ANEXO - REQUISITOS A CUMPRIR PELOS ORGANISMOS DE AVALIAÇÃO DA CONFORMIDADE - EU Cybersecurity Act

Os organismos de avaliação da conformidade que pretendam ser acreditados devem cumprir os seguintes requisitos:

1.	Os organismos de avaliação da conformidade devem estar constituídos nos termos do direito nacional e ser dotados de personalidade jurídica.

2.	Os organismos de avaliação da conformidade devem ser organismos terceiros independentes da organização ou dos produtos, serviços ou processos de TIC que avaliam.

Os organismos que pertençam a organizações empresariais ou associações profissionais que representem empresas envolvidas nas atividades de conceção, fabrico, fornecimento, montagem, utilização ou manutenção de produtos, serviços ou processos de TIC por si avaliados podem ser considerados organismos de avaliação da conformidade, desde que demonstrem a respetiva independência e a inexistência de conflitos de interesses.

Os organismos de avaliação da conformidade, os seus quadros superiores e o pessoal encarregado de executar as tarefas de avaliação da conformidade não podem ser o projetista, o fabricante, o fornecedor, o instalador, o comprador, o proprietário, o utilizador ou o responsável pela manutenção dos produtos, serviços ou processos de TIC a avaliar, ou o representante autorizado de uma dessas partes. Esta proibição não obsta à utilização de produtos de TIC avaliados que sejam necessários às atividades do organismo de avaliação da conformidade, nem à utilização desses produtos de TIC para fins pessoais.

Os organismos de avaliação da conformidade, os seus quadros superiores e o pessoal encarregado de executar as tarefas de avaliação da conformidade não podem intervir diretamente na conceção, no fabrico ou na construção, na comercialização, na instalação, na utilização nem na manutenção dos produtos, serviços ou processos de TIC que são objeto da avaliação. Os organismos de avaliação da conformidade, os seus quadros superiores e o pessoal encarregado de executar as tarefas de avaliação da conformidade não podem exercer qualquer atividade suscetível de comprometer a independência do seu julgamento ou a sua integridade no exercício das atividades de avaliação da conformidade. Essa proibição é aplicável, nomeadamente, aos serviços de consultoria.

Se os organismos de avaliação da conformidade forem propriedade de entidades ou instituições públicas, ou geridos por tais entidades ou instituições, devem ser garantidas e documentadas a independência e a inexistência de conflitos de interesses entre a autoridade nacional de certificação de cibersegurança e o organismo de avaliação da conformidade.

7.	Os organismos de avaliação da conformidade devem assegurar que as atividades das suas filiais ou subcontratantes não afetem a confidencialidade, a objetividade ou a imparcialidade das respetivas atividades de avaliação da conformidade.

Os organismos de avaliação da conformidade e o seu pessoal devem executar as atividades de avaliação da conformidade com a maior integridade profissional e a maior competência técnica necessária no domínio específico em causa, e não podem estar sujeitos a quaisquer pressões ou incentivos, incluindo de natureza financeira, suscetíveis de influenciar o seu julgamento ou os resultados das suas atividades de avaliação da conformidade, em especial por parte de pessoas ou grupos de pessoas interessadas nos resultados dessas atividades.

Os organismos de avaliação da conformidade devem ter capacidade para executar todas as tarefas de avaliação de conformidade que lhes sejam atribuídas ao abrigo do presente regulamento, quer essas tarefas sejam executadas pelos próprios organismos de avaliação da conformidade ou em seu nome e sob a sua responsabilidade. A subcontratação ou consulta a pessoal externo deve ser devidamente documentada, não pode envolver intermediários e deve estar subordinada a um acordo escrito que abranja, entre outros aspetos, a confidencialidade e os conflitos de interesses. O organismo de avaliação da conformidade em causa assume a responsabilidade plena pelas tarefas executadas.

10.

Para cada procedimento de avaliação da conformidade e para cada tipo, categoria ou subcategoria de produtos, serviços ou processos de TIC, os organismos de avaliação da conformidade devem sempre dispor de:

a)	Pessoal com conhecimentos técnicos e experiência suficiente e adequada para executar as tarefas de avaliação da conformidade;

Descrições dos procedimentos pelos quais deve ser avaliada a conformidade a fim de assegurar a sua transparência e a sua reprodutibilidade. Devem dispor de uma política e de procedimentos adequados que distingam as tarefas que executam na qualidade de organismos notificados nos termos do artigo 61.o das suas outras atividades;

c)	Procedimentos que permitam o exercício das suas atividades, tendo devidamente em conta a dimensão, o setor e a estrutura das empresas, o grau de complexidade da tecnologia do produto, serviço ou processo de TIC em causa e a natureza do processo de produção em massa ou em série.

11.	Os organismos de avaliação da conformidade devem dispor dos meios necessários para a boa execução das tarefas técnicas e administrativas relacionadas com as atividades de avaliação da conformidade e ter acesso a todos os equipamentos e instalações necessários.

12.

O pessoal responsável por executar as atividades de avaliação da conformidade deve dispor de:

a)	Uma sólida formação técnica e profissional, que abranja todas as atividades de avaliação da conformidade;

b)	Um conhecimento satisfatório dos requisitos das avaliações de conformidade que efetua e a autoridade necessária para as efetuar;

c)	Um conhecimento e compreensão adequados dos requisitos e das normas de ensaio aplicáveis;

d)	Aptidão necessária para redigir os certificados, registos e relatórios comprovativos da realização das avaliações de conformidade.

13.	Deve ser garantida a imparcialidade dos organismos de avaliação da conformidade, dos seus quadros superiores, das pessoas responsáveis por executar as atividades de avaliação da conformidade e dos subcontratantes.

14.	A remuneração dos quadros superiores e das pessoas responsáveis por executar as atividades de avaliação da conformidade não pode depender do número de avaliações de conformidade realizadas nem do seu resultado.

15.	Os organismos de avaliação da conformidade devem subscrever um seguro de responsabilidade civil, salvo se essa responsabilidade for assumida pelo Estado-Membro nos termos do direito nacional, ou se o próprio Estado-Membro for diretamente responsável pelas avaliações da conformidade.

16.

Os organismos de avaliação da conformidade e o seu pessoal, os seus comités, as suas filiais, os seus subcontratantes, e qualquer outro organismo associado ou o pessoal externo de organismos de avaliação da conformidade, devem manter a confidencialidade e respeitar o sigilo profissional no que se refere a todas as informações obtidas no cumprimento das suas tarefas de avaliação da conformidade no âmbito do presente regulamento ou de qualquer disposição do direito nacional que lhe dê aplicação, salvo nos casos em que a divulgação seja exigida pelo direito da União ou do Estado-Membro ao qual essas pessoas estão sujeitas, e exceto em relação às autoridades competentes do Estado-Membro em que exercem as suas atividades. Os direitos de propriedade intelectual devem ser protegidos. Os organismos de avaliação da conformidade devem dispor de procedimentos documentados referentes aos requisitos do presente ponto.

17.	Com exceção do ponto 16, os requisitos estabelecidos no presente anexo em nada obstam ao intercâmbio de informações técnicas e de orientações regulamentares entre organismos de avaliação da conformidade e pessoas que apresentem, ou ponderem apresentar, pedidos de certificação.

18.	Os organismos de avaliação da conformidade devem funcionar de acordo com um conjunto de condições coerentes, justas e razoáveis, tendo em conta os interesses das PME no que respeita às taxas.

19.	Os organismos de avaliação da conformidade devem cumprir os requisitos da norma aplicável harmonizada, nos termos do Regulamento (CE) n.o 765/2008 para a acreditação de organismos de avaliação da conformidade que certifiquem produtos, serviços ou processos de TIC.

20.	Os organismos de avaliação da conformidade devem assegurar que os laboratórios de ensaio utilizados para fins de avaliação da conformidade cumpram os requisitos da norma aplicável harmonizada, nos termos do Regulamento (CE) n.o 765/2008 para a acreditação de laboratórios que realizem ensaios.