Artigo 54.o – Elementos dos sistemas europeus de certificação da cibersegurança

a)

O objeto e o âmbito do sistema de certificação, nomeadamente o tipo ou as categorias de produtos, serviços e processos de TIC abrangidos;

b)

Uma descrição clara do objetivo do sistema e do modo como as normas, os métodos de avaliação e os níveis de garantia selecionados correspondem às necessidades dos utilizadores do sistema a que se destinam;

c)

Referências às normas internacionais, europeias ou nacionais aplicadas na avaliação ou, caso essas normas não estejam disponíveis ou não sejam adequadas às especificações técnicas que cumprem os requisitos estabelecidos no anexo II do Regulamento (UE) n.o 1025/2012 ou, na falta destas últimas, a especificações técnicas ou outros requisitos de cibersegurança previstos no sistema europeu de certificação de cibersegurança;

d)

Um ou mais níveis de garantia, se aplicável;

e)

Uma indicação que precise se a autoavaliação da conformidade é autorizada no âmbito do sistema;

f)

Se aplicável, os requisitos específicos ou adicionais a que estão sujeitos os organismos de avaliação da conformidade, a fim de garantir a sua competência técnica para avaliar os requisitos de cibersegurança;

g)

Os critérios e métodos de avaliação específicos, nomeadamente os tipos de avaliação a utilizar para demonstrar que são alcançados os objetivos de segurança específicos referidos no artigo 51.o;

h)

Se aplicável, as informações necessárias para a certificação e que os requerentes devem fornecer ou de qualquer outro modo pôr à disposição dos organismos de avaliação da conformidade;

i)

As condições de utilização de marcas ou rótulos, caso estes estejam previstos pelo sistema;

j)

As regras para o controlo da conformidade dos produtos, serviços ou processos de TIC com os requisitos dos certificados europeus de cibersegurança ou da declaração UE de conformidade, incluindo mecanismos para demonstrar a conformidade permanente com os requisitos de cibersegurança especificados;

k)

Se aplicável, as condições para a emissão, manutenção, continuação e renovação de um certificado europeu de cibersegurança, bem como as condições para o alargamento ou a redução do âmbito da certificação;

l)

As regras relativas às consequências para os produtos, serviços e processos de TIC que tenham sido certificados ou para os quais tenha sido emitida uma declaração UE de conformidade, mas que não cumprem os requisitos do sistema;

m)

As regras relativas ao modo como devem ser comunicadas e tratadas vulnerabilidades de cibersegurança não detetadas anteriormente em produtos, serviços e processos de TIC;

n)

Se aplicável, as regras relativas à conservação de registos por parte dos organismos de avaliação da conformidade;

o)

A identificação dos sistemas nacionais ou internacionais de certificação da cibersegurança que abranjam os mesmos tipos ou categorias de produtos, serviços e processos de TIC, requisitos de segurança, critérios e métodos de avaliação e níveis de garantia;

p)

O conteúdo e formato dos certificados europeus de cibersegurança e das declarações UE de conformidade a emitir;

q)

O período de disponibilidade da declaração UE de conformidade, da documentação técnica e de todas as outras informações relevantes a disponibilizar pelo fabricante de produtos de TIC, o prestador de serviços de TIC ou o fornecedor de processos de TIC;

r)

O prazo máximo de validade dos certificados europeus de cibersegurança emitidos ao abrigo do sistema;

s)

A política de divulgação dos certificados europeus de cibersegurança emitidos, alterados e retirados ao abrigo do sistema;

t)

As condições para o reconhecimento mútuo de sistemas de certificação com países terceiros;

u)

Se aplicável, as regras relativas a um eventual mecanismo de avaliação pelos pares criado pelo sistema para as autoridades ou organismos que emitem certificados europeus de cibersegurança para o nível de garantia «elevado» nos termos do artigo 56.o, n.o 6. Tal mecanismo não prejudica a análise pelos pares prevista no artigo 59.o;

v)

O formato e os procedimentos a seguir pelos fabricantes de produtos de TIC, prestadores de serviços de TIC ou fornecedores de processos de TIC para o fornecimento e a atualização das informações complementares sobre cibersegurança nos termos do artigo 55.o.