Quadro de certificação da cibersegurança da UE

A certificação desempenha um papel crucial no aumento da confiança e da segurança em produtos e serviços críticos para o mundo digital. Atualmente, existem na UE vários sistemas diferentes de certificação da segurança dos produtos TIC. No entanto, sem um quadro comum para os certificados de cibersegurança válidos à escala da UE, existe um risco crescente de fragmentação e de obstáculos entre os Estados-Membros.

Quadro de certificação

O quadro de certificação proporcionará sistemas de certificação à escala da UE como um conjunto abrangente de regras, requisitos técnicos, normas e procedimentos. O quadro basear-se-á num acordo a nível da UE sobre a avaliação das propriedades de segurança de um produto ou serviço específico baseado nas TIC. Certificará que os produtos e serviços de TIC que tenham sido certificados em conformidade com esse sistema cumprem os requisitos especificados.

Em especial, cada sistema europeu deve especificar:

• As categorias de produtos e serviços abrangidos;
• Os requisitos de cibersegurança, tais como normas ou especificações técnicas;
• O tipo de avaliação, como a autoavaliação ou terceiros;
• O nível de garantia pretendido.

Os níveis de garantia são utilizados para informar os utilizadores sobre o risco de cibersegurança de um produto e podem ser básicos, substanciais e/ou elevados. São proporcionais ao nível de risco associado à utilização prevista do produto, serviço ou processo, em termos de probabilidade e impacto de um acidente. Um nível de garantia elevado significaria que o produto certificado passaria nos testes de segurança mais elevados.

O certificado resultante

O certificado resultante será reconhecido em todos os Estados-Membros da UE, tornando mais fácil para as empresas o comércio transfronteiras e para os compradores compreenderem os elementos de segurança do produto ou serviço.

Para mais informações sobre o trabalho realizado em matéria de certificação da cibersegurança na UE, consulte a certificação da cibersegurança da ENISA.

O primeiro sistema de certificação da cibersegurança da UE com base em critérios comuns (EUCC)

O primeiro sistema a ser adotado ao abrigo do quadro de certificação do Regulamento Cibersegurança baseia-se na reconhecida norma internacional Common Criteria, utilizada para emitir certificados na Europa há quase 30 anos. O sistema tira partido da elevada reputação dos vendedores e certificadores europeus que utilizam a certificação baseada em critérios comuns em todo o mundo. O regime começará a estar disponível para os vendedores a partir de 27 de fevereiro de 2025.

O sistema será aplicável a nível da UE, numa base voluntária, e centra-se na certificação da cibersegurança dos produtos de TIC ao longo do seu ciclo de vida, incluindo:

• Sistemas biométricos
• Firewalls (hardware e software)
• Plataformas de deteção e resposta
• Roteadores
• Interruptores
• Software especializado (como sistemas SIEM e IDS/IDP)
• Diodos de dados
• Sistemas operativos (incluindo para dispositivos móveis)
• Armazenamento encriptado
• Bases de dados
• Cartões inteligentes e elementos seguros incluídos em todos os tipos de produtos, como nos passaportes utilizados diariamente por todos os cidadãos. 

Para mais informações sobre o EUCC, consulte o sítio Web de certificação da ENISA.

Um quadro europeu de certificação da cibersegurança renovado

Em 20 de janeiro de 2026, a Comissão propôs uma revisão do Regulamento Cibersegurança que renova o Quadro Europeu de Certificação da Cibersegurança (ECCF). A proposta assegurará que os produtos e serviços que chegam aos consumidores da UE sejam testados quanto à segurança de uma forma mais eficiente. O novo ECCF proporcionará maior clareza e procedimentos mais simples para o desenvolvimento de regimes no prazo de 12 meses por defeito. Introduzirá igualmente uma governação mais ágil e transparente, a fim de envolver melhor as partes interessadas através da informação e consulta do público.

Os sistemas de certificação, geridos pela ENISA, tornar-se-ão um instrumento prático e voluntário para as empresas. Permitirão às empresas demonstrar o cumprimento da legislação da UE, reduzindo os encargos e os custos. Para os cidadãos, as empresas e as autoridades públicas da UE, assegurará um elevado nível de segurança e confiança em cadeias de abastecimento complexas no domínio das TIC. 

Programa de trabalho evolutivo da União para a certificação europeia da cibersegurança

O Programa de Trabalho Evolutivo da União sobre a Certificação Europeia da Cibersegurança foi publicado ao mesmo tempo que o primeiro sistema de certificação da cibersegurança à escala da UE (EUCC). O primeiro programa de trabalho define prioridades estratégicas para os futuros sistemas europeus de certificação da cibersegurança, tendo em conta a recente evolução legislativa e do mercado, como o Regulamento Ciber-Resiliência e o Regulamento Identidade Digital. Tal poderá eventualmente conduzir a pedidos de novos regimes, sempre que necessário e adequado. Além disso, define as prioridades estratégicas a ter em conta na elaboração de qualquer sistema europeu de certificação da cibersegurança. 

O Grupo da URWP salienta os seguintes domínios para a futura certificação europeia da cibersegurança relacionados com a legislação da UE:

• Carteiras de identificação
• Serviços de segurança geridos
• Sistemas de Automação e Controlo Industrial
• Desenvolvimento do ciclo de vida da segurança com base nos requisitos das ANR
• Mecanismos criptográficos

Grupo Europeu para a Certificação da Cibersegurança (ECCG)

O Grupo Europeu para a Certificação da Cibersegurança (GCEC) foi criado para ajudar a assegurar a execução e aplicação coerentes do Regulamento Cibersegurança. É composto por representantes das autoridades nacionais de certificação da cibersegurança ou representantes de outras autoridades nacionais competentes. O GECC é fundamental para a preparação do sistema de certificação candidato e para a aplicação geral do quadro de certificação.

Grupo das Partes Interessadas para a Certificação da Cibersegurança (GCSC)

Na sequência da entrada em vigor do Regulamento Cibersegurança em 2019, foi criado o Grupo das Partes Interessadas para a Certificação da Cibersegurança (GCSC). 

O SCCG é responsável por aconselhar a Comissão e a ENISA sobre questões estratégicas relativas à certificação da cibersegurança e assistir a Comissão na elaboração do programa de trabalho evolutivo da União. Este é o primeiro grupo de peritos das partes interessadas para a certificação da cibersegurança lançado pela Comissão Europeia.

Acompanhar os trabalhos do Grupo