Artigo 5.º-CCertificação de carteiras europeias de identidade digital

A conformidade das carteiras europeias de identidade digital e do sistema de identificação eletrónica ao abrigo do qual são fornecidas com os requisitos estabelecidos no artigo 5.º-A, n.os 4, 5 e 8, com o requisito de separação lógica estabelecido no artigo 5.º-A, n.º 14, e, se for caso disso, com as normas e especificações técnicas a que se refere o artigo 5.º-A, n.º 24, é certificada por organismos de avaliação da conformidade designados pelos Estados-Membros.

A certificação da conformidade das carteiras europeias de identidade digital com os requisitos a que se refere o n.º 1 do presente artigo, ou partes destes, que sejam pertinentes em matéria de cibersegurança é efetuada em conformidade com os sistemas europeus de certificação de cibersegurança adotados nos termos do Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho (¹) e referidos nos atos de execução a que se refere o n.º 6 do presente artigo.

Para os requisitos a que se refere o n.º 1 do presente artigo não relacionados com a cibersegurança e, no que respeita aos requisitos a que se refere o n.º 1 do presente artigo relacionados com a cibersegurança, na medida em que os sistemas de certificação da cibersegurança a que se refere o n.º 2 do presente artigo não abrangerem, ou abrangerem apenas parcialmente, esses requisitos de cibersegurança, também para esses requisitos, os Estados-Membros estabelecem sistemas nacionais de certificação em conformidade com os requisitos estabelecidos nos atos de execução a que se refere o n.º 6 do presente artigo. Os Estados-Membros transmitem os seus projetos de sistemas nacionais de certificação ao Grupo de Cooperação Europeia para a Identidade Digital criado nos termos do artigo 46.º-E, n.º 1 («grupo de cooperação»). O grupo de cooperação pode emitir pareceres e recomendações.

A certificação nos termos do n.º 1 é válida por um período máximo de cinco anos, desde que seja realizada uma avaliação da vulnerabilidade de dois em dois anos. Quando uma vulnerabilidade for identificada e não corrigida em tempo útil após tal identificação, a certificação será cancelada.

O cumprimento dos requisitos estabelecidos no artigo 5.º-A do presente regulamento relativos às operações de tratamento de dados pessoais pode ser certificado nos termos do Regulamento (UE) 2016/679.

Até 21 de novembro de 2024, a Comissão estabelece, por meio de atos de execução, uma lista de normas de referência e, se necessário, estabelece especificações e procedimentos para a certificação das carteiras europeias de identidade digital a que se referem os n.os 1, 2 e 3 do presente artigo. Os referidos atos de execução são adotados pelo procedimento de exame a que se refere o artigo 48.º, n.º 2.

Os Estados-Membros comunicam à Comissão o nome e o endereço dos organismos de avaliação da conformidade a que se refere o n.º 1. A Comissão disponibiliza a informação a todos os Estados-Membros.

A Comissão fica habilitada a adotar atos delegados em conformidade com o artigo 47.º que estabelecem os critérios específicos a cumprir pelos organismos de avaliação da conformidade referidos no n.º 1 do presente artigo.