecida nesse país terceiro, ou por um nacional desse país terceiro (fornecedores de alto risco) não deverão ser elegíveis para se tornarem prestadores autorizados de quaisquer atestados individuais europeus de competências de cibersegurança nos termos do título II, secção 4.

(53) A fim de assegurar que os titulares de um atestado europeu de competências de cibersegurança o possam utilizar e partilhar facilmente, e que esse atestado possa ser utilizado em todos os Estados-Membros, os prestadores de atestados autorizados devem assegurar a emissão de versões eletrónicas dos atestados individuais europeus de competências de cibersegurança para a carteira europeia de identidade digital (carteira EUDI) criada pelo Regulamento (UE) n.º 910/2014, a pedido da pessoa em causa. Os prestadores de atestados autorizados devem ser considerados prestadores de serviços de confiança e estar sujeitos ao regime de supervisão e responsabilidade estabelecido no Regulamento (UE) n.º 910/2014. O sistema de certificação de atributos utilizado nos termos do Regulamento de Execução (UE) 2025/1569 da Comissão 52 deve ser registado no catálogo de sistemas de certificação de atributos previsto nesse regulamento de execução.

(54)A fim de contribuir para o desenvolvimento da mão de obra no domínio da cibersegurança e para a portabilidade das competências em toda a União, a ENISA deve disponibilizar ao público os sistemas de atestados individuais europeus de competências de cibersegurança e a lista de prestadores de atestados autorizados num sítio Web específico.

(55)A ENISA deve reger-se e funcionar tendo em conta os princípios da Abordagem Comum sobre as agências descentralizadas da União, adotada em 19 de julho de 2012 pelo Parlamento Europeu, pelo Conselho e pela Comissão 53 . As recomendações constantes da Abordagem Comum devem também refletir-se, conforme adequado, nos programas de trabalho, nas avaliações, na elaboração dos relatórios e nas práticas administrativas da ENISA.

(56)Para que o Conselho de Administração possa desempenhar eficazmente as suas funções, nomeadamente definindo a orientação geral das atividades da ENISA e as suas prioridades estratégicas, é essencial que seja composto por representantes de alto nível dos Estados-Membros e da Comissão. Para o efeito, cada Estado-Membro deve nomear o chefe de uma autoridade nacional competente desse Estado-Membro responsável pela cibersegurança, designada nos termos do artigo 8.º, n.º 1, da Diretiva (UE) 2022/2555, como membro do Conselho de Administração.

(57)A fim de assegurar que os suplentes do Conselho de Administração possam desempenhar adequadamente as suas funções, os Estados-Membros devem nomear suplentes com conhecimentos e experiência profissionais adequados. No que diz respeito aos suplentes, a Comissão e os Estados-Membros devem envidar esforços para alcançar uma representação equilibrada entre homens e mulheres no Conselho de Administração e devem limitar a sua rotação, a fim de assegurar a continuidade do trabalho do Conselho de Administração.

(58)Para que a ENISA possa cumprir eficazmente a sua missão, o Conselho de Administração, composto por representantes dos Estados-Membros e da Comissão, deve definir a orientação geral das operações da ENISA, incluindo as suas prioridades estratégicas, e assegurar que esta exerça as suas atribuições em conformidade com o presente regulamento. Devem ser conferidos ao Conselho de Administração os poderes necessários para estabelecer e verificar a execução do orçamento, adotar regras financeiras adequadas, estabelecer procedimentos de trabalho transparentes para a tomada de decisões pela ENISA, adotar o documento único de programação da ENISA, adotar o seu próprio regulamento interno, nomear o diretor executivo, decidir sobre a prorrogação e a cessação do mandato do diretor executivo e decidir sobre a criação do cargo de subdiretor executivo e, caso esse cargo seja criado, sobre a nomeação e a prorrogação e cessação do mandato deste subdiretor. Por conseguinte, qualquer pessoa que exerça um cargo executivo na ENISA deve ser nomeada pelo Conselho de Administração. Este deve também ser responsável pela nomeação ou exoneração dos membros da Câmara de Recurso, bem como pelo estabelecimento de regras para prevenir ou gerir conflitos de interesses a este respeito.

(59)Para ajudar a assegurar que a ENISA estabelece as suas prioridades estratégicas e as mantém atualizadas, o Conselho de Administração deve realizar pelo menos uma reunião por ano dedicada às prioridades estratégicas da ENISA. A fim de assegurar que as reuniões do Conselho de Administração são eficazes e bem fundamentadas, este pode convidar para as suas reuniões qualquer pessoa cuja opinião possa ser pertinente e de interesse para os temas debatidos, a fim de fornecer informações, conhecimentos especializados ou aconselhamento. Essa pessoa será um observador ad hoc sem direito de voto.

(60)O Conselho de Administração deve adotar as suas decisões por maioria absoluta dos seus membros com direito de voto, salvo disposição em contrário do presente regulamento. Devido à importância das questões orçamentais e de recursos humanos, em especial as questões relativas ao orçamento anual, ao relatório anual de atividades, à estratégia antifraude, às regras de execução do Estatuto dos Funcionários, à nomeação do diretor executivo, do subdiretor executivo e do contabilista, ao seguimento dado às conclusões do Organismo Europeu de Luta Antifraude (OLAF) e da Procuradoria Europeia e à adoção das regras financeiras da ENISA, o Conselho de Administração só deve adotar essas decisões se o representante da Comissão votar favoravelmente. Para efeitos de uma decisão sobre a adoção de um documento único de programação definitivo após a apreciação de um parecer da Comissão, só deve ser exigido um voto favorável do representante da Comissão sobre os elementos da decisão não relacionados com o programa de trabalho anual e plurianual da ENISA.

(61)A Comissão Executiva deve contribuir para o funcionamento eficaz do Conselho de Administração. No âmbito dos seus trabalhos preparatórios relacionados com as decisões do Conselho de Administração, a Comissão Executiva deve examinar pormenorizadamente as informações pertinentes, explorar as opções disponíveis e disponibilizar aconselhamento e soluções para preparar as decisões do Conselho de Administração. Deve igualmente assistir e aconselhar o diretor executivo na execução das decisões do Conselho de Administração.

(62)O bom funcionamento da ENISA exige que o seu diretor executivo seja nomeado com base no mérito e em competências administrativas e de gestão documentadas, bem como na competência e experiência relevantes para a cibersegurança. As funções do diretor executivo devem ser exercidas com total independência. O Conselho de Administração deve nomear o diretor executivo a partir da lista de candidatos elaborada pela Comissão, na sequência de um procedimento aberto e transparente que respeite o princípio do equilíbrio de género.

(63) O diretor executivo deve preparar uma proposta de documento único de programação da ENISA, após consulta à Comissão, e tomar todas as medidas necessárias para garantir a boa execução do documento único de programação. O diretor executivo deve preparar um relatório anual que cubra a execução do programa de trabalho anual da ENISA, a apresentar ao Conselho de Administração, elaborar um projeto de mapa previsional das receitas e despesas da ENISA e executar o orçamento. Além disso, o diretor executivo deve ter a possibilidade de criar grupos de trabalho ad hoc para questões específicas, designadamente de natureza científica, técnica, jurídica ou socioeconómica. Em especial, no que diz respeito à preparação de um projeto de sistema europeu de certificação da cibersegurança específico («projeto de sistema»), considera-se necessária a criação de um grupo de trabalho ad hoc. Pode também ser necessário criar um grupo de trabalho ad hoc para as atividades de manutenção relacionadas com determinados sistemas europeus de certificação da cibersegurança adotados. Devem também ser criados grupos de trabalho ad hoc para desenvolver e manter sistemas de atestados individuais europeus de competências de cibersegurança e assistir a agência na governação, execução e desenvolvimento do QECC. O diretor executivo deve assegurar que os membros dos grupos de trabalho ad hoc sejam selecionados segundo os mais elevados padrões de especialização, com o objetivo de assegurar o equilíbrio de género e uma representação equilibrada, em função das questões específicas em causa, entre as administrações públicas dos Estados-Membros, as entidades da União e o setor privado, incluindo a indústria, os utilizadores e académicos especializados em segurança das redes e da informação e em produtos com elementos digitais.

(64)O Conselho de Administração pode decidir criar o cargo de subdiretor executivo para assistir o diretor executivo, caso considere que é necessário para assegurar ou manter o bom funcionamento da ENISA. Ao decidir sobre a criação desse cargo, o Conselho de Administração pode ter em conta o parecer do diretor executivo.

(65)A ENISA deve dispor de um Grupo Consultivo para assegurar um diálogo regular com o setor privado, as organizações de consumidores e outras partes interessadas. O Grupo Consultivo da ENISA, criado pelo Conselho de Administração sob proposta do diretor executivo, deve concentrar-se em questões pertinentes para as partes interessadas e submetê-las à apreciação da ENISA. Esse Grupo Consultivo deve ser consultado particularmente no que diz respeito ao projeto de programa de trabalho anual da ENISA. A composição do Grupo Consultivo da ENISA e as funções que lhe são conferidas devem assegurar uma representação suficiente das partes interessadas nos trabalhos da ENISA. Devem poder participar no Grupo Consultivo da ENISA representantes das autoridades nacionais e da União encarregadas do controlo da aplicação da lei, da proteção de dados e da fiscalização do mercado.

(66)Os requerentes do estatuto de prestadores de atestados autorizados ou da renovação da respetiva autorização devem ter acesso às vias de recurso necessárias sempre que sejam afetados por decisões tomadas pela ENISA. Por conseguinte, deve ser estabelecido um mecanismo de recurso adequado para permitir contestar as decisões conexas da ENISA junto de uma Câmara de Recurso, cujas decisões possam, por sua vez, ser sujeitas à fiscalização jurisdicional pelo Tribunal de Justiça da União Europeia em conformidade com os Tratados. A obrigação de esgotar o processo de recurso na ENISA antes de recorrer ao Tribunal de Justiça da União Europeia só é aplicável às pessoas que têm legitimidade perante a Câmara de Recurso.

(67)Para garantir a plena autonomia e independência da ENISA e permitir que exerça as suas atribuições, importa dotá-la de um orçamento suficiente e autónomo, financiado principalmente por uma contribuição da União, mas também por contribuições de países terceiros que participem nos trabalhos da agência, e por taxas pagas por prestadores de atestados autorizados e por organismos de avaliação da conformidade que participem em sistemas e emitam certificados europeus de cibersegurança e declarações UE de conformidade. O Estado-Membro de acolhimento, e qualquer outro Estado-Membro, deve poder contribuir voluntariamente para o orçamento da ENISA. Nenhuma contribuição dos Estados‑Membros, de países terceiros ou de outras entidades ou pessoas, financeira ou em espécie, recebida pela ENISA pode comprometer a sua independência e imparcialidade. O processo orçamental da União deve ser aplicável na medida em que estejam em causa a contribuição da União e quaisquer outras subvenções imputáveis ao orçamento geral da União. O Tribunal de Contas deve proceder à auditoria das contas da ENISA, a fim de assegurar a transparência e a responsabilização. Para poder participar em todos os futuros projetos relevantes, a agência deve poder receber subvenções.

(68)A fim de assegurar a capacidade da ENISA para responder à procura das atividades que realiza, em especial no que diz respeito às decisões de autorizar os prestadores a emitir atestados individuais europeus de competências de cibersegurança, e no que se refere à manutenção dos sistemas europeus de certificação da cibersegurança e das ferramentas de teste, a ENISA deve dispor de poderes para cobrar taxas. As taxas associadas ao tratamento de pedidos de obtenção do estatuto de prestador de atestados autorizado devem ser devidamente determinadas de modo a contribuir o suficiente para cobrir os custos estimados do desenvolvimento e manutenção dos sistemas de atestados individuais europeus de competências de cibersegurança, bem como os custos incorridos ao avaliar se os requisitos e as obrigações associados à obtenção e manutenção desse estatuto são e continuam a ser cumpridos. As taxas associadas aos custos de emissão e renovação das autorizações a prestadores de atestados autorizados devem incluir os custos associados às avaliações realizadas pela ENISA ou sob a sua supervisão. As taxas associadas à participação em sistemas europeus de certificação da cibersegurança e à emissão de certificados ao abrigo desses sistemas devem ser devidamente determinadas de modo a contribuir o suficiente para cobrir os custos estimados da manutenção desses sistemas. O pagamento dessas taxas deve permitir que os organismos de avaliação da conformidade notificados e, se for caso disso, os titulares de certificados ao abrigo de um sistema participem nessas atividades, bem como em atividades de reforço das capacidades e de promoção pertinentes para incentivar o intercâmbio de boas práticas e fomentar a adoção de sistemas e soluções certificadas.

(69)A fim de garantir a proporcionalidade, a transparência e a segurança jurídica, as taxas devem ser fixadas de forma transparente e justa. Todas as despesas da ENISA atribuídas ao pessoal envolvido em atividades sujeitas a taxas, em especial a contribuição proporcional da entidade patronal para o regime de pensões, e os custos relacionados com a Câmara de Recurso devem ser refletidos nesse custo. As taxas não podem conduzir à imposição de encargos financeiros ou administrativos desnecessários aos requerentes. Devem ser fixados prazos razoáveis para o pagamento das taxas.

(70)É necessário criar um conjunto de indicadores para medir o volume de trabalho, a eficácia e a eficiência da agência em relação às atividades financiadas por taxas. Tendo em conta estes indicadores, a agência deve adaptar o seu planeamento do pessoal e a gestão dos recursos relacionados com as taxas, a fim de poder responder adequadamente a essa procura e a quaisquer flutuações nas receitas provenientes das taxas.

(71)Para identificar e gerir corretamente o risco de conflitos de interesses, reais ou potenciais, a ENISA deve dispor de regras sobre a prevenção e a gestão dos conflitos de interesses. A ENISA deve também aplicar as regras de acesso aos documentos estabelecidas no Regulamento (CE) n.º 1049/2001 do Parlamento Europeu e do Conselho 54 . O tratamento de dados pessoais por parte da ENISA deve estar sujeito ao disposto no Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho 55 . A ENISA deve respeitar as disposições aplicáveis às entidades da União e a legislação nacional relativa ao tratamento de informações, nomeadamente de informações sensíveis não classificadas e de informações classificadas da União Europeia (ICUE).

(72)No exercício das suas atribuições, a ENISA pode ter acesso a informações sensíveis, como informações relativas a ciberameaças e incidentes. Por conseguinte, é essencial que a ENISA preserve a confidencialidade das informações que gere. Em especial, em conformidade com o artigo 339.º do Tratado sobre o Funcionamento da União Europeia (TFUE), os funcionários e outros agentes da ENISA não podem divulgar informações que, por sua natureza, estejam abrangidas pelo segredo profissional, designadamente as respeitantes às empresas e respetivas relações comerciais ou elementos dos seus preços de custo, mesmo após a cessação das suas funções.

(73)A fim de assegurar a plena realização dos seus objetivos, a ENISA deve estabelecer ligações com as autoridades de supervisão e outras autoridades competentes na União, bem como com as entidades competentes da União, incluindo o CERT-UE, o EC3 da Europol, o ECCC, a Agência Europeia de Defesa (AED), a Agência da União Europeia para o Programa Espacial (EUSPA), o Organismo dos Reguladores Europeus das Comunicações Eletrónicas (ORECE), a Agência da União Europeia para a Gestão Operacional de Sistemas Informáticos de Grande Escala no Espaço de Liberdade, Segurança e Justiça (eu-LISA), o Banco Central Europeu (BCE), a Autoridade Bancária Europeia (EBA), o Comité Europeu para a Proteção de Dados (CEPD), a Agência de Cooperação dos Reguladores da Energia (ACER), a Agência Europeia para a Segurança da Aviação (AESA) e qualquer outra entidade da União que esteja envolvida na cibersegurança. A ENISA deve também estabelecer ligações com as autoridades competentes ao abrigo da Diretiva (UE) 2022/2555, as autoridades de fiscalização do mercado e as autoridades que lidam com a proteção de dados, a fim de proceder ao intercâmbio de competências técnicas e de boas práticas, e deve prestar aconselhamento sobre questões de cibersegurança que possam ter impacto no seu trabalho.

(74)A Europol desempenha um papel importante na prevenção e no combate à cibercriminalidade, incluindo a relacionada com incidentes de segurança das redes e da informação. A fim de criar sinergias entre as atribuições de cada agência, a ENISA deve cooperar com a Europol, em especial através da partilha de informações sobre as tendências em matéria de técnicas, exigências e impactos dos ataques de software de sequestro. Essa cooperação pode também consistir na identificação dos tipos de software de sequestro mais comuns que visam as entidades enumeradas nos anexos I e II da Diretiva (UE) 2022/2555, a fim de apoiar as entidades essenciais e importantes na resposta e recuperação de incidentes.

(75)A fim de apoiar a cooperação operacional e o conhecimento situacional comum de ciberameaças e incidentes, é essencial que a ENISA coopere com as partes interessadas e, em especial, com empresas e organizações do setor privado, com as quais pode estabelecer parcerias público-privadas.

(76)Para cumprir eficazmente os objetivos definidos no presente regulamento, a ENISA pode colaborar, em especial, com instituições académicas que tenham iniciativas de investigação em domínios pertinentes e desenvolver canais adequados para os contributos das organizações de consumidores e de outras organizações.

(77)Dado o caráter sem fronteiras das ciberameaças e incidentes, o nível de cibersegurança e de preparação dos países terceiros pode afetar as entidades na União. Por conseguinte, a ENISA deve poder oferecer atividades para aumentar as suas capacidades, incluindo formação, reforço das capacidades, atividades de geminação em países terceiros e, em especial, atividades de reforço das capacidades adaptadas aos países candidatos à adesão à União ou a outros países parceiros, em conformidade com as prioridades da União. Essas atividades devem ter lugar na sequência de um pedido específico de prestação de apoio adequado, tendo em conta as prioridades da União, e ser executadas através de disposições especiais, nomeadamente através de acordos de contribuição, tal como referido no Regulamento (UE, Euratom) 2024/2509. O enquadramento europeu para a certificação da cibersegurança visa assegurar a proteção contra ciberameaças, tais como vulnerabilidades de cibersegurança exploradas de forma maliciosa ou incidentes de cibersegurança que afetem a funcionalidade (conceção e funcionamento) dos produtos, serviços e processos de TIC, dos serviços de segurança geridos ou a postura de cibersegurança das entidades. Ao centrar-se nos riscos técnicos relacionados com os produtos, serviços e processos de TIC, os serviços de segurança geridos ou a postura de cibersegurança das entidades, o EECC deve complementar o enquadramento relativo à segurança das cadeias de abastecimento de TIC, que visa assegurar uma abordagem harmonizada a nível da União para fazer face aos riscos não técnicos em setores de importância crítica e noutros setores críticos.

(78)Os Estados-Membros devem poder recorrer à certificação europeia da cibersegurança no contexto da contratação pública, em conformidade com a Diretiva 2014/24/UE do Parlamento Europeu e do Conselho 56 .

(79)A fim simplificar o cumprimento por parte das entidades, o EECC deve prever a possibilidade de certificar a sua postura de cibersegurança. As entidades, nomeadamente as que prestam vários tipos de serviços em vários Estados-Membros, podem estar sujeitas a diferentes obrigações relacionadas com a cibersegurança e a segurança dos dados por força de instrumentos horizontais, como o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho 57  e a Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho 58 , bem como de instrumentos setoriais específicos. A fim de racionalizar a aplicação do quadro regulamentar global em matéria de cibersegurança e facilitar o seu cumprimento, a legislação da União deve poder prever a possibilidade de as entidades demonstrarem a sua conformidade com os requisitos de gestão dos riscos de cibersegurança através de certificados europeus de cibersegurança. Um sistema pertinente poderá contribuir para racionalizar os requisitos de conformidade decorrentes de diferentes instrumentos regulamentares, sem prejuízo dos seus requisitos específicos de certificação. Essas medidas de simplificação têm potencial para reduzir os encargos administrativos, desbloqueando recursos para reforçar a preparação operacional no domínio da cibersegurança das entidades em setores críticos da União.

(80)A certificação europeia dos requisitos de gestão dos riscos de cibersegurança desenvolvida no âmbito do EECC deve permitir às entidades demonstrar a conformidade com a legislação pertinente da União sempre que um sistema abranja os respetivos requisitos legais estabelecidos no ato legislativo em causa e este assim o preveja. Nessa base, um ato jurídico da União pode também prever uma presunção de conformidade com esses requisitos. Esses sistemas podem contribuir para melhorar a aplicação coerente dos requisitos de cibersegurança da legislação da União, a fim de criar condições de concorrência equitativas em todos os Estados-Membros e reduzir os encargos de conformidade.

(81)O enquadramento europeu para a certificação da cibersegurança deve prever a possibilidade de certificar processos de TIC, definidos como um conjunto de atividades realizadas para conceber, desenvolver, fornecer ou manter um produto ou serviço de TIC. Um perfil de proteção é um exemplo de um processo de TIC, tal como especificado no Regulamento de Execução (UE) 2024/482 da Comissão 59 . Outro exemplo de processo de TIC é o conjunto de atividades realizadas por um fabricante para conceber e desenvolver de forma segura um produto de TIC, incluindo as medidas físicas, lógicas, processuais, de pessoal e outras medidas de segurança necessárias para proteger a confidencialidade e a integridade da conceção e aplicação de um produto de TIC no seu ambiente de desenvolvimento. A certificação dessas atividades é frequentemente designada por «certificação do local» no contexto de um processo de certificação ao abrigo do Regulamento de Execução (UE) 2024/482 da Comissão.

(82)A definição de serviços de segurança geridos no presente regulamento deve ser coerente com a de prestadores de serviços de segurança geridos na Diretiva (UE) 2022/2555. Esses serviços consistem na realização ou na prestação de assistência para atividades relacionadas com a gestão dos riscos de cibersegurança dos clientes e têm vindo a adquirir uma importância cada vez maior na prevenção e mitigação de incidentes. Por conseguinte, os prestadores desses serviços são considerados entidades essenciais ou importantes pertencentes a um setor de importância crítica nos termos da Diretiva (UE) 2022/2555. Os prestadores de serviços de segurança geridos em domínios como a resposta a incidentes, os testes de penetração, as auditorias de segurança e a consultoria desempenham um papel especialmente importante em termos de apoio aos esforços desenvolvidos pelas entidades para evitar e detetar os incidentes, bem como para lhes dar resposta ou recuperar dos mesmos. Porém, os próprios prestadores de serviços de segurança geridos têm sido igualmente alvo de ciberataques e, em virtude da sua estreita integração nas operações dos seus clientes, implicam especial risco. É, por conseguinte, necessário que as entidades essenciais e importantes, na aceção da Diretiva (UE) 2022/2555, exerçam diligência acrescida ao selecionarem prestadores de serviços de segurança geridos.

(83)Os sistemas europeus de certificação da cibersegurança são relevantes para uma vasta comunidade de partes interessadas, como os fornecedores de soluções de TIC, os organismos de avaliação da conformidade e os utilizadores. A fim de promover uma ampla participação das partes interessadas, a Assembleia Europeia de Certificação da Cibersegurança («Assembleia») deve reunir-se, pelo menos, uma vez por ano, com o objetivo de promover a colaboração entre a Comissão, a ENISA, os Estados-Membros e as partes interessadas. Desempenhará um papel central na identificação e resposta a novos desafios em matéria de cibersegurança e prioridades estratégicas de certificação, e na garantia de que os sistemas de certificação facilitam a integração segura das tecnologias digitais e são adequados às necessidades dos utilizadores. A Assembleia deve promover a liderança da União nas atividades de certificação e salvaguardar a capacidade do enquadramento da certificação para proporcionar confiança às empresas, às autoridades públicas e às pessoas.

(84)A Comissão deve manter um sítio Web específico para garantir a transparência, publicando informações atualizadas sobre os progressos realizados na aplicação do EECC. O sítio Web deve incluir informações relacionadas com os sistemas de certificação em preparação, as prioridades estratégicas para os futuros sistemas de certificação, os pedidos de preparação de projetos de sistemas de certificação apresentados à ENISA e informações sobre a adoção de sistemas de certificação. O sítio Web da Comissão complementará o sítio Web da ENISA sobre os sistemas europeus de certificação da cibersegurança, que deverá fornecer informações exaustivas sobre a preparação técnica dos projetos de sistemas e a manutenção dos sistemas, centrando-se nos certificados europeus de cibersegurança e nas declarações UE de conformidade emitidos.

(85)A fim de reforçar o diálogo entre as instituições da União e contribuir para um processo de consulta formal, aberto, transparente e inclusivo, a Comissão deve ter em conta os elementos decorrentes dos pontos de vista expressos pelo Parlamento Europeu, pelo Conselho e pela Assembleia Europeia de Certificação da Cibersegurança aquando da avaliação do presente regulamento.

(86)Os estudos de viabilidade realizados pela ENISA devem ajudar a preparar o planeamento e o desenvolvimento de sistemas de certificação da cibersegurança. Os estudos devem incorporar as perspetivas das partes interessadas e alinhar os futuros sistemas de certificação com as atividades de investigação, desenvolvimento e avaliação tecnológica em curso, reconhecendo, em especial, os contributos das iniciativas de investigação da União e dos Estados-Membros. Esses estudos podem ajudar a identificar as normas e especificações técnicas disponíveis. Devem ser realizados quando solicitado pela Comissão ou em conformidade com as prioridades estratégicas da União, a fim de assegurar que os pedidos e o desenvolvimento de sistemas abordam e refletem devidamente a evolução do panorama tecnológico e das necessidades de cibersegurança.

(87)A conceção do projeto de sistema e a forma como abrange os objetivos e elementos de segurança devem ser proporcionais à natureza e ao âmbito do objeto da certificação. Assim, por exemplo, um sistema de certificação de serviços de computação em nuvem pode abordar objetivos de segurança relevantes para os serviços de TIC e a segurança organizacional. Noutro exemplo, um objetivo de segurança relacionado com a não inclusão de vulnerabilidades exploráveis conhecidas provavelmente não será relevante para a certificação de processos de TIC.

(88)A fim de assegurar que os sistemas europeus de certificação da cibersegurança são aplicados de forma harmonizada em todos os Estados-Membros, é necessário prever regras sobre a sua manutenção. As atividades de manutenção são igualmente necessárias para assegurar que os sistemas e a respetiva documentação de apoio se mantêm atualizados, especialmente num domínio de cibersegurança em que o cenário de ameaças e as tecnologias evoluem constantemente. Por conseguinte, os sistemas de certificação devem ser concebidos e mantidos de forma a evitar o risco de ficarem rapidamente desatualizados. As atividades de manutenção devem normalmente envolver a elaboração e atualização de documentação de apoio, incluindo especificações técnicas e orientações, bem como a identificação de normas ou especificações técnicas relevantes para o sistema. A análise do funcionamento do sistema, das suas potenciais lacunas e das melhorias necessárias deve também fazer parte das atividades de manutenção. Além disso, as atividades de manutenção devem incluir a partilha de informações entre os Estados-Membros sobre a aplicação dos sistemas e os contributos para os mecanismos de análise pelos pares e de avaliação pelos pares.

(89)Devido à natureza técnica das atividades de manutenção, a ENISA deve gerir essas atividades, em cooperação com a Comissão e com o apoio do Grupo Europeu para a Certificação da Cibersegurança (GECC) e do seu subgrupo pertinente em matéria de manutenção. A criação do subgrupo do GECC para a manutenção permite recolher contribuições técnicas e informações dos Estados-Membros com vista a harmonizar as abordagens.

(90)As atividades de manutenção devem implicar interações com os grupos de partes interessadas, a fim de assegurar que os sistemas continuam a ser relevantes para o mercado e a estar atualizados, nomeadamente partilhando e recebendo contribuições técnicas. Esses grupos de partes interessadas podem ser organismos de normalização, organismos de avaliação da conformidade, fornecedores, utilizadores, autoridades públicas ou associações comerciais. Devido às especificidades de cada sistema, incluindo os respetivos fóruns técnicos e indústrias, as contribuições técnicas devem poder ser recolhidas de diferentes formas, consoante o sistema. Para alguns sistemas, a ENISA deve poder recorrer a um grupo de trabalho ad hoc que reúna peritos das administrações públicas dos Estados-Membros, de entidades da União e do setor privado. As contribuições técnicas podem também provir dos centros de partilha e análise de informações ou de organismos de normalização. A ENISA deve analisar qual o formato mais adequado para cada sistema e incluir uma estratégia de manutenção em cada projeto de sistema.

(91)Os sistemas europeus de certificação da cibersegurança devem basear-se em normas ou especificações técnicas, nomeadamente para a definição de requisitos de segurança e metodologias de avaliação. Deve ser dada à ENISA a possibilidade de elaborar especificações técnicas para apoiar a preparação e a manutenção dos sistemas, em especial nos casos em que os produtos dos organismos de normalização estejam em falta ou não sejam adequados para cumprir os objetivos do sistema. No âmbito do processo de elaboração, a ENISA deve ser apoiada pelo GECC e, se for caso disso, pelo grupo de trabalho ad hoc criado para o sistema em causa. A ENISA deve também procurar obter contributos de grupos de partes interessadas. Além disso, a ENISA deve ter em consideração a aceitação do mercado, bem como as normas europeias e internacionais. Tendo em conta a qualidade das especificações técnicas e os objetivos do sistema, a Comissão deve poder referenciar as especificações técnicas elaboradas pela ENISA num sistema europeu de certificação da cibersegurança.

(92)As especificações técnicas elaboradas pela ENISA e referenciadas num sistema devem ser disponibilizadas no sítio Web da ENISA sobre os sistemas europeus de certificação da cibersegurança, para estarem acessíveis a todas as partes interessadas. No entanto, em alguns casos específicos, a publicação no sítio Web pode representar um risco para a cibersegurança dos produtos, serviços e processos de TIC certificados e dos serviços de segurança geridos ou para a postura de cibersegurança das entidades e, por extensão, para a segurança pública. Por exemplo, as especificações técnicas podem conter informações precisas sobre novas vias de ataque que, ao serem disponibilizadas ao público, poderão ser utilizadas por intervenientes mal-intencionados. Este tipo de informações deve ser distribuído de forma restrita, com base no princípio da necessidade de conhecer, às partes interessadas, como as autoridades nacionais de certificação da cibersegurança, os organismos de avaliação da conformidade e os fornecedores que estão a ser certificados. Devido à sua distribuição restrita, essas especificações técnicas não devem ser referenciadas nos sistemas europeus de certificação da cibersegurança e, por conseguinte, devem ser de natureza não vinculativa.

(93)Os sistemas de certificação da postura de cibersegurança devem ser concebidos de forma modular, com vista a permitir a demonstração do cumprimento e a presunção de conformidade com os requisitos de cibersegurança pertinentes estabelecidos noutra legislação da União, sempre que essa legislação preveja tal possibilidade. Por conseguinte, a presunção de conformidade com os requisitos destes atos jurídicos só será efetivamente uma possível via para demonstrar a conformidade se os atos jurídicos em causa permitirem essa presunção de conformidade. Portanto, os pormenores de tal sistema, nomeadamente a finalidade, os objetivos ou os elementos, serão provavelmente diferentes dos de outros sistemas. Em especial, devem ser desenvolvidos sistemas de certificação da postura de cibersegurança das entidades que prevejam a avaliação da conformidade contínua de uma entidade com a legislação da União. Consequentemente, não é necessário que os sistemas de certificação da postura de cibersegurança abranjam todos os elementos dos sistemas europeus de certificação da cibersegurança, como os níveis de garantia, devendo esse facto refletir-se nas regras aplicáveis aos sistemas.

(94)Um quadro para a certificação da postura de cibersegurança no EECC cria condições para o desenvolvimento de um sistema que permita às entidades que prestam serviços em vários Estados-Membros demonstrar a conformidade com as obrigações de gestão dos riscos de cibersegurança estabelecidas na Diretiva 2022/2555 do Parlamento Europeu e do Conselho. Nessa base, com capacidade para demonstrar a conformidade, as entidades podem beneficiar de abordagens de supervisão mais coerentes e menos onerosas em todo o mercado interno. O desenvolvimento desse sistema de certificação deve ser facilitado pela adoção de atos de execução ao abrigo da Diretiva (UE) 2022/2555. Através de perfis de extensão, um sistema de certificação da postura de cibersegurança pode demonstrar a conformidade com os requisitos sempre que um Estado-Membro tenha adotado ou mantido disposições que garantam um nível mais elevado de cibersegurança, em conformidade com a Diretiva (UE) 2022/2555. Nesta base, uma entidade que preste serviços em vários Estados-Membros pode demonstrar a conformidade com todos os perfis de extensão pertinentes através de um certificado europeu único de cibersegurança.

(95)Os objetivos e requisitos de segurança estabelecidos nos sistemas europeus de certificação da cibersegurança no que diz respeito à segurança dos produtos devem ser coerentes com os requisitos essenciais de cibersegurança estabelecidos no anexo I do Regulamento (UE) 2024/2847. Esta coerência é necessária para assegurar que os fabricantes cujos produtos são abrangidos pelo âmbito de aplicação do Regulamento (UE) 2024/2847 não são confrontados com requisitos contraditórios ao certificarem os seus produtos ao abrigo de um sistema europeu de certificação da cibersegurança. Além disso, a coerência dos requisitos facilita a presunção de conformidade prevista no artigo 27.º do Regulamento (UE) 2024/2847, segundo o qual os fabricantes de produtos com elementos digitais que tenham sido certificados ao abrigo de um sistema europeu de certificação da cibersegurança podem beneficiar, em determinadas condições, da presunção de conformidade com os requisitos essenciais de cibersegurança estabelecidos no anexo I desse regulamento.

(96)No âmbito do sistema europeu de certificação da cibersegurança, deve ser possível especificar um perfil de extensão, estabelecendo requisitos adicionais ou específicos para os casos de utilização, incluindo capacidades adicionais, como características de produtos melhoradas, ofertas de serviços ou ativos especializados, processos otimizados e medidas de segurança avançadas. Uma vez que os perfis de extensão não correspondem a um nível de garantia específico, devem descrever pormenorizadamente a sua finalidade, incluindo as ameaças à segurança a que dão resposta. Os perfis de extensão destinam-se, em especial, a demonstrar a conformidade com normas e requisitos regulamentares específicos, incluindo, se for caso disso, requisitos relativos a medidas adicionais de gestão dos riscos de cibersegurança estabelecidas por um Estado-Membro de acordo com o princípio da harmonização mínima em conformidade com a Diretiva (UE) 2022/2555.

(97)Sem prejuízo do sistema geral de análise pelos pares a implementar por todas as autoridades nacionais de certificação da cibersegurança no âmbito do EECC, deve ser possível incluir nos sistemas europeus de certificação da cibersegurança um mecanismo de avaliação pelos pares para os organismos que emitem certificados europeus de cibersegurança para os produtos, serviços e processos de TIC, os serviços de segurança geridos e a postura de cibersegurança das entidades, em especial para os organismos que emitem certificados com um nível de garantia «elevado» ao abrigo desses sistemas. Esses organismos devem também incluir organismos de certificação das autoridades nacionais de certificação da cibersegurança que emitam certificados de nível de garantia «elevado». O GECC deve apoiar a aplicação desses mecanismos de avaliação pelos pares. As avaliações pelos pares devem, em especial, verificar se os organismos em causa exercem as suas funções de forma harmonizada, podendo prever mecanismos de recurso.

(98)Crises como as guerras, as catástrofes naturais e as pandemias podem ter um impacto negativo nas atividades de certificação. Em cenários de crise desta natureza, poderá não ser viável, por exemplo, garantir a segurança de um local devido à destruição de infraestruturas, a ciberataques, à indisponibilidade de pessoal e à inacessibilidade do local. Por conseguinte, um sistema europeu de certificação da cibersegurança deve especificar regras temporárias sobre a continuidade das atividades de certificação nesses cenários.

(99)A tradução dos projetos técnicos de sistemas em atos de execução exige conhecimentos técnicos e jurídicos complexos e pode criar encargos administrativos significativos. Além disso, determinados elementos dos sistemas europeus de certificação da cibersegurança, como a gestão de vulnerabilidades ou as condições em que as respetivas marcas ou rótulos podem ser utilizados, são transetoriais e podem beneficiar de disposições de referência harmonizadas. Com vista a assegurar a qualidade dos sistemas europeus de certificação da cibersegurança adotados e reduzir os encargos de conformidade para as empresas, a Comissão deve ficar habilitada a adotar disposições-tipo que abranjam determinados elementos dos sistemas europeus de certificação da cibersegurança.

(100)A fim de assegurar a coerência do enquadramento europeu para a certificação da cibersegurança, deve ser possível especificar, no âmbito de um sistema europeu de certificação da cibersegurança, níveis de garantia para os certificados europeus de cibersegurança e para as declarações UE de conformidade emitidos ao abrigo desse sistema. Um certificado europeu de cibersegurança deve referir-se a um dos três níveis de garantia, ou seja, «básico», «substancial» ou «elevado», ao passo que a declaração UE de conformidade deve referir-se apenas ao nível de garantia «básico». Os níveis de garantia devem prever o rigor e a exaustividade correspondentes da avaliação do produto, serviço ou processo de TIC, do serviço de segurança gerido ou da postura de cibersegurança de uma entidade e devem caracterizar-se por referência a especificações técnicas, normas e procedimentos conexos, incluindo controlos técnicos, cuja finalidade seja atenuar ou prevenir incidentes. Cada nível de garantia deve ser coerente entre os diferentes domínios setoriais nos quais é aplicada a certificação.

(101)A escolha da certificação adequada e dos requisitos de segurança conexos pelos utilizadores de certificados europeus de cibersegurança deve basear-se numa análise dos riscos associados à utilização dos produtos, serviços e processos de TIC e dos serviços de segurança geridos ou no contexto da certificação das entidades. Assim, o nível de garantia deve ser proporcional ao nível de risco associado à utilização prevista do produto, serviço ou processo de TIC e dos serviços de segurança geridos, ou ao ambiente operacional e à natureza da entidade cuja postura de cibersegurança é objeto de certificação.

(102)No caso do nível de garantia «básico», a avaliação deve ser orientada, pelo menos, pelas seguintes componentes de garantia: a avaliação deve incluir, no mínimo, uma análise da documentação técnica do produto, serviço ou processo de TIC, do serviço de segurança gerido ou da postura de cibersegurança de uma entidade pelo organismo de avaliação da conformidade. Se a certificação incluir processos de TIC, o processo utilizado para conceber, desenvolver e manter um produto ou serviço de TIC, um serviço de segurança gerido ou a postura de cibersegurança de uma entidade deve também ser objeto de análise técnica. Caso um sistema europeu de certificação da cibersegurança preveja uma autoavaliação da conformidade, deve ser suficiente que o fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC, o prestador de serviços de segurança geridos ou a entidade cuja postura de cibersegurança é objeto de certificação tenha realizado uma autoavaliação da conformidade do produto, serviço ou processo de TIC, do serviço de segurança gerido ou da postura de cibersegurança da entidade com o sistema de certificação.

(103)Para o nível de garantia «substancial», a avaliação deve, para além dos requisitos do nível de garantia «básico», ser orientada, pelo menos, pela verificação da conformidade das funcionalidades de segurança do produto, serviço ou processo de TIC, do serviço de segurança gerido ou da postura de cibersegurança de uma entidade com a sua documentação técnica.

(104)Para o nível de garantia «elevado», a avaliação deve, para além dos requisitos previstos para o nível de garantia «substancial», ser orientada, no mínimo, por um teste de eficiência que avalie a resistência das funcionalidades de segurança a ciberataques elaborados, levados a cabo por pessoas com competências e recursos significativos. As atividades de avaliação da conformidade devem ser realizadas no Espaço Económico Europeu para o nível de garantia «elevado» ou quando um sistema é concebido para demonstrar o cumprimento e conferir a presunção de conformidade com outra legislação da União. Este requisito justifica-se pelo facto de as atividades de avaliação realizadas fora do Espaço Económico Europeu darem origem a ameaças adicionais à cibersegurança, em especial à propriedade intelectual dos produtos, serviços e processos de TIC, dos serviços de segurança geridos ou das entidades em avaliação avaliados. Por exemplo, o código-fonte de um produto de TIC pode ser escrutinado ao atravessar a fronteira de um país terceiro, o que constitui um risco para a propriedade intelectual. Além disso, os laboratórios de testes estabelecidos em países terceiros não operam num ambiente abrangido pelas medidas de cibersegurança impostas pela legislação da UE, como a Diretiva (UE) 2022/2555 ou o Regulamento (UE) 2024/2847. Por exemplo, um laboratório de testes pode recorrer a um terceiro prestador de serviços de computação em nuvem que não cumpra os requisitos de cibersegurança da Diretiva (UE) 2022/2555. No entanto, um sistema de certificação deve ser autorizado a prever mecanismos de derrogação, por exemplo, relacionados com a certificação do local ou noutros casos em que as atividades de avaliação da conformidade não possam ser razoavelmente realizadas no Espaço Económico Europeu.

(105)Em alguns casos, poderão ser necessárias diferentes abordagens para cumprir os objetivos de segurança de um determinado nível de garantia, a fim de abordar as especificidades de um produto, serviço ou processo de TIC, de serviços de segurança geridos ou da postura de cibersegurança das entidades. A fim de permitir uma abordagem mais granular, deve ser possível, num sistema europeu de certificação da cibersegurança, especificar um ou vários níveis de avaliação correspondentes a um dos níveis de garantia. Tal permitirá o desenvolvimento de sistemas em que múltiplos níveis de avaliação concebidos para uma finalidade diferente corresponderão ao nível de segurança associado a um determinado nível de garantia.

(106)Os sistemas europeus de certificação da cibersegurança devem poder prever a realização de uma avaliação da conformidade sob a responsabilidade exclusiva do fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC, do prestador de serviços de segurança geridos ou da entidade cuja postura de cibersegurança é objeto de certificação («autoavaliação da conformidade»). Nesses casos, deve ser suficiente que o fabricante, o fornecedor ou prestador ou a entidade cuja postura de cibersegurança é objeto de certificação efetue autonomamente todas as verificações para assegurar que os produtos, serviços e processos de TIC, o serviço de segurança gerido ou a postura de cibersegurança de uma entidade estão em conformidade com o sistema europeu de certificação da cibersegurança. A autoavaliação da conformidade deve ser considerada adequada para produtos, serviços e processos de TIC, serviços de segurança geridos ou posturas de cibersegurança de entidades de baixa complexidade, que apresentem um baixo risco para o público e que tenham uma conceção ou mecanismos de produção simples.

(107)Se um sistema europeu de certificação da cibersegurança permitir tanto autoavaliações da conformidade como certificações de produtos, serviços e processos de TIC, serviços de segurança geridos ou posturas de cibersegurança das entidades, o sistema de certificação deve prever meios claros e compreensíveis para os consumidores ou outros utilizadores diferenciarem entre produtos, serviços e processos de TIC, serviços de segurança geridos ou posturas de cibersegurança das entidades autoavaliados ou certificados por terceiros.

(108)O fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC, o prestador de serviços de segurança geridos ou a entidade cuja postura de cibersegurança é objeto de certificação deve poder emitir e assinar a declaração UE de conformidade no âmbito do procedimento de avaliação da conformidade. Uma declaração UE de conformidade é um documento que atesta que um determinado produto, serviço ou processo de TIC, serviço de segurança gerido ou postura de cibersegurança de uma entidade cumpre os requisitos do sistema europeu de certificação da cibersegurança. Ao emitir e assinar a declaração UE de conformidade, o fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC, o prestador de serviços de segurança geridos ou a entidade cuja postura de cibersegurança é objeto de certificação assume a responsabilidade pela conformidade do produto, serviço ou processo de TIC, do serviço de segurança gerido ou da postura de cibersegurança da entidade com os requisitos de segurança do sistema europeu de certificação da cibersegurança. Deve ser apresentada à autoridade nacional de certificação da cibersegurança e à ENISA uma cópia da declaração UE de conformidade.

(109)Os fabricantes, prestadores ou fornecedores de produtos, serviços e processos de TIC, os prestadores de serviços de segurança geridos ou as entidades cuja postura de cibersegurança é objeto de certificação devem disponibilizar a declaração UE de conformidade, a documentação técnica e todas as outras informações pertinentes relativas à conformidade com um sistema europeu de certificação da cibersegurança à autoridade nacional de certificação da cibersegurança competente durante um período previsto no sistema europeu de certificação da cibersegurança pertinente e em conformidade com a legislação aplicável da União. A documentação técnica deve especificar os requisitos aplicáveis no âmbito do sistema, na medida em que sejam relevantes para a autoavaliação da conformidade. A documentação técnica deve ser compilada de modo a permitir avaliar se um produto, serviço ou processo de TIC, um serviço de segurança gerido ou a postura de cibersegurança da entidade cumpre os requisitos aplicáveis no âmbito do sistema.

(110)Os certificados europeus de cibersegurança e as declarações UE de conformidade devem ajudar os utilizadores a fazer escolhas informadas. Por conseguinte, as informações pertinentes devem ser publicadas num sítio Web mantido pela ENISA. Além disso, os produtos, serviços e processos de TIC que tenham sido certificados ou para os quais tenha sido emitida uma declaração UE de conformidade devem ser acompanhados de informações estruturadas adaptadas ao nível técnico esperado dos utilizadores a que se destinam. Todos os utilizadores devem ter acesso às informações relativas ao número de referência do sistema de certificação, à autoridade ou organismo emissor e, se for caso disso, ao nível de garantia, ou devem poder obter uma cópia do certificado europeu de cibersegurança. Essas informações devem ser regularmente atualizadas e disponibilizadas num sítio Web dedicado aos sistemas europeus de certificação da cibersegurança. Além disso, a fim de assegurar a acessibilidade contínua, os fabricantes, prestadores e fornecedores devem ser obrigados a notificar o organismo de certificação competente em caso de alteração da localização da informação em linha ou, se for caso disso, da localização física.

(111)A avaliação da conformidade é um procedimento destinado a avaliar se foram cumpridos os requisitos especificados relativos a um produto, serviço ou processo de TIC, serviço de segurança gerido ou entidade. Esse procedimento é realizado por um terceiro independente que não seja o fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC ou o prestador de serviços de segurança geridos objeto de certificação, nem a entidade cuja postura de cibersegurança está a ser avaliada. Deve ser emitido um certificado europeu de cibersegurança na sequência da avaliação bem-sucedida de um produto, serviço ou processo de TIC, de um serviço de segurança gerido ou da postura de cibersegurança da entidade. O certificado europeu de cibersegurança deve ser considerado a confirmação de que a avaliação foi efetuada corretamente.

(112)A separação estrita entre as atividades de supervisão e certificação é importante para evitar distorções e interferências que possam decorrer de situações em que a entidade que supervisiona o mercado também concorre no mesmo mercado. Por conseguinte, as atividades em que as autoridades nacionais de certificação da cibersegurança se limitam a desempenhar a sua função de supervisão, nomeadamente aprovando previamente a emissão de um certificado, não devem exigir uma maior separação interna de outras atividades de supervisão. Tal inclui, por exemplo, uma situação em que a autoridade nacional de certificação da cibersegurança recolhe ativamente informações ao longo do processo de certificação realizado por organismos privados de avaliação da conformidade e, em seguida, emite o seu parecer sobre a emissão do certificado por esses organismos («modelo de aprovação prévia»).

(113)Os sistemas europeus de certificação da cibersegurança devem especificar as condições em que os produtos, serviços e processos de TIC, os serviços de segurança geridos ou a postura de cibersegurança de uma entidade poderão ter de ser recertificados ou em que poderá ser necessário reduzir o âmbito de aplicação de um certificado europeu de cibersegurança específico. Além disso, os sistemas europeus de certificação da cibersegurança devem ter em conta eventuais efeitos adversos de quaisquer vulnerabilidades ou não conformidades subsequentemente detetadas relativamente ao produto, serviço ou processo de TIC, ao serviço de segurança gerido ou à postura de cibersegurança de uma entidade certificados no que diz respeito à conformidade com os requisitos de segurança desse certificado.

(114)A harmonização desempenha um papel crucial na garantia de uma cibersegurança sólida e na melhoria do acesso das empresas ao mercado. Em contrapartida, a fragmentação e a falta de reconhecimento mútuo dos certificados colocam obstáculos significativos ao fluxo ininterrupto de dados, o que aumenta os custos operacionais para a indústria da União. Para atenuar esses desafios, é essencial evitar a fragmentação tanto no âmbito dos controlos de segurança como nos métodos de avaliação da conformidade em toda a União.

(115)Os Estados-Membros devem informar a Comissão e o GECC com antecedência suficiente antes de adotarem novos sistemas nacionais de certificação da cibersegurança de produtos, serviços e processos de TIC, de serviços de segurança geridos ou da postura de cibersegurança das entidades, a fim de ajudar a Comissão e o GECC a avaliar o impacto do novo sistema nacional de certificação da cibersegurança no bom funcionamento do mercado interno, tendo em conta também qualquer interesse estratégico em solicitar um sistema europeu de certificação da cibersegurança.

(116)As referências da legislação nacional a normas nacionais que tenham deixado de ser aplicáveis em virtude da entrada em vigor de um sistema europeu de certificação da cibersegurança podem constituir uma fonte de confusão. Por conseguinte, se for caso disso, os Estados-Membros devem refletir na sua legislação nacional a adoção de um sistema europeu de certificação da cibersegurança.

(117)A fim de facilitar o crescimento de um mercado interno fiável, criando simultaneamente parcerias com países terceiros, o processo de certificação estabelecido no âmbito do EECC deve ser aplicado de forma a facilitar o reconhecimento internacional, o reconhecimento mútuo e o alinhamento com as normas internacionais.

(118)Com vista a facilitar ainda mais o comércio, e reconhecendo que as cadeias de abastecimento de TIC são internacionais, a União pode celebrar acordos de reconhecimento mútuo relativos aos certificados europeus de cibersegurança, nos termos do artigo 218.º do TFUE. A Comissão deve ficar habilitada a adotar atos de execução para reconhecer unilateralmente a equivalência dos certificados de países terceiros com os certificados europeus de cibersegurança. Deve ser possível prever condições específicas para esse reconhecimento dos certificados de países terceiros.

(119)A fim de assegurar uma aplicação equivalente do enquadramento em toda a União, facilitar o reconhecimento mútuo e promover a aceitação global dos certificados europeus de cibersegurança e das declarações UE de conformidade, é necessário pôr em prática um sistema de análise pelos pares entre as autoridades nacionais de certificação da cibersegurança. A análise pelos pares deve abranger os procedimentos de supervisão da conformidade dos produtos, serviços e processos de TIC, dos serviços de segurança geridos e da postura de cibersegurança das entidades com os certificados europeus de cibersegurança, os procedimentos de monitorização das obrigações dos fabricantes, prestadores ou fornecedores de produtos, serviços e processos de TIC, dos prestadores de serviços de segurança geridos e das entidades certificadas que efetuam a autoavaliação da conformidade, e os procedimentos de monitorização dos organismos de avaliação da conformidade, bem como a adequação dos conhecimentos especializados do pessoal dos organismos que emitem certificados com nível de garantia «elevado». A ENISA deve participar nas análises pelos pares na qualidade de observadora e apoiar a organização do mecanismo de análise pelos pares e das análises pelos pares, nomeadamente através da elaboração de documentos de orientação e modelos pertinentes, em cooperação com a Comissão e o GECC. A ENISA deve também disponibilizar ao público, no seu sítio Web sobre sistemas europeus de certificação da cibersegurança, as informações sobre o calendário das análises pelos pares e a lista das autoridades nacionais de certificação da cibersegurança analisadas pelos pares que devem cumprir esse calendário. O Regulamento de Execução (UE) 2025/2540 da Comissão 60 , adotado ao abrigo do Regulamento (UE) 2019/881, estabelece o plano para as análises pelos pares que está a ser utilizado pelos sistemas europeus de certificação da cibersegurança adotados. É necessário assegurar a continuação das análises pelos pares. No entanto, a Comissão deve poder, por meio de atos de execução, se necessário, estabelecer um novo plano para as análises pelos pares de, pelo menos, cinco anos, bem como estabelecer critérios e metodologias para o funcionamento do sistema de análise pelos pares.

(120) Uma vez adotado um sistema europeu de certificação da cibersegurança, os fabricantes, prestadores ou fornecedores de produtos, serviços e processos de TIC, os prestadores de serviços de segurança geridos ou as entidades cuja postura de cibersegurança é objeto de certificação devem poder apresentar pedidos de certificação dos seus produtos, serviços e processos de TIC, serviços de segurança geridos ou postura de cibersegurança ao organismo de avaliação da conformidade da sua escolha em qualquer ponto da União. Os organismos de avaliação da conformidade devem ser acreditados por um organismo nacional de acreditação se cumprirem os requisitos estabelecidos no presente regulamento e, se for caso disso, os requisitos especificados pela Comissão nos termos do presente regulamento. O sistema estabelecido no presente regulamento deve ser complementado pelo sistema de acreditação previsto no Regulamento (CE) n.º 765/2008 do Parlamento Europeu e do Conselho 61 .

(121) Os organismos de avaliação da conformidade que tenham sido acreditados ou notificados ao abrigo da legislação da União em vigor, nomeadamente o Regulamento (UE) 2024/2847 ou o Regulamento de Execução (UE) 2024/482, poderão possuir competências relevantes para sistemas europeus de certificação da cibersegurança recentemente adotados. A fim de evitar encargos financeiros e administrativos desnecessários, é conveniente criar sinergias para a acreditação dos organismos de avaliação da conformidade ao abrigo do presente regulamento. Por este motivo, os requisitos de acreditação dos sistemas devem ser estabelecidos de modo a assegurar o maior alinhamento possível com os requisitos relativos aos organismos notificados estabelecidos no Regulamento (UE) 2024/2847 e com os requisitos de acreditação previstos no Regulamento de Execução (UE) 2024/482. Além disso, os organismos de avaliação da conformidade sujeitos a um processo de acreditação ao abrigo do presente regulamento devem poder basear-se em resultados anteriores da avaliação das suas competências ao abrigo de outra legislação da União, sempre que se verifique uma sobreposição dos requisitos de acreditação.

(122)A fim de facilitar a harmonização dos serviços de avaliação da conformidade em toda a União, deve ser possível estabelecer num sistema europeu de certificação da cibersegurança requisitos adicionais ou específicos para os organismos de avaliação da conformidade. No contexto da certificação, entende-se por autorização uma decisão de uma autoridade nacional de certificação da cibersegurança de que um organismo de avaliação da conformidade cumpre os requisitos específicos ou adicionais estabelecidos num sistema europeu de certificação da cibersegurança para realizar uma atividade específica de avaliação da conformidade.

(123)Caso um sistema europeu de certificação da cibersegurança estabeleça requisitos adicionais ou específicos nos termos do presente regulamento, os organismos de avaliação da conformidade devem ser autorizados pelas autoridades nacionais de certificação da cibersegurança a desempenhar funções no âmbito desse sistema. Para evitar a autorização múltipla, incentivar a aceitação e o reconhecimento das decisões de autorização e controlar eficazmente os organismos de avaliação da conformidade autorizados, estes organismos devem solicitar a autorização junto da autoridade nacional de certificação da cibersegurança do Estado-Membro em que se encontram estabelecidos. Não obstante, é necessário garantir que um organismo de avaliação da conformidade possa solicitar a autorização noutro Estado-Membro sempre que no seu Estado-Membro não exista uma autoridade nacional de certificação da cibersegurança ou esta não seja competente para prestar os serviços de autorização requeridos. Nesses casos, deve assegurar-se a cooperação e a troca de informação adequadas entre autoridades nacionais de certificação da cibersegurança. A Comissão deve ficar habilitada a adotar atos de execução que estabeleçam os procedimentos de autorização, incluindo para a cooperação transfronteiriça no que diz respeito à autorização.

(124)A fim de salvaguardar o nível de proteção exigido a um produto, serviço ou processo de TIC, a um serviço de segurança gerido ou à postura de cibersegurança de uma entidade, é essencial que os subcontratantes e filiais que desempenham tarefas de avaliação da conformidade cumpram, em relação às mesmas, os mesmos requisitos que os organismos de avaliação da conformidade notificados. Por conseguinte, os organismos de avaliação da conformidade devem ter a competência adequada e poder verificar se os seus subcontratantes cumprem os requisitos aplicáveis.

(125)A autoridade notificadora deve avaliar adequadamente em que medida o organismo de avaliação da conformidade tenciona recorrer a subcontratantes estabelecidos fora da União ou ter acesso a pessoal ou instalações fora do Estado-Membro de notificação. A autoridade pública de um Estado-Membro deve ter a possibilidade de decidir que não pode assumir a responsabilidade geral por esse acordo enquanto autoridade nacional de certificação da cibersegurança, bem como de retirar a notificação ou limitar o seu âmbito.

(126)A fim de avaliar os requisitos de cibersegurança aplicáveis aos produtos, serviços e processos de TIC, aos serviços de segurança geridos ou à postura de cibersegurança das entidades, as autoridades nacionais de certificação da cibersegurança devem notificar os organismos de avaliação da conformidade acreditados à Comissão e aos outros Estados-Membros. A notificação dos organismos de avaliação da conformidade acreditados e, se for caso disso, autorizados indica que é possível confiar nas atividades de avaliação e certificação desses organismos em conformidade com o presente regulamento e com o sistema europeu de certificação da cibersegurança, o que contribui para a reputação global da certificação europeia da cibersegurança. Por conseguinte, é essencial assegurar que os organismos de avaliação da conformidade que foram notificados cumpram os seus requisitos e as suas obrigações ao longo do tempo e que a lista dos organismos de avaliação da conformidade notificados seja mantida atualizada.

(127)O Regulamento de Execução (UE) 2024/3143 da Comissão 62 , adotado ao abrigo do Regulamento (UE) 2019/881, estabelece as circunstâncias, os formatos e os procedimentos das notificações dos organismos de avaliação da conformidade que estão a ser utilizados pelos sistemas europeus de certificação da cibersegurança adotados. Por conseguinte, é necessário assegurar a continuação das atividades de notificação. No entanto, a Comissão deve ficar habilitada a adotar atos de execução para ajustar essas circunstâncias, procedimentos e formatos de notificação dos organismos de avaliação da conformidade. Neste contexto, a Comissão deve tirar partido da experiência adquirida no contexto dos sistemas existentes e procurar o alinhamento com outra legislação e outros quadros pertinentes da União, em especial o Regulamento (UE) 2024/2847 e o novo quadro legislativo, com vista a reduzir os encargos de conformidade para os organismos de avaliação da conformidade que operam ao abrigo de diferentes instrumentos jurídicos.

(128) As cadeias de abastecimento de tecnologias da informação e comunicação (TIC) são compostas por um conjunto de recursos e processos interligados entre os operadores económicos. As cadeias de abastecimento de TIC desempenham um papel crucial na manutenção da estabilidade social e na promoção da atividade económica em toda a União. Desempenham igualmente um papel fundamental na viabilização da infraestrutura digital na União e apoiam o funcionamento da sociedade e da economia da União. As cadeias de abastecimento de TIC permitem o fabrico, a produção, a distribuição e a manutenção de serviços, sistemas e produtos de TIC que estão na base de vários setores críticos e altamente críticos, incluindo os cuidados de saúde, os serviços financeiros, os transportes, as telecomunicações, a energia e as alfândegas. A segurança das cadeias de abastecimento de TIC desses setores críticos pode também ter impacto na segurança das infraestruturas militares e de defesa, sempre que estas dependam de setores críticos civis e das suas cadeias de abastecimento de TIC. No entanto, de acordo com o relatório de 2025 sobre o estado das ameaças à cibersegurança publicado pela ENISA (ENISA Threat Landscape 2025) 63 , os ataques contra as cadeias de abastecimento estão entre as cinco principais ameaças à cibersegurança, o que demonstra que os atacantes exploram ativamente vias indiretas através de prestadores terceiros e dependências. A perturbação das cadeias de abastecimento de TIC pode impedir o exercício de atividades económicas no mercado interno, gerar perdas financeiras, minar a confiança dos utilizadores e causar graves prejuízos à economia e à sociedade da União. Por conseguinte, a preparação e a eficácia no domínio da cibersegurança nunca foram tão importantes para o bom funcionamento do mercado interno como agora.

(129)Para além dos riscos técnicos abordados pela Diretiva (UE) 2022/55 do Parlamento Europeu e do Conselho 64 , pelo Regulamento (UE) 2024/2847 do Parlamento Europeu e do Conselho 65 e pelo enquadramento europeu para a certificação da cibersegurança estabelecido pelo Regulamento (UE) 2019/881, as cadeias de abastecimento de TIC estão cada vez mais expostas a riscos de natureza não técnica. Esses riscos não técnicos podem estar associados, mas não limitados, à jurisdição a que está sujeito um fornecedor de determinados componentes, em especial quando um país terceiro ou autores de ameaças controlados a partir desse país participam em espionagem económica, realizam ciberatividades ou campanhas maliciosas contra a União ou os seus Estados-Membros, ou se envolvem em comportamento estatal irresponsável no ciberespaço. Os riscos não técnicos podem também estar associados a vulnerabilidades ocultas ou funções-alçapão, ou a potenciais perturbações sistémicas do aprovisionamento, em particular no caso de vinculação tecnológica ou de dependência dos fornecedores. Por exemplo, os interruptores de paragem de emergência podem ser utilizados para afetar negativamente a disponibilidade de redes de comunicação e de redes elétricas.

(130)A Comunicação Conjunta intitulada «Reforçar a segurança económica da UE» 66 sublinhou o risco de os países terceiros obterem acesso a informações e dados sensíveis da União ou dos seus Estados-Membros em resultado quer de espionagem industrial, quer do fornecimento de hardware ou software utilizado em determinados produtos, quer devido à aquisição de propriedade e controlo de determinadas empresas que possuem informações e dados sensíveis. Sublinhou igualmente o risco de as infraestruturas críticas da União — incluindo as infraestruturas críticas de transportes, os sistemas espaciais e as infraestruturas de energia e comunicações, em especial as que são identificadas como estratégicas para a mobilidade militar — serem perturbadas por intervenientes estrangeiros, o que pode ter efeitos em cascata na economia europeia. As perturbações podem ser causadas por ataques físicos, cibernéticos ou híbridos, incluindo a sabotagem de instalações na sua totalidade ou de partes ou subcomponentes das mesmas. Podem igualmente estar ligadas às cadeias de abastecimento de TIC, que fornecem componentes ou serviços críticos a infraestruturas críticas.

(131)Em resposta aos desafios para a segurança da cadeia de abastecimento de TIC colocados por riscos não técnicos, alguns Estados-Membros tomaram medidas regulamentares, incluindo a designação de fornecedores de alto risco, e é provável que outros o façam. Tal poderá conduzir a uma maior divergência nas abordagens nacionais e, em última análise, a uma maior vulnerabilidade de alguns Estados-Membros, com potenciais efeitos indiretos em toda a União. Por conseguinte, é necessário harmonizar determinados aspetos relacionados com os riscos de cibersegurança não técnicos para a cadeia de abastecimento de TIC. Essa intervenção a nível da União também se justifica pela necessidade de assegurar um elevado nível de cibersegurança em toda a União. As disposições relativas à segurança da cadeia de abastecimento de TIC visam eliminar essas grandes divergências entre os Estados-Membros, nomeadamente estabelecendo regras para os mecanismos de avaliação dos riscos de segurança da cadeia de abastecimento de TIC a nível da União e normas mínimas de proteção contra os riscos da cadeia de abastecimento de TIC.

(132)A fim de reduzir as dependências e vulnerabilidades críticas, é necessário estabelecer um enquadramento para uma cadeia de abastecimento de TIC fiável que aborde os riscos não técnicos relacionados com os fornecedores de alto risco e as dependências em setores de importância crítica e noutros setores críticos. Por conseguinte, há que estabelecer um enquadramento objetivo, baseado no risco, preparado para o futuro e tecnologicamente neutro a nível da União, identificar os principais ativos de TIC e prever um conjunto de medidas de atenuação proporcionadas para fazer face aos riscos.

(133)É possível observar riscos de cibersegurança, nomeadamente riscos relacionados com a dependência de fornecedores de alto risco, em várias cadeias de abastecimento de TIC críticas na União, incluindo equipamentos de deteção, veículos conectados e automatizados, sistemas de fornecimento e armazenamento de eletricidade, sistemas de abastecimento de água, sistemas de drones e antidrones, serviços de computação em nuvem, dispositivos médicos, equipamentos de vigilância, serviços espaciais e semicondutores. Por exemplo, as vulnerabilidades dos equipamentos de deteção de segurança podem dar acesso aos sistemas de TIC, permitindo que intervenientes mal-intencionados manipulem escâneres de modo a poderem introduzir artigos proibidos através do ponto de controlo de segurança sem serem detetados, com consequências possivelmente catastróficas.

(134)O presente regulamento não obsta a que os Estados-Membros adotem ou mantenham disposições que garantam um nível mais elevado de cibersegurança no que respeita à segurança da cadeia de abastecimento de TIC, desde que tais disposições sejam compatíveis com as obrigações dos Estados‑Membros decorrentes do direito da União. Essas disposições podem incluir, por exemplo, a imposição de medidas de atenuação mais rigorosas no que diz respeito aos principais ativos de TIC.

(135)A fim de identificar potenciais riscos de cibersegurança que afetem determinadas cadeias de abastecimento de TIC, o grupo de cooperação criado pelo artigo 14.º da Diretiva (UE) 2022/2555 («Grupo de Cooperação SRI») pode avaliar cadeias de abastecimento de TIC específicas através de avaliações dos riscos de segurança coordenadas a nível da União. As avaliações dos riscos de segurança coordenadas a nível da União devem analisar, nomeadamente, os principais autores de ameaças, as principais ameaças e as vulnerabilidades que afetam os principais ativos de TIC. As avaliações dos riscos de segurança coordenadas a nível da União devem elaborar uma lista de cenários de risco e uma lista de medidas para atenuar os riscos. As avaliações dos riscos de segurança coordenadas a nível da União devem ser concluídas no prazo de seis meses. Em casos de especial urgência, deve ser possível encurtar os prazos.

(136)Nos casos em que a Comissão tenha motivos suficientes para crer que existe uma ciberameaça significativa para a segurança da União relacionada com cadeias de abastecimento de TIC críticas e possa ser necessária uma ação para preservar o bom funcionamento do mercado interno, deve consultar sem demora os Estados-Membros sobre a necessidade de medidas de atenuação e realizar uma avaliação dos riscos de segurança, tendo em conta a consulta dos Estados-Membros.

(137)Se, na sequência de uma avaliação dos riscos de segurança realizada pelo Grupo de Cooperação SRI ou pela Comissão, se afigurar que um determinado país terceiro apresenta riscos de cibersegurança não técnicos graves e estruturais para as cadeias de abastecimento de TIC, a Comissão deve verificar a ameaça que esse país representa. A Comissão pode dar início a essa verificação também com base noutras fontes, como uma declaração pública em nome da União ou de um Estado-Membro em resposta a casos de comportamento estatal irresponsável no ciberespaço que tenham conduzido a um incidente de cibersegurança. A fim de avaliar o nível de ameaça, a Comissão deve ter em conta elementos como a existência de leis ou práticas no país terceiro que exijam que as entidades sob a sua jurisdição comuniquem informações sobre vulnerabilidades de software ou hardware às autoridades desse país terceiro antes que haja conhecimento de casos de exploração dessas vulnerabilidades. Outro elemento pertinente é a ausência de recursos judiciais efetivos e de mecanismos de controlo independentes e democráticos capazes de sanar as preocupações de segurança, nomeadamente no que diz respeito às práticas existentes, às informações fundamentadas sobre incidentes de autores de ameaças que operam fora do território desse país que tenham realizado ciberatividades ou campanhas maliciosas, bem como à falta de capacidade ou vontade do país terceiro de cooperar com a Comissão ou os Estados-Membros para fazer face ao risco decorrente da operação desses autores de ameaças. A Comissão deve também ter em conta as informações resultantes de avaliações dos riscos de segurança coordenadas a nível da União ou de relatórios publicados pelos Estados-Membros ou por organizações internacionais como a OTAN.

(138)Para efeitos do presente regulamento, entende-se por «controlo» a capacidade de exercer uma influência decisiva sobre uma entidade jurídica, direta ou indiretamente, através de uma ou várias entidades jurídicas intermediárias. O controlo de entidades de um país terceiro que suscita preocupações em matéria de cibersegurança deve também ser estabelecido em situações em que essa entidade disponha de estruturas de gestão executiva nesse país.

(139)A União não deve financiar projetos que envolvam fornecedores de alto risco, uma vez que tal comprometeria a segurança da União e prejudicaria os seus interesses e credibilidade. Por conseguinte, os fornecedores de alto risco identificados ao abrigo do presente regulamento não devem ter o direito de participar em quaisquer programas e instrumentos de financiamento da União executados em regime de gestão direta e indireta, em conformidade com o artigo 136.º do Regulamento (UE, Euratom) 2024/2509 e com as regras setoriais específicas da União, nem em quaisquer atividades de financiamento da União executadas em regime de gestão partilhada, nomeadamente no âmbito do próximo quadro financeiro plurianual, em relação ao fornecimento de componentes de TIC ou componentes que incluam componentes de TIC a utilizar nos principais ativos de TIC identificados. Os parceiros de execução da União, como o Grupo do Banco Europeu de Investimento e os bancos e instituições de fomento nacionais, devem abster-se de apoiar projetos que contrariem o princípio acima referido, incluindo em operações por sua conta e risco.

(140)A contratação pública pode ser um instrumento forte para as autoridades públicas contribuírem para uma economia mais inovadora, sustentável e competitiva e para a utilização estratégica dos fundos públicos. Os contratos públicos relacionados com as cadeias de abastecimento de TIC não devem ser utilizados em benefício de fornecedores que ameacem a segurança das infraestruturas críticas da União. Por conseguinte, os fornecedores de alto risco identificados nos termos do presente regulamento não devem ter o direito de participar em contratos públicos relativos ao fornecimento de componentes de TIC ou componentes que incluam componentes de TIC a utilizar nos principais ativos de TIC identificados.

(141)A certificação da cibersegurança contribui para o reforço da segurança global e para a luta contra as ciberameaças, sendo um referencial de confiança. Esta confiança pode ser minada se os atestados de competências de cibersegurança forem emitidos por fornecedores de alto risco, pelo que estes não devem ter o direito de solicitar o estatuto de prestadores autorizados de quaisquer atestados individuais de competências de cibersegurança da União. Na mesma ordem de ideias, é igualmente adequado impedir os fornecedores de alto risco de obter a certificação da cibersegurança no âmbito do EECC e de se tornarem organismos de avaliação da conformidade acreditados para emitir esses certificados.

(142)As normas de cibersegurança desempenham um papel fundamental na segurança e na fiabilidade das infraestruturas digitais. É necessário tomar medidas adequadas para assegurar a normalização no domínio da cibersegurança. A participação de entidades estabelecidas ou controladas a partir de países que tenham sido identificados como suscitando preocupações em matéria de cibersegurança para a cadeia de abastecimento de TIC, em conformidade com o presente regulamento, pode conduzir a uma influência nas normas de cibersegurança suscetível de comprometer a sua segurança e fiabilidade.

(143)Com base nos resultados das avaliações dos riscos de segurança, a Comissão pode identificar, por meio de atos de execução, quais os ativos de TIC que devem ser considerados como principais ativos de TIC devido à sua importância crítica e que devem ser sujeitos a medidas de atenuação específicas. A mera possibilidade de conectividade do ativo deve ser suficiente para ter em conta o seu risco de cibersegurança.

(144)Sempre que necessário para assegurar um elevado nível de cibersegurança, ciber-resiliência e confiança na União, as medidas de atenuação podem ser aplicadas às entidades em relação à sua cadeia de abastecimento de TIC e, em especial, aos principais ativos de TIC identificados. As medidas de atenuação propostas devem basear-se na avaliação dos potenciais riscos e dependências, incluindo o possível impacto económico e social dessas medidas nas entidades em causa que operam em setores altamente críticos ou noutros setores críticos e, em especial, nas PME. A avaliação do impacto económico deve abranger os custos da aplicação das medidas de atenuação, incluindo a duração do ciclo de vida dos componentes relevantes nos principais ativos de TIC, caso as medidas incluam a substituição de fornecedores. A disponibilidade de fornecedores alternativos no mercado deve também ser avaliada, a fim de assegurar a continuidade da prestação dos serviços.

(145)Uma vez que as medidas de atenuação poderão ter um efeito restritivo no comércio internacional de bens e serviços, devem ser proporcionadas e orientadas para a prossecução do objetivo legítimo de garantir a cibersegurança das cadeias de abastecimento de TIC em relação às entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555, em consonância com as obrigações internacionais da União.

(146)A utilização, instalação ou qualquer outro tipo de integração de componentes disponibilizados por fornecedores de alto risco para funcionamento dos principais ativos de TIC pode estar relacionada com riscos de transferências subsequentes de dados para um país terceiro. Em especial, poderão existir riscos decorrentes de um nível insuficiente de proteção dos dados no país terceiro, nomeadamente para a proteção dos direitos fundamentais, da propriedade intelectual ou dos segredos comerciais, ou riscos de acesso e exploração ilegais desses dados para eventuais perturbações futuras da cadeia de abastecimento e para fins de espionagem. Para atenuar esses riscos, podem ser aplicadas restrições à transferência de tipos específicos de dados para países terceiros.

(147)A falta de diversidade dos equipamentos utilizados pelas entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555 gera vulnerabilidades importantes. O recurso a um único fornecedor cria uma dependência de equipamentos ou soluções específicos. A falta de diversidade de fornecedores aumenta a vulnerabilidade global das infraestruturas críticas, em especial se as entidades obtiverem os componentes de TIC que utilizam em ativos de TIC sensíveis junto de um fornecedor que apresente um elevado grau de risco. A dependência também afeta significativamente a resiliência a nível nacional e da União e gera pontos únicos de falha. Para atenuar esses riscos, podem ser aplicados requisitos que imponham a existência de mais do que um fornecedor para os principais ativos de TIC em causa.

(148)As entidades da União podem também utilizar principais ativos na aceção do presente regulamento. Por conseguinte, as regras estabelecidas no presente regulamento relativas à segurança da cadeia de abastecimento de TIC devem também ser-lhes aplicáveis. A fim de assegurar que a especificidade das entidades da União é tida em conta, é importante considerar os riscos não técnicos decorrentes das cadeias de abastecimento de TIC no que diz respeito às entidades da União aquando da realização de avaliações dos riscos de segurança coordenadas a nível da União.

(149)Em circunstâncias excecionais que justifiquem uma intervenção imediata para preservar o bom funcionamento do mercado interno, e caso existam provas claras que deem à Comissão motivos suficientes para considerar que a utilização de componentes de TIC ou componentes que incluem componentes de TIC de um fornecedor específico representa uma ameaça significativa à cibersegurança das atividades económicas ou sociais de, pelo menos, três Estados-Membros, a Comissão pode propor, em estreita consulta com os Estados-Membros, proibir a utilização, instalação ou integração desses componentes desse fornecedor por parte do tipo de entidades referidas nos anexos I e II da Diretiva (UE) 2022/2555.

(150)A fim de assegurar a proporcionalidade das medidas aplicadas, as entidades estabelecidas num país terceiro que suscite preocupações em matéria de cibersegurança designado em conformidade com o presente regulamento, ou controladas por esse país terceiro, por uma entidade estabelecida nesse país terceiro, ou por um nacional desse país terceiro, podem solicitar uma isenção da proibição de fornecer às entidades de um dos tipos referidos nos anexos I e II da Diretiva (UE) 2022/2555 componentes de TIC ou componentes que incluam componentes de TIC para a sua utilização, instalação ou integração nos principais ativos de TIC dessa entidade e de participar em procedimentos de contratação pública organizados em conformidade com a legislação que transpõe as Diretivas 2014/24/UE 67 e 2014/25/UE 68  do Parlamento Europeu e do Conselho relativos ao fornecimento de componentes de TIC ou componentes que incluam componentes de TIC a utilizar nos principais ativos de TIC identificados.  Para o efeito, a entidade deve demonstrar, com provas claras, que aplica medidas eficazes para fazer face aos riscos não técnicos e assegurar a ausência de eventuais interferências indevidas por parte de um país terceiro que suscite preocupações em matéria de cibersegurança.

(151)As redes de comunicações eletrónicas constituem a espinha dorsal de uma vasta gama de serviços essenciais ao funcionamento do mercado interno e à manutenção e funcionamento de funções vitais da sociedade e da economia — energia, transportes, banca, saúde e defesa, bem como sistemas de controlo industriais. Por conseguinte, essas redes altamente críticas são alvos atrativos para todos os tipos de ciberataques e ameaças híbridas, para perturbações, espionagem, recolha de informações, bem como para a fraude e a criminalidade financeira. A avaliação dos riscos para a cibersegurança e a resiliência das infraestruturas e redes de comunicações da Europa, realizada pelo Grupo de Cooperação SRI, identificou uma série de riscos e ameaças de importância estratégica do ponto de vista da União, tais como ataques de eliminação destrutiva (wiperware) ou de software de sequestro, ataques à cadeia de abastecimento, intrusões na rede e ataques distribuídos de negação de serviço (DDoS).

(152)Tendo em conta a interligação e a interdependência entre as diferentes redes nacionais de comunicações eletrónicas, é necessário que todos os Estados-Membros tomem as medidas adequadas para garantir a segurança das suas redes. Pelas mesmas razões, é necessário dispor de um quadro jurídico eficaz a nível da União que aborde também os riscos não técnicos e garanta a segurança das redes de comunicações eletrónicas interligadas de uma forma abrangente.

(153)Em especial, a cibersegurança das redes 5G é uma questão de importância estratégica para a União, uma vez que essas redes constituem a espinha dorsal de uma vasta gama de serviços essenciais para o funcionamento do mercado interno e são também fundamentais para garantir a nossa prontidão no domínio da defesa, nomeadamente no que diz respeito à mobilidade militar. As redes 5G são capazes de proporcionar uma conectividade ultrarrápida fiável, por exemplo para a partilha de dados e informações, a deteção de drones e a coordenação em tempo real no campo de batalha.

(154)A implantação da tecnologia 5G consiste principalmente em redes não autónomas, em que apenas a rede de acesso rádio é atualizada para a tecnologia 5G, enquanto o resto da rede continua a utilizar uma rede principal 4G existente. As redes 5G não autónomas baseiam-se principalmente em infraestruturas já implantadas, o que significa que a segurança das futuras redes 5G é, em certa medida, determinada pelo equipamento de rede já existente e pela configuração desse equipamento. Por conseguinte, as medidas de atenuação devem também abranger as redes 4G nas quais assenta a implantação da tecnologia 5G.

(155)A fim de dar resposta a importantes desafios de segurança nas redes 5G, os Estados-Membros realizaram, no âmbito do Grupo de Cooperação SRI, juntamente com a Comissão e a ENISA, uma avaliação dos riscos de segurança das redes 5G coordenada a nível da União, em que analisaram os riscos técnicos e não técnicos. Esta avaliação identificou vários riscos, incluindo potenciais interferências de países terceiros ou de intervenientes de países terceiros através da cadeia de abastecimento, e classificou os ativos de acordo com a sua criticidade. Esta avaliação deve ser utilizada como base para a definição dos principais ativos de TIC para as redes de comunicações 5G.

(156)A fim de atenuar os riscos identificados na avaliação dos riscos de segurança das redes 5G coordenada a nível da União, o Grupo de Cooperação SRI adotou o conjunto de instrumentos da UE para a cibersegurança das redes 5G, que estabelece medidas estratégicas e técnicas. Embora a maioria dos Estados-Membros disponha de quadros jurídicos que permitem restrições ou exclusões de fornecedores de alto risco, tal como recomendado no conjunto de instrumentos para as redes 5G, a aplicação desses quadros não tem sido uniforme. Por conseguinte, um número importante de sítios 5G em toda a União é abastecido por fornecedores de alto risco, tal como referido na Comunicação da Comissão sobre a aplicação do conjunto de instrumentos para as redes 5G 69 . Esta situação cria vulnerabilidades, incluindo a dependência estratégica e a potencial exposição a interferências de países terceiros, que podem também afetar as futuras infraestruturas 6G baseadas nas redes 5G existentes. A aplicação fragmentada das medidas recomendadas no conjunto de instrumentos para as redes 5G, em especial no que diz respeito ao âmbito das restrições impostas aos fornecedores de alto risco, conduziu a divergências entre os Estados-Membros, o que resulta em condições de concorrência desiguais que dividem o mercado interno e enfraquecem a segurança global das redes. O Tribunal de Contas Europeu salientou estas disparidades, alertando para o facto de a ausência de uma abordagem coordenada comprometer o funcionamento do mercado interno. A dependência persistente de fornecedores de alto risco cria sérios riscos para a segurança das infraestruturas críticas na União e pode minar a confiança no mercado interno, uma vez que níveis de segurança díspares podem desencorajar os consumidores e as empresas de utilizarem produtos e serviços baseados na tecnologia 5G em toda a União. Por conseguinte, é essencial dispor de medidas a nível da União para assegurar uma abordagem harmonizada da segurança das redes 5G.

(157)A fim de estabelecer um período de eliminação progressiva dos principais ativos de TIC das redes de comunicações eletrónicas fixas e por satélite, a Comissão deve proceder a uma avaliação que tenha devidamente em conta o grau dos riscos de segurança relacionados com cada principal ativo de TIC específico das redes fixas e por satélite, a vida útil dos componentes relevantes e o impacto económico que a remoção desses componentes terá nos operadores em causa. Com base nos resultados dessa avaliação, a Comissão pode ponderar o estabelecimento de diferentes períodos de eliminação progressiva para os principais ativos de TIC em causa e os seus elementos integrantes.

(158)Para efeitos de supervisão e execução eficazes das obrigações relativas aos fornecedores de redes de comunicações eletrónicas móveis, fixas e por satélite, as autoridades competentes ao abrigo do presente regulamento devem assegurar uma estreita cooperação com as autoridades competentes ao abrigo da [proposta de ato legislativo relativo às redes digitais]. A pedido de uma autoridade competente designada nos termos do presente regulamento, as autoridades reguladoras nacionais ou outras autoridades competentes em matéria de espetro radioelétrico, se for caso disso, devem suprimir os direitos referidos nos artigos 9.º e 20.º da [proposta de ato legislativo relativo às redes digitais] se o fornecedor de redes públicas de comunicações eletrónicas não cumprir as obrigações previstas no presente regulamento, nomeadamente se o fornecedor não eliminar progressivamente os componentes de TIC ou componentes que incluam componentes de TIC de fornecedores de alto risco utilizados para funcionamento dos principais ativos de TIC dentro do prazo especificado em conformidade com o presente regulamento.

(159)Tendo em conta as diferenças nas estruturas de governação nacionais, os Estados-Membros devem designar ou criar uma ou mais autoridades competentes responsáveis pelas medidas de supervisão e execução previstas no presente regulamento.

(160)As autoridades competentes devem prestar apoio às entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555 no cumprimento das obrigações que lhes incumbem por força do presente regulamento. Para o efeito, a Comissão deve avaliar se os fornecedores suscetíveis de serem afetados por proibições específicas estão estabelecidos num país terceiro que suscita preocupações em matéria de cibersegurança ou são controlados por esse país terceiro, por uma entidade estabelecida nesse país terceiro ou por um nacional desse país terceiro. As autoridades competentes devem cooperar estreitamente com a Comissão e outras autoridades competentes no âmbito da rede criada ao abrigo do presente regulamento. Com base na avaliação efetuada pela Comissão, as autoridades competentes devem partilhar as informações pertinentes relativas aos fornecedores de alto risco com as entidades pertinentes do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555. Não se espera que as entidades verifiquem se um fornecedor está sob controlo estrangeiro, podendo as mesmas apoiar-se totalmente nas informações recebidas das autoridades competentes. Cabe às autoridades competentes assegurar que não sejam impostos encargos administrativos desnecessários a essas entidades.

(161)A fim de assegurar o cumprimento efetivo, o presente regulamento deve prever medidas de supervisão e execução através das quais as autoridades competentes possam supervisionar as entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555. Sempre que as autoridades competentes desempenhem as suas funções de supervisão e execução em relação a essas entidades, devem fazê-lo de uma forma que não exceda o necessário e seja proporcional aos riscos identificados.

(162)A fim de tornar a execução eficaz e coerente em toda a União, é necessário prever poderes de execução que as autoridades competentes possam exercer em caso de incumprimento das obrigações estabelecidas no presente regulamento. Ao exercer esses poderes de execução, as autoridades competentes devem ter devidamente em conta vários fatores, incluindo a natureza, a gravidade e a duração da infração, os danos materiais ou imateriais causados, se a infração foi de caráter intencional ou negligente, as medidas tomadas para prevenir ou atenuar os danos materiais ou imateriais, o grau de responsabilidade ou quaisquer infrações anteriores pertinentes, o grau de cooperação com a autoridade competente e qualquer outra circunstância agravante ou atenuante. As medidas de execução, incluindo sanções, devem ser proporcionadas e a sua imposição deve estar sujeita a garantias processuais adequadas em conformidade com os princípios gerais do direito da União e da Carta dos Direitos Fundamentais da União Europeia, nomeadamente o direito à ação e a um tribunal imparcial, a presunção de inocência e direitos de defesa.

(163)É importante prever igualmente o poder de impor sanções pecuniárias compulsórias para obrigar uma entidade do tipo referido nos anexos I ou II da Diretiva (UE) 2022/2555 a cessar uma infração do presente regulamento em conformidade com uma decisão prévia da autoridade competente.

(164) A fim de assegurar a execução eficaz das obrigações estabelecidas no presente regulamento, cada autoridade competente deve ter o poder de impor ou de solicitar a imposição de sanções.

(165)Para efeitos da imposição de sanções a uma entidade do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555 que seja uma empresa, esta deve ser entendida como uma empresa na aceção dos artigos 101.º e 102.º do TFUE. Sempre que forem impostas coimas a pessoas que não sejam empresas, a autoridade competente deve ter em conta o nível geral de rendimentos no Estado-Membro, bem como a situação económica da pessoa em causa, no momento de estabelecer o montante adequado das sanções. Deve caber aos Estados-Membros determinar se as autoridades públicas devem estar sujeitas a sanções, e em que medida. A imposição de uma sanção não deve afetar a aplicação de outros poderes das autoridades competentes.

(166)A fim de assegurar condições uniformes para a execução do presente regulamento, devem ser atribuídas competências de execução à Comissão no que diz respeito à adoção de atos de execução que estabeleçam regras pormenorizadas relativas às taxas cobradas pela ENISA, de atos de execução que estabeleçam um sistema europeu de certificação da cibersegurança de produtos, serviços e processos de TIC, de serviços de segurança geridos ou da postura de cibersegurança das entidades, de atos de execução que estabeleçam princípios comuns e disposições de referência destinadas a prever elementos em todos os sistemas europeus de certificação da cibersegurança, de atos de execução que especifiquem os procedimentos dos modelos de aprovação prévia ou delegação geral, de atos de execução relativos ao reconhecimento de certificados de cibersegurança de um país terceiro ou de uma organização internacional como equivalentes aos certificados europeus de cibersegurança, de atos de execução que estabeleçam um plano para as análises pelos pares, de atos de execução que estabeleçam os procedimentos, incluindo a cooperação transfronteiriça, de autorização dos organismos de avaliação da conformidade, de atos de execução que estabeleçam as circunstâncias, os formatos e os procedimentos de notificação dos organismos de avaliação da conformidade, de atos de execução que designem um país terceiro como país que suscita preocupações em matéria de cibersegurança para as cadeias de abastecimento de TIC, de atos de execução que identifiquem os principais ativos de TIC utilizados para o fabrico de produtos ou a prestação de serviços por entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555, de atos de execução que estabeleçam que as entidades que operam em setores de importância crítica e noutros setores críticos estão sujeitas a medidas de atenuação específicas e que especifiquem os prazos para a eliminação progressiva de componentes de TIC ou componentes que incluam componentes de TIC fornecidos por fornecedores de alto risco, de atos de execução que especifiquem mais pormenorizadamente as condições de isenção das entidades estabelecidas ou controladas por entidades de um país terceiro que suscite preocupações em matéria de cibersegurança, bem como a adoção de atos de execução que estabeleçam regras pormenorizadas relativas às taxas cobradas pela Comissão. Essas competências devem ser exercidas nos termos do Regulamento (UE) n.º 182/2011 do Parlamento Europeu e do Conselho, devendo utilizar-se o procedimento de exame. A fim de assegurar condições uniformes para a execução do presente regulamento, devem igualmente ser atribuídas competências de execução à Comissão no que respeita ao estabelecimento de uma lista de fornecedores de alto risco pertinente para determinadas medidas previstas no presente regulamento.

(167)É necessário que os sistemas europeus de certificação da cibersegurança reflitam os mais recentes desenvolvimentos tecnológicos, as novas ameaças conexas e a adoção de nova legislação da União que estabeleça a demonstração do cumprimento e a presunção de conformidade com os requisitos de cibersegurança pertinentes dessa legislação através da certificação europeia da cibersegurança. Por estes motivos, deve ser delegado na Comissão o poder de adotar atos nos termos do artigo 290.º do TFUE para aditar ou alterar objetivos de segurança prosseguidos pelos sistemas europeus de certificação da cibersegurança. Do mesmo modo, no interesse de um enquadramento para uma cadeia de abastecimento de TIC fiável, deve ser delegado na Comissão o poder de adotar atos nos termos do artigo 290.º do TFUE para alterar o anexo II do presente regulamento, a fim de o adaptar à evolução tecnológica. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor. Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho devem receber todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos devem ter sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da preparação dos atos delegados.

(168)As operações da ENISA devem ser submetidas a uma avaliação regular e independente. Essa avaliação deve incidir nos objetivos da ENISA e na pertinência das suas atribuições, em especial, as relacionadas com a cooperação operacional a nível da União. Em caso de revisão, a Comissão deve avaliar a forma como o papel da ENISA enquanto ponto de referência em matéria de aconselhamento e conhecimentos especializados pode ser reforçado.

(169)O Regulamento de Execução (UE) 2024/482 da Comissão estabelece regras relativas à adoção do sistema europeu de certificação da cibersegurança baseado nos Critérios Comuns (EUCC). O EUCC é o primeiro e único sistema europeu de certificação da cibersegurança adotado ao abrigo do Regulamento (UE) 2019/881. Diz respeito à certificação de produtos de TIC, incluindo produtos pertencentes aos domínios técnicos «cartões inteligentes e dispositivos similares» e «dispositivos de hardware com caixas de segurança», e perfis de proteção (como processos de TIC). Por conseguinte, é necessário assegurar a continuação das atividades de certificação, bem como das atividades da agência.

(170)A Autoridade Europeia para a Proteção de Dados e o Comité Europeu para a Proteção de Dados foram consultados nos termos do artigo 42.º, n.º 2, do Regulamento (UE) 2018/1725 70 e emitiram parecer conjunto em [data].

(171)O Regulamento (UE) 2019/881 deve ser revogado.

(172)Atendendo a que os objetivos do presente regulamento não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, devido à sua dimensão e efeitos, ser mais bem alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.º do Tratado da União Europeia (TUE). Em conformidade com o princípio da proporcionalidade consagrado no mesmo artigo, o presente regulamento não excede o necessário para alcançar esses objetivos,

ADOTARAM O PRESENTE REGULAMENTO:

TÍTULO I 
DISPOSIÇÕES GERAIS

Artigo 1.º
Objeto e âmbito de aplicação

1.O presente regulamento estabelece:

a)A missão, os objetivos, as atribuições e os aspetos organizativos da Agência da União Europeia para a Cibersegurança (ENISA);

b)Um enquadramento para a criação de sistemas europeus de certificação da cibersegurança com o objetivo de assegurar um nível adequado de cibersegurança para os produtos, serviços e processos de TIC, os serviços de segurança geridos ou a postura de cibersegurança das entidades na União e de evitar a fragmentação do mercado interno no que toca aos sistemas de certificação da cibersegurança na União; e

c)Um enquadramento para uma cadeia de abastecimento de TIC fiável.

2.O enquadramento referido no n.º 1, alínea b), é aplicável sem prejuízo de disposições específicas constantes de outros atos jurídicos da União em matéria de certificação de caráter voluntário ou obrigatório.

3.O enquadramento referido no n.º 1, alínea c), é aplicável às entidades públicas ou privadas de um dos tipos referidos no anexo I ou II da Diretiva (UE) 2022/2555 que prestem os seus serviços ou exerçam as suas atividades na União.

4.O presente regulamento não prejudica as funções do Estado essenciais dos Estados-Membros, incluindo a garantia da integridade territorial do Estado, a manutenção da ordem pública e a salvaguarda da segurança nacional. Em especial, a segurança nacional continua a ser da exclusiva responsabilidade de cada Estado-Membro.

Artigo 2.º
Definições

Para efeitos do presente regulamento, entende-se por:

1)«Cibersegurança», as atividades necessárias para proteger de ciberameaças os sistemas de rede e informação, os seus utilizadores e outras pessoas afetadas;

2)«Entidades da União», entidades da União na aceção do artigo 3.º, ponto 1), do Regulamento (UE, Euratom) 2023/2841;

3)«Prestador de atestados autorizado», uma entidade, pública ou privada, relativamente à qual a ENISA adotou uma decisão que a autoriza a emitir atestados individuais europeus de competências de cibersegurança, tal como estabelecido num sistema de atestados individuais europeus de competências de cibersegurança;

4)«Atestado individual europeu de competências de cibersegurança», um registo, em formato digital ou físico, que atesta que uma pessoa conhece, compreende e é capaz de desempenhar as tarefas associadas a um perfil de funções ou a um subconjunto de um perfil de funções do Quadro Europeu de Competências em Cibersegurança («QECC»), na sequência de uma avaliação prevista num sistema de atestados individuais europeus de competências de cibersegurança;

5)«Sistema de atestados individuais europeus de competências de cibersegurança», um conjunto abrangente de regras, requisitos, normas e procedimentos estabelecidos pela ENISA e associados a um perfil de funções do QECC ou a um subconjunto do mesmo, aplicáveis a prestadores de atestados autorizados e por eles aplicados;

6)«Sistema de rede e informação», um sistema de rede e informação na aceção do artigo 6.º, ponto 1), da Diretiva (UE) 2022/2555;

7)«Estratégia nacional de cibersegurança», uma estratégia nacional de cibersegurança na aceção do artigo 6.º, ponto 4), da Diretiva (UE) 2022/2555;

8)«Incidente», um incidente na aceção do artigo 6.º, ponto 6), da Diretiva (UE) 2022/2555;

9)«Incidente de cibersegurança em grande escala», um incidente de cibersegurança em grande escala na aceção do artigo 6.º, ponto 7), da Diretiva (UE) 2022/2555;

10)«Tratamento de incidentes», o tratamento de incidentes na aceção do artigo 6.º, ponto 8), da Diretiva (UE) 2022/2555;

11)«Ciberameaça», uma circunstância, um evento ou uma ação potenciais suscetíveis de lesar, perturbar ou ter qualquer outro efeito negativo sobre os sistemas de rede e informação, os seus utilizadores e outras pessoas;

12)«Sistema europeu de certificação da cibersegurança», um conjunto abrangente, de regras, requisitos técnicos, normas e procedimentos estabelecidos a nível da União e aplicáveis à certificação ou à avaliação da conformidade dos produtos, serviços e processos de TIC, dos serviços de segurança geridos ou da postura de cibersegurança das entidades;

13)«Sistema nacional de certificação da cibersegurança», um conjunto abrangente de regras, requisitos técnicos, normas e procedimentos estabelecidos e adotados por uma autoridade pública nacional e aplicáveis à certificação ou à avaliação da conformidade de produtos, serviços e processos de TIC, de serviços de segurança geridos ou da postura de cibersegurança das entidades abrangidos pelo âmbito de aplicação desse sistema específico;

14)«Certificado europeu de cibersegurança», um documento emitido por um organismo competente, que ateste que determinado produto, serviço ou processo de TIC, serviço de segurança gerido ou postura de cibersegurança de uma entidade foi avaliado para verificar a sua conformidade com os requisitos de segurança específicos estabelecidos por um sistema europeu de certificação da cibersegurança;

15)«Declaração UE de conformidade», um documento emitido por um fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC, um prestador de serviços de segurança geridos ou a entidade cuja postura de cibersegurança é objeto de certificação, que declara que o cumprimento dos requisitos correspondentes ao nível de garantia «básico», estabelecidos no sistema europeu de certificação da cibersegurança, foi demonstrado através de uma autoavaliação da conformidade;

16)«Produto de TIC», um elemento ou grupo de elementos de um sistema de rede ou informação;

17)«Serviço de TIC», um serviço que consiste total ou principalmente na transmissão, no armazenamento, na extração ou no tratamento de informações através de sistemas de rede e informação;

18)«Processo de TIC», um conjunto de atividades realizadas com o objetivo de conceber, desenvolver, fornecer ou manter um produto ou serviço de TIC;

19)«Serviço de segurança gerido», um serviço prestado a um terceiro que consiste na realização ou na prestação de assistência para atividades relacionadas com a gestão dos riscos de cibersegurança, como o tratamento de incidentes, os testes de penetração, as auditorias de segurança e a consultoria, incluindo aconselhamento especializado, relacionado com apoio técnico;

20)«Acreditação», a acreditação na aceção do artigo 2.º, ponto 10), do Regulamento (CE) n.º 765/2008;

21)«Organismo nacional de acreditação», um organismo nacional de acreditação na aceção do artigo 2.º, ponto 11), do Regulamento (CE) n.º 765/2008;

22)«Avaliação da conformidade», uma avaliação da conformidade na aceção do artigo 2.º, ponto 12), do Regulamento (CE) n.º 765/2008;

23)«Organismo de avaliação da conformidade», um organismo de avaliação da conformidade na aceção do artigo 2.º, ponto 13), do Regulamento (CE) n.º 765/2008;

24)«Norma», uma norma na aceção do artigo 2.º, ponto 1), do Regulamento (UE) n.º 1025/2012 do Parlamento Europeu e do Conselho 71 ;

25)«Especificação técnica», uma especificação técnica na aceção do artigo 2.º, ponto 4), do Regulamento (UE) n.º 1025/2012;

26)«Norma harmonizada», uma norma harmonizada na aceção do artigo 2.º, ponto 1), alínea c), do Regulamento (UE) n.º 1025/2012;

27)«Nível de garantia», a base da confiança de que um produto, serviço ou processo de TIC, um serviço de segurança gerido ou a postura de cibersegurança de uma entidade cumpre os requisitos de segurança de um sistema europeu de certificação da cibersegurança específico e que indica a que nível esse produto, serviço ou processo de TIC, serviço de segurança gerido ou postura de cibersegurança de uma entidade foi avaliado, mas não mede, por si só, a segurança do produto, serviço ou processo de TIC, do serviço de segurança gerido ou da postura de cibersegurança da entidade em causa;

28)«Autoavaliação da conformidade», uma ação realizada por um fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC, um prestador de serviços de segurança geridos ou a entidade cuja postura de cibersegurança é objeto de certificação, que avalia se esses produtos, serviços e processos de TIC, esses serviços de segurança geridos ou essa postura de cibersegurança da entidade cumprem os requisitos de um sistema europeu de certificação da cibersegurança;

29)«Postura de cibersegurança das entidades», o nível de cibersegurança das entidades no que diz respeito aos requisitos de segurança específicos;

30)«Modelo de aprovação prévia», um modelo através do qual um organismo de avaliação da conformidade pode emitir um certificado europeu de cibersegurança com base na avaliação efetuada por uma autoridade nacional de certificação da cibersegurança no contexto de um processo de certificação específico ao abrigo de um sistema pertinente;

31)«Modelo de delegação geral», um modelo através do qual um organismo de avaliação da conformidade pode emitir um certificado europeu de cibersegurança com base numa delegação de atividades de certificação por uma autoridade nacional de certificação da cibersegurança;

32)«Equipa de resposta a incidentes de segurança informática», ou «CSIRT», uma CSIRT designada ou criada nos termos do artigo 10.º da Diretiva (UE) 2022/2555;

33)«Componentes de TIC», produtos, serviços ou processos de TIC que podem ser utilizados para funcionamento dos ativos de TIC;

34)«Ativos de TIC», ativos de software ou hardware nos sistemas de rede e informação utilizados por uma entidade do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555;

35)«Principais ativos de TIC», os ativos de TIC identificados nos termos do artigo 102.º;

36)«Rede de comunicações eletrónicas», uma rede de comunicações eletrónicas na aceção do artigo 2.º, ponto 1), do Regulamento (UE) XX/XXXX [proposta de ato legislativo relativo às redes digitais];

37)«Controlo», a capacidade de exercer uma influência decisiva sobre uma entidade jurídica, quer direta, quer indiretamente, através de uma ou várias entidades jurídicas intermediárias;

38)«Estabelecimento», o exercício efetivo da atividade com base numa instalação estável no país em que a entidade tem a sua administração central ou o seu local de atividade principal;

39)«Fornecedor de alto risco», uma das seguintes entidades:

a)Uma entidade estabelecida num país terceiro que suscita preocupações em matéria de cibersegurança designado em conformidade com o artigo 100.º, ou controlada por esse país terceiro, por uma entidade estabelecida nesse país terceiro ou por um nacional desse país terceiro;

b)Uma entidade designada nos termos do artigo 103.º, n.º 7, e as entidades controladas por essa entidade;

40)«Cadeia de abastecimento de TIC», um conjunto de serviços, produtos e processos de TIC que engloba atividades e intervenientes envolvidos em todas as fases a montante da disponibilização de um produto ou da prestação de um serviço no mercado;

41)«País terceiro», um país terceiro na aceção do artigo 3.º, ponto 4), do Regulamento (UE) 2023/2675 do Parlamento Europeu e do Conselho 72 ;

42)«Risco não técnico», a probabilidade de o fornecedor estar sujeito à influência de um país terceiro suscetível de causar a perda ou perturbação do serviço prestado ou de comprometer o produto fabricado por uma entidade ou de conduzir à exfiltração de dados, nomeadamente para efeitos de espionagem ou geração de receitas;

43)«Risco de cibersegurança não técnico significativo», um risco de cibersegurança não técnico que se possa considerar altamente suscetível de dar origem a um incidente com impacto negativo grave, causando, nomeadamente, perturbações ou perdas materiais ou imateriais consideráveis;

44)«Funções de rede principal das redes de comunicações eletrónicas móveis», o elemento central da arquitetura das redes de comunicações eletrónicas móveis que liga os nós de rede principais à Internet e gere as funções essenciais do sistema, nomeadamente a autenticação do equipamento do utilizador, as funções de interceção legal (LI), as portas de acesso de segurança (SeGW) na periferia da rede, as funções de segurança da sinalização, a gestão da itinerância e das sessões, o transporte de dados dos planos de utilizador e de controlo, a gestão das políticas de acesso, o registo e a autorização de serviços de rede, o armazenamento de dados dos utilizadores finais e da rede, os serviços de rede críticos, incluindo o sistema de nomes de domínio (DNS), a interligação com redes móveis de terceiros, a exposição das funções de rede principal a aplicações externas e a seleção e gestão de segmentos da rede;

45)«Virtualização das funções de rede (NFV) e gestão e orquestração da rede (MANO) de redes de comunicações eletrónicas móveis», o software e o quadro arquitetónico que asseguram a gestão do ciclo de vida, a orquestração e a automatização de funções de rede virtualizadas (VNF), das funções de rede nativas em nuvem (CNF) e a seleção e gestão de segmentos da rede nas redes de comunicações eletrónicas móveis;

46)«Rede de acesso rádio (RAN) de redes de comunicações eletrónicas móveis», a rede que liga o equipamento móvel do utilizador à rede principal, incluindo estações de base (eNodeB para 4G, gNodeB para 5G), unidades de rádio remotas (RRH) e unidades de banda de base (BBU), sistemas de antena ativa (AAS) e, se for caso disso, componentes de RAN desagregados, como unidades centralizadas (CU) e unidades distribuídas (DU), e o controlador inteligente (RIC) da RAN;

47)«Funções de rede principal das redes de comunicações eletrónicas fixas», a inteligência de base da rede, que interliga os nós principais e trata uma série de funções essenciais, incluindo a autenticação e autorização do utilizador (AAA), as funções de interceção legal (LI), o sistema de nomes de domínio (DNS) e os serviços de endereçamento IP (DHCP), a gestão das políticas de acesso, o armazenamento de dados dos utilizadores finais e da rede, a comutação e encaminhamento IP e as portas de acesso internacionais à Internet (IIG);

48)«Sistema de gestão da rede das redes de comunicações eletrónicas fixas», todas as plataformas centralizadas e componentes de software necessários à operação, administração, manutenção e fornecimento (OAM&P) da rede e à monitorização de informações relacionadas com a rede;

49)«Funções de transporte e transmissão das redes de comunicações eletrónicas fixas», todos os componentes necessários para a interligação e a agregação do tráfego através da rede, nomeadamente equipamento de transporte ótico, ligações por micro-ondas e sistemas de cabos submarinos, incluindo o equipamento subaquático, o equipamento terminal de linhas submarinas (SLTE) e as instalações físicas da estação terrestre;

50)«Rede de acesso das redes de comunicações eletrónicas fixas», a rede que liga as instalações do final à rede de agregação ou à rede principal, incluindo a terminação da linha ótica (OLT) e a terminação da rede ótica (ONT) no caso das redes de fibra ótica; sistemas de terminação de modems por cabo coaxial (CMTS) e modems por cabo para redes de cabo coaxial, bem como os componentes de acesso fixo sem fios quando utilizados como substituto de linha fixa.

TÍTULO II 
AGÊNCIA DA UNIÃO EUROPEIA PARA A CIBERSEGURANÇA

CAPÍTULO I 
Missão e objetivos

Artigo 3.º
Missão da ENISA

1.A missão da ENISA consiste em ajudar os Estados-Membros e as entidades da União a alcançar um elevado nível de cibersegurança, ciber-resiliência e confiança na União.

2.A ENISA atua como um ponto de referência em matéria de aconselhamento e de conhecimentos especializados sobre cibersegurança para os Estados‑Membros, bem como para outras partes interessadas da União.

3.A ENISA contribui para reduzir a fragmentação do mercado interno ao exercer as atribuições que lhe são conferidas ao abrigo do presente regulamento.

4.A ENISA exerce as atribuições que lhe sejam conferidas por atos jurídicos da União.

5.A ENISA desenvolve as suas próprias capacidades, incluindo capacidades e competências a nível técnico e humano, necessárias para o exercício das atribuições que lhe são conferidas pelo presente regulamento.

Artigo 4.º
Objetivos da ENISA

1.A ENISA é um centro de conhecimentos especializados em matéria de cibersegurança, graças à sua independência, à qualidade científica e técnica do aconselhamento, das contribuições e da assistência que presta, às informações que divulga, à transparência dos seus procedimentos operacionais, aos seus métodos de funcionamento e à sua diligência no exercício das suas atribuições.

2.A ENISA presta assistência aos Estados-Membros e, se for caso disso, às entidades da União na execução das políticas e da legislação horizontais e setoriais da União relacionadas com a cibersegurança, incluindo as atividades de fiscalização do mercado.

3.A ENISA disponibiliza os seus conhecimentos especializados e assiste a Comissão na elaboração de políticas e legislação da União relacionadas com a cibersegurança.

4.A ENISA apoia o reforço das capacidades e a preparação em toda a União, ajudando os Estados-Membros, as entidades da União, através do Serviço de Cibersegurança para as Instituições, Órgãos e Organismos da União (CERT-UE) referido no capítulo IV do Regulamento (UE, Euratom) 2023/2841, e as partes interessadas públicas e privadas a aumentar a proteção dos seus sistemas de rede e informação, a fim de desenvolver e melhorar a ciber-resiliência e as capacidades de resposta.

5.A ENISA contribui para a criação da Academia de Competências de Cibersegurança e para o aumento da mão de obra no domínio da cibersegurança na União, apoiando os esforços para desenvolver a portabilidade das competências em toda a União, nomeadamente através da manutenção e da promoção da adoção do QECC e do desenvolvimento, manutenção e promoção da adoção de sistemas de atestados individuais europeus de competências de cibersegurança, em conformidade com o capítulo II, secção 4, do presente título, e assegurando a prestação de formação em conformidade com o artigo 6.º, n.º 8.

6.A ENISA promove a cooperação, incluindo a partilha de informações e a coordenação a nível da União, entre os Estados‑Membros, as entidades da União nos termos do Regulamento (UE, Euratom) 2023/2841, e as partes interessadas relevantes dos setores público e privado, nas questões relacionadas com a cibersegurança.

7.A ENISA contribui para aumentar as capacidades em matéria de cibersegurança a nível da União, a fim de apoiar as ações dos Estados-Membros na prevenção e resposta a ciberameaças.

8.A ENISA apoia a cooperação operacional a nível da União, nomeadamente contribuindo para o conhecimento situacional comum do cenário de ciberameaças e incidentes entre os Estados-Membros e, em cooperação com o CERT-UE, entre as entidades da União.

9.A ENISA coopera estreitamente com a Europol, as CSIRT e outras autoridades nacionais competentes, a fim de melhorar a preparação no domínio da cibersegurança e a resposta a incidentes com software de sequestro.

10.A ENISA contribui para a criação e manutenção de um enquadramento europeu para a certificação da cibersegurança, em conformidade com o título III do presente regulamento. A ENISA promove o recurso a uma certificação europeia da cibersegurança, com vista a evitar a fragmentação do mercado interno.

11.A ENISA contribui para a harmonização do mercado único digital, participando no trabalho de normalização pertinente para as políticas da União relacionadas com a cibersegurança e desenvolvendo especificações técnicas.

12.A ENISA promove um elevado nível de sensibilização para a cibersegurança entre as organizações e as empresas.

CAPÍTULO II 
Atribuições

Secção 1 
Apoio à execução da política e do direito da União

Artigo 5.º
Apoio à execução da política e do direito da União

1.A ENISA contribui para a execução da política e do direito da União, nomeadamente:

a)Prestando assistência aos Estados-Membros na execução coerente da política e do direito da União em matéria de cibersegurança, nomeadamente através da emissão de orientações técnicas e relatórios, da disponibilização de aconselhamento e partilha de boas práticas e da facilitação do intercâmbio de boas práticas entre as autoridades competentes nesse domínio;

b)Apoiando a partilha de informações dentro de cada setor e entre setores, em especial no que diz respeito aos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555 e aos produtos com elementos digitais abrangidos pelo âmbito de aplicação do Regulamento (UE) 2024/2847, disponibilizando boas práticas e orientações sobre os instrumentos e procedimentos disponíveis;

c)Assistindo os Estados-Membros, a pedido da Comissão, através da prestação de apoio, como orientações técnicas, nomeadamente sobre medidas de gestão dos riscos de cibersegurança, instrumentos para a avaliação da maturidade em matéria de cibersegurança e manuais táticos de resposta a incidentes, adaptados aos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555, ou apoio à aplicação de princípios de segurança desde a conceção para produtos com elementos digitais, em conformidade com o Regulamento (UE) 2024/2847, com vista a facilitar a melhoria dos níveis de maturidade em matéria de cibersegurança e a conformidade com o direito da União relativo à cibersegurança;

d)Contribuindo para os trabalhos do grupo de cooperação criado nos termos do artigo 14.º, n.º 1, da Diretiva (UE) 2022/2555 («Grupo de Cooperação SRI»), do Grupo de Cooperação Europeia para a Identidade Digital criado nos termos do artigo 46.º-E, n.º 1, do Regulamento (UE) n.º 910/2014, do Grupo Europeu para a Certificação da Cibersegurança (GECC) a que se refere o artigo 90.º do presente regulamento e do Grupo de Cooperação Administrativa (ADCO) criado nos termos do artigo 52.º, n.º 15, do Regulamento (UE) 2024/2847;

e)Prestando assistência aos Estados-Membros e às entidades competentes da União na elaboração e promoção de políticas de cibersegurança que apoiem a disponibilidade geral e a integridade do núcleo público da Internet aberta;

f)Prestando aconselhamento técnico e apoio aos Estados-Membros e à Comissão, em conformidade com o Regulamento (UE) 2024/2847, sobre questões relacionadas com a aplicação desse regulamento;

g)Apoiando os Estados‑Membros na prestação da assistência mútua e na facilitação desses processos de cooperação para as entidades essenciais e importantes, nos termos do [artigo 37.º-A da Diretiva (UE) 2022/2555];

h)Prestando aconselhamento, a pedido do Comité Europeu para a Proteção de Dados, sobre a aplicação de aspetos específicos de cibersegurança da política e do direito da União relacionados com a proteção de dados e a privacidade.

2.A ENISA contribui para as avaliações coordenadas a nível da União dos riscos de cibersegurança, incluindo as realizadas nos termos do artigo 22.º da Diretiva (UE) 2022/2555.

3.A ENISA emite orientações sobre a interoperabilidade dos sistemas de rede e informação utilizados para a partilha de informações, nomeadamente no que diz respeito às plataformas de cibersegurança transfronteiriças a que se refere o artigo 6.º, n.º 3, do Regulamento (UE) 2025/38.

4.A ENISA é membro do Grupo de Cooperação SRI nos termos do artigo 14.º, n.º 3, da Diretiva (UE) 2022/2555.

5.A pedido da Comissão, a ENISA disponibiliza conhecimentos especializados, aconselhamento técnico, informações ou análises, ou realiza trabalhos preparatórios, sobre questões específicas de cibersegurança, com vista a fundamentar a elaboração de políticas da Comissão e o acompanhamento da aplicação da legislação da União.

Artigo 6.º
Reforço das capacidades

A ENISA presta assistência:

1)Aos Estados-Membros, nos seus esforços para melhorar a prevenção, a deteção e a análise de ciberameaças e incidentes, e a capacidade de resposta a tais ciberameaças e incidentes, disponibilizando-lhes conhecimentos e de competências especializadas;

2)Aos Estados-Membros, a pedido destes, na elaboração e execução das políticas de divulgação de vulnerabilidades numa base voluntária;

3)Ao CERT-UE e ao Conselho Interinstitucional para a Cibersegurança, em conformidade com o Regulamento (UE, Euratom) 2023/2841, nos seus esforços para apoiar as entidades da União no reforço da sua cibersegurança, para melhorar a prevenção, deteção e análise de ciberameaças e incidentes, bem como para reforçar as respetivas capacidades de resposta a tais ciberameaças e incidentes;

4)Aos Estados-Membros, na criação de CSIRT nacionais, a pedido, nos termos do artigo 10.º, n.º 10, da Diretiva (UE) 2022/2555;

5)Aos Estados-Membros, na elaboração ou atualização de uma estratégia nacional de cibersegurança e de indicadores‑chave de desempenho para a avaliação dessa estratégia, se tal lhe for solicitado nos termos do artigo 7.º, n.º 4, da Diretiva (UE) 2022/2555, favorecendo a divulgação dessas estratégias e registando os progressos alcançados na sua execução em toda a União, a fim de promover boas práticas;

6)Às instituições da União, a pedido destas, na elaboração e análise das estratégias da União em matéria de cibersegurança, promovendo a sua divulgação e acompanhando o avanço da sua execução;

7)Às CSIRT nacionais, no aumento do nível das suas capacidades, nomeadamente promovendo o diálogo e o intercâmbio de informações, a fim de assegurar que, tendo em conta o estado da arte, cada CSIRT possua uma base comum de capacidades mínimas e funcione de acordo com as melhores práticas;

8)Aos Estados-Membros, às entidades da União e às partes interessadas públicas e privadas nos seus esforços para avaliar, aumentar e reforçar a mão de obra no domínio da cibersegurança, nomeadamente através do desenvolvimento, da manutenção e da promoção da adoção de instrumentos pertinentes, como o QECC e os sistemas de atestados individuais europeus de competências de cibersegurança, em conformidade com a secção 4 do presente capítulo;

9)Aos organismos públicos pertinentes, bem como às partes interessadas do setor privado, através da realização de ações de formação específicas, se for caso disso, em cooperação com as partes interessadas;

10)Ao Grupo de Cooperação SRI, no intercâmbio de boas práticas e informações, em especial no que diz respeito à aplicação da Diretiva (UE) 2022/2555 nos termos do artigo 14.º, n.º 4, alínea c), dessa diretiva;

11)Às autoridades de fiscalização do mercado designadas nos termos do Regulamento (UE) 2024/2847, nas suas atividades destinadas a assegurar a aplicação efetiva desse regulamento, incluindo o apoio à elaboração de orientações e ao aconselhamento técnico aos operadores económicos, bem como o apoio às verificações da conformidade, à avaliação dos riscos, às atividades conjuntas e às ações de fiscalização conjuntas, tal como estabelecido no Regulamento (UE) 2024/2847;

12)Aos membros do GECC no intercâmbio de boas práticas e, a pedido de um Estado-Membro, às autoridades nacionais de certificação da cibersegurança no que diz respeito à aplicação dos sistemas europeus de certificação da cibersegurança a nível nacional;

13)Às autoridades públicas e às partes interessadas privadas, em relação às atividades de avaliação e análise da conformidade, incluindo organismos de avaliação da conformidade e pequenas e médias empresas, a fim de apoiar um ecossistema de avaliação da conformidade sólido, competitivo, inclusivo e harmonizado que apoie a aplicação do Regulamento (UE) 2024/2847 e do enquadramento europeu para a certificação da cibersegurança;

14)Ao Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança e à Rede de Centros Nacionais de Coordenação criados nos termos do Regulamento (UE) 2021/887, através da partilha de informações sobre riscos e ciberameaças atuais e emergentes, nomeadamente no que diz respeito às tecnologias da informação e comunicação novas e emergentes;

15)Aos Estados-Membros, através de apoio técnico, nomeadamente para a criação e o funcionamento de ambientes de testagem da regulamentação no domínio da cibersegurança, em conformidade com a legislação pertinente da União.

Artigo 7.º
Sensibilização e reserva de talentos

A ENISA assiste os Estados-Membros nos seus esforços de sensibilização para as políticas e a legislação da União em matéria de cibersegurança e de promoção da sua visibilidade mediante o desenvolvimento de instrumentos e orientações acionáveis. A ENISA apoia iniciativas destinadas a aumentar a reserva europeia de talentos no domínio da cibersegurança, em especial através da coordenação de concursos.

Artigo 8.º
Conhecimento e análises do mercado

1.A ENISA realiza e divulga análises das principais tendências do mercado da cibersegurança, tanto do lado da procura como da oferta, em especial no que diz respeito aos domínios em que existem ou estão previstos sistemas europeus de certificação da cibersegurança, aos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555 e às categorias de produtos abrangidas pelo Regulamento (UE) 2024/2847, incluindo os anexos III e IV desse regulamento.

2.A ENISA realiza e divulga análises das tendências tecnológicas em matéria de cibersegurança, em especial no que diz respeito às atividades e entidades abrangidas pelo âmbito de aplicação da Diretiva (UE) 2022/2555 e aos produtos com elementos digitais abrangidos pelo âmbito de aplicação do Regulamento (UE) 2024/2847.

3.A ENISA desenvolve conhecimentos e divulga aconselhamento técnico e análises sobre instrumentos, quadros, normas e boas práticas de vanguarda em matéria de cibersegurança.

Artigo 9.º
Cooperação internacional

A ENISA contribui para os esforços de cooperação da União com países terceiros e organizações internacionais, bem como no âmbito dos quadros de cooperação internacional relevantes, para promover a cooperação internacional em matéria de cibersegurança:

a)Implicando-se, quando se justifique, na qualidade de observadora na organização de exercícios internacionais, analisando os resultados desses exercícios e deles informando o Conselho de Administração;

b)Facilitando, a pedido da Comissão, o intercâmbio das melhores práticas com países terceiros e organizações internacionais;

c)Disponibilizando conhecimentos especializados à Comissão, a pedido desta;

d)Prestando aconselhamento e apoio especializados à Comissão sobre questões relacionadas com o reconhecimento internacional dos certificados europeus de cibersegurança, em conformidade com o artigo 87.º;

e)Prestando aconselhamento e apoio especializados à Comissão sobre questões relativas à normalização internacional e cooperando, se for caso disso, com os organismos internacionais de normalização competentes, em colaboração com o GECC criado nos termos do artigo 90.º.

Secção 2

Cooperação operacional

Artigo 10.º
Cooperação operacional a nível da União

1.A ENISA apoia a cooperação operacional entre os Estados‑Membros e as entidades da União através do CERT‑UE e entre outras partes interessadas.

2.A ENISA é membro da rede de CSIRT nacionais criada nos termos do artigo 15.º, n.º 1, da Diretiva (UE) 2022/2555 e assegura os serviços de secretariado da rede de CSIRT nos termos do artigo 15.º, n.º 2, da Diretiva (UE) 2022/2555.

3.A ENISA assegura os serviços de secretariado da Rede Europeia de Organizações de Coordenação de Cibercrises (UE-CyCLONe) nos termos do artigo 16.º, n.º 2, segundo parágrafo, da Diretiva (UE) 2022/2555.

4.A ENISA apoia a cooperação técnica e operacional entre os Estados-Membros, em especial através da rede de CSIRT e da UE-CyCLONe. Esse apoio inclui:

a)Aconselhamento sobre a melhoria das capacidades de prevenção, deteção, resposta e recuperação de incidentes;

b)A pedido de um ou mais Estados‑Membros, aconselhamento e avaliações sobre um incidente ou ciberameaça específicos, potenciais ou em curso, nomeadamente através da disponibilização dos seus conhecimentos especializados e facilitando o tratamento técnico desses incidentes e através do apoio à partilha voluntária de informações relevantes e de soluções técnicas entre os Estados-Membros;

c)Análise de vulnerabilidades, ameaças e incidentes;

d)A pedido de um ou mais Estados-Membros, prestação de apoio à realização de inquéritos técnicos ex post relativos a incidentes significativos, na aceção do artigo 23.º, n.º 3, da Diretiva (UE) 2022/2555;

e)Contributos para apoiar a gestão coordenada de crises e incidentes de cibersegurança em grande escala a nível operacional, em especial prestando assistência à UE-CyCLONe na elaboração de relatórios destinados aos decisores políticos e facilitando a partilha atempada de informações entre a rede de CSIRT e a UE-CyCLONe.

5.A pedido de um Estado-Membro ou de uma entidade da União em cooperação com o CERT-UE, a ENISA apoia uma comunicação pública coerente relacionada com um incidente ou uma ciberameaça.

6.A ENISA apoia a cooperação entre os Estados-Membros e, através do CERT-UE, entre as entidades da União no que diz respeito à implantação de ferramentas de comunicação seguras. A ENISA utiliza, no âmbito da rede de CSIRT e da UE‑CyCLONe, ferramentas de comunicação seguras fornecidas por entidades jurídicas estabelecidas ou consideradas como estando estabelecidas na União e controladas pelos Estados-Membros ou por nacionais dos Estados-Membros.

Artigo 11.º
Conhecimento situacional comum em matéria de cibersegurança

1.A fim de melhorar o conhecimento situacional comum do cenário de ciberameaças e incidentes entre os Estados-Membros e entre as entidades da União, a ENISA:

a)Desenvolve, em cooperação com a UE-CyCLONe, a rede de CSIRT, a Comissão, o CERT-UE, a Europol e outras entidades competentes da União, repositórios de informações verificadas e fiáveis sobre ciberameaças, incluindo tendências em matéria de incidentes, táticas, técnicas e procedimentos;

b)Em conformidade com o artigo 12.º, emite alertas precoces sobre um incidente significativo ou em grande escala, potencial ou em curso, ou uma ciberameaça de natureza potencialmente transfronteiriça, em especial em relação aos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555;

c)Fornece análises ad hoc atempadas sobre tendências emergentes em matéria de incidentes, a pedido da rede de CSIRT, da UE-CyCLONe ou da Comissão;

d)Fornece, a pedido dos Estados-Membros ou da Comissão, análises ou outras informações relativas a um risco ou ameaça de cibersegurança real ou potencial;

e)Fornece análises e aconselhamento técnico sobre os riscos de cibersegurança dos produtos com elementos digitais, nomeadamente para apoiar a fiscalização do mercado, elaborando, de dois em dois anos, um relatório técnico sobre as tendências emergentes, em conformidade com o artigo 17.º, n.º 3, do Regulamento (UE) 2024/2847;

f)Elabora regularmente um relatório aprofundado sobre a situação técnica da cibersegurança na UE quanto a incidentes e ciberameaças e disponibiliza-o ao Conselho, à UE-CyCLONe, à rede de CSIRT, à Comissão, ao Serviço Europeu para a Ação Externa e à Europol;

g)Acompanha as tendências em matéria de técnicas, exigências e impacto dos ataques de software de sequestro e fornece informações sobre essas tendências à Comissão, à rede de CSIRT, à UE-CyCLONe e à Europol.

2.A fim de melhorar o conhecimento situacional comum do cenário de ciberameaças e incidentes entre as partes interessadas, a ENISA:

a)Realiza análises das ciberameaças, dos incidentes, das tendências, das tecnologias emergentes e dos seus impactos, incluindo uma análise periódica dos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555 e das categorias de produtos pertinentes abrangidas pelo Regulamento (UE) 2024/2847;

b)Emite, em cooperação com a Comissão e, se for caso disso, com a rede de CSIRT, aconselhamento, orientações e boas práticas para a segurança dos sistemas de rede e informação, em especial para a segurança das infraestruturas de apoio aos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555;

c)Realiza análises estratégicas de longo prazo das ciberameaças e incidentes, a fim de identificar tendências emergentes e ajudar a prevenir incidentes.

3.A ENISA pode tornar públicos as análises, o aconselhamento, as orientações, as boas práticas e os relatórios referidos no n.º 2, mediante acordo das entidades contribuintes mencionadas no mesmo número.

4.No exercício das atividades enumeradas no n.º 1, alíneas a) a d) e f), e no n.º 2, a ENISA utiliza as suas próprias análises e, se for caso disso, as informações recebidas no desempenho das suas atribuições, nomeadamente:

a)Informações fornecidas em fontes disponíveis ao público, incluindo vulnerabilidades publicamente conhecidas presentes em produtos ou serviços de TIC disponíveis na base de dados europeia de vulnerabilidades criada nos termos do artigo 12.º, n.º 2, da Diretiva (UE) 2022/2555;

b)Informações partilhadas pelos Estados-Membros, entidades da União, o CERT-UE, parceiros do setor privado ou não governamentais e organizações de países terceiros e internacionais, sob reserva de quaisquer limitações indicadas através de uma marcação visível sobre a sua divulgação subsequente.

5.A ENISA coopera estreitamente com os Estados-Membros na elaboração do relatório sobre a situação técnica da cibersegurança na UE a que se refere o n.º 1, alínea e). O relatório baseia-se em informações publicamente disponíveis, nas análises da própria ENISA e em relatórios partilhados, nomeadamente, pelas CSIRT dos Estados-Membros ou pelos pontos de contacto únicos criados pela Diretiva (UE) 2022/2555, em ambos os casos numa base voluntária, pelo EC3 e pelo CERT-UE. Com o acordo das entidades contribuintes, a ENISA pode disponibilizar ao público uma versão agregada do relatório.

Artigo 12.º
Alertas precoces

1.Os alertas precoces a que se refere o artigo 11.º, n.º 1, primeiro parágrafo, alínea b), do presente regulamento contêm informações pertinentes sobre um incidente significativo ou em grande escala, potencial ou em curso, ou uma ciberameaça de natureza potencialmente transfronteiriça, em relação aos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555. Essas informações podem incluir vulnerabilidades publicamente conhecidas e indicar se estas afetam produtos com elementos digitais abrangidos pelo Regulamento (UE) 2024/2847, bem como técnicas e procedimentos, indicadores de exposição a riscos, táticas hostis, informações específicas sobre autores de ameaças e recomendações sobre medidas de atenuação.

2.Os alertas precoces a que se refere o artigo 11.º, n.º 1, primeiro parágrafo, alínea b), são emitidos o mais rapidamente possível à ou às CSIRT em causa e, se for caso disso, à rede de CSIRT e à UE-CyCLONe.

3.A ENISA oferece um serviço de alerta precoce às entidades que operam nos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555.

4.O serviço a que se refere o n.º 3 é prestado a pedido da entidade e num formato legível por máquina disponibilizado ao público. Esse serviço inclui a partilha de informações sobre indicadores de ciberameaças e recomendações sobre medidas de atenuação.

5.A ENISA estabelece um procedimento para divulgar os alertas precoces às entidades referidas no n.º 3.

Artigo 13.º
Apoio na resposta a incidentes e na análise dos mesmos

1.A ENISA gere e administra a Reserva de Cibersegurança da UE, no todo ou em parte, em conformidade com o Regulamento (UE) 2025/38.

2.A pedido da Comissão ou da UE-CyCLONe, a ENISA, com o apoio da rede de CSIRT e com a aprovação do Estado-Membro afetado, analisa e avalia os incidentes de cibersegurança significativos ou os incidentes de cibersegurança em grande escala, em conformidade com o artigo 21.º do Regulamento (UE) 2025/38.

3.A ENISA assiste, em cooperação com a Europol e as CSIRT ou outras autoridades competentes, conforme aplicável, as diferentes entidades essenciais e importantes enumeradas nos anexos I e II da Diretiva (UE) 2022/2555 na preparação, resposta e recuperação relativamente a um incidente com software de sequestro. Para o efeito, a ENISA cria um serviço de assistência e, em especial, utiliza o conhecimento situacional comum reforçado do cenário de ciberameaças e incidentes nos termos do artigo 11.º, n.º 1, primeiro parágrafo, alíneas a) e g), do presente regulamento.

Artigo 14.º
Exercícios de cibersegurança a nível da União

1.A ENISA apoia a Comissão na elaboração de um programa anual evolutivo de exercícios de cibersegurança a nível da União.

2.A ENISA mantém um repositório dos ensinamentos retirados dos exercícios a que se refere o n.º 1 e recomenda aos Estados-Membros e, se for caso disso, às entidades da União a forma de aplicar esses ensinamentos de forma eficaz e eficiente.

3.A pedido da UE-CyCLONe e/ou da Comissão, a ENISA organiza ou contribui para a organização de exercícios de cibersegurança a nível da União, incluindo testes de preparação para a resposta a crises e incidentes de cibersegurança em grande escala a nível da União.

4.A pedido dos Estados-Membros, a ENISA apoia-os na organização de exercícios nacionais de cibersegurança.

5.A pedido do CERT-UE, a ENISA contribui para a organização de exercícios de cibersegurança realizados pelo CERT-UE nos termos do artigo 13.º, n.º 7, do Regulamento (UE, Euratom) 2023/2841.

Artigo 15.º
Fornecimento de ferramentas e plataformas

1.A ENISA cria, disponibiliza, opera, mantém e atualiza, conforme necessário, ferramentas técnicas operacionais, incluindo plataformas, relacionadas com a cibersegurança a nível da União, em especial a plataforma única de comunicação de informações criada nos termos do artigo 16.º, n.º 1, do Regulamento (UE) 2024/2847 [e o ponto de entrada único para a notificação de incidentes criado nos termos do artigo 23.º-A da Diretiva (UE) 2022/2555], e ferramentas de teste para apoiar a aplicação dos procedimentos de avaliação da conformidade de acordo com a legislação pertinente da União.

2.Se for caso disso, para efeitos do n.º 1, a ENISA coopera e troca informações com a rede de CSIRT e, quando aplicável, com as autoridades de fiscalização do mercado.

Artigo 16.º
Serviços de gestão de vulnerabilidades

A ENISA desenvolve uma capacidade comum de serviços de gestão de vulnerabilidades a nível da União e presta serviços de gestão de vulnerabilidades às partes interessadas:

a)Mantendo a base de dados europeia de vulnerabilidades criada nos termos do artigo 12.º, n.º 2, da Diretiva (UE) 2022/2555;

b)Prestando serviços de gestão de vulnerabilidades às partes interessadas, tirando partido da base de dados europeia de vulnerabilidades e utilizando as informações pertinentes à disposição da ENISA;

c)Estabelecendo, se for caso disso, uma cooperação estruturada com organizações que fornecem programas, registos ou bases de dados semelhantes à base de dados europeia de vulnerabilidades;

d)Apoiando ativamente as CSIRT designadas coordenadoras nos termos do artigo 12.º, n.º 1, da Diretiva (UE) 2022/2555, relativamente à gestão da divulgação coordenada de vulnerabilidades que possam ter um impacto significativo nas entidades de mais do que um Estado-Membro;

e)Desenvolvendo e mantendo metodologias e mecanismos de governação para a identificação e divulgação coordenada de vulnerabilidades, em cooperação com as autoridades nacionais competentes, as CSIRT, a indústria e a comunidade de investigação.

Secção 3

Certificação e normalização da cibersegurança

Artigo 17.º
Certificação da cibersegurança

1.A ENISA contribui para o desenvolvimento e a execução da política da União em matéria de certificação da cibersegurança estabelecida no título III do presente regulamento e promove-os. A ENISA é responsável por:

a)Elaborar projetos de sistemas europeus de certificação da cibersegurança («projetos de sistemas») para os produtos, serviços e processos de TIC, os serviços de segurança geridos e a postura de cibersegurança das entidades, em conformidade com o artigo 74.º, e, se for caso disso, desenvolver especificações técnicas nos termos do artigo 77.º;

b)Manter os sistemas europeus de certificação da cibersegurança adotados em conformidade com o artigo 75.º, nomeadamente tendo em vista uma eventual revisão dos sistemas europeus de certificação da cibersegurança adotados nos termos do artigo 76.º;

c)Promover a utilização dos sistemas adotados e manter um sítio Web específico que forneça informações sobre os sistemas europeus de certificação da cibersegurança, os certificados europeus de cibersegurança e as declarações UE de conformidade e os publique, nos termos do artigo 79.º;

d)Organizar o reforço das capacidades relacionadas com os processos de certificação, as atividades de avaliação, a análise pelos pares e a avaliação pelos pares, nomeadamente prestando apoio aos Estados-Membros, a pedido destes, em conformidade com o artigo 6.º, ponto 12).

2.A ENISA apoia a Comissão nas seguintes atividades:

a)A governação do GECC, nos termos do artigo 90.º;

b)A organização de uma Assembleia Europeia de Certificação da Cibersegurança, em conformidade com o artigo 72.º, n.º 1;

c)As atividades relacionadas com o reconhecimento internacional dos certificados europeus de cibersegurança, em conformidade com o artigo 87.º;

d)A organização de análises pelos pares, nos termos do artigo 89.º;

e)A elaboração de disposições-tipo a referenciar nos sistemas europeus de certificação da cibersegurança dos produtos, serviços e processos de TIC, dos serviços de segurança geridos e da postura de cibersegurança das entidades, em conformidade com o artigo 81.º, n.º 5.

Artigo 18.º
Normalização, especificações técnicas e orientações

1.A ENISA elabora especificações técnicas e orientações para apoiar a aplicação da legislação da União no domínio da cibersegurança. Ao elaborar essas especificações técnicas, a ENISA tem em conta as normas europeias e internacionais existentes, bem como outras especificações técnicas pertinentes. A ENISA assegura a coerência das suas especificações técnicas e orientações.

2.A ENISA acompanha e, se for caso disso, participa e lidera atividades de desenvolvimento da normalização a nível da União e, em conformidade com o artigo 9.º, a nível internacional, com vista a apoiar as políticas da União relacionadas com a cibersegurança.

3.A ENISA apoia o desenvolvimento e a avaliação de algoritmos criptográficos. Caso avalie positivamente um algoritmo criptográfico, a ENISA coopera, em conformidade com o Regulamento (UE) n.º 1025/2012, com os organismos europeus de normalização para apoiar a respetiva normalização.

4.A ENISA presta aconselhamento técnico à Comissão e, se for caso disso, aos Estados-Membros, sobre normas ou especificações técnicas adequadas em apoio das políticas da União relacionadas com a cibersegurança, incluindo a legislação de harmonização da União no domínio da cibersegurança, em especial o Regulamento (UE) 2024/2847, os domínios técnicos para efeitos do artigo 25.º da Diretiva (UE) 2022/2555 e os sistemas europeus de certificação da cibersegurança nos termos do artigo 81.º, n.º 1, alínea d).

5.A ENISA assiste a Comissão na avaliação dos projetos de normas harmonizadas para apoiar a aplicação da legislação de harmonização da União no domínio da cibersegurança.

6.A ENISA promove a adoção de normas europeias e internacionais em matéria de cibersegurança.

7.A ENISA exerce as atribuições referidas nos n.os 1 a 6 com integridade, imparcialidade e confidencialidade, nomeadamente cessando ou suspendendo a sua participação em organismos técnicos específicos, caso essa participação seja incompatível com outras atribuições ou objetivos.

Secção 4 
Implementação da Academia de Competências de Cibersegurança

Artigo 19.º
Quadro Europeu de Competências em Cibersegurança

1.A ENISA desenvolve e disponibiliza ao público um Quadro Europeu de Competências em Cibersegurança (QECC). Antes de disponibilizar o QECC ao público ou de o atualizar nos termos do n.º 4, a ENISA consulta a Comissão.

2.O QECC define perfis de profissionais de cibersegurança e associa tarefas, competências e conhecimentos específicos a um determinado perfil de funções. A utilização do QECC é voluntária para as entidades públicas e privadas.

3.A ENISA pode consultar as partes interessadas no desenvolvimento e na adoção do QECC.

4.A ENISA avalia regularmente a necessidade de atualizar o QECC e, se for caso disso, procede a essa atualização.

Artigo 20.º
Desenvolvimento, adoção e manutenção de sistemas de atestados individuais europeus de competências de cibersegurança

1.A ENISA desenvolve, adota e mantém sistemas de atestados individuais europeus de competências de cibersegurança. A utilização de sistemas de atestados individuais europeus de competências de cibersegurança é voluntária para os organismos públicos nacionais e as entidades privadas, salvo disposição em contrário no direito nacional.

2.Antes de iniciar um novo sistema de atestados individuais europeus de competências de cibersegurança, a ENISA consulta a Comissão. A ENISA só adota esse sistema após parecer favorável da Comissão. Ao preparar um sistema de atestados individuais europeus de competências de cibersegurança, a ENISA pode consultar as partes interessadas.

3.Um sistema de atestados individuais europeus de competências de cibersegurança inclui os seguintes elementos:

a)Objeto e âmbito de aplicação do sistema de atestados com base nos perfis de funções do QECC ou em subconjuntos dos mesmos;

b)Requisitos aplicáveis às pessoas formadas para realizar avaliações («avaliadores») em conformidade com o artigo 21.º, as competências, os conhecimentos e a experiência necessários, bem como os métodos de formação;

c)Análise da aceitação pelo mercado específica de cada sistema de atestados;

d)Os resultados de aprendizagem, os métodos de avaliação e as condições que os prestadores de atestados autorizados devem utilizar para avaliar a demonstração, por uma pessoa, das competências exigidas em conformidade com o artigo 21.º;

e)Um ou mais níveis de proficiência, se for caso disso;

f)Regras relativas à conservação de registos pelos prestadores de atestados autorizados;

g)O conteúdo e o formato dos atestados individuais europeus de competências de cibersegurança, tendo devidamente em conta o artigo 21.º, n.º 5, alínea e);

h)O prazo máximo de validade de um atestado individual europeu de competências de cibersegurança emitido ao abrigo do sistema de atestados;

4.Um sistema de atestados individuais europeus de competências de cibersegurança pode incluir o custo indicativo de um atestado individual europeu de competências de cibersegurança.

5.A ENISA assegura uma estreita cooperação com os Estados-Membros ao longo da preparação dos sistemas de atestados individuais europeus de competências de cibersegurança.

6.A alteração de um sistema de atestados individuais europeus de competências de cibersegurança não afeta a autorização concedida nos termos do artigo 22.º, n.º 3, alínea a), que permanece válida durante o período para o qual é concedida.

Artigo 21.º
Prestadores de atestados autorizados

1.Os prestadores de atestados autorizados avaliam se as pessoas cumprem os requisitos de um sistema de atestados individuais europeus de competências de cibersegurança e, se esses requisitos forem cumpridos, emitem atestados individuais europeus de competências de cibersegurança. Os prestadores de atestados podem ser titulares de várias autorizações, cada uma delas concedida para um sistema de atestados individuais europeus de competências de cibersegurança.

2.A ENISA fornece orientações e ministra formação obrigatória aos avaliadores sobre os requisitos e os métodos de avaliação incluídos no sistema de atestados individuais europeus de competências de cibersegurança a que se refere o artigo 20.º, n.º 3, alínea b).

3.As entidades que pretendam tornar-se prestadores de atestados autorizados ou renovar a sua autorização («requerentes») apresentam um pedido à ENISA. Devem preencher os seguintes requisitos:

a)Ter personalidade jurídica;

b)Ser capazes de desempenhar as funções previstas no presente regulamento em relação aos atestados individuais europeus de competências de cibersegurança, independentemente de a avaliação ser realizada pelo próprio prestador de atestados autorizado ou em seu nome e sob a sua responsabilidade;

c)Dispor dos meios necessários para a boa execução das funções técnicas e administrativas relacionadas com o sistema de atestados individuais europeus de competências de cibersegurança e ter acesso a todos os equipamentos e instalações necessários.

Para efeitos do primeiro parágrafo, alínea b), a subcontratação ou consulta a pessoal externo deve ser devidamente documentada, não pode envolver intermediários e deve estar subordinada a um acordo escrito que abranja, entre outros aspetos, a confidencialidade e os conflitos de interesses.

4.Os requerentes não podem ser fornecedores de alto risco.

5.Os prestadores de atestados autorizados devem cumprir as seguintes obrigações:

a)Para a aplicação de cada sistema de atestados individuais europeus de competências de cibersegurança:

i)dispor dos avaliadores e do pessoal necessários para levar a cabo as suas atividades, tal como estabelecido nesse sistema, em tempo útil,

ii)assegurar que os avaliadores respeitem o sigilo profissional, sejam imparciais e executem o seu trabalho de forma independente e com o mais elevado grau de integridade profissional,

iii)dispor de procedimentos escritos para o exercício das suas atividades ao abrigo do sistema para o qual estão autorizados;

b)Não avaliar nem emitir atestados individuais europeus de competências de cibersegurança aos seus próprios avaliadores;

c)Assegurar, se for caso disso através da criação de salvaguardas adequadas, que os seus avaliadores possam desempenhar o seu trabalho de forma independente, em especial se essas pessoas pertencerem à sua própria estrutura ou forem funcionários ou formandos dessa estrutura;

d)Abster-se de exercer qualquer atividade suscetível de comprometer a independência da apreciação ou a integridade dos seus avaliadores;

e)Assegurar que, a pedido da pessoa em causa, os atestados eletrónicos dos atestados individuais europeus de competências de cibersegurança sejam emitidos como certificados eletrónicos de atributos num formato que possa ser armazenado nas carteiras europeias de identidade digital previstas no Regulamento (UE) n.º 910/2014.

6.Os prestadores de atestados autorizados informam imediatamente a ENISA se algum dos requisitos enumerados nos n.os 3 e 4 ou as obrigações enumeradas no n.º 5 deixarem de ser cumpridos ou se surgirem dúvidas de que esses requisitos ou obrigações não sejam cumpridos, nomeadamente no que diz respeito à independência dos avaliadores.

7.Os prestadores de atestados autorizados podem cobrar uma taxa às pessoas pela avaliação e emissão dos atestados individuais europeus de competências de cibersegurança, tendo em conta o custo indicativo de um atestado individual europeu de competências de cibersegurança nos termos do artigo 20.º, n.º 4, tornado público num sítio Web específico, em conformidade com o artigo 23.º, alínea d).

8.Os requerentes e os prestadores de atestados autorizados permitem que a ENISA realize avaliações no âmbito do processo de pedido ou da manutenção da autorização e partilhe todas as informações pertinentes para assegurar que os requisitos estabelecidos nos n.os 3 e 4, ou as obrigações estabelecidas no n.º 5, são ou continuam a ser cumpridos nos termos do artigo 22.º, n.º 2.

Artigo 22.º
Análise dos pedidos de obtenção do estatuto de prestador de atestados autorizado e manutenção das autorizações

1.Os requerentes pagam uma taxa à ENISA pela análise dos seus pedidos. Os prestadores de atestados autorizados pagam uma taxa à ENISA pela manutenção da sua autorização.

2.A ENISA avalia se os requisitos estabelecidos no artigo 21.º, n.os 3 e 4, e as obrigações estabelecidas no artigo 21.º, n.º 5, são ou continuam a ser cumpridos pelos requerentes e pelos prestadores de atestados autorizados.

3.Após analisar um pedido à luz dos requisitos estabelecidos no artigo 21.º, n.os 3 e 4, a ENISA pode emitir uma das seguintes decisões:

a)Conceder ao requerente o estatuto de prestador de atestados autorizado ou renová-lo;

b)Indeferir o pedido de obtenção do estatuto de prestador de atestados autorizado ou não o renovar;

c)Encerrar o tratamento do pedido devido à inação do requerente na sequência de um pedido de informações adicionais apresentado pela ENISA.

A ENISA pode alterar, suspender ou revogar essas decisões com base na sua avaliação nos termos do artigo 22.º, n.º 2, ou no caso referido no artigo 21.º, n.º 6.

4.A ENISA emite a decisão a que se refere o n.º 3 no prazo de três meses a contar da data de apresentação de um pedido nos termos do artigo 21.º, n.º 3. Se a ENISA solicitar informações adicionais ao requerente, emite a decisão a que se refere o n.º 3 no prazo de um mês a contar da receção dessas informações.

5.A decisão a que se refere o n.º 3, alínea a), tem uma duração máxima de três anos e indica a taxa relativa à manutenção anual da autorização.

6.A ENISA assegura que as suas atividades relacionadas com o desenvolvimento e a adoção de sistemas de atestados individuais europeus de competências de cibersegurança, tal como previsto no artigo 20.º, sejam estritamente separadas e realizadas de forma independente das atividades de análise dos pedidos e de avaliação previstas nos n.os 2 e 3 do presente artigo.

Artigo 23.º
Informação ao público

A ENISA mantém e atualiza regularmente um sítio Web específico que faculte informações públicas sobre:

a)O QECC, incluindo o quadro e o seu calendário de atualização;

b)Os sistemas de atestados individuais europeus de competências de cibersegurança, o seu progresso e os prazos para o seu desenvolvimento;

c)As taxas associadas a cada sistema de atestados individuais europeus de competências de cibersegurança adotadas nos termos do artigo 47.º do presente regulamento;

d)O custo indicativo de um atestado individual europeu de competências de cibersegurança, em conformidade com o artigo 20.º, n.º 4;

e)A lista de prestadores de atestados autorizados.

CAPÍTULO III 
Organização da ENISA

Artigo 24.º
Estrutura administrativa e de gestão da ENISA

A estrutura administrativa e de gestão da ENISA inclui:

a)Um Conselho de Administração, que exerce as funções definidas no artigo 28.º;

b)Uma Comissão Executiva, que exerce as funções definidas no artigo 30.º;

c)Um diretor executivo, que exerce as responsabilidades definidas no artigo 32.º;

d)Um subdiretor executivo, que exerce as responsabilidades definidas no artigo 34.º;

e)Um Grupo Consultivo da ENISA;

f)Uma Câmara de Recurso, que exercerá as funções definidas nos artigos 39.º a 42.º.

Secção 1 
Conselho de Administração

Artigo 25.º
Composição do Conselho de Administração

1.O Conselho de Administração é composto por um membro nomeado por cada Estado-Membro e dois membros nomeados pela Comissão. Todos os membros têm direito de voto.

2.Cada membro do Conselho de Administração tem um suplente. Os suplentes representam os membros na ausência destes.

3.Cada Estado-Membro nomeia o chefe de uma autoridade nacional competente designada nos termos do artigo 8.º, n.º 1, da Diretiva (UE) 2022/2555 como membro do Conselho de Administração. Se tal não for viável, os Estados-Membros nomeiam um representante de alto nível de uma autoridade nacional competente designada nos termos do artigo 8.º, n.º 1, da Diretiva (UE) 2022/2555 como membro do Conselho de Administração.

4.Os membros nomeados pela Comissão e os membros suplentes do Conselho de Administração são nomeados em função dos seus conhecimentos no domínio da cibersegurança, tendo em conta as suas competências de gestão, administrativas e orçamentais relevantes. A Comissão e os Estados-Membros, no que diz respeito aos suplentes, envidam esforços para alcançar uma representação equilibrada entre homens e mulheres no Conselho de Administração e para limitar a sua rotação, a fim de assegurar a continuidade do trabalho do Conselho de Administração.

5.A duração do mandato dos membros nomeados pelos Estados-Membros é igual à duração do seu cargo referido no n.º 3.

6.O mandato dos suplentes e dos membros nomeados pela Comissão tem a duração de quatro anos. O mandato é renovável.

Artigo 26.º
Presidente do Conselho de Administração

1.O Conselho de Administração elege um presidente e um vice-presidente de entre os seus membros com direito de voto. O presidente e o vice-presidente são eleitos por maioria de dois terços dos membros do Conselho de Administração com direito de voto.

2.O vice-presidente substitui automaticamente o presidente sempre que este se encontre impedido de exercer as suas funções.

3.O mandato do presidente e do vice-presidente tem a duração de quatro anos e pode ser renovado uma vez. Todavia, se os seus mandatos de membros do Conselho de Administração terminarem durante a vigência dos respetivos mandatos de presidente e vice-presidente, estes últimos caducam automaticamente na mesma data.

Artigo 27.º
Reuniões do Conselho de Administração

1.O presidente convoca as reuniões do Conselho de Administração.

2.O diretor executivo participa nas reuniões do Conselho de Administração, mas não tem direito de voto.

3.O Conselho de Administração reúne-se pelo menos duas vezes por ano em sessão ordinária. Reúne-se, além disso, por iniciativa do seu presidente ou a pedido da Comissão ou de um terço, pelo menos, dos seus membros.

4.Um representante do Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança criado pelo Regulamento (UE) 2021/887 é um observador permanente, sem direito de voto, nas reuniões do Conselho de Administração.

5.O Conselho de Administração pode convidar qualquer pessoa cuja opinião possa ser útil a participar numa reunião, ou parte de uma reunião, na qualidade de observadora ad hoc, sem direito de voto e sob reserva do disposto no regulamento interno do Conselho de Administração.

6.Os membros do Conselho de Administração e os seus suplentes podem ser assistidos nas reuniões do Conselho de Administração por consultores ou peritos, sob reserva do disposto no regulamento interno do Conselho de Administração.

Artigo 28.º
Funções do Conselho de Administração

1.Compete ao Conselho de Administração:

a)Definir a orientação geral das operações da ENISA e assegurar que esta funcione de acordo com as regras e os princípios estabelecidos no presente regulamento; compete-lhe igualmente assegurar a coerência dos trabalhos da ENISA com as atividades realizadas pelos Estados-Membros, assim como a nível da União;

b)Adotar o projeto de documento único de programação da ENISA a que se refere o artigo 44.º, antes da sua apresentação à Comissão para parecer;

c)Tendo em conta o parecer da Comissão, adotar o documento único de programação da ENISA nos termos do artigo 29.º, n.º 2, alínea a);

d)Supervisionar a execução do programa anual e plurianual previsto no documento único de programação;

e)Adotar o orçamento anual da ENISA em conformidade com o artigo 29.º, n.º 2, alínea b), e exercer outras funções respeitantes ao orçamento da ENISA, nos termos do capítulo IV;

f)Avaliar e adotar o relatório anual consolidado de atividades da ENISA, incluindo as contas da ENISA e uma descrição do modo como esta cumpriu os seus indicadores de desempenho; enviar o relatório anual e a respetiva avaliação, até 1 de julho do ano seguinte, ao Parlamento Europeu, ao Conselho, à Comissão e ao Tribunal de Contas Europeu; tornar público o relatório anual;

g)Adotar as regras financeiras aplicáveis à ENISA nos termos do artigo 50.º;

h)Adotar uma estratégia antifraude proporcional aos riscos de fraude, tendo em conta uma análise de custo-benefício das medidas a aplicar;

i)Assegurar que é dado seguimento adequado às conclusões e recomendações constantes dos relatórios de auditoria e avaliações internos ou externos, bem como dos inquéritos do Organismo Europeu de Luta Antifraude (OLAF) e da Procuradoria Europeia;

j)Adotar o seu regulamento interno, incluindo as regras sobre a adoção de decisões provisórias a respeito da delegação de atribuições específicas, ao abrigo do artigo 30.º, n.º 7;

k)Exercer, nos termos do n.º 2 do presente artigo, no que respeita ao pessoal da ENISA, os poderes conferidos pelo Estatuto dos Funcionários da União Europeia («Estatuto dos Funcionários») e pelo Regime Aplicável aos Outros Agentes da União Europeia («Regime Aplicável aos Outros Agentes»), estabelecidos no Regulamento (CEE, Euratom, CECA) n.º 259/68 do Conselho 73 , à autoridade investida do poder de nomeação e à autoridade investida do poder de celebrar contratos, respetivamente («poderes da autoridade investida do poder de nomeação»);

l)Adotar regras de execução para dar cumprimento ao Estatuto dos Funcionários e ao Regime Aplicável aos Outros Agentes, nos termos do artigo 110.º, n.º 2, do Estatuto dos Funcionários;

m)Nomear o diretor executivo, bem como o subdiretor executivo, se decidir criar esse cargo, e, se for caso disso, prorrogar os respetivos mandatos ou destituí-los, nos termos do artigo 31.º;

n)Nomear um contabilista, sujeito às disposições do Estatuto dos Funcionários e do Regime Aplicável aos Outros Agentes, que exerce as suas funções de forma independente;

o)Tomar todas as decisões relativas à criação e, sempre que necessário, à alteração das estruturas internas da ENISA, tendo em consideração as necessidades decorrentes das atividades desta e uma boa gestão orçamental;

p)Autorizar a conclusão de acordos de cooperação nos termos do artigo 68.º;

q)Autorizar a celebração de acordos de cooperação, nos termos do artigo 70.º;

r)Nomear e destituir os membros da Câmara de Recurso nos termos do artigo 29.º, n.º 2, alínea d);

s)Adotar regras de prevenção e gestão de conflitos de interesses relativamente aos membros da Câmara de Recurso.

2.Nos termos do artigo 110.º, n.º 2, do Estatuto dos Funcionários, o Conselho de Administração adota uma decisão baseada no artigo 2.º, n.º 1, do Estatuto dos Funcionários e no artigo 6.º do Regime Aplicável aos Outros Agentes, pela qual delega no diretor executivo os poderes pertinentes da autoridade investida do poder de nomeação e define as condições em que essa delegação de poderes pode ser suspensa. O diretor executivo pode subdelegar esses poderes.

3.Se circunstâncias excecionais o exigirem, o Conselho de Administração pode adotar uma decisão para suspender temporariamente a delegação de poderes da autoridade investida do poder de nomeação no diretor executivo e os poderes da autoridade investida do poder de nomeação subdelegados por este último, passando a exercê-los ou delegando-os num dos seus membros ou num membro do pessoal distinto do diretor executivo.

Artigo 29.º
Regras de votação do Conselho de Administração

1.O Conselho de Administração adota as suas decisões por maioria absoluta dos seus membros com direito de voto, salvo disposição em contrário do presente regulamento.

2.É necessária uma maioria de dois terços dos membros do Conselho de Administração com direito de voto para:

a)A adoção do documento único de programação a que se refere o artigo 28.º, n.º 1, alínea c);

b) A adoção do orçamento anual a que se refere o artigo 28.º, n.º 1, alínea e);

c) A nomeação, prorrogação do mandato ou destituição do diretor executivo e do subdiretor executivo, tal como referido nos artigos 31.º e 33.º;

d)A nomeação e a destituição dos membros da Câmara de Recurso, tal como referido no artigo 36.º.

3.As decisões sobre questões orçamentais ou de recursos humanos, em especial as questões referidas no artigo 28.º, n.º 1, alíneas c), e), f), g), h), i), k), l), m) e n), só são adotadas se os representantes da Comissão votarem favoravelmente. Para efeitos da adoção das decisões a que se refere o artigo 28.º, n.º 1, alínea c), relativas ao documento único de programação da ENISA, só é necessário um voto favorável do representante da Comissão sobre os elementos da decisão não relacionados com o programa de trabalho anual e plurianual da ENISA.

4.Cada membro com direito de voto dispõe de um voto. Na ausência de um membro com direito de voto, o seu suplente pode exercer o direito de voto.

5.O presidente do Conselho de Administração participa na votação.

6.O diretor executivo não participa na votação.

7.O regulamento interno do Conselho de Administração estabelece regras de votação mais pormenorizadas, em especial as condições em que um membro pode agir em nome de outro.

Secção 2 
Comissão Executiva

Artigo 30.º
Comissão Executiva

1.O Conselho de Administração é assistido por uma Comissão Executiva.

2.Compete à Comissão Executiva:

a)Preparar as decisões a adotar pelo Conselho de Administração;

b)Assegurar, juntamente com o Conselho de Administração, o seguimento adequado das conclusões e recomendações constantes dos relatórios de auditoria e avaliações internos ou externos, bem como dos inquéritos do OLAF e da Procuradoria Europeia;

c)Sem prejuízo das responsabilidades do diretor executivo previstas no artigo 32.º, prestar assistência e aconselhamento ao diretor executivo na execução das decisões do Conselho de Administração, a fim de reforçar a supervisão da gestão administrativa e orçamental.

3.A Comissão Executiva é composta pelo presidente do Conselho de Administração, um representante da Comissão no Conselho de Administração e três outros membros nomeados pelo Conselho de Administração de entre os seus membros com direito de voto. O presidente do Conselho de Administração é igualmente o presidente da Comissão Executiva. As nomeações dos membros da Comissão Executiva procuram assegurar o equilíbrio de género na Comissão Executiva. O diretor executivo participa nas reuniões da Comissão Executiva, mas sem direito de voto.

4.O mandato dos membros da Comissão Executiva tem a duração de quatro anos. O mandato é renovável. O mandato dos membros da Comissão Executiva cessa no momento em que terminem as respetivas funções como membros do Conselho de Administração.

5.A Comissão Executiva reúne-se em sessão ordinária pelo menos uma vez por trimestre. Pode também reunir-se por iniciativa do seu presidente ou a pedido dos seus membros.

6.O Conselho de Administração estabelece o regulamento interno da Comissão Executiva.

7.Se necessário, por motivos de urgência, a Comissão Executiva pode tomar determinadas decisões provisórias em nome do Conselho de Administração, nomeadamente em matéria de gestão administrativa, incluindo a suspensão da delegação de poderes da autoridade investida do poder de nomeação, e em matéria orçamental. Estas decisões provisórias são comunicadas ao Conselho de Administração sem demora injustificada. O Conselho de Administração decide então da aprovação ou rejeição das decisões provisórias, o mais tardar três meses após a tomada dessas decisões. A Comissão Executiva não pode tomar decisões em nome do Conselho de Administração que tenham de ser aprovadas por maioria de dois terços dos membros do Conselho de Administração com direito de voto.

Secção 3 
Diretor executivo

Artigo 31.º
Nomeação, exoneração e prorrogação do mandato

1.O diretor executivo é nomeado pelo Conselho de Administração com base no mérito e nas competências a partir de uma lista de candidatos propostos pela Comissão, na sequência de um processo de seleção aberto e transparente.

2.Antes de ser nomeado, o candidato selecionado pelo Conselho de Administração é convidado a proferir uma declaração perante a comissão competente do Parlamento Europeu e a responder a perguntas dos deputados.

3.O diretor executivo é contratado como agente temporário da ENISA, nos termos do artigo 2.º, alínea a), do Regime Aplicável aos Outros Agentes.

4.Para efeitos da celebração do contrato com o diretor executivo, a ENISA é representada pelo presidente do Conselho de Administração.

5.O mandato do diretor executivo tem a duração de cinco anos. Atempadamente, antes do termo desse período, a Comissão procede a uma avaliação que tenha em conta uma apreciação do desempenho do diretor executivo e as futuras atribuições e desafios da ENISA.

6.O Conselho de Administração, deliberando sob proposta da Comissão que tenha em conta a avaliação a que se refere o n.º 5, pode prorrogar o mandato do diretor executivo uma única vez, por um período não superior a cinco anos.

7.Um diretor executivo cujo mandato tenha sido prorrogado não pode participar noutro processo de seleção para o mesmo lugar no final do período total do mandato.

8.O Conselho de Administração informa o Parlamento Europeu da sua intenção de prorrogar o mandato do diretor executivo, em conformidade com o n.º 6. No prazo de três meses antes de tal prorrogação, o diretor executivo profere, se a tal for convidado, uma declaração perante a comissão competente do Parlamento Europeu e responde a perguntas dos deputados.

9.O diretor executivo só pode ser destituído por decisão do Conselho de Administração, deliberando sob proposta da Comissão.

Artigo 32.º
Funções e responsabilidades do diretor executivo

1.O diretor executivo gere a ENISA e responde perante o Conselho de Administração.

2.O diretor executivo é independente no exercício das suas funções, não podendo solicitar ou aceitar instruções de qualquer governo ou outro organismo.

3.O diretor executivo informa o Parlamento Europeu sobre o exercício das suas funções quando convidado a fazê‑lo. O Conselho pode convidar o diretor executivo a prestar informações sobre o exercício das suas funções.

4.O diretor executivo é o representante legal da ENISA.

5.O diretor executivo é responsável pela execução das atribuições conferidas à ENISA nos termos do presente regulamento. Em particular, compete ao diretor executivo:

a)Assegurar a administração corrente da ENISA;

b)Executar as decisões adotadas pelo Conselho de Administração;

c)Assegurar o cumprimento das regras financeiras da ENISA;

d)Elaborar o projeto de documento único de programação e apresentá-lo ao Conselho de Administração para aprovação antes da sua apresentação à Comissão para parecer;

e)Executar o documento único de programação e apresentar ao Conselho de Administração relatórios sobre a sua execução;

f)Elaborar o relatório anual de atividades consolidado da ENISA, incluindo a execução do programa de trabalho anual da ENISA, e apresentá-lo ao Conselho de Administração para avaliação e adoção;

g)Preparar um plano de ação que dê seguimento às conclusões das avaliações retrospetivas da ENISA, conforme referido no artigo 121.º, e apresentar à Comissão, de dois em dois anos, um relatório sobre os progressos realizados;

h)Elaborar um plano de ação que dê seguimento às conclusões dos relatórios de auditoria e avaliações internos ou externos, assim como dos inquéritos do OLAF e da Procuradoria Europeia, e apresentar relatórios à Comissão, duas vezes por ano, e, regularmente, ao Conselho de Administração sobre os progressos realizados;

i)Elaborar o projeto das regras financeiras aplicáveis à ENISA referido no artigo 50.º;

j)Elaborar o projeto de mapa previsional de receitas e despesas da ENISA e executar o seu orçamento;

k)Proteger os interesses financeiros da União, mediante a aplicação de medidas preventivas contra a fraude, a corrupção e quaisquer outras atividades ilícitas, sem prejuízo das competências do OLAF e da Procuradoria Europeia em matéria de inquérito, através de controlos efetivos e, caso sejam detetadas irregularidades, da recuperação dos montantes pagos indevidamente, bem como, se for caso disso, da imposição de sanções administrativas e financeiras efetivas, proporcionadas e dissuasivas;

l)Elaborar, para a ENISA, uma estratégia antifraude, uma estratégia de ganhos de eficiência e sinergias, uma estratégia de cooperação com países terceiros ou organizações internacionais e uma estratégia para a gestão organizacional e os sistemas de controlo interno e apresentá-las ao Conselho de Administração para aprovação;

m)Desenvolver e manter o contacto com a comunidade empresarial e com as organizações de consumidores, a fim de assegurar um diálogo regular com as partes interessadas;

n)Trocar regularmente pontos de vista e informações com as entidades competentes da União sobre as suas atividades relacionadas com a cibersegurança, a fim de assegurar a coerência na execução da política da União nesse domínio;

o)Promover a diversidade e o equilíbrio de género no recrutamento do pessoal da ENISA;

p)Adotar sistemas de atestados individuais europeus de competências de cibersegurança, tal como referido no artigo 20.º, n.º 1;

q)Adotar decisões relativas aos pedidos de obtenção do estatuto de prestadores de atestados autorizados ou à renovação da respetiva autorização, tal como referido no artigo 22.º, n.º 3;

r)Exercer outras funções que lhe sejam conferidas pelo presente regulamento.

6.Se necessário, e no âmbito dos objetivos e das atribuições da ENISA, o diretor executivo pode criar grupos de trabalho ad hoc compostos por peritos, nomeadamente peritos das autoridades competentes dos Estados-Membros. O diretor executivo informa antecipadamente o Conselho de Administração do facto. Os procedimentos relativos, nomeadamente, à composição e ao funcionamento dos grupos de trabalho e à nomeação dos peritos que os compõem pelo diretor executivo são especificados no regulamento interno da ENISA.

7.Se necessário, de modo a assegurar o exercício eficaz e eficiente das atribuições da ENISA e com base numa análise adequada de custo-benefício, o diretor executivo pode decidir criar uma ou mais delegações locais num ou mais Estados-Membros. Antes de decidir criar uma delegação local, o diretor executivo solicita o parecer dos Estados-Membros interessados, incluindo o Estado-Membro onde a ENISA tem sede, e obtém o consentimento prévio da Comissão e do Conselho de Administração. Em caso de desacordo durante o processo de consulta entre o diretor executivo e os Estados-Membros interessados, o assunto é levado ao Conselho para debate. O número agregado de membros do pessoal em todas as delegações locais é o mais reduzido possível e não pode exceder 40 % do total dos membros do pessoal da ENISA situado no Estado-Membro onde esta tem sede. O número de membros do pessoal em cada delegação local não pode exceder 10 % do total dos membros do pessoal da ENISA situado no Estado-Membro onde esta tem sede.

8.A decisão de criação de uma delegação local especifica o âmbito das atividades a realizar pela delegação local, de modo a evitar custos desnecessários e a duplicação de funções administrativas da ENISA.

Secção 4 
Subdiretor executivo

Artigo 33.º
Subdiretor executivo

1.O Conselho de Administração pode decidir criar o cargo de subdiretor executivo para prestar assistência ao diretor executivo.

2.Caso o Conselho de Administração decida criar o cargo de subdiretor executivo, o disposto no artigo 31.º é aplicável ao subdiretor executivo em conformidade.

Artigo 34.º
Funções e responsabilidades do subdiretor executivo

O subdiretor executivo assiste o diretor executivo na gestão da ENISA e no exercício das funções a que se refere o artigo 32.º. Em caso de ausência ou impedimento do diretor executivo, ou se o lugar estiver vago, o subdiretor executivo assume essa função durante o período de ausência ou até ao provimento do lugar.

Secção 5 
Grupo Consultivo da ENISA

Artigo 35.º
Grupo Consultivo da ENISA

1.O Conselho de Administração, deliberando sob proposta do diretor executivo, cria o Grupo Consultivo da ENISA de forma transparente. O Grupo Consultivo da ENISA é composto por peritos reconhecidos que representam as partes interessadas, como o setor da cibersegurança, o setor das TIC, as PME, as entidades que operam nos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555, os fabricantes de produtos com elementos digitais e os administradores de software de código-fonte aberto na aceção do Regulamento (UE) 2024/2847, os organismos de avaliação da conformidade notificados ao abrigo do enquadramento europeu para a certificação da cibersegurança nos termos do artigo 93.º e do Regulamento (UE) 2024/2847, as entidades que operam no domínio dos meios de identificação eletrónica, os grupos de consumidores, os peritos académicos no domínio da cibersegurança, os organismos europeus de normalização, bem como as autoridades supervisoras responsáveis pela aplicação da lei e autoridades de controlo da proteção dos dados. Esses peritos reconhecidos devem ser nacionais dos Estados-Membros. O Conselho de Administração procura assegurar o equilíbrio adequado entre os géneros e as origens geográficas, bem como o equilíbrio entre os diferentes grupos de partes interessadas.

2.Os procedimentos relativos ao Grupo Consultivo da ENISA, nomeadamente quanto à sua composição, à proposta do diretor executivo a que se refere o n.º 1, ao número, à nomeação dos seus membros e ao seu funcionamento são especificados no regulamento interno da ENISA e publicados.

3.O Grupo Consultivo da ENISA é presidido pelo diretor executivo ou por qualquer outra pessoa por este, caso a caso, nomeada.

4.O mandato dos membros do Grupo Consultivo da ENISA tem a duração de dois anos e meio e é renovável uma vez. Os membros do Conselho de Administração não podem ser membros do Grupo Consultivo da ENISA. Podem assistir às reuniões do Grupo Consultivo da ENISA, e participar nos seus trabalhos, peritos da Comissão e dos Estados-Membros. O diretor executivo pode convidar representantes de outros organismos que não sejam membros do Grupo Consultivo da ENISA a assistir às reuniões deste grupo e a participar nos seus trabalhos.

5.O Grupo Consultivo da ENISA presta aconselhamento à ENISA quanto ao exercício das atribuições desta, exceto quanto à aplicação das disposições dos títulos III, IV e V do presente regulamento. Em particular, presta aconselhamento ao diretor executivo quanto à elaboração da proposta de programa de trabalho anual da ENISA e à comunicação com as partes interessadas sobre as questões ligadas ao programa de trabalho anual.

6.O Grupo Consultivo da ENISA informa regularmente o Conselho de Administração das suas atividades.

7.A ENISA fornece ao Grupo Consultivo da ENISA o apoio logístico necessário e secretaria as suas reuniões.

Secção 6 
Câmara de Recurso

Artigo 36.º
Criação e composição da Câmara de Recurso

1.A ENISA cria uma Câmara de Recurso por decisão do Conselho de Administração.

2.A Câmara de Recurso é composta por um presidente e por três outros membros. Cada membro da Câmara de Recurso tem um suplente. O suplente representa o membro na ausência deste.

3.O Conselho de Administração nomeia o presidente, os outros membros e os respetivos suplentes a partir de uma lista de candidatos qualificados elaborada pela Comissão. A lista de candidatos qualificados é válida por quatro anos. A validade desta lista pode ser prorrogada pelo Conselho de Administração por períodos adicionais de quatro anos mediante proposta da Comissão.

4.No caso de a Câmara de Recurso considerar que a natureza do recurso assim o exige, pode solicitar ao Conselho de Administração que nomeie dois membros adicionais e os seus suplentes a partir da lista referida no n.º 3.

5.A Câmara de Recurso adota e publica o seu regulamento interno.

Artigo 37.º
Membros da Câmara de Recurso

1.O mandato dos membros da Câmara de Recurso e dos respetivos suplentes tem a duração de quatro anos. O mandato pode ser renovado pelo Conselho de Administração por períodos adicionais de quatro anos mediante proposta da Comissão.

2.Os membros da Câmara de Recurso são independentes e não podem exercer outras funções no seio da ENISA. Ao tomarem as suas decisões, não solicitam nem aceitam instruções de qualquer governo, de qualquer outro organismo ou de qualquer entidade privada.

3.Os membros da Câmara de Recurso não podem ser destituídos, nem retirados da lista de candidatos qualificados durante o respetivo mandato, salvo se existirem motivos sérios para tal e se o Conselho de Administração tomar uma decisão nesse sentido sob proposta da Comissão.

Artigo 38.º
Exclusão e recusa

1.Os membros da Câmara de Recurso não participam em processos de recurso se tiverem qualquer interesse pessoal na questão, se tiverem participado anteriormente nos processos como representantes de uma das partes, ou se tiverem participado na aprovação da decisão que é objeto de recurso.

2.Se, por uma das razões enumeradas no n.º 1 ou por qualquer outro motivo, um membro de uma Câmara de Recurso considerar que não pode participar num processo de recurso, informa desse facto a Câmara de Recurso.

3.Uma parte no processo de recurso pode recusar qualquer membro da Câmara de Recurso por qualquer das razões previstas no n.º 1 ou se o membro for suspeito de parcialidade. A recusa não é admissível se, tendo já conhecimento do motivo de recusa, a parte em causa tiver praticado atos processuais. Nenhuma recusa pode ter por fundamento a nacionalidade dos membros da Câmara de Recurso.

4.A Câmara de Recurso delibera sobre as medidas a tomar nos casos previstos nos n.os 2 e 3 sem a participação do membro em causa. Para a adoção dessa decisão, o membro em causa é substituído na Câmara de Recurso pelo seu suplente.

Artigo 39.º
Recurso de decisões e recurso por omissão

1.Pode ser interposto recurso perante a Câmara de Recurso:

a)Contra as decisões adotadas pela ENISA nos termos do artigo 22.º, n.º 3;

b)Relativamente à omissão de ação por parte da ENISA dentro dos prazos aplicáveis previstos no artigo 22.º, n.º 4.

2.Os recursos interpostos nos termos do n.º 1 são objeto de revisão prejudicial, em conformidade com o artigo 41.º, antes de serem submetidos à apreciação da Câmara de Recurso.

3.Os recursos interpostos nos termos do n.º 1 não têm efeito suspensivo.

Artigo 40.º
Legitimidade para interpor recurso, prazos e forma

1.Os requerentes, na aceção do artigo 21.º, n.º 3, podem interpor recurso:

a)Contra uma decisão da ENISA de que sejam destinatários, nos termos do artigo 22.º, n.º 3;

b)Relativamente à omissão de ação por parte da ENISA, quanto a um pedido por eles apresentado, dentro dos prazos aplicáveis previstos no artigo 22.º, n.º 4.

2.No caso referido no n.º 1, alínea a), o recurso, juntamente com a respetiva fundamentação, deve ser interposto por escrito, em conformidade com o regulamento interno a que se refere o artigo 36.º, n.º 5, no prazo de dois meses a contar da notificação da decisão ao requerente em causa ou, na falta desta, a contar da data em que o requerente tenha tomado conhecimento da decisão.

3.No caso referido no n.º 1, alínea b), o recurso é interposto junto da ENISA por escrito, em conformidade com o regulamento interno a que se refere o artigo 36.º, n.º 5, no prazo de dois meses a contar do dia do termo do prazo fixado no artigo 22.º, n.º 4.

Artigo 41.º
Revisão prejudicial

1.Se a ENISA considerar que o recurso é admissível e fundado, retifica a decisão ou omissão a que se refere o artigo 40.º, n.º 1.

2.Se a ENISA não retificar a decisão no prazo de um mês a contar da receção do recurso, decide de imediato se suspende a aplicação da sua decisão e remete o recurso para a Câmara de Recurso.

Artigo 42.º
Exame das decisões sobre recursos

1.A Câmara de Recurso decide, no prazo de três meses após a interposição do recurso, se lhe dá ou não provimento. Ao examinar um recurso, a Câmara de Recurso delibera nos prazos estabelecidos no seu regulamento interno. Convida as partes no processo de recurso, tantas vezes quantas forem necessárias, a apresentar, num prazo determinado, as suas observações sobre as notificações que lhes tiver enviado ou sobre comunicações das outras partes no processo de recurso. As partes no processo de recurso podem prestar declarações oralmente.

2.Caso a Câmara de Recurso considere que as razões para o recurso são fundadas, remete o caso para a ENISA. A ENISA toma uma decisão final em conformidade com as conclusões da Câmara de Recurso e apresenta a respetiva fundamentação. A ENISA informa da decisão as partes no processo de recurso.

Artigo 43.º
Recursos perante o Tribunal de Justiça da União Europeia

1.Podem ser interpostos no Tribunal de Justiça da União Europeia recursos de anulação de decisões da ENISA adotadas nos termos do artigo 22.º, n.º 3, ou relativos à omissão de ação dentro dos prazos aplicáveis nos termos do artigo 22.º, n.º 4, depois de esgotado o procedimento de recurso na ENISA previsto nos artigos 39.º a 42.º ou em caso de omissão de ação dentro do prazo aplicável nos termos do artigo 41.º, n.º 2.

2.A ENISA toma todas as medidas necessárias para dar cumprimento ao acórdão do Tribunal de Justiça da União Europeia.

Secção 7 
Operações

Artigo 44.º
Documento único de programação

1.A ENISA opera de acordo com um documento único de programação que contém o seu programa de trabalho anual e plurianual e que inclui todas as suas atividades planeadas.

2.Todos os anos, o diretor executivo elabora um projeto de documento único de programação como referido no n.º 1 e o respetivo planeamento de recursos financeiros e humanos, nos termos do artigo 32.º do Regulamento Delegado (UE) 2019/715 74 da Comissão e tendo em conta as orientações fornecidas pela Comissão.

3.Até 30 de novembro de cada ano, o Conselho de Administração adota o documento único de programação a que se refere o n.º 1, tendo em conta o parecer da Comissão a que se refere o artigo 32.º, n.º 7, do Regulamento Delegado (UE) 2019/715. Se o Conselho de Administração decidir não ter em conta certos elementos do parecer da Comissão, apresenta uma justificação exaustiva para essa decisão. O Conselho de Administração transmite o documento único de programação ao Parlamento Europeu, ao Conselho e à Comissão, até 31 de janeiro do ano seguinte, acompanhado de eventuais versões atualizadas.

4.O documento único de programação torna-se definitivo após a aprovação definitiva do orçamento geral da União, devendo ser adaptado, se necessário.

5.O programa de trabalho anual prevê objetivos pormenorizados e os resultados esperados, incluindo indicadores de desempenho. Inclui igualmente uma descrição das ações a financiar e uma indicação dos recursos financeiros e humanos afetados a cada ação, em conformidade com os princípios da orçamentação e gestão por atividades. O programa de trabalho anual deve ser coerente com o programa de trabalho plurianual referido no n.º 7. Deve indicar claramente as atribuições que tenham sido acrescentadas, modificadas ou suprimidas em comparação com o exercício anterior.

6.O Conselho de Administração altera o programa de trabalho anual adotado sempre que seja conferida à ENISA uma nova atribuição. As alterações substanciais do programa de trabalho anual são adotadas segundo o procedimento aplicado ao programa de trabalho anual inicial. O Conselho de Administração pode delegar no diretor executivo os poderes para efetuar alterações não substanciais do programa de trabalho anual.

7.O programa de trabalho plurianual estabelece a programação estratégica global, incluindo os objetivos, os resultados esperados e os indicadores de desempenho. Nele deve ser igualmente incluída a programação dos recursos, nomeadamente o orçamento plurianual e o quadro de pessoal.

8.A programação dos recursos é atualizada anualmente. A programação estratégica é atualizada sempre que se justifique, particularmente em função do resultado da avaliação referida no artigo 120.º.

CAPÍTULO IV 
Elaboração e estrutura do orçamento da ENISA

Artigo 45.º
Elaboração do orçamento da ENISA

1.Compete ao diretor executivo elaborar anualmente um projeto de mapa previsional das receitas e despesas provisório da ENISA para o exercício seguinte, incluindo o quadro de pessoal, e enviá-lo ao Conselho de Administração.

2.O projeto de mapa previsional provisório baseia-se nos objetivos e resultados esperados do programa de trabalho anual e tem em conta os recursos financeiros necessários para atingir esses objetivos e resultados esperados, em conformidade com o princípio da boa gestão financeira e desempenho.

3.Com base no projeto de mapa previsional provisório, o Conselho de Administração aprova um projeto de mapa previsional de receitas e despesas da ENISA para o exercício seguinte, e envia-o à Comissão até 31 de janeiro de cada ano.

4.A Comissão transmite o projeto de mapa previsional à autoridade orçamental, juntamente com o projeto de orçamento geral da União. O projeto de mapa previsional é igualmente disponibilizado à ENISA.

5.Com base no projeto de mapa previsional, a Comissão procede à inscrição no projeto de orçamento geral da União das estimativas que considere necessárias para o quadro de pessoal, bem como do montante da contribuição a cargo do orçamento geral da União, que submete à apreciação da autoridade orçamental nos termos dos artigos 313.º e 314.º do TFUE.

6.A autoridade orçamental autoriza as dotações a título da contribuição do orçamento geral da União destinada à ENISA.

7.A autoridade orçamental aprova o quadro de pessoal da ENISA.

8.O Conselho de Administração adota o orçamento da ENISA. O orçamento torna-se definitivo após a adoção definitiva do orçamento geral da União e, se necessário, é adaptado em conformidade.

9.Em relação a qualquer projeto imobiliário suscetível de ter incidência significativa no orçamento da ENISA, é aplicável o Regulamento Delegado (UE) 2019/715.

Artigo 46.º
Estrutura do orçamento da ENISA

1.Todas as receitas e despesas da ENISA são objeto de uma previsão para cada exercício e são inscritas no respetivo orçamento. O exercício corresponde ao ano civil.

2.O orçamento da ENISA é equilibrado em termos de receitas e de despesas.

3.Sem prejuízo de outros recursos, as receitas da ENISA compreendem:

a)Uma contribuição da União, inscrita no orçamento geral da União;

b)Receitas afetadas ao financiamento de despesas específicas, em conformidade com as regras financeiras referidas no artigo 50.º;

c)Financiamento da União sob a forma de acordos de contribuição ou subvenções ad hoc, em conformidade com as regras financeiras da ENISA a que se refere o artigo 50.º, e as disposições dos instrumentos pertinentes de apoio às políticas da União;

d)As taxas cobradas aos requerentes por atividades relacionadas com os sistemas de atestados individuais europeus de competências de cibersegurança nos termos do artigo 22.º, n.º 1;

e)As taxas cobradas aos organismos de avaliação da conformidade pela participação e emissão de certificados europeus de cibersegurança ao abrigo de um sistema europeu de certificação da cibersegurança nos termos do artigo 47.º, n.º 2;

f)As taxas cobradas às autoridades públicas ou a organismos privados para as ferramentas de teste nos termos do artigo 47.º, n.º 3;

g)Eventuais contribuições de países terceiros que participem nos trabalhos da ENISA, tal como previsto no artigo 70.º, n.º 4;

h)Eventuais contribuições voluntárias dos Estados-Membros, em numerário ou em espécie.

4.Os Estados-Membros que efetuem contribuições voluntárias nos termos do n.º 3, alínea g), não podem reivindicar quaisquer direitos ou serviços específicos em contrapartida dessas contribuições.

5.As despesas da ENISA incluem a remuneração do pessoal, as despesas administrativas e de infraestruturas e as despesas operacionais.

Artigo 47.º
Taxas

1.Em relação a cada atividade do sistema de atestados europeus a que se refere o artigo 22.º, n.º 1, são cobradas aos requerentes, na aceção do artigo 21.º, n.º 3, ou aos prestadores de atestados autorizados, taxas relativas aos seguintes serviços, a fim de contribuir para cobrir a totalidade dos custos das atividades realizadas pela ENISA:

a)Emissão de autorizações após análise dos requisitos estabelecidos no artigo 21.º, n.os 3 e 4, incluindo a realização de avaliações;

b)Manutenção anual da autorização;

c)Renovação das autorizações dos prestadores de atestados individuais europeus de competências de cibersegurança, incluindo a realização de avaliações.

2.No que respeita à certificação, são cobradas taxas aos organismos de avaliação da conformidade pela manutenção dos sistemas europeus de certificação da cibersegurança ao abrigo dos quais são emitidos certificados europeus de cibersegurança, em especial:

a)Uma taxa anual pela participação num sistema europeu de certificação da cibersegurança;

b)Uma taxa pela emissão de certificados europeus de cibersegurança no âmbito dos sistemas europeus de certificação da cibersegurança.

As taxas referidas na alínea b) são cobradas quando o organismo de avaliação da conformidade apresenta certificados europeus de cibersegurança à ENISA para publicação no seu sítio Web nos termos do artigo 79.º.

3.Em relação às ferramentas de teste referidas no artigo 15.º, n.º 1, é cobrada uma taxa a qualquer autoridade pública ou organismo privado pela sua utilização.

4.As taxas são expressas e pagas em euros.

5.A Comissão adota atos de execução que estabelecem regras pormenorizadas relativas à determinação das taxas a cobrar pela ENISA, especificando, em especial, os custos estimados imputáveis a cada um dos atos sujeitos a taxas nos termos dos n.os 1, 2 e 3, e os montantes individuais das taxas a cobrar, bem como as formas e condições de pagamento das taxas. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2. A Comissão consulta a ENISA aquando da elaboração desses projetos de atos de execução.

6.As taxas determinadas pelos atos de execução a que se refere o n.º 5 são previamente fixadas de modo a serem proporcionais aos custos estimados das atividades realizadas ou dos serviços prestados, determinados de uma forma eficaz em termos de custos, e são suficientes para cobrir esses custos. Todas as despesas da ENISA atribuídas ao pessoal envolvido nas atividades referidas nos n.os 1, 2 e 3 são refletidas nos custos a cobrir. As taxas são fixadas a um nível que permita evitar o défice ou uma acumulação significativa de excedentes no orçamento da ENISA. Os excedentes orçamentais gerados pelas taxas transitam para o financiamento das atividades da ENISA, em especial das atividades futuras relacionadas com taxas, ou para a compensação de perdas incorridas. Se um saldo positivo significativo no orçamento, resultante de atividades cobertas por taxas, se tornar recorrente, ou se a prestação dos serviços cobertos por taxas resultar num saldo negativo significativo, a Comissão altera os atos de execução a que se refere o n.º 5, a fim de rever o método de cálculo das taxas, em conformidade com o artigo 118.º, n.º 2.

O montante das taxas relativas às atribuições referidas no n.º 1 é fixado a um nível que assegure que as receitas correspondentes contribuam suficientemente para cobrir os custos das atividades relacionadas com o desenvolvimento e a manutenção dos sistemas de atestados individuais europeus, o tratamento dos pedidos e a emissão e renovação de autorizações, bem como as despesas necessárias para as atividades de supervisão pela ENISA.

O montante das taxas relativas às atribuições referidas no n.º 2 é fixado a um nível que assegure que as receitas correspondentes contribuam suficientemente para cobrir a totalidade dos custos das atividades relacionadas com a manutenção dos sistemas europeus de certificação da cibersegurança estabelecida no artigo 75.º.

O montante das taxas relativas às atribuições referidas no n.º 3 é fixado a um nível que assegure que as receitas correspondentes contribuam suficientemente para cobrir os custos das atividades relacionadas com o fornecimento de ferramentas de teste, tal como estabelecido no artigo 15.º, n.º 1.

7.A ENISA apresenta um relatório sobre as taxas cobradas e o respetivo impacto no seu orçamento no âmbito do procedimento de apresentação de contas previsto no artigo 50.º.

8.A ENISA cria um conjunto de indicadores para medir o volume de trabalho, a eficácia e a eficiência em relação às atividades financiadas através de taxas. A ENISA adapta o seu planeamento do pessoal e a gestão dos recursos relacionados com as taxas em conformidade, a fim de poder responder adequadamente a essa procura e a quaisquer flutuações nas receitas provenientes das taxas. A ENISA partilha o relatório com a Comissão, que esta pode utilizar para efeitos da avaliação a que se refere o artigo 120.º, n.º 1.

Artigo 48.º
Execução do orçamento da ENISA

1.O diretor executivo é responsável pela execução do orçamento da ENISA e atua na qualidade de gestor orçamental.

2.O auditor interno da Comissão exerce, em relação à ENISA, os mesmos poderes que exerce em relação aos serviços da Comissão.

3.O diretor executivo envia anualmente à autoridade orçamental todas as informações pertinentes sobre os resultados dos procedimentos de avaliação.

Artigo 49.º
Apresentação das contas e quitação

1.O contabilista da ENISA comunica as contas provisórias relativas ao exercício (ano N) ao contabilista da Comissão e ao Tribunal de Contas até 1 de março do exercício seguinte (ano N+1).

2.O contabilista da ENISA transmite igualmente as informações contabilísticas necessárias para efeitos de consolidação ao contabilista da Comissão, na forma e formato previstos por este até 1 de março do ano N+1.

3.A ENISA envia o relatório de gestão orçamental e financeira do ano N ao Parlamento Europeu, ao Conselho, à Comissão e ao Tribunal de Contas até 31 de março do ano N+1.

4.Após receção das observações do Tribunal de Contas sobre as contas provisórias da ENISA relativas ao ano N, o contabilista da ENISA elabora as contas definitivas da ENISA sob a sua própria responsabilidade. O diretor executivo apresenta as contas definitivas ao Conselho de Administração para emissão de parecer.

5.O Conselho de Administração emite um parecer sobre as contas definitivas do ano N da ENISA.

6.O contabilista da ENISA transmite, até 1 de julho do ano N+1, ao Parlamento Europeu, ao Conselho, à Comissão e ao Tribunal de Contas as contas definitivas do ano N, acompanhadas do parecer do Conselho de Administração.

7.Até 15 de novembro do ano N+1, é publicada, no Jornal Oficial da União Europeia, uma ligação para as páginas Web com as contas definitivas da ENISA.

8.O diretor executivo envia ao Tribunal de Contas, até 30 de setembro do ano N+1, uma resposta às observações formuladas no seu relatório anual. O diretor executivo envia essa resposta igualmente ao Conselho de Administração e à Comissão.

9.O diretor executivo apresenta ao Parlamento Europeu, a pedido deste, nos termos do artigo 267.º, n.º 3, do Regulamento (UE, Euratom) 2024/2509 do Parlamento Europeu e do Conselho, todas as informações necessárias para o bom desenrolar do procedimento de quitação relativo ao ano N.

10.Sob recomendação do Conselho, deliberando por maioria qualificada, o Parlamento Europeu dá quitação ao diretor executivo pela execução do orçamento do ano N antes de 15 de maio do ano N+2.

Artigo 50.º
Regras financeiras

1.O Conselho de Administração adota as regras financeiras aplicáveis à ENISA, após consulta da Comissão. Estas regras só podem divergir do Regulamento Delegado (UE) 2019/715 se as exigências específicas do funcionamento da ENISA o impuserem, sob reserva do consentimento prévio da Comissão.

2.A ENISA elabora e executa o seu orçamento em conformidade com as suas regras financeiras e o Regulamento (UE, Euratom) 2024/2509.

Artigo 51.º
Luta contra a fraude

1.Na luta contra a fraude, a corrupção e outras atividades ilegais, aplicam-se às atividades da ENISA, sem restrições, as disposições do Regulamento (UE, Euratom) n.º 883/2013 do Parlamento Europeu e do Conselho 75 .

2.A ENISA adere ao Acordo Interinstitucional, de 25 de maio de 1999, entre o Parlamento Europeu, o Conselho da União Europeia e a Comissão das Comunidades Europeias relativo aos inquéritos internos efetuados pelo Organismo Europeu de Luta Antifraude (OLAF) 76 no prazo de seis meses a contar de [Serviço das Publicações: inserir data exata, a que se refere o artigo 127.º] e adota as disposições correspondentes que se aplicam ao seu pessoal utilizando o modelo apresentado no anexo desse Acordo.

3.O Tribunal de Contas dispõe de poderes para auditar, com base em documentos e em verificações no local, todos os beneficiários de subvenções, contratantes e subcontratantes que tenham recebido fundos da União por intermédio da ENISA.

4.O OLAF pode realizar inquéritos, incluindo verificações e inspeções no local, com vista a apurar a existência de fraude, corrupção ou outras atividades ilícitas lesivas dos interesses financeiros da União no âmbito de subvenções ou contratos financiados pela ENISA em conformidade com as disposições e os procedimentos previstos no Regulamento (UE, Euratom) n.º 883/2013 e no Regulamento (Euratom, CE) n.º 2185/96 do Conselho 77 .

5.Sem prejuízo do disposto nos n.os 1 a 4, os acordos de cooperação celebrados com países terceiros e com organizações internacionais, os contratos, as convenções e as decisões de subvenção da ENISA devem conter disposições que confiram expressamente ao Tribunal de Contas e ao OLAF poderes para realizarem essas auditorias e inquéritos, de acordo com as respetivas competências.

6.Em conformidade com o Regulamento (UE) 2017/1939 do Conselho, a Procuradoria Europeia pode investigar e intentar ações penais contra a fraude e outras atividades ilícitas lesivas dos interesses financeiros da União, conforme previsto na Diretiva (UE) 2017/1371 do Parlamento Europeu e do Conselho 78 .

Artigo 52.º
Declaração de interesses

1.Os membros do Conselho de Administração, o diretor executivo, o subdiretor executivo e os agentes destacados pelos Estados-Membros a título temporário fazem uma declaração de compromisso e uma declaração que indique a inexistência ou a existência de interesses diretos ou indiretos que possam ser considerados prejudiciais para a sua independência. As declarações devem ser exatas e completas, apresentadas anualmente por escrito e atualizadas sempre que necessário.

2.Os membros do Conselho de Administração, o diretor executivo, o subdiretor executivo e os peritos externos que participem em grupos de trabalho ad hoc declaram de forma exata e completa, o mais tardar no início de cada reunião, os interesses que possam ser considerados prejudiciais para a sua independência em relação aos pontos da ordem do dia, e abstêm-se de participar na discussão e na votação desses pontos.

3.A ENISA estabelece, no seu regulamento interno, as disposições de execução das regras relativas às declarações de interesses referidas nos n.os 1 e 2.

Artigo 53.º
Transparência

1.A ENISA executa as suas atividades com um elevado nível de transparência e nos termos do artigo 55.º.

2.A ENISA assegura que o público e as partes interessadas recebam informações adequadas, objetivas, fiáveis e facilmente acessíveis, nomeadamente no que respeita aos resultados dos seus trabalhos. A ENISA também disponibiliza ao público as declarações de interesses feitas nos termos do artigo 52.º.

3.O Conselho de Administração, deliberando sob proposta do diretor executivo, pode autorizar partes interessadas a participarem, como observadores, em algumas atividades da ENISA.

4.A ENISA estabelece, no seu regulamento interno, as disposições de execução das regras relativas à transparência referidas nos n.os 1 e 2.

Artigo 54.º
Confidencialidade no âmbito da ENISA

1.Sem prejuízo do disposto no artigo 55.º, a ENISA não divulga a terceiros informações por si tratadas ou recebidas em relação às quais tenha sido apresentado um pedido fundamentado de tratamento confidencial.

2.Os membros do Conselho de Administração, o diretor executivo, o subdiretor executivo, os membros do Grupo Consultivo da ENISA, os peritos externos que participam nos grupos de trabalho ad hoc e os membros do pessoal da ENISA, incluindo os agentes destacados pelos Estados-Membros a título temporário, estão sujeitos à obrigação de confidencialidade prevista no artigo 339.º do TFUE, mesmo após a cessação das suas funções.

3.A ENISA estabelece, no seu regulamento interno, as disposições de execução das regras relativas à confidencialidade referidas nos n.os 1 e 2.

Artigo 55.º
Acesso a documentos

1.O Regulamento (CE) n.º 1049/2001 é aplicável aos documentos na posse da ENISA.

2.O Conselho de Administração adota as disposições de execução do Regulamento (CE) n.º 1049/2001.

3.As decisões tomadas pela ENISA ao abrigo do artigo 8.º do Regulamento (CE) n.º 1049/2001 podem ser objeto de queixa junto do Provedor de Justiça Europeu, nos termos do artigo 228.º do TFUE, ou de recurso no Tribunal de Justiça da União Europeia, nos termos do artigo 263.º do TFUE.

CAPÍTULO V 
Pessoal e agentes de ligação

Artigo 56.º
Disposições gerais

1.O Estatuto dos Funcionários e o Regime Aplicável aos Outros Agentes, bem como as regras adotadas por acordo entre as instituições da União para aplicação do Estatuto dos Funcionários e ao Regime Aplicável aos Outros Agentes, aplicam-se ao pessoal da ENISA.

2.O pessoal da ENISA, os agentes de ligação e os peritos nacionais destacados para a ENISA são submetidos a um procedimento adequado de habilitação de segurança.

Artigo 57.º
Privilégios e imunidades

O Protocolo n.º 7 relativo aos Privilégios e Imunidades da União Europeia, anexo ao TFUE, é aplicável à ENISA e ao seu pessoal.

Artigo 58.º
Agentes de ligação

1.Cada Estado-Membro designa pelo menos dois agentes de ligação de uma autoridade nacional competente designada nos termos do artigo 8.º, n.º 1, da Diretiva (UE) 2022/2555 como peritos nacionais destacados para a ENISA, para trabalharem na sua sede ou no seu gabinete local, em conformidade com o artigo 59.º, n.º 2. A Comissão também pode designar um agente de ligação.

2.Os agentes de ligação contribuem para a execução das atribuições da ENISA, nomeadamente facilitando a cooperação operacional e o intercâmbio de informações, conforme referido no artigo 11.º. Os agentes de ligação apoiam igualmente a ENISA na divulgação de informações sobre as suas atividades, conclusões e recomendações às partes interessadas em toda a União. Atuam também como pontos de contacto nacionais para responder a questões suscitadas pelos respetivos Estados-Membros e relacionadas com esses Estados-Membros, seja dando resposta a estas questões diretamente seja remetendo para as respetivas administrações nacionais.

3.Os agentes de ligação designados pelos Estados-Membros estão habilitados a solicitar e receber todas as informações pertinentes dos respetivos Estados-Membros, tal como previsto no presente regulamento, respeitando plenamente o direito nacional ou as práticas dos Estados-Membros, em especial no que diz respeito à proteção de dados e à confidencialidade.

Artigo 59.º
Peritos nacionais destacados e outro pessoal

1.A ENISA pode recorrer a peritos nacionais destacados ou a outro pessoal não contratado pela ENISA nos vários domínios da sua esfera de competência. O Estatuto dos Funcionários e o Regime Aplicável aos Outros Agentes não se aplicam a esse pessoal.

2.O Conselho de Administração adota uma decisão que estabelece as regras aplicáveis ao destacamento de peritos nacionais, incluindo agentes de ligação, para a ENISA.

CAPÍTULO VI 
DISPOSIÇÕES GERAIS RELATIVAS À ENISA

Artigo 60.º
Estatuto jurídico da ENISA

1.A ENISA é um organismo da União com personalidade jurídica.

2.A ENISA goza, em cada um dos Estados-Membros, da mais ampla capacidade jurídica que o respetivo direito nacional reconhece às pessoas coletivas. Pode, designadamente, adquirir ou alienar bens móveis e imóveis e estar em juízo.

3.A ENISA é representada pelo seu diretor executivo.

Artigo 61.º
Sede

A ENISA tem a sua sede em Atenas, Grécia.

Artigo 62.º
Acordo de sede e condições de funcionamento

1.As disposições necessárias relativas às instalações a disponibilizar à ENISA no Estado-Membro de acolhimento e às estruturas que este deve pôr à sua disposição, bem como as regras específicas aplicáveis no Estado-Membro de acolhimento ao diretor executivo, aos membros do Conselho de Administração, ao pessoal da ENISA e aos seus familiares, são estabelecidas num acordo de sede entre a ENISA e o Estado-Membro de acolhimento, celebrado após aprovação do Conselho de Administração.

2.O Estado-Membro de acolhimento da ENISA proporciona as melhores condições possíveis para assegurar o bom funcionamento da ENISA, tendo em conta a acessibilidade do local, a existência de estruturas adequadas para a educação dos filhos dos membros do pessoal e o acesso adequado ao mercado de trabalho, à segurança social e a cuidados médicos tanto para os filhos como para os cônjuges do pessoal.

Artigo 63.º
Controlo administrativo

As operações da ENISA são supervisionadas pelo Provedor de Justiça Europeu, nos termos do artigo 228.º do TFUE.

Artigo 64.º
Responsabilidade da ENISA

1.A responsabilidade contratual da ENISA é regulada pelo direito aplicável ao contrato em causa.

2.O Tribunal de Justiça da União Europeia é competente para deliberar por força de cláusula compromissória constante dos contratos celebrados pela ENISA.

3.Em matéria de responsabilidade extracontratual, a ENISA procede à reparação dos danos causados por si ou pelo seu pessoal no exercício das suas funções, de acordo com os princípios gerais comuns ao direito dos Estados-Membros.

4.O Tribunal de Justiça da União Europeia é competente para conhecer dos litígios relativos à compensação dos danos referidos no n.º 3.

5.A responsabilidade pessoal dos membros do pessoal da ENISA em relação a esta rege-se pelas disposições do Estatuto dos Funcionários ou do Regime Aplicável aos Outros Agentes que lhes são aplicáveis.

Artigo 65.º
Regime linguístico

1.O Regulamento n.º 1 do Conselho 79 é aplicável à ENISA. Os Estados-Membros e os outros organismos por eles designados podem dirigir-se à ENISA e receber resposta na língua oficial das instituições da União da sua escolha.

2.Os serviços de tradução e todos os outros serviços linguísticos necessários ao funcionamento da ENISA, à exceção dos serviços de interpretação, são assegurados pelo Centro de Tradução dos Organismos da União Europeia.

Artigo 66.º
Proteção de dados pessoais

1.O tratamento de dados pessoais pela ENISA está sujeito às disposições do Regulamento (UE) 2018/1725.

2.O Conselho de Administração adota as disposições de execução a que se refere o artigo 45.º, n.º 3, do Regulamento (UE) 2018/1725. O Conselho de Administração pode adotar medidas adicionais necessárias para a aplicação do Regulamento (UE) 2018/1725 pela ENISA.

Artigo 67.º
Regras de segurança em matéria de proteção de informações sensíveis não classificadas e de informações classificadas

Em concertação com a Comissão, a ENISA adota regras de segurança que apliquem os princípios de segurança que constam das regras de segurança da Comissão para a proteção das informações sensíveis não classificadas e das ICUE, estabelecidas nas Decisões (UE, Euratom) 2015/443 80 e 2015/444 81 . Essas regras de segurança incluem disposições relativas ao intercâmbio, tratamento e armazenamento de tais informações.

Artigo 68.º
Cooperação com as entidades da União e as autoridades nacionais

1.A fim de assegurar a coerência, criar sinergias e dar resposta a questões de interesse comum, a ENISA coopera, em matérias relacionadas com a cibersegurança, com o CERT-UE e as entidades competentes da União, incluindo a Europol, o Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança, criado nos termos do Regulamento (UE) 2021/887, e o Comité Europeu para a Proteção de Dados, criado nos termos do artigo 68.º, n.º 1, do Regulamento (UE) 2016/679.

2.A cooperação referida no n.º 1 pode ser assegurada através:

a)Do intercâmbio de competências técnicas e de boas práticas;

b)Da prestação de aconselhamento e da emissão de orientações sobre questões relacionadas com a cibersegurança;

c)Do estabelecimento de disposições práticas com vista à execução de atribuições específicas, após consulta da Comissão.

3.A ENISA enceta uma cooperação estruturada com o CERT-UE, em especial em questões relacionadas com o reforço das capacidades, a cooperação operacional e as análises estratégicas a longo prazo das ciberameaças.

4.A ENISA coopera e troca informações com as autoridades competentes de fiscalização do mercado e de supervisão designadas ao abrigo da legislação da União no domínio da cibersegurança, incluindo o Regulamento (UE) 2024/2847.

Artigo 69.º
Cooperação com as partes interessadas

1.Sempre que necessário para alcançar os objetivos do presente regulamento, a ENISA coopera com as partes interessadas, como o setor da cibersegurança, o setor das TIC, as PME, as entidades que operam nos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555, os fabricantes, importadores ou distribuidores de produtos com elementos digitais na aceção do Regulamento (UE) 2024/2847, os organismos de avaliação da conformidade notificados ao abrigo do enquadramento europeu para a certificação da cibersegurança e do Regulamento (UE) 2024/2847, as entidades que operam no domínio dos meios de identificação eletrónica, os grupos de consumidores e os peritos académicos no domínio da cibersegurança. Para o efeito, a ENISA pode estabelecer parcerias público-privadas.

2.A ENISA apoia, em consulta com a Comissão, a cooperação entre os organismos de avaliação da conformidade notificados nos termos do artigo 93.º. Em especial, pode criar um grupo de organismos de avaliação da conformidade notificados para partilhar boas práticas, de forma a criar sinergias com outra legislação pertinente da União, nomeadamente o Regulamento (UE) 2024/2847.

Artigo 70.º
Cooperação com países terceiros e organizações internacionais

1.A ENISA pode, na medida do necessário para alcançar os objetivos do presente regulamento, cooperar com as autoridades competentes de países terceiros ou com organizações internacionais ou ambas, em consonância com as prioridades da União. Para o efeito, a ENISA pode celebrar acordos de cooperação com essas autoridades de países terceiros e organizações internacionais, sob reserva da aprovação prévia da Comissão. Esses acordos de cooperação não podem criar obrigações jurídicas à União e aos seus Estados-Membros.

2.O Conselho de Administração adota uma estratégia para as relações com os países terceiros e as organizações internacionais em matérias nas quais a ENISA é competente e em consonância com as prioridades a que se refere o n.º 1. A Comissão assegura que a ENISA opere no âmbito do seu mandato e do quadro institucional existente mediante a celebração de acordos de cooperação adequados com o diretor executivo da ENISA.

3.A fim de apoiar a cooperação com países terceiros, nomeadamente países candidatos à adesão à União, a ENISA pode disponibilizar os seus conhecimentos especializados em matéria de reforço das capacidades, em particular nos seguintes domínios:

a)Avaliação do nível de maturidade das capacidades e dos recursos em matéria de cibersegurança;

b)Aumento e reforço da mão de obra no domínio da cibersegurança, nomeadamente através da promoção do QECC e dos sistemas de atestados individuais europeus de competências de cibersegurança, bem como da realização de atividades de aprendizagem e formação;

c)Apoio ao planeamento e à execução de exercícios de cibersegurança.

4.A ENISA está aberta à participação nos seus trabalhos de países terceiros que tenham celebrado com a União acordos para esse efeito. Ao abrigo das disposições pertinentes dos acordos celebrados entre países terceiros e a União, são estabelecidos, mediante aprovação prévia da Comissão, acordos de cooperação que determinem, nomeadamente, a natureza, o âmbito e o modo de participação desses países terceiros nos trabalhos da ENISA, e que incluam disposições relativas à participação nas iniciativas desenvolvidas pela ENISA, às contribuições financeiras e ao pessoal. No que diz respeito às questões de pessoal, esses acordos de cooperação devem, em todo o caso, respeitar o Estatuto dos Funcionários e o Regime Aplicável aos Outros Agentes.

5.A ENISA informa regularmente o Conselho e a Comissão sobre a aplicação dos acordos de cooperação a que se referem os n.os 1 e 4.

TÍTULO III

ENQUADRAMENTO EUROPEU PARA A CERTIFICAÇÃO DA CIBERSEGURANÇA

CAPÍTULO I 
Objetivos, âmbito de aplicação e procedimentos

Artigo 71.º
Objetivos e âmbito do enquadramento europeu para a certificação da cibersegurança

1.É estabelecido o enquadramento europeu para a certificação da cibersegurança com vista à criação de um mercado único digital para produtos, serviços e processos de TIC, serviços de segurança geridos e entidades. Para o efeito, o enquadramento deve aumentar o nível de cibersegurança na União e permitir uma abordagem harmonizada dos sistemas europeus de certificação da cibersegurança, bem como tirar partido da certificação para facilitar o cumprimento da legislação aplicável da União.

2.O enquadramento europeu para a certificação da cibersegurança prevê um mecanismo para criar sistemas europeus de certificação da cibersegurança e atestar o seguinte:

a)Que os produtos, serviços e processos de TIC que tenham sido avaliados de acordo com esses sistemas cumprem os requisitos de segurança especificados, para efeitos de proteção da disponibilidade, autenticidade, integridade ou confidencialidade dos dados armazenados, transmitidos ou tratados, ou as funções ou serviços oferecidos por esses produtos, serviços e processos ou acessíveis por seu intermédio ao longo do respetivo ciclo de vida;

b)Que os serviços de segurança geridos que tenham sido avaliados de acordo com esses sistemas cumprem os requisitos de segurança especificados, para efeitos de proteção da disponibilidade, autenticidade, integridade e confidencialidade dos dados consultados, tratados, armazenados ou transmitidos no âmbito da prestação desses serviços, e que esses serviços são continuamente prestados, com a competência, os conhecimentos especializados e a experiência necessários, por pessoal com um nível suficiente e adequado de conhecimentos técnicos pertinentes e integridade profissional;

c)Que a postura de cibersegurança de uma entidade que tenha sido avaliada em conformidade com esses sistemas cumpre os requisitos de cibersegurança especificados.

3.A certificação europeia da cibersegurança é voluntária, salvo disposição em contrário no direito da União ou nacional.

4.Os certificados europeus de cibersegurança e as declarações UE de conformidade emitidos ao abrigo do enquadramento europeu para a certificação da cibersegurança são automaticamente reconhecidos em todos os Estados-Membros.

Artigo 72.º
Informação e consulta do público

1.Pelo menos uma vez por ano, a Comissão organiza, com o apoio da ENISA, uma Assembleia Europeia de Certificação da Cibersegurança, convidando os membros do GECC e outros peritos pertinentes dos Estados-Membros, peritos pertinentes de entidades da União e partes interessadas a debater prioridades estratégicas para a harmonização no domínio da certificação da cibersegurança.

2.A Comissão mantém e atualiza regularmente um sítio Web específico que faculte informações sobre os seguintes aspetos:

a)Sistemas europeus de certificação da cibersegurança cuja criação é solicitada nos termos do artigo 73.º;

b)Prioridades estratégicas para a harmonização de produtos, serviços e processos de TIC, serviços de segurança geridos, postura de cibersegurança das entidades ou requisitos de segurança da legislação da União, incluindo potenciais domínios para os quais possa ser solicitado um sistema europeu de certificação da cibersegurança.

3.A Comissão disponibiliza ao público, no sítio Web a que se refere o n.º 2 do presente artigo, as informações sobre o seu pedido à ENISA para elaborar um projeto de sistema a que se refere o artigo 73.º e a sua decisão de aceitar, rejeitar ou descontinuar um projeto de sistema transmitido pela ENISA nos termos do artigo 74.º, n.º 7.

4.Durante a elaboração de um projeto de sistema pela ENISA nos termos do artigo 74.º, o Parlamento Europeu e o Conselho podem solicitar à Comissão, na sua qualidade de presidente do GECC, e à ENISA que apresentem informações pertinentes sobre uma proposta de projeto de sistema. A pedido do Parlamento Europeu ou do Conselho, a ENISA, com o acordo da Comissão, e sem prejuízo do artigo 54.º, pode disponibilizar ao Parlamento Europeu e ao Conselho as partes relevantes de uma proposta de projeto de sistema de uma forma adequada ao nível de confidencialidade exigido e, se for caso disso, de forma restrita.

5.O Parlamento Europeu e o Conselho podem convidar a Comissão e a ENISA a debater questões relativas à execução de sistemas europeus de certificação da cibersegurança de produtos, serviços e processos de TIC, de serviços de segurança geridos ou da postura de cibersegurança das entidades.

Artigo 73.º
Pedidos de sistemas europeus de certificação da cibersegurança

1.A Comissão pode solicitar à ENISA que elabore um projeto de sistema europeu de certificação da cibersegurança de produtos, serviços e processos de TIC, de serviços de segurança geridos ou da postura de cibersegurança das entidades.

2.Em casos devidamente justificados, o GECC pode sugerir à Comissão que apresente o pedido a que se refere o n.º 1.

3.O pedido a que se refere o n.º 1 especifica a finalidade, o âmbito e as modalidades do cumprimento dos objetivos de segurança e elementos pertinentes estabelecidos nos artigos 80.º e 81.º. O pedido também especifica o plano de desenvolvimento do projeto de sistema europeu de certificação da cibersegurança e as especificações técnicas pertinentes a referenciar ou definir no sistema.

4.Ao elaborar o pedido a que se refere o n.º 1, a Comissão consulta devidamente a ENISA e o GECC e tem em conta os pontos de vista de todas as partes interessadas e de outras entidades da União, incluindo, se for caso disso, as que são pertinentes ao abrigo da legislação da União em que um sistema europeu de certificação da cibersegurança demonstre a conformidade e confira presunção de conformidade.

Artigo 74.º
Elaboração e adoção de sistemas europeus de certificação da cibersegurança

1.O mais tardar 12 meses após a receção de um pedido da Comissão nos termos do artigo 73.º, salvo especificação em contrário no pedido, a ENISA elabora um projeto de sistema europeu de certificação da cibersegurança que cumpra os requisitos estabelecidos nos artigos 80.º e 81.º.

2.Para a elaboração de cada projeto de sistema, a ENISA cria um grupo de trabalho ad hoc, nos termos do artigo 32.º, n.º 6, para prestar aconselhamento especializado à ENISA.

3.Ao elaborar o projeto de sistema, a ENISA coopera estreitamente com o GECC. O GECC presta assistência e aconselhamento especializado à ENISA no que respeita à elaboração do projeto de sistema e, se for caso disso, disponibiliza especificações técnicas de apoio.

4.Durante a elaboração do projeto de sistema, incluindo, se for caso disso, das especificações técnicas de apoio, a ENISA consulta as partes interessadas em tempo útil através de um processo de consulta formal, aberto, transparente e inclusivo. A ENISA coopera igualmente com as autoridades públicas competentes dos Estados-Membros e com as entidades competentes da União, a fim de recolher o seu aconselhamento especializado no que diz respeito à elaboração do projeto de sistema e, se for caso disso, das especificações técnicas de apoio. Ao transmitir o projeto de sistema à Comissão, nos termos do n.º 6, a ENISA descreve a forma como cumpriu com o presente número.

5.Antes de transmitir o projeto de sistema e, se for caso disso, as especificações técnicas de apoio à Comissão, a ENISA solicita aos membros do GECC que apresentem pareceres escritos sobre o projeto de sistema. Os pareceres são fornecidos o mais tardar 30 dias após a data do pedido. A ENISA tem na máxima conta os pareceres dos membros do GECC. A ausência de tais pareceres não impede a ENISA de transmitir o projeto de sistema à Comissão.

6.A ENISA transmite o projeto de sistema à Comissão o mais tardar 60 dias após a data do pedido a que se refere o n.º 5.

7.Ao receber o projeto de sistema, a Comissão avalia se o sistema corresponde ao pedido apresentado nos termos do artigo 73.º. No prazo de 30 dias a contar da data de transmissão desse projeto de sistema, a Comissão toma uma das seguintes medidas:

a)Aceita o projeto de sistema;

b)Devolve o projeto de sistema à ENISA para revisão, juntamente com uma justificação para essa devolução e um prazo não superior a 90 dias, no qual a ENISA deve apresentar um projeto de sistema revisto;

c)Descontinua o projeto de sistema.

8.Caso a Comissão devolva um projeto de sistema à ENISA para revisão nos termos do n.º 7, alínea b), aplicam-se os n.os 4, 5 e 7 em conformidade.

9.A Comissão, com base no projeto de sistema aceite elaborado pela ENISA, fica habilitada a adotar atos de execução que estabeleçam um sistema europeu de certificação da cibersegurança de produtos, serviços e processos de TIC, de serviços de segurança geridos ou da postura de cibersegurança das entidades que cumpra os requisitos estabelecidos nos artigos 80.º e 81.º. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.

10.Nos atos de execução a que se refere o n.º 9 do presente artigo, a Comissão pode fazer referência às especificações técnicas elaboradas pela ENISA nos termos dos artigos 18.º e 77.º.

11.Nos atos de execução a que se refere o n.º 9 do presente artigo, a Comissão pode especificar as condições para o reconhecimento internacional dos certificados europeus de cibersegurança em conformidade com o artigo 87.º.

Artigo 75.º
Manutenção de um sistema europeu de certificação da cibersegurança

1.Cada sistema europeu de certificação da cibersegurança estabelece uma estratégia de manutenção. A estratégia de manutenção indica as expectativas relativas às atividades de manutenção, em especial as relacionadas com as normas ou especificações técnicas referenciadas no sistema e com a interação com as partes interessadas.

2.A ENISA, em cooperação com a Comissão e com o apoio do GECC e do seu subgrupo de manutenção pertinente, assegura a manutenção dos sistemas europeus de certificação da cibersegurança, nomeadamente tendo em vista a eventual revisão desses sistemas pela Comissão. A ENISA coopera e procede ao intercâmbio de informações com as entidades e grupos pertinentes da União no que diz respeito às atividades de manutenção.

3.A ENISA pode organizar a participação do setor privado na manutenção de um sistema sob a forma de um grupo de trabalho ad hoc, em conformidade com a estratégia de manutenção a que se refere o n.º 1.

4.As atividades de manutenção dos sistemas europeus de certificação da cibersegurança incluem o seguinte:

a)A preparação, atualização e aprovação de especificações técnicas e orientações para apoiar o funcionamento harmonizado e uniforme dos sistemas;

b)A identificação das normas ou especificações técnicas pertinentes para o sistema;

c)Interações e, se for caso disso, estabelecimento de ligações com as partes interessadas, incluindo organismos europeus ou internacionais de normalização, nomeadamente para efeitos de apresentação ou receção de contribuições técnicas;

d)A emissão de recomendações à Comissão sobre as melhorias e atualizações necessárias dos sistemas, nomeadamente tendo em vista uma eventual revisão dos mesmos;

e)O intercâmbio de informações relacionadas com a aplicação prática dos sistemas entre os Estados-Membros;

f)Contribuições para os mecanismos de análise pelos pares e de avaliação pelos pares, bem como análises dos resultados dessas avaliações, a fim de melhorar o funcionamento dos sistemas e apoiar a sua eventual revisão.

5.O GECC pode emitir um parecer sobre a manutenção dos sistemas europeus de certificação da cibersegurança.

Artigo 76.º
Avaliação, revisão e retirada de um sistema europeu de certificação da cibersegurança

1.Pelo menos de quatro em quatro anos após a entrada em aplicação de um sistema europeu de certificação da cibersegurança, a ENISA avalia o impacto e a eficácia desse sistema, em cooperação com o subgrupo de manutenção pertinente do GECC e tendo em conta as reações recebidas das partes interessadas. A ENISA efetua a avaliação ao realizar a análise do mercado em conformidade com o artigo 8.º, n.º 1.

2.Na sequência da avaliação a que se refere o n.º 1, a Comissão pode rever ou retirar atos de execução que estabeleçam um sistema europeu de certificação da cibersegurança nos termos do artigo 74.º, n.º 9.

3.Ao rever ou retirar sistemas europeus de certificação da cibersegurança, a Comissão consulta a ENISA, o GECC e o seu subgrupo de manutenção pertinente, e tem em conta os pontos de vista das partes interessadas e de outras entidades da União.

4.O GECC pode emitir um parecer sobre a revisão ou a retirada de um sistema europeu de certificação da cibersegurança. A Comissão deve tê-lo devidamente em conta ao rever ou retirar o sistema europeu de certificação da cibersegurança.

Artigo 77.º 
Especificações técnicas nos sistemas europeus de certificação da cibersegurança

1.A ENISA pode elaborar especificações técnicas tendo em vista um futuro sistema europeu de certificação da cibersegurança ou em apoio da manutenção de um sistema europeu de certificação da cibersegurança.

2.As especificações técnicas a que se refere o n.º 1 do presente artigo são elaboradas em tempo útil, com o apoio do GECC e dos seus subgrupos de manutenção, bem como, se for caso disso, do grupo de trabalho ad hoc correspondente a que se refere o artigo 75.º, n.º 3. Para o efeito, a ENISA também procura obter contribuições de grupos de partes interessadas, tendo em conta a estratégia de manutenção a que se refere o artigo 75.º, n.º 1.

3.Caso sejam referenciadas especificações técnicas num sistema europeu de certificação da cibersegurança conforme referido no artigo 74.º, n.º 10, estas são disponibilizadas no sítio Web a que se refere o artigo 79.º.

4.Em casos devidamente justificados, em especial se incluírem informações suscetíveis de comprometer a segurança de produtos, serviços e processos de TIC certificados, de serviços de segurança geridos ou da postura de cibersegurança das entidades, as especificações técnicas são distribuídas apenas às partes interessadas abrangidas pelos requisitos do sistema. Essas especificações técnicas não podem ser referenciadas num sistema europeu de certificação da cibersegurança conforme referido no artigo 74.º, n.º 10.

Artigo 78.º 
Facilitação do cumprimento da legislação da União

1.Se um ato jurídico específico da União assim o previr, o certificado emitido ao abrigo de um sistema europeu de certificação da cibersegurança demonstra a conformidade e confere uma presunção de conformidade com os requisitos correspondentes estabelecidos no ato jurídico em questão.

2.As atividades de avaliação no âmbito de um sistema europeu de certificação da cibersegurança são coerentes com o ato jurídico da União correspondente que estabelece a demonstração da conformidade e a presunção de conformidade. Caso essas atividades de avaliação não estejam especificadas no ato jurídico da União correspondente, o sistema especifica-as. Um organismo terceiro realiza a avaliação da conformidade para a certificação que confere a presunção de conformidade com os requisitos estabelecidos na legislação da União.

3.Na ausência de legislação da União harmonizada, o direito nacional pode também prever que um sistema europeu de certificação da cibersegurança possa ser utilizado para demonstrar a conformidade e estabelecer a presunção de conformidade com requisitos legais específicos estabelecidos no direito nacional.

Artigo 79.º
Adoção de sistemas europeus de certificação da cibersegurança, sítio Web da ENISA e publicação de certificados

1.A ENISA organiza atividades para promover a adoção dos sistemas europeus de certificação da cibersegurança adotados, nomeadamente através da manutenção do sítio Web a que se refere o n.º 2 do presente artigo.

2.A ENISA mantém e atualiza regularmente um sítio Web específico que faculte informações públicas sobre os seguintes elementos:

a)Sistemas europeus de certificação da cibersegurança;

b)As taxas associadas à manutenção de cada sistema europeu de certificação da cibersegurança;

c)Especificações técnicas pertinentes da ENISA;

d)Certificados europeus de cibersegurança e declarações UE de conformidade, incluindo informações relativas a esses certificados e declarações que já não sejam válidos, que tenham sido suspensos ou retirados, ou que tenham caducado;

e)Informações complementares pertinentes sobre cibersegurança facultadas em conformidade com o artigo 84.º;

f)Resumos das análises pelos pares, nos termos do artigo 89.º, n.º 7;

g)Especificações técnicas referenciadas num sistema europeu de certificação da cibersegurança nos termos do artigo 74.º, n.º 10.

3.Se for caso disso, o sítio Web referido no n.º 2 indica igualmente os sistemas nacionais de certificação da cibersegurança que tenham sido substituídos por um sistema europeu de certificação da cibersegurança.

CAPÍTULO II 
Conteúdo dos sistemas europeus de certificação da cibersegurança

Artigo 80.º
Objetivos de segurança dos sistemas europeus de certificação da cibersegurança

1.Os sistemas europeus de certificação da cibersegurança prosseguem, conforme aplicável, os seguintes objetivos de segurança:

a)Garantir a segurança, por defeito e desde a conceção, dos produtos, serviços e processos de TIC e dos serviços de segurança geridos;

b)Proteger os dados armazenados, transmitidos ou sujeitos a qualquer outro tipo de tratamento contra o armazenamento, tratamento, acesso ou divulgação acidental ou não autorizado, com recurso a meios técnicos adequados, tendo em conta todo o ciclo de vida dos produtos, serviços ou processos de TIC;

c)Proteger a integridade dos dados armazenados, transmitidos ou sujeitos a qualquer outro tipo de tratamento, sejam eles pessoais ou de outra natureza, dos comandos, dos programas e das configurações contra qualquer manipulação ou modificação não autorizada pelo utilizador, e comunicar informações sobre as corrupções, tendo em conta todo o ciclo de vida dos produtos, serviços ou processos de TIC;

d)Assegurar a proteção contra o acesso não autorizado através de mecanismos de controlo adequados, incluindo, nomeadamente, sistemas de autenticação, identidade ou gestão de acessos, e comunicar eventuais acessos não autorizados;

e)Identificar e documentar componentes e vulnerabilidades, incluindo, se for caso disso, através da elaboração de uma lista de materiais do software que abranja, pelo menos, as dependências de nível superior;

f)Facultar informações relacionadas com a segurança através do registo e controlo da atividade interna pertinente, incluindo o acesso ou a alteração de dados, serviços ou funções, se for caso disso, com um mecanismo de autoexclusão para o utilizador;

g)Verificar a ausência de vulnerabilidades conhecidas que possam ser exploradas em produtos, serviços e processos de TIC;

h)Proteger a disponibilidade de funções essenciais e básicas, inclusive após um incidente, nomeadamente através de medidas de resiliência e atenuação contra ataques de negação de serviço;

i)Minimizar o impacto negativo na disponibilidade de serviços prestados por outras redes e dispositivos em caso de incidente físico ou técnico;

j)Assegurar que os produtos, serviços e processos de TIC sejam periodicamente testados e que a sua segurança seja reexaminada;

k)Assegurar que as vulnerabilidades sejam abordadas e corrigidas sem demora, nomeadamente através de atualizações de segurança, e que as informações sobre as vulnerabilidades corrigidas sejam partilhadas e divulgadas publicamente, a menos que os riscos de publicação superem os benefícios em termos de segurança;

l)Assegurar a existência de uma política de divulgação coordenada de vulnerabilidades;

m)Facilitar a partilha de informações sobre potenciais vulnerabilidades em produtos, serviços e processos de TIC;

n)Assegurar que, sempre que estejam disponíveis atualizações de segurança para resolver problemas de segurança identificados, essas atualizações sejam distribuídas sem demora;

o)Garantir que os serviços de segurança geridos sejam prestados com as competências, os conhecimentos especializados e a experiência necessários, nomeadamente que o pessoal responsável pela prestação desses serviços possua um nível suficiente e adequado de conhecimentos técnicos e competências no domínio específico, experiência suficiente e adequada e a máxima integridade profissional;

p)Garantir que os produtos, serviços e processos de TIC utilizados na prestação dos serviços de segurança geridos sejam seguros desde a conceção e por defeito e, quando aplicável, incluam as atualizações de segurança mais recentes e não contenham vulnerabilidades publicamente conhecidas;

q)Assegurar que a entidade certificada disponha de procedimentos internos adequados para garantir que os serviços sejam prestados com um nível de qualidade suficiente e adequado;

r)Assegurar que a entidade certificada seja capaz de identificar e detetar incidentes, proteger contra incidentes, dar-lhes resposta e recuperar dos mesmos;

s)Assegurar que a entidade certificada seja capaz de gerir os riscos que se colocam à segurança dos sistemas de rede e informação que utiliza nas suas operações ou na prestação dos seus serviços, e impedir ou minimizar o impacto de incidentes nos destinatários dos seus serviços e noutros serviços;

t)Assegurar que a entidade certificada seja capaz de criar, garantir e reavaliar a sua integridade e fiabilidade operacionais, garantindo direta ou indiretamente, com recurso a serviços fornecidos por terceiros prestadores de serviços de TIC, que possui toda a gama de capacidades relacionadas com as TIC necessárias para salvaguardar a segurança dos sistemas de rede e informação que utiliza e que permitem a contínua prestação de serviços e a qualidade dos mesmos, inclusive em alturas de perturbações;

u)Assegurar que a entidade certificada seja capaz de implementar e manter um sistema de gestão da segurança da informação;

v)Resistir a qualquer evento que possa comprometer a disponibilidade, autenticidade, integridade ou confidencialidade dos dados armazenados, transmitidos ou tratados, ou dos serviços oferecidos ou acessíveis através do sistema de rede e informação utilizado pela entidade, e assegurar a contínua prestação de serviços e a qualidade dos mesmos, inclusive em alturas de perturbações;

w)Assegurar que a entidade seja capaz de garantir a segurança do tratamento de dados pessoais.

2.A Comissão fica habilitada a adotar atos delegados em conformidade com o artigo 119.º para alterar o n.º 1 do presente artigo aditando ou modificando objetivos de segurança, a fim de assegurar que refletem os mais recentes desenvolvimentos tecnológicos e novas ameaças conexas, bem como a adoção de nova legislação da União que estabeleça a demonstração da conformidade e a presunção de conformidade através da certificação europeia da cibersegurança com os requisitos de cibersegurança pertinentes dessa legislação.

3.Um sistema europeu de certificação da cibersegurança que trate produtos com elementos digitais na aceção do artigo 3.º, ponto 1), do Regulamento (UE) 2024/2847 é concebido em consonância com os requisitos essenciais de cibersegurança estabelecidos no anexo I do referido regulamento e tem em conta as normas harmonizadas disponíveis.

Artigo 81.º
Elementos dos sistemas europeus de certificação da cibersegurança

1.Os sistemas europeus de certificação da cibersegurança compreendem, no mínimo, os seguintes elementos:

a)O objeto e o âmbito do sistema de certificação, nomeadamente o tipo ou as categorias de produtos, serviços e processos de TIC ou de serviços de segurança geridos, ou os ativos, serviços e funções da entidade abrangidos pelo âmbito da certificação;

b)Uma descrição clara da finalidade do sistema e, se for caso disso, a identificação da legislação da União que estabelece os requisitos em relação aos quais os certificados europeus de cibersegurança demonstram a conformidade e conferem uma presunção de conformidade;

c)A estratégia de manutenção que especifica a abordagem relativa às atividades de manutenção previstas no artigo 75.º;

d)Os requisitos específicos de cibersegurança, os critérios e métodos de avaliação a utilizar para a avaliação dos produtos, serviços e processos de TIC, dos serviços de segurança geridos ou da postura de cibersegurança das entidades, bem como referências às normas internacionais, europeias ou nacionais aplicadas na avaliação dos produtos, serviços e processos de TIC, dos serviços de segurança geridos ou da postura de cibersegurança das entidades ou, caso essas normas não estejam disponíveis ou não sejam adequadas, às especificações técnicas elaboradas pela ENISA nos termos do artigo 77.º ou, caso essas especificações não estejam disponíveis, a outras especificações técnicas;

e)O prazo máximo de validade dos certificados europeus de cibersegurança emitidos ao abrigo do sistema.

2.Um sistema europeu de certificação da cibersegurança inclui, pelo menos, regras e condições relativas ao seguinte:

a)O controlo da conformidade dos produtos, serviços e processos de TIC, dos serviços de segurança geridos ou da postura de cibersegurança das entidades com os requisitos dos certificados europeus de cibersegurança ou da declaração UE de conformidade, incluindo os mecanismos para demonstrar a conformidade permanente com os requisitos de cibersegurança especificados;

b)A emissão, confirmação, retirada e renovação dos certificados europeus de cibersegurança, o alargamento ou a redução do âmbito da certificação e a recertificação;

c)As consequências para os produtos, serviços e processos de TIC, os serviços de segurança geridos ou entidades que tenham sido certificados ou para os quais tenha sido emitida uma declaração UE de conformidade, mas que não cumprem os requisitos do sistema;

d)Como devem ser comunicadas e tratadas vulnerabilidades de cibersegurança não detetadas anteriormente em produtos, serviços e processos de TIC;

e)O conteúdo e formato dos certificados europeus de cibersegurança e das declarações UE de conformidade a emitir;

f)O período de disponibilidade da declaração UE de conformidade, da documentação técnica e de todas as outras informações relevantes a disponibilizar pelo fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC, o prestador de serviços de segurança geridos ou a entidade cuja postura de cibersegurança é objeto de certificação;

g)Quaisquer mecanismos de avaliação pelos pares estabelecidos no âmbito do sistema para as autoridades ou organismos que emitem certificados europeus de cibersegurança nos termos do artigo 85.º, n.º 4, sem prejuízo da análise pelos pares prevista no artigo 90.º;

h)A confidencialidade das informações e dos dados obtidos por todas as partes no desempenho das atribuições e atividades relacionadas com a execução das disposições estabelecidas no presente título;

i)O formato e os procedimentos a seguir pelos fabricantes, prestadores ou fornecedores de produtos, serviços ou processos de TIC para o fornecimento e a atualização das informações complementares sobre cibersegurança nos termos do artigo 84.º; e

j)A continuidade das atividades de certificação no decurso de situações extraordinárias de crise, que são inevitáveis e prejudicam a possibilidade de aplicar as regras do sistema de certificação.

3.Um sistema europeu de certificação da cibersegurança inclui igualmente, se for caso disso:

a)Um ou mais níveis de garantia e níveis de avaliação correspondentes;

b)Perfis de proteção para especificar os requisitos de segurança aplicáveis a uma determinada categoria de produtos, serviços ou processos de TIC ou de serviços de segurança geridos;

c)Perfis de extensão para estabelecer requisitos de segurança adicionais, incluindo, se for caso disso, requisitos de segurança estabelecidos em disposições nacionais de transposição do direito da União;

d)Clarificação das atividades de avaliação da conformidade, incluindo calibração, ensaio, certificação e inspeção, para o nível de garantia «elevado», ou para efeitos de demonstração da conformidade e de concessão da presunção de conformidade, que são permitidas fora do Espaço Económico Europeu (EEE);

e)A identificação dos sistemas nacionais ou internacionais de certificação da cibersegurança que abrangem os mesmos tipos ou categorias de produtos, serviços e processos de TIC, serviços de segurança geridos ou postura de cibersegurança das entidades;

f)Os requisitos adicionais ou específicos a que estão sujeitos os organismos de avaliação da conformidade, a fim de garantir a sua competência técnica para avaliar os requisitos de cibersegurança;

g)As informações necessárias para a certificação que o requerente deve facultar ou de qualquer outro modo disponibilizar aos organismos de avaliação da conformidade;

h)Marcas ou rótulos e as condições de utilização dos mesmos;

i)Condições para o reconhecimento internacional dos certificados europeus de cibersegurança em conformidade com o artigo 87.º.

4.Os requisitos especificados do sistema europeu de certificação da cibersegurança são coerentes com os requisitos da legislação da União.

5.A Comissão fica habilitada a adotar atos de execução que estabeleçam princípios comuns e disposições-tipo para os elementos previstos nos n.os 1, 2 e 3 em todos os sistemas europeus de certificação da cibersegurança. Se adequado e disponível, um sistema europeu de certificação da cibersegurança pode incluir referências a esses princípios e disposições-tipo.

6.Os atos de execução referidos no n.º 5 são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2. Ao elaborar ou rever os princípios comuns e as disposições-tipo para os elementos dos sistemas europeus de certificação da cibersegurança, a Comissão consulta a ENISA e tem em conta, se for caso disso, os pontos de vista expressos pelo GECC, pelas partes interessadas e por outros organismos pertinentes.

Artigo 82.º
Níveis de garantia e avaliação dos sistemas europeus de certificação da cibersegurança

1.Os sistemas europeus de certificação da cibersegurança podem especificar um ou mais dos seguintes níveis de garantia de produtos, serviços e processos de TIC, serviços de segurança geridos ou postura de cibersegurança das entidades: «básico», «substancial» ou «elevado». Esses níveis de garantia são proporcionais ao nível de risco associado à utilização prevista do produto, serviço ou processo de TIC, ou do serviço de segurança gerido, ou à natureza das entidades cuja postura de cibersegurança esteja sujeita a certificação e ao seu ambiente operacional, em termos de probabilidade e impacto de um incidente.

2.Os certificados europeus de cibersegurança indicam o nível de garantia especificado no sistema europeu de certificação da cibersegurança ao abrigo do qual são emitidos. As declarações UE de conformidade indicam o nível de garantia «básico».

3.Os requisitos de segurança que correspondem a cada nível de garantia são fornecidos no sistema europeu de certificação da segurança relevante, incluindo os controlos de segurança correspondentes e a avaliação correspondente a que devem ser sujeitos o produto, serviço e processo de TIC, o serviço de segurança gerido ou a postura de cibersegurança da entidade.

4.O certificado europeu de cibersegurança ou a declaração UE de conformidade faz referência a especificações técnicas, normas e procedimentos conexos, incluindo controlos técnicos, cuja finalidade é reduzir o risco ou prevenir incidentes de cibersegurança.

5.Um certificado europeu de cibersegurança ou uma declaração UE de conformidade que ateste um nível de garantia «básico» dá garantia de que os produtos, serviços e processos de TIC, os serviços de segurança geridos ou a postura de cibersegurança das entidades objeto desse certificado ou dessa declaração UE de conformidade cumprem os requisitos de segurança correspondentes, incluindo os controlos de segurança, e de que foram avaliados a um nível que visa a redução ao mínimo dos riscos básicos conhecidos de incidentes e ciberataques. As atividades de avaliação a realizar compreendem, pelo menos, uma análise da documentação técnica. Caso tal análise não seja adequada, são realizadas atividades de avaliação alternativas de efeito equivalente.

6.Um certificado europeu de cibersegurança que ateste um nível de garantia «substancial» dá garantia de que os produtos, serviços e processos de TIC, os serviços de segurança geridos ou a postura de cibersegurança das entidades objeto desse certificado cumprem os requisitos de segurança correspondentes, incluindo os controlos de segurança, e de que foram avaliados a um nível que visa a redução ao mínimo dos riscos conhecidos de incidentes e ciberataques e do risco de ciberataques levados a cabo por autores com competências e recursos limitados. As atividades de avaliação a realizar compreendem, pelo menos, uma análise para demonstrar a inexistência de vulnerabilidades publicamente conhecidas e a realização de testes para demonstrar que os produtos, serviços e processos de TIC, os serviços de segurança geridos ou as entidades aplicam corretamente os controlos de segurança necessários. Caso tais atividades de avaliação não sejam adequadas, são realizadas atividades de avaliação alternativas de efeito equivalente.

7.Um certificado europeu de cibersegurança que ateste um nível de garantia «elevado» dá garantia de que os produtos, serviços e processos de TIC, os serviços de segurança geridos ou a postura de cibersegurança das entidades objeto desse certificado cumprem os requisitos de segurança correspondentes, incluindo os controlos de segurança, e de que foram avaliados a um nível que visa a redução ao mínimo dos riscos de incidentes e ciberataques sofisticados levados a cabo por autores com competências e recursos significativos. As atividades de avaliação a realizar compreendem, pelo menos, o seguinte:

a)Uma análise para demonstrar a inexistência de vulnerabilidades publicamente conhecidas;

b)A realização de testes para demonstrar que os produtos, serviços e processos de TIC, os serviços de segurança geridos ou as entidades aplicam corretamente os controlos de segurança necessárias, ao nível tecnológico mais avançado;

c)Uma avaliação da resistência dos produtos, serviços e processos de TIC, dos serviços de segurança geridos ou das entidades a atacantes competentes, utilizando, se for caso disso, testes de penetração.

Caso tais atividades de avaliação não sejam adequadas, são realizadas atividades alternativas de efeito equivalente. Todas as atividades de avaliação da conformidade, incluindo calibração, ensaio, certificação e inspeção, para o nível de garantia «elevado» são realizadas no Espaço Económico Europeu, salvo disposição em contrário num sistema europeu de certificação da cibersegurança.

8.Caso um sistema europeu de certificação da cibersegurança seja concebido para demonstrar a conformidade e conferir presunção de conformidade com um ato jurídico específico da União, um certificado europeu de cibersegurança fornece garantias de que os produtos, serviços e processos de TIC, os serviços de segurança geridos ou a postura de cibersegurança das entidades certificados cumprem os requisitos de cibersegurança correspondentes desse ato jurídico. Todas as atividades de avaliação da conformidade, incluindo calibração, ensaio, certificação e inspeção, para efeitos de presunção de conformidade são realizadas no Espaço Económico Europeu, salvo disposição em contrário num sistema europeu de certificação da cibersegurança.

9.Um sistema europeu de certificação da cibersegurança pode especificar vários níveis de avaliação para um determinado nível de garantia. Cada nível de avaliação corresponde a um dos níveis de garantia.

Artigo 83.º
Autoavaliação da conformidade

1.Os sistemas europeus de certificação da cibersegurança podem permitir a realização de uma autoavaliação da conformidade sob a exclusiva responsabilidade do fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC, do prestador de serviços de segurança geridos ou da entidade cuja postura de cibersegurança é objeto de certificação. A autoavaliação da conformidade é permitida apenas para os produtos, serviços e processos de TIC, os serviços de segurança geridos ou a postura de cibersegurança das entidades com um nível de risco baixo, correspondente ao nível de garantia «básico».

2.O fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC, o prestador de serviços de segurança geridos ou a entidade cuja postura de cibersegurança é objeto de certificação pode emitir uma declaração UE de conformidade que indique que foi demonstrado o cumprimento dos requisitos estabelecidos no sistema europeu de certificação da cibersegurança. Através da emissão dessa declaração, o fabricante, o prestador ou fornecedor ou a entidade assume a responsabilidade pela conformidade do produto, serviço ou processo de TIC, do serviço de segurança gerido ou da postura de cibersegurança com os requisitos previstos nesse sistema.

3.O fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC, o prestador de serviços de segurança geridos ou a entidade cuja postura de cibersegurança é objeto de certificação disponibiliza à autoridade nacional de certificação da cibersegurança designada nos termos do artigo 89.º, pelo período fixado no sistema europeu de certificação da cibersegurança, a declaração UE de conformidade, a documentação técnica e todas as outras informações pertinentes relativas à conformidade dos produtos, serviços e processos de TIC, dos serviços de segurança geridos ou da postura de cibersegurança com esse sistema. É apresentada à autoridade nacional de certificação da cibersegurança e à ENISA uma cópia da declaração UE de conformidade, sem demora injustificada.

Artigo 84.º
Informações complementares sobre cibersegurança para os produtos, serviços e processos de TIC certificados

1.O fabricante, prestador ou fornecedor de produtos, serviços ou processos de TIC ao qual tenha sido emitida uma declaração UE de conformidade ou um certificado europeu de cibersegurança disponibiliza ao utilizador as seguintes informações complementares sobre cibersegurança:

a)A finalidade prevista do produto, serviço ou processo de TIC em causa, incluindo o ambiente de segurança proporcionado pelo fabricante, prestador ou fornecedor;

b)Orientações e recomendações para ajudar os utilizadores na configuração, instalação, implantação, funcionamento e manutenção seguros dos produtos de TIC ou serviços de TIC;

c)O tipo de apoio técnico no domínio da segurança que o fabricante, prestador ou fornecedor oferece e a data-limite do período de apoio durante o qual os utilizadores podem esperar que as vulnerabilidades sejam tratadas e receber atualizações de segurança;

d)Se o fabricante, prestador ou fornecedor decidir disponibilizar uma lista de materiais do software ao utilizador, informações sobre o local onde se pode aceder a essa lista.

2.O fabricante, prestador ou fornecedor de produtos, serviços ou processos de TIC ao qual tenha sido emitida uma declaração UE de conformidade ou um certificado europeu de cibersegurança disponibiliza publicamente as seguintes informações complementares sobre cibersegurança:

a)O ponto de contacto único por meio do qual se pode comunicar e receber informações sobre vulnerabilidades e a política do fabricante em matéria de divulgação coordenada das vulnerabilidades;

b)Informações sobre as vulnerabilidades corrigidas, nomeadamente uma descrição das mesmas, incluindo informações que permitam aos utilizadores identificar o produto com elementos digitais afetado, os impactos das vulnerabilidades e a sua gravidade, e informações claras e acessíveis que ajudem os utilizadores a remediar as vulnerabilidades; em casos devidamente justificados, caso os fabricantes considerem que os riscos de segurança da publicação superam os benefícios relacionados com a segurança, podem adiar a divulgação pública de informações sobre uma vulnerabilidade corrigida até que os utilizadores tenham a possibilidade de aplicar a correção pertinente.

3.As informações referidas nos n.os 1 e 2 são disponibilizadas em formato eletrónico, permanecem disponíveis e são atualizadas conforme necessário durante o período de validade e, pelo menos, por um período de cinco anos após o certificado europeu de cibersegurança ou a declaração UE de conformidade em causa caducar ou ser retirado.

4.As obrigações estabelecidas nos n.os 1 e 2 não se aplicam se a segurança do produto, serviço ou processo de TIC em causa for suscetível de ficar comprometida caso as informações sejam disponibilizadas publicamente.

CAPÍTULO III 
Governação do enquadramento europeu para a certificação da cibersegurança

Secção 1 
Regras gerais e gestão dos sistemas europeus de certificação da cibersegurança

Artigo 85.º
Emissão de certificados europeus de cibersegurança

1.Presume-se que os produtos, serviços e processos de TIC, os serviços de segurança geridos ou a postura de cibersegurança das entidades que tenham sido certificados ao abrigo de um sistema europeu de certificação da cibersegurança cumprem os requisitos desse sistema.

2.Os organismos de avaliação da conformidade a que se refere o artigo 91.º emitem certificados europeus de cibersegurança com base nos critérios incluídos no sistema europeu de certificação da cibersegurança adotado nos termos do artigo 74.º.

3.Em derrogação do n.º 2, um sistema europeu de certificação da cibersegurança pode prever que os certificados europeus de cibersegurança ao abrigo desse sistema só possam ser emitidos por um dos seguintes organismos públicos:

a)Uma autoridade nacional de certificação da cibersegurança a que se refere o artigo 88.º acreditada como organismo de avaliação da conformidade nos termos do artigo 91.º, n.º 1;

b)Um organismo público acreditado como organismo de avaliação da conformidade nos termos do artigo 91.º, n.º 1.

4.Caso um sistema europeu de certificação da cibersegurança adotado nos termos do artigo 74.º estabeleça um nível de garantia «elevado», ou quando especificado de outra forma por esse sistema, o certificado europeu de cibersegurança ao abrigo desse sistema só pode ser emitido por uma autoridade nacional de certificação da cibersegurança a que se refere o artigo 88.º acreditada como organismo de avaliação da conformidade nos termos do artigo 91.º, n.º 1, ou, nos seguintes casos:

a)Por um organismo de avaliação da conformidade com base num modelo de aprovação prévia; ou

b)Por um organismo de avaliação da conformidade com base num modelo de delegação geral.

5.A Comissão fica habilitada a adotar atos de execução que especifiquem os procedimentos para os modelos de aprovação prévia ou delegação geral a que se refere o n.º 4 do presente artigo. No processo de elaboração desses atos de execução, a Comissão consulta o GECC. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.

6.As pessoas singulares ou coletivas que submetem produtos, serviços e processos de TIC ou serviços de segurança geridos à certificação, ou a entidade que requeira a certificação da sua postura de cibersegurança, disponibilizam todas as informações necessárias para efetuar a certificação à autoridade nacional de certificação da cibersegurança designada nos termos do artigo 89.º, quando essa autoridade for o organismo que emite o certificado europeu de cibersegurança, ou ao organismo de avaliação da conformidade a que se refere o artigo 91.º.

7.Os organismos de avaliação da conformidade e, se for caso disso, as autoridades nacionais de certificação da cibersegurança informam a ENISA, sem demora injustificada, das suas decisões que afetem o estatuto dos certificados europeus de cibersegurança e das declarações UE de conformidade nos termos do artigo 94.º.

8.O titular de um certificado europeu de cibersegurança informa o organismo de avaliação da conformidade e, se for caso disso, a autoridade nacional de certificação da cibersegurança a que se refere o n.º 7, de quaisquer vulnerabilidades ou não conformidades subsequentemente detetadas relativamente ao produto, serviço ou processo de TIC, ao serviço de segurança gerido ou à postura de cibersegurança da entidade certificados que sejam suscetíveis de afetar a sua conformidade com o certificado. Esse organismo transmite essas informações sem demora injustificada à autoridade nacional de certificação da cibersegurança em causa e avalia o impacto no certificado em consonância com as condições do sistema a que se refere o artigo 81.º, n.º 2, alínea d).

9.Relativamente aos seus produtos, serviços e processos de TIC ou serviços de segurança geridos certificados, identificados, na totalidade ou em parte, como principais ativos nos termos do artigo 102.º, os titulares de um certificado europeu de cibersegurança não podem utilizar, instalar ou integrar de outra forma componentes de TIC ou componentes que incluam componentes de TIC de fornecedores de alto risco em produtos, serviços ou processos de TIC ou serviços de segurança geridos certificados.

10.Os certificados europeus de cibersegurança são emitidos pelo período definido pelo sistema europeu de certificação da cibersegurança em causa e podem ser renovados, desde que continuem a ser cumpridos os requisitos aplicáveis.

11.A Comissão coopera com os Estados-Membros para assegurar a aplicação das disposições relacionadas com a emissão de certificados europeus de cibersegurança, tendo igualmente em vista a aplicação do artigo 100.º, n.º 4, alínea b). O organismo de avaliação da conformidade e, se for caso disso, a autoridade nacional de certificação da cibersegurança facultam à Comissão, a pedido desta e sem demora injustificada, todas as informações relacionadas com a emissão dos certificados europeus de cibersegurança ou das declarações UE de conformidade pertinentes.

Artigo 86.º
Sistemas e certificados nacionais de certificação da cibersegurança

1.Os sistemas nacionais de certificação da cibersegurança e os procedimentos conexos relativos aos produtos, serviços e processos de TIC, aos serviços de segurança geridos e à postura de cibersegurança das entidades abrangidos pelo objeto e âmbito de um sistema europeu de certificação da cibersegurança deixam de produzir efeitos a partir da data estabelecida no ato de execução adotado ao abrigo do artigo 74.º, n.º 9. Os sistemas nacionais de certificação da cibersegurança e os procedimentos conexos relativos aos produtos, serviços e processos de TIC, aos serviços de segurança geridos e à postura de cibersegurança das entidades que não sejam abrangidos pelo objeto e âmbito de um sistema europeu de certificação da cibersegurança podem continuar a existir.

2.Os Estados-Membros não podem introduzir novos sistemas nacionais de certificação da cibersegurança ou procedimentos conexos para os produtos, serviços e processos de TIC, os serviços de segurança geridos e a postura de cibersegurança das entidades já abrangidos pelo objeto e âmbito de um sistema europeu de certificação da cibersegurança.

3.Os certificados em vigor emitidos ao abrigo de sistemas nacionais de certificação da cibersegurança e abrangidos pelo objeto e âmbito de um sistema europeu de certificação da cibersegurança permanecem válidos até à respetiva data de caducidade.

4.Os Estados-Membros notificam a Comissão e o GECC antes de adotarem novos sistemas nacionais de certificação da cibersegurança de produtos, serviços e processos de TIC, de serviços de segurança geridos e da postura de cibersegurança das entidades.

5.A Comissão pode sugerir a um Estado-Membro que retire um sistema nacional de certificação da cibersegurança de produtos, serviços e processos de TIC, de serviços de segurança geridos ou da postura de cibersegurança das entidades, caso o desenvolvimento de um sistema europeu de certificação da cibersegurança que abranja esses produtos, serviços, processos ou postura de cibersegurança já tenha sido solicitado em conformidade com o artigo 73.º, tendo em conta o plano de desenvolvimento desse sistema.

Artigo 87.º
Reconhecimento internacional dos certificados europeus de cibersegurança

1.Os certificados de países terceiros de produtos, serviços e processos de TIC, de serviços de segurança geridos e da postura de cibersegurança das entidades podem ser reconhecidos, por meio de um ato de execução ou da celebração de um acordo entre a União e o país terceiro em causa ou uma organização internacional, como equivalentes aos certificados europeus de cibersegurança se os requisitos do sistema do país terceiro ou da organização internacional em causa forem considerados equivalentes aos dos sistemas europeus de certificação da cibersegurança. A Comissão fica habilitada a adotar esses atos de execução. Os atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.

2.Os atos de execução e os acordos a que se refere o n.º 1 baseiam-se nas condições de reconhecimento internacional dos certificados europeus de cibersegurança estabelecidas nos termos do artigo 74.º, n.º 11.

3.Os acordos sobre o reconhecimento de certificados de países terceiros ou de organizações internacionais a que se refere o n.º 1 só são celebrados se estes também reconhecerem os certificados europeus de cibersegurança como equivalentes aos certificados de países terceiros.

Artigo 88.º 
Autoridades nacionais de certificação da cibersegurança

1.Cada Estado-Membro designa uma ou mais autoridades nacionais de certificação da cibersegurança no seu território ou, com o acordo de outro Estado-Membro, uma ou mais autoridades nacionais de certificação da cibersegurança nesse outro Estado-Membro como responsáveis pelas atribuições de supervisão no Estado-Membro que procede à designação.

2.Os Estados-Membros informam a Comissão da identidade das autoridades nacionais de certificação da cibersegurança designadas. Se designarem mais do que uma autoridade, os Estados-Membros informam igualmente a Comissão das atribuições conferidas a cada uma.

3.Cada autoridade nacional de certificação da cibersegurança é independente das entidades que supervisiona no que diz respeito à sua organização, decisões de financiamento, estrutura jurídica e tomada de decisões.

4.As atividades das autoridades nacionais de certificação da cibersegurança relacionadas com a emissão de certificados europeus de cibersegurança ao abrigo do presente regulamento são estritamente separadas das suas atividades de supervisão previstas no presente artigo e no artigo 85.º, n.º 4, alíneas a) e b), e são realizadas de forma independente umas das outras.

5.Os Estados-Membros asseguram que as autoridades nacionais de certificação da cibersegurança disponham dos recursos adequados ao exercício das suas competências e à realização eficaz e eficiente das suas atribuições.

6.As autoridades nacionais de certificação da cibersegurança têm as seguintes atribuições:

a)Participar no GECC, nos termos do artigo 90.º, n.º 2;

b)Supervisionar e fazer cumprir as regras incluídas nos sistemas europeus de certificação da cibersegurança nos termos do artigo 81.º, n.º 2, alínea a), a fim de assegurar a conformidade dos produtos, serviços e processos de TIC, dos serviços de segurança geridos e da postura de cibersegurança das entidades com os requisitos dos certificados europeus de cibersegurança emitidos nos respetivos territórios, em cooperação com as autoridades de fiscalização do mercado ou de supervisão competentes, incluindo as autoridades competentes nos termos da Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho 82 ou do Regulamento (UE) 2024/2847;

c)Controlar, em cooperação com as autoridades de fiscalização do mercado competentes, o cumprimento das obrigações que incumbem, nos termos do presente regulamento, aos fabricantes, prestadores ou fornecedores de produtos, serviços e processos de TIC, aos prestadores de serviços de segurança geridos ou às entidades cuja postura de cibersegurança é objeto de certificação estabelecidos nos respetivos territórios e que efetuem a autoavaliação da conformidade no quadro do sistema europeu de certificação da cibersegurança correspondente, e fazer cumprir essas obrigações;

d)Sem prejuízo do disposto no artigo 91.º, n.º 3, prestar ativamente assistência e apoio aos organismos nacionais de acreditação ou outras autoridades competentes no controlo e na supervisão das atividades dos organismos de avaliação da conformidade para efeitos do presente regulamento;

e)Cooperar com a Comissão caso a competência de um organismo de avaliação da conformidade seja contestada nos termos do artigo 94.º;

f)Controlar e supervisionar as atividades dos organismos públicos a que se refere o artigo 85.º, n.º 3;

g)Se for caso disso, autorizar os organismos de avaliação da conformidade ao abrigo do artigo 93.º, controlar o cumprimento e fazer cumprir as obrigações dos organismos de avaliação da conformidade e os requisitos adicionais ou específicos estabelecidos nos sistemas europeus de certificação da cibersegurança nos termos do artigo 81.º, n.º 3, alínea f), e restringir, suspender ou retirar a autorização existente se os organismos de avaliação da conformidade não cumprirem os requisitos do presente regulamento;

h)Tratar as reclamações apresentadas por pessoas singulares ou coletivas relativamente a certificados europeus de cibersegurança emitidos por autoridades nacionais de certificação da cibersegurança ou a certificados europeus de cibersegurança emitidos por organismos de avaliação da conformidade nos termos do artigo 85.º, n.º 4, ou em relação a declarações UE de conformidade emitidas ao abrigo do artigo 83.º, investigar, na medida do necessário, o objeto das reclamações e informar os autores das reclamações do andamento e do resultado da investigação num prazo razoável;

i)Apresentar à Comissão, à ENISA e ao GECC, até 31 de março de [ano de entrada em vigor acrescido de 12 meses] de cada ano, um relatório anual sobre as suas principais atividades e disponibilizá-lo à equipa de análise pelos pares, caso a autoridade nacional de certificação da cibersegurança seja objeto de análise pelos pares em conformidade com o artigo 89.º;

j)Cooperar com outras autoridades nacionais de certificação da cibersegurança, autoridades de fiscalização do mercado ou outras autoridades públicas, inclusive através da partilha de informações sobre a eventual não conformidade de produtos, serviços e processos de TIC, de serviços de segurança geridos e da postura de cibersegurança das entidades com os requisitos do presente regulamento ou de sistemas europeus de certificação da cibersegurança específicos;

k)Acompanhar factos novos relevantes no domínio da certificação da cibersegurança.

7.Cada autoridade nacional de certificação da cibersegurança dispõe, no mínimo, das competências para:

a)Solicitar aos organismos de avaliação da conformidade, aos titulares de certificados europeus de cibersegurança e aos emitentes de declarações UE de conformidade que lhe forneçam as informações de que necessite para o exercício das suas atribuições;

b)Conduzir investigações, sob a forma de auditorias, dos organismos de avaliação da conformidade, dos titulares de certificados europeus de cibersegurança e dos emitentes de declarações UE de conformidade, a fim de verificar se cumprem os requisitos estabelecidos no presente título;

c)Tomar as medidas adequadas, de acordo com o direito nacional, a fim de garantir que os organismos de avaliação da conformidade, os titulares de certificados europeus de cibersegurança, e os emitentes de declarações UE de conformidade cumprem o disposto no presente regulamento ou num sistema europeu de certificação da cibersegurança;

d)Obter acesso às instalações dos organismos de avaliação da conformidade ou dos titulares de certificados europeus de cibersegurança com o objetivo de conduzir investigações de acordo com a legislação da União ou o direito processual nacional;

e)Retirar, de acordo com o direito nacional, os certificados europeus de cibersegurança emitidos pelas autoridades nacionais de certificação da cibersegurança ou pelos organismos de avaliação da conformidade nos termos do artigo 85.º, n.º 4, que não cumpram o disposto no presente regulamento ou num sistema europeu de certificação da cibersegurança;

f)Impor sanções, de acordo com o direito nacional, como previsto no artigo 97.º, e exigir a cessação imediata da violação das obrigações estabelecidas no presente regulamento.

8.As autoridades nacionais de certificação da cibersegurança cooperam entre si e com a Comissão, nomeadamente partilhando informações, experiências e boas práticas em matéria de certificação da cibersegurança e de questões técnicas relacionadas com a cibersegurança dos produtos, serviços e processos de TIC, dos serviços de segurança geridos e da postura de cibersegurança das entidades.

9.Até [data de entrada em vigor acrescida de seis meses], a ENISA elabora um modelo para o relatório a que se refere o n.º 6, alínea i), do presente artigo, em cooperação com a Comissão e o GECC.

Artigo 89.º
Análise pelos pares

1.As autoridades nacionais de certificação da cibersegurança são sujeitas a análise pelos pares.

2.A análise pelos pares deve ser realizada com base em critérios e procedimentos de avaliação sólidos e transparentes, especialmente no que se refere aos requisitos estruturais, de recursos humanos e processuais, à confidencialidade e às reclamações.

3.A análise pelos pares avalia os seguintes elementos:

a)Se aplicável, se as atividades das autoridades nacionais de certificação da cibersegurança relacionadas com a emissão de certificados europeus de cibersegurança, nos termos do presente regulamento, estão rigorosamente separadas das atividades de supervisão previstas no artigo 88.º, e se essas atividades são exercidas independentemente umas das outras;

b)Os procedimentos destinados a supervisionar e fazer cumprir as regras relativas ao controlo da conformidade dos produtos, serviços e processos de TIC, dos serviços de segurança geridos e da postura de cibersegurança das entidades com os certificados europeus de cibersegurança nos termos do artigo 88.º, n.º 7, alínea a);

c)Os procedimentos destinados a controlar e fazer cumprir as obrigações dos fabricantes, prestadores ou fornecedores de produtos, serviços e processos de TIC, dos prestadores de serviços de segurança geridos ou das entidades cuja postura de cibersegurança é objeto de certificação nos termos do artigo 88.º, n.º 7, alínea b);

d)Os procedimentos destinados a controlar, autorizar e supervisionar as atividades dos organismos de avaliação da conformidade.

4.A análise pelos pares é realizada pelo menos uma vez de cinco em cinco anos por, pelo menos, duas autoridades nacionais de certificação da cibersegurança de outros Estados-Membros e pela Comissão. A ENISA participa igualmente na análise pelos pares na qualidade de observadora. A equipa da análise pelos pares elabora o relatório final e o resumo dessa análise.

5.A ENISA apoia a organização do mecanismo de análise pelos pares e das análises pelos pares, nomeadamente através da elaboração de documentos de orientação e modelos pertinentes, em cooperação com a Comissão e o GECC.

6.A Comissão fica habilitada a adotar atos de execução que estabeleçam um plano para as análises pelos pares que cubra um período de pelo menos cinco anos e defina os critérios para a composição da equipa de análise pelos pares, a metodologia a seguir na análise, o calendário, a frequência e outras atribuições relacionadas com a análise pelos pares. Ao elaborar esses atos de execução, a Comissão consulta a o GECC e a ENISA. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.

7.O relatório final, incluindo eventuais orientações ou recomendações, e o resumo da análise pelos pares são examinados pelo GECC, que aprova o resumo para publicação no sítio Web a que se refere o artigo 79.º, n.º 2.

Artigo 90.º
Grupo Europeu para a Certificação da Cibersegurança

1.É criado o Grupo Europeu para a Certificação da Cibersegurança (GECC).

2.O GECC é composto por representantes das autoridades nacionais de certificação da cibersegurança ou representantes de outras autoridades nacionais competentes. Um membro do GECC não pode representar mais de dois Estados-Membros.

3.O GECC tem as seguintes atribuições:

a)Aconselhar a Comissão e prestar-lhe assistência no seu trabalho para assegurar a execução e aplicação coerentes das regras estabelecidas no presente título, as questões de política de certificação da cibersegurança e a coordenação de abordagens políticas;

b)Aconselhar a Comissão e prestar-lhe assistência na elaboração dos pedidos de sistemas europeus de certificação da cibersegurança nos termos do artigo 73.º;

c)Prestar assistência à ENISA, bem como aconselhá-la e colaborar com a mesma, no que se refere à elaboração de projetos de sistemas, nos termos do artigo 74.º, e de especificações técnicas, nos termos do artigo 77.º;

d)Prestar assistência à ENISA e à Comissão, bem como aconselhá-las e colaborar com as mesmas, no que se refere às atividades de manutenção nos termos do artigo 75.º;

e)Prestar assistência à Comissão, bem como aconselhá-la e colaborar com a mesma, no que se refere à revisão ou retirada de sistemas europeus de certificação da cibersegurança existentes, nos termos do artigo 76.º;

f)Sugerir a apresentação de um pedido à Comissão no que diz respeito à elaboração de um projeto de sistema europeu de certificação da cibersegurança nos termos do artigo 73.º, n.º 2;

g)Adotar pareceres dirigidos à Comissão relativos à manutenção, revisão e retirada de sistemas europeus de certificação da cibersegurança em vigor;

h)Analisar factos novos relevantes no domínio da certificação da cibersegurança, nomeadamente a nível nacional nos termos do artigo 86.º, e proceder ao intercâmbio de informações e de boas práticas em matéria de sistemas de certificação da cibersegurança;

i)Facilitar a cooperação entre as autoridades nacionais de certificação da cibersegurança ao abrigo das regras estabelecidas no presente título através do reforço das capacidades e do intercâmbio de informações, em especial no que diz respeito a questões relacionadas com a certificação da cibersegurança;

j)Apoiar a aplicação do mecanismo de análise pelos pares previsto no artigo 89.º e dos mecanismos de avaliação pelos pares, de acordo com as regras estabelecidas num sistema europeu de certificação da cibersegurança nos termos do artigo 81.º, n.º 2, alínea g);

k)Facilitar o alinhamento dos sistemas europeus de certificação da cibersegurança pelas normas reconhecidas a nível internacional, nomeadamente no âmbito da manutenção dos sistemas europeus de certificação da cibersegurança existentes e, se necessário, formular recomendações à atenção da ENISA para que colabore com os organismos europeus ou internacionais de normalização competentes, a fim de sanar insuficiências ou lacunas nas normas existentes reconhecidas a nível europeu ou internacional.

4.Com a assistência da ENISA, a Comissão preside ao GECC e assegura a prestação dos seus serviços de secretariado ao GECC.

5.A Comissão pode criar subgrupos do GECC para qualquer uma das seguintes finalidades:

a)Examinar questões específicas com base num mandato definido pela Comissão;

b)Manter e rever os sistemas europeus de certificação em conformidade com o presente regulamento e com base num mandato definido pela Comissão.

6.Os subgrupos respondem perante o GECC.

7.Os subgrupos são copresididos pela Comissão e pela ENISA e o secretariado dos subgrupos é assegurado pela ENISA.

8.O GECC e os seus subgrupos adotam o regulamento interno por maioria simples dos seus membros, com base numa proposta da Comissão e com o acordo desta.

Secção 2 
Organismos de avaliação da conformidade

Artigo 91.º
Competência dos organismos de avaliação da conformidade

1.Os organismos de avaliação da conformidade são acreditados pelos organismos nacionais de acreditação designados nos termos do Regulamento (CE) n.º 765/2008. A acreditação só é emitida se o organismo de avaliação da conformidade cumprir os requisitos estabelecidos no Anexo I do presente regulamento.

2.Caso uma autoridade nacional de certificação da cibersegurança emita um certificado europeu de cibersegurança nos termos do presente regulamento, o organismo de certificação da autoridade nacional de certificação da cibersegurança é acreditado como organismo de avaliação da conformidade nos termos do n.º 1.

3.A acreditação dos organismos de avaliação da conformidade referida no n.º 1 é emitida por um prazo máximo de cinco anos e pode ser renovada, desde que o organismo de avaliação da conformidade cumpra os requisitos estabelecidos no presente artigo. Os organismos nacionais de acreditação tomam todas as medidas adequadas num prazo razoável para restringir, suspender ou revogar a acreditação de um organismo de avaliação da conformidade que tenha sido emitida nos termos do n.º 1, se as condições para a acreditação não tiverem sido cumpridas ou deixarem de ser cumpridas, ou se o organismo de avaliação da conformidade não cumprir o disposto no presente regulamento.

4.Ao estabelecer requisitos de acreditação adicionais ou específicos para um sistema europeu de certificação da cibersegurança que abranja produtos de TIC, nos termos do artigo 92.º, procuram-se sinergias, se for caso disso, com os requisitos relativos aos organismos notificados previstos no Regulamento (UE) 2024/2847 e os requisitos de acreditação ao abrigo dos sistemas de certificação da cibersegurança já adotados.

5.Caso um organismo de avaliação da conformidade seja acreditado nos termos do Regulamento (UE) 2024/2847, as autoridades competentes podem reutilizar como prova, durante o processo de acreditação ao abrigo do presente regulamento, os resultados de processos de acreditação anteriores relativos a eventuais requisitos que se sobreponham.

Artigo 92.º
Harmonização adicional da competência dos organismos de avaliação da conformidade

1.Caso um sistema europeu de certificação da cibersegurança estabeleça requisitos adicionais ou específicos nos termos do artigo 81.º, n.º 3, alínea f), os organismos de avaliação da conformidade são autorizados por uma autoridade nacional de certificação da cibersegurança designada nos termos do artigo 88.º, n.º 1, a exercer atribuições no âmbito desse sistema. Essa autorização só é emitida se o organismo de avaliação da conformidade tiver sido acreditado e cumprir os requisitos adicionais ou específicos estabelecidos no âmbito do sistema europeu de certificação da cibersegurança.

2.Quando um organismo de avaliação da conformidade solicita uma autorização ao abrigo do presente artigo, envia o pedido à autoridade nacional de certificação da cibersegurança do Estado-Membro em que se encontra estabelecido ou à autoridade nacional de certificação da cibersegurança a que esse Estado-Membro recorreu nos termos do artigo 88.º, n.º 1.

3.Um organismo de avaliação da conformidade pode solicitar a autorização a uma autoridade nacional de certificação da cibersegurança diferente da referida no n.º 2 nas seguintes situações:

a)Caso a autoridade nacional de certificação da cibersegurança a que se refere o n.º 1 não emita autorizações no que diz respeito às atividades de avaliação da conformidade para as quais é solicitada autorização;

b)Caso a autoridade nacional de certificação da cibersegurança a que se refere o n.º 1 não tenha sido objeto de uma análise pelos pares nos termos do artigo 89.º no que diz respeito às atividades de avaliação da conformidade para as quais é solicitada autorização.

4.Caso uma autoridade nacional de certificação da cibersegurança receba um pedido nos termos do n.º 3, informa a autoridade nacional de certificação da cibersegurança do Estado-Membro em que se encontra estabelecido o organismo de avaliação da conformidade requerente. Nesse caso, a autoridade nacional de certificação da cibersegurança desse Estado-Membro pode participar na autorização na qualidade de observadora.

5.Uma autoridade nacional de certificação da cibersegurança pode solicitar a outra autoridade nacional de certificação da cibersegurança que realize partes da atividade de avaliação. Nesse caso, o certificado de autorização é emitido pela autoridade requerente.

6.A autorização a que se refere o n.º 1 é válida por um período não superior ao período de validade da acreditação e pode ser renovada desde que o organismo de avaliação da conformidade cumpra os requisitos estabelecidos no n.º 1 e a sua acreditação tenha também sido renovada.

7.As autoridades nacionais de certificação da cibersegurança tomam todas as medidas adequadas num prazo razoável para restringir, suspender ou revogar a autorização de um organismo de avaliação da conformidade que tenha sido emitida nos termos do n.º 1, se as condições para a autorização não tiverem sido cumpridas ou deixarem de ser cumpridas, ou se o organismo de avaliação da conformidade não cumprir o disposto no presente regulamento.

8.A Comissão fica habilitada a adotar atos de execução para estabelecer os procedimentos de autorização dos organismos de avaliação da conformidade, incluindo em matéria de cooperação transfronteiriça. No processo de elaboração dos atos de execução, a Comissão consulta a ENISA e o GECC. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.

Artigo 93.º
Notificação dos organismos de avaliação da conformidade

1.Para cada sistema europeu de certificação da cibersegurança, as autoridades nacionais de certificação da cibersegurança de um Estado-Membro notificam a Comissão e os outros Estados-Membros dos organismos de avaliação da conformidade que foram acreditados e, se for caso disso, autorizados nos termos do artigo 92.º.

2.As autoridades nacionais de certificação da cibersegurança efetuam a notificação a que se refere o n.º 1 com recurso ao instrumento de notificação eletrónica desenvolvido e gerido pela Comissão.

3.A Comissão fica habilitada a adotar atos de execução para estabelecer as circunstâncias, os formatos e os procedimentos das notificações a que se refere o n.º 1 do presente artigo, incluindo o procedimento de oposição por outros Estados-Membros durante o processo de notificação, a identificação única dos organismos de avaliação da conformidade, bem como as circunstâncias da restrição, suspensão ou retirada da notificação. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.

Artigo 94.º
Contestação da competência dos organismos de avaliação da conformidade

1.A Comissão investiga qualquer caso em relação ao qual tenha dúvidas ou lhe sejam comunicadas dúvidas quanto à competência de um organismo de avaliação da conformidade para cumprir os requisitos exigidos e as responsabilidades que lhe estão cometidas, ou quanto ao cumprimento continuado desses requisitos e responsabilidades.

2.A autoridade nacional de certificação da cibersegurança fornece à Comissão, mediante pedido, todas as informações relacionadas com o fundamento da notificação ou com a manutenção da competência do organismo de avaliação da conformidade em causa.

3.Cabe à Comissão assegurar que todas as informações sensíveis obtidas durante as suas investigações são tratadas de forma confidencial.

4.Sempre que determine que um organismo de avaliação da conformidade não cumpre ou deixou de cumprir os requisitos que permitiram a sua notificação, a Comissão informa a autoridade nacional de certificação da cibersegurança desse facto e solicita-lhe que tome as medidas corretivas necessárias, incluindo a retirada da notificação, se necessário.

5.Os Estados-Membros asseguram a existência de procedimentos de recurso das decisões dos organismos notificados.

Artigo 95.º
Obrigação dos organismos de avaliação da conformidade em matéria de informação e de conservação

1.Os organismos de avaliação da conformidade informam a autoridade nacional de certificação da cibersegurança do seguinte:

a)Quaisquer situações de recusa, restrição, suspensão ou retirada de certificados;

b)Quaisquer circunstâncias que afetem o âmbito e as condições da notificação a que se refere o artigo 93.º, n.º 1;

c)Quaisquer pedidos de informação sobre as atividades de avaliação da conformidade que tenham recebido das autoridades de fiscalização do mercado;

d)Mediante pedido, quaisquer atividades de avaliação da conformidade efetuadas no âmbito da respetiva notificação e quaisquer outras atividades efetuadas, nomeadamente atividades transfronteiriças e de subcontratação.

2.Os organismos de avaliação da conformidade facultam igualmente à ENISA as informações a que se refere o n.º 1, alínea a), a fim de facilitar o desempenho das suas atribuições nos termos do artigo 79.º.

3.Os organismos de avaliação da conformidade disponibilizam aos outros organismos de avaliação da conformidade ao abrigo do presente regulamento que efetuem atividades de avaliação da conformidade semelhantes, abrangendo os mesmos produtos, serviços e processos de TIC, serviços de segurança geridos ou entidades cuja postura de cibersegurança é objeto de certificação, sem demora injustificada, informações pertinentes sobre questões relacionadas com resultados negativos e, mediante pedido, resultados positivos da avaliação da conformidade.

4.Os organismos de avaliação da conformidade mantêm um sistema de registos que contenha todos os documentos e elementos de prova produzidos ou recebidos no âmbito de cada avaliação e certificação que efetuem. O registo é conservado de forma segura e acessível pelo período necessário para efeitos de certificação e durante, pelo menos, cinco anos após o certificado europeu de cibersegurança em causa caducar ou ser retirado.

Secção 3 
Outras disposições

Artigo 96.º
Direito de apresentar uma reclamação e direito a um recurso judicial efetivo

1.As pessoas singulares ou coletivas têm o direito de apresentar uma reclamação junto da entidade emissora de um certificado europeu de cibersegurança ou, no caso de a reclamação se referir a um certificado europeu de cibersegurança emitido por um organismo de avaliação da conformidade agindo nos termos do artigo 85.º, n.º 4, junto da autoridade nacional de certificação da cibersegurança competente.

2.A autoridade ou o organismo ao qual tiver sido apresentada a reclamação informa o seu autor do andamento e do resultado da mesma, bem como do direito a um recurso judicial efetivo nos termos nos n.os 3 e 4.

3.Não obstante os recursos administrativos ou vias extrajudiciais, as pessoas singulares e coletivas têm direito a um recurso judicial efetivo no que respeita:

a)Às decisões adotadas pela autoridade ou por um organismo referido no n.º 1, inclusive, se aplicável, em relação à emissão indevida, à omissão de emissão de certificados ou ao reconhecimento de certificados europeus de cibersegurança na posse das referidas pessoas singulares e coletivas;

b)À omissão de ação relativamente a uma reclamação apresentada junto de uma autoridade ou de um organismo referido no n.º 1.

4.Os recursos ao abrigo do presente artigo são interpostos perante os tribunais do Estado-Membro onde está situada a autoridade ou o organismo contra o qual são interpostos.

Artigo 97.º
Sanções

Os Estados-Membros estabelecem as regras relativas às sanções aplicáveis em caso de violação do disposto no presente título e nos sistemas europeus de certificação da cibersegurança e tomam as medidas necessárias para garantir a sua aplicação. As sanções previstas devem ser efetivas, proporcionadas e dissuasivas. Os Estados-Membros notificam, sem demora, a Comissão dessas regras e medidas, e notificam-na de qualquer alteração subsequente das mesmas.

TÍTULO IV 
SEGURANÇA DAS CADEIAS DE ABASTECIMENTO DE TIC

CAPÍTULO I 
Enquadramento para uma cadeia de abastecimento de TIC fiável

Artigo 98.º
Âmbito do enquadramento

1.O enquadramento para uma cadeia de abastecimento de TIC fiável prevê um mecanismo de segurança a nível da União para fazer face aos riscos não técnicos em setores de importância crítica e noutros setores críticos, conforme referido na Diretiva (UE) 2022/2555. O mecanismo identifica os principais ativos de TIC em cadeias de abastecimento de TIC críticas e estabelece medidas de atenuação adequadas e proporcionadas para as entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555.

2.As obrigações estabelecidas no presente título não prejudicam as obrigações definidas no artigo 13.º do Regulamento (UE) 2024/2847 e nas disposições nacionais de transposição do artigo 21.º da Diretiva (UE) 2022/2555.

3.As disposições constantes do presente capítulo não obstam a que os Estados-Membros adotem ou mantenham disposições que garantam um nível mais elevado de cibersegurança em cadeias de abastecimento de TIC, desde que tais disposições sejam compatíveis com as suas obrigações decorrentes do direito da União.

Artigo 99.º
Avaliações dos riscos de segurança

1.A Comissão, ou um grupo de, pelo menos, três Estados-Membros, pode solicitar ao grupo de cooperação criado pelo artigo 14.º da Diretiva (UE) 2022/2555 («Grupo de Cooperação SRI») que realize avaliações dos riscos de segurança coordenadas a nível da União, em conformidade com o artigo 22.º da referida diretiva. Caso seja realizada uma avaliação dos riscos de segurança na sequência desse pedido, esta inclui, em especial, a proposta de identificação dos principais ativos de TIC da respetiva cadeia de abastecimento de TIC, bem como dos principais autores de ameaças, riscos e vulnerabilidades que afetam esses ativos. As avaliações dos riscos de segurança coordenadas a nível da União desenvolvem cenários de risco e propõem medidas para atenuar os riscos identificados.

2.As avaliações dos riscos de segurança coordenadas a nível da União são concluídas no prazo de seis meses a contar do pedido a que se refere o n.º 1. A pedido da Comissão, o Grupo de Cooperação SRI pode aceitar um prazo mais curto.

3.Caso tenha motivos suficientes para crer que existe uma ciberameaça significativa para a segurança da União em relação a uma cadeia de abastecimento de TIC e que são necessárias medidas para preservar o bom funcionamento do mercado interno, a Comissão, sem demora:

a)Consulta os Estados-Membros sobre a necessidade de tomar uma ou várias das medidas de atenuação a que se refere o artigo 103.º; e

b)Realiza uma avaliação dos riscos de segurança, tendo em conta a consulta dos Estados-Membros. A avaliação dos riscos de segurança inclui a proposta de identificação dos principais ativos de TIC, bem como dos principais autores de ameaças, riscos e vulnerabilidades que afetam esses ativos. A avaliação dos riscos de segurança desenvolve cenários de risco e propõe medidas para atenuar os riscos identificados.

Artigo 100.º
Designação de países terceiros que suscitam preocupações em matéria de cibersegurança

1.Se, em resultado da avaliação dos riscos de segurança a que se refere o artigo 99.º, ou com base noutras fontes, como uma declaração pública em nome da União ou de um Estado-Membro, se afigurar que um país terceiro apresenta um risco não técnico grave e estrutural para as cadeias de abastecimento de TIC, a Comissão verifica o risco que esse país representa, tendo em conta os seguintes elementos:

a)A existência de leis no país terceiro que exijam que as entidades sob a sua jurisdição comuniquem informações sobre vulnerabilidades de software ou hardware às autoridades desse país terceiro antes que haja conhecimento de casos de exploração dessas vulnerabilidades;

b)As práticas existentes no país terceiro, demonstradas por fontes independentes, que exigem que as entidades sob a jurisdição do país terceiro comuniquem informações sobre vulnerabilidades de software ou hardware às autoridades desse país terceiro antes que haja conhecimento de casos de exploração dessas vulnerabilidades;

c)A ausência de recursos judiciais efetivos e de mecanismos de controlo independentes e democráticos capazes de sanar as preocupações de segurança identificadas, nomeadamente no que diz respeito às práticas existentes a que se refere a alínea b);

d)Informações fundamentadas sobre um ou mais incidentes que impliquem autores de ameaças controlados a partir desse país e que operam fora do território desse país, realizando ciberatividades ou campanhas maliciosas, e a falta de capacidade ou vontade do país terceiro de cooperar com a Comissão ou os Estados-Membros para fazer face ao risco decorrente da operação desses autores de ameaças;

e)Informações pertinentes decorrentes de avaliações dos riscos de segurança coordenadas a nível da União ou de relatórios dos Estados-Membros ou de organizações internacionais.

2.Se, na sequência da verificação a que se refere o n.º 1, a Comissão concluir que um país terceiro apresenta riscos não técnicos graves e estruturais para as cadeias de abastecimento de TIC, pode, por meio de um ato de execução, designar esse país terceiro como país que suscita preocupações em matéria de cibersegurança para as cadeias de abastecimento de TIC. O referido ato de execução é adotado pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.

3.A Comissão revê regularmente os atos de execução adotados nos termos do n.º 2.

4.Os fornecedores de alto risco não têm direito a:

a)Participar na elaboração, na avaliação, na consulta ou nas decisões no que diz respeito às normas europeias e aos produtos de normalização europeus a que se refere o artigo 10.º, n.º 1, do Regulamento (UE) n.º 1025/2012 e às especificações comuns a que se refere o artigo 27.º do Regulamento (UE) 2024/2847 no domínio da cibersegurança;

b)Requerer ou ser titular de certificados europeus de cibersegurança nos termos do título III;

c)Tornar-se um organismo de avaliação da conformidade acreditado nos termos do título III;

d)Solicitar o estatuto de prestador de atestados autorizado de quaisquer atestados individuais europeus de competências de cibersegurança nos termos do título II, secção 4;

e)Participar em procedimentos de contratação pública, organizados em conformidade com a legislação que transpõe a Diretiva 2014/24/UE e a Diretiva 2014/25/UE, em relação ao abastecimento de componentes de TIC ou componentes que incluam componentes de TIC a utilizar nos principais ativos de TIC identificados em conformidade com o artigo 102.º;

f)Participar em quaisquer atividades no âmbito dos programas e instrumentos de financiamento da União executados em regime de gestão direta e indireta, nos termos do artigo 136.º do Regulamento (UE, Euratom) 2024/2509 e das regras setoriais da União, bem como em quaisquer atividades de financiamento da União executadas em regime de gestão partilhada relacionadas com o fornecimento de componentes de TIC ou componentes que incluam componentes de TIC a utilizar nos principais ativos de TIC identificados nos termos do artigo 102.º.

As autoridades responsáveis pelos procedimentos a que se referem as alíneas a) a f) realizam as avaliações necessárias para efeitos do presente número. Para tal, as autoridades podem igualmente recorrer à lista referida no artigo 104.º.

5.Nos casos em que um fornecedor de alto risco já tenha obtido um certificado europeu de cibersegurança nos termos do título III, a autoridade competente deve retirá-lo sem demora injustificada.

Artigo 101.º
Mecanismo geral de segurança da cadeia de abastecimento de TIC

Se o Grupo de Cooperação SRI tiver realizado uma avaliação dos riscos de segurança coordenada a nível da União nos termos do artigo 99.º, n.º 1, do presente regulamento, ou após a conclusão do procedimento em caso de ciberameaça significativa nos termos do artigo 99.º, n.º 3, para uma cadeia de abastecimento de TIC, a Comissão pode tomar as medidas previstas no artigo 102.º e no artigo 103.º, n.os 1 e 2.

Artigo 102.º
Identificação dos principais ativos de TIC

1.Caso a avaliação de riscos realizada em conformidade com o artigo 99.º, n.os 1 ou 3, indique riscos de cibersegurança significativos em relação a uma cadeia de abastecimento de TIC, a Comissão fica habilitada a adotar atos de execução que identifiquem os principais ativos de TIC utilizados para o fabrico de produtos ou a prestação de serviços por entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2, do presente regulamento.

2.Ao identificar os principais ativos de TIC a que se refere o n.º 1, a Comissão tem em conta os seguintes elementos:

a)Se esses ativos possuem funções essenciais e sensíveis para o funcionamento de produtos fabricados ou serviços prestados pela entidade do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555;

b)Se os incidentes, nomeadamente os causados por vulnerabilidades exploradas relativas a esses ativos, podem conduzir a perturbações graves nas cadeias de abastecimento de TIC em todo o mercado interno ou à exfiltração de dados;

c)Se existe uma dependência de um número limitado de fornecedores desses ativos;

d)Os resultados das avaliações dos riscos a que se refere o artigo 99.º.

Artigo 103.º
Medidas de atenuação na cadeia de abastecimento de TIC

1.A Comissão fica habilitada a adotar atos de execução que estabeleçam, sempre que necessário para assegurar um elevado nível de cibersegurança, ciber-resiliência e confiança na União, que determinado tipo de entidades referidas nos anexos I e II da Diretiva (UE) 2022/2555 está proibido de utilizar, instalar ou integrar, sob qualquer forma, componentes de TIC ou componentes que incluam componentes de TIC de fornecedores de alto risco identificados nos termos do artigo 104.º nos principais ativos de TIC identificados nos termos do artigo 102.º. Os referidos atos de execução preveem períodos de transição adequados, durante os quais a Comissão publica a lista de fornecedores de alto risco a que se refere o artigo 104.º, bem como períodos adicionais para a eliminação progressiva dos componentes de TIC e componentes que incluem componentes de TIC em causa. Esses atos de execução podem especificar igualmente esses componentes de TIC ou componentes que incluem componentes de TIC.

2.A Comissão fica habilitada a adotar atos de execução que estabeleçam, sempre que necessário para assegurar um elevado nível de cibersegurança, ciber-resiliência e confiança na União, que determinado tipo de entidades referidas nos anexos I e II da Diretiva (UE) 2022/2555 deve ser objeto de uma ou várias das seguintes medidas de atenuação relacionadas com a sua cadeia de abastecimento de TIC e, em especial, com os principais ativos de TIC identificados nos termos do artigo 102.º, a fim de atenuar os riscos identificados nas avaliações dos riscos de segurança realizadas nos termos do artigo 99.º:

a)Aplicação dos requisitos de transparência relativos à prestação de informações à autoridade competente sobre os fornecedores na cadeia de abastecimento de TIC para os principais ativos de TIC designados nos termos do artigo 102.º;

b)Proibição relativa às transferências de dados para países terceiros e ao tratamento remoto de dados a partir de um país terceiro;

c)Medidas técnicas a auditar por terceiros, incluindo:

i) a utilização de tratamento no dispositivo,

ii) a segmentação específica dos sistemas de rede,

iii) a desativação de qualquer acesso remoto ou físico aos principais ativos de TIC,

iv) a desativação de funcionalidades não essenciais,

v) a monitorização operacional da rede,

vi) o teste de hardware e software;

d)Restrições relacionadas com o controlo operacional, incluindo a externalização de funções organizacionais a prestadores de serviços geridos;

e)Restrições relacionadas com as relações contratuais da entidade com os seus fornecedores;

f)Exigência de que o serviço seja operado, gerido, mantido ou apoiado por pessoal aprovado pelas autoridades nacionais competentes;

g)Diversificação do abastecimento de componentes de TIC ou componentes incluídos em componentes de TIC.

3.Ao introduzir as medidas a que se refere o n.º 2, a Comissão pode estabelecer requisitos técnicos e metodológicos para as mesmas.

4.Antes de adotar os atos de execução a que se referem os n.os 1 e 2, a Comissão avalia os potenciais riscos e dependências e, em especial:

a)Se for caso disso, o nível de risco associado à utilização, instalação ou integração, sob qualquer forma, de componentes de TIC ou componentes que incluam componentes de TIC de fornecedores de alto risco nos principais ativos de TIC;

b)Os potenciais impactos económicos e sociais que a obrigação pode ter nas entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555;

c)A disponibilidade de fornecedores alternativos aos de alto risco;

d)A potencial perturbação das atividades económicas e sociais transfronteiriças causada por um incidente que afete a cadeia de abastecimento de TIC de uma entidade.

5.Os atos de execução referidos nos n.os 1 e 2 do presente artigo são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2, e são revistos, pelo menos de 36 em 36 meses.

6.Em circunstâncias excecionais, que justifiquem uma intervenção para preservar o bom funcionamento do mercado interno, e se tiver motivos suficientes para considerar que a utilização, instalação ou integração de componentes de TIC ou componentes que incluam componentes de TIC de uma entidade específica estabelecida ou controlada por um país terceiro, por entidades de um país terceiro ou por um nacional de um país terceiro representa um risco de cibersegurança não técnico significativo para as atividades económicas ou sociais de, pelo menos, três Estados-Membros, a Comissão consulta sem demora os Estados-Membros sobre a necessidade de tomar medidas a nível da União.

7.A Comissão fica habilitada a adotar atos de execução para estabelecer que determinado tipo de entidades a que se referem os anexos I e II da Diretiva (UE) 2022/2555 está proibido de utilizar, instalar ou integrar componentes de TIC ou componentes que incluam componentes de TIC de uma entidade a que se refere o n.º 6. Para o efeito, consulta as entidades dos tipos referidos nos anexos I e II da Diretiva (UE) 2022/2555 potencialmente abrangidas pela proibição. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2. Se for caso disso, incluem períodos adequados para a eliminação progressiva desses componentes de TIC ou componentes que incluam componentes de TIC. Esses atos de execução podem especificar igualmente os componentes de TIC ou componentes que incluem componentes de TIC sujeitos à proibição. Esta proibição diz igualmente respeito a componentes de TIC ou componentes que incluem componentes de TIC de todas as entidades controladas pela entidade específica a que se refere o n.º 6.

8.Os atos de execução a que se referem os n.os 1, 2 e 7 podem especificar igualmente que as medidas de atenuação só são aplicáveis aos tipos de entidades a que se referem os anexos I e II da Diretiva (UE) 2022/2555 de uma dimensão específica.

9.O artigo 100.º, n.º 4, é aplicável à entidade específica estabelecida ou controlada por um país terceiro ou uma entidade de um país terceiro, ou um nacional de um país terceiro a que se refere o n.º 7. 

10.Os atos de execução adotados em conformidade com os n.os 1, 2 e 7 que são aplicáveis ao tipo de entidades referidas no anexo I, ponto 10), da Diretiva (UE) 2022/2555 aplicam-se, mutatis mutandis, às instituições, órgãos e organismos europeus.

Artigo 104.º
Identificação de fornecedores de alto risco

1.A Comissão estabelece, por meio de atos de execução, listas de fornecedores de alto risco pertinentes para as proibições enunciadas nos atos de execução adotados nos termos do artigo 103.º, n.º 1, do artigo 103.º, n.º 7, ou para a proibição a que se refere o artigo 111.º, n.º 1.

2.Para o efeito, a Comissão faz um levantamento dos fornecedores de componentes de TIC e componentes que incluem componentes de TIC pertinentes para a proibição a que se refere o n.º 1.

Nesta base, a Comissão procede a uma avaliação inicial para identificar quais dos fornecedores identificados no levantamento estão potencialmente estabelecidos num país terceiro designado em conformidade com o artigo 100.º ou são controlados por esse país terceiro, por uma entidade estabelecida nesse país terceiro ou por um nacional desse país terceiro. A Comissão procede igualmente a um levantamento inicial dos fornecedores potencialmente controlados pela entidade a que se refere o artigo 103.º, n.º 6.

3.A Comissão avalia o local de estabelecimento, bem como a estrutura de propriedade e de controlo dos fornecedores inicialmente identificados em conformidade com o n.º 2, segundo parágrafo.

4.Para efeitos da avaliação referida no n.º 3, a Comissão fica habilitada a solicitar as informações necessárias aos fornecedores. Caso o fornecedor não faculte as informações necessárias no prazo estipulado, a Comissão pode concluir que o fornecedor está estabelecido num país terceiro designado em conformidade com o artigo 100.º ou que é controlado por esse país terceiro, por entidades desse país terceiro ou por nacionais desse país terceiro. Se a Comissão estiver a proceder a uma avaliação para efeitos do artigo 103.º, n.º 7, e o fornecedor não facultar as informações necessárias no prazo estipulado, a Comissão pode concluir que o fornecedor é controlado por uma entidade designada em consonância com esse artigo. As autoridades competentes a que se refere o artigo 112.º devem também partilhar informações pertinentes com a Comissão, mediante pedido.

5.A Comissão partilha com o fornecedor em causa as conclusões preliminares relativas à avaliação do estabelecimento, do controlo e da propriedade. A Comissão dá ao fornecedor a oportunidade de ser ouvido sobre essas conclusões preliminares.

6.A Comissão pode solicitar a uma autoridade competente que efetue a avaliação inicial do estabelecimento, da propriedade e do controlo de um fornecedor, sempre que tal se justifique tendo em conta as características das operações desse fornecedor. Uma autoridade competente pode propor-se a realizar essa avaliação inicial. A Comissão verifica estas conclusões iniciais com vista a decidir se o fornecedor deve ser incluído na lista de fornecedores de alto risco.

7.A Comissão atualiza regularmente a lista de fornecedores de alto risco, a fim de retirar ou aditar fornecedores de alto risco. Os fornecedores de alto risco incluídos na lista podem solicitar à Comissão que reavalie o seu estabelecimento, bem como a sua estrutura de controlo e de propriedade, mediante a apresentação de elementos de prova de que ocorreram alterações pertinentes.

8.Caso uma autoridade competente tome conhecimento, nomeadamente com base nas informações facultadas por uma entidade do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555, de que pode ser necessário incluir um fornecedor numa lista de fornecedores de alto risco, informa a Comissão sem demora injustificada.

Artigo 105.º
Isenção para entidades estabelecidas ou controladas por entidades de um país terceiro que suscite preocupações em matéria de cibersegurança

1.Uma entidade estabelecida ou controlada por entidades de um país terceiro que suscite preocupações em matéria de cibersegurança, designado em conformidade com o artigo 100.º, pode apresentar um pedido fundamentado à Comissão para ficar isenta:

a)Da proibição imposta às entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555 de utilizarem, instalarem ou integrarem, sob qualquer forma, os seus componentes de TIC ou componentes que incluam os seus componentes de TIC nos principais ativos de TIC dessas entidades, em derrogação do artigo 111.º ou dos atos de execução adotados nos termos do artigo 103.º, n.º 1;

b)Da proibição de participar em procedimentos de contratação pública, organizados em conformidade com a legislação que transpõe a Diretiva 2014/24/UE e a Diretiva 2014/25/UE, em relação ao abastecimento de componentes de TIC ou componentes que incluam componentes de TIC a utilizar nos principais ativos de TIC, definidos em conformidade com o artigo 102.º, em derrogação do artigo 100.º, n.º 4.

2.O pedido referido no n.º 1 deve:

a)Especificar o interesse da entidade estabelecida ou controlada por entidades de um país terceiro que suscite preocupações em matéria de cibersegurança, designado em conformidade com o artigo 100.º, em obter a isenção a que se refere o n.º 1 do presente artigo; e

b)Demonstrar, com elementos de prova claros, que serão adotadas medidas de atenuação eficazes para fazer face a riscos não técnicos e assegurar a ausência de qualquer eventual exercício de interferência indevida por parte do país terceiro designado nos termos do artigo 100.º em relação ao abastecimento de componentes de TIC ou componentes que incluam componentes de TIC para a utilização, instalação ou integração nos principais ativos de TIC de uma entidade do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555.

3.A Comissão fica habilitada a adotar atos de execução para especificar mais pormenorizadamente as condições a que se refere o n.º 2, alínea b), e para estabelecer regras pormenorizadas no que diz respeito aos procedimentos a que se refere o presente artigo. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.

4.A Comissão avalia o pedido a que se refere o n.º 1 através de um processo justo e transparente, tendo em conta:

a)As circunstâncias e os elementos adicionais referidos no artigo 100.º, n.os 1 e 2, em relação ao país designado que suscita preocupações em matéria de cibersegurança para as cadeias de abastecimento de TIC em que a entidade está estabelecida ou a partir do qual é controlada;

b)A eficácia das medidas de atenuação a que se refere o n.º 2, alínea b);

c)Se a isenção para a entidade estabelecida ou controlada por entidades de um país terceiro que suscite preocupações em matéria de cibersegurança para as cadeias de abastecimento de TIC não seria prejudicial para os interesses da União.

5.Caso a Comissão conclua, na sequência da avaliação prevista no n.º 3, que se justifica conceder uma isenção, fá-lo por meio de uma decisão, que notifica ao requerente no prazo de nove meses a contar da receção do pedido.

6.Ao adotar a decisão a que se refere o n.º 4, a Comissão pode limitar a isenção a um período específico e pode sujeitar a isenção a condições para a entidade, incluindo:

a)Um calendário para a aplicação das medidas de atenuação a que se refere o n.º 2, alínea b);

b)Auditorias periódicas por terceiros, a fim de assegurar a aplicação eficaz das medidas de atenuação;

c)Obrigações de comunicação de informações relativas ao cumprimento.

7.Caso a Comissão conclua, na sequência da avaliação prevista no n.º 3, que não se justifica conceder uma isenção, fá-lo através de uma decisão e notifica-a aos requerentes no prazo de nove meses a contar da receção do pedido.

8.A Comissão pode, por sua própria iniciativa, retirar ou alterar a decisão referida no n.º 4 sempre que se verifique pelo menos uma das seguintes situações:

a)Ocorreu uma alteração substancial da situação de facto em que a decisão se fundou;

b)A entidade que solicitou a isenção age de forma contrária aos seus compromissos;

c)A isenção baseou-se em informações incompletas, incorretas ou enganosas facultadas pela entidade que apresentou o pedido.

Artigo 106.º
Direitos de defesa

A Comissão assegura que, antes de adotar um ato de execução nos termos do artigo 103.º, n.º 7, ou antes de adotar uma decisão de recusa da concessão da isenção nos termos do artigo 105.º, n.º 7, com base na não apresentação de elementos pelo requerente, ou antes de revogar uma decisão nos termos do artigo 105.º, n.º 8, seja dada à entidade em causa a oportunidade de ser ouvida, tendo em conta a necessidade, em alguns casos, de um procedimento de urgência.

Artigo 107.º
Registo

A Comissão mantém um registo publicamente acessível das suas decisões a que se refere o artigo 105.º, n.º 5. O registo indica os nomes das entidades que foram objeto dessas decisões. A Comissão atualiza periodicamente o registo.

Artigo 108.º
Confidencialidade

As informações recebidas pela Comissão nos termos dos artigos 105.º e 106.º são utilizadas exclusivamente para o fim para o qual foram obtidas.

Artigo 109.º
Taxas

1.A Comissão cobra taxas pelos pedidos apresentados em conformidade com o artigo 105.º, n.º 1.

2.As taxas são expressas e pagas em euros.

3.As taxas são proporcionais aos custos associados ao tratamento dos pedidos a que se refere o artigo 105.º, n.º 1, à avaliação dos critérios e das informações a que se refere o artigo 105.º, n.º 2, e à criação, manutenção e funcionamento do registo a que se refere o artigo 107.º. Todas as despesas da Comissão atribuídas ao pessoal envolvido nessas atividades são incluídas nesses custos.

4.A Comissão adota atos de execução que estabelecem regras pormenorizadas relativas às taxas, especificando o seu montante e as modalidades de pagamento. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.

CAPÍTULO II 
Cadeias de abastecimento de TIC nas redes de comunicações eletrónicas

Artigo 110.º
Principais ativos de TIC para redes de comunicações eletrónicas móveis, fixas e por satélite

1.Os principais ativos de TIC para as redes de comunicações eletrónicas móveis, fixas e por satélite são os estabelecidos no anexo II.

2.Os componentes de TIC ou componentes que incluam componentes de TIC fornecidos por fornecedores de alto risco devem ser progressivamente eliminados dos principais ativos de TIC das redes de comunicações eletrónicas móveis, fixas e por satélite.

3.O prazo para a eliminação progressiva dos componentes de TIC ou componentes que incluem componentes de TIC fornecidos por fornecedores de alto risco no que diz respeito a redes de comunicações eletrónicas móveis não deve ser superior a 36 meses a contar da publicação da lista de fornecedores de alto risco referida no artigo 104.º relevante para as redes de comunicações eletrónicas móveis.

4.A Comissão fica habilitada a adotar atos de execução em conformidade com o artigo 118.º, n.º 2, a fim de especificar os prazos para a eliminação progressiva dos componentes de TIC ou componentes que incluam componentes de TIC fornecidos por fornecedores de alto risco no que diz respeito às redes de comunicações eletrónicas fixas e por satélite.

5.A Comissão fica habilitada a adotar atos delegados nos termos do artigo 119.º para alterar o anexo II do presente regulamento, a fim de o adaptar à evolução tecnológica, tendo em conta os elementos referidos no artigo 103.º, n.º 4.

Artigo 111.º
Proibições relativas às redes de comunicações eletrónicas móveis, fixas e por satélite

1.Os fornecedores de redes de comunicações eletrónicas móveis, fixas e por satélite não podem utilizar, instalar ou integrar, sob qualquer forma, componentes de TIC ou componentes que incluam componentes de TIC de fornecedores de alto risco para funcionamento dos principais ativos de TIC referidos no anexo II.

2.Nos casos em que a autoridade competente designada nos termos do presente regulamento num Estado-Membro não seja a autoridade competente nos termos do Regulamento (UE) XX/XXXX [proposta de ato legislativo relativo às redes digitais], a autoridade competente designada nos termos do presente regulamento informa sem demora a autoridade competente nos termos do Regulamento (UE) XX/XXXX [proposta de ato legislativo relativo às redes digitais] sobre as medidas impostas aos fornecedores de redes de comunicações eletrónicas móveis, fixas e por satélite em conformidade com o artigo 114.º. As autoridades asseguram uma estreita cooperação para efeitos de supervisão e execução eficazes dessas medidas.

CAPÍTULO III 
Autoridades competentes, supervisão e execução, jurisdição e direitos de defesa

Artigo 112.º
Autoridades competentes

1.Cada Estado-Membro designa as autoridades competentes a que se refere o artigo 8.º da Diretiva (UE) 2022/2555 como autoridades responsáveis pela adoção das medidas de supervisão e execução a que se refere o artigo 114.º.

2.A nível estrutural e funcional, as autoridades competentes devem ser totalmente imparciais e isentas de qualquer influência externa, direta ou indireta; em especial, não podem solicitar nem aceitar instruções de qualquer outra autoridade pública ou de qualquer parte privada.

3.Os Estados-Membros asseguram que as suas autoridades competentes dispõem dos poderes adequados, dos recursos humanos e técnicos suficientes e dos conhecimentos especializados pertinentes para aplicar eficazmente as medidas de supervisão e execução a que se refere o artigo 114.º.

4.Cada Estado-Membro notifica a Comissão, sem demora injustificada, dos nomes das autoridades competentes designadas nos termos do n.º 1, das funções respetivas dessas autoridades e de quaisquer alterações subsequentes das mesmas. Cada Estado-Membro torna igualmente públicos os nomes das autoridades competentes designadas nos termos do n.º 1.

Artigo 113.º
Rede de cooperação e serviços de apoio da Comissão

Tendo em vista uma supervisão eficaz, a Comissão cria uma rede de cooperação entre as autoridades competentes dos Estados-Membros a que se refere o artigo 112.º e a Comissão, que funciona como plataforma de cooperação e intercâmbio de informações, em especial para efeitos da avaliação do estabelecimento, do controlo e da propriedade a que se refere o artigo 104.º. A Comissão presta apoio administrativo à rede.

Artigo 114.º
Medidas de supervisão e de execução

1.As autoridades competentes a que se refere o artigo 112.º estão habilitadas a tomar medidas de supervisão e de execução em relação a entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555. Os Estados-Membros devem velar por que as medidas referidas supra sejam eficazes, proporcionadas e dissuasivas, tendo em conta as circunstâncias de cada caso concreto. Os Estados-Membros notificam a Comissão das regras adotadas para o efeito e das suas alterações subsequentes.

2.No exercício das suas atribuições de supervisão em relação às entidades a que se referem os anexos I e II da Diretiva (UE) 2022/2555, as autoridades competentes estão habilitadas a sujeitar essas entidades ao seguinte:

a)Pedidos de uma lista pormenorizada e atualizada dos seus fornecedores e prestadores de serviços pertinentes;

b)Pedidos de acesso a dados, documentos e informações necessários para verificar a conformidade com o presente regulamento;

c)Inspeções no local e supervisão remota, incluindo controlos aleatórios efetuados por profissionais qualificados;

d)Pedidos relativos à composição de produtos de hardware ou software instalados ou integrados, sob qualquer forma, na rede ou no sistema, incluindo componentes e dependências transitivas, num formato de utilização corrente e legível por máquina.

3.No exercício dos seus poderes de execução em relação a entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555, as autoridades competentes estão habilitadas a:

a)Emitir alertas sobre violações do disposto no presente regulamento por parte das entidades em causa, indicando os factos e as considerações jurídicas pertinentes;

b)Adotar decisões que exijam que as entidades em causa corrijam a infração ao presente regulamento ou as deficiências identificadas na aplicação de medidas de atenuação;

c)Ordenar que essas entidades cessem atividades que infrinjam o presente regulamento e se abstenham de as repetir; e

d)Impor sanções, em conformidade com as regras relativas ao montante estabelecidas no artigo 115.º, ou solicitar a imposição de tais sanções pelos organismos ou órgãos jurisdicionais competentes, em conformidade com o direito nacional.

4.Ao tomarem uma das medidas de execução a que se refere o número anterior, as autoridades competentes têm em conta as circunstâncias de cada caso concreto, bem como os seguintes fatores:

a)A gravidade da infração e a importância das disposições violadas;

b)A duração da infração;

c)O volume de negócios pertinente da entidade em causa;

d)Qualquer infração relevante anterior cometida pela entidade em causa;

e)Se for caso disso, quaisquer danos materiais ou imateriais causados pela infração, incluindo quaisquer prejuízos financeiros ou económicos, os efeitos noutras entidades e o número de utilizadores afetados;

f)Qualquer intenção ou negligência da entidade em causa;

g)Quaisquer medidas tomadas pela entidade para prevenir ou atenuar os danos materiais ou imateriais;

h)O nível de cooperação com as autoridades competentes das pessoas singulares ou coletivas consideradas responsáveis.

Para efeitos do primeiro parágrafo, alínea a), constituem infrações graves:

i)Violações repetidas;

j)Não notificação ou não correção de incidentes significativos;

k)Não correção de deficiências na sequência de instruções vinculativas das autoridades competentes.

5.As autoridades competentes notificam as entidades em causa das suas conclusões preliminares antes de tomarem medidas de execução. As entidades em causa dispõem de um prazo razoável para apresentarem observações sobre as conclusões preliminares. As autoridades competentes apresentam uma fundamentação pormenorizada das suas decisões de aplicação de medidas de execução.

6.As autoridades competentes respeitam os princípios da confidencialidade e do sigilo profissional e comercial.

7.As autoridades competentes cooperam entre si e com a Comissão para efeitos de supervisão e execução ao abrigo do presente título, nos termos do artigo 116.º.

Artigo 115.º
Sanções

1.Os Estados-Membros estabelecem as regras relativas às sanções aplicáveis em caso de violação do disposto no presente regulamento e tomam todas as medidas necessárias para garantir a sua aplicação.

2.As sanções previstas devem ser efetivas, proporcionadas e dissuasivas. Os Estados-Membros notificam a Comissão dessas regras e dessas medidas e também, sem demora, de qualquer alteração ulterior.

3.São impostas sanções em complemento de qualquer das medidas referidas no artigo 114.º, n.º 3, alíneas a), b) e c).

4.Ao decidir sobre a imposição de uma sanção e sobre o seu montante em cada caso concreto, devem ser tidos em devida consideração, no mínimo, os fatores referidos no artigo 114.º, n.º 4, primeiro parágrafo.

5.As infrações ao artigo 103.º, n.º 2, alínea a), estão sujeitas, nos termos do n.º 3 do presente artigo, a sanções até um máximo de 1 % do volume de negócios anual a nível mundial, no exercício financeiro anterior, da empresa à qual a entidade pertence.

6.As infrações ao artigo 103.º, n.º 2, alíneas b) a g), estão sujeitas, nos termos do n.º 3 do presente artigo, a sanções até um máximo de 2 % do volume de negócios anual a nível mundial, no exercício financeiro anterior, da empresa à qual a entidade pertence.

7.As infrações ao artigo 103.º, n.º 1, e ao artigo 111.º estão sujeitas, nos termos do n.º 3 do presente artigo, a sanções até um máximo de 7 % do volume de negócios anual a nível mundial, no exercício financeiro anterior, da empresa à qual a entidade pertence.

Artigo 116.º
Assistência mútua

1.Caso uma entidade do tipo referido nos anexos I ou II da Diretiva (UE) 2022/2555 preste serviços em mais do que um Estado-Membro, ou preste serviços num ou em vários Estados-Membros e os seus principais ativos de TIC estejam localizados noutro ou noutros Estados-Membros, as autoridades competentes dos Estados-Membros em causa cooperam entre si e com a Comissão e prestam assistência mútua e à Comissão, a fim de assegurar a aplicação eficaz e eficiente do presente regulamento. Para o efeito, são aplicáveis, no mínimo, as seguintes regras:

a)As autoridades competentes que aplicam medidas de supervisão ou de execução num Estado-Membro informam e consultam as autoridades competentes dos outros Estados-Membros em causa sobre as medidas de supervisão e de execução tomadas;

b)Uma autoridade competente de um Estado-Membro pode solicitar a outra autoridade competente de outro Estado-Membro que tome medidas de supervisão ou de execução;

c)Uma autoridade competente de um Estado-Membro, ao receber um pedido fundamentado de outra autoridade competente de outro Estado-Membro, presta à mesma assistência mútua, com base no princípio do melhor esforço possível, para que as medidas de supervisão ou de execução possam ser aplicadas de forma eficaz, eficiente e coerente.

2.A assistência mútua referida no n.º 1, alínea c), pode abranger pedidos de informações e medidas de supervisão, incluindo pedidos para realizar inspeções no local, supervisão remota ou auditorias de segurança específicas. Uma autoridade competente a quem seja dirigido um pedido de assistência não pode recusar esse pedido, a menos que se determine que não tem competência para prestar a assistência solicitada, que a assistência solicitada não é proporcionada às atribuições de supervisão da autoridade competente, ou que o pedido diz respeito a informações ou comporta atividades que, se fossem divulgadas ou realizadas, seriam contrárias aos interesses essenciais do Estado-Membro em matéria de segurança nacional, segurança pública ou defesa. Antes de recusar esse pedido, a autoridade competente consulta as outras autoridades competentes em causa, bem como, mediante pedido de um dos Estados-Membros interessados, a Comissão.

3.Se for caso disso e de comum acordo, as autoridades competentes de diferentes Estados-Membros podem realizar ações de supervisão conjuntas.

4.Tendo em conta a obrigação de respeitar os princípios da confidencialidade e do sigilo profissional e comercial a que se refere o artigo 114.º, n.º 6, as informações objeto de intercâmbio no contexto de um pedido de assistência e facultadas nos termos do presente artigo só podem ser utilizadas para os fins para os quais foram solicitadas.

Artigo 117.º
Competência e territorialidade

1.Considera-se que as entidades de um tipo referido nos anexos I e II da Diretiva (UE) 2022/2555 que sejam abrangidas pelo âmbito de aplicação do presente regulamento estão sob a jurisdição do Estado-Membro em que se encontram estabelecidas, exceto:

a)Os fornecedores de redes públicas de comunicações eletrónicas ou os prestadores de serviços de comunicações eletrónicas acessíveis ao público, que são considerados como estando sob a jurisdição do Estado-Membro em que prestam os seus serviços;

b)Os prestadores de serviços de DNS, os registos de nomes de domínio de topo (TLD, do inglês top-level-domain), os prestadores de serviços de computação em nuvem, os prestadores de serviços de centro de dados, os fornecedores de redes de distribuição de conteúdos, os prestadores de serviços geridos, os prestadores de serviços de segurança geridos, bem como os prestadores de serviços de mercados em linha, de motores de pesquisa em linha ou de plataformas de serviços de redes sociais, que são considerados como estando sob a jurisdição do Estado-Membro em que têm o seu estabelecimento principal na União, nos termos do n.º 2;

c)As entidades da administração pública, que são consideradas como estando sob a jurisdição do Estado-Membro à qual pertencem;

d)As transportadoras aéreas, que são consideradas como estando sob a jurisdição do Estado-Membro cuja autoridade de licenciamento competente concedeu a licença de exploração à entidade nos termos do Regulamento (CE) n.º 1008/2008 do Parlamento Europeu e do Conselho 83 , ou, caso a licença de exploração ou equivalente não tenha sido concedida em conformidade com esse regulamento, que são consideradas como estando sob a jurisdição do Estado-Membro no qual têm o seu estabelecimento principal na União, nos termos do n.º 2.

2.Para efeitos do presente regulamento, considera-se que uma entidade referida no n.º 1, alínea b), tem o seu estabelecimento principal na União no Estado-Membro em que são predominantemente tomadas as decisões relacionadas com as medidas de gestão dos riscos de cibersegurança. Se não for possível determinar esse Estado-Membro ou se tais decisões não forem tomadas na União, considera-se que o estabelecimento principal se situa no Estado-Membro em que são levadas a cabo a maior parte das operações de cibersegurança. Se não for possível determinar esse Estado-Membro, considera-se que o estabelecimento principal se situa no Estado-Membro em que a entidade em causa tem o estabelecimento com o maior número de trabalhadores na União.

3.Se uma entidade de um tipo referido nos anexos I e II da Diretiva (UE) 2022/2555 não estiver estabelecida na União, mas aí oferecer serviços, deve designar um representante na União. O representante deve estar estabelecido num dos Estados-Membros em que os serviços são oferecidos. Considera-se que tal entidade está sob a jurisdição do Estado-Membro em que o representante está estabelecido. Caso essa entidade seja uma entidade a que se refere o n.º 1, alínea a), considera-se que está sob a jurisdição do Estado-Membro no qual presta os seus serviços. Na ausência de um representante na União designado nos termos do presente número, qualquer Estado-Membro em que a entidade preste serviços pode intentar ações judiciais contra essa entidade por infração ao presente regulamento.

4.A designação de um representante por parte de uma entidade referida no n.º 1, alínea b), não prejudica as ações judiciais que possam ser intentadas contra a própria entidade.

5.Os Estados-Membros que tenham recebido um pedido de assistência mútua em relação a uma entidade a que se refere o n.º 1, alínea b), podem, dentro dos limites desse pedido, tomar medidas de supervisão e execução adequadas em relação à entidade em causa, caso esta preste serviços ou tenha um sistema de rede e informação no seu território.

TÍTULO VI 
DISPOSIÇÕES FINAIS

Artigo 118.º
Procedimento de comité

1.A Comissão é assistida por um comité. O referido comité possui duas formações. No que respeita aos títulos II e III, a Comissão é assistida por um comité na primeira formação, ao passo que, no que respeita ao título IV, a Comissão é assistida por um comité na segunda formação. Este comité é um comité na aceção do Regulamento (UE) n.º 182/2011.

2.Caso se remeta para o presente número, aplica-se o artigo 5.º do Regulamento (UE) n.º 182/2011.

Artigo 119.º
Exercício da delegação

1.O poder de adotar atos delegados é conferido à Comissão nas condições estabelecidas no presente artigo.

2.O poder de adotar atos delegados nos termos do artigo 80.º, n.º 2, e do artigo 110.º, n.º 5, é conferido à Comissão por tempo indeterminado a contar da data de entrada em vigor do presente regulamento.

3.A delegação de poderes referida no artigo 80.º, n.º 2, e no artigo 110.º, n.º 5, pode ser revogada em qualquer momento pelo Parlamento Europeu ou pelo Conselho. A decisão de revogação põe termo à delegação dos poderes nela especificados. A decisão de revogação produz efeitos a partir do dia seguinte ao da sua publicação no Jornal Oficial da União Europeia ou de uma data posterior nela especificada. A decisão de revogação não afeta os atos delegados já em vigor. 

4.Antes de adotar um ato delegado, a Comissão consulta os peritos designados por cada Estado-Membro de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor.

5.Assim que adotar um ato delegado, a Comissão notifica-o simultaneamente ao Parlamento Europeu e ao Conselho.

6.Os atos delegados adotados nos termos do artigo 80.º, n.º 2, e do artigo 110.º, n.º 5, só entram em vigor se não tiverem sido formuladas objeções pelo Parlamento Europeu ou pelo Conselho no prazo de dois meses a contar da notificação do ato ao Parlamento Europeu e ao Conselho, ou se, antes do termo desse prazo, o Parlamento Europeu e o Conselho tiverem informado a Comissão de que não têm objeções a formular. O referido prazo é prorrogável por dois meses por iniciativa do Parlamento Europeu ou do Conselho. 

Artigo 120.º
Avaliação e revisão

1.Até [DD.MM.AAAA] e, posteriormente, de cinco em cinco anos, a Comissão encomenda uma avaliação, que é realizada em conformidade com as suas orientações.

2.A avaliação referida no n.º 1 deve incluir uma apreciação dos seguintes elementos:

a)O desempenho da ENISA em relação aos seus objetivos, mandato, missão, atribuições, governação e localização;

b)A eficácia, a eficiência e o valor acrescentado europeu dos sistemas de atestados individuais europeus de competências de cibersegurança previstos no título II, capítulo II, secção 4, do presente regulamento;

c)O impacto, a eficácia e a eficiência das disposições do título III do presente regulamento, no que respeita aos objetivos de assegurar um nível adequado de cibersegurança dos produtos, serviços e processos de TIC, dos serviços de segurança geridos e das entidades na União e de melhorar o funcionamento do mercado interno;

d)O impacto, a eficácia e a eficiência das disposições do título IV do presente regulamento no que diz respeito aos objetivos do enquadramento para uma cadeia de abastecimento de TIC fiável.

3.A avaliação a que se refere o n.º 1, alínea a), deve ponderar, em particular, a eventual necessidade de alterar o mandato da ENISA e as incidências financeiras desta alteração.

4.Por ocasião de cada segunda avaliação, referida no n.º 1, alínea a), a Comissão avalia os resultados alcançados pela ENISA em função dos seus objetivos, mandato, missão, governação e atribuições, sendo equacionada a questão de a continuação da ENISA ainda se justificar em relação a esses objetivos, mandato, missão, governação e atribuições.

5.A Comissão dá conta dos resultados da avaliação ao Parlamento Europeu, ao Conselho e ao Conselho de Administração. Os resultados da avaliação são tornados públicos.

Artigo 121.º
Revogação e prossecução das atividades

1.O Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho é revogado com efeitos a partir de DD/MM/AAAA.

2.As referências ao Regulamento (UE) 2019/881, à ENISA e aos sistemas europeus de certificação da cibersegurança estabelecidos por esse regulamento devem entender-se como referências ao presente regulamento e ser lidas de acordo com a tabela de correspondência constante do anexo III do presente regulamento.

3.A ENISA tal como regida pelo presente regulamento continua as operações e atividades da ENISA tal como criada pelo Regulamento (UE) 2019/881 no que respeita a todos os direitos de propriedade, acordos, obrigações legais, contratos de trabalho, compromissos financeiros e responsabilidades. Todas as decisões do Conselho de Administração e da Comissão Executiva adotadas nos termos do Regulamento (UE) 2019/881 permanecem válidas, desde que cumpram o presente regulamento.

4.O diretor executivo nomeado ao abrigo do artigo 15.º, n.º 1, alínea n), do Regulamento (UE) 2019/881 permanece em funções e exerce as suas atribuições e responsabilidades de diretor executivo da ENISA, nos termos do artigo 32.º do presente regulamento, durante o período remanescente do mandato de diretor executivo. As restantes condições do seu contrato permanecem inalteradas.

5.Os projetos de sistema cuja elaboração tenha sido solicitada nos termos do artigo 49.º do Regulamento (UE) 2019/881 são considerados como tendo sido solicitados nos termos das disposições correspondentes do presente regulamento. As disposições do título III do presente regulamento são aplicáveis a esses projetos de sistemas em conformidade.

6.Os membros do Conselho de Administração nomeados pela Comissão e respetivos suplentes nomeados ao abrigo do artigo 14.º do Regulamento (UE) 2019/881 permanecem em funções e exercem as funções do Conselho de Administração, nos termos do artigo 27.º do presente regulamento, durante o período remanescente do seu mandato. Os membros do Conselho de Administração nomeados pelos Estados-Membros ao abrigo do artigo 14.º do Regulamento (UE) 2019/881 permanecem em funções e exercem as funções do Conselho de Administração, nos termos do artigo 27.º do presente regulamento, desde que desempenhem funções referidas no artigo 24.º, n.º 3, deste regulamento.

Artigo 122.º
Entrada em vigor

O presente regulamento entra em vigor no […] dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.

Feito em Estrasburgo, em

FICHA FINANCEIRA E DIGITAL DA PROPOSTA LEGISLATIVA

1.CONTEXTO DA PROPOSTA / INICIATIVA3

1.1.Título da proposta / iniciativa3

1.2.Domínios de intervenção em causa3

1.3.Objetivos3

1.3.1.Objetivos gerais3

1.3.2.Objetivos específicos3

1.3.3.Resultados e impacto esperados3

1.3.4.Indicadores de desempenho3

1.4.A proposta / iniciativa refere-se:4

1.5.Justificação da proposta / iniciativa4

1.5.1.Necessidades a satisfazer a curto ou longo prazo, incluindo um calendário pormenorizado para a execução da iniciativa4

1.5.2.Valor acrescentado da intervenção da UE (que pode resultar de diferentes fatores, por exemplo, ganhos decorrentes da coordenação, segurança jurídica, maior eficácia ou complementaridades). Para efeitos do presente ponto, entende-se por «valor acrescentado da intervenção da UE» o valor resultante da intervenção da UE que se acrescenta ao valor que teria sido criado pela ação isolada dos Estados-Membros.4

1.5.3.Ensinamentos retirados de experiências semelhantes4

1.5.4.Compatibilidade com o quadro financeiro plurianual e possíveis sinergias com outros instrumentos adequados5

1.5.5.Avaliação das diferentes opções de financiamento disponíveis, incluindo possibilidades de reafetação5

1.6.Duração da proposta / iniciativa e do respetivo impacto financeiro6

1.7.Métodos de execução orçamental previstos6

2.MEDIDAS DE GESTÃO8

2.1.Regras relativas ao acompanhamento e à comunicação de informações8

2.2.Sistemas de gestão e de controlo8

2.2.1.Justificação dos métodos de execução orçamental, dos mecanismos de execução do financiamento, das modalidades de pagamento e da estratégia de controlo propostos8

2.2.2.Informações sobre os riscos identificados e os sistemas de controlo interno criados para os mitigar8

2.2.3.Estimativa e justificação da relação custo-eficácia dos controlos (rácio entre os custos de controlo e o valor dos respetivos fundos geridos) e avaliação dos níveis previstos de risco de erro (no pagamento e no encerramento)8

2.3.Medidas de prevenção de fraudes e irregularidades9

3.IMPACTO FINANCEIRO ESTIMADO DA PROPOSTA / INICIATIVA10

3.1.Rubricas do quadro financeiro plurianual e rubricas orçamentais de despesas envolvidas10

3.2.Impacto financeiro estimado da proposta nas dotações12

3.2.1.Síntese do impacto estimado nas dotações operacionais12

3.2.1.1.Dotações provenientes do orçamento votado12

3.2.1.2.Dotações provenientes de receitas afetadas externas17

3.2.2.Estimativa das realizações com financiamento proveniente de dotações operacionais22

3.2.3.Síntese do impacto estimado nas dotações administrativas24

3.2.3.1. Dotações provenientes do orçamento votado24

3.2.3.2.Dotações provenientes de receitas afetadas externas24

3.2.3.3.Total das dotações24

3.2.4.Necessidades estimadas de recursos humanos25

3.2.4.1.Financiamento proveniente do orçamento votado25

3.2.4.2.Financiamento proveniente de receitas afetadas externas26

3.2.4.3.Necessidades totais de recursos humanos26

3.2.5.Resumo do impacto estimado nos investimentos relacionados com tecnologias digitais28

3.2.6.Compatibilidade com o atual quadro financeiro plurianual28

3.2.7.Participação de terceiros no financiamento28

3.3.Impacto estimado nas receitas29

4.Dimensões digitais29

4.1.Requisitos de relevância digital30

4.2.Dados30

4.3.Soluções digitais31

4.4.Avaliação da interoperabilidade31

4.5.Medidas de apoio à execução digital32

1.CONTEXTO DA PROPOSTA / INICIATIVA 

1.1.Título da proposta / iniciativa

1.2.Domínios de intervenção em causa 

1.3.Objetivos

1.3.1.Objetivos gerais

1.3.2.Objetivos específicos

1.3.3.Resultados e impacto esperados

Especificar os efeitos que a proposta / iniciativa poderá ter nos beneficiários / grupos visados.

1.3.4.Indicadores de desempenho

Especificar os indicadores que permitem acompanhar os progressos e os resultados.

1.4.A proposta / iniciativa refere-se: 

 a uma nova ação (título IV, cadeia de abastecimento; título V, simplificação)

 a uma nova ação na sequência de um projeto-piloto / ação preparatória 84  

 à prorrogação de uma ação existente (título II, mandato da ENISA; título III, certificação)

 à fusão ou reorientação de uma ou mais ações para outra / para uma nova ação

1.5.Justificação da proposta / iniciativa 

1.5.1.Necessidades a satisfazer a curto ou longo prazo, incluindo um calendário pormenorizado para a execução da iniciativa

1.5.2.Valor acrescentado da intervenção da UE (que pode resultar de diferentes fatores, por exemplo, ganhos decorrentes da coordenação, segurança jurídica, maior eficácia ou complementaridades). Para efeitos do presente ponto, entende-se por «valor acrescentado da intervenção da UE» o valor resultante da intervenção da UE que se acrescenta ao valor que teria sido criado pela ação isolada dos Estados-Membros.

1.5.3.Ensinamentos retirados de experiências semelhantes

1.5.4.Compatibilidade com o quadro financeiro plurianual e possíveis sinergias com outros instrumentos adequados

1.5.5.Avaliação das diferentes opções de financiamento disponíveis, incluindo possibilidades de reafetação

1.6.Duração da proposta / iniciativa e do respetivo impacto financeiro

 Duração limitada

–    em vigor entre [_DD/MM_]AAAA e [_DD/MM_]AAAA

–    impacto financeiro entre AAAA e AAAA para as dotações de autorização e entre AAAA e AAAA para as dotações de pagamento.

 Duração ilimitada

–execução com um período de arranque entre AAAA e AAAA,

–seguido de um período de aplicação a ritmo de cruzeiro

1.7.Métodos de execução orçamental previstos 

 Gestão direta pela Comissão:

– pelos seus serviços, incluindo o pessoal nas delegações da União

–    pelas agências de execução

 Gestão partilhada com os Estados-Membros

 Gestão indireta por delegação de tarefas de execução orçamental:

– em países terceiros ou nos organismos por estes designados

– em organizações internacionais e respetivas agências (a especificar)

– no Banco Europeu de Investimento e Fundo Europeu de Investimento

– em organismos referidos nos artigos 70.º e 71.º do Regulamento Financeiro

– em organismos de direito público

– em organismos regidos pelo direito privado com uma missão de serviço público desde que prestem garantias financeiras adequadas

– em organismos regidos pelo direito privado de um Estado-Membro com a responsabilidade pela execução de uma parceria público-privada e que prestem garantias financeiras adequadas

–    em organismos ou pessoas encarregados da execução de ações específicas no quadro da política externa e de segurança comum por força do título V do Tratado da União Europeia, identificados no ato de base pertinente

–    em organismos estabelecidos num Estado-Membro, regidos pelo direito privado de um Estado-Membro ou pelo direito da União e elegíveis para serem incumbidos, de acordo com regras setoriais, da execução de fundos da União ou de garantias orçamentais, na medida em que esses organismos sejam controlados por organismos de direito público ou por organismos regidos pelo direito privado investidos de uma missão de serviço público, e beneficiem de garantias financeiras adequadas, sob a forma de responsabilidade solidária pelos organismos de controlo, ou de garantias financeiras equivalentes, que podem ser limitadas, para cada ação, ao montante máximo do apoio da União

Observações:

2.MEDIDAS DE GESTÃO 

2.1.Regras relativas ao acompanhamento e à comunicação de informações 

2.2.Sistemas de gestão e de controlo 

2.2.1.Justificação dos métodos de execução orçamental, dos mecanismos de execução do financiamento, das modalidades de pagamento e da estratégia de controlo propostos

2.2.2.Informações sobre os riscos identificados e os sistemas de controlo interno criados para os mitigar

2.2.3.Estimativa e justificação da relação custo-eficácia dos controlos (rácio entre os custos de controlo e o valor dos respetivos fundos geridos) e avaliação dos níveis previstos de risco de erro (no pagamento e no encerramento) 

2.3.Medidas de prevenção de fraudes e irregularidades 

3.IMPACTO FINANCEIRO ESTIMADO DA PROPOSTA / INICIATIVA 

3.1.Rubricas do quadro financeiro plurianual e rubricas orçamentais de despesas envolvidas 

·Atuais rubricas orçamentais

Segundo a ordem das rubricas do quadro financeiro plurianual e das rubricas orçamentais correspondentes.

Rubrica do quadro financeiro plurianual	Rubrica orçamental	Natureza das despesas	Participação
	Número	DD/DND 99 .	de países da EFTA 100	de países candidatos e candidatos potenciais 101	de outros países terceiros	outras receitas afetadas
	[XX.YY.YY.YY]	DND	SIM	NÃO	NÃO	SIM/NÃO
	[XX.YY.YY.YY]	DD/DND	SIM/NÃO	SIM/NÃO	SIM/NÃO	SIM/NÃO
	[XX.YY.YY.YY]	DD/DND	SIM/NÃO	SIM/NÃO	SIM/NÃO	SIM/NÃO

·Novas rubricas orçamentais, cuja criação é solicitada

Segundo a ordem das rubricas do quadro financeiro plurianual e das rubricas orçamentais correspondentes.

Rubrica do quadro financeiro plurianual	Rubrica orçamental	Natureza das despesas	Participação
	Número	DD/DND	de países da EFTA	de países candidatos e candidatos potenciais	de outros países terceiros	outras receitas afetadas
	[XX.YY.YY.YY]	DD/DND	SIM/NÃO	SIM/NÃO	SIM/NÃO	SIM/NÃO
	[XX.YY.YY.YY]	DD/DND	SIM/NÃO	SIM/NÃO	SIM/NÃO	SIM/NÃO
	[XX.YY.YY.YY]	DD/DND	SIM/NÃO	SIM/NÃO	SIM/NÃO	SIM/NÃO

3.2.Impacto financeiro estimado da proposta nas dotações 

3.2.1.Síntese do impacto estimado nas dotações operacionais 

–    A proposta / iniciativa não acarreta a utilização de dotações operacionais

–    A proposta / iniciativa acarreta a utilização de dotações operacionais, como se explica seguidamente

3.2.1.1.Dotações provenientes do orçamento votado

Em milhões de EUR (três casas decimais)

Agência: ENISA	Ano 2028	Ano 2029	Ano 2030	Ano 2031	Ano 2032	Ano 2033	Ano 2034	TOTAL QFP 2028-2034
Rubrica orçamental: <…….> / Contribuição adicional do orçamento da UE para a agência	20,900€	20,594€	25,338€	26,801€	26,801€	26,301€	26,301€	173,006

As dotações / a contribuição do orçamento da UE para a agência serão compensadas por uma redução da dotação do seguinte programa <….> / rubrica orçamental: <…….> / no(s) ano(s): <…….> .

						Ano		Ano			Ano		Ano			Ano		Ano	Ano			TOTAL QFP 2028-2034
						2028		2029			2030		2031			2032		2033	2034
TOTAL das dotações operacionais		Autorizações		(4)		20,900 €		20,594 €			25,338 €		26,801 €			26,801 €		26,301 €	26,301 €			173,006
		Pagamentos		(5)		20,900 €		20,594 €			25,338 €		26,801 €			26,801 €		26,301 €	26,301 €			173,006
TOTAL das dotações de natureza administrativa financiadas a partir da dotação de programas específicos				(6)		1,365		1,365			1,470		1,785			2,100		2,415	2,625			13,125
TOTAL das dotações da RUBRICA 2		Autorizações				=4+6		22,265 €			21,959 €		26,808 €			28,586 €		28,901 €	28,716 €			28,926 €	186,161
do quadro financeiro plurianual		Pagamentos				=5+6		22,265 €			20,890 €		24,851 €			26,254 €		26,254 €	25,754 €			25,754 €	186,161
DG: CNECT									Ano			Ano		Ano	Ano		Ano			Ano	Ano			TOTAL QFP 2028-2034
									2028			2029		2030	2031		2032			2033	2034
 Recursos humanos									3,693			3,693		4,574	5,277		5,980			6,683	7,475			37,375
 Outras despesas de natureza administrativa									0			0		0	0		0			0	0			0
TOTAL para a DG CNECT	Dotações		3,693		3,693		4,574			5,277				5,980	6,683		7,475			37,375
TOTAL das dotações da RUBRICA 4 do quadro financeiro plurianual					(Total das autorizações = total dos pagamentos)				2,328			2,328		3,104	3,492		3,880			4,268	4,850			24,25

Em milhões de EUR (três casas decimais)

			Ano		Ano		Ano		Ano		Ano		Ano		Ano		TOTAL QFP 2028-2034
			2028		2029		2030		2031		2032		2033		2034
TOTAL das dotações das RUBRICAS 1 a 4	Autorizações		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38
do quadro financeiro plurianual		Pagamentos		24,594		24,257		29,912		32,078		32,781		32,984		33,776		210,38

3.2.2.Estimativa das realizações com financiamento proveniente de dotações operacionais (não preencher para as agências descentralizadas)

Dotações de autorização em milhões de EUR (três casas decimais)

Indicar os objetivos e as realizações 

Ano 2028

Ano 2029

Ano 2030

Ano 2031

Inserir os anos necessários para refletir a duração do impacto (ver ponto 1.6)

TOTAL

REALIZAÇÕES

Tipo 102

Custo médio

N.º

Custo

N.º

Custo

N.º

Custo

N.º

Custo

N.º

Custo

N.º

Custo

N.º

Custo

N.º total

Custo total

OBJETIVO ESPECÍFICO N.º 1 103 …

— Realização

— Realização

— Realização

Subtotal do objetivo específico n.º 1

OBJETIVO ESPECÍFICO N.º 2 …

— Realização

Subtotal do objetivo específico n.º 2

TOTAIS

3.2.3.Síntese do impacto estimado nas dotações administrativas 

–    A proposta / iniciativa não acarreta a utilização de dotações de natureza administrativa

–    A proposta / iniciativa acarreta a utilização de dotações de natureza administrativa, como se explica seguidamente

3.2.3.1. Dotações provenientes do orçamento votado

(adicionais)

DOTAÇÕES VOTADAS	Ano	Ano	Ano	Ano	Ano	Ano	Ano	TOTAL 2028-2034
	2028	2029	2030	2031	2032	2033	2034
RUBRICA 4
Recursos humanos	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Outras despesas administrativas	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Subtotal RUBRICA 4	2,328	2,328	3,104	3,492	3,880	4,268	4,840	24,25
Com exclusão da RUBRICA 4
Recursos humanos	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
Outras despesas de natureza administrativa	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
Subtotal com exclusão da RUBRICA 4	1,365	1,365	1,470	1,785	2,100	2,415	2,625	13,125
TOTAL	3,693	3,693	4,574	5,277	5,980	6,683	7,475	37,375

3.2.4.Necessidades estimadas de recursos humanos (adicionais)

–    A proposta / iniciativa não acarreta a utilização de recursos humanos

–    A proposta / iniciativa acarreta a utilização de recursos humanos, como se explica seguidamente

3.2.4.1.Financiamento proveniente do orçamento votado

Estimativa a expressar em termos de equivalente a tempo completo (ETC) 104

DOTAÇÕES VOTADAS		Ano	Ano	Ano	Ano	Ano	Ano	Ano
		2028	2029	2030	2031	2032	2033	2034
 Lugares do quadro do pessoal (funcionários e agentes temporários)
20 01 02 01 (na sede e nas representações da Comissão)		12	12	16	18	20	22	25
20 01 02 03 (delegações da UE)		0	0	0	0	0	0	0
(investigação indireta)		0	0	0	0	0	0	0
(investigação direta)		0	0	0	0	0	0	0
Outras rubricas orçamentais (especificar)		0	0	0	0	0	0	0
•Pessoal externo (em ETC)
20 02 01 (AC e PND da «dotação global»)		0	0	0	0	0	0	0
20 02 03 (AC, AL, PND, e JPD nas delegações)		0	0	0	0	0	0	0
Rubrica de apoio administrativo	— na sede	0	0	0	0	0	0	0
[XX.01.YY.YY]	— em delegações da UE	0	0	0	0	0	0	0
(AC, PND — investigação indireta)		0	0	0	0	0	0	0
(AC, PND — investigação direta)		0	0	0	0	0	0	0
Outras rubricas orçamentais (especificar) — rubrica 4		0	0	0	0	0	0	0
Outras rubricas orçamentais (especificar) — com exclusão da rubrica 4		13	13	14	17	20	23	25
TOTAL		25	25	30	35	40	45	50

Pessoal necessário para executar a proposta (em ETC):

	A cobrir pelo pessoal atualmente disponível do quadro dos serviços da Comissão	Pessoal adicional excecional
		A financiar no âmbito da rubrica 7 ou Investigação	A financiar pela rubrica BA	A financiar por taxas
Lugares do quadro de pessoal		25
Pessoal externo (AC, PND, TT)			25

O impacto estimado nas despesas e no pessoal para 2028 e anos seguintes é indicativo e não prejudica o próximo quadro financeiro plurianual. A fonte de financiamento e o âmbito das autorizações financeiras da União no período pós-2027 continuam sujeitos ao resultado das negociações interinstitucionais sobre o QFP 2028-2034, ao processo orçamental anual e ao mecanismo de direção.

Descrição das tarefas a realizar pela DG do setor na Comissão

Funcionários e agentes temporários

Coordenação da ENISA (1): Representação da Comissão no Conselho de Administração da agência. Elaboração do parecer da Comissão sobre o documento único de programação da ENISA e acompanhamento da sua execução. Supervisão da elaboração do orçamento da agência e acompanhamento da sua execução. Prestação de assistência à agência no desenvolvimento das suas atividades em consonância com as políticas da União, nomeadamente participando nas reuniões pertinentes. Sistemas de atestados de competências/Academia de Competências (2): Será necessário pessoal adicional na CNECT para elaborar atos de execução que estabeleçam as taxas que a ENISA cobrará aos requerentes do estatuto de prestadores autorizados. O número de atos de execução será de, pelo menos, 12, um por cada perfil do QECC. Cadeia de abastecimento (25) Apoiar a elaboração das avaliações coordenadas dos riscos a nível da União. Realização de análises económicas para cada produto ou serviço de TIC considerado. Elaborar os respetivos atos de execução sobre a identificação de principais ativos, as medidas de atenuação propostas e a designação de países que apresentem riscos estratégicos de cibersegurança para principais ativos específicos, a identificação de fornecedores de alto risco, a verificação dos pedidos de isenção e a elaboração das decisões da Comissão. Apoiar a execução e a supervisão das medidas adotadas. Enquadramento europeu para a certificação da cibersegurança, normalização e execução de atividades conexas, aplicação da Diretiva SRI 2 (17): Execução do Regulamento Cibersegurança, em especial a governação dos organismos de avaliação da conformidade (contestação das competências) Participação das partes interessadas (e assembleia) Reconhecimento mútuo com países terceiros Elaboração de atos de execução normalizados (pedidos pormenorizados sujeitos a consultas e elaboração de disposições-tipo) Manutenção do sistema, análise jurídica, procedimento de comitologia Coordenação com o grupo de coordenação SRI e manutenção do sistema de entidades Atos de execução ao abrigo da Diretiva SRI 2 Alinhamento dos organismos de avaliação da conformidade com o Regulamento Cibersegurança, presunção de conformidade + normalização Coordenação entre a autoridade de fiscalização do mercado e a ANCC Alinhamento técnico entre o Regulamento de Ciber-Resiliência e os sistemas de certificação Coordenação operacional e conhecimento situacional (5): Conhecimentos especializados setoriais e sobre os autores de ameaças, a fim de contribuir para o conhecimento situacional a nível da UE das ameaças às infraestruturas críticas, nomeadamente através de tecnologias emergentes Coordenação com a ENISA e outras entidades e redes da UE com vista à preparação para ciberincidentes significativos e em grande escala

Pessoal externo

Como acima

Descrição das atribuições adicionais a exercer pela ENISA:

Funcionários e agentes temporários

Gestão da Reserva de Cibersegurança da UE (gestores nacionais e apoio à execução, enquanto os custos operacionais reais da reserva são cobertos, conforme previsto no Regulamento de Cibersolidariedade) (10) Gestão do Regulamento de Ciber-Resiliência da plataforma única de comunicação de informações (operação) (9) Serviços de vulnerabilidade associados à plataforma única de comunicação de informações (4) Alargamento da plataforma única de comunicação de informações ao ponto de contacto único (desenvolvimento e operação) (8) Elaboração de orientações técnicas, conhecimentos especializados em matéria de segurança dos produtos e análise do mercado para apoiar a execução do Regulamento de Ciber-Resiliência (7) Normalização para apoiar a execução do Regulamento de Ciber-Resiliência /certificação / SRI 2 (4) Apoio às atividades de fiscalização do mercado do Regulamento de Ciber-Resiliência (4) Apoio aos ensaios de conformidade e às avaliações da segurança dos produtos (4) Apoio aos Estados-Membros na assistência mútua (3) Prestação de serviços de gestão de vulnerabilidades, manutenção da EUVD e desempenho de funções consultivas e de enriquecimento (divulgação coordenada de vulnerabilidades) (15) Cooperação operacional e conhecimento situacional — plataformas de atenuação e apoio, como a CNW/CyCLONe; apoio a atribuições relacionadas com notificações de alerta; apoio ao reforço da coordenação com outras entidades competentes para desenvolver repositórios de informações verificadas e fiáveis sobre ciberameaças (artigo 11.º, n.º 1-A, do Regulamento Cibersegurança 2) (5) Apoio à resiliência dos setores críticos (incluindo a execução do plano de ação para a cibersegurança dos cuidados de saúde) (4) Desenvolvimento do sistema de atestados de competências (2) Manutenção e supervisão do sistema de atestados de competências (6) Administração (contabilista para as taxas/RH/TI) (8) Manutenção dos sistemas de certificação (11) Atribuições horizontais — maior participação das partes interessadas, elaboração de especificações técnicas e participação em atividades de normalização de apoio aos sistemas (1)

Pessoal externo

Como acima Dois PND obrigatórios por Estado-Membro, a fim de apoiar as atividades da Agência e servir de agentes de ligação nacionais, com destaque para a cooperação operacional e a divulgação coordenada de vulnerabilidades. 13) Os restantes 27 PND são considerados isentos de custos e, por conseguinte, não têm qualquer incidência orçamental.

Custos operacionais adicionais por ano para a ENISA, 2028-2034:

Custo	Orçamento	Calendário	Explicação
Sítio Web sobre competências de cibersegurança	750 000 EUR	50 % em 2029 50 % em 2030	A fim de assegurar a transparência dos procedimentos, a proposta exige que a ENISA mantenha um sítio Web com perfis do Quadro Europeu de Competências em Cibersegurança, sistemas de atestados, informações sobre taxas para cada sistema, taxas recomendadas para cada atestado e a lista de prestadores de atestados autorizados.
Divulgação coordenada de vulnerabilidades	1 milhão de EUR	A partir de 2028	A segurança dos produtos e serviços utilizados nas nossas infraestruturas críticas depende em grande medida da partilha atempada de informações sobre as vulnerabilidades detetadas e a forma como estas podem ser atenuadas.
Informações sobre ciberameaças	3 milhões de EUR	A partir de 2028	Para criar um quadro de conhecimento situacional realizado em cooperação, a ENISA e a Comissão.
Ponto de entrada único	8 milhões de EUR	6 milhões de EUR em 2028 500 mil EUR em 2029 500 mil EUR em 2030 500 mil EUR em 2031 500 mil EUR em 2032	Para poder concretizar a proposta Omnibus Digital da Comissão para simplificar o cumprimento das obrigações de notificação de incidentes de cibersegurança e violações de dados, desenvolvendo e mantendo um ponto de entrada único.
Manutenção da plataforma única de comunicação de informações do Regulamento de Ciber-Resiliência e outros	3 milhões de EUR	A partir de 2028	A plataforma única de comunicação de informações introduzida pelos colegisladores é o maior sistema informático alguma vez desenvolvido na história da ENISA e um pilar fundamental do Regulamento de Ciber-Resiliência. O estabelecimento é atualmente financiado através de um acordo de contribuição, mas a sua gestão corrente exigirá ETC (ver supra), bem como custos operacionais. A ENISA possui um papel fundamental em garantir o êxito do quadro de segurança dos produtos da União, o Regulamento de Ciber-Resiliência.
Comunicação segura e maturidade em matéria de cibersegurança da ENISA	2 milhões de EUR +	1,1 milhões de EUR de investimento em 2028 (plataformas CyCLONe/CSIRT + com. sec.) 1 milhão de EUR por ano para manutenção a partir de 2029 1,5 milhões de EUR para maturidade em matéria de cibersegurança	Garantir a cibersegurança da Agência e dos instrumentos de comunicação.
Manutenção da certificação da cibersegurança	1 400 000 milhões de EUR	2028 600 000 2029 1 000 000 2030 1 200 000 2031 1 400 00 2032 1 400 000 2033 1 400 000 2034 1 400 000	Coberto por taxas (integralmente a partir de 2032)
Sistemas de atestados de cibersegurança	212 920 EUR	A partir de 2030, 50 % cobertos pelo orçamento da UE	Integralmente coberto por taxas a partir de 2033

3.2.5.Resumo do impacto estimado nos investimentos relacionados com tecnologias digitais

Obrigatório: a melhor estimativa dos investimentos relacionados com tecnologias digitais decorrentes da proposta / iniciativa deve ser incluída no quadro seguinte.

Excecionalmente, quando necessário para a execução da proposta / iniciativa, as dotações no âmbito da rubrica 4 devem ser apresentadas na rubrica designada.

As dotações no âmbito das rubricas 1-3 devem refletir-se como «Despesas informáticas relativas a programas operacionais específicos». Estas despesas referem-se às dotações operacionais a utilizar para reutilizar / comprar / desenvolver plataformas / ferramentas informáticas diretamente ligadas à execução da iniciativa e aos investimentos associados (por exemplo, licenças, estudos, armazenamento de dados, etc.). As informações constantes deste quadro devem ser coerentes com os dados apresentados no ponto 4, «Dimensões digitais».

TOTAL das dotações digitais e informáticas	Ano	Ano	Ano	Ano	Ano	Ano	Ano	TOTAL QFP 2028-2034
	2028	2029	2030	2031	2032	2033	2034
RUBRICA 4
Despesas informáticas (institucionais)	0	0	0	0	0	0	0	0
Subtotal RUBRICA 4	0	0	0	0	0	0	0	0
Com exclusão da RUBRICA 4
Despesas informáticas relativas a programas operacionais específicos	0	0	0	0	0	0	0	0
Subtotal com exclusão da RUBRICA 4	0	0	0	0	0	0	0	0
TOTAL	0	0	0	0	0	0	0	0

3.2.6.Compatibilidade com o atual quadro financeiro plurianual 

A proposta / iniciativa:

–    pode ser integralmente financiada por meio da reafetação de fundos no quadro da rubrica pertinente do quadro financeiro plurianual (QFP)

–    requer o recurso à margem não afetada na rubrica em causa do QFP e/ou o recurso a instrumentos especiais tais como definidos no Regulamento QFP

–    requer uma revisão do QFP

3.2.7.Participação de terceiros no financiamento 

A proposta / iniciativa:

–    não prevê o cofinanciamento por terceiros

–    prevê o seguinte cofinanciamento por terceiros, a seguir estimado:

Dotações em milhões de EUR (três casas decimais)

	Ano 2028	Ano 2029	Ano 2030	Ano 2031	Total
Especificar o organismo de cofinanciamento
TOTAL das dotações cofinanciadas

3.2.8.Estimativa dos recursos humanos e da utilização das dotações necessários numa agência descentralizada

Necessidades adicionais de pessoal (equivalentes a tempo completo)

Agência: ENISA	Ano 2028	Ano 2029	Ano 2030	Ano 2031	Ano 2032	Ano 2033	Ano 2034
Agentes temporários (graus AD)	5	11	17	19	19	19	19
Agentes temporários (graus AST)	4	7	11	12	12	12	12
Agentes temporários (AD + AST), subtotal	9	18	28	31	31	31	31
Agentes contratuais	22	44	66	74	74	74	74
Peritos nacionais destacados	4	8	11	13	13	13	13
Agentes contratuais e peritos nacionais destacados, subtotal	26	52	77	87	87	87	87
Pessoal TOTAL	35	70	105	118	118	118	118

Dotações cobertas pela contribuição do orçamento da UE em milhões de EUR (três casas decimais)

Agência: ENISA	Ano 2028	Ano 2029	Ano 2030	Ano 2031	Ano 2032	Ano 2033	Ano 2034	TOTAL 2028-2034
Título 1: Despesas de pessoal	4,488	8,466	12,507	13,648	10,584	10,012	9,537	87,766
Título 2: Despesas de infraestruturas e funcionamento
Título 3: Despesas operacionais	16,413	11,588	11,528	11,788	11,613	11,613	11,113	85,240
TOTAL das dotações cobertas pelo orçamento da UE	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4

Dotações cobertas por taxas, se aplicável, em milhões de EUR (três casas decimais)

Agência: ENISA	Ano 2028	Ano 2029	Ano 2030	Ano 2031	Ano 2032	Ano 2033	Ano 2034	TOTAL 2028-2034
Título 1: Despesas de pessoal		0,510	1,043	1,539	4,604	5,176	5,650	18,522
Título 2: Despesas de infraestruturas e funcionamento								0,000
Título 3: Despesas operacionais								0,000
TOTAL das dotações cobertas por taxas	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522

Resumo/síntese dos recursos humanos e das dotações (em milhões de EUR) exigidos pela proposta/iniciativa numa agência descentralizada

Agência: ENISA	Ano 2028	Ano 2029	Ano 2030	Ano 2031	Ano 2032	Ano 2033	Ano 2034	TOTAL 2028-2034
Agentes temporários (AD+AST)	9	18	28	31	31	31	31	31
Agentes contratuais	22	44	66	74	74	74	74	74
Peritos nacionais destacados	4	8	11	13	13	13	13	13
Pessoal total	35	70	105	118	118	118	118	118
Dotações cobertas pelo orçamento da UE	20,901	20,054	24,035	25,437	22,197	21,625	21,151	155,4
Dotações cobertas por taxas (se aplicável)	0,000	0,510	1,043	1,539	4,604	5,176	5,650	18,522
Dotações cofinanciadas (se aplicável)	0,000	0,000	0,000	0,000	0,000	0,000	0,000	0,000
TOTAL das dotações	20,901	20,564	25,078	26,976	26,801	26,801	26,801	173,922

 
3.3.    Impacto estimado nas receitas 

–    A proposta / iniciativa não tem impacto financeiro nas receitas

–    A proposta / iniciativa tem o seguinte impacto financeiro:

–    nos recursos próprios

–    noutras receitas

–    indicar, se as receitas forem afetadas a rubricas de despesas

Em milhões de EUR (três casas decimais)

Rubrica orçamental das receitas	Dotações disponíveis para o exercício em curso	Impacto da proposta / iniciativa 105
		Ano 2028	Ano 2029	Ano 2030	Ano 2031	Ano 2032	Ano 2033	Ano 2034
Artigo ………….

Relativamente às receitas que serão «afetadas», especificar as rubricas orçamentais de despesas envolvidas.

Outras observações (por exemplo, método/fórmula de cálculo do impacto nas receitas ou quaisquer outras informações).

4. Dimensões digitais

4.1.Requisitos de relevância digital

Descrição de âmbito geral dos requisitos de relevância digital e das categorias conexas (dados, digitalização de processos e automatização, soluções digitais e/ou serviços públicos digitais)

Referência ao requisito  Descrição do requisito  Intervenientes afetados ou abrangidos pelo requisito  Processos de alto nível  Categorias  Artigo 5.º, n.º 1, alínea a) Apoio à execução do direito da UE a)    Prestar assistência aos Estados-Membros na execução coerente da política e do direito da União em matéria de cibersegurança, nomeadamente através da emissão de orientações técnicas e relatórios, da prestação de aconselhamento e da partilha de boas práticas, bem como da facilitação do intercâmbio de boas práticas entre as autoridades competentes a este respeito; — ENISA — Estados-Membros  — tratamento de dados a fim de emitir orientações técnicas, relatórios, prestar aconselhamento e partilhar boas práticas, bem como facilitar o intercâmbio de boas práticas entre as autoridades competentes — facilitação do intercâmbio de boas práticas  Tratamento dos dados  Fluxo de dados Artigo 5.º, n.º 1, alínea b) Apoio à execução do direito da UE b)    Apoiar a partilha de informações dentro de cada setor e entre setores, em especial no que diz respeito aos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555, e produtos com elementos digitais abrangidos pelo âmbito de aplicação do Regulamento (UE) 2024/2847, facultando boas práticas e orientações sobre os instrumentos e procedimentos disponíveis; — ENISA — setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555 — partes interessadas afetadas pelo Regulamento (UE) 2024/2847 Facultar boas práticas e orientações sobre os instrumentos e procedimentos disponíveis em matéria de partilha de informações  Tratamento dos dados  Fluxo de dados Artigo 5.º, n.º 1, alínea c) Apoio à execução do direito da UE c)    A pedido da Comissão, prestar assistência aos Estados-Membros através da prestação de apoio, como orientações técnicas, nomeadamente sobre medidas de gestão dos riscos de cibersegurança, instrumentos para a avaliação da maturidade em matéria de cibersegurança e manuais táticos de resposta a incidentes, adaptados aos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555, com vista a facilitar a melhoria do seu nível de maturidade em matéria de cibersegurança e a conformidade com o direito da União nesse domínio; — Comissão Europeia   — ENISA — setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555 Facultar orientações técnicas  Tratamento dos dados  Fluxo de dados Artigo 5.º, n.º 1, alínea e) e) Prestando assistência aos Estados-Membros e às entidades competentes da União na elaboração e promoção de políticas de cibersegurança que apoiem a disponibilidade geral e a integridade do núcleo público da Internet aberta;   ENISA Estados-Membros Entidades da UE  Prestar assistência na elaboração e promoção de políticas de cibersegurança  Tratamento dos dados Fluxo de dados Artigo 5.º, n.º 1, alínea f) Apoio à execução do direito da UE f)    Prestando aconselhamento técnico e apoio, em conformidade com o Regulamento (UE) 2024/2847, sobre questões relacionadas com a aplicação e a execução desse regulamento; — ENISA — partes interessadas afetadas pelo Regulamento (UE) 2024/2847 A prestação de aconselhamento técnico e apoio exige o tratamento e a partilha de informações sobre os requisitos regulamentares, os desafios de execução e orientações em matéria de conformidade. Tratamento dos dados  Fluxo de dados Artigo 5.º, n.º 1, alínea h) h) A pedido do Comité Europeu para a Proteção de Dados, prestar aconselhamento sobre a execução de aspetos específicos de cibersegurança da política e do direito da União relacionados com a proteção de dados e a privacidade; ENISA CEPD   Prestar aconselhamento a pedido Tratamento dos dados  Fluxo de dados Artigo 5.º, n.º 2 Contributo para as avaliações dos riscos de cibersegurança a nível da União   A ENISA contribui para as avaliações coordenadas dos riscos de cibersegurança a nível da União, incluindo as realizadas nos termos do artigo 22.º da Diretiva (UE) 2022/2555.   ENISA Estados-Membros  Público em geral  Contribuir para avaliações coordenadas dos riscos, o que exige o tratamento e o fluxo de dados Tratamento dos dados Fluxo de dados  Artigo 5.º, n.º 3 A ENISA deve emitir orientações. A ENISA deve emitir orientações sobre a interoperabilidade dos sistemas de rede e informação utilizados para a partilha de informações, nomeadamente no que diz respeito às plataformas de cibersegurança transfronteiriças a que se refere o artigo 6.º, n.º 3, do Regulamento (UE) 2025/38. ENISA Estados-Membros A ENISA deve emitir orientações. Tratamento dos dados  Fluxo de dados Artigo 5.º, n.º 5 Apoio à Comissão A pedido da Comissão, a ENISA deve disponibilizar conhecimentos especializados, aconselhamento técnico, informações ou análises, ou realizar trabalhos preparatórios sobre questões específicas de cibersegurança, com vista a fundamentar a elaboração de políticas da Comissão e o acompanhamento da execução da legislação da União. Comissão Europeia ENISA Preparar e enviar informações à Comissão Tratamento dos dados  Fluxo de dados Artigo 6.º Reforço das capacidades A ENISA deve prestar assistência ao facultar conhecimentos e competências especializadas, boas práticas, etc. ENISA Estados-Membros Entidades da UE Partes interessadas públicas e privadas Autoridades de fiscalização do mercado Membros do GECC ECCC Facultar conhecimentos e competências especializadas  Tratamento dos dados  Fluxo de dados Artigo 7.º Sensibilização e reserva de talentos A ENISA assiste os Estados-Membros nos seus esforços de sensibilização para as políticas e a legislação da União em matéria de cibersegurança e de promoção da sua visibilidade mediante o desenvolvimento de instrumentos e orientações acionáveis. A ENISA apoia iniciativas destinadas a aumentar a reserva europeia de talentos no domínio da cibersegurança, em especial através da coordenação de concursos. ENISA Estados-Membros Desenvolver instrumentos e orientações utilizáveis Tratamento dos dados Artigo 8.º, n.º 1, conhecimento e análises do mercado A ENISA deve realizar e divulgar análises das principais tendências do mercado da cibersegurança, tanto do lado da procura como da oferta, em especial no que diz respeito aos domínios em que existem ou estão previstos sistemas europeus de certificação da cibersegurança, aos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555 e às categorias de produtos abrangidas pelo Regulamento (UE) 2024/2847, incluindo os anexos III e IV desse regulamento. ENISA Setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555 Categorias de produtos abrangidas pelo Regulamento (UE) 2024/2847 Realizar e divulgar análises Tratamento dos dados  Fluxo de dados Artigo 8.º, n.º 2, conhecimento e análises do mercado A ENISA deve realizar e divulgar análises das tendências tecnológicas em matéria de cibersegurança, em especial no que diz respeito às atividades e entidades abrangidas pelo âmbito de aplicação da Diretiva (UE) 2022/2555 e aos produtos com elementos digitais abrangidos pelo âmbito de aplicação do Regulamento (UE) 2024/2847. ENISA Público em geral, partes interessadas na aceção da Diretiva (UE) 2022/2555 e do Regulamento (UE) 2024/2847 Realizar e divulgar análises Tratamento dos dados Fluxo de dados Artigo 8.º, n.º 3, conhecimento do mercado e apoio aos ecossistemas A ENISA desenvolve conhecimentos e divulga aconselhamento técnico e análises sobre instrumentos, quadros, normas e boas práticas de vanguarda em matéria de cibersegurança. ENISA Público em geral Divulgar aconselhamento técnico e análises sobre instrumentos, quadros, normas e boas práticas de vanguarda em matéria de cibersegurança. Tratamento dos dados Fluxo de dados Artigo 9.º Cooperação internacional   A ENISA deve contribuir ao analisar os resultados de exercícios internacionais e comunicando-os ao Conselho de Administração, facilitando o intercâmbio de boas práticas e facultando conhecimentos especializados e aconselhamento à Comissão. Público internacional  ENISA Conselho de Administração da ENISA Comissão Europeia Análises e relatórios; prestar aconselhamento, etc.   Tratamento dos dados Fluxo de dados   Artigo 10.º, n.os 2 e 3 Cooperação operacional 2.    A ENISA deve ser membro da rede de CSIRT nacionais criada nos termos do artigo 15.º, n.º 1, da Diretiva (UE) 2022/2555 e assegurar o secretariado da rede de CSIRT nos termos do artigo 15.º, n.º 2, da Diretiva (UE) 2022/2555. 3.    A ENISA assegura os serviços de secretariado da Rede Europeia de Organizações de Coordenação de Cibercrises (UE-CyCLONe) nos termos do artigo 16.º, n.º 2, segundo parágrafo, da Diretiva (UE) 2022/2555. ENISA  CSIRT [artigo 15.º, n.º 1, da Diretiva (UE) 2022/2555]  UE-CyCLONe [artigo 16.º, n.º 2, da Diretiva (UE) 2022/2555]  Facilitar o intercâmbio de informações, assumindo as funções de secretariado das redes Fluxo de dados Solução digital Serviço público digital    Artigo 11.º, n.º 1, alínea b) Conhecimento situacional    Artigo 12.º Alertas precoces  emitir alertas precoces em conformidade com o artigo 12.º   Comissão Europeia ENISA Europol UE-CyCLONe Rede de CSIRT  CERT-UE Entidades enumeradas nos anexos I e II da Diretiva (UE) 2022/2555 Emitir alertas precoces Tratamento dos dados Fluxo de dados  Serviço público digital Artigo 10.º, n.º 4, alínea b) Cooperação operacional b)    A pedido de um ou mais Estados‑Membros, prestar aconselhamento e avaliações sobre um incidente ou ciberameaça específicos, potenciais ou em curso, nomeadamente através da disponibilização dos seus conhecimentos especializados e facilitando o tratamento técnico desses incidentes e através do apoio à partilha voluntária de informações relevantes e de soluções técnicas entre os Estados-Membros; ENISA Estados-Membros Prestar aconselhamento e avaliações sobre um incidente ou ciberameaça específico, potenciais ou em curso; Facilitar o tratamento técnico desses incidentes; Apoiar a partilha voluntária de informações relevantes e de soluções técnicas entre os Estados-Membros Tratamento dos dados Fluxo de dados Serviços públicos digitais Artigo 10.º, n.º 4, alínea c) Cooperação operacional c)    Análise de vulnerabilidades, ameaças e incidentes; ENISA Estados-Membros Recolher dados de fontes públicas e proceder ao intercâmbio de dados com os Estados-Membros  Tratamento dos dados Fluxo de dados Artigo 10.º, n.º 4, alínea d) Cooperação operacional d) A pedido de um ou mais Estados-Membros, prestação de apoio à realização de inquéritos técnicos ex post relativos a incidentes significativos, na aceção da Diretiva (UE) 2022/2555; ENISA Estados-Membros Proceder a análises e prestar apoio em resposta a inquéritos técnicos sobre incidentes Tratamento dos dados Fluxo de dados Artigo 10.º, n.º 4, alínea e) Cooperação operacional e)    Prestar contributos para apoiar a gestão coordenada de crises e incidentes de cibersegurança em grande escala a nível operacional, em especial prestando assistência à UE-CyCLONe na elaboração de relatórios a nível político ao facilitar a partilha atempada de informações entre a rede de CSIRT e a UE-CyCLONe; ENISA UE-CyCLONe Rede de CSIRT  Analisar dados para apoiar a elaboração de relatórios; facilitar a partilha atempada de informações entre redes Tratamento dos dados Fluxo de dados  Serviço público digital  Artigo 10.º, n.º 5  Cooperação operacional A pedido de um Estado-Membro ou de uma entidade da União em cooperação com o CERT-UE, a ENISA apoia uma comunicação pública coerente relacionada com um incidente ou uma ciberameaça. ENISA Estados-Membros Receber o pedido e comunicar, se necessário Fluxo de dados Artigo 10.º, n.º 6 Cooperação operacional A ENISA apoia a cooperação entre os Estados-Membros e, através do CERT-UE, entre as entidades da União no que diz respeito à implantação de ferramentas de comunicação seguras. A ENISA utiliza, no âmbito da rede de CSIRT e da UE-CyCLONe, ferramentas de comunicação seguras fornecidas por entidades jurídicas que não estejam estabelecidas ou não sejam controladas por países terceiros ou por nacionais de países terceiros.     ENISA Comissão Europeia Estados-Membros Entidades da UE Rede de CSIRT UE-CyCLONe Apoiar a implantação de ferramentas de comunicação seguras e utilizá-las no âmbito da rede de CSIRT e da UE-CyCLONe.  Solução digital  Serviço público digital  Artigo 11.º, n.º 1, alínea a) Conhecimento situacional comum em matéria de cibersegurança  a)    Desenvolver, em cooperação com a UE-CyCLONe, a rede de CSIRT, a Comissão, o CERT-UE, a Europol e outras entidades competentes da União, repositórios de informações verificadas e fiáveis sobre ciberameaças, incluindo tendências em matéria de incidentes, táticas, técnicas e procedimentos; Comissão Europeia ENISA UE-CyCLONe Rede de CSIRT Europol Entidades da UE CERT-UE Desenvolver repositórios  Fluxo digital Solução digital  Serviço público digital Artigo 11.º, n.º 1, alíneas c) a g)  Conhecimento situacional comum em matéria de cibersegurança Fornecer análises ad hoc atempadas (algumas a pedido); fornecer análises e aconselhamento técnico; elaborar um relatório sobre a situação técnica em cooperação com outras entidades; acompanhar as tendências e partilhá-las ENISA Estados-Membros Comissão Europeia Entidades da UE UE-CyCLONe Rede de CSIRT Analisar dados, partilhar informações e apresentar relatórios (alguns a pedido) Tratamento dos dados Fluxo de dados  Artigo 11.º, n.º 2, alínea a) Conhecimento situacional comum em matéria de cibersegurança A ENISA realiza análises das ciberameaças, dos incidentes, das tendências, das tecnologias emergentes e dos seus impactos, incluindo uma análise regular dos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555 e das categorias de produtos pertinentes abrangidas pelo Regulamento (UE) 2024/2847; ENISA Público em geral Analisar dados para facultar informações com impacto na cibersegurança; Apresentar relatórios periodicamente Tratamento dos dados Fluxo de dados Artigo 11.º, n.º 2, alínea b) Conhecimento situacional comum em matéria de cibersegurança A ENISA emite, em cooperação com a Comissão e, se for caso disso, com a rede de CSIRT, aconselhamento, orientações e boas práticas para a segurança dos sistemas de rede e informação, em especial para a segurança das infraestruturas de apoio aos setores enumerados nos anexos I e II da Diretiva (UE) 2022/2555;   Comissão Europeia CERT-UE Rede de CSIRT Público em geral Emitir pareceres, orientações e boas práticas Tratamento dos dados Fluxo de dados Artigo 11.º n.º 2, alínea c) Conhecimento situacional comum em matéria de cibersegurança A ENISA realiza análises estratégicas de longo prazo das ciberameaças e incidentes, a fim de identificar tendências emergentes e ajudar a prevenir incidentes. ENISA  Público em geral Analisar dados e identificar ameaças emergentes  Tratamento dos dados   Artigo 11.º, n.º 3 Conhecimento situacional comum em matéria de cibersegurança A ENISA pode tornar públicas as análises, o aconselhamento, as orientações, as boas práticas e os relatórios referidos no n.º 2, mediante acordo das entidades contribuintes mencionadas no mesmo número. ENISA Público em geral Tornar as informações públicas Fluxo de dados Serviço público digital  Artigo 13.º, n.º 2 Apoiar na resposta a incidentes  2.    A pedido da Comissão ou da UE-CyCLONe, a ENISA, com o apoio da rede de CSIRT e com a aprovação do Estado-Membro afetado, analisa e avalia os incidentes de cibersegurança significativos ou os incidentes de cibersegurança em grande escala, em conformidade com o artigo 21.º do Regulamento (UE) 2025/38. Comissão Europeia ENISA UE-CyCLONe Rede de CSIRT Estados-Membros Analisar e avaliar incidentes de cibersegurança significativos Tratamento dos dados  Artigo 14.º, n.º 2 Exercícios de cibersegurança a nível da União 2.    A ENISA mantém um repositório dos ensinamentos retirados dos exercícios a que se refere o n.º 1 e recomenda aos Estados-Membros e, se for caso disso, às entidades da União como é possível aplicar esses ensinamentos de forma eficaz e eficiente. ENISA Estados-Membros Entidades da UE Manter um repositório Tratamento dos dados  Solução digital Serviço público digital  Artigo 14.º Exercícios de cibersegurança a nível da União   Ao receber pedidos da UE-CyCLONe, da Comissão, dos Estados-Membros ou do CERT-UE, a ENISA organiza ou contribui para a organização de exercícios de cibersegurança. A ENISA apoia a Comissão na elaboração de um programa anual evolutivo de exercícios de cibersegurança a nível da União. ENISA Comissão Estados-Membros Entidades da UE  CERT-UE Receber pedidos para organizar ou apoiar a organização de exercícios  Fluxo de dados Tratamento dos dados Artigo 15.º Disposições sobre ferramentas e plataformas    1.    A ENISA cria, disponibiliza, opera, mantém e atualiza, conforme necessário, ferramentas técnicas operacionais, incluindo plataformas relacionadas com a cibersegurança a nível da União, em especial a plataforma única de comunicação de informações para a notificação de incidentes criada nos termos do artigo 16.º, n.º 1, do Regulamento (UE) 2024/2847 [e o ponto de entrada único criado nos termos do artigo 23.º-A da Diretiva (UE) 2022/2555], e ferramentas de teste para apoiar a aplicação dos procedimentos de avaliação da conformidade de acordo com a legislação pertinente da União. 2.    Se for caso disso, para efeitos do n.º 1, a ENISA coopera e troca informações com a rede de CSIRT e, quando aplicável, com as autoridades de fiscalização do mercado.     ENISA Rede de CSIRT Público em geral Autoridades de fiscalização do mercado   A ENISA cria, disponibiliza, opera, mantém e atualiza, conforme necessário, ferramentas técnicas operacionais, incluindo plataformas. Solução digital Serviço público digital Fluxo de dados Artigo 16.º, n.º 2 Serviços de gestão de vulnerabilidades  a)    Manter a base de dados europeia de vulnerabilidades criada nos termos do artigo 12.º, n.º 2, da Diretiva (UE) 2022/2555; b)    Prestar serviços de gestão de vulnerabilidades às partes interessadas, tirando partido da base de dados europeia de vulnerabilidades e utilizando as informações pertinentes à disposição da ENISA; c)    Estabelecer, se for caso disso, uma cooperação estruturada com organizações que fornecem programas, registos ou bases de dados semelhantes à base de dados europeia de vulnerabilidades; d)    Apoiar ativamente as CSIRT designadas coordenadoras nos termos do artigo 12.º, n.º 1, da Diretiva (UE) 2022/2555, relativamente à gestão da divulgação coordenada de vulnerabilidades que possam ter um impacto significativo nas entidades de mais do que um Estado-Membro; e) Desenvolver e manter metodologias e mecanismos de governação para a identificação e divulgação coordenada de vulnerabilidades, em cooperação com as autoridades nacionais competentes, as CSIRT, a indústria e a comunidade de investigação. ENISA CSIRT nacionais Rede de CSIRT Autoridades nacionais competentes Indústria Comunidade de investigação Público em geral Intervenientes internacionais que disponibilizam programas, registos ou bases de dados Prestar serviços de gestão de vulnerabilidades; iniciar uma cooperação estruturada, se for caso disso; cooperação com as partes interessadas  Solução digital  Serviço público digital  Fluxo de dados   Artigo 17.º Certificação da cibersegurança   Artigo 18.º Normalização, especificações técnicas e orientações Artigo 17.º, n.º 1 a) Elaborar projetos de sistemas europeus de certificação da cibersegurança («projetos de sistemas») para os produtos, serviços e processos de TIC, os serviços de segurança geridos e a postura de cibersegurança das entidades, bem como especificações técnicas conexas nos termos do artigo 74.º; b) Manter os sistemas europeus de certificação da cibersegurança adotados em conformidade com o artigo 75.º, nomeadamente tendo em vista uma eventual revisão dos sistemas europeus de certificação da cibersegurança adotados nos termos do artigo 76.º; c) Promover a adoção dos sistemas adotados e manter um sítio Web específico que forneça informações e divulgue os sistemas europeus de certificação da cibersegurança, os certificados europeus de cibersegurança e as declarações UE de conformidade, nos termos do artigo 79.º; Artigo 17.º, n.º 2 e) Elaborar disposições-tipo a referenciar nos sistemas europeus de certificação da cibersegurança («projetos de sistema») dos produtos, serviços e processos de TIC, dos serviços de segurança geridos e da postura de cibersegurança das entidades, em conformidade com o artigo 81.º, n.º 5.   Artigo 18.º 1. A ENISA elabora especificações técnicas e orientações para apoiar a aplicação da legislação da União no domínio da cibersegurança. 2. A ENISA acompanha, participa e lidera as atividades de desenvolvimento da normalização a nível da União e, em conformidade com o artigo 9.º, a nível internacional. 3. A ENISA apoia o desenvolvimento e a avaliação de algoritmos criptográficos. Caso um algoritmo criptográfico seja avaliado positivamente, a ENISA coopera, em conformidade com o Regulamento (UE) n.º 1025/2012, com os organismos europeus de normalização para apoiar a respetiva normalização. 4. A ENISA disponibiliza conhecimentos técnicos especializados à Comissão e ao GECC sobre normas ou especificações técnicas adequadas em apoio das políticas da União relacionadas com a cibersegurança, em especial o Regulamento (UE) 2024/2847, incluindo a legislação de harmonização da União no domínio da cibersegurança e os sistemas europeus de certificação da cibersegurança nos termos do artigo 81.º, n.º 1, alínea d).  5. A ENISA assiste a Comissão na avaliação dos projetos de normas harmonizadas para apoiar a aplicação da legislação de harmonização da União no domínio da cibersegurança. ENISA Público em geral Analisar dados e proceder ao intercâmbio de fluxos de dados com a Comissão e outras partes interessadas; elaborar um projeto de sistema de certificação; realizar a manutenção do sítio Web da ENISA Tratamento dos dados Fluxos de dados Serviço público digital Artigo 19.º — Quadro Europeu de Competências em Cibersegurança               A ENISA deve desenvolver e disponibilizar ao público um Quadro Europeu de Competências em Cibersegurança (QECC). Antes de disponibilizar o QECC ao público ou de o atualizar nos termos do n.º 4, a ENISA consulta a Comissão. A utilização do QECC é voluntária para entidades públicas e privadas. A ENISA pode consultar as partes interessadas no âmbito do desenvolvimento e da adoção do QECC. ENISA Comissão Público em geral Estados-Membros  Entidades da UE Partes interessadas públicas e privadas   Manutenção do QECC; consulta das partes interessadas; adoção do QECC   Tratamento dos dados  Fluxo de dados Solução digital   Artigos 20.º a 23.º — Sistemas de atestados individuais europeus de competências de cibersegurança A ENISA desenvolve, adota e mantém sistemas de atestados individuais europeus de competências de cibersegurança. A utilização de sistemas de atestados individuais europeus de competências de cibersegurança é voluntária para os organismos públicos nacionais e as entidades privadas, salvo disposição em contrário no direito nacional. Antes de iniciar um novo sistema de atestados individuais europeus de competências de cibersegurança, a ENISA consulta a Comissão. A ENISA só adota esse sistema após parecer favorável da Comissão. Ao preparar um sistema de atestados individuais europeus de competências de cibersegurança, a ENISA pode consultar as partes interessadas. A ENISA assegura uma estreita cooperação com os Estados-Membros ao longo da preparação dos sistemas de atestados individuais europeus de competências de cibersegurança. Os prestadores de atestados autorizados avaliam se as pessoas cumprem os requisitos de um sistema de atestados individuais europeus de competências de cibersegurança e, se esses requisitos forem cumpridos, emitem atestados individuais europeus de competências de cibersegurança. A ENISA fornece orientações e ministra formação obrigatória aos avaliadores sobre os requisitos e os métodos de avaliação incluídos no sistema de atestados individuais europeus de competências de cibersegurança a que se refere o artigo 20.º, n.º 3, alínea b). As entidades que pretendam tornar-se prestadores de atestados autorizados ou renovar a sua autorização («requerentes») apresentam um pedido à ENISA. Os prestadores de atestados autorizados asseguram que, a pedido da pessoa em causa, os atestados eletrónicos dos atestados individuais europeus de competências de cibersegurança sejam emitidos como certificados eletrónicos de atributos num formato que possa ser armazenado nas carteiras europeias de identidade digital previstas no Regulamento (UE) n.º 910/2014. Os requerentes e os prestadores de atestados autorizados permitem que a ENISA realize avaliações no âmbito do processo de pedido inicial ou da manutenção da autorização, ou da renovação da mesma, e partilhe todas as informações pertinentes para assegurar que os requisitos estabelecidos nos n.os 3 e 4, ou as obrigações estabelecidas no n.º 5, são ou continuam a ser cumpridos nos termos do artigo 22.º, n.º 2. Os prestadores de atestados autorizados informam imediatamente a ENISA se algum dos requisitos enumerados nos n.os 3 deixarem de ser cumpridos ou se surgirem dúvidas de que esses requisitos não sejam cumpridos, nomeadamente no que diz respeito à independência dos avaliadores. Os requerentes pagam uma taxa à ENISA pela análise dos seus pedidos. Os prestadores de atestados autorizados pagam uma taxa à ENISA pela manutenção da sua autorização.  A ENISA avalia se os requisitos estabelecidos no artigo 21.º, n.os 3 e 4, e as obrigações estabelecidas no artigo 21.º, n.º 5, são ou continuam a ser cumpridos pelos requerentes e pelos prestadores de atestados autorizados. Após análise de um pedido à luz dos requisitos estabelecidos no artigo 21.º, n.os 3 e 4, a ENISA pode emitir uma decisão. A ENISA pode alterar, suspender ou revogar essas decisões. A ENISA mantém e atualiza regularmente um sítio Web específico que faculte informações públicas sobre: a)O QECC, incluindo o quadro e o seu calendário de atualização; b)Os sistemas de atestados individuais europeus de competências de cibersegurança, o seu progresso e os prazos para o seu desenvolvimento; c)As taxas associadas a cada sistema de atestados individuais europeus de competências de cibersegurança adotadas nos termos do artigo 47.º do presente regulamento; d)O custo indicativo de um atestado individual europeu de competências de cibersegurança, em conformidade com o artigo 20.º, n.º 4; e)A lista de prestadores de atestados autorizados. ENISA Comissão  Público em geral Estados-Membros  Entidades da UE Partes interessadas públicas e privadas (contribuir para o desenvolvimento de um sistema de atestados; requerentes e prestadores de atestados individuais europeus de competências de cibersegurança, incluindo avaliadores)    Desenvolvimento e manutenção de sistemas; consulta das partes interessadas; tramitação dos pedidos tomada de decisões; manutenção de um sítio Web  Tratamento dos dados  Fluxo de dados Solução digital Serviço público digital Artigo 25.º  Composição do Conselho de Administração Nomear membros para o Conselho de Administração da ENISA. ENISA Comissão Europeia Estados-Membros Nomear membros Fluxo de dados Tratamento dos dados Artigo 28.º, n.º 1  Funções do Conselho de Administração   Artigo 30.º Comissão Executiva b.Adotar o projeto de documento único de programação da ENISA a que se refere o artigo 44.º, antes da sua apresentação à Comissão para parecer; f) Avaliar e adotar o relatório anual consolidado de atividades da ENISA, incluindo as contas da ENISA e uma descrição do modo como esta cumpriu os seus indicadores de desempenho; enviar o relatório anual e a respetiva avaliação, até 1 de julho do ano seguinte, ao Parlamento Europeu, ao Conselho, à Comissão e ao Tribunal de Contas Europeu; publicar o relatório anual; i) Assegurar que é dado seguimento adequado às conclusões e recomendações constantes dos relatórios de auditoria e avaliações internos ou externos, bem como dos inquéritos do Organismo Europeu de Luta Antifraude (OLAF) e da Procuradoria Europeia (EPPO); ENISA Comissão Europeia  Parlamento Europeu Conselho da UE Tribunal de Contas Estados-Membros  Público em geral Apresentação do DOCUP à Comissão para obtenção de um parecer; avaliação e adoção do relatório anual consolidado de atividades da ENISA, incluindo as contas da ENISA e uma descrição do modo como esta cumpriu os seus indicadores de desempenho e envio do relatório anual e da avaliação;  Seguimento das conclusões  Fluxo de dados Tratamento dos dados   Artigo 31.º, n.º 8 Nomeação, exoneração e prorrogação do mandato   O Conselho de Administração informa o Parlamento Europeu da sua intenção de prorrogar o mandato do diretor executivo, em conformidade com o n.º 6. No prazo de três meses antes de tal prorrogação, o diretor executivo profere, se a tal for convidado, uma declaração perante a comissão competente do Parlamento Europeu e responde a perguntas dos deputados. ENISA  Conselho de Administração da ENISA  Parlamento Europeu  O Conselho de Administração informa o Parlamento Europeu Fluxo de dados Artigo 32.º, n.º 3 Atribuições e responsabilidades do diretor executivo     Artigo 32.º, n.º 5 3. O diretor executivo informa o Parlamento Europeu sobre o exercício das suas atribuições quando convidado a fazê‑lo. O Conselho pode convidar o diretor executivo a prestar informações sobre o exercício das suas atribuições. Elaboração de projetos de planos orçamentais, estratégias e documentos estratégicos. Diretor executivo da ENISA Parlamento Europeu  Relatórios sobre o desempenho  Fluxo de dados Tratamento dos dados Artigo 35.º, n.os 5 e 6 Grupo Consultivo da ENISA  5. O Grupo Consultivo da ENISA presta aconselhamento à ENISA quanto ao exercício das atribuições desta, exceto quanto à aplicação das disposições dos títulos III, IV e V do presente regulamento. Em particular, presta aconselhamento ao diretor executivo quanto à elaboração da proposta de programa de trabalho anual da ENISA e à comunicação com as partes interessadas sobre as questões ligadas ao programa de trabalho anual. 6.    O Grupo Consultivo da ENISA informa regularmente o Conselho de Administração das suas atividades. ENISA Membros do Grupo Consultivo da ENISA  Conselho de Administração da ENISA  Diretor executivo da ENISA Aconselhar e prestar informações sobre as suas atividades  Tratamento dos dados Fluxo de dados Artigos 36.º a 43.º  Câmara de Recurso  A ENISA cria uma Câmara de Recurso por decisão do Conselho de Administração. A Câmara de Recurso é composta por um presidente e por três outros membros. Cada membro da Câmara de Recurso tem um suplente. O suplente representa o membro na ausência deste. O Conselho de Administração nomeia o presidente, os outros membros e os respetivos suplentes a partir de uma lista de candidatos qualificados elaborada pela Comissão. A lista de candidatos qualificados é válida por quatro anos. A validade desta lista pode ser prorrogada pelo Conselho de Administração por períodos adicionais de quatro anos mediante proposta da Comissão. No caso de a Câmara de Recurso considerar que a natureza do recurso assim o exige, pode solicitar ao Conselho de Administração que nomeie dois membros adicionais e os seus suplentes a partir da lista referida no n.º 3. A Câmara de Recurso adota e publica o seu regulamento interno.  Se, por uma das razões enumeradas no n.º 1 ou por qualquer outro motivo, um membro de uma Câmara de Recurso considerar que não pode participar num processo de recurso, informa desse facto a Câmara de Recurso. A Câmara de Recurso delibera sobre as medidas a tomar nos casos previstos nos n.os 2 e 3 sem a participação do membro em causa. Para a adoção dessa decisão, o membro em causa é substituído na Câmara de Recurso pelo seu suplente. Os recursos interpostos nos termos do n.º 1 são objeto de revisão prejudicial, em conformidade com o artigo 41.º, antes de serem submetidos à apreciação da Câmara de Recurso. Os requerentes, na aceção do artigo 21.º, n.º 3, podem interpor recurso: contra uma decisão da ENISA de que sejam destinatários, nos termos do artigo 22.º, n.º 3, relativamente à omissão de ação por parte da ENISA, quanto a um pedido por eles apresentado, dentro dos prazos aplicáveis previstos no artigo 22.º, n.º 4. No caso referido no n.º 1, alínea a), o recurso, juntamente com a respetiva fundamentação, deve ser interposto por escrito, em conformidade com o regulamento interno a que se refere o artigo 36.º, n.º 5, no prazo de dois meses a contar da notificação da decisão ao requerente em causa ou, na falta desta, a contar da data em que o requerente tenha tomado conhecimento da decisão. No caso referido no n.º 1, alínea b), o recurso é interposto junto da ENISA por escrito, em conformidade com o regulamento interno a que se refere o artigo 36.º, n.º 5, no prazo de dois meses a contar do dia do termo do prazo fixado no artigo 22.º, n.º 4. Se a ENISA considerar que o recurso é admissível e fundado, retifica a decisão ou omissão a que se refere o artigo 40.º, n.º 1.  Se a ENISA não retificar a decisão no prazo de um mês a contar da receção do recurso, decide de imediato se suspende a aplicação da sua decisão e remete o recurso para a Câmara de Recurso. A Câmara de Recurso decide, no prazo de três meses após a interposição do recurso, se lhe dá ou não provimento. Ao examinar um recurso, a Câmara de Recurso delibera nos prazos estabelecidos no seu regulamento interno. Convida as partes no processo de recurso, tantas vezes quantas forem necessárias, a apresentar, num prazo determinado, as suas observações sobre as notificações que lhes tiver enviado ou sobre comunicações das outras partes no processo de recurso. As partes no processo de recurso podem prestar declarações oralmente. Caso a Câmara de Recurso considere que as razões para o recurso são fundadas, remete o caso para a ENISA. A ENISA toma uma decisão final em conformidade com as conclusões da Câmara de Recurso e apresenta a respetiva fundamentação. A ENISA informa da decisão as partes no processo de recurso. Podem ser interpostos no Tribunal de Justiça da União Europeia recursos de anulação de decisões da ENISA adotadas nos termos do artigo 22.º, n.º 3, ou relativos à omissão de ação dentro dos prazos aplicáveis nos termos do artigo 22.º, n.º 4, depois de esgotado o procedimento de recurso na ENISA previsto nos artigos 39.º a 42.º ou em caso de omissão de ação dentro do prazo aplicável nos termos do artigo 41.º, n.º 2. A ENISA toma todas as medidas necessárias para dar cumprimento ao acórdão do Tribunal de Justiça da União Europeia. ENISA Conselho de Administração da ENISA  Comissão Câmara de Recurso na aceção do artigo 36.º da proposta de Regulamento Cibersegurança 2 Requerentes (entidades jurídicas que pretendam tornar-se prestadores de atestados autorizados, manter ou renovar a sua autorização) Emissão de decisões com base em recursos  Tratamento dos recursos Elaboração e publicação do regulamento interno Fluxos de Informação Tratamento dos dados  Fluxo de dados  Serviço público digital  Artigo 44.º Documento único de programação 2. Todos os anos, o diretor executivo elabora um projeto de documento único de programação como referido no n.º 1 e o respetivo planeamento de recursos financeiros e humanos, nos termos do artigo 32.º do Regulamento Delegado (UE) 2019/715 da Comissão e tendo em conta as orientações fornecidas pela Comissão. 3. Até 30 de novembro de cada ano, o Conselho de Administração adota o documento único de programação a que se refere o n.º 1, tendo em conta o parecer da Comissão a que se refere o artigo 32.º, n.º 7, do Regulamento Delegado (UE) 2019/715. Se o Conselho de Administração decidir não ter em conta certos elementos do parecer da Comissão, apresenta uma justificação exaustiva para essa decisão. O Conselho de Administração transmite o documento único de programação ao Parlamento Europeu, ao Conselho e à Comissão, até 31 de janeiro do ano seguinte, acompanhado de eventuais versões atualizadas.   Diretor executivo da ENISA Conselho de Administração da ENISA Comissão Europeia Parlamento Europeu Conselho Elaboração, adoção e envio anual de um documento único de programação Fluxo de dados Artigo 45.º Elaboração do orçamento da ENISA 4.    A Comissão transmite o projeto de mapa previsional à autoridade orçamental, juntamente com o projeto de orçamento geral da União. O projeto de mapa previsional é igualmente disponibilizado à ENISA. ENISA Comissão Europeia Partilha de informações Fluxo de dados Artigo 47.º Taxas  Em relação às atividades dos sistemas de atestados individuais europeus estabelecidas no artigo 22.º, n.º 1, são cobradas aos requerentes, na aceção do artigo 21.º, n.º 3, ou aos prestadores de atestados autorizados, taxas relativas aos seguintes serviços, a fim de contribuir para cobrir a totalidade dos custos das atividades realizadas pela ENISA: a.Emissão de autorizações após análise dos requisitos estabelecidos no artigo 21.º, n.os 3 e 4, incluindo a realização de avaliações; b.Manutenção anual da autorização; c.Renovação das autorizações dos prestadores de atestados individuais europeus de competências de cibersegurança, incluindo a realização de avaliações. No que respeita à certificação, são cobradas taxas aos organismos de avaliação da conformidade pela manutenção dos sistemas europeus de certificação da cibersegurança ao abrigo dos quais são emitidos certificados europeus de cibersegurança, em especial: Uma taxa anual pela participação num sistema europeu de certificação da cibersegurança; Uma taxa pela emissão de certificados europeus de cibersegurança no âmbito dos sistemas europeus de certificação da cibersegurança. As taxas referidas na alínea b) são cobradas quando o organismo de avaliação da conformidade apresenta certificados europeus de cibersegurança à ENISA para publicação no seu sítio Web nos termos do artigo 79.º. A Comissão adota atos de execução que estabelecem regras pormenorizadas relativas às taxas cobradas pela ENISA.  A ENISA inclui um relatório sobre as taxas cobradas e o respetivo impacto no orçamento da Agência no âmbito do procedimento de apresentação de contas. Comissão ENISA Prestadores de atestados Organismos de avaliação da conformidade Tratamento de informações pagamento de taxas; comunicação de informações sobre taxas Tratamento dos dados  Fluxo de dados   Artigo 48.º Artigo 49.º Incidência orçamental   Artigo 48.º 3.    O diretor executivo envia anualmente à autoridade orçamental todas as informações pertinentes sobre os resultados dos procedimentos de avaliação. Artigo 49.º 1.    O contabilista da ENISA comunica as contas provisórias relativas ao exercício (ano N) ao contabilista da Comissão e ao Tribunal de Contas até 1 de março do exercício seguinte (ano N+1). 2.    O contabilista da ENISA transmite igualmente as informações contabilísticas necessárias para efeitos de consolidação ao contabilista da Comissão, na forma e formato previstos por este até 1 de março do ano N+1. 3.    A ENISA envia o relatório de gestão orçamental e financeira do ano N ao Parlamento Europeu, ao Conselho, à Comissão e ao Tribunal de Contas até 31 de março do ano N+1. 4.    Após receção das observações do Tribunal de Contas sobre as contas provisórias da ENISA relativas ao ano N, o contabilista da Agência elabora as contas definitivas da ENISA. 5. O Conselho de Administração emite um parecer sobre as contas definitivas do ano N da ENISA. O contabilista da Agência elabora as contas definitivas da ENISA sob a sua própria responsabilidade. O diretor executivo apresenta as contas definitivas ao Conselho de Administração para emissão de parecer.  ENISA Conselho de Administração da ENISA Comissão Europeia Conselho Parlamento Europeu Tratamento e partilha de informações relativas ao orçamento da ENISA. Tratamento dos dados  Fluxo de dados   Artigo 52.º Declaração de interesses   As partes fazem uma declaração de compromissos e uma declaração indicando a ausência ou existência de qualquer interesse direto ou indireto que possa ser considerado prejudicial à sua independência. Gestão da ENISA (diretor executivo, subdiretor executivo);  Conselho de Administração,  Peritos nacionais destacados Tratamento e partilha de dados sobre as declarações de interesses  Tratamento dos dados Fluxo de dados Artigo 58.º Agentes de ligação  1. Cada Estado-Membro designa pelo menos dois agentes de ligação [da respetiva autoridade nacional de cibersegurança] como peritos nacionais destacados para a ENISA e para trabalharem na sua sede ou no seu gabinete local, em conformidade com o artigo 59.º, n.º 2. A Comissão também pode designar um agente de ligação. 2. Os agentes de ligação designados pelos seus Estados-Membros estão habilitados a solicitar e receber todas as informações pertinentes dos respetivos Estados-Membros, tal como previsto no presente regulamento, respeitando plenamente o direito ou as práticas nacionais dos respetivos Estados-Membros, em especial no que diz respeito à proteção de dados e às regras de confidencialidade. ENISA Estados-Membros  Designação de agentes de ligação e partilha de informações  Tratamento dos dados  Fluxo de dados  Artigo 67.º Tratamento de informações classificadas   Após consulta com a Comissão, a ENISA adota regras de segurança que apliquem os princípios de segurança que constam das regras de segurança da Comissão para a proteção das informações sensíveis não classificadas e das ICUE, estabelecidas nas Decisões (UE, Euratom) 2015/443 e 2015/444. As regras de segurança da ENISA incluem disposições relativas ao intercâmbio, tratamento e armazenamento de tais informações.  ENISA Conselho de Administração  Comissão  Tratamento de informações classificadas Tratamento dos dados Fluxo de dados Artigos 68.º, 69.º, 70.º Cooperação com as entidades da União e as autoridades nacionais Cooperação com as partes interessadas Cooperação com países terceiros  A ENISA coopera e troca informações sobre questões relacionadas com a cibersegurança com entidades competentes da União, autoridades de fiscalização do mercado e autoridades de supervisão; partes interessadas; autoridades competentes de países terceiros ou organizações internacionais    ENISA Europol  ECCC Comité Europeu para a Proteção de Dados Público em geral Conselho Partilha de informações Fluxo de dados Artigo 72.º relativo a informações e consulta sobre sistemas europeus de certificação da cibersegurança 2.    A Comissão mantém e atualiza regularmente um sítio Web específico que faculte informações sobre os seguintes aspetos: a)    Sistemas europeus de certificação da cibersegurança cuja criação é solicitada; b)    Prioridades estratégicas para a harmonização de produtos, serviços e processos de TIC, serviços de segurança geridos ou requisitos de segurança da legislação da União, incluindo potenciais domínios para os quais possa ser solicitado um sistema europeu de certificação da cibersegurança. 3.    A Comissão disponibiliza ao público, no sítio Web a que se refere o n.º 2 do presente artigo, as informações sobre o seu pedido à ENISA para elaborar um projeto de sistema a que se refere o artigo 73.º e a sua decisão de aceitar, rejeitar ou descontinuar um projeto de sistema transmitido pela ENISA nos termos do artigo 74.º, n.º 7. Comissão Europeia  Público em geral ENISA   Manutenção do sítio Web de informação Tal incumbe a Comissão de facultar informações num sítio Web acessível ao público e de realizar atividades conexas de gestão de dados de forma contínua. Serviço público digital  Solução digital  Artigo 72.º relativo a informações e consulta sobre sistemas europeus de certificação da cibersegurança   Durante a elaboração de um projeto de sistema pela ENISA nos termos do artigo 74.º, o Parlamento Europeu e o Conselho podem solicitar à Comissão, na sua qualidade de presidente do GECC, e à ENISA que apresentem informações pertinentes sobre uma proposta de projeto de sistema. A pedido do Parlamento Europeu ou do Conselho, a ENISA, com o acordo da Comissão, e sem prejuízo do artigo 54.º, pode disponibilizar ao Parlamento Europeu e ao Conselho as partes relevantes de uma proposta de projeto de sistema de uma forma adequada ao nível de confidencialidade exigido e, se for caso disso, de forma restrita. O Parlamento Europeu e o Conselho podem convidar a Comissão e a ENISA a debater questões relativas à execução de sistemas europeus de certificação da cibersegurança de produtos, serviços e processos de TIC, serviços de segurança geridos ou postura de cibersegurança das entidades. ENISA Conselho da UE Parlamento Europeu Pedido e envio de informações sobre um projeto de sistema elaborado pela ENISA Fluxos de dados Artigo 73.º Pedido de um sistema europeu de certificação da cibersegurança  Artigo 74.º Elaboração e adoção de sistemas europeus de certificação da cibersegurança (abrangido pelo artigo 17.º)  Artigo 73.º 1. A Comissão pode solicitar à ENISA que elabore um projeto de sistema europeu de certificação da cibersegurança de produtos, serviços e processos de TIC, serviços de segurança geridos ou postura de cibersegurança das entidades. Em casos devidamente justificados, o GECC pode sugerir à Comissão que apresente o pedido a que se refere o n.º 1. 4. Ao elaborar o pedido a que se refere o n.º 1, a Comissão consulta devidamente a ENISA e o GECC, bem como tem em conta os pontos de vista de todas as partes interessadas e de outras entidades da União, incluindo, se for caso disso, as que são pertinentes ao abrigo da legislação da União em que um sistema europeu de certificação da cibersegurança confira presunção de conformidade. Artigo 74.º 3. Ao preparar o projeto de sistema, a ENISA coopera estreitamente com o GECC. O GECC presta assistência e aconselhamento especializado à ENISA no que respeita à elaboração do projeto de sistema e, se for caso disso, disponibiliza uma especificação técnica de apoio. A ENISA solicita aos membros do GECC que apresentem um parecer escrito sobre o projeto de sistema.  4. A ENISA consulta as partes interessadas em tempo útil através de um processo de consulta formal, aberto, transparente e inclusivo.  A ENISA coopera igualmente com as autoridades públicas competentes dos Estados-Membros e com as entidades competentes da União, a fim de recolher o seu aconselhamento especializado no que diz respeito à elaboração do projeto de sistema e, se for caso disso, da especificação técnica de apoio. 6. A ENISA transmite o projeto de sistema à Comissão o mais tardar 60 dias a contar da data do pedido a que se refere o n.º 5. 7. Ao receber o projeto de sistema, a Comissão avalia se o sistema corresponde ao pedido apresentado nos termos do artigo 73.º.  8.    Caso a Comissão devolva um projeto de sistema à ENISA para revisão nos termos do n.º 7, alínea b), aplicam-se os n.os 4, 5 e 7 do presente artigo em conformidade.   Comissão Europeia  ENISA GECC Partes interessadas especializadas Elaboração de um pedido, sistema de certificação e respetiva consulta das partes interessadas Tratamento dos dados  Fluxos de dados Serviço público digital  (abrangido pelo artigo 17.º) Artigo 75.º Manutenção de um sistema europeu de certificação da cibersegurança 2. A ENISA, em cooperação com a Comissão e com o apoio do GECC e do seu subgrupo de manutenção pertinente, assegura a manutenção dos sistemas europeus de certificação da cibersegurança, nomeadamente tendo em vista a eventual revisão desses sistemas pela Comissão. A ENISA coopera e procede ao intercâmbio de informações com as entidades e grupos pertinentes da União no que diz respeito às atividades de manutenção.  5. O GECC pode emitir um parecer sobre a manutenção dos sistemas europeus de certificação da cibersegurança. Comissão Europeia  ENISA GECC Organismos de avaliação da conformidade   A ENISA assegura a manutenção. Tal inclui reuniões periódicas híbridas ou em linha, a recolha de informações, a análise e a partilha (em relação a um sistema europeu de certificação da cibersegurança) Tratamento dos dados Fluxo de dados Artigo 76.º Avaliação, revisão e retirada de um sistema europeu de certificação da cibersegurança 1. Pelo menos de quatro em quatro anos após a entrada em aplicação de um sistema europeu de certificação da cibersegurança, a ENISA avalia o impacto e a eficácia desse sistema, em cooperação com o subgrupo de manutenção pertinente do GECC e tendo em conta as reações recebidas das partes interessadas. A ENISA efetua a avaliação ao realizar a análise do mercado necessária em conformidade com o artigo 8.º, n.º 1. 3. Ao rever ou retirar sistemas europeus de certificação da cibersegurança, a Comissão consulta a ENISA, o GECC e o seu subgrupo de manutenção pertinente, e tem em conta os pontos de vista das partes interessadas e de outras entidades da União.  4. O GECC pode emitir um parecer sobre a revisão ou a retirada de um sistema europeu de certificação da cibersegurança. A Comissão deve tê-lo devidamente em conta ao rever ou retirar o sistema europeu de certificação da cibersegurança.    Comissão Europeia  ENISA GECC A Comissão analisa os sistemas e consulta as partes interessadas. Tratamento dos dados Fluxo de dados Artigo 77.º  Especificações técnicas nos sistemas europeus de certificação da cibersegurança 3.    Caso sejam referenciadas especificações técnicas num sistema europeu de certificação da cibersegurança conforme referido no artigo 74.º, n.º 10, estas são disponibilizadas no sítio Web a que se refere o artigo 79.º. 4. Em casos devidamente justificados, em especial se incluírem informações suscetíveis de comprometer a segurança de produtos, serviços e processos de TIC certificados, de serviços de segurança geridos ou da postura de cibersegurança das entidades, as especificações técnicas são distribuídas apenas às partes interessadas abrangidas pelos requisitos do sistema. Esse sistema não pode ser referenciado num sistema europeu de certificação da cibersegurança conforme referido no artigo 74.º, n.º 10. ENISA Estados-Membros Organismos de avaliação da conformidade   Disponibilização de informações no sítio Web da ENISA dedicado à certificação Fluxo de dados Serviço público digital   Artigo 79.º  Sítio Web dos sistemas europeus de certificação da cibersegurança 1. A ENISA organiza atividades para promover a adoção dos sistemas europeus de certificação da cibersegurança adotados, nomeadamente através da manutenção do sítio Web a que se refere o n.º 2 do presente artigo. 2. A ENISA mantém e atualiza regularmente um sítio Web específico que faculte informações públicas sobre os seguintes elementos: a)    Sistemas europeus de certificação da cibersegurança; b)    As taxas associadas à manutenção de cada sistema europeu de certificação da cibersegurança; c) Especificações técnicas pertinentes da ENISA; d)    Certificados europeus de cibersegurança e declarações UE de conformidade, incluindo informações relativas a esses certificados e declarações que já não sejam válidos, ou que tenham sido suspensos ou retirados, ou que tenham caducado; e)    Informações complementares pertinentes sobre cibersegurança facultadas em conformidade com o artigo 84.º, n.º 2; f)    Resumos das análises pelos pares, nos termos do artigo 89.º, n.º 7; g)    Especificações técnicas referenciadas num sistema europeu de certificação da cibersegurança nos termos do artigo 74.º, n.º 10. 3. Se for caso disso, o sítio Web referido no n.º 2 indica igualmente os sistemas nacionais de certificação da cibersegurança que tenham sido substituídos por um sistema europeu de certificação da cibersegurança.  ENISA Estados-Membros Organismos de avaliação da conformidade A manutenção do sítio Web de informação incumbe a ENISA de recolher, tratar e manter bases de dados abrangentes de informações de certificação, exigindo atividades de gestão de dados contínuas. Serviço público digital Solução digital Tratamento dos dados Fluxo de dados   Artigo 81.º Elementos do sistema europeu de certificação da cibersegurança 5. A Comissão fica habilitada a adotar atos de execução que estabeleçam princípios comuns e disposições-tipo para os elementos previstos nos n.os 1, 2 e 3 em todos os sistemas europeus de certificação da cibersegurança. Se adequado e disponível, um sistema europeu de certificação da cibersegurança pode incluir referências a esses princípios e disposições-tipo. Os atos de execução referidos no n.º 5 são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2. Ao elaborar ou rever os princípios comuns e as disposições-tipo para os elementos dos sistemas europeus de certificação da cibersegurança, a Comissão consulta a ENISA e tem em conta, se for caso disso, os pontos de vista expressos pelo GECC, pelas partes interessadas e por outros organismos pertinentes. ENISA Público em geral Autoridades dos Estados-Membros  Consulta das partes interessadas, exigindo fluxos e tratamento de dados Fluxo de dados Tratamento dos dados Artigo 83.º Autoavaliação da conformidade 3. O fabricante, prestador ou fornecedor de produtos, serviços e processos de TIC, o prestador de serviços de segurança geridos ou a entidade cuja postura de cibersegurança é objeto de certificação disponibiliza à autoridade nacional de certificação da cibersegurança designada nos termos do artigo 89.º, pelo período fixado no sistema europeu de certificação da cibersegurança, a declaração UE de conformidade, a documentação técnica e todas as outras informações pertinentes relativas à conformidade dos produtos, serviços e processos de TIC, dos serviços de segurança geridos ou da postura de cibersegurança com esse sistema. É apresentada à autoridade nacional de certificação da cibersegurança e à ENISA uma cópia da declaração UE de conformidade, sem demora injustificada. ENISA Público em geral Autoridades dos Estados-Membros  Disponibilização de informações; partilha de dados  Os dados partilhados exigem tratamento por parte da ENISA e das autoridades dos Estados-Membros Fluxo de dados Tratamento dos dados Artigo 84.º Informações complementares sobre cibersegurança para os produtos, serviços e processos de TIC certificados 1. O fabricante, prestador ou fornecedor de produtos, serviços ou processos de TIC ao qual tenha sido emitida uma declaração UE de conformidade ou um certificado europeu de cibersegurança disponibiliza publicamente as seguintes informações complementares sobre cibersegurança. Fabricante, prestador ou fornecedor de produtos, serviços ou processos de TIC Público em geral Organismos de avaliação da conformidade Disponibilizar informações publicamente em formato eletrónico.   Fluxo de dados Artigo 85.º Emissão de certificados europeus de cibersegurança 2. Os organismos de avaliação da conformidade a que se refere o artigo 91.º emitem certificados europeus de cibersegurança com base nos critérios incluídos no sistema europeu de certificação da cibersegurança adotado nos termos do artigo 74.º. 6. As pessoas singulares ou coletivas que submetem produtos, serviços e processos de TIC ou serviços de segurança geridos à certificação, ou a entidade que requeira a certificação da sua postura de cibersegurança, disponibilizam todas as informações necessárias para efetuar a certificação à autoridade nacional de certificação da cibersegurança designada nos termos do artigo 89.º, quando essa autoridade for o organismo que emite o certificado europeu de cibersegurança, ou ao organismo de avaliação da conformidade a que se refere o artigo 91.º. 7. Os organismos de avaliação da conformidade e, se for caso disso, as autoridades nacionais de certificação da cibersegurança informam a ENISA, sem demora injustificada, das suas decisões que afetem o estatuto dos certificados europeus de cibersegurança e das declarações UE de conformidade nos termos do artigo 94.º. 8. O titular de um certificado europeu de cibersegurança informa o organismo de avaliação da conformidade e, se for caso disso, a autoridade nacional de certificação da cibersegurança a que se refere o n.º 7, de quaisquer vulnerabilidades ou não conformidades subsequentemente detetadas relativamente ao produto, serviço ou processo de TIC, ao serviço de segurança gerido ou à postura de cibersegurança da entidade certificados que sejam suscetíveis de afetar a sua conformidade com o certificado. Esse organismo transmite essas informações sem demora injustificada à autoridade nacional de certificação da cibersegurança em causa e avalia o impacto no certificado em consonância com as condições do sistema a que se refere o artigo 81.º, alínea f). ENISA Público em geral Autoridades dos Estados-Membros Organismos de avaliação da conformidade Partilha de informações pertinentes para os processos de certificação Fluxo de dados Tratamento dos dados Artigo 86.º Sistemas nacionais de certificação da cibersegurança 4. Os Estados-Membros informam a Comissão e o GECC antes de adotarem novos sistemas nacionais de certificação da cibersegurança de produtos, serviços e processos de TIC, de serviços de segurança geridos e da postura de cibersegurança das entidades. ENISA Estados-Membros Comissão Europeia Partilha de informações Fluxo de dados Artigo 88.º Autoridades nacionais de certificação da cibersegurança  2. Os Estados-Membros informam a Comissão da identidade das autoridades nacionais de certificação da cibersegurança designadas. Se designarem mais do que uma autoridade, os Estados-Membros informam igualmente a Comissão das atribuições conferidas a cada uma. 6. As autoridades nacionais de certificação da cibersegurança: c) Controlar, em cooperação com as autoridades de fiscalização do mercado competentes, o cumprimento das obrigações que incumbem, nos termos do presente regulamento, aos fabricantes, prestadores ou fornecedores de produtos, serviços e processos de TIC, aos prestadores de serviços de segurança geridos ou às entidades cuja postura de cibersegurança é objeto de certificação estabelecidos nos respetivos territórios e que efetuem a autoavaliação da conformidade no sistema europeu de certificação da cibersegurança correspondente, e fazer cumprir essas obrigações; d)    Sem prejuízo do disposto no artigo 91.º, n.º 3, prestar ativamente assistência e apoio aos organismos nacionais de acreditação ou outras autoridades competentes no controlo e na supervisão das atividades dos organismos de avaliação da conformidade para efeitos do presente regulamento; e)    Cooperar com a Comissão Europeia caso a competência de um organismo de avaliação da conformidade seja contestada nos termos do artigo 94.º;  f)    Controlar e supervisionar as atividades dos organismos públicos a que se refere o artigo 85.º, n.º 3; g)    Se for caso disso, autorizar os organismos de avaliação da conformidade ao abrigo do artigo 93.º, controlar o cumprimento e fazer cumprir as obrigações dos organismos de avaliação da conformidade com os requisitos específicos ou adicionais estabelecidos nos sistemas europeus de certificação da cibersegurança nos termos do artigo 81.º, n.º 3, alínea f), e restringir, suspender ou retirar a autorização existente se os organismos de avaliação da conformidade não cumprirem os requisitos do presente regulamento; h)    Tratar as reclamações apresentadas por pessoas singulares ou coletivas relativamente a certificados europeus de cibersegurança emitidos por autoridades nacionais de certificação da cibersegurança ou a certificados europeus de cibersegurança emitidos por organismos de avaliação da conformidade nos termos do [artigo 85.º, n.º 4], ou em relação a declarações UE de conformidade emitidas ao abrigo do artigo 83.º, investigar, na medida do necessário, o objeto das reclamações e informar os autores das reclamações do andamento e do resultado da investigação num prazo razoável; i)    Apresentar à Comissão, à ENISA e ao GECC, até 31 de março de [ano de entrada em vigor acrescido de 12 meses] de cada ano, um relatório anual sobre as suas principais atividades e disponibilizá-lo à equipa de análise pelos pares, caso a autoridade nacional de certificação da cibersegurança seja objeto de análise pelos pares em conformidade com o artigo 89.º; j)    Cooperar com outras autoridades nacionais de certificação da cibersegurança, autoridades de fiscalização do mercado ou outras autoridades públicas, inclusive através da partilha de informações sobre a eventual não conformidade de produtos, serviços e processos de TIC, de serviços de segurança geridos e da postura de cibersegurança das entidades com os requisitos do presente regulamento ou de sistemas europeus de certificação da cibersegurança específicos; k)    Acompanhar factos novos relevantes no domínio da certificação da cibersegurança.    8. As autoridades nacionais de certificação da cibersegurança cooperam entre si e com a Comissão e, em particular, partilham informações, experiências e boas práticas em matéria de certificação da cibersegurança e de questões técnicas relacionadas com a cibersegurança dos produtos, serviços e processos de TIC, dos serviços de segurança geridos e da postura de cibersegurança das entidades. 9.    Até [data de entrada em vigor acrescida de seis meses], a ENISA elabora um modelo para o relatório a que se refere o n.º 6, alínea i), do presente artigo, em cooperação com a Comissão e o GECC. ENISA Autoridades dos Estados-Membros Comissão Europeia Público em geral Organismos de avaliação da conformidade Os Estados-Membros informam a Comissão das ANCC designadas As autoridades dos Estados-Membros desempenham várias atribuições de acompanhamento, supervisão e cooperação que exigem fluxos de dados e o tratamento de dados Fluxo de dados Tratamento dos dados Artigo 89.º Análise pelos pares 5. A ENISA apoia a organização do mecanismo de análise pelos pares e das análises pelos pares, nomeadamente através da elaboração de documentos de orientação e modelos pertinentes, em cooperação com a Comissão e o GECC. 7. O relatório final, incluindo eventuais orientações ou recomendações, e o resumo da análise pelos pares são examinados pelo GECC, que aprova o resumo para publicação a que se refere o artigo 79.º, n.º 2. UE ENISA GECC Disponibilização de dados em linha Fluxo de dados Tratamento dos dados   Artigo 90.º Grupo Europeu para a Certificação da Cibersegurança (GECC) 3. O GECC tem as seguintes atribuições: [referência a outros artigos] h)    Analisar factos novos relevantes no domínio da certificação da cibersegurança, nomeadamente a nível nacional nos termos do artigo 86.º, e proceder ao intercâmbio de informações e de boas práticas em matéria de sistemas de certificação da cibersegurança; i)Facilitar a cooperação entre as autoridades nacionais de certificação da cibersegurança ao abrigo das regras estabelecidas no presente título através do reforço das capacidades e do intercâmbio de informações, em especial no que diz respeito a questões relacionadas com a certificação da cibersegurança; [referência a outros artigos] k)    Facilitar o alinhamento dos sistemas europeus de certificação da cibersegurança pelas normas reconhecidas a nível internacional, nomeadamente no âmbito da manutenção dos sistemas europeus de certificação da cibersegurança existentes e, se necessário, formular recomendações à atenção da ENISA para que colabore com os organismos europeus ou internacionais de normalização competentes, a fim de sanar insuficiências ou lacunas nas normas existentes reconhecidas a nível europeu ou internacional. Estados-Membros ENISA Comissão Europeia  Análise, partilha de informações e cooperação entre autoridades dos Estados-Membros e organizações internacionais em relação à certificação europeia da cibersegurança Tratamento dos dados Fluxo de dados Artigo 92.º Harmonização adicional da competência dos organismos de avaliação da conformidade 4. Caso uma autoridade nacional de certificação da cibersegurança receba um pedido nos termos do n.º 3, informa a autoridade nacional de certificação da cibersegurança do Estado-Membro em que se encontra estabelecido o organismo de avaliação da conformidade requerente. Nesse caso, a autoridade nacional de certificação da cibersegurança desse Estado-Membro pode participar na autorização na qualidade de observadora. Autoridades dos Estados-Membros Organismos de avaliação da conformidade Partilha e conservação de informações Fluxo de dados Tratamento dos dados Artigo 93.º Notificações dos organismos de avaliação da conformidade 1. Para cada sistema europeu de certificação da cibersegurança, as autoridades nacionais de certificação da cibersegurança de um Estado-Membro notificam a Comissão e os outros Estados-Membros dos organismos de avaliação da conformidade que foram acreditados e, se for caso disso, autorizados nos termos do artigo 92.º. 2. As autoridades nacionais de certificação da cibersegurança efetuam a notificação a que se refere o n.º 1 com recurso ao instrumento de notificação eletrónica desenvolvido e gerido pela Comissão. ENISA Estados-Membros Comissão Europeia Organismos de avaliação da conformidade Notificações dos organismos de avaliação da conformidade acreditados e autorizados Fluxos de dados Tratamento dos dados Artigo 94.º Contestação da competência dos organismos de avaliação da conformidade 1.1. A Comissão investiga qualquer caso em relação ao qual tenha dúvidas ou lhe sejam comunicadas dúvidas quanto à competência de um organismo de avaliação da conformidade para cumprir os requisitos exigidos e as responsabilidades que lhe estão cometidas, ou quanto ao cumprimento continuado desses requisitos e responsabilidades. 2. A autoridade nacional de certificação da cibersegurança fornece à Comissão, mediante pedido, todas as informações relacionadas com o fundamento da notificação ou com a manutenção da competência do organismo de avaliação da conformidade em causa. 3. Cabe à Comissão assegurar que todas as informações sensíveis obtidas durante as suas investigações são tratadas de forma confidencial.  4. Sempre que determine que um organismo de avaliação da conformidade não cumpre ou deixou de cumprir os requisitos que permitiram a sua notificação, a Comissão informa a autoridade nacional de certificação da cibersegurança desse facto e solicita-lhe que tome as medidas corretivas necessárias, incluindo a retirada da notificação, se necessário. Comissão Estados-Membros ENISA Contestação da competência dos organismos de avaliação da conformidade Fluxo de dados Tratamento dos dados Serviço público digital  Artigo 95.º Obrigação dos organismos de avaliação da conformidade em matéria de informação e de conservação 1. Os organismos de avaliação da conformidade informam a autoridade nacional de certificação da cibersegurança do seguinte: a)    Quaisquer situações de recusa, restrição, suspensão ou retirada de certificados; b)    Quaisquer circunstâncias que afetem o âmbito e as condições da notificação a que se refere o artigo 93.º, n.º 1;     c)    Quaisquer pedidos de informação sobre as atividades de avaliação da conformidade que tenham recebido das autoridades de fiscalização do mercado; d)    Mediante pedido, quaisquer atividades de avaliação da conformidade efetuadas no âmbito da respetiva notificação e quaisquer outras atividades efetuadas, nomeadamente atividades transfronteiriças e de subcontratação. 2. Os organismos de avaliação da conformidade facultam igualmente à ENISA as informações a que se refere o n.º 1, alínea a), a fim de facilitar o desempenho das suas atribuições nos termos do artigo 79.º. 3. Os organismos de avaliação da conformidade disponibilizam aos outros organismos de avaliação da conformidade ao abrigo do presente regulamento que efetuem atividades de avaliação da conformidade semelhantes, abrangendo os mesmos produtos, serviços e processos de TIC, serviços de segurança geridos ou entidades cuja postura de cibersegurança é objeto de certificação, sem demora injustificada, informações pertinentes sobre questões relacionadas com resultados negativos e, mediante pedido, resultados positivos da avaliação da conformidade. 4. Os organismos de avaliação da conformidade mantêm um sistema de registos que contenha todos os documentos e elementos de prova produzidos ou recebidos no âmbito de cada avaliação e certificação que efetuem. O registo é conservado de forma segura e acessível pelo período necessário para efeitos de certificação e durante, pelo menos, cinco anos após o certificado europeu de cibersegurança em causa caducar ou ser retirado. Autoridades dos Estados-Membros Organismos de avaliação da conformidade Intercâmbio de informações entre os organismos de avaliação da conformidade Fluxo de dados Tratamento dos dados Artigo 96.º Direito de apresentar uma reclamação e direito a um recurso judicial efetivo  2. A autoridade ou o organismo ao qual tiver sido apresentada a reclamação informa o seu autor do andamento e do resultado da mesma, bem como do direito a um recurso judicial efetivo nos termos nos n.os 3 e 4. 4. Os recursos ao abrigo do presente artigo são interpostos perante os tribunais do Estado-Membro onde está situada a autoridade ou o organismo contra o qual são interpostos. Autoridades dos Estados-Membros Comissão Europeia Público em geral Titulares de certificados Fluxo de informação entre as autoridades e o público em geral sobre reclamações  Processos nos tribunais do Estado-Membro Fluxo de dados Artigo 97.º Sanções  Os Estados-Membros notificam, sem demora, a Comissão dessas regras e medidas, e notificam-na de qualquer alteração subsequente das mesmas. Autoridades dos Estados-Membros Comissão Europeia Fluxo de informações relacionadas com a notificação dos Estados-Membros à Comissão em matéria de sanções. Fluxo de dados Artigo 99.º Avaliações dos riscos de segurança A Comissão ou, pelo menos, três Estados-Membros podem solicitar ao grupo de coordenação SRI que realize avaliações coordenadas dos riscos no prazo de seis meses. A Comissão pode solicitar prazos mais curtos. As avaliações de riscos devem desenvolver cenários de risco e presumir a análise de dados. Elaboração das avaliações coordenadas dos riscos de segurança Nos casos que justifiquem uma intervenção imediata, a Comissão consulta sem demora os Estados-Membros e realiza uma avaliação dos riscos. Decisões de realização de avaliações de riscos (tratamento/análise de dados). Comissão Europeia Estados-Membros da UE Grupo de Cooperação SRI ENISA Solicitação e receção de informações; análise de dados para efeitos de avaliações coordenadas dos riscos Consulta dos Estados-Membros e realização de uma avaliação dos riscos Tratamento dos dados Fluxo de dados Artigo 100.º, n.os 1 e 2 — Designação de países terceiros que suscitam preocupações em matéria de cibersegurança 1. Se, em resultado da avaliação dos riscos de segurança a que se refere o artigo 99.º, ou com base noutras fontes, como uma declaração pública em nome da União ou de um Estado-Membro, se afigurar que um país terceiro apresenta riscos não técnicos graves e estruturais para as cadeias de abastecimento de TIC, a Comissão verifica a ameaça que esse país representa, tendo em conta uma série de elementos, conduzindo ao tratamento/análise de dados. 2. Se, na sequência da verificação a que se refere o n.º 1, a Comissão concluir que um país terceiro apresenta riscos não técnicos graves e estruturais para as cadeias de abastecimento de TIC, pode decidir, por meio de um ato de execução, designar esse país terceiro como país que suscita preocupações em matéria de cibersegurança para as cadeias de abastecimento de TIC, conduzindo ao tratamento de dados, à análise e aos fluxos de dados. Estados-Membros da UE Comissão Europeia Receção de informações, análise de informações, intercâmbio de informações. Fluxos de dados Tratamento dos dados Artigo 101.º Mecanismo geral da cadeia de abastecimento de TIC Artigo 102.º Identificação dos principais ativos de TIC e Artigo 103.º Medidas de atenuação nas cadeias de abastecimento de TIC 1. Se o Grupo de Cooperação SRI tiver realizado uma avaliação dos riscos de segurança coordenada a nível da União nos termos do artigo 99.º, n.os 1 e 2, do presente regulamento, ou após a conclusão do procedimento em caso de ciberameaça significativa nos termos do artigo 99.º, n.º 3, a Comissão pode tomar as medidas previstas nos artigos 102.º e 103.º. A Comissão fica habilitada a adotar atos de execução, que definirão os principais ativos de TIC e as medidas de atenuação, incluindo as restrições e proibições das cadeias de abastecimento de TIC (descritas em pormenor na secção 4.5 infra). Na preparação para este processo, a Comissão tem em conta e toma em consideração vários aspetos que evocam o tratamento/análise de dados e, em alguns casos, o fluxo de dados: Artigo 102.º, alíneas a) a f) Artigo 103.º, n.º 4, alíneas a) a d) Artigo 103.º, n.º 6 Comissão Europeia Grupo de Cooperação SRI Partes interessadas Análise de dados/tratamento de dados; consulta das partes interessadas Tratamento dos dados Fluxo de dados Artigo 104.º Identificação dos fornecedores de alto risco A Comissão estabelece, por meio de atos de execução, listas de fornecedores de alto risco pertinentes para as proibições estabelecidas nos atos de execução adotados nos termos do artigo 103.º, n.º 1, ou para a proibição a que se refere o artigo 111.º, n.º 1. A Comissão faz um levantamento dos fornecedores de componentes de TIC e componentes que incluem componentes de TIC, e efetua uma avaliação inicial dos fornecedores potencialmente estabelecidos ou controlados a partir de países terceiros designados em conformidade com o artigo 100.º. A Comissão avalia o local de estabelecimento, assim como a estrutura de propriedade e de controlo. A Comissão está habilitada a solicitar as informações necessárias aos fornecedores e partilha as conclusões preliminares relativas à avaliação do estabelecimento, propriedade e controlo com o fornecedor em causa, concedendo-lhe a oportunidade de ser ouvido. A Comissão pode solicitar a uma autoridade competente que efetue a avaliação inicial do estabelecimento, da propriedade e do controlo de um fornecedor, sempre que tal se justifique tendo em conta as características das operações desse fornecedor. Uma autoridade competente pode propor-se a realizar essa avaliação inicial. A Comissão verifica estas conclusões iniciais com vista a decidir se o fornecedor deve ser incluído na lista de fornecedores de alto risco. A Comissão atualiza regularmente as listas de fornecedores de alto risco, a fim de retirar ou aditar fornecedores de alto risco. Os fornecedores de alto risco incluídos na lista podem solicitar à Comissão que reavalie o seu estabelecimento, bem como a sua estrutura de controlo e de propriedade, mediante a apresentação de elementos de prova de que ocorreram alterações pertinentes. Comissão Europeia Autoridades competentes Fornecedores Análise de dados/tratamento de dados; consulta das autoridades competentes e dos fornecedores Tratamento dos dados Fluxo de dados Artigo 105.º Isenção para entidades estabelecidas ou controladas por entidades de um país terceiro que suscite preocupações em matéria de cibersegurança Artigo 108.º Confidencialidade 1. Uma entidade estabelecida ou controlada a partir de um país terceiro designado que suscite preocupações em matéria de cibersegurança pode apresentar um pedido fundamentado à Comissão. 3. A Comissão avalia e adota uma decisão tendo em conta vários aspetos conducentes à análise de dados. (Artigo 105.º, n.os 3 e 4) As informações recebidas pela Comissão são utilizadas exclusivamente para o fim para o qual foram obtidas. Comissão Europeia Entidades estabelecidas ou controladas por entidades de um país terceiro designado que suscite preocupações em matéria de cibersegurança Receção do pedido pela Comissão; análise dos dados. Fluxo de dados Tratamento dos dados Artigo 107.º Registo A Comissão mantém um registo publicamente acessível das suas decisões a que se refere o artigo 105.º. O registo indica os nomes das entidades que foram objeto das decisões. Comissão Europeia Entidades estabelecidas ou controladas a partir de um país terceiro designado que suscite preocupações em matéria de cibersegurança A Comissão mantém um registo acessível ao público. Solução digital Artigo 111.º Proibições relativas às redes de comunicações eletrónicas móveis, fixas e por satélite A autoridade competente designada nos termos do presente regulamento informa sem demora a autoridade competente nos termos do Regulamento (UE) XX/XXXX [proposta de ato legislativo relativo às redes digitais] sobre as medidas impostas aos fornecedores de redes de comunicações eletrónicas móveis, fixas e por satélite. Autoridade competente na aceção dos artigos 9.º ou 20.º do Regulamento (UE) XX/XXXX [proposta de ato legislativo relativo às redes digitais] Fornecedores de redes de comunicações eletrónicas móveis, fixas e por satélite Fluxo de informações da autoridade competente para as entidades em relação às autorizações. Fluxo de dados Artigo 112.º, n.os 1 e 4 Autoridades competentes 1. Cada Estado-Membro designa uma ou mais autoridades competentes responsáveis pelas atribuições de supervisão e execução a que se refere o artigo 114.º. 4. Cada Estado-Membro notifica a Comissão, sem demora injustificada, dos nomes das autoridades competentes designadas nos termos do n.º 1, das funções respetivas dessas autoridades e de quaisquer alterações subsequentes das mesmas. Cada Estado-Membro torna igualmente públicos os nomes das autoridades competentes designadas nos termos do n.º 1.   Estados-Membros da UE Comissão Europeia Público em geral Os Estados-Membros designam as autoridades competentes e notificam a Comissão. Fluxo de dados Artigo 113.º Rede de cooperação e serviços de apoio da Comissão 1. A Comissão cria uma rede de cooperação entre as autoridades competentes dos Estados-Membros e a Comissão, que funciona como plataforma de cooperação e intercâmbio de informações. A Comissão presta apoio administrativo à rede. 2. A fim de apoiar os Estados-Membros nas suas atribuições de supervisão, a Comissão avalia se os fornecedores suscetíveis de serem afetados por proibições específicas estão estabelecidos ou são controlados a partir de países terceiros que suscitam preocupações em matéria de cibersegurança, designados nos termos do artigo 100.º. Para o efeito, a autoridade competente partilha informações pertinentes com a Comissão. 3. Para efeitos da avaliação, a Comissão está habilitada a solicitar as informações necessárias aos fornecedores que possam ser afetados por proibições específicas, que estejam estabelecidos ou sejam controlados a partir de países terceiros designados nos termos do artigo 100.º. 4. Após a conclusão da avaliação, a Comissão partilha as conclusões com as autoridades competentes no âmbito da rede criada nos termos do n.º 1. As autoridades competentes informam atempadamente das conclusões as entidades em causa do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555. 5. Caso uma autoridade competente tome conhecimento de que um fornecedor que possa ser afetado por proibições específicas está estabelecido ou é controlado a partir de países terceiros que suscitam preocupações em matéria de cibersegurança e não foi objeto de uma avaliação, informa a Comissão sem demora injustificada. Comissão Autoridades competentes Entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555 A Comissão avalia os fornecedores e partilha com as autoridades competentes, as quais procedem à partilha com as entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555 A Comissão solicita informações aos fornecedores As autoridades competentes informam a Comissão Tratamento dos dados Fluxos de dados Artigo 114.º Medidas de supervisão e de execução Requisitos para os Estados-Membros assegurarem o fluxo de informações com as entidades referidas nos anexos I e II da Diretiva (UE) 2022/2555. As autoridades competentes notificam as entidades em causa das suas conclusões preliminares antes de tomarem medidas. As autoridades competentes cooperam entre si e com a Comissão. Estados-Membros da UE Comissão Europeia Entidades no contexto dos anexos I e II da Diretiva (UE) 2022/2555 Requisitos que assegurem o fluxo de informações, Fluxo de dados Tratamento dos dados Artigo 115.º Sanções Os Estados-Membros notificam a Comissão dessas regras e dessas medidas e também, sem demora, de qualquer alteração ulterior. Comissão Europeia Estados-Membros da UE Os Estados-Membros notificam a Comissão Fluxo de dados Artigo 116.º Assistência mútua Caso uma entidade referida nos anexos I ou II da Diretiva (UE) 2022/2555 preste serviços em mais do que um Estado-Membro, ou preste serviços num ou em vários Estados-Membros e os seus principais ativos estiverem situados noutro ou noutros Estados-Membros, as autoridades competentes dos Estados-Membros em causa cooperam entre si e prestam assistência mútua, na medida do necessário. A assistência mútua referida no primeiro parágrafo, alínea c), pode abranger pedidos de informações e medidas de supervisão, incluindo pedidos para realizar inspeções no local, supervisão remota ou auditorias de segurança específicas. Uma autoridade competente a quem seja dirigido um pedido de assistência não pode recusar esse pedido, a menos que se determine que não tem competência para prestar a assistência solicitada, que a assistência solicitada não é proporcionada às atribuições de supervisão da autoridade competente, ou que o pedido diz respeito a informações ou comporta atividades que, se fossem divulgadas ou realizadas, seriam contrárias aos interesses essenciais do Estado-Membro em matéria de segurança nacional, segurança pública ou defesa. Antes de recusar esse pedido, a autoridade competente consulta as outras autoridades competentes em causa, bem como, mediante pedido de um dos Estados-Membros interessados, a Comissão. Se for caso disso e de comum acordo, as autoridades competentes de diferentes Estados-Membros podem realizar ações de supervisão conjuntas. Estados-Membros da UE Assistência mútua em ações de supervisão. Fluxo de dados Tratamento dos dados Artigo 1.º, ponto 8), da diretiva Comunicação de ataques de software de sequestro (Artigo 27.º, n.º 13, da Diretiva SRI 2)   Ao artigo 23.º, são aditados os seguintes n.os 12 e 13:  «13. Os Estados-Membros asseguram que, em caso de incidente significativo causado por um ataque de software de sequestro, as entidades em causa informam, a pedido da CSIRT ou, se for caso disso, da autoridade competente, através de um canal de comunicação disponibilizado pela CSIRT ou, se for caso disso, pela autoridade competente: se a entidade recebeu um pedido de resgate e, se for caso disso, de quem; se tiver sido pago um resgate, qual o montante, por que meios de pagamento e a que destinatário, incluindo o criptoativo e o prestador de serviços de criptoativos, se for caso disso.» Estados-Membros da UE Entidades essenciais e importantes Apresentação de relatórios Fluxo de dados Artigo 1.º, ponto 10), da diretiva  Lista de entidades e registo (Artigo 27.º, n.º 1, da Diretiva SRI 2)   A ENISA cria e mantém um registo das entidades essenciais e importantes, bem como das entidades que prestam serviços de registo de nomes de domínio, com base nas informações recebidas dos pontos de contacto únicos em conformidade com o n.º 2.   ENISA Estados-Membros da UE (entidades essenciais e importantes no âmbito da SRI 2, entidades que prestam serviços de registo de nomes de domínio) A ENISA cria e mantém um registo. Solução digital Serviço público digital   Artigo 1.º, ponto 11), da diretiva  Lista de entidades e registo (Artigo 27.º, n.º 4, da Diretiva SRI 2) «4. Após a receção das informações a que se refere o artigo 3.º, n.º 4, o ponto de contacto único do Estado-Membro em causa deve transmitir essas informações à ENISA sem demora injustificada.»  ENISA Estados-Membros da UE Partilha de informações entre os Estados-Membros e a ENISA Fluxo de dados Artigo 1.º, ponto 12), da diretiva Assistência mútua  (Artigo 37.º-A, n.os 1, 2 e 3, da Diretiva SRI 2)  1. A ENISA presta assistência aos Estados-Membros na realização de assistência mútua na aceção do artigo 37.º e ajuda a facilitar esses processos de cooperação às entidades essenciais e importantes [...]. 2. A ENISA realiza uma análise exaustiva [...] e, em cooperação com a Comissão e o grupo de cooperação, desenvolve uma metodologia. O relatório é atualizado anualmente. 3. A ENISA recomenda, se for caso disso: elaborar orientações; prestar assistência [...]   ENISA Estados-Membros da UE Entidades importantes e essenciais na aceção da Diretiva SRI 2 Comissão Europeia A ENISA presta assistência aos Estados-Membros e ajuda a facilitar o processo de cooperação. Realização de análises, orientações, metodologias e relatórios. Tratamento dos dados Fluxo de dados Artigo 1.º, ponto 12), da diretiva Assistência mútua  (Artigo 37.º-A, n.º 4, da Diretiva SRI 2)  4. Para efeitos do n.º 4, alínea e), do presente artigo, as autoridades competentes dos Estados-Membros em causa fornecem à ENISA, quando disponíveis, os seguintes elementos [...]. 5. Caso um Estado-Membro receba assistência mútua a que se refere o artigo 37.º, n.º 1, primeiro parágrafo, alínea c), o ponto de contacto único informa a ENISA de que foi prestada assistência mútua.  ENISA Estados-Membros da UE   Intercâmbio de informações Fluxo de dados Artigo 119.º Exercício da delegação 3.    Assim que adotar um ato delegado, a Comissão notifica-o simultaneamente ao Parlamento Europeu e ao Conselho. Comissão Europeia Parlamento Europeu  Conselho  Envio de informações ao Parlamento Europeu e ao Conselho  Fluxo de dados Artigo 120.º Avaliação e revisão  1.    Até [DD.MM.AAAA] e, posteriormente, de cinco em cinco anos, a Comissão encomenda uma avaliação do desempenho da ENISA em relação aos seus objetivos, mandato, missão, atribuições, governação e localização, em conformidade com as orientações da Comissão. 5.    A Comissão dá conta dos resultados da avaliação ao Parlamento Europeu, ao Conselho e ao Conselho de Administração. Os resultados da avaliação são tornados públicos. ENISA Comissão Público em geral Recolha e análise de dados; disponibilização de informações ao público Tratamento dos dados Fluxo de dados

4.2.Dados

Descrição de âmbito geral dos dados abrangidos e de quaisquer normas / especificações conexas 

Tipo de dados	Referências ao requisito	Norma e/ou especificação                    (se aplicável)
Dados relacionados com análises/relatórios pertinentes para a resiliência e a sociedade em matéria de cibersegurança	Artigo 5, n.º 1, alíneas a), b), c), e), f) e h)  Artigo 5.º, n.os 2, 3 e 4  Artigo 6.º  Artigo 7.º  Artigo 8.º  Artigo 9.º  Artigo 10.º  Artigo 11.º, n.º 2, alíneas b) e c)  Artigo 12.º, n.º 4  Artigo 15.º  Artigo 1.º, ponto 7), da diretiva	No exercício das atividades enumeradas no artigo 11.º, n.º 1, alíneas a) a e), e no artigo 11.º, n.º 2, a ENISA utiliza as suas próprias análises e, se for caso disso, as informações recebidas no desempenho das suas atribuições, nomeadamente:  a) Informações fornecidas em fontes disponíveis ao público, incluindo vulnerabilidades publicamente conhecidas em produtos ou serviços de TIC disponíveis na base de dados europeia de vulnerabilidades criada nos termos do artigo 12.º, n.º 2, da Diretiva (UE) 2022/2555; b) Informações partilhadas pelos Estados-Membros, entidades da União, o CERT-UE, parceiros do setor privado ou não governamentais e organizações de países terceiros e internacionais, sob reserva de quaisquer limitações indicadas através de uma marcação visível sobre a sua divulgação subsequente. A ENISA emite orientações sobre a interoperabilidade dos sistemas de rede e informação utilizados para a partilha de informações, nomeadamente no que diz respeito às plataformas de cibersegurança transfronteiriças a que se refere o artigo 6.º, n.º 3, do Regulamento (UE) 2025/38.
Dados pertinentes para a cooperação operacional e o conhecimento situacional	Artigo 10.º, n.º 4, alíneas a) a g)  Artigo 10.º, n.º 6  Artigo 11.º, n.º 1, alíneas a) a g)  Artigo 11, n.º 2, alíneas a), b) e c)  Artigo 11.º, n.º 3  Artigo 11.º, n.º 4  Artigo 13.º, n.º 2  Artigo 15.º  Artigo 16.º, n.º 2, alínea e)	Normas de confidencialidade e tratamento de informações sensíveis  No exercício das atividades enumeradas no artigo 11.º, n.º 1, alíneas a) a e), e no artigo 11.º, n.º 2, a ENISA utiliza as suas próprias análises e, se for caso disso, as informações recebidas no desempenho das suas atribuições, nomeadamente:  a) Informações fornecidas em fontes disponíveis ao público, incluindo vulnerabilidades publicamente conhecidas em produtos ou serviços de TIC disponíveis na base de dados europeia de vulnerabilidades criada nos termos do artigo 12.º, n.º 2, da Diretiva (UE) 2022/2555; b) Informações partilhadas pelos Estados-Membros, entidades da União, o CERT-UE, parceiros do setor privado ou não governamentais e organizações de países terceiros e internacionais, sob reserva de quaisquer limitações indicadas através de uma marcação visível sobre a sua divulgação subsequente.
Dados pertinentes para os sistemas de atestados individuais europeus de competências de cibersegurança e para a autorização dos fornecedores  Dados pertinentes para os objetivos, a finalidade e o conteúdo dos sistemas europeus de certificação da cibersegurança	Artigo 17.º  Artigo 18.º  Artigos 19.º a 23.º  Artigos 72.º, 73.º, 74.º, 75.º, 76.º, 77.º, 79.º, 81.º, 83.º e 84.º	Um sistema de atestados individuais europeus de competências de cibersegurança inclui [...]: regras relativas à conservação de registos pelos prestadores de atestados autorizados Os prestadores autorizados asseguram que, a pedido da pessoa em causa, os atestados eletrónicos dos atestados individuais europeus de competências de cibersegurança sejam emitidos como certificados eletrónicos de atributos num formato que possa ser armazenado nas carteiras europeias de identidade digital previstas no Regulamento (UE) n.º 910/2014. .  A Comissão e a ENISA devem seguir as disposições pertinentes da legislação da União ao criarem um sistema europeu de certificação da cibersegurança no que diz respeito aos dados.
Dados relacionados com a governação do enquadramento europeu para a certificação da cibersegurança	Artigos 85.º, 86.º, 88.º, 89.º, 90.º, 92.º, 93.º, 94.º, 95.º, 96.º e 97.º	A ENISA, os organismos de avaliação da conformidade e as autoridades nacionais de certificação da cibersegurança devem assegurar a confidencialidade dos dados e seguir as disposições de um sistema pertinente que remeta para normas internacionais que especifiquem os requisitos.
Dados pertinentes para as funções internas da ENISA (orçamento, DOCUP, estratégias internas)	Artigo 25.º  Artigo 28.º, n.º 1  Artigo 30.º  Artigo 31.º, n.º 8  Artigo 32.º, n.os 3 e 5  Artigo 35.º, n.os 5 e 6  Artigos 36.º a 43.º  Artigo 44.º  Artigo 45.º  Artigo 47.º, n.º 10  Artigos 48.º a 49.º  Artigo 52.º, Artigo 58.º	Modelos e orientações em matéria de regulamentação financeira; orientações internas
Dados pessoais	Artigo 22.º  Título II, capítulo III, secção 6 — Câmara de Recurso  Artigo 66.º  Artigo 80.º, n.º 1, alíneas c) e x)  Artigo 81.º, n.º 2 Artigo 88.º, n.º 6, alínea h)  Artigo 95.º  Artigo 96.º	Regulamento (UE) 2018/1725  Regulamento (UE) 2016/679
Dados, recolhidos e analisados no contexto da realização de avaliações coordenadas dos riscos, do desenvolvimento de cenários de risco e da identificação dos principais ativos de TIC	Artigo 98.º Artigo 99.º Artigo 102.º Artigo 103.º Artigo 105.º	Sem prejuízo do artigo 13.º do Regulamento (UE) 2024/2847 e do artigo 21.º da Diretiva (UE) 2022/2555
Dados relativos a países terceiros/entidades de países terceiros	Artigo 100.º, n.os 1, 3 e 4 Artigo 104.º Artigo 105.º Artigo 107.º Artigo 113.º	n.a.
Dados relativos às autoridades nacionais	Artigo 112.º Artigo 114.º Artigo 116.º	n.a.
Dados pertinentes para as avaliações dos riscos	Artigo 5.º, n.º 2	Normas de confidencialidade e tratamento de informações sensíveis
Assistência mútua entre os Estados-Membros	Artigo 5.º, n.º 1, alínea g), do regulamento e artigo 1.º, ponto 12), da diretiva	/

Alinhamento com a Estratégia Europeia para os Dados

Explicar de que forma os requisitos estão alinhados com a Estratégia Europeia para os Dados

Os requisitos constantes da proposta de Regulamento Cibersegurança 2 estão alinhados e não têm qualquer impacto específico na Estratégia Europeia para os Dados.

Alinhamento com o princípio da declaração única     

Explicar de que forma foi tido em conta o princípio da declaração única e como foi explorada a possibilidade de reutilização dos dados existentes 

Um dos objetivos da proposta consiste em maximizar os esforços de simplificação da Comissão e reduzir os encargos administrativos para os Estados-Membros e as partes interessadas. Nos últimos anos, a ENISA tornou-se uma plataforma de informação, que detém informações provenientes de diferentes fontes. Neste sentido, muitas das atribuições da ENISA estão associadas à reutilização e reciclagem de informações para efeitos de várias análises. Por exemplo: reutilizar, para alguns fins, as informações notificadas nos termos dos artigos 23.º e 30.º da Diretiva (UE) 2022/2555; notificadas, partilhadas ou analisadas nos termos do artigo 14.º, n.os 1 a 3, do artigo 15.º e do artigo 17.º, n.os 1 e 3, do Regulamento (UE) 2024/2847. As disposições do enquadramento da cadeia de abastecimento partem do princípio de que a sua execução é apoiada pelos dados recebidos ao abrigo do artigo 22.º da Diretiva (UE) 2022/2555, que mostra a reutilização de informações e a coordenação.

Explicar de que forma os dados recentemente criados são localizáveis, acessíveis, interoperáveis e reutilizáveis e cumprem normas de elevada qualidade  

A proposta legislativa indica explicitamente quando os dados devem ser disponibilizados ao público. A proposta tem em conta a natureza das disposições com aspetos estritos em matéria de segurança e confidencialidade e, por conseguinte, nem todos os dados criados no âmbito da revisão do Regulamento Cibersegurança se destinarão a divulgação ao público. No que diz respeito às disposições necessárias, foi assegurado o alinhamento com a carteira europeia de identidade digital. A ENISA está incumbida de prestar um serviço de alerta precoce num formato legível por máquina.

Fluxos de dados

Descrição de âmbito geral dos dados abrangidos e de quaisquer normas / especificações conexas

Tipo de dados	Explicação do fluxo de dados		Referências
A ENISA faculta relatórios e análises, orientações técnicas e boas práticas.	Trata-se de um fluxo de dados dirigido às partes interessadas da ENISA, que apoia a execução da política e da legislação da UE. Nestes fluxos de dados, a ENISA recolher informações, na maioria das vezes através de fontes públicas, realiza análises e partilha os resultados com as suas partes interessadas.  A ENISA exerce determinadas atribuições também a pedido da Comissão.		Artigo 5, n.º 1, alíneas a), b), c), e), f) e h)   Artigo 5, n.º 2; Artigo 5.º, n.º 3; Artigo 5.º, n.º 5 Artigo 6.º  Artigo 7.º Artigo 8.º  Artigo 9.º Artigo 10.º Artigo 11.º, n.º 2  Artigo 11.º, n.º 4  Artigo 14.º
Fluxos de dados entre a Comissão, a ENISA, os Estados-Membros e outros intervenientes pertinentes no ecossistema de cibersegurança da UE, no sentido da cooperação operacional.	Este tipo de fluxos de dados é criado para efeitos de cooperação operacional e de conhecimento situacional. O intercâmbio de informações realiza-se em ambos os sentidos, para dentro e para fora. O intercâmbio destina-se a dados operacionais.		Artigo 10.º, n.º 4, alíneas a) a g)  Artigo 11.º, n.º 1, alíneas b) a g)  Artigo 11.º, n.º 2, alíneas a) e b) Artigo 11.º, n.º 3  Artigo 15.º Artigo 16.º, n.º 2, alínea e)
Fluxos de dados estabelecidos para apoiar o QECC e os sistemas de atestados individuais europeus de competências de cibersegurança, bem como a respetiva aplicação	Estes fluxos de dados apoiam os intercâmbios para dentro e para fora, em relação a: — manutenção e adoção do QECC, com fluxos entre a ENISA e os membros do seu grupo de trabalho ad hoc, bem como entre a ENISA e a Comissão, — desenvolvimento e manutenção de sistemas de atestados individuais europeus de competências de cibersegurança com fluxos entre a ENISA e os membros do seu grupo de trabalho ad hoc, bem como entre a ENISA, a Comissão e os Estados-Membros, — execução de sistemas de atestados individuais europeus de competências de cibersegurança com fluxos de dados entre os requerentes e a ENISA, — fluxos de dados entre a Câmara de Recurso, a ENISA, a Comissão e os requerentes.		Artigos 19.º a 23.º  Artigos 36.º a 43.º
Dados pertinentes para os objetivos, a finalidade e o conteúdo dos sistemas europeus de certificação da cibersegurança	Este tipo de fluxos de dados é pertinente para o planeamento, os pedidos, o desenvolvimento, a adoção e a manutenção (incluindo uma eventual revisão) dos sistemas europeus de certificação da cibersegurança. Está relacionado, em especial, com a participação e o aconselhamento especializado das partes interessadas, da ENISA e das autoridades dos Estados-Membros através do GECC em várias fases do procedimento. Além disso, os fluxos de dados adicionais estão relacionados com a prestação de informações pertinentes ao público em geral através de sítios Web específicos da Comissão e da ENISA. Por último, o enquadramento prevê a disponibilização ao público de informações complementares sobre cibersegurança pelos fabricantes de produtos de TIC, prestadores de serviços de TIC ou fornecedores de processos de TIC para os quais tenha sido emitida, pelos seus próprios meios, uma declaração UE de conformidade ou um certificado europeu de cibersegurança.	Artigo 18.º Artigo 19.º Artigos 72.º, 73.º, 74.º, 75.º, 76.º, 77.º, 79.º, 81.º, 83.º e 84.º
Dados relacionados com a governação do enquadramento europeu para a certificação da cibersegurança	Estes fluxos de dados apoiam os intercâmbios para dentro e para fora, em relação a: — coordenação e gestão dos sistemas europeus de certificação da cibersegurança, — acreditação e autorização dos organismos de avaliação da conformidade, bem como a sua subsequente notificação através da plataforma pertinente e dos procedimentos conexos, — procedimentos de recurso, como o direito de apresentar uma reclamação, de recurso judicial ou de recurso, e procedimentos de alteração.	Artigos 85.º, 86.º, 88.º, 89.º, 90.º, 92.º, 93.º, 94.º, 95.º e 96.º
Fluxos de dados relacionados com as atividades administrativas da Agência	Fluxos entre a ENISA, o Conselho de Administração, os Estados-Membros e a Comissão. As informações dizem respeito às atividades administrativas da Agência, em ambos os sentidos. Em alguns casos, também são enviadas informações ao Parlamento Europeu (o fluxo de dados a este respeito é apresentado infra).		Artigo 25.º  Artigo 28.º, n.º 1  Artigo 30.º  Artigo 31.º, n.º 8  Artigo 32.º, n.os 3 e 5  Artigo 35.º, n.os 5 e 6  Artigos 36.º a 43.º  Artigo 44.º Artigo 45.º
Dados enviados ao Parlamento Europeu	Fluxos para o Parlamento Europeu relativos às atividades da ENISA e ao exercício de atribuições; gestão orçamental e financeira, cooperação com países terceiros e organizações internacionais, audição do candidato a diretor executivo; questões relacionadas com a certificação europeia da cibersegurança		Artigo 28.º, n.º 1, alínea f), artigo 31.º, n.º 8, artigo 32.º, n.º 3, artigo 44.º, n.º 3, artigo 49.º, n.º 6, artigo 49.º, n.º 9, artigo 70.º, n.º 5, artigo 72.º, n.os 4 e 5, artigo 119.º, n.º 3 — Exercício da delegação, artigo 120.º — Avaliação e revisão
Dados enviados ao Conselho da UE	Fluxos para o Parlamento Europeu relativos às atividades da ENISA e ao exercício de atribuições; gestão orçamental e financeira, cooperação com países terceiros e organizações internacionais, audição do candidato a diretor executivo; projetos de sistemas em desenvolvimento nos termos do enquadramento europeu para a certificação da cibersegurança.		Artigo 28.º, n.º 1, alínea f), artigo 31.º, n.º 8, artigo 32.º, n.º 3, artigo 32.º, n.º 7, Artigo 49.º, n.º 6, artigo 49.º, n.º 9, artigo 70.º, n.º 5, artigo 72.º, n.os 4 e 5, artigo 119.º, n.º 3 — Exercício da delegação, artigo 120.º — Avaliação e revisão
Fluxos de dados relativos à apresentação de uma reclamação	Tratar reclamações apresentadas por pessoas singulares ou coletivas relativamente a certificados europeus de cibersegurança emitidos por autoridades nacionais de certificação da cibersegurança ou a certificados europeus de cibersegurança emitidos por organismos de avaliação da conformidade nos termos do artigo 84.º, n.º 4, ou a declarações UE de conformidade As pessoas singulares ou coletivas têm o direito de apresentar uma reclamação junto da entidade emissora dos certificados europeus de cibersegurança ou, no caso de a reclamação se referir a um certificado europeu de cibersegurança emitido por um organismo de avaliação da conformidade.		Artigo 55, n.º 3; Artigo 88.º, n.º 7, alínea f); Artigo 96.º
Fluxos de dados relativos a ataques de software de sequestro	Comunicação de determinadas informações em caso de ataques de software de sequestro		Artigo 1.º, ponto 8), da diretiva

   

Tipo de dados	Referências aos requisitos	Intervenientes que fornecem os dados	Intervenientes que recebem os dados	Fator que desencadeia o intercâmbio de dados	Frequência (se aplicável)
Fluxos de dados entre a Comissão e os Estados-Membros no contexto da realização de avaliações dos riscos de segurança coordenadas a nível da União.	Artigo 99.º Avaliações dos riscos de segurança	Comissão e Estados-Membros	Estados-Membros (Grupo de Cooperação SRI)	Artigo 99.º Avaliações dos riscos de segurança	n.a.
Fluxos de dados entre a Comissão e o Conselho relativos à designação de países terceiros que suscitam preocupações em matéria de cibersegurança	Artigo 100.º Designação de países terceiros que suscitam preocupações em matéria de cibersegurança	Comissão	Conselho	Artigo 100.º Verificação pela Comissão da ameaça representada por um país terceiro
Fluxos de dados entre a Comissão e os Estados-Membros em relação às medidas de atenuação em circunstâncias excecionais	Artigo 103.º, n.º 6 Medidas de atenuação nas cadeias de abastecimento de TIC	Comissão	Estados-Membros	Circunstâncias excecionais	n.a.
Fluxos de dados entre a Comissão e os fornecedores, bem como a Comissão e as autoridades competentes, no que diz respeito à avaliação do estabelecimento, da propriedade e do controlo dos fornecedores	Artigo 104.º, n.os 4, 5 e 6 Identificação dos fornecedores de alto risco	Fornecedores Comissão Autoridades competentes	Autoridades competentes Fornecedores Comissão	Atos de execução adotados em conformidade com o artigo 103.º, n.º 1, e em relação à proibição prevista no artigo 111.º, n.º 1	n.a.
Fluxo de dados entre a Comissão e os Estados-Membros em relação aos poderes de supervisão a respeito da execução do enquadramento de segurança da cadeia de abastecimento de TIC fiável	Artigo 112.º, n.os 1 e 4 Autoridades competentes Artigo 114.º Medidas de supervisão e de execução	Estados-Membros	Comissão	Artigo 112.º, n.os 1 e 4 Autoridades competentes Artigo 114.º Medidas de supervisão e execução (a Comissão, em cooperação com os Estados-Membros, publica uma lista de entidades afiliadas a fornecedores de alto risco).	n.a.
Fluxo de dados entre a Comissão e terceiros para efeitos de isenções	Artigo 105.º Isenção para entidades estabelecidas ou controladas por um país terceiro que suscite preocupações em matéria de cibersegurança	Terceiros [entidades estabelecidas ou controladas por entidades de um país terceiro que suscite preocupações em matéria de cibersegurança (na aceção do artigo 100.º) (aquando da apresentação de um pedido de isenção)] Comissão Europeia (aquando da emissão de decisões)	Comissão (aquando da receção do pedido de isenção) Terceiros [entidades estabelecidas ou controladas por entidades de um país terceiro que suscite preocupações em matéria de cibersegurança (na aceção do artigo 100.º) (aquando da receção da decisão da Comissão)]	Decisão nos termos do artigo 100.º — Designação de países terceiros que suscitam preocupações em matéria de cibersegurança	n.a.
Fluxo de dados entre Estados-Membros e terceiros em relação a proibições em redes de comunicações eletrónicas	Artigo 111.º Proibições relativas às redes de comunicações eletrónicas móveis, fixas e por satélite	Estados-Membros (autoridades competentes)	Terceiros (fornecedores de redes de comunicações eletrónicas móveis, fixas e por satélite)	A autoridade competente designada nos termos do presente regulamento informa sem demora a autoridade competente nos termos do Regulamento (UE) XX/XXXX [proposta de ato legislativo relativo às redes digitais] sobre as medidas impostas aos fornecedores de redes de comunicações eletrónicas móveis, fixas e por satélite.	n.a.
Fluxo de dados entre a Comissão e os Estados-Membros no contexto da rede de serviços de cooperação e apoio	Artigo 113.º Rede de cooperação e serviços de apoio da Comissão	Comissão Estados-Membros (autoridades competentes)	Comissão Estados-Membros (autoridades competentes)	Designação de países terceiros que suscitam preocupações em matéria de cibersegurança
Fluxo de dados entre os Estados-Membros e terceiros em relação às medidas de supervisão e de execução	Artigo 114.º Medidas de supervisão e de execução	Terceiros [entidades do tipo referido nos anexos I e II da Diretiva (UE) 2022/2555]	Estados-Membros (autoridades competentes)	Execução das medidas previstas no título IV
Fluxo de dados entre os Estados-Membros para efeitos de assistência mútua	Artigo 116.º Assistência mútua	Estados-Membros	Estados-Membros	Caso uma entidade referida nos anexos I ou II da Diretiva (UE) 2022/2555 preste serviços em mais do que um Estado-Membro, ou preste serviços num ou em vários Estados-Membros e os seus principais ativos de TIC estiverem situados noutro ou noutros Estados-Membros, as autoridades competentes dos Estados-Membros em causa cooperam entre si e prestam assistência mútua, na medida do necessário.	n.a.

4.3.Soluções digitais

Descrição de âmbito geral das soluções digitais 

Demonstração da forma como cada solução digital cumpre as políticas digitais e os atos legislativos aplicáveis 

Solução digital	Referências aos requisitos	Principais funcionalidades obrigatórias	Organismo responsável	Como é tida em conta a acessibilidade?	Como é tida em conta a possibilidade de reutilização?	Utilização de tecnologias de IA (se aplicável)
Sendo a ENISA o secretariado da rede de CSIRT e da UE-CyCLONe e implantando, no âmbito da rede de CSIRT e da UE-CyCLONe, ferramentas de comunicação seguras fornecidas por entidades jurídicas que não estejam estabelecidas ou não sejam controladas por países terceiros ou por nacionais de países terceiros.	Artigo 10.º, n.os 2, 3 e 5	Informação não pública	ENISA	Informação não pública	Informação não pública	Informação não pública
Desenvolver, em cooperação com a UE-CyCLONe, a rede de CSIRT, a Comissão, a Europol e o CERT-UE e entidades competentes da União, repositórios de informações verificadas e fiáveis sobre ciberameaças, incluindo tendências em matéria de incidentes, táticas, técnicas e procedimentos;	Artigo 11.º, n.º 1, alínea a)	Informações verificadas e fiáveis sobre ciberameaças, incluindo tendências em matéria de incidentes, táticas, técnicas e procedimentos	ENISA UE-CyCLONe, rede de CSIRT, Comissão, Europol e CERT-UE, e entidades competentes da União	n.a.	n.a.	n.a.
A ENISA mantém um repositório dos ensinamentos retirados.	Artigo 14.º, n.º 2	A ENISA mantém um repositório dos ensinamentos retirados dos exercícios e recomenda aos Estados-Membros e, se for caso disso, às entidades da União como é possível aplicar esses ensinamentos de forma eficaz e eficiente.	ENISA	n.a.	n.a.	n.a.
A ENISA cria, disponibiliza, opera, mantém e atualiza, conforme necessário, ferramentas técnicas operacionais, tais como plataformas relacionadas com a cibersegurança a nível da União, em especial a plataforma única de comunicação de informações criada nos termos do artigo 16.º, n.º 1, do Regulamento (UE) 2024/2847 [e o ponto de entrada único para a notificação de incidentes criado nos termos do artigo 23.º-A da Diretiva (UE) 2022/2555], ou ferramentas de teste para apoiar a aplicação dos procedimentos de avaliação da conformidade de acordo com a legislação pertinente da União.	Artigo 15.º	Plataforma única de comunicação de informações   Artigo 16.º, n.º 1, do Regulamento (UE) 2024/2847   [ponto de entrada único,    artigo 23.º-A da Diretiva (UE) 2022/2555]	ENISA	n.a.	n.a.	n.a.
Manter a base de dados europeia de vulnerabilidades criada nos termos do artigo 12.º, n.º 2, da Diretiva (UE) 2022/2555 e prestar serviços de gestão de vulnerabilidades	Artigo 16.º, n.º 2	Artigo 12.º, n.º 2, da Diretiva (UE) 2022/2555   Manter a base de dados e prestar serviços de gestão de vulnerabilidades	ENISA	n.a.	n.a.	n.a.
A ENISA mantém e atualiza regularmente um sítio Web específico que faculte informações públicas	Artigos 19.º a 23.º	Manter e atualizar regularmente um sítio Web específico que faculte informações públicas sobre o QECC, incluindo o quadro e o seu calendário de atualização; Os sistemas de atestados individuais europeus de competências de cibersegurança, o seu progresso e os prazos para o seu desenvolvimento; as taxas associadas a cada sistema de atestados individuais europeus de competências de cibersegurança; o custo indicativo de um atestado individual europeu de competências de cibersegurança; A lista de prestadores de atestados autorizados.	ENISA	n.a.	n.a.	n.a.
A Comissão mantém e atualiza regularmente um sítio Web público específico	Artigo 72.º	A informação seguinte: a)     Sistemas europeus de certificação da cibersegurança cuja criação é solicitada; b)    Prioridades estratégicas para a harmonização de produtos, serviços e processos de TIC, serviços de segurança geridos ou requisitos de segurança da legislação da União, incluindo potenciais domínios para os quais possa ser solicitado um sistema europeu de certificação da cibersegurança.	Comissão Europeia	Conformidade com as orientações	Conformidade com as orientações	n.a.
A ENISA mantém um sítio Web dedicado à certificação	Artigo 79.º	Prestação de informações sobre: a) Sistemas europeus de certificação da cibersegurança; b) As taxas associadas à manutenção de cada sistema europeu de certificação da cibersegurança; c) Especificações técnicas pertinentes da ENISA; d) Certificados europeus de cibersegurança e declarações UE de conformidade, incluindo informações relativas a esses certificados e declarações que já não sejam válidos, ou que tenham sido suspensos ou retirados, ou que tenham caducado; e) Informações complementares pertinentes sobre cibersegurança facultadas em conformidade com o artigo 84.º, n.º 2; f)Resumos das análises pelos pares, nos termos do artigo 89.º, n.º 7; g)Especificações técnicas referenciadas num sistema europeu de certificação da cibersegurança nos termos do artigo 74.º, n.º 10.	ENISA	Conformidade com as orientações	Conformidade com as orientações	n.a.
Registo (de isenções para entidades estabelecidas ou controladas por entidades de um país terceiro que suscite preocupações em matéria de cibersegurança)	Artigo 107.º Registo	A Comissão mantém um registo publicamente acessível das suas decisões a que se refere o artigo 105.º, n.º 4. O registo indica os nomes das entidades que foram objeto das decisões. A Comissão atualiza-o regularmente.	Comissão	«A Comissão mantém um registo acessível ao público»	n.a.	n.a.
Plataforma (para a cooperação e o intercâmbio de informações entre a Comissão e as autoridades competentes)	Artigo 113.º	A Comissão cria uma rede de cooperação entre as autoridades competentes dos Estados-Membros e a Comissão, que funciona como plataforma de cooperação e intercâmbio de informações. A Comissão presta apoio administrativo à rede.	Comissão	Não público, apenas para as autoridades competentes	n.a.	n.a.
A ENISA cria e mantém um registo das entidades essenciais e importantes, bem como das entidades que prestam serviços de registo de nomes de domínio	Artigo 1.º, ponto 11), da diretiva	Registo das entidades essenciais e importantes, bem como das entidades que prestam serviços de registo de nomes de domínio	ENISA	n.a.	Com base nas informações recebidas dos pontos de contacto únicos nos termos do n.º 2. (Artigo 27.º da Diretiva SRI 2).	n.a.

Soluções digitais incluídas no quadro supra 

Política digital e/ou setorial (quando aplicáveis)	Explicação sobre o seu alinhamento
Regulamento IA	n.a.
Quadro de cibersegurança da UE	n.a.
eIDAS	n.a.
Plataforma Digital Única e IMI	n.a.
Outros	n.a.

Descrição de âmbito geral dos serviços públicos digitais abrangidos pelos requisitos

Serviço público digital ou categoria de serviços públicos digitais	Descrição	Referências aos requisitos	Soluções Europa Interoperável   (NÃO SE APLICA)	Outras soluções de interoperabilidade
A ENISA enquanto secretariado de redes e meio de implantação de ferramentas de comunicação seguras	A ENISA assegura o secretariado da rede de CSIRT nos termos do artigo 15.º, n.º 2, da Diretiva (UE) 2022/2555. A ENISA assegura o secretariado da UE-CyCLONe nos termos do artigo 16.º, n.º 2, da Diretiva (UE) 2022/2555 [e o ponto de entrada único para a notificação de incidentes criado nos termos do artigo 23.º-A da Diretiva (UE) 2022/2555], e ferramentas de teste para apoiar a aplicação dos procedimentos de avaliação da conformidade de acordo com a legislação pertinente da União.  A ENISA implementa, no âmbito da rede de CSIRT e da UE-CyCLONe, ferramentas de comunicação seguras fornecidas por entidades jurídicas que não estejam estabelecidas ou não sejam controladas por países terceiros ou por nacionais de países terceiros.	Artigo 11.º	//	n.a.
Alertas precoces	Emitir alertas precoces	Artigo 11.º Artigo 12.º
Apoio sobre um incidente ou ciberameaça específico, potenciais ou em curso	A pedido de um ou mais Estados‑Membros, aconselhamento e avaliações sobre um incidente ou ciberameaça específicos, potenciais ou em curso, nomeadamente através da disponibilização dos seus conhecimentos especializados e facilitando o tratamento técnico desses incidentes e através do apoio à partilha voluntária de informações relevantes e de soluções técnicas entre os Estados-Membros;	Artigo 10.º
Apoio da gestão coordenada de crises e incidentes de cibersegurança em grande escala a nível operacional.	Prestar contributos para apoiar a gestão coordenada de crises e incidentes de cibersegurança em grande escala a nível operacional, em especial prestando assistência à UE-CyCLONe na elaboração de relatórios a nível político ao facilitar a partilha atempada de informações entre a rede de CSIRT e a UE-CyCLONe.	Artigo 10.º
Repositórios de informações verificadas e fiáveis sobre ciberameaças	Desenvolver, em cooperação com a UE-CyCLONe, a rede de CSIRT, a Comissão, a Europol e o CERT-UE e entidades competentes da União, repositórios de informações verificadas e fiáveis sobre ciberameaças, incluindo tendências em matéria de incidentes, táticas, técnicas e procedimentos;	Artigo 11.º
Repositório de ensinamentos retirados	A ENISA mantém um repositório dos ensinamentos retirados dos exercícios e recomenda aos Estados-Membros e, se for caso disso, às entidades da União como é possível aplicar esses ensinamentos de forma eficaz e eficiente.	Artigo 14.º
A ENISA cria, disponibiliza, opera, mantém e atualiza, conforme necessário, ferramentas técnicas operacionais, incluindo plataformas.	A ENISA cria, disponibiliza, opera, mantém e atualiza, conforme necessário, ferramentas técnicas operacionais, tais como plataformas relacionadas com a cibersegurança a nível da União, em especial a plataforma única de comunicação de informações criada nos termos do artigo 16.º, n.º 1, do Regulamento (UE) 2024/2847 [e o ponto de entrada único para a notificação de incidentes criado nos termos do artigo 23.º-A da Diretiva (UE) 2022/2555], e ferramentas de teste para apoiar a aplicação dos procedimentos de avaliação da conformidade de acordo com a legislação pertinente da União.	Artigo 15.º
Manter a base de dados europeia de vulnerabilidades criada nos termos do artigo 12.º, n.º 2, da Diretiva (UE) 2022/2555	Manter a base de dados europeia de vulnerabilidades criada nos termos do artigo 12.º, n.º 2, da Diretiva (UE) 2022/2555. Prestar serviços de gestão de vulnerabilidades às partes interessadas, tirando partido da base de dados europeia de vulnerabilidades e utilizando as informações pertinentes à disposição da ENISA. Estabelecer uma cooperação estruturada com organizações que fornecem programas, registos ou bases de dados semelhantes à base de dados europeia de vulnerabilidades. Apoiar ativamente as CSIRT designadas coordenadoras nos termos do artigo 12.º, n.º 1, da Diretiva (UE) 2022/2555, relativamente à gestão da divulgação coordenada de vulnerabilidades que possam ter um impacto significativo nas entidades de mais do que um Estado-Membro. Desenvolver e manter metodologias e mecanismos de governação para a identificação e divulgação coordenada de vulnerabilidades, em cooperação com as autoridades nacionais competentes, as CSIRT, a indústria e a comunidade de investigação.	Artigo 16.º
Elaboração de projetos de sistemas europeus de certificação da cibersegurança («projetos de sistema»)	Elaborar projetos de sistemas europeus de certificação da cibersegurança («projetos de sistemas») para os produtos, serviços e processos de TIC, os serviços de segurança geridos ou a postura de cibersegurança das entidades, bem como especificações técnicas conexas nos termos do artigo 74.º. Manter os sistemas europeus de certificação da cibersegurança adotados em conformidade com o artigo 75.º, nomeadamente tendo em vista uma eventual revisão dos sistemas europeus de certificação da cibersegurança adotados nos termos do artigo 76.º.	Artigo 17.º
A ENISA desenvolve e mantém sistemas de atestados individuais europeus de competências de cibersegurança	A ENISA desenvolve e mantém sistemas de atestados individuais europeus de competências de cibersegurança.  A ENISA emite uma decisão fundamentada concedendo uma autorização ao requerente para emitir atestados individuais europeus para a entrega e manutenção dos sistemas e da autorização, não concedendo a autorização ou encerrando o tratamento do pedido devido a informações insuficientes facultadas pelo requerente, ou a sua inação na sequência de um pedido de informações adicionais.	Artigos 20.º a 22.º
A ENISA mantém e atualiza regularmente um sítio Web específico.	A ENISA mantém e atualiza regularmente um sítio Web específico que faculte informações públicas sobre: a)    O QECC, incluindo o quadro e o seu calendário de atualização; b)    Os sistemas de atestados individuais europeus de competências de cibersegurança, o seu progresso e os prazos para o seu desenvolvimento; c)    As taxas associadas a cada sistema de atestados individuais europeus de competências de cibersegurança adotadas nos termos do artigo 47.º do presente regulamento; d)    O custo indicativo de um atestado individual europeu de competências de cibersegurança, em conformidade com o artigo 20.º, n.º 4; e)    A lista de prestadores de atestados autorizados.	Artigo 23.º
A Comissão mantém e atualiza regularmente um sítio Web público específico	A Comissão mantém e atualiza regularmente um sítio Web específico que faculte informações sobre os seguintes aspetos: a) Sistemas europeus de certificação da cibersegurança cuja criação é solicitada; b) Prioridades estratégicas para a harmonização de produtos, serviços e processos de TIC, serviços de segurança geridos ou requisitos de segurança da legislação da União, incluindo potenciais domínios para os quais possa ser solicitado um sistema europeu de certificação da cibersegurança.	Artigo 72.º
A ENISA mantém um sítio Web dedicado à certificação	A ENISA mantém e atualiza regularmente um sítio Web específico que faculte informações públicas sobre os seguintes elementos: a) Sistemas europeus de certificação da cibersegurança; b) As taxas associadas à manutenção de cada sistema europeu de certificação da cibersegurança; c) Especificações técnicas pertinentes da ENISA; d) Certificados europeus de cibersegurança e declarações UE de conformidade, incluindo informações relativas a esses certificados e declarações que já não sejam válidos, ou que tenham sido suspensos ou retirados, ou que tenham caducado; e) Informações complementares pertinentes sobre cibersegurança facultadas em conformidade com o artigo 84.º, n.º 2; f)    Resumos das análises pelos pares, nos termos do artigo 89.º, n.º 7; g)    Especificações técnicas referenciadas num sistema europeu de certificação da cibersegurança nos termos do artigo 74.º, n.º 10.	Artigo 79.º
Investigações	A Comissão investiga qualquer caso em relação ao qual tenha dúvidas ou lhe sejam comunicadas dúvidas quanto à competência de um organismo de avaliação da conformidade para cumprir os requisitos exigidos e as responsabilidades que lhe estão cometidas, ou quanto ao cumprimento continuado desses requisitos e responsabilidades. Cabe à Comissão assegurar que todas as informações sensíveis obtidas durante as suas investigações são tratadas de forma confidencial.	Artigo 94.º
A ENISA cria e mantém um registo das entidades essenciais e importantes, bem como das entidades que prestam serviços de registo de nomes de domínio	Registo das entidades essenciais e importantes, bem como das entidades que prestam serviços de registo de nomes de domínio. A pedido, a ENISA permite às autoridades competentes o acesso a informações relacionadas com os prestadores de serviços de DNS, registos de nomes de TLD, entidades que prestam serviços de registo de nomes de domínio, prestadores de serviços de computação em nuvem, prestadores de serviços de centro de dados, fornecedores de redes de distribuição de conteúdos, prestadores de serviços geridos, prestadores de serviços de segurança geridos, bem como dos prestadores de serviços de mercados em linha, de motores de pesquisa em linha e de plataformas de serviços de redes sociais conservados nesse registo, garantindo simultaneamente a proteção da confidencialidade das informações, se for caso disso.	Artigo 1.º, ponto 11), da diretiva

4.4.Avaliação da interoperabilidade

Impacto dos requisitos por serviço público digital na interoperabilidade transfronteiras 

Repositórios/plataformas/alertas precoces/secretariado/cooperação operacional/base de dados de divulgação coordenada de vulnerabilidades  

Avaliação	Medidas	Potenciais obstáculos remanescentes
Avaliar o alinhamento com as políticas digitais e setoriais existentes   Enumerar as políticas digitais e setoriais aplicáveis identificadas	Cibersegurança	Não há barreiras conhecidas
Avaliar as medidas organizativas para uma boa prestação de serviços públicos digitais transfronteiras  Enumerar as medidas de governação previstas	Conselho de Administração da ENISA   Rede de CSIRT  UE-CyCLONe  Grupo de Cooperação SRI    Todas estas instâncias, caso sejam suscitadas questões.	n.a.
Avaliar as medidas tomadas para assegurar um entendimento comum dos dados  Enumerar essas medidas	n.a.	n.a.
Avaliar a utilização de especificações e normas técnicas abertas acordadas em comum  Enumerar essas medidas	n.a.	n.a.

Sistemas de atestados individuais europeus de competências de cibersegurança  

Avaliação	Medidas	Potenciais obstáculos remanescentes
Avaliar o alinhamento com as políticas digitais e setoriais existentes   Enumerar as políticas digitais e setoriais aplicáveis identificadas	A proposta baseia-se no documento COM(2023) 207 final (Academia de Competências de Cibersegurança): «a ENISA desenvolverá um projeto-piloto para estudar a possibilidade de criar um sistema europeu de certificação de competências de cibersegurança».  Utiliza o Regulamento (UE) 2024/1183 (carteira europeia de identidade digital), ao estabelecer que «a ENISA e os prestadores de atestados autorizados asseguram que os atestados eletrónicos dos atestados individuais europeus de competências de cibersegurança são emitidos às carteiras europeias de identidade digital».  Cibersegurança  RGPD (conservação de registos pelos prestadores)	Não há barreiras conhecidas
Avaliar as medidas organizativas para uma boa prestação de serviços públicos digitais transfronteiras  Enumerar as medidas de governação previstas	Consulta das partes interessadas aquando da preparação de um sistema de atestados individuais europeus de competências de cibersegurança  Separação de atividades no âmbito da ENISA para assegurar o seu desempenho independente   Câmara de Recurso	A utilização e o reconhecimento de sistemas de atestados individuais europeus de competências de cibersegurança continuam a ser voluntários para as entidades públicas e privadas.
Avaliar as medidas tomadas para assegurar um entendimento comum dos dados  Enumerar essas medidas	Desenvolver sistemas que especifiquem, nomeadamente, as regras relativas ao conteúdo e ao formato dos atestados  Os prestadores autorizados asseguram que, a pedido da pessoa em causa, os atestados eletrónicos dos atestados individuais europeus de competências de cibersegurança sejam emitidos como certificados eletrónicos de atributos num formato que possa ser armazenado nas carteiras europeias de identidade digital da ENISA, a fim de facultar orientações e ministrar formação obrigatória aos avaliadores sobre os requisitos e os métodos de avaliação incluídos no sistema de atestados individuais europeus de competências de cibersegurança.  Facultar informações públicas num sítio Web  Atos de execução relativos às taxas	Embora os sistemas devam ser tão pormenorizados quanto necessário para assegurar um entendimento comum e facilitar a sua execução, e embora a ENISA faculte orientações e ministre formação obrigatória aos avaliadores, a fim de assegurar uma aplicação coerente dos sistemas, poderão surgir dimensões imprevistas nos casos em que os prestadores de atestados autorizados tenham de interagir com a ENISA, outros fornecedores ou avaliadores.
Avaliar a utilização de especificações e normas técnicas abertas acordadas em comum  Enumerar essas medidas	Os sistemas de atestados individuais europeus de competências de cibersegurança são desenvolvidos com o apoio das partes interessadas	n.a.

Elaboração de projetos de sistemas europeus de certificação da cibersegurança («projetos de sistemas»)/atribuição de números aos organismos de avaliação da conformidade 

Avaliação	Medidas	Potenciais obstáculos remanescentes
Avaliar o alinhamento com as políticas digitais e setoriais existentes   Enumerar as políticas digitais e setoriais aplicáveis identificadas	A proposta visa o alinhamento da governação com o novo quadro legislativo, em especial no que diz respeito ao Regulamento (CE) n.º 765/200826.   A proposta visa facilitar o cumprimento da legislação setorial pertinente em matéria de cibersegurança através do desenvolvimento de sistemas europeus de certificação da cibersegurança específicos.	Não há barreiras conhecidas
Avaliar as medidas organizativas para uma boa prestação de serviços públicos digitais transfronteiras  Enumerar as medidas de governação previstas	Grupo Europeu para a Certificação da Cibersegurança;   ENISA;  grupos de trabalho ad hoc;  Assembleia Europeia para a Certificação da Cibersegurança;  Consulta das partes interessadas aquando do pedido, do desenvolvimento e da adoção de sistemas europeus de certificação da cibersegurança;  Procedimentos de comitologia para os atos de execução previstos relacionados com os sistemas europeus de certificação da cibersegurança.	A utilização da certificação europeia da cibersegurança é voluntária, salvo disposição em contrário na legislação europeia.
Avaliar as medidas tomadas para assegurar um entendimento comum dos dados  Enumerar essas medidas	Atos de execução enumerados na secção 4.5.	A utilização da certificação europeia da cibersegurança é voluntária, salvo disposição em contrário na legislação europeia.
Avaliar a utilização de especificações e normas técnicas abertas acordadas em comum  Enumerar essas medidas	Atos de execução enumerados na secção 4.5.  Os requisitos especificados do sistema europeu de certificação da cibersegurança são coerentes com os requisitos da legislação da União.  Os sistemas europeus de certificação da cibersegurança devem tirar partido e fazer referência às normas internacionais, europeias ou nacionais aplicadas na avaliação ou, caso essas normas não estejam disponíveis ou não sejam adequadas, às especificações técnicas elaboradas pela ENISA.	n.a.

Sítios Web acessíveis ao público 

Avaliação	Medidas	Potenciais obstáculos remanescentes
Avaliar o alinhamento com as políticas digitais e setoriais existentes   Enumerar as políticas digitais e setoriais aplicáveis identificadas	Diretiva Acessibilidade e Diretiva Acessibilidade da Web  Cibersegurança	Não há barreiras conhecidas
Avaliar as medidas organizativas para uma boa prestação de serviços públicos digitais transfronteiras  Enumerar as medidas de governação previstas	n.a.	n.a.
Avaliar as medidas tomadas para assegurar um entendimento comum dos dados  Enumerar essas medidas		n.a.
Avaliar a utilização de especificações e normas técnicas abertas acordadas em comum  Enumerar essas medidas		n.a.

4.5.Medidas de apoio à execução digital

Descrição de âmbito geral das medidas de apoio à execução digital 

Descrição da medida	Referências aos requisitos	Papel da Comissão   (se aplicável)	Intervenientes a envolver  (se aplicável)	Calendário previsto  (se aplicável)
A Comissão, com base no projeto de sistema aceite elaborado pela ENISA, fica habilitada a adotar atos de execução que estabeleçam um sistema europeu de certificação da cibersegurança de produtos, serviços e processos de TIC, serviços de segurança geridos ou postura de cibersegurança das entidades que cumpre os requisitos estabelecidos nos artigos 80.º e 81.º. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.	Artigo 75.º, n.º 9	A Comissão fica habilitada a adotar atos de execução		n.a.
A Comissão fica habilitada a adotar atos delegados em conformidade com o artigo 119.º para alterar o n.º 1 do presente artigo aditando ou modificando objetivos de segurança, a fim de assegurar que refletem os mais recentes desenvolvimentos tecnológicos e novas ameaças conexas, bem como a adoção de nova legislação da União que estabeleça a presunção de conformidade através da certificação europeia da cibersegurança com os requisitos de cibersegurança pertinentes dessa legislação.	Artigo 80.º, n.º 2	A Comissão fica habilitada a adotar atos delegados		n.a.
A Comissão fica habilitada a adotar atos de execução que estabeleçam princípios comuns e disposições-tipo para os elementos previstos nos n.os 1, 2 e 3 em todos os sistemas europeus de certificação da cibersegurança. Se adequado e disponível, um sistema europeu de certificação da cibersegurança pode incluir referências a esses princípios e disposições-tipo. Os atos de execução referidos no primeiro parágrafo são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2. Ao elaborar ou rever os princípios comuns e as disposições-tipo para os elementos dos sistemas europeus de certificação da cibersegurança, a Comissão consulta a ENISA e tem em conta, se for caso disso, os pontos de vista expressos pelo GECC, pelas partes interessadas e por outros organismos pertinentes.	Artigo 81.º, n.º 5	A Comissão fica habilitada a adotar atos de execução	ENISA GECC	n.a.
A Comissão fica habilitada a adotar atos de execução que especifiquem os procedimentos para os modelos de aprovação prévia ou delegação geral a que se refere o n.º 4 do presente artigo. No processo de elaboração desses atos de execução, a Comissão consulta o GECC. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.	Artigo 85.º, n.º 5	A Comissão fica habilitada a adotar atos de execução	GECC	n.a.
Os certificados de países terceiros de produtos, serviços e processos de TIC, de serviços de segurança geridos e da postura de cibersegurança das entidades podem ser reconhecidos, por meio de um ato de execução ou da celebração de um acordo entre a União e o país terceiro em causa ou uma organização internacional, como equivalentes aos certificados europeus de cibersegurança se os requisitos do sistema do país terceiro ou da organização internacional em causa forem considerados equivalentes aos dos sistemas europeus de certificação da cibersegurança. A Comissão fica habilitada a adotar esses atos de execução. Os atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.	Artigo 87.º, n.º 1	A Comissão fica habilitada a adotar atos de execução		n.a.
A Comissão fica habilitada a adotar atos de execução que estabeleçam um plano para as análises pelos pares que cubra um período de pelo menos cinco anos e defina os critérios para a composição da equipa de análise pelos pares, a metodologia a seguir na análise, o calendário, a frequência e outras atribuições relacionadas com a análise pelos pares. Ao elaborar esses atos de execução, a Comissão consulta a o GECC e a ENISA. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.	Artigo 89.º, n.º 6	A Comissão fica habilitada a adotar atos de execução		n.a.
A Comissão fica habilitada a adotar atos de execução para estabelecer os procedimentos de autorização dos organismos de avaliação da conformidade, incluindo em matéria de cooperação transfronteiriça. No processo de elaboração dos atos de execução, a Comissão consulta a ENISA e o GECC. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.	Artigo 92.º, n.º 8	A Comissão fica habilitada a adotar atos de execução	ENISA GECC	n.a.
A Comissão fica habilitada a adotar atos de execução para estabelecer as circunstâncias, os formatos e os procedimentos das notificações a que se refere o n.º 1 do presente artigo, incluindo o procedimento de oposição por outros Estados-Membros durante o processo de notificação, a identificação única dos organismos de avaliação da conformidade, bem como as circunstâncias da restrição, suspensão ou retirada da notificação. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 118.º, n.º 2.	Artigo 93.º, n.º 3	A Comissão fica habilitada a adotar atos de execução		n.a.
A Comissão pode adotar atos de execução nos termos do artigo 100.º a fim de designar um país terceiro que suscite preocupações em matéria de cibersegurança nas cadeias de abastecimento de TIC.	Artigo 100.º, n.º 2 Designação de países terceiros que suscitam preocupações em matéria de cibersegurança	Adotar atos de execução		n.a. Sem calendário, mas os atos de execução devem ser revistos regularmente
A Comissão pode adotar atos de execução para prever uma ou várias medidas de atenuação a que se refere o artigo 103.º, n.º 2.	Artigo 103.º, n.º 2 Medidas de atenuação na cadeia de abastecimento de TIC	Adotar atos de execução	n.a.	n.a. Sem calendário, mas a rever a cada 36 meses (pelo procedimento de exame a que se refere o artigo 118.º, n.º 2)
A Comissão pode adotar atos de execução nos termos do artigo 102.º, a fim de identificar os principais ativos de TIC utilizados para o fabrico de produtos ou a prestação de serviços de acordo com os tipos de entidades referidos nos anexos I e II da Diretiva (UE) 2022/2555.	Artigo 102.º, n.º 1 Identificação dos principais ativos de TIC	Adotar atos de execução	n.a.	n.a.
A Comissão pode adotar atos de execução que proíbam a utilização, instalação ou integração, sob qualquer forma, de componentes de TIC ou componentes que incluam componentes de TIC de fornecedores de alto risco designados nos termos do artigo 100.º, n.º 2, nos principais ativos de TIC identificados nos termos do artigo 102.º.	Artigo 103.º, n.º 1 Medidas de atenuação na cadeia de abastecimento de TIC	Adotar atos de execução	n.a.	n.a.
A Comissão pode adotar atos de execução para estabelecer que entidades dos tipos referidos nos anexos I e II da Diretiva (UE) 2022/2555 estão proibidas de utilizar, instalar ou integrar componentes de TIC ou componentes que incluam componentes de TIC de uma entidade específica.	Artigo 103.º, n.º 7	Adotar atos de execução	Consulta dos Estados-Membros e das entidades em causa	n.a.
A Comissão estabelece, por meio de atos de execução, listas de fornecedores de alto risco pertinentes para as proibições estabelecidas nos atos de execução adotados nos termos do artigo 103.º, n.º 1, ou para a proibição a que se refere o artigo 111.º, n.º 1.	Artigo 104.º, n.º 1	Adotar atos de execução	n.a.	n.a.
A Comissão pode adotar atos de execução para especificar mais pormenorizadamente as condições a que se refere o artigo 105.º, n.º 2, alínea b), e para estabelecer regras pormenorizadas no que diz respeito aos procedimentos a que se refere o artigo 105.º.	Artigo 105.º Isenção para entidades estabelecidas ou controladas por entidades de um país terceiro que suscite preocupações em matéria de cibersegurança	Adotar atos de execução	n.a.	n.a.
A Comissão pode adotar atos de execução que estabelecem regras pormenorizadas relativas às taxas, especificando o seu montante e as modalidades de pagamento.	Artigo 109.º Taxas	Adotar atos de execução	n.a.	n.a.
A Comissão adota atos de execução a fim de especificar os prazos para a eliminação progressiva dos componentes de TIC ou componentes que incluem componentes de TIC fornecidos por fornecedores de alto risco no que diz respeito às redes de comunicações eletrónicas fixas e por satélite.	Artigo 110.º, n.º 4 Principais ativos de TIC para redes de comunicações eletrónicas móveis, fixas e por satélite	Adotar atos de execução	n.a.	n.a.
A Comissão pode adotar atos delegados nos termos do artigo 119.º para alterar o anexo II, a fim de o adaptar à evolução tecnológica, tendo em conta os elementos referidos no artigo 103.º, n.º 3.	Artigo 110.º, n.º 5	Adotar atos delegados	n.a.	n.a.
7.    O artigo 21.º, n.º 5 é alterado do seguinte modo: a)    O segundo parágrafo passa a ter a seguinte redação: «A Comissão pode adotar atos de execução que estabeleçam os requisitos técnicos e metodológicos, bem como os requisitos setoriais, se necessário, das medidas a que se refere o n.º 2 no que diz respeito às entidades essenciais e importantes que não as referidas no primeiro parágrafo do presente número. A Comissão avalia regularmente se os atos de execução a que se refere o presente parágrafo devem ser adotados para setores ou tipos de entidades específicos, a fim de melhorar o funcionamento do mercado interno. Com base no resultado dessas avaliações, a Comissão pode propor esses atos de execução para os setores ou tipos de entidades identificados. Ao elaborar essas avaliações, a Comissão centra-se, em especial, na natureza transfronteiriça dos setores ou tipos de entidades e realiza um processo de consulta aberto, transparente e inclusivo com as partes interessadas e os Estados-Membros.»; b)    Após o quarto parágrafo, é inserido o seguinte parágrafo: «Caso a Comissão adote os atos de execução a que se referem o primeiro e o segundo parágrafos do presente número, os Estados-Membros não impõem quaisquer outros requisitos técnicos ou metodológicos das medidas a que se refere o artigo 21.º, n.º 2, da Diretiva (UE) 2022/2555 às entidades abrangidas pelo âmbito de aplicação desses atos de execução.»	Artigo 1.º, ponto 7), da diretiva  Harmonização máxima	A Comissão pode adotar atos de execução		n.a.

(1)    ENISA, ENISA Threat Landscape 2024, https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024 .

(2)    ENISA, ENISA Threat Landscape 2025.

(3)    Comissão Europeia, The future of European Competitiveness, https://commission.europa.eu/document/download/97e481fd-2dc3-412d-be4c-f152a8232961_en?filename=The%20future%20of%20European%20competitiveness%20_%20A%20competitiveness%20strategy%20for%20Europe.pdf .

(4)    JOIN(2025) 130 final.

(5)    COM(2025) 148 final.

(6)    JOIN(2025) 977 final.

(7)    COM(2025) 66 final.

(8)    COM(2025) 10 final.

(9)    COM(2023) 207 final.

(10)    Regulamento de Execução (UE) 2023/203 da Comissão e Regulamento Delegado (UE) 2022/1645 da Comissão.

(11)    Regulamento (UE) 2023/1781 do Parlamento Europeu e do Conselho, de 13 de setembro de 2023, que estabelece um regime de medidas para reforçar o ecossistema europeu dos semicondutores e que altera o Regulamento (UE) 2021/694 (Regulamento dos Circuitos Integrados) (JO L 229, 18.9.2023, p. 1).

(12)    Nomeadamente as Diretivas 2014/23/UE, 2014/24/UE e 2014/25/UE.

(13)    Comissão Europeia, Comissão lança convite à apresentação de contributos e consulta pública sobre a avaliação das diretivas relativas aos contratos públicos, https://single-market-economy.ec.europa.eu/news/commission-launches-call-evidence-and-public-consultation-evaluation-public-procurement-directives-2024-12-13_en .

(14)    COM(2025) 837 final.

(15)    JOIN(2023) 20 final.

(16)    JOIN(2025) 120 final.

(17)    JOIN(2025) 977 final.

(18)     Regulamento 2019/881 — PT — EUR-Lex .

(19)    Grupo Horizontal das Questões do Ciberespaço.

(20)    Regulamento (UE) 2019/881 ( http://data.europa.eu/eli/reg/2019/881/oj ).

(21)     http://data.europa.eu/eli/dir/2022/2555/oj .

(22)     http://data.europa.eu/eli/reg/2008/765/oj .

(23)     http://data.europa.eu/eli/reg/2012/1025/oj .

(24)    JO C de , p. .

(25)    JO C de , p. .

(26)    Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativo à ENISA (Agência da União Europeia para a Cibersegurança) e à certificação da cibersegurança das tecnologias da informação e comunicação e que revoga o Regulamento (UE) n.º 526/2013 (Regulamento Cibersegurança) (JO L 151 de 7.6.2019, p. 15, ELI: http://data.europa.eu/eli/reg/2019/881/oj).

(27)    Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (JO L 333 de 27.12.2022, p. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(28)    Diretiva (UE) 2022/2557 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa à resiliência das entidades críticas e que revoga a Diretiva 2008/114/CE do Conselho (JO L 333 de 27.12.2022, p. 164, ELI: http://data.europa.eu/eli/dir/2022/2557/oj).

(29)    Regulamento (UE) 2024/2847 do Parlamento Europeu e do Conselho, de 23 de outubro de 2024, relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais e que altera os Regulamentos (UE) n.º 168/2013 e (UE) 2019/1020 e a Diretiva (UE) 2020/1828 (Regulamento de Ciber-Resiliência) (JO L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).

(30)    Regulamento (UE) 2025/38 do Parlamento Europeu e do Conselho, de 19 de dezembro de 2024, que cria medidas destinadas a reforçar a solidariedade e as capacidades da União para detetar, preparar e dar resposta a ciberameaças e incidentes de cibersegurança e que altera o Regulamento (UE) 2021/694 (Regulamento de Cibersolidariedade) (JO L, 2025/38, 15.1.2025, ELI: http://data.europa.eu/eli/reg/2025/38/oj).

(31)    JO C, C/2025/3445, 20.6.2025, ELI: http://data.europa.eu/eli/C/2025/3445/oj.

(32)    Cybersecurity of 5G networks — EU Toolbox of risk mitigating measures, Grupo de Cooperação SRI, 1/2020, disponível em: https://digital-strategy.ec.europa.eu/en/library/cybersecurity-5g-networks-eu-toolbox-risk-mitigating-measures .

(33)    Comunicação da Comissão ao Parlamento Europeu e ao Conselho, de 18 de abril de 2023, «Colmatar o défice de talentos no domínio da cibersegurança para reforçar a competitividade, o crescimento e a resiliência da UE (“Academia de Competências de Cibersegurança”)», [COM(2023) 207 final].

(34)    Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014, (UE) n.º 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

(35)    Regulamento Delegado (UE) 2024/1366 da Comissão, de 11 de março de 2024, que completa o Regulamento (UE) 2019/943 do Parlamento Europeu e do Conselho estabelecendo um código de rede relativo a regras setoriais para os aspetos ligados à cibersegurança dos fluxos transfronteiriços de eletricidade (JO L, 2024/1366, 24.5.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1366/oj).

(36)    Regulamento Delegado (UE) 2022/1645 da Comissão, de 14 de julho de 2022, que estabelece regras de execução do Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho no que respeita aos requisitos em matéria de gestão dos riscos de segurança da informação com potencial impacto na segurança da aviação para as entidades abrangidas pelos Regulamentos (UE) n.º 748/2012 e (UE) n.º 139/2014 da Comissão e que altera os Regulamentos (UE) n.º 748/2012 e (UE) n.º 139/2014 da Comissão (JO L 248, p. 18, de 26.9.2022, ELI:  http://data.europa.eu/eli/reg_del/2022/1645/oj ).

(37)    Regulamento de Execução (UE) 2023/203 da Comissão, de 27 de outubro de 2022, que estabelece regras de execução do Regulamento (UE) 2018/1139 do Parlamento Europeu e do Conselho, no que diz respeito aos requisitos de gestão dos riscos de segurança da informação com impacto potencial na segurança da aviação, para as organizações abrangidas pelos Regulamentos (UE) n.º 1321/2014, (UE) n.º 965/2012, (UE) n.º 1178/2011, (UE) 2015/340 e os Regulamentos de Execução (UE) 2017/373 e (UE) 2021/664 da Comissão, e para as autoridades competentes abrangidas pelos Regulamentos (UE) n.º 748/2012, (UE) n.º 1321/2014, (UE) n.º 965/2012, (UE) n.º 1178/2011, (UE) 2015/340 e os Regulamentos de Execução (UE) 2017/373, (UE) n.º 139/2014 e (UE) 2021/664 da Comissão, e que altera os Regulamentos (UE) n.º 1178/2011, (UE) n.º 748/2012, (UE) n.º 965/2012, (UE) n.º 139/2014, (UE) n.º 1321/2014, (UE) 2015/340 e os Regulamentos de Execução (UE) 2017/373 e (UE) 2021/664 da Comissão (JO L 31 de 2.2.2023, p. 1, ELI: http://data.europa.eu/eli/reg_impl/2023/203/oj).

(38)    Regulamento de Execução (UE) 2019/1583 da Comissão, de 25 de setembro de 2019, que altera o Regulamento de Execução (UE) 2015/1998 da Comissão que estabelece as medidas de execução das normas de base comuns sobre a segurança da aviação, no que respeita às medidas de cibersegurança (JO L 246 de 26.9.2019, p. 15, ELI:  http://data.europa.eu/eli/reg_impl/2019/1583/oj ).

(39)    Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões, de 15 de janeiro de 2025, «Plano de Ação Europeu para a Cibersegurança dos Hospitais e dos Prestadores de Cuidados de Saúde» [COM(2025) 10 final].

(40)    Regulamento (UE, Euratom) 2023/2841 do Parlamento Europeu e do Conselho, de 13 de dezembro de 2023, que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União (JO L, 2023/2841, 18.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2841/oj).

(41)    Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões, de 1 de abril de 2025, sobre a ProtectEU: uma Estratégia Europeia de Segurança Interna [COM(2025) 148 final].

(42)    Comunicação Conjunta da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões, «Estratégia para uma União da Preparação» [JOIN(2025) 130 final].

(43)    Comunicação Conjunta da Comissão ao Parlamento Europeu e ao Conselho, «Reforçar a segurança económica da UE» [JOIN(2025) 977 final].

(44)    COM(2025) 837 final.

(45)    Regulamento (CE) n.º 460/2004 do Parlamento Europeu e do Conselho, de 10 de março de 2004, que cria a Agência Europeia para a Segurança das Redes e da Informação (JO L 77 de 13.3.2004, p. 1, ELI: http://data.europa.eu/eli/reg/2004/460/oj).

(46)    Regulamento (UE) n.º 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno e que revoga a Diretiva 1999/93/CE (JO L 257 de 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(47)    Regulamento (UE) 2021/887 do Parlamento Europeu e do Conselho, de 20 de maio de 2021, que cria o Centro Europeu de Competências Industriais, Tecnológicas e de Investigação em Cibersegurança e a Rede de Centros Nacionais de Coordenação (JO L 202 de 8.6.2021, p. 1, ELI: http://data.europa.eu/eli/reg/2021/887/oj).

(48)    Comunicação da Comissão ao Parlamento Europeu, ao Conselho Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões, de 5 de março de 2025, «A União das Competências» [COM(2025) 90 final].

(49)    JOIN(2025) 791 final.

(50)    Regulamento (UE, Euratom) 2024/2509 do Parlamento Europeu e do Conselho, de 23 de setembro de 2024, relativo às regras financeiras aplicáveis ao orçamento geral da União (JO L, 2024/2509, 26.9.2024, ELI: http://data.europa.eu/eli/reg/2024/2509/oj).

(51)    Os atestados individuais europeus de competências de cibersegurança devem ser entendidos como seguindo uma abordagem semelhante ao que o mercado reconhece como «certificações de cibersegurança». No entanto, a fim de evitar confusões no que diz respeito ao enquadramento europeu para a certificação da cibersegurança, é preferível a expressão «atestado», já utilizada na Comunicação sobre a Academia de Competências de Cibersegurança.

(52)

   Regulamento de Execução (UE) 2025/1569.

(53)    Abordagem Comum, anexa à Declaração Conjunta do Parlamento Europeu, do Conselho da UE e da Comissão Europeia sobre as agências descentralizadas, adotada em 19 de julho de 2012 e disponível em: https://european-union.europa.eu/document/download/d4199ff4-1e3d-45e6-af7e-90cf1a7b10bc_en?filename=joint_statement_on_decentralised_agencies_en.pdf .

(54)    Regulamento (CE) n.º 1049/2001 do Parlamento Europeu e do Conselho, de 30 de maio de 2001, relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão (JO L 145 de 31.5.2001, p. 43, ELI: http://data.europa.eu/eli/reg/2001/1049/oj).

(55)    Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (JO L 295 de 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

(56)    Diretiva 2014/24/UE do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014, relativa aos contratos públicos e que revoga a Diretiva 2004/18/CE (JO L 94 de 28.3.2014, p. 65, ELI: http://data.europa.eu/eli/dir/2014/24/oj).

(57)    Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(58)    Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (JO L 333 de 27.12.2022, p. 80, ELI:  http://data.europa.eu/eli/dir/2022/2555/oj ).

(59)    Regulamento de Execução (UE) 2024/482 da Comissão, de 31 de janeiro de 2024, que estabelece regras de execução do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho no respeitante à adoção do sistema europeu de certificação da cibersegurança baseado nos Critérios Comuns (EUCC) (JO L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(60)    Regulamento de Execução (UE) 2025/2540 da Comissão, de 9 de dezembro de 2025, que estabelece regras de execução do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho no respeitante ao estabelecimento do plano para as análises pelos pares (JO L 2540 de 12.12.2025, ELI:  http://data.europa.eu/eli/reg_impl/2025/2540/oj ).

(61)    Regulamento (CE) n.º 765/2008 do Parlamento Europeu e do Conselho, de 9 de julho de 2008, que estabelece os requisitos de acreditação e fiscalização do mercado relativos à comercialização de produtos, e que revoga o Regulamento (CEE) n.º 339/93 (JO L 218 de 13.8.2008, p. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj).

(62)    Regulamento de Execução (UE) 2024/3143 da Comissão, de 18 de dezembro de 2024, que estabelece as circunstâncias, os formatos e os procedimentos das notificações nos termos do artigo 61.º, n.º 5, do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho relativo à ENISA (Agência da União Europeia para a Cibersegurança) e à certificação da cibersegurança das tecnologias da informação e comunicação (JO L 3143 de 19.12.2025, ELI:  http://data.europa.eu/eli/reg_impl/2024/3143/oj ).

(63)    ENISA Threat Landscape 2025, outubro de 2025.

(64)    Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (JO L 333 de 27.12.2022, p. 80, ELI: https://eur-lex.europa.eu/eli/dir/2022/2555/oj).

(65)    Regulamento (UE) 2024/2847 do Parlamento Europeu e do Conselho, de 23 de outubro de 2024, relativo aos requisitos horizontais de cibersegurança dos produtos com elementos digitais e que altera os Regulamentos (UE) n.º 168/2013 e (UE) 2019/1020 e a Diretiva (UE) 2020/1828 (Regulamento de Ciber-Resiliência) (JO L, 2024/2847, 20.11.2024, ELI: https://eur-lex.europa.eu/eli/reg/2024/2847/oj/por).

(66)    Comunicação Conjunta ao Parlamento Europeu e ao Conselho, de 3 de dezembro de 2025, «Reforçar a segurança económica da UE» [JOIN(2025) 977 final].

(67)    Diretiva 2014/24/UE do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014, relativa aos contratos públicos e que revoga a Diretiva 2004/18/CE (JO L 94 de 28.3.2014, p. 65, ELI: https://eur-lex.europa.eu/eli/dir/2014/24/oj/por).

(68)    Diretiva 2014/25/UE do Parlamento Europeu e do Conselho, de 26 de fevereiro de 2014, relativa aos contratos públicos celebrados pelas entidades que operam nos setores da água, da energia, dos transportes e dos serviços postais e que revoga a Diretiva 2004/17/CE (JO L 94 de 28.3.2014, p. 243, ELI: https://eur-lex.europa.eu/eli/dir/2014/25/oj?locale=pt).

(69)    Comunicação da Comissão, de 15 de junho de 2023, «Aplicação do conjunto de instrumentos para a cibersegurança das redes 5G» [C(2023) 4049 final].

(70)    Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (JO L 295 de 21.11.2018, ELI:  http://data.europa.eu/eli/reg/2018/1725/oj ).

(71)    Regulamento (UE) n.º 1025/2012 do Parlamento Europeu e do Conselho, de 25 de outubro de 2012, relativo à normalização europeia, que altera as Diretivas 89/686/CEE e 93/15/CEE do Conselho e as Diretivas 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE e 2009/105/CE do Parlamento Europeu e do Conselho e revoga a Decisão 87/95/CEE do Conselho e a Decisão n.º 1673/2006/CE do Parlamento Europeu e do Conselho (JO L 316 de 14.11.2012, p. 12, ELI: http://data.europa.eu/eli/reg/2012/1025/oj).

(72)    Regulamento (UE) 2023/2675 do Parlamento Europeu e do Conselho, de 22 de novembro de 2023, relativo à proteção da União e dos seus Estados-Membros contra a coerção económica exercida por países terceiros (JO L, 2023/2675, 7.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2675/oj).

(73)    JO L 56 de 4.3.1968, p. 1, ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj.

(74)    Regulamento Delegado (UE) 2019/715 da Comissão, de 18 de dezembro de 2018, que institui o regulamento financeiro-quadro dos organismos criados ao abrigo do TFUE e do Tratado Euratom e referidos no artigo 70.º do Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho (JO L 122 de 10.5.2019, p. 1, ELI: http://data.europa.eu/eli/reg_del/2019/715/oj).

(75)    Regulamento (UE, Euratom) n.º 883/2013 do Parlamento Europeu e do Conselho, de 11 de setembro de 2013, relativo aos inquéritos efetuados pelo Organismo Europeu de Luta Antifraude (OLAF) e que revoga o Regulamento (CE) n.º 1073/1999 do Parlamento Europeu e do Conselho e o Regulamento (Euratom) n.º 1074/1999 do Conselho (JO L 248 de 18.9.2013, p. 1, ELI: http://data.europa.eu/eli/reg/2013/883/oj).

(76)    JO L 136 de 31.5.1999, p. 15, ELI: http://data.europa.eu/eli/agree_interinstit/1999/531/oj.

(77)    Regulamento (Euratom, CE) n.º 2185/96 do Conselho, de 11 de novembro de 1996, relativo às inspeções e verificações no local efetuadas pela Comissão para proteger os interesses financeiros das Comunidades Europeias contra a fraude e outras irregularidades (JO L 292 de 15.11.1996, p. 2, ELI: http://data.europa.eu/eli/reg/1996/2185/oj).

(78)    Diretiva (UE) 2017/1371 do Parlamento Europeu e do Conselho, de 5 de julho de 2017, relativa à luta contra a fraude lesiva dos interesses financeiros da União através do direito penal (JO L 198 de 28.7.2017, p. 29, ELI: http://data.europa.eu/eli/dir/2017/1371/oj).

(79)    Regulamento n.º 1 do Conselho que estabelece o regime linguístico da Comunidade Económica Europeia (JO 17 de 6.10.1958, p. 385, ELI: http://data.europa.eu/eli/reg/1958/1(1)/oj).

(80)    Decisão (UE, Euratom) 2015/443 da Comissão, de 13 de março de 2015, relativa à segurança na Comissão (JO L 72 de 17.3.2015, p. 41, ELI: http://data.europa.eu/eli/dec/2015/443/oj).

(81)    Decisão (UE, Euratom) 2015/444 da Comissão, de 13 de março de 2015, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (JO L 72 de 17.3.2015, p. 53, ELI: http://data.europa.eu/eli/dec/2015/444/oj).

(82)    Diretiva (UE) 2022/2555 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União que altera o Regulamento (UE) n.º 910/2014 e a Diretiva (UE) 2018/1972 e revoga a Diretiva (UE) 2016/1148 (Diretiva SRI 2) (JO L 333 de 27.12.2022, p. 80, ELI: http://data.europa.eu/eli/dir/2022/2555/oj).

(83)    Regulamento (CE) n.º 1008/2008 do Parlamento Europeu e do Conselho, de 24 de setembro de 2008, relativo a regras comuns de exploração dos serviços aéreos na Comunidade (reformulação) (JO L 293 de 31.10.2008, p. 3, ELI: https://eur-lex.europa.eu/eli/reg/2008/1008/oj/por).

(84)    Tal como referido no artigo 58.º, n.º 2, alíneas a) ou b), do Regulamento Financeiro.

(85)     Orientações políticas 2024 .

(86)     Carta de missão enviada à vice-presidente executiva Henna Virkkunen .

(87)     Relatório de Sauli Niinistö .

(88)     Relatório Draghi sobre o Futuro da Competitividade da UE .

(89)     Enrico Letta — Much more than a market (abril de 2024) .

(90)    Referência a inserir uma vez publicada.

(91)     Regulamento Cibersegurança da UE | EUR-Lex .

(92)     Regulamento Financeiro aplicável ao orçamento geral da União (reformulação) — Serviço das Publicações da UE .

(93)     https://europa.eu/european-union/sites/europaeu/files/docs/body/joint_statement_and_common_approach_2012_en.pdf .

(94)     Regulamento Delegado (UE) 2019/715 — PT — EUR-Lex .

(95)     https://eur-lex.europa.eu/eli/reg/2019/881/oj/por .

(96)     CNECT_RAA_2024_final .

(97)     Relatório anual de atividades consolidado_1 (pdf) enisa.europa.eu/sites/default/files/2024-11/2023 .

(98)     Decisão n.º 2019/8 do CA — Regras financeiras adotadas (pdf) .

(99)    DD = dotações diferenciadas / DND = dotações não diferenciadas.

(100)    EFTA: Associação Europeia de Comércio Livre.

(101)    Países candidatos e, se aplicável, candidatos potenciais dos Balcãs Ocidentais.

(102)    As realizações referem-se aos produtos fornecidos e serviços prestados (por exemplo: número de intercâmbios de estudantes financiados, número de quilómetros de estradas construídas, etc.).

(103)    Conforme descrito no ponto 1.3.2. «Objetivos específicos»

(104)    Especifique abaixo do quadro o número de ETC do número indicado já atribuídos à gestão da ação e/ou que podem ser reafetados dentro da sua DG e quais são as suas necessidades líquidas.

(105)    No que respeita aos recursos próprios tradicionais (direitos aduaneiros e quotizações sobre o açúcar), os montantes indicados devem ser apresentados em termos líquidos, isto é, montantes brutos após dedução de 20 % a título de custos de cobrança.

(106)     Decision RR-02: Price list of SNAS services :  https://www.snas.sk/storage/app/uploads/public/677/e79/e4c/677e79e4cac62903312474.pdf . 

(107)    Especificamente, a manutenção tem em conta duas reuniões presenciais com peritos por ano (100 000 EUR), os custos dos contratantes que apoiam a elaboração e a análise da documentação de apoio ao sistema, a adoção de sistemas de certificação, o apoio às avaliações pelos pares e a execução das avaliações da conformidade (4 x 15 000 = 60 000 EUR). O custo inclui igualmente a parte operacional da plataforma MIE e do sítio Web de certificação da ENISA (40 000 EUR).