Avaliação da conformidade ao abrigo do Regulamento da Ciber-Resiliência da UE
Sytance · Atualizado
A avaliação da conformidade no âmbito do CRA é o procedimento jurídico utilizado para demonstrar que um produto abrangido e os processos do fabricante cumprem o anexo I. A categoria do produto determina quais as vias de avaliação disponíveis ou obrigatórias.
Objeto da avaliação
O fabricante deve proceder a uma avaliação da conformidade do produto com elementos digitais e dos processos que implementou para determinar se são cumpridos os requisitos essenciais de cibersegurança estabelecidos no anexo I.
Regulamento (UE) 2024/2847, artigo 32.º, n.º 1
O artigo 32.º abrange ambas as partes do anexo I. O produto tem de cumprir os requisitos de cibersegurança dos produtos da parte I. Os processos do fabricante para o tratamento de vulnerabilidades têm de cumprir a parte II.
Uma avaliação favorável sustenta a documentação técnica, a declaração UE de conformidade e a marcação CE. Não altera a categoria do produto. A categoria determina quais as vias de avaliação disponíveis.
Vias de avaliação da conformidade
O artigo 32.º identifica quatro vias. A via adequada depende sobretudo da categoria do produto, da utilização de normas harmonizadas ou especificações comuns e da possibilidade de recorrer a um sistema de certificação europeia de cibersegurança aplicável.
Módulo A
Controlo interno da produção. O fabricante avalia o produto e declara, sob a sua própria responsabilidade, que este está em conformidade.
Módulo B e Módulo C
Um organismo notificado examina o tipo. Em seguida, o fabricante controla a produção tendo esse tipo como referência.
Módulo H
Garantia da qualidade total. Um organismo notificado avalia o sistema de qualidade do fabricante para os produtos abrangidos.
Certificação de cibersegurança
Pode utilizar-se um sistema europeu de certificação de cibersegurança aplicável quando o artigo 27.º ou o artigo 8.º disponibilizar essa via.
Classificação e seleção da via
Os produtos por defeito podem recorrer ao controlo interno. Os produtos importantes e críticos estão sujeitos a vias de avaliação mais rigorosas, incluindo os produtos da classe I cujos requisitos aplicáveis não estejam totalmente abrangidos pelas normas, especificações comuns ou certificação relevantes.
Os produtos por defeito podem recorrer à via prevista no artigo 32.º, n.º 1, incluindo o Módulo A. O fabricante pode ainda escolher uma via mais rigorosa.
Os produtos da classe I só podem permanecer ao abrigo do artigo 32.º, n.º 1, para os requisitos abrangidos pelas normas harmonizadas, especificações comuns ou certificação aplicadas com um nível de garantia pelo menos substancial. Caso contrário, esses requisitos exigem o Módulo B e C ou o Módulo H.
Os produtos da classe II utilizam o Módulo B e C, o Módulo H ou um sistema europeu de certificação de cibersegurança aplicável com um nível de garantia pelo menos substancial.
Os produtos críticos do anexo IV utilizam a certificação ao abrigo do artigo 8.º, n.º 1, quando essa via é acionada. Se as condições do artigo 8.º, n.º 1, não estiverem preenchidas, seguem as vias da classe II previstas no artigo 32.º, n.º 3.
O software livre e de código aberto importante que consta do anexo III pode utilizar as vias do artigo 32.º, n.º 1, se a documentação técnica exigida pelo artigo 31.º for pública quando o produto é colocado no mercado.
Normas e certificação
O artigo 27.º explica como as normas, as especificações comuns e a certificação de cibersegurança podem apoiar a conformidade. Não são equivalentes entre si e não produzem todos o mesmo efeito jurídico.
- Uma norma harmonizada confere presunção de conformidade apenas para os requisitos do anexo I abrangidos pela referência da norma publicada.
- Uma especificação comum também pode conferir presunção de conformidade para os requisitos que abrange.
- Um certificado europeu de cibersegurança pode conferir presunção de conformidade para os requisitos abrangidos.
- Um certificado especificado por ato delegado ao abrigo do artigo 27.º, n.º 9, com um nível de garantia pelo menos substancial, pode eliminar a necessidade de avaliação por terceiros para os requisitos correspondentes.
Documentação, declaração e marcação CE
Antes de colocar o produto no mercado, o fabricante elabora a documentação técnica e a declaração UE de conformidade. A declaração confirma que foram cumpridos os requisitos aplicáveis do anexo I. A documentação deve ser atualizada, conforme adequado, durante o período de suporte.
- A documentação técnica contém os dados ou os elementos utilizados para demonstrar que o produto e os processos cumprem o anexo I.
- A declaração UE de conformidade segue a estrutura-modelo do anexo V ou, quando utilizada, a via simplificada do anexo VI.
- A marcação CE é aposta antes de o produto ser colocado no mercado; no caso do software, pode constar da declaração ou do sítio Web que acompanha o produto de software.
- Se for utilizado o Módulo H, a marcação CE é seguida do número de identificação do organismo notificado.