Quadro de certificação da cibersegurança da UE

A certificação desempenha um papel crucial no aumento da confiança e da segurança em produtos e serviços críticos para o mundo digital. Atualmente, existem na UE vários sistemas diferentes de certificação da segurança dos produtos TIC. No entanto, sem um quadro comum para os certificados de cibersegurança válidos à escala da UE, existe um risco crescente de fragmentação e de obstáculos entre os Estados-Membros.

Quadro de certificação

O quadro de certificação proporcionará sistemas de certificação à escala da UE como um conjunto abrangente de regras, requisitos técnicos, normas e procedimentos. O quadro basear-se-á num acordo a nível da UE sobre a avaliação das propriedades de segurança de um produto ou serviço específico baseado nas TIC. Certificará que os produtos e serviços de TIC que tenham sido certificados em conformidade com esse sistema cumprem os requisitos especificados.

Em especial, cada sistema europeu deve especificar:

• As categorias de produtos e serviços abrangidos;
• Os requisitos de cibersegurança, tais como normas ou especificações técnicas;
• O tipo de avaliação, como a autoavaliação ou terceiros;
• O nível de garantia pretendido.

Os níveis de garantia são utilizados para informar os utilizadores sobre o risco de cibersegurança de um produto e podem ser básicos, substanciais e/ou elevados. São proporcionais ao nível de risco associado à utilização prevista do produto, serviço ou processo, em termos de probabilidade e impacto de um acidente. Um nível de garantia elevado significaria que o produto certificado passaria nos testes de segurança mais elevados.

O certificado resultante

O certificado resultante será reconhecido em todos os Estados-Membros da UE, tornando mais fácil para as empresas o comércio transfronteiras e para os compradores compreenderem os elementos de segurança do produto ou serviço.

Para mais informações sobre o trabalho realizado em matéria de certificação da cibersegurança na UE, consulte a certificação da cibersegurança da ENISA.

O primeiro sistema de certificação da cibersegurança da UE com base em critérios comuns (EUCC)

O primeiro sistema adotado ao abrigo do quadro de certificação do Regulamento Cibersegurança baseia-se na renomada norma internacional «Critérios Comuns», utilizada para emitir certificados na Europa há quase 30 anos. O sistema tira partido da elevada reputação dos vendedores e certificadores europeus que utilizam a certificação baseada em critérios comuns em todo o mundo. 

O regime tornou-se aplicável em 27 de fevereiro de 2025.

O sistema aplica-se a nível da UE, numa base voluntária, e centra-se na certificação da cibersegurança dos produtos de TIC ao longo do seu ciclo de vida, incluindo:

• Sistemas biométricos
• Firewalls (hardware e software)
• Plataformas de deteção e resposta
• Roteadores
• Interruptores
• Software especializado (como sistemas SIEM e IDS/IDP)
• Diodos de dados
• Sistemas operativos (incluindo para dispositivos móveis)
• Armazenamento encriptado
• Bases de dados
• Cartões inteligentes e elementos seguros incluídos em todos os tipos de produtos, como nos passaportes utilizados diariamente por todos os cidadãos. 

Para mais informações sobre o EUCC, consulte o sítio Web de certificação da ENISA.

Um quadro europeu de certificação da cibersegurança renovado

Em 20 de janeiro de 2026, a Comissão propôs uma revisão do Regulamento Cibersegurança que renova o Quadro Europeu de Certificação da Cibersegurança (ECCF). A proposta assegurará que os produtos e serviços que chegam aos consumidores da UE sejam testados quanto à segurança de uma forma mais eficiente. O novo ECCF proporcionará maior clareza e procedimentos mais simples para o desenvolvimento de regimes no prazo de 12 meses por defeito. Introduzirá igualmente uma governação mais ágil e transparente, a fim de envolver melhor as partes interessadas através da informação e consulta do público.

Os sistemas de certificação, geridos pela ENISA, tornar-se-ão um instrumento prático e voluntário para as empresas. Permitirão às empresas demonstrar o cumprimento da legislação da UE, reduzindo os encargos e os custos. Para os cidadãos, as empresas e as autoridades públicas da UE, assegurará um elevado nível de segurança e confiança em cadeias de abastecimento complexas no domínio das TIC. 

Programa de trabalho evolutivo da União para a certificação europeia da cibersegurança

O Programa de Trabalho Evolutivo da União sobre a Certificação Europeia da Cibersegurança foi publicado ao mesmo tempo que o primeiro sistema de certificação da cibersegurança à escala da UE (EUCC). O primeiro programa de trabalho define prioridades estratégicas para os futuros sistemas europeus de certificação da cibersegurança, tendo em conta a recente evolução legislativa e do mercado, como o Regulamento Ciber-Resiliência e o Regulamento Identidade Digital. Tal poderá eventualmente conduzir a pedidos de novos regimes, sempre que necessário e adequado. Além disso, define as prioridades estratégicas a ter em conta na elaboração de qualquer sistema europeu de certificação da cibersegurança. 

O Grupo da URWP salienta os seguintes domínios para a futura certificação europeia da cibersegurança relacionados com a legislação da UE:

• Carteiras de identificação
• Serviços de segurança geridos
• Sistemas de Automação e Controlo Industrial
• Desenvolvimento do ciclo de vida da segurança com base nos requisitos das ANR
• Mecanismos criptográficos

Pedidos de sistemas europeus de certificação da cibersegurança

A Comissão pode solicitar à ENISA que elabore uma proposta de sistema ou que reveja um sistema europeu de certificação da cibersegurança existente. Na sequência desse pedido, a ENISA elabora uma proposta de sistema e consulta as partes interessadas pertinentes através de um processo aberto e transparente. A ENISA também trabalha em estreita colaboração com os Estados-Membros através do Grupo Europeu para a Certificação da Cibersegurança e recorre a aconselhamento especializado antes de apresentar o sistema proposto à Comissão.

A Comissão solicitou à ENISA que preparasse as seguintes propostas de sistemas:

Sistema europeu de certificação baseado em critérios comuns  

Sistema europeu de certificação da cibersegurança dos serviços de computação em nuvem 

Sistema europeu de certificação da cibersegurança das carteiras europeias de identidade digital 

Sistema europeu de certificação da cibersegurança dos serviços de segurança geridos 

Sistema europeu de certificação da cibersegurança das redes 5G 

Grupo Europeu para a Certificação da Cibersegurança (ECCG)

O Grupo Europeu para a Certificação da Cibersegurança (GCEC) foi criado para ajudar a assegurar a execução e aplicação coerentes do Regulamento Cibersegurança. É composto por representantes das autoridades nacionais de certificação da cibersegurança ou representantes de outras autoridades nacionais competentes. O GECC é fundamental para a preparação do sistema de certificação candidato e para a aplicação geral do quadro de certificação.

Grupo das Partes Interessadas para a Certificação da Cibersegurança (GCSC)

Na sequência da entrada em vigor do Regulamento Cibersegurança em 2019, foi criado o Grupo das Partes Interessadas para a Certificação da Cibersegurança (GCSC). 

O SCCG é responsável por aconselhar a Comissão e a ENISA sobre questões estratégicas relativas à certificação da cibersegurança e assistir a Comissão na elaboração do programa de trabalho evolutivo da União. Este é o primeiro grupo de peritos das partes interessadas para a certificação da cibersegurança lançado pela Comissão Europeia.

Acompanhar os trabalhos do Grupo