EVROPSKÁ KOMISE V Bruselu dne 15.9.2022 COM(2022) 454 final 2022/0272(COD) Návrh NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky a o změně nařízení (EU) 2019/1020 (Text s významem pro EHP) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



DŮVODOVÁ ZPRÁVA 1.SOUVISLOSTI NÁVRHU •Odůvodnění a cíle návrhu Hardwarové a softwarové produkty se stále častěji stávají předmětem úspěšných kybernetických útoků, což do roku 2021 povede k odhadovaným celosvětovým ročním nákladům spojeným s kybernetickou kriminalitou ve výši 5,5 bilionu EUR. Tyto produkty trpí dvěma hlavními problémy, které zvyšují náklady pro uživatele a společnost: 1) nízká úroveň kybernetické bezpečnosti, která se odráží v rozšířené zranitelnosti a nedostatečném a nekonzistentním poskytování bezpečnostních aktualizací k jejímu řešení, a 2) nedostatečné chápání informací a přístup k informacím ze strany uživatelů, což jim znemožňuje vybrat si produkty s odpovídajícími vlastnostmi kybernetické bezpečnosti nebo je používat bezpečným způsobem. V propojeném prostředí může kybernetický bezpečnostní incident v jednom produktu ovlivnit celou organizaci nebo celý dodavatelský řetězec a často se do několika minut rozšířit přes hranice vnitřního trhu. To může vést k vážnému narušení hospodářských a sociálních činností nebo dokonce ohrozit životy. Kybernetická bezpečnost produktů s digitálními prvky má silný přeshraniční rozměr, neboť produkty vyrobené v jedné zemi se často používají na celém vnitřním trhu. Kromě toho incidenty, které se zpočátku dotýkají jednoho subjektu nebo jednoho členského státu, se často během několika minut rozšíří po celém vnitřním trhu. Zatímco stávající právní předpisy pro vnitřní trh se na některé produkty s digitálními prvky vztahují, většina hardwarových a softwarových produktů není v současné době upravena žádným právním předpisem EU, který by se zabýval jejich kybernetickou bezpečností. Stávající právní rámec EU se zejména nezabývá kybernetickou bezpečností nevestavěného softwaru, a to ani v případě, že se kybernetické útoky stále více zaměřují na zranitelnosti těchto produktů, což způsobuje značné společenské a hospodářské náklady. Existují četné příklady významných kybernetických útoků vyplývajících z neoptimální bezpečnosti produktů, jako ransomwarový červ WannaCry, který zneužil zranitelnost systému Windows a v roce 2017 postihl 200 000 počítačů ve 150 zemích, přičemž způsobil škodu v řádu miliard USD; útok v dodavatelském řetězci společnosti Kaseya VSA, který využil software pro správu sítě společnosti Kaseya k útoku na více než 1 000 společností a přinutil řetězec supermarketů k uzavření všech 500 prodejen po celém Švédsku; nebo řada incidentů, při nichž dochází k hackerskému útoku na bankovní aplikace s cílem ukrást peníze nic netušícím spotřebitelům. Byly stanoveny dva hlavní cíle za účelem zajištění řádného fungování vnitřního trhu: 1) vytvořit podmínky pro vývoj bezpečných produktů s digitálními prvky tím, že bude zajištěno, aby hardwarové a softwarové produkty byly uváděny na trh s méně zranitelnostmi a aby výrobci brali vážně bezpečnost v průběhu celého životního cyklu produktu, a 2) vytvořit podmínky umožňující uživatelům, aby při výběru a používání produktů s digitálními prvky zohlednili kybernetickou bezpečnost. Byly stanoveny čtyři konkrétní cíle: i) zajistit, aby výrobci zlepšili bezpečnost produktů digitálními prvky od fáze návrhu a vývoje a během celého životního cyklu; ii) zajistit soudržný rámec kybernetické bezpečnosti, který výrobcům hardwaru a softwaru usnadní dodržování předpisů; iii) zvýšit transparentnost bezpečnostních vlastností produktů s digitálními prvky a iv) umožnit podnikům a spotřebitelům bezpečné používání produktů s digitálními prvky. Silná přeshraniční povaha kybernetické bezpečnosti a rostoucí počet incidentů, které se přelévají přes hranice a mezi odvětvími a produkty, znamená, že těchto cílů nemohou členské státy účinně dosáhnout samy. Vzhledem ke globální povaze trhů s produkty s digitálními prvky čelí členské státy stejným rizikům u téhož produktu s digitálními prvky na svém území. Vznikající roztříštěný rámec potenciálně odlišných vnitrostátních pravidel může narušit otevřený a konkurenceschopný jednotný trh produktů s digitálními prvky. Pro zvýšení důvěry mezi uživateli a přitažlivosti produktů EU s digitálními prvky je proto nezbytná společná akce na úrovni EU. Prospělo by to i vnitřnímu trhu, neboť by poskytoval právní jistotu a zajistil rovné podmínky pro prodejce produktů s digitálními prvky, což je zdůrazněno i v závěrečné zprávě Konference o budoucnosti Evropy, v níž občané požadují větší roli EU v boji proti kybernetickým hrozbám. •Vzájemné působení se stávajícími ustanoveními v této oblasti politiky Rámec EU obsahuje několik horizontálních právních předpisů, které upravují některá hlediska související s kybernetickou bezpečností z různých úhlů (produkty, služby, řešení krizí a trestná činnost). V roce 2013 vstoupila v platnost směrnice o útocích na informační systémy, která harmonizuje kriminalizaci a sankce za řadu trestných činů namířených proti informačním systémům. V srpnu 2016 vstoupila v platnost směrnice (EU) 2016/1148 o bezpečnosti sítí a informačních systémů (směrnice o bezpečnosti sítí a informací) coby první právní předpis EU o kybernetické bezpečnosti. Její revize, jejímž výsledkem je směrnice [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)], zvyšuje společnou úroveň ambicí EU. V roce 2019 vstoupil v platnost akt EU o kybernetické bezpečnosti, jehož cílem je posílit bezpečnost produktů, služeb a procesů IKT zavedením dobrovolného evropského rámce pro certifikaci kybernetické bezpečnosti. Kybernetická bezpečnost celého dodavatelského řetězce je zajištěna pouze tehdy, jsou-li kyberneticky bezpečné všechny jeho složky. Výše uvedené právní předpisy EU však v tomto ohledu vykazují značné nedostatky, neboť se nevztahují na povinné požadavky na bezpečnost produktů s digitálními prvky. Zatímco navrhovaný akt o kybernetické odolnosti se vztahuje na produkty s digitálními prvky uváděné na trh, cílem směrnice [směrnice XXX/XXX (o bezpečnosti sítí a informací 2)] je zajistit vysokou úroveň kybernetické bezpečnosti služeb poskytovaných zásadními a významnými subjekty. Směrnice [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] vyžaduje, aby členské státy zajistily, že zásadní a důležité subjekty spadající do oblasti její působnosti, například poskytovatelé zdravotní péče nebo cloud computingu a subjekty veřejné správy, přijmou vhodná a přiměřená technická, provozní a organizační opatření v oblasti kybernetické bezpečnosti. Patří sem mimo jiné požadavek na zajištění bezpečnosti při pořizování, vývoji a údržbě sítí a informačních systémů, včetně zveřejňování informací o zranitelnostech a jejich řešení. Směrnice [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] vyžaduje, aby Komise přijala prováděcí akty, kterými stanoví technické a metodické požadavky vyplývající z uvedených opatření pro určité druhy subjektů, například poskytovatele služeb cloud computingu, a to do 21 měsíců ode dne vstupu této směrnice v platnost. Pro všechny ostatní subjekty může Komise přijmout prováděcí akt, kterým stanoví technické a metodické požadavky, jakož i odvětvové požadavky. Tento rámec zajistí, aby technické specifikace a opatření podobná základním požadavkům na kybernetickou bezpečnost stanoveným v aktu o kybernetické odolnosti byla rovněž prováděna při navrhování, vývoji a řešení zranitelnosti softwaru poskytovaného jako služba (software jako služba). To by se například mohlo stát prostředkem k zajištění vysoké úrovně kybernetické bezpečnosti v takových případech, jako jsou systémy elektronických zdravotních záznamů, a to i tehdy, jsou-li poskytovány ve formě Software jako služba (SaaS) nebo vyvíjeny v rámci zdravotnických institucí (interně), v souladu s navrhovaným [nařízením o evropském prostoru pro zdravotní data]. •Vzájemné působení s ostatními politikami Unie Jak se uvádí ve sdělení „Formování digitální budoucnosti Evropy“, pro EU je důležité, aby těžila ze všech výhod digitálního věku a posilovala svůj průmysl a inovační kapacitu v bezpečných a etických mezích. Evropská strategie pro data stanoví čtyři pilíře – ochranu údajů, základní práva, bezpečnost a kybernetickou bezpečnost – jako nezbytné předpoklady pro posílení společnosti díky využívání údajů. Současný rámec EU, který se vztahuje na produkty, které mohou rovněž obsahovat digitální prvky, zahrnuje několik právních předpisů, včetně právních předpisů EU o konkrétních produktech zahrnujících bezpečnostní aspekty a obecných právních předpisů o odpovědnosti za výrobek. Návrh je v souladu se stávajícím regulačním rámcem EU týkajícím se produktů, jakož i s nedávnými legislativními návrhy, například návrhem nařízení [nařízení o umělé inteligenci (UI)] předloženým Komisí. Navrhované nařízení by se vztahovalo na všechna rádiová zařízení spadající do oblasti působnosti nařízení Komise v přenesené pravomoci (EU) 2022/30. Požadavky stanovené tímto nařízením navíc zahrnují všechny prvky základních požadavků podle čl. 3 odst. 3 písm. d), e) a f) směrnice 2014/53/EU, včetně hlavních prvků stanovených v [prováděcím rozhodnutí Komise XXX/2022 o žádosti o normalizaci podané evropským normalizačním organizacím] vydaném na základě uvedeného nařízení v přenesené pravomoci. S cílem zabránit překrývání právních předpisů se předpokládá, že Komise zruší nebo změní nařízení v přenesené pravomoci, pokud jde o rádiová zařízení, na něž se vztahuje navrhované nařízení, aby pro ně platilo, jakmile bude použitelné. Kromě toho se předpokládá, že Komise a evropské normalizační organizace při přípravě a vypracovávání harmonizovaných norem s cílem usnadnit provádění tohoto nařízení zohlední normalizační práci provedenou v souvislosti s prováděcím rozhodnutím Komise C(2022)5637 o žádosti o normalizaci ohledně nařízení v přenesené pravomoci 2022/30 týkajícího se směrnice o rádiových zařízeních, aby se zabránilo zdvojování práce. 2.PRÁVNÍ ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA •Právní základ

Právním základem tohoto návrhu je článek 114 Smlouvy o fungování Evropské unie (SFEU), který stanoví přijetí opatření nezbytných pro vytvoření a fungování vnitřního trhu. Účelem návrhu je harmonizovat požadavky na kybernetickou bezpečnost produktů s digitálními prvky ve všech členských státech a odstranit překážky volného pohybu zboží. Článek 114 SFEU lze použít jako právní základ umožňující zabránit vzniku těchto překážek, které vyplývají z rozdílných vnitrostátních právních předpisů a přístupů k řešení právní nejistoty a mezer ve stávajících právních rámcích. Soudní dvůr dále uznal, že použití různorodých technických požadavků by mohlo být platným důvodem pro aktivování článku 114 SFEU. Současný legislativní rámec EU, který se vztahuje na produkty s digitálními prvky, je založen na článku 114 SFEU a zahrnuje několik právních předpisů, včetně právních předpisů o konkrétních produktech a aspektech souvisejících s bezpečností nebo obecných právních předpisů o odpovědnosti za výrobek. Vztahuje se však pouze na některé aspekty spojené s kybernetickou bezpečností hmotných digitálních produktů a případně na software vestavěný do těchto produktů. Na vnitrostátní úrovni začínají členské státy přijímat vnitrostátní opatření, která vyžadují, aby prodejci digitálních produktů posílili svou kybernetickou bezpečnost. Zároveň má kybernetická bezpečnost digitálních produktů obzvláště silný přeshraniční rozměr, neboť produkty vyrobené v jedné zemi jsou často používány organizacemi a spotřebiteli na celém vnitřním trhu. Incidenty, které se zpočátku týkají jednoho subjektu nebo členského státu, se často do několika minut rozšíří napříč organizacemi, odvětvími a několika členskými státy. Různé akty a iniciativy, které byly dosud přijaty na úrovni EU a na vnitrostátní úrovni, řeší zjištěné problémy pouze částečně, přičemž hrozí, že v rámci vnitřního trhu vznikne právní nejednotnost, čímž se zvýší právní nejistota jak pro prodejce, tak pro uživatele těchto produktů a zvýší se zbytečná zátěž pro společnosti, pokud jde o plnění řady požadavků na podobné druhy produktů. Navrhované nařízení by harmonizovalo a zefektivnilo regulační prostředí EU tím, že zavede požadavky na kybernetickou bezpečnost produktů s digitálními prvky a zabrání překrývání požadavků vyplývajících z různých právních předpisů. Tím by se zajistila větší právní jistota pro hospodářské subjekty a uživatele v celé Unii, jakož i lepší harmonizace evropského jednotného trhu, a vytvořily by se přijatelnější podmínky pro subjekty, které chtějí vstoupit na trh EU. •Subsidiarita (v případě nevýlučné pravomoci) Silná přeshraniční povaha kybernetické bezpečnosti obecně a rostoucí počet rizik a incidentů, které se přelévají přes hranice a mezi odvětvími a produkty, znamená, že cílů tohoto zásahu nemohou členské státy účinně dosáhnout samy. Vnitrostátní přístupy k řešení problémů, a zejména přístupy zavádějící povinné požadavky, vytvoří další právní nejistotu a právní překážky. To by mohlo společnostem bránit v tom, aby bezproblémově rozšiřovaly svou činnost do jiných členských států, což by připravilo uživatele o výhody plynoucí z jejich produktů. K zajištění vysoké úrovně důvěry mezi uživateli a zvýšení přitažlivosti produktů EU s digitálními prvky je proto nezbytná společná akce na úrovni EU. Prospěla by rovněž jednotnému digitálnímu trhu a vnitřnímu trhu obecně tím, že by výrobcům produktů s digitálními prvky poskytla právní jistotu a zajistila rovné podmínky. Závěry Rady ze dne 23. května 2022 o vývoji postoje Evropské unie v kybernetické oblasti v konečném důsledku vyzývají Komisi, aby do konce roku 2022 navrhla společné požadavky na kybernetickou bezpečnost zařízení připojených k internetu. •Proporcionalita Pokud jde o proporcionalitu navrhovaného nařízení, opatření ve zvažovaných možnostech politiky by nepřekračovala rámec toho, co je nezbytné k dosažení obecných a specifických cílů, a nevedla by k nepřiměřeným nákladům. Konkrétně by zvažovaný zásah zajistil, že produkty s digitálními prvky budou zabezpečeny po celou dobu svého životního cyklu a úměrně rizikům, jimž čelí, a to prostřednictvím požadavků zaměřených na cíle a technologicky neutrálních, které zůstanou přiměřené a budou obecně odpovídat zájmům zúčastněných subjektů. Základní požadavky na kybernetickou bezpečnost uvedené v návrhu vycházejí z široce používaných norem, přičemž proces normalizace, který bude následovat, by zohlednil technické zvláštnosti produktů. To znamená, že v případě potřeby by se pro danou úroveň rizika upravily bezpečnostní kontroly. Kromě toho by plánovaná horizontální pravidla pouze předpokládala posouzení kritických produktů třetí stranou. To by se týkalo jen malé části trhu produktů s digitálními prvky. Dopad na malé a střední podniky by závisel na jejich přítomnosti na trhu s těmito konkrétními kategoriemi produktů. Pokud jde o přiměřenost nákladů na posuzování shody, oznámené subjekty provádějící posuzování jako třetí strany by při stanovování svých poplatků zohlednily velikost podniku. Na přípravu provedení by bylo rovněž poskytnuto přiměřené přechodné období v délce 24 měsíců, které by příslušným trhům poskytlo čas na přípravu a zároveň by poskytlo jasné vodítko pro směrování investic do výzkumu a vývoje. Veškeré náklady podniků na dodržování předpisů by byly vyváženy výhodami plynoucími z vyšší úrovně bezpečnosti produktů s digitálními prvky a v konečném důsledku ze zvýšení důvěry uživatelů v tyto produkty. •Volba nástroje Regulační zásah by znamenal přijetí nařízení, a nikoli směrnice. Je tomu tak proto, že pro tento konkrétní druh právních předpisů týkajících se produktů by nařízení účinněji řešilo zjištěné problémy a splňovalo stanovené cíle, neboť se jedná o zásah, který podmiňuje uvádění velmi široké kategorie produktů na vnitřní trh. Proces provádění v případě směrnice by u tohoto zásahu mohl ponechat příliš velký prostor pro rozhodování na vnitrostátní úrovni, což by mohlo vést k nejednotnosti některých základních požadavků na kybernetickou bezpečnost, právní nejistotě, další roztříštěnosti, nebo dokonce diskriminačním přeshraničním situacím, a to tím více s ohledem na skutečnost, že produkty, na něž se tato směrnice vztahuje, mohou mít více účelů nebo způsobů použití a že výrobci mohou vyrábět více kategorií těchto produktů. 3.VÝSLEDKY HODNOCENÍ EX POST, KONZULTACÍ SE ZÚČASTNĚNÝMI STRANAMI A POSOUZENÍ DOPADŮ •Konzultace se zúčastněnými stranami Komise konzultovala širokou škálu zúčastněných stran. Členské státy a zúčastněné strany byly vyzvány k účasti na otevřené veřejné konzultaci a na průzkumech a seminářích organizovaných v souvislosti se studií, kterou provádí konsorcium podporující přípravné práce Komise na posouzení dopadů: společnost Wavestone, Centrum pro evropská politická studia (CEPS) a společnost ICF. Mezi konzultované zúčastněné strany patřily vnitrostátní orgány dozoru nad trhem, subjekty Unie zabývající se kybernetickou bezpečností, výrobci hardwaru a softwaru, dovozci a distributoři hardwaru a softwaru, obchodní sdružení, spotřebitelské organizace a uživatelé produktů s digitálními prvky a občané, výzkumní pracovníci a akademická obec, oznámené subjekty a akreditační orgány a odborníci z odvětví kybernetické bezpečnosti. Konzultační činnosti zahrnovaly: ·první studii provedenou konsorciem tvořeným společnostmi ICF, Wavestone, Carsa a centrem CEPS, která byla zveřejněna v prosinci 2021. Studie zjistila několik selhání trhu a posoudila možné regulační zásahy,

·otevřenou veřejnou konzultaci, která se zaměřila na občany, zúčastněné strany a odborníky na kybernetickou bezpečnost. Bylo předloženo 176 odpovědí. Ty přispěly ke shromáždění různých názorů a zkušeností od všech skupin zúčastněných stran, ·na seminářích organizovaných v rámci studie na podporu přípravných prací Komise na aktu o kybernetické odolnosti se sešlo přibližně 100 zástupců ze všech 27 členských států, kteří zastupovali různé zúčastněné strany, ·byly vedeny odborné rozhovory s cílem dosáhnout hlubšího porozumění současným výzvám v oblasti kybernetické bezpečnosti, které souvisejí s produkty s digitálními prvky, a projednat možnosti politiky pro možný regulační zásah, ·proběhla dvoustranná jednání s vnitrostátními orgány pro kybernetickou bezpečnost, soukromým sektorem a spotřebitelskými organizacemi, ·bylo provedeno cílené kontaktování klíčových zúčastněných stran z řad malých a středních podniků. •Sběr a využití výsledků odborných konzultací Cílem konzultačních činností bylo získat informace o pěti hlavních hodnotících kritériích vycházejících z pokynů EU pro zlepšování právní úpravy (účinnost, účelnost, relevance, soudržnost a přidaná hodnota EU), jakož i o potenciálních dopadech možných variant do budoucna. Dodavatel nejen oslovil zúčastněné strany, které by byly navrhovaným nařízením přímo dotčeny, ale zároveň konzultoval širokou škálu odborníků v oblasti kybernetické bezpečnosti. •Posouzení dopadů Komise provedla posouzení dopadů tohoto návrhu, které přezkoumal Výbor pro kontrolu regulace (RSB) Komise. Dne 6. července 2022 se konalo setkání s výborem RSB, z něhož vyplynulo kladné stanovisko. Posouzení dopadů bylo uzpůsobeno tak, aby zohledňovalo doporučení a připomínky výboru RSB. Komise přezkoumala různé možnosti politiky za účelem dosažení obecného cíle návrhu: ·Přístup založený na právně nevynutitelných předpisech a dobrovolná opatření (možnost 1): v rámci této možnosti by neexistoval žádný povinný regulační zásah. Namísto toho by Komise vydávala sdělení, pokyny, doporučení a případně kodexy chování na podporu dobrovolných opatření. Nadále by se rozvíjely dobrovolné nebo povinné vnitrostátní systémy, které by vyvážily nedostatek horizontálních pravidel EU. ·Regulační zásah ad hoc za účelem kybernetické bezpečnosti hmotných produktů s digitálními prvky a příslušného vestavěného softwaru (možnost 2): tato možnost by znamenala regulační zásah ad hoc zaměřený na jednotlivé produkty, který by se omezil na doplnění a/nebo změnu požadavků na kybernetickou bezpečnost v již existujících právních předpisech nebo na zavedení nových právních předpisů v souvislosti s nově se objevujícími riziky, včetně případného nevestavěného softwaru. Možnosti 3 a 4 zahrnují horizontální regulační zásah, který se liší svým rozsahem a z velké části se řídí novým právním rámcem (NPR). Tento rámec stanoví základní požadavky jako podmínku pro uvedení některých produktů na vnitřní trh. NPR rovněž obvykle stanoví posuzování shody, což je postup, který provádí výrobce s cílem prokázat, že byly splněny stanovené požadavky týkající se určitého produktu. ·Smíšený přístup, včetně horizontálních závazných pravidel pro kybernetickou bezpečnost hmotných produktů s digitálními prvky a příslušným vestavěným softwarem a odstupňovaný přístup k nevestavěnému softwaru (možnost 3): tato možnost by zahrnovala nařízení zavádějící horizontální požadavky na kybernetickou bezpečnost pro všechny hmotné produkty s digitálními prvky a v nich vestavěný software jako podmínku pro uvedení na trh a obsahovala by dvě dílčí možnosti s povinným posouzením třetí stranou a bez něj (3i a 3ii). Nevestavěný software by nebyl regulován. ·Horizontální regulační zásah zavádějící požadavky na kybernetickou bezpečnost pro širokou škálu hmotných a nehmotných produktů s digitálními prvky, včetně nevestavěného softwaru (možnost 4): tato možnost se podobá možnosti 3, s výjimkou oblasti působnosti. Možnost 4 by zahrnovala nevestavěný software (s dvěma dílčími možnostmi, které zahrnují pouze kritický (4a), respektive veškerý software (4b)) v oblasti působnosti případného nařízení. U každé dílčí možnosti by byly zváženy stejné dílčí možnosti týkající se posuzování shody jako v případě možnosti 3. Možnost 4 (s dílčími možnostmi, které se vztahují na veškerý software a zahrnují povinné posouzení kritických produktů třetí stranou) se ukázala jako upřednostňovaná, a to na základě posouzení účinnosti ve vztahu ke specifickým cílům a účinnosti nákladů v porovnání s přínosy. Tato možnost by zajistila stanovení zvláštních horizontálních požadavků na kybernetickou bezpečnost pro všechny produkty s digitálními prvky, které jsou uváděny nebo dodávány na vnitřní trh, a byla by jedinou možností, která by platila pro celý digitální dodavatelský řetězec. Tento regulační zásah by se vztahoval i na nevestavěný software, který je často ohrožen zranitelností, čímž by se zajistil soudržný přístup ke všem produktům s digitálními prvky s jasným rozdělením odpovědnosti různých hospodářských subjektů. Tato možnost politiky rovněž přináší přidanou hodnotu tím, že se týká aspektů povinnosti péče a celého životního cyklu po uvedení produktů s digitálními prvky na trh s cílem zajistit mimo jiné patřičné informace o podpoře bezpečnosti a poskytování bezpečnostních aktualizací. Tato možnost politiky by rovněž nejúčinněji doplnila nedávný přezkum rámce pro o bezpečnosti sítí a informací tím, že by zajistila předpoklady pro posílení bezpečnosti dodavatelského řetězce. Upřednostňovaná možnost by měla významné výhody pro různé zúčastněné strany. V případě podniků by zabránila rozdílným bezpečnostním pravidlům pro produkty s digitálními prvky a snížila by náklady na dodržování příslušných právních předpisů v oblasti kybernetické bezpečnosti. Došlo by ke snížení počtu kybernetických incidentů, nákladů na řešení incidentů a újmy na dobré pověsti. Odhaduje se, že v celé EU by tato iniciativa mohla vést ke snížení nákladů v důsledku incidentů postihujících společnosti o přibližně 180 až 290 miliard EUR ročně. Vedla by ke zvýšení obratu v důsledku využívání produktů s požadavkem na digitální prvky. Zlepšila by se tak celosvětová pověst společností, což by vedlo k nárůstu poptávky i mimo EU. Pro uživatele by upřednostňovaná možnost zvýšila transparentnost bezpečnostních vlastností a usnadnila by využívání produktů s digitálními prvky. Spotřebitelé a občané by rovněž těžili z lepší ochrany svých základních práv, například ochrany soukromí a údajů. Respondenti, kteří byli požádáni, aby zhodnotili účinnost politických zásahů, souhlasili s tím, že nejúčinnějším opatřením bude možnost 4 (4,08 na stupnici od 1 do 5). Patří sem spotřebitelské organizace (5,00), respondenti, kteří se označují za uživatele (4,22), oznámené subjekty (4,17), orgány dozoru nad trhem (5,00) a výrobci produktů s digitálními prvky (3,85), včetně malých a středních (4,05). •Účelnost právních předpisů a zjednodušení

Tento návrh stanoví požadavky, které se budou vztahovat na výrobce softwaru a hardwaru. Je třeba zajistit právní jistotu a zabránit další roztříštěnosti trhu, pokud jde o požadavky týkající se produktů v oblasti kybernetické bezpečnosti na vnitřním trhu, což dokládá široká podpora horizontálního zásahu ze strany různých zúčastněných subjektů. Návrh minimalizuje regulační zátěž, kterou pro výrobce představuje několik aktů o bezpečnosti produktů. Sladění s novým právním rámcem znamená lepší fungování zásahu a jeho prosazování. Návrh zefektivňuje proces ochranných postupů tím, že před oznámením Komisi zapojí výrobce a členské státy. Velká část výrobců spadajících do oblasti působnosti návrhu je již s fungováním nového právního rámce obeznámena, což přispěje k jeho pochopení a provádění. V případě spotřebitelů a společností návrh podpoří důvěru v produkty s digitálními prvky. •Základní práva Očekává se, že všechny možnosti politiky do určité míry posílí ochranu základních práv a svobod, například soukromí, ochranu osobních údajů, svobodu podnikání a ochranu majetku nebo osobní důstojnosti a integrity. V tomto ohledu by byla nejúčinnější zejména upřednostňovaná možnost 4, která sestává z horizontálních regulačních zásahů a širokého rozsahu politiky, neboť je pravděpodobnější, že pomůže snížit počet a závažnost incidentů, včetně porušení zabezpečení osobních údajů. To by rovněž zvýšilo právní jistotu a zajistilo rovné podmínky pro hospodářské subjekty, zvýšilo důvěru mezi uživateli a atraktivitu produktů EU obsahujících digitální prvky jako celku, a tím chránilo majetek a zlepšilo podmínky pro podnikání hospodářských subjektů. Horizontální požadavky na kybernetickou bezpečnost by přispěly k bezpečnosti osobních údajů tím, že by chránily důvěrnost, integritu a dostupnost informací v produktech s digitálními prvky. Dodržování těchto požadavků usnadní splnění požadavku na bezpečnost zpracování osobních údajů podle nařízení (EU) 2016/679 o obecném nařízení o ochraně osobních údajů (GDPR). Návrh by zvýšil transparentnost a informovanost uživatelů, včetně těch, kteří by mohli mít méně dovedností v oblasti kybernetické bezpečnosti. Uživatelé by byli rovněž lépe informováni o rizicích, možnostech a omezeních produktů s digitálními prvky, což by jim umožnilo přijmout nezbytná preventivní a zmírňující opatření ke snížení zbytkových rizik. 4.ROZPOČTOVÉ DŮSLEDKY Aby mohla Agentura Evropské unie pro kybernetickou bezpečnost (ENISA) plnit úkoly přidělené podle tohoto nařízení, agentura ENISA bude muset přerozdělit zdroje ve výši přibližně 4,5 plného pracovního úvazku. Komise by musela přidělit 7 plných pracovních úvazků, aby mohla plnit své povinnosti související s prosazováním podle tohoto nařízení. Podrobný přehled souvisejících nákladů je uveden ve „finančním výkazu“ souvisejícím s tímto návrhem. 5.OSTATNÍ PRVKY •Plány provádění a způsob monitorování, hodnocení a podávání zpráv Komise bude monitorovat provádění, použití a dodržování těchto nových ustanovení s cílem posoudit jejich účinnost. Nařízení bude vyžadovat hodnocení a přezkum ze strany Komise a předložení veřejné zprávy o hodnocení Evropskému parlamentu a Radě, a to do 36 měsíců ode dne použitelnosti a poté každé čtyři roky. •Podrobné vysvětlení konkrétních ustanovení návrhu Obecná ustanovení (kapitola I) Toto navrhované nařízení stanoví a) pravidla pro uvádění produktů s digitálními prvky na trh s cílem zajistit kybernetickou bezpečnost těchto produktů; b) základní požadavky na navrhování, vývoj a výrobu produktů s digitálními prvky a povinnosti hospodářských subjektů v souvislosti s těmito produkty s ohledem na kybernetickou bezpečnost; c) základní požadavky na procesy řešení zranitelnosti zavedené výrobci s cílem zajistit kybernetickou bezpečnost produktů s digitálními prvky během celého životního cyklu a povinnosti hospodářských subjektů v souvislosti s těmito procesy; d) pravidla pro dozor nad trhem a prosazování výše uvedených pravidel a požadavků. Navrhované nařízení se použije na všechny produkty s digitálními prvky, jejichž zamýšlené a důvodně předpokládané použití zahrnuje přímé nebo nepřímé logické nebo fyzické datové připojení k zařízení nebo síti. Navrhované nařízení se nepoužije na produkty s digitálními prvky spadající do oblasti působnosti nařízení (EU) 2017/745 [humánní zdravotnické prostředky a jejich příslušenství] a nařízení (EU) 2017/746 [humánní diagnostické zdravotnické prostředky in vitro a jejich příslušenství], neboť obě nařízení obsahují požadavky týkající se prostředků, včetně softwaru, a obecné povinnosti výrobců vztahující se na celý životní cyklus produktů, jakož i postupy posuzování shody. Z působnosti tohoto nařízení budou vyloučeny produkty s digitálními prvky, které byly certifikovány v souladu s nařízením 2018/1139 [vysoká a jednotná úroveň bezpečnosti civilního letectví], a také produkty, na něž se vztahuje nařízení (EU) 2019/2144 [o požadavcích pro schvalování typu motorových vozidel a jejich přípojných vozidel a systémů, konstrukčních částí a samostatných technických celků určených pro tato vozidla]. Kritické produkty s digitálními prvky podléhají zvláštním postupům posuzování shody a jsou rozděleny do třídy I a třídy II, jak je stanoveno v příloze III, s ohledem na úroveň jejich kybernetických bezpečnostních rizik, přičemž třída II představuje vyšší riziko. Produkt s digitálními prvky je považován za kritický, a proto je zařazen do přílohy III s ohledem na vliv možných zranitelností v oblasti kybernetické bezpečnosti, které jsou součástí produktu s digitálními prvky. Při určování kybernetických bezpečnostních rizik je zohledněna funkčnost produktu s digitálními prvky související s kybernetickou bezpečností a zamýšlené použití v citlivých prostředích, jako je mimo jiné průmyslové prostředí. Komisi je rovněž svěřena pravomoc přijímat akty v přenesené pravomoci za účelem doplnění tohoto nařízení upřesněním kategorií vysoce kritických produktů s digitálními prvky, u nichž jsou výrobci povinni získat evropský certifikát kybernetické bezpečnosti v rámci evropského systému certifikace kybernetické bezpečnosti za účelem prokázání shody se základními požadavky stanovenými v příloze I nebo jejich částmi. Při určování těchto kategorií vysoce kritických produktů s digitálními prvky Komise zohlední úroveň kybernetického bezpečnostního rizika spojeného s kategorií produktů s digitálními prvky s ohledem na jedno nebo více kritérií, které se zvažují za účelem zařazení kritických produktů s digitálními prvky na seznam v příloze III, jakož i s ohledem na posouzení toho, zda zásadní subjekty druhu uvedeného v příloze [příloze I] směrnice [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] tuto kategorii produktů používají nebo z ní vycházejí, nebo zda budou mít pro činnosti těchto subjektů případný budoucí význam; nebo je relevantní pro odolnost celého dodavatelského řetězce produktů s digitálními prvky vůči událostem, které způsobují narušení. Povinnosti hospodářských subjektů (kapitola II) V návrhu jsou uvedeny povinnosti výrobců, dovozců a distributorů na základě referenčních ustanovení předpokládaných v rozhodnutí č. 768/2008/ES. Základní požadavky a povinnosti v oblasti kybernetické bezpečnosti vyžadují, aby všechny produkty s digitálními prvky byly dodávány na trh pouze tehdy, jestliže v případě, že jsou řádně dodány, patřičně instalovány, udržovány a používány k určenému účelu nebo za podmínek, které lze důvodně předpokládat, splňují základní požadavky na kybernetickou bezpečnost stanovené v tomto nařízení.

Základní požadavky a povinnosti by vedly výrobce k tomu, aby zohledňovali kybernetickou bezpečnost při navrhování, vývoji a výrobě produktů s digitálními prvky, aby při navrhování a vývoji svých produktů postupovali s náležitou péčí z hlediska bezpečnosti, byli transparentní v aspektech kybernetické bezpečnosti, o nichž je třeba informovat zákazníky, aby přiměřeným způsobem zajišťovali bezpečnostní podporu (aktualizace) a splňovali požadavky na řešení zranitelností. Pro hospodářské subjekty, od výrobců až po distributory a dovozce, by byly stanoveny povinnosti týkající se uvádění produktů s digitálními prvky na trh, aby to odpovídalo jejich úloze a povinnostem v dodavatelském řetězci. Shoda produktu s digitálními prvky (kapitola III) Předpokládá se, že produkt s digitálními prvky, který je ve shodě s harmonizovanými normami nebo jejich částmi, na něž byly zveřejněny odkazy v Úředním věstníku Evropské unie, je ve shodě se základními požadavky tohoto navrhovaného nařízení. Pokud harmonizované normy neexistují, jsou nedostatečné, nebo pokud v postupu normalizace dochází ke zbytečným průtahům, nebo pokud žádost Komise nebyla evropskými normalizačními organizacemi přijata, může Komise prostřednictvím prováděcích aktů přijmout obecné specifikace. Kromě toho se předpokládá, že produkty s digitálními prvky, které byly certifikovány nebo pro něž bylo vydáno EU prohlášení o shodě nebo certifikát v rámci evropského systému certifikace kybernetické bezpečnosti podle nařízení (EU) 2019/881 a u nichž Komise prostřednictvím prováděcího aktu uvedla, že může předpokládat shodu s tímto nařízením, jsou ve shodě se základními požadavky tohoto nařízení nebo jejich částmi, pokud se na tyto požadavky vztahuje EU prohlášení o shodě nebo certifikát kybernetické bezpečnosti nebo jejich části. S cílem zabránit nepřiměřené administrativní zátěži pro výrobce by Komise měla dále případně upřesnit, zda certifikát kybernetické bezpečnosti vydaný v rámci tohoto evropského systému certifikace kybernetické bezpečnosti ruší povinnost výrobců nechat provést posouzení shody třetí stranou, jak je pro odpovídající požadavky stanoveno v tomto nařízení. Výrobce provede posouzení shody produktu s digitálními prvky a postupy řešení zranitelností, které zavedl za účelem prokázání shody se základními požadavky stanovenými v příloze I, a to jedním z postupů stanovených v příloze VI. Výrobci kritických produktů třídy I a II použijí příslušné moduly nezbytné pro dosažení souladu s předpisy. Výrobci kritického produktu třídy II musí do svého posuzování shody zapojit třetí stranu. Oznamování subjektů posuzování shody (kapitola IV) Řádné fungování oznámených subjektů je zásadní pro zajištění vysoké úrovně kybernetické bezpečnosti a pro důvěru všech zúčastněných stran v systém nového přístupu. Návrh proto v souladu s rozhodnutím č. 768/2008/ES stanoví požadavky pro vnitrostátní orgány odpovědné za subjekty posuzování shody (oznámené subjekty). Konečnou odpovědnost za jmenování a kontrolu oznámených subjektů ponechává na členských státech. Členské státy určí oznamující orgán odpovědný za vytvoření a provádění nezbytných postupů pro posuzování a oznamování subjektů posuzování shody a za kontrolu oznámených subjektů. Dozor nad trhem a vymáhání práva (kapitola V) V souladu s nařízením (EU) 2019/1020 vnitrostátní orgány dozoru nad trhem vykonávají na území daného členského státu dozor nad trhem. Členské státy se mohou rozhodnout, že určí některý stávající nebo nový orgán, který bude působit jako orgán dozoru nad trhem, včetně příslušných vnitrostátních orgánů zřízených podle článku [článku X] směrnice [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] nebo určených vnitrostátních orgánů pro certifikaci kybernetické bezpečnosti podle článku 58 nařízení (EU) 2019/881. Hospodářské subjekty se žádají, aby plně spolupracovaly s orgány dozoru nad trhem a dalšími příslušnými orgány. Přenesené pravomoci a postupy projednávání ve výborech (kapitola VI) S cílem zajistit, aby regulační rámec mohl být v případě potřeby upraven, se na Komisi přenáší pravomoc přijímat akty v souladu s článkem 290 SFEU, pokud jde o aktualizaci seznamu kritických produktů třídy I a II a upřesnění definic těchto produktů; upřesnění, zda je omezení nebo vyloučení nutné i pro produkty s digitálními prvky, na něž se vztahují jiná pravidla Unie, která stanovují požadavky dosahující stejné úrovně ochrany jako toto nařízení; pověření certifikovat některé vysoce kritické produkty s digitálními prvky na základě kritérií stanovených v tomto nařízení; upřesnění minimálního obsahu EU prohlášení o shodě a doplnění prvků, které mají být obsaženy v technické dokumentaci. Komisi je rovněž svěřena pravomoc přijímat prováděcí akty s cílem: specifikovat formát nebo prvky povinností podávat zprávy a softwarový kusovník; specifikovat evropské systémy certifikace kybernetické bezpečnosti, které lze použít k prokázání shody se základními požadavky nebo jejich částmi stanovenými v tomto nařízení; přijmout obecné specifikace; stanovit technické specifikace pro umístění označení CE; za výjimečných okolností, které odůvodňují okamžitý zásah v zájmu zachování řádného fungování vnitřního trhu, přijmout nápravná nebo omezující opatření na úrovni Unie. Důvěrnost a sankce (kapitola VII) Všechny strany, které uplatňují toto nařízení, respektují důvěrnost informací a údajů získaných při plnění svých úkolů a činností. S cílem zajistit účinné vymáhání povinností stanovených v tomto nařízení by každý orgán dozoru nad trhem měl mít pravomoc ukládat správní pokuty nebo požadovat uložení správních pokut. Ve stejném duchu toto nařízení určuje maximální úrovně správních pokut, které by měly být stanoveny ve vnitrostátních právních předpisech za nesplnění povinností uvedených v tomto nařízení. Přechodná a závěrečná ustanovení (kapitola VIII) Aby měli výrobci, oznámené subjekty a členské státy čas přizpůsobit se novým požadavkům, bude navrhované nařízení použitelné [24 měsíců] po svém vstupu v platnost, s výjimkou povinnosti výrobců podávat zprávy, která by se použila od [12 měsíců] po datu vstupu v platnost.





2022/0272 (COD) Návrh NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky a o změně nařízení (EU) 2019/1020 (Text s významem pro EHP) EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE, s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy, s ohledem na návrh Evropské komise, po postoupení návrhu legislativního aktu vnitrostátním parlamentům, s ohledem na stanovisko Evropského hospodářského a sociálního výboru, s ohledem na stanovisko Výboru regionů, v souladu s řádným legislativním postupem, vzhledem k těmto důvodům: (1)Je nezbytné zlepšit fungování vnitřního trhu stanovením jednotného právního rámce pro základní požadavky na kybernetickou bezpečnost při uvádění produktů s digitálními prvky na trh Unie. Měly by být řešeny dva hlavní problémy, které zvyšují náklady pro uživatele a pro společnost: nízká úroveň kybernetické bezpečnosti produktů s digitálními prvky, která se odráží v rozšířené zranitelnosti a nedostatečném a nekonzistentním poskytování bezpečnostních aktualizací k jejímu řešení, a nedostatečné chápání informací a přístup k informacím ze strany uživatelů, což jim znemožňuje vybrat si produkty s odpovídajícími kybernetickými bezpečnostními vlastnostmi nebo je používat bezpečným způsobem. (2)Cílem tohoto nařízení je stanovit mezní podmínky pro vývoj bezpečných produktů s digitálními prvky tím, že bude zajištěno, aby hardwarové a softwarové produkty byly uváděny na trh s méně zranitelnostmi a aby výrobci brali vážně bezpečnost v průběhu celého životního cyklu produktu. Má rovněž vytvořit podmínky umožňující uživatelům, aby při výběru a používání produktů s digitálními prvky zohlednili kybernetickou bezpečnost. (3)Příslušné právní předpisy Unie, které jsou v současné době v platnosti, zahrnují několik souborů horizontálních pravidel, která se z různých úhlů zabývají určitými aspekty souvisejícími s kybernetickou bezpečností, včetně opatření ke zlepšení bezpečnosti digitálního dodavatelského řetězce. Stávající právní předpisy Unie týkající se kybernetické bezpečnosti, včetně [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] a nařízení Evropského parlamentu a Rady (EU) 2019/881, se však přímo nevztahují na povinné požadavky na bezpečnost produktů s digitálními prvky. (4)Ačkoli se stávající právní předpisy Unie vztahují na určité produkty s digitálními prvky, neexistuje žádný horizontální regulační rámec Unie, který by stanovil komplexní požadavky na kybernetickou bezpečnost pro všechny produkty s digitálními prvky. Různé akty a iniciativy, které byly dosud přijaty na úrovni Unie a na vnitrostátní úrovni, řeší zjištěné problémy a rizika související s kybernetickou bezpečností pouze částečně, vytvářejí v rámci vnitřního trhu právní nejednotnost, čímž se zvyšuje právní nejistota jak pro výrobce, tak pro uživatele těchto produktů a zvyšuje se zbytečná zátěž pro společnosti, pokud jde o plnění řady požadavků na podobné druhy produktů. Kybernetická bezpečnost těchto produktů má obzvláště silný přeshraniční rozměr, neboť produkty vyrobené v jedné zemi jsou často používány organizacemi a spotřebiteli na celém vnitřním trhu. Proto je nezbytné regulovat tuto oblast na úrovni Unie. Regulační prostředí Unie by mělo být harmonizováno zavedením požadavků na kybernetickou bezpečnost produktů s digitálními prvky. Kromě toho by měla být zajištěna právní jistota pro hospodářské subjekty a uživatele v celé Unii, jakož i lepší harmonizace jednotného trhu, přičemž pro subjekty, které chtějí vstoupit na trh Unie, by se vytvořily přijatelné podmínky. (5)Na úrovni Unie vyzvaly různé programové a politické dokumenty, například Strategie kybernetické bezpečnosti EU pro digitální dekádu, závěry Rady ze dne 2. prosince 2020 a 23. května 2022 nebo usnesení Evropského parlamentu ze dne 10. června 2021, k zavedení zvláštních požadavků Unie na kybernetickou bezpečnost pro digitální nebo propojené produkty, přičemž několik zemí po celém světě zavedlo opatření k řešení této otázky z vlastního podnětu. V závěrečné zprávě Konference o budoucnosti Evropy občané požadovali „větší roli EU v boji proti hrozbám kybernetické bezpečnosti“. (6)Aby se zvýšila celková úroveň kybernetické bezpečnosti všech produktů s digitálními prvky uváděných na vnitřní trh, je nezbytné zavést pro tyto produkty základní požadavky na kybernetickou bezpečnost, které jsou horizontálně orientované a technologicky neutrální. (7)Za určitých podmínek mohou všechny produkty s digitálními prvky začleněné do většího elektronického informačního systému nebo s ním spojené sloužit jako útočný prostředek pro nepřátelské subjekty. V důsledku toho může i hardware a software, které jsou považovány za méně kritické, usnadnit prvotní ohrožení zařízení nebo sítě, což umožní nepřátelským subjektům získat výsadní přístup k systému nebo se pohybovat napříč systémy. Výrobci by proto měli zajistit, aby všechny propojitelné produkty s digitálními prvky byly navrhovány a vyvíjeny v souladu se základními požadavky stanovenými v tomto nařízení. Patří sem jak produkty, které lze fyzicky připojit prostřednictvím hardwarových rozhraní, tak produkty, které jsou propojeny logicky, například prostřednictvím síťových zásuvek, vedení, souborů, rozhraní pro programování aplikací nebo jakýchkoli jiných druhů softwarového rozhraní. Vzhledem k tomu, že kybernetické hrozby se mohou před dosažením určitého cíle šířit prostřednictvím různých produktů s digitálními prvky, například zřetězením více zneužití zranitelnosti, měli by výrobci zajistit kybernetickou bezpečnost i u těch produktů, které jsou propojeny s jinými zařízeními nebo sítěmi pouze nepřímo.

(8)Stanovením požadavků na kybernetickou bezpečnost pro uvádění produktů s digitálními prvky na trh se zvýší kybernetická bezpečnost těchto produktů pro spotřebitele i pro podniky. Zahrnuje to rovněž požadavky na uvádění na trh v případě spotřebních produktů s digitálními prvky určených pro zranitelné spotřebitele, například hraček a dětských chůviček. (9)Toto nařízení zajišťuje vysokou úroveň kybernetické bezpečnosti produktů s digitálními prvky. Neupravuje služby, například Software jako služba (SaaS), s výjimkou řešení pro zpracování dat na dálku týkajících se produktu s digitálními prvky, čímž se rozumí jakékoli zpracování dat na dálku, pro něž je software navržen a vyvinut výrobcem daného produktu nebo za nějž je tento výrobce odpovědný, a pokud by neexistoval, nebylo by možné, aby tento produkt s digitálními prvky plnil některou ze svých funkcí. [Směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] zavádí požadavky na kybernetickou bezpečnost a hlášení incidentů pro zásadní a důležité subjekty, například kritickou infrastrukturu, s cílem zvýšit odolnost služeb, které poskytují. [Směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] se vztahuje na služby cloud computingu a modely cloudových služeb, například SaaS. Do oblasti působnosti uvedené směrnice spadají všechny subjekty poskytující služby cloud computingu v Unii, které dosahují prahové hodnoty pro střední podniky nebo ji překračují. (10)Aby nedošlo k narušení inovací nebo výzkumu, nemělo by se toto nařízení vztahovat na bezplatný software s otevřeným zdrojovým kódem vyvinutý nebo dodávaný mimo rámec obchodní činnosti. To platí zejména pro software, včetně jeho zdrojového kódu a upravených verzí, který je otevřeně sdílený a volně přístupný, použitelný, upravitelný a dále distribuovatelný. V kontextu softwaru by se obchodní činnost mohla vyznačovat nejen stanovením ceny za produkt, ale také stanovením ceny za technické podpůrné služby, poskytnutím softwarové platformy, jejímž prostřednictvím výrobce zpeněžuje jiné služby, nebo použitím osobních údajů z jiných důvodů, než je výlučně zlepšení bezpečnosti, kompatibility nebo interoperability softwaru. (11)Bezpečný internet je nezbytný pro fungování kritických infrastruktur a pro společnost jako celek. [Směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] má za cíl zajistit vysokou úroveň kybernetické bezpečnosti služeb poskytovaných zásadními a důležitými subjekty, včetně poskytovatelů digitální infrastruktury, kteří podporují klíčové funkce otevřeného internetu, zajišťují přístup k internetu a internetové služby. Je proto důležité, aby produkty s digitálními prvky, které poskytovatelé digitální infrastruktury potřebují k zajištění fungování internetu, byly vyvíjeny bezpečným způsobem a aby splňovaly zavedené normy bezpečnosti internetu. Cílem tohoto nařízení, které se vztahuje na všechny propojitelné hardwarové a softwarové produkty, je rovněž usnadnit dodržování požadavků dodavatelského řetězce ze strany poskytovatelů digitální infrastruktury podle [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] tím, že zajistí, aby produkty s digitálními prvky, které používají pro poskytování svých služeb, byly vyvíjeny bezpečným způsobem a aby měli přístup k včasným bezpečnostním aktualizacím těchto produktů. (12)Nařízení Evropského parlamentu a Rady (EU) 2017/745 stanoví pravidla pro zdravotnické prostředky a nařízení Evropského parlamentu a Rady (EU) 2017/746 stanoví pravidla pro diagnostické zdravotnické prostředky in vitro. Obě nařízení řeší kybernetická bezpečnostní rizika a uplatňují konkrétní přístupy, kterými se toto nařízení rovněž zabývá. Přesněji řečeno, nařízení (EU) 2017/745 a nařízení (EU) 2017/746 stanoví základní požadavky na zdravotnické prostředky, které fungují prostřednictvím elektronického systému nebo které jsou samy softwarem. Tato nařízení se rovněž vztahují na určitý nevestavěný software a na přístup zohledňující celý životní cyklus. Uvedené požadavky ukládají výrobcům, aby vyvíjeli a vytvářeli své produkty uplatňováním zásad řízení rizik a stanovením požadavků týkajících se opatření v oblasti bezpečnosti IT, jakož i odpovídajících postupů posuzování shody. Kromě toho jsou od prosince 2019 zavedeny zvláštní pokyny týkající se kybernetické bezpečnosti zdravotnických prostředků, které výrobcům zdravotnických prostředků, včetně diagnostických prostředků in vitro, poskytují informace, jak splnit všechny příslušné základní požadavky přílohy I uvedených nařízení, pokud jde o kybernetickou bezpečnost. Na produkty s digitálními prvky, na něž se vztahuje jedno z těchto nařízení, by se proto toto nařízení nemělo vztahovat. (13)Nařízení Evropského parlamentu a Rady (EU) 2019/2144 stanoví požadavky na schvalování typů vozidel a jejich systémů a součástí, kterým se zavádějí určité požadavky na kybernetickou bezpečnost, včetně požadavků na provoz certifikovaného systému řízení kybernetické bezpečnosti, na aktualizace softwaru týkající se politik a postupů organizací pro kybernetická rizika, která souvisejí s celým životním cyklem vozidel, zařízení a služeb v souladu s platnými předpisy OSN o technických specifikacích a kybernetické bezpečnosti, přičemž stanoví konkrétní postupy posuzování shody. V oblasti letectví je hlavním cílem nařízení Evropského parlamentu a Rady (EU) 2018/1139 zavést a udržovat vysokou a jednotnou úroveň bezpečnosti civilního letectví v Unii. Vytváří rámec pro základní požadavky na letovou způsobilost leteckých výrobků, dílů a vybavení, včetně softwaru, který zohledňuje povinnosti ochrany před hrozbami pro informační bezpečnost. Na produkty s digitálními prvky, na něž se vztahuje nařízení (EU) 2019/2144, a na produkty certifikované v souladu s nařízením (EU) 2018/1139 se proto nevztahují základní požadavky a postupy posuzování shody stanovené v tomto nařízení. Postup certifikace podle nařízení (EU) 2018/1139 zajišťuje úroveň jistoty, kterou má toto nařízení za cíl. (14)Toto nařízení stanoví horizontální pravidla kybernetické bezpečnosti, která nejsou specifická pro odvětví nebo určité produkty s digitálními prvky. Nicméně by mohla být zavedena odvětvová pravidla nebo pravidla Unie specifická pro určité produkty, která stanoví požadavky týkající se všech nebo některých rizik, na něž se vztahují základní požadavky stanovené tímto nařízením. V těchto případech může být použití tohoto nařízení na produkty s digitálními prvky, na něž se vztahují jiná pravidla Unie, která stanoví požadavky řešící všechna nebo některá rizika, pro něž platí základní požadavky stanovené v příloze I tohoto nařízení, omezeno nebo vyloučeno, pokud je takové omezení nebo vyloučení v souladu s celkovým regulačním rámcem platným pro tyto produkty a pokud odvětvová pravidla dosahují stejné úrovně ochrany, jakou stanoví toto nařízení. Komisi je svěřena pravomoc přijímat akty v přenesené pravomoci za účelem změny tohoto nařízení tím, že tyto produkty a pravidla určí. V případě stávajících právních předpisů Unie, na něž by se tato omezení nebo vyloučení měla vztahovat, obsahuje toto nařízení zvláštní ustanovení, která objasňují jeho vztah k uvedeným právním předpisům Unie. (15)Nařízení v přenesené pravomoci (EU) 2022/30 stanoví, že základní požadavky uvedené v čl. 3 odst. 3 písm. d) (nepříznivý vliv na síť a zneužití zdrojů sítě), písm. e) (osobní údaje a soukromí) a písm. f) (podvod) směrnice 2014/53/EU se vztahují na určitá rádiová zařízení. [Prováděcí rozhodnutí Komise XXX/2022 o žádosti o normalizaci podané evropským normalizačním organizacím] stanoví požadavky na vypracování konkrétních norem, které dále upřesňují, jak by měly být tyto tři základní požadavky řešeny. Základní požadavky stanovené tímto nařízením zahrnují všechny prvky základních požadavků uvedených v čl. 3 odst. 3 písm. d), e) a f) směrnice 2014/53/EU. Základní požadavky stanovené v tomto nařízení jsou dále v souladu s cíli požadavků týkajících se konkrétních norem obsažených v uvedené žádosti o normalizaci. Pokud tedy Komise zruší nebo změní nařízení v přenesené pravomoci (EU) 2022/30 s tím důsledkem, že se přestane uplatňovat na některé produkty, na něž se vztahuje toto nařízení, měla by Komise a evropské normalizační organizace při přípravě a vypracovávání harmonizovaných norem s cílem usnadnit provádění tohoto nařízení zohlednit normalizační práci provedenou v souvislosti s prováděcím rozhodnutím Komise C(2022)5637 o žádosti o normalizaci pro nařízení v přenesené pravomoci 2022/30 týkající se směrnice o rádiových zařízeních. (16)Směrnice 85/374/EHS toto nařízení doplňuje. Uvedená směrnice stanoví pravidla odpovědnosti za vadné produkty, aby poškozené osoby mohly požadovat náhradu škody, pokud byla tato škoda způsobena vadnými produkty. Zavádí zásadu, podle níž je výrobce produktu odpovědný za škody způsobené nedostatečnou bezpečností jeho produktu, a to bez ohledu na zavinění („objektivní odpovědnost“). Pokud taková nedostatečná bezpečnost spočívá v neexistenci bezpečnostních aktualizací po uvedení produktu na trh a vznikne tím škoda, mohla by být uplatněna odpovědnost výrobce. Povinnosti výrobců, které se týkají poskytování těchto bezpečnostních aktualizací, by měly být stanoveny v tomto nařízení. (17)Tímto nařízením by nemělo být dotčeno nařízení Evropského parlamentu a Rady (EU) 2016/679, včetně ustanovení o zavedení mechanismů pro vydávání osvědčení o ochraně údajů a zavedení pečetí a známek dokládajících ochranu údajů pro účely prokázání souladu s uvedeným nařízením v případě operací zpracování prováděných správci a zpracovateli. Tyto operace by mohly být začleněny do produktu s digitálními prvky. Klíčovými prvky nařízení (EU) 2016/679 jsou záměrná a standardní ochrana osobních údajů a kybernetická bezpečnost obecně. Tím, že chrání spotřebitele a organizace před kybernetickými bezpečnostními riziky, mají základní požadavky na kybernetickou bezpečnost stanovené v tomto nařízení rovněž přispět ke zvýšení ochrany osobních údajů a soukromí jednotlivců. Synergie v oblasti normalizace i certifikace týkající se aspektů kybernetické bezpečnosti by měly být zohledněny prostřednictvím spolupráce mezi Komisí, evropskými normalizačními organizacemi, Agenturou Evropské unie pro kybernetickou bezpečnost (ENISA), Evropským sborem pro ochranu osobních údajů (EDPB) zřízeným nařízením (EU) 2016/679 a vnitrostátními dozorovými úřady dohlížejícími na ochranu údajů. Synergie mezi tímto nařízením a právními předpisy Unie v oblasti ochrany údajů by měly být rovněž vytvořeny v oblasti dozoru nad trhem a vymáhání práva. Za tímto účelem by vnitrostátní orgány dozoru nad trhem jmenované podle tohoto nařízení měly spolupracovat s orgány vykonávajícími dohled nad právními předpisy Unie v oblasti ochrany údajů. Měly by rovněž mít přístup k informacím, které jsou důležité pro plnění jejich úkolů. (18)Pokud jejich produkty spadají do oblasti působnosti tohoto nařízení, měli by vydavatelé evropských peněženek digitální identity podle článku [čl. 6a odst. 2 nařízení (EU) č. 910/2014 ve znění návrhu nařízení, kterým se mění nařízení (EU) č. 910/2014, pokud jde o zřízení rámce pro evropskou digitální identitu], splňovat jak horizontální základní požadavky stanovené tímto nařízením, tak konkrétní bezpečnostní požadavky stanovené v článku [článek 6a nařízení (EU) č. 910/2014 ve znění návrhu nařízení, kterým se mění nařízení (EU) č. 910/2014, pokud jde o zřízení rámce pro evropskou digitální identitu]. Aby se usnadnilo dodržování požadavků, měli by být vydavatelé peněženek schopni prokázat soulad evropských peněženek digitální identity s požadavky stanovenými v obou aktech, a to prostřednictvím certifikace svých produktů v rámci evropského systému certifikace kybernetické bezpečnosti zřízeného podle nařízení (EU) 2019/881 a pro něž Komise stanovila prostřednictvím prováděcího aktu předpoklad shody pro toto nařízení, pokud se certifikát nebo jeho části na tyto požadavky vztahují. (19)Některé úkoly stanovené v tomto nařízení by měla provádět agentura ENISA v souladu s čl. 3 odst. 2 nařízení (EU) 2019/881. Agentura ENISA by měla zejména dostávat oznámení od výrobců o aktivně zneužívaných zranitelnostech obsažených v produktech s digitálními prvky, jakož i o incidentech, které mají dopad na bezpečnost těchto produktů. Agentura ENISA by měla tato oznámení rovněž předat příslušným skupinám pro reakci na počítačové bezpečnostní incidenty (CSIRT) nebo příslušným jednotným kontaktním místům členských států určených v souladu s článkem [článek X] směrnice [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] a informovat příslušné orgány dozoru nad trhem o oznámené zranitelnosti. Na základě shromážděných informací by agentura ENISA měla každé dva roky vypracovat technickou zprávu o nových trendech týkajících se kybernetických bezpečnostních rizik u produktů s digitálními prvky a předložit ji skupině pro spolupráci podle směrnice [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)]. Kromě toho by agentura ENISA s ohledem na své odborné znalosti a mandát měla být schopna podporovat proces provádění tohoto nařízení. Zejména by měla mít možnost navrhovat společné činnosti, které mají provádět orgány dozoru nad trhem na základě údajů nebo informací o možném nesouladu produktů s digitálními prvky s tímto nařízením v některých členských státech, nebo určit kategorie produktů, pro něž by měly být organizovány souběžné koordinované kontrolní činnosti. Za výjimečných okolností by agentura ENISA měla mít na žádost Komise možnost provádět hodnocení konkrétních produktů s digitálními prvky, které představují významné kybernetické bezpečnostní riziko, je-li pro zachování řádného fungování vnitřního trhu nutný okamžitý zásah. (20)Produkty s digitálními prvky by měly být opatřeny označením CE, které vyjadřuje jejich shodu s tímto nařízením, aby se mohly volně pohybovat na vnitřním trhu. Členské státy by neměly vytvářet neodůvodněné překážky uvádění na trh u produktů s digitálními prvky, které jsou v souladu s požadavky stanovenými v tomto nařízení a jsou opatřeny označením CE. (21)Aby bylo zajištěno, že výrobci mohou uvolnit software pro účely testování před tím, než podrobí své produkty posouzení shody, členské státy by neměly bránit zpřístupnění nedokončeného softwaru, například alfa verzí, beta verzí nebo kandidátů na vydání, pokud je daná verze k dispozici pouze po dobu nezbytnou k jejímu testování a získání zpětné vazby. Výrobci by měli zajistit, aby software zpřístupněný za těchto podmínek byl vydán pouze na základě posouzení rizik a aby v co největší míře splňoval bezpečnostní požadavky týkající se vlastností produktů s digitálními prvky, které ukládá toto nařízení. Výrobci by rovněž měli v co největší míře uplatňovat požadavky na řešení zranitelnosti. Výrobci by neměli nutit uživatele k přechodu na verze, které jsou vydávány pouze pro účely testování. (22)Aby se zajistilo, že produkty s digitálními prvky nepředstavují při uvedení na trh kybernetická bezpečnostní rizika pro osoby a organizace, měly by být pro tyto produkty stanoveny základní požadavky. Pokud jsou produkty následně upraveny, ať už fyzickým, nebo digitálním zásahem, a to způsobem, který výrobce nemohl předvídat a který by mohl znamenat, že produkty již nesplňují příslušné základní požadavky, považuje se taková úprava za podstatnou. Například aktualizace nebo opravy softwaru by mohly být postaveny na roveň operacím údržby, pokud neupravují produkt, který již byl uveden na trh, takovým způsobem, že může být ovlivněn soulad s příslušnými požadavky, nebo že zamýšlené použití, pro které byl produkt posouzen, může být změněno. Stejně jako v případě fyzických oprav nebo změn by měl být produkt s digitálními prvky považován za podstatně změněný tím, že dojde ke změně softwaru, pokud aktualizace softwaru mění původní zamýšlené funkce, druh nebo výkon produktu a tyto změny nebyly v původním posouzení rizik předvídány nebo se změnila povaha nebezpečí nebo se v důsledku aktualizace softwaru zvýšila úroveň rizika. (23)V souladu s obecně zavedeným pojmem podstatné změny u produktů, na něž se vztahují harmonizační právní předpisy Unie, je vždy vhodné, pokud dojde k podstatné změně, která může ovlivnit soulad produktu s tímto nařízením, nebo pokud se změní zamýšlený účel daného produktu, aby byl u produktu s digitálními prvky ověřen soulad s předpisy a aby byl případně podroben novému posouzení shody. Pokud výrobce provádí posouzení shody za účasti třetí strany, měly by být v příslušném případě třetí straně oznámeny změny, které by mohly vést k podstatným změnám. (24)Renovace, údržba a opravy produktu s digitálními prvky, jak jsou definovány v nařízení [nařízení o ekodesignu], nemusí nutně vést k podstatné změně produktu, například pokud se nezmění zamýšlené použití a funkce a úroveň rizika zůstane nedotčena. Modernizace produktu výrobcem by však mohla vést ke změnám v návrhu a vývoji produktu, a mohla by proto ovlivnit zamýšlené použití a soulad produktu s požadavky stanovenými v tomto nařízení. (25)Produkty s digitálními prvky by měly být považovány za kritické, pokud může být negativní dopad zneužití zranitelností kybernetické bezpečnosti produktu závažný, mimo jiné v důsledku funkcí souvisejících s kybernetickou bezpečností nebo zamýšleného použití. Zranitelnosti produktů s digitálními prvky, které mají funkce související s kybernetickou bezpečností, například zabezpečené prvky, mohou vést k šíření bezpečnostních problémů v celém dodavatelském řetězci. Závažnost dopadu kybernetického bezpečnostního incidentu se může rovněž zvýšit s ohledem na zamýšlené použití produktu, například v průmyslovém prostředí nebo v souvislosti se zásadním subjektem druhu uvedeného v příloze [příloze I] směrnice [XXX/XXXX (o bezpečnosti sítí a informací 2)], nebo při výkonu kritických nebo citlivých funkcí, například zpracování osobních údajů. (26)Kritické produkty s digitálními prvky by měly podléhat přísnějším postupům posuzování shody, přičemž by měl být zachován přiměřený přístup. Za tímto účelem by kritické produkty s digitálními prvky měly být rozděleny do dvou tříd, které odrážejí úroveň kybernetických bezpečnostních rizik spojených s těmito kategoriemi produktů. Možný kybernetický incident týkající se produktů třídy II by mohl vést k větším negativním dopadům než incident týkající se produktů třídy I, například vzhledem k povaze jejich funkce související s kybernetickou bezpečností nebo vzhledem k zamýšlenému použití v citlivých prostředích, a měl by proto být předmětem přísnějšího postupu posuzování shody. (27)Produkty, které mají hlavní funkci druhu uvedeného v příloze III tohoto nařízení, by se měly považovat za kategorie kritických produktů s digitálními prvky uvedenými v příloze III tohoto nařízení. Například příloha III tohoto nařízení uvádí produkty, které jsou definovány svou základní funkcí jako mikroprocesory pro všeobecné účely ve třídě II. V důsledku toho podléhají mikroprocesory pro všeobecné účely povinnému posouzení shody třetí stranou. Tak tomu není v případě jiných produktů, které nejsou výslovně uvedeny v příloze III tohoto nařízení a jejichž součástí může být mikroprocesor pro všeobecné účely. Komise by měla [do 12 měsíců od vstupu tohoto nařízení v platnost] přijmout akty v přenesené pravomoci za účelem upřesnění definic kategorií produktů spadajících do třídy I a třídy II uvedených v příloze III.

(28)Toto nařízení řeší kybernetická bezpečnostní rizika cíleným způsobem. Produkty s digitálními prvky však mohou představovat jiná bezpečnostní rizika, která nesouvisejí s kybernetickou bezpečností. Tato rizika by měla být i nadále upravena dalšími příslušnými právními předpisy Unie týkajícími se produktů. Pokud nejsou použitelné žádné jiné harmonizační právní předpisy Unie, měla by se řídit nařízením [nařízení o obecné bezpečnosti výrobků]. S ohledem na cílenou povahu tohoto nařízení by se proto odchylně od čl. 2 odst. 1 třetího pododstavce písm. b) nařízení [nařízení o obecné bezpečnosti výrobků] měly použít na produkty s digitálními prvky kapitola III oddílu 1, kapitoly V a VII a kapitoly IX až XI nařízení [nařízení o obecné bezpečnosti výrobků], pokud jde o bezpečnostní rizika, na něž se toto nařízení nevztahuje, jestliže tyto produkty nejsou předmětem konkrétních požadavků uložených jinými harmonizačními právními předpisy Unie ve smyslu [čl. 3 bodu 25 nařízení o obecné bezpečnosti výrobků]. (29)Produkty s digitálními prvky klasifikované jako vysoce rizikové systémy UI podle článku 6 nařízení [nařízení o UI], které spadají do oblasti působnosti tohoto nařízení, by měly splňovat základní požadavky stanovené v tomto nařízení. Pokud tyto vysoce rizikové systémy UI splňují základní požadavky tohoto nařízení, mělo by se mít za to, že splňují požadavky na kybernetickou bezpečnost stanovené v článku [článku 15] nařízení [nařízení o UI], pokud se na tyto požadavky vztahuje EU prohlášení o shodě nebo jeho části vydané podle tohoto nařízení. Pokud jde o postupy posuzování shody týkající se základních požadavků na kybernetickou bezpečnost produktu s digitálními prvky, na něž se vztahuje toto nařízení a který je klasifikován jako vysoce rizikový systém UI, měla by se zpravidla namísto příslušných ustanovení tohoto nařízení použít příslušná ustanovení článku 43 nařízení [nařízení o UI]. Toto pravidlo by však nemělo vést ke snížení potřebné míry jistoty u kritických produktů s digitálními prvky, na něž se vztahuje toto nařízení. Odchylně od tohoto pravidla by se proto vysoce rizikové systémy UI, které spadají do oblasti působnosti nařízení [nařízení o UI] a jsou rovněž považovány za kritické produkty s digitálními prvky podle tohoto nařízení, na něž se vztahuje postup posuzování shody založený na vnitřní kontrole podle přílohy VI nařízení [nařízení o UI], měly řídit ustanoveními tohoto nařízení o posuzování shody, pokud jde o základní požadavky tohoto nařízení. V tomto případě by se na všechny ostatní aspekty, na něž se nařízení [nařízení o UI] vztahuje, měla použít příslušná ustanovení o posuzování shody, která jsou založena na vnitřní kontrole stanovené v příloze VI nařízení [nařízení o UI]. (30)Strojní výrobky spadající do oblasti působnosti nařízení [návrh nařízení o strojních zařízeních], které jsou produkty s digitálními prvky ve smyslu tohoto nařízení a pro něž bylo na základě tohoto nařízení vydáno prohlášení o shodě, by měly být považovány za produkty ve shodě se základními požadavky na ochranu zdraví a bezpečnost stanovenými v [bodech 1.1.9 a 1.2.1 přílohy III] nařízení [návrh nařízení o strojních zařízeních], pokud jde o ochranu proti poškození a bezpečnost a spolehlivost kontrolních systémů, jestliže je soulad s těmito požadavky prokázán EU prohlášením o shodě vydaným podle tohoto nařízení. (31)Nařízení [návrh nařízení o evropském prostoru pro zdravotní data] doplňuje základní požadavky stanovené v tomto nařízení. Systémy elektronických zdravotních záznamů spadající do oblasti působnosti nařízení [návrh nařízení o evropském prostoru pro zdravotní data], které jsou produkty s digitálními prvky ve smyslu tohoto nařízení, by proto měly rovněž splňovat základní požadavky stanovené v tomto nařízení. Jejich výrobci by měli prokázat shodu, jak požaduje nařízení [návrh nařízení o evropském prostoru pro zdravotní data]. Pro usnadnění souladu mohou výrobci vypracovat jedinou technickou dokumentaci obsahující prvky požadované oběma právními akty. Jelikož se toto nařízení nevztahuje na služby SaaS jako takové, systémy elektronických zdravotních záznamů nabízené prostřednictvím modelu udělování licencí a poskytování služeb SaaS nespadají do oblasti působnosti tohoto nařízení. Podobně nespadají do oblasti působnosti tohoto nařízení systémy elektronických zdravotních záznamů, které jsou vyvíjeny a používány interně, neboť nejsou uváděny na trh. (32)Aby bylo zajištěno, že produkty s digitálními prvky jsou bezpečné jak v době jejich uvedení na trh, tak během celého jejich životního cyklu, je nezbytné stanovit základní požadavky na řešení zranitelnosti a základní požadavky na kybernetickou bezpečnost týkající se vlastností produktů s digitálními prvky. Výrobci by měli splňovat všechny základní požadavky týkající se řešení zranitelnosti a zajistit, aby všechny jejich produkty byly dodávány bez jakýchkoli známých zneužitelných zranitelností, měli by však určit, které další základní požadavky týkající se vlastností produktu jsou pro dotčený druh produktu relevantní. Za tímto účelem by výrobci měli provést posouzení kybernetických bezpečnostních rizik spojených s produktem s digitálními prvky s cílem určit příslušná rizika a příslušné základní požadavky a náležitě uplatňovat vhodné harmonizované normy nebo obecné specifikace. (33)V zájmu zlepšení bezpečnosti produktů s digitálními prvky uváděných na vnitřní trh je nezbytné stanovit základní požadavky. Těmito základními požadavky by neměla být dotčena koordinovaná posouzení rizik kritických dodavatelských řetězců na úrovni EU stanovená [článkem X] směrnice [XXX/XXXX (o bezpečnosti sítí a informací 2)], která zohledňují technické i případně netechnické rizikové faktory, například nepatřičný vliv třetí země na dodavatele. Dále by neměly být dotčeny výsady členských států stanovit dodatečné požadavky, které zohledňují netechnické faktory za účelem zajištění vysoké úrovně odolnosti, včetně požadavků stanovených v doporučení (EU) 2019/534, v posouzení rizik kybernetické bezpečnosti sítí 5G koordinovaném na úrovni Unie a v souboru opatření EU pro kybernetickou bezpečnost sítí 5G, na němž se dohodla skupina pro spolupráci v oblasti bezpečnosti sítí a informací podle [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)]. (34)S cílem zajistit, aby vnitrostátním týmům CSIRT a jednotnému kontaktnímu místu určenému v souladu s článkem [článek X] směrnice [směrnice XX/XXXX (o bezpečnosti sítí a informací 2)] byly poskytovány informace nezbytné k plnění jejich úkolů a zvýšení celkové úrovně kybernetické bezpečnosti zásadních a důležitých subjektů, a aby se zajistilo účinné fungování orgánů dozoru nad trhem, měli by výrobci produktů s digitálními prvky oznamovat agentuře ENISA zranitelnosti, které jsou aktivně zneužívány. Vzhledem k tomu, že většina produktů s digitálními prvky je uváděna na trh na celém vnitřním trhu, jakákoli zneužívaná zranitelnost produktu s digitálními prvky by měla být považována za hrozbu pro fungování vnitřního trhu. Výrobci by rovněž měli zvážit zveřejnění opravených zranitelností v evropské databázi zranitelností zřízené podle směrnice [směrnice XX/XXXX (o bezpečnosti sítí a informací 2)] a spravované agenturou ENISA nebo v jakékoli jiné veřejně přístupné databázi zranitelností. (35)Výrobci by rovněž měli agentuře ENISA hlásit každý incident, který má dopad na bezpečnost produktu s digitálními prvky. Bez ohledu na povinnosti podávat zprávy o incidentech stanovené ve směrnici [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] je pro zásadní a důležité subjekty klíčové, aby agentura ENISA, jednotná kontaktní místa určená členskými státy v souladu s článkem [článek X] směrnice [XXX/XXXX (o bezpečnosti sítí a informací 2)] a orgány dozoru nad trhem dostávaly informace od výrobců produktů s digitálními prvky, které jim umožní posoudit bezpečnost těchto produktů. S cílem zajistit, aby uživatelé mohli rychle reagovat na incidenty, které mají dopad na bezpečnost jejich produktů s digitálními prvky, by výrobci měli rovněž informovat své uživatele o každém takovém incidentu a případně o veškerých nápravných opatřeních, která mohou uživatelé zavést za účelem zmírnění dopadu incidentu, například zveřejněním příslušných informací na svých internetových stránkách nebo v případech, kdy je výrobce schopen kontaktovat uživatele a je-li to odůvodněno riziky, tím, že se obrátí přímo na uživatele. (36)Výrobci produktů s digitálními prvky by měli zavést politiky koordinovaného odhalování zranitelností s cílem usnadnit jednotlivcům nebo subjektům oznamování zranitelností. Politika koordinovaného odhalování zranitelností by měla specifikovat strukturovaný proces, jehož prostřednictvím jsou zranitelná místa hlášena výrobcům takovým způsobem, který výrobci umožní diagnostikovat a odstranit tyto zranitelnosti dříve, než budou podrobné informace o nich sděleny třetím stranám nebo veřejnosti. Vzhledem k tomu, že informace o zneužitelných zranitelnostech široce používaných produktů s digitálními prvky lze na černém trhu prodávat za vysoké ceny, měli by mít výrobci těchto produktů možnost využívat v rámci svých politik programy koordinovaného odhalování zranitelností za účelem motivace k oznamování zranitelností tím, že zajistí, aby jednotlivci nebo subjekty získali za svou snahu uznání a odměnu (tzv. „program odměn za nalezení chyb“). (37)Aby se usnadnila analýza zranitelností, měli by výrobci zjistit a zdokumentovat součásti obsažené v produktech s digitálními prvky, mimo jiné vypracováním softwarového kusovníku. Softwarový kusovník může poskytnout těm, kdo software vyrábějí, nakupují a provozují, informace, které jim umožní lépe pochopit dodavatelský řetězec, což má řadu výhod, zejména to pomáhá výrobcům a uživatelům při vysledování nově se objevujících zranitelností a rizik. Pro výrobce je obzvláště důležité zajistit, aby jejich produkty neobsahovaly zranitelné součásti vyvinuté třetími stranami. (38)Za účelem usnadnění posuzování shody s požadavky stanovenými tímto nařízením by měl existovat předpoklad shody u produktů s digitálními prvky, jež jsou ve shodě s harmonizovanými normami, které převádějí základní požadavky tohoto nařízení do podrobných technických specifikací a které jsou přijaty v souladu s nařízením Evropského parlamentu a Rady (EU) č. 1025/2012. Nařízení (EU) č. 1025/2012 stanoví postup pro námitky proti harmonizovaným normám, pokud tyto normy nesplňují v plné míře požadavky tohoto nařízení. (39)Nařízení (EU) 2019/881 stanoví dobrovolný evropský rámec pro certifikaci kybernetické bezpečnosti pro produkty, procesy a služby IKT. Evropské systémy certifikace kybernetické bezpečnosti se mohou vztahovat na produkty s digitálními prvky, pro něž platí toto nařízení. Toto nařízení by mělo vytvářet součinnost s nařízením (EU) 2019/881. S cílem usnadnit posuzování shody s požadavky stanovenými v tomto nařízení se předpokládá, že produkty s digitálními prvky, které jsou certifikovány nebo pro něž bylo vydáno prohlášení o shodě v rámci systému kybernetické bezpečnosti podle nařízení (EU) 2019/881 a které Komise určila v prováděcím aktu, jsou v souladu se základními požadavky tohoto nařízení, pokud se na tyto požadavky vztahuje certifikát kybernetické bezpečnosti nebo prohlášení o shodě nebo jeho části. Potřeba nových evropských systémů certifikace kybernetické bezpečnosti pro produkty s digitálními prvky by měla být posuzována s ohledem na toto nařízení. Tyto budoucí evropské systémy certifikace kybernetické bezpečnosti týkající se produktů s digitálními prvky by měly zohledňovat základní požadavky stanovené v tomto nařízení a usnadňovat s ním soulad. Komise by měla být zmocněna k tomu, aby prostřednictvím prováděcích aktů určila evropské systémy certifikace v oblasti kybernetické bezpečnosti, které lze použít k prokázání shody se základními požadavky stanovenými v tomto nařízení. Aby se zabránilo nepřiměřené administrativní zátěži pro výrobce, měla by Komise dále případně určit, zda certifikát kybernetické bezpečnosti vydaný v rámci těchto evropských systémů certifikace kybernetické bezpečnosti ruší povinnost výrobců nechat si provést posouzení shody třetí stranou, jak je pro příslušné požadavky stanoveno v tomto nařízení. (40)Po vstupu v platnost prováděcího aktu, kterým se stanoví [prováděcí nařízení Komise (EU) č. .../... ze dne XXX o evropském systému certifikace kybernetické bezpečnosti založeném na jednotných kritériích], jež se týká hardwarových produktů, na něž se vztahuje toto nařízení, například hardwarových bezpečnostních modulů a mikroprocesorů, může Komise prostřednictvím prováděcího aktu určit, jak evropský systém certifikace kybernetické bezpečnosti předpokládá shodu se základními požadavky podle přílohy I tohoto nařízení nebo jejich částmi. Tento prováděcí akt může dále určit, jakým způsobem certifikát vydaný v rámci evropského systému certifikace kybernetické bezpečnosti ruší povinnost výrobců nechat si provést posouzení třetí stranou, jak požaduje toto nařízení pro příslušné požadavky. (41)Pokud nejsou přijaty žádné harmonizované normy nebo pokud harmonizované normy dostatečně neřeší základní požadavky tohoto nařízení, měla by mít Komise možnost přijmout obecné specifikace prostřednictvím prováděcích aktů. Mezi důvody pro vypracování těchto obecných specifikací namísto toho, aby se vycházelo z harmonizovaných norem, může patřit odmítnutí žádosti o normalizaci některou z evropských normalizačních organizací, nepřiměřená prodleva při vytváření vhodných harmonizovaných norem nebo nesoulad vypracovaných norem s požadavky tohoto nařízení nebo s žádostí Komise. Aby se usnadnilo posuzování shody se základními požadavky stanovenými tímto nařízením, měl by existovat předpoklad shody pro produkty s digitálními prvky, které jsou ve shodě s obecnými specifikacemi přijatými Komisí podle tohoto nařízení za účelem vyjádření podrobných technických specifikací těchto požadavků. (42)Výrobci by měli vypracovat EU prohlášení o shodě s cílem poskytnout informace požadované podle tohoto nařízení o shodě produktů s digitálními prvky se základními požadavky tohoto nařízení a případně dalších příslušných harmonizačních právních předpisů Unie, které se na produkt vztahují. Od výrobců může být rovněž požadováno, aby vypracovali EU prohlášení o shodě na základě jiného právního předpisu Unie. Aby se pro účely dozoru nad trhem zajistil účinný přístup k informacím, mělo by být vypracováno jediné EU prohlášení o shodě s ohledem na dodržení všech příslušných aktů Unie. Za účelem snížení administrativní zátěže hospodářských subjektů by toto jediné EU prohlášení o shodě mohlo mít podobu složky tvořené příslušnými jednotlivými prohlášeními o shodě. (43)Označení CE, které vyjadřuje shodu výrobku, je viditelným výsledkem celého postupu zahrnujícího posuzování shody v širším smyslu. Obecné zásady upravující označení CE jsou stanoveny v nařízení Evropského parlamentu a Rady (ES) č. 765/2008. V tomto nařízení by měla být stanovena pravidla týkající se umisťování označení CE na produkty s digitálními prvky. Označení CE by mělo být jediným označením, které zaručuje, že produkt s digitálními prvky splňuje požadavky tohoto nařízení. (44)Aby mohly hospodářské subjekty prokázat shodu se základními požadavky stanovenými v tomto nařízení a aby orgány dozoru nad trhem mohly zajistit, že produkty s digitálními prvky dodávané na trh tyto požadavky splňují, je nezbytné stanovit postupy posuzování shody. Rozhodnutí Evropského parlamentu a Rady č. 768/2008/ES stanoví moduly pro postupy posuzování shody podle míry souvisejícího rizika a požadované úrovně bezpečnosti. S cílem zajistit soudržnost mezi odvětvími a zabránit variantám ad hoc byly na těchto modulech založeny postupy posuzování shody vhodné pro ověření shody produktů s digitálními prvky se základními požadavky stanovenými v tomto nařízení. Postupy posuzování shody by měly přezkoumat a ověřit požadavky týkající se produktu i postupu, které se vztahují na celý životní cyklus produktů s digitálními prvky, včetně plánování, návrhu, vývoje nebo výroby, testování a údržby produktu. (45)Obecně platí, že posuzování shody produktů s digitálními prvky by měl na vlastní odpovědnost provádět výrobce, a to postupem založeným na modulu A rozhodnutí č. 768/2008/ES. Výrobce by si měl ponechat možnost zvolit přísnější postup posuzování shody za účasti třetí strany. Je-li produkt klasifikován jako kritický produkt třídy I, vyžaduje se dodatečná jistota za účelem prokázání shody se základními požadavky stanovenými v tomto nařízení. Pokud chce výrobce provést posouzení shody na vlastní odpovědnost (modul A), měl by uplatňovat harmonizované normy, obecné specifikace nebo systémy certifikace kybernetické bezpečnosti podle nařízení (EU) 2019/881, které Komise určila v prováděcím aktu. Pokud výrobce tyto harmonizované normy, obecné specifikace nebo systémy certifikace kybernetické bezpečnosti nepoužije, mělo by u něj proběhnout posouzení shody za účasti třetí strany. S ohledem na administrativní zátěž výrobců a na skutečnost, že kybernetická bezpečnost hraje důležitou úlohu ve fázi návrhu a vývoje hmotných a nehmotných produktů s digitálními prvky, byly jako nejvhodnější pro přiměřené a účinné posouzení souladu kritických produktů s digitálními prvky vybrány postupy posuzování shody založené na modulech B a C nebo modulu H rozhodnutí č. 768/2008/ES. Výrobce, který provádí posouzení shody za účasti třetí strany, si může zvolit postup, který je nejvhodnější z hlediska jeho procesu návrhu a výroby. Vzhledem k ještě většímu kybernetickému bezpečnostnímu riziku spojenému s používáním produktů klasifikovaných jako produkty kritické třídy II by se posuzování shody mělo vždy provádět za účasti třetí strany. (46)Zatímco vytváření hmotných produktů s digitálními prvky obvykle vyžaduje, aby výrobci vynaložili značné úsilí během fáze návrhu, vývoje a výroby, vytváření produktů s digitálními prvky ve formě softwaru se téměř výhradně zaměřuje na návrh a vývoj, zatímco výrobní fáze hraje vedlejší jen malou roli. V řadě případů však musí být softwarové produkty ještě před uvedením na trh zkompilovány, vytvořeny, zabaleny, zpřístupněny ke stažení nebo zkopírovány na fyzické nosiče. Tyto činnosti by měly být považovány za činnosti odpovídající výrobě při použití příslušných modulů posuzování shody s cílem ověřit soulad produktu se základními požadavky tohoto nařízení ve fázi návrhu, vývoje a výroby. (47)Za účelem provedení posouzení shody produktů s digitálními prvky třetí stranou by subjekty pro posuzování shody měly být oznámeny vnitrostátními oznamujícími orgány Komisi a ostatním členským státům, pokud splňují určitý soubor požadavků, zejména požadavků na nezávislost, způsobilost a neexistenci střetu zájmů.

(48)Za účelem zajištění jednotné úrovně kvality při provádění posuzování shody produktů s digitálními prvky je rovněž nezbytné stanovit požadavky pro oznamující orgány a ostatní subjekty zapojené do posuzování, oznamování a kontroly oznámených subjektů. Systém stanovený v tomto nařízení by měl být doplněn akreditačním systémem stanoveným v nařízení (ES) č. 765/2008. Vzhledem k tomu, že akreditace je základním prostředkem ověřování způsobilosti subjektů posuzování shody, měla by být rovněž používána pro účely oznamování. (49)Transparentní akreditaci stanovenou v nařízení (ES) č. 765/2008, zajišťující nezbytnou míru důvěry v certifikáty shody, by měly vnitrostátní veřejné orgány v Unii považovat za přednostní způsob prokázání odborné způsobilosti subjektů posuzování shody. Vnitrostátní orgány se však mohou domnívat, že mají vhodné prostředky, aby toto hodnocení prováděly samy. V takovém případě by s cílem zajistit náležitou úroveň věrohodnosti hodnocení prováděného jinými vnitrostátními orgány měly Komisi a ostatním členským státům poskytnout nezbytné doklady o tom, že hodnocené subjekty posuzování shody splňují příslušné regulační požadavky. (50)Subjekty posuzování shody často zadávají část svých činností souvisejících s posuzováním shody subdodavateli nebo dceřiné společnosti. V zájmu zachování úrovně ochrany požadované pro produkt s digitálními prvky, který má být uveden na trh, je nezbytné, aby subdodavatelé a dceřiné společnosti provádějící posuzování shody splňovali při provádění úkolů posuzování shody stejné požadavky jako oznámené subjekty. (51)Oznámení subjektu posuzování shody by měl oznamující orgán zaslat Komisi a ostatním členským státům prostřednictvím informačního systému oznámených a jmenovaných organizací podle nového přístupu (NANDO). Systém NANDO je elektronický nástroj pro oznamování vyvinutý a spravovaný Komisí, v němž lze nalézt seznam všech oznámených subjektů. (52)Vzhledem k tomu, že oznámené subjekty mohou své služby nabízet na území celé Unie, je vhodné dát ostatním členským státům a Komisi možnost vznést námitky týkající se oznámeného subjektu. Je proto důležité stanovit dobu, během níž bude možné vyjasnit veškeré pochyby nebo výhrady týkající se způsobilosti subjektů posuzování shody před tím, než začnou fungovat jako oznámené subjekty. (53)Z důvodu konkurenceschopnosti je zásadně důležité, aby oznámené subjekty používaly postupy posuzování shody, aniž by zbytečně zatěžovaly hospodářské subjekty. Ze stejného důvodu a v zájmu zajištění rovného zacházení s hospodářskými subjekty je třeba zajistit jednotné technické provádění postupů posuzování shody. Toho by mělo být nejlépe dosaženo vhodnou koordinací a spoluprací mezi oznámenými subjekty. (54)Dozor nad trhem je základním nástrojem při zajišťování řádného a jednotného uplatňování právních předpisů Unie. Proto je vhodné vytvořit právní rámec, ve kterém může dozor nad trhem vhodným způsobem probíhat. Na produkty s digitálními prvky, na něž se vztahuje toto nařízení, platí pravidla pro dozor nad trhem Unie a kontrolu výrobků vstupujících na trh Unie stanovená v nařízení Evropského parlamentu a Rady (EU) 2019/1020. (55)V souladu s nařízením (EU) 2019/1020 orgány dozoru nad trhem vykonávají na území daného členského státu dozor nad trhem. Toto nařízení by nemělo členským státům bránit, aby si samy zvolily příslušné orgány, které budou tyto úkoly plnit. Každý členský stát by měl na svém území určit jeden nebo více orgánů dozoru nad trhem. Členské státy se mohou rozhodnout, že určí některý stávající nebo nový orgán, který bude působit jako orgán dozoru nad trhem, včetně příslušných vnitrostátních orgánů podle článku [článku X] směrnice [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] nebo určených vnitrostátních orgánů pro certifikaci kybernetické bezpečnosti podle článku 58 nařízení (EU) 2019/881. Hospodářské subjekty by měly plně spolupracovat s orgány dozoru nad trhem a dalšími příslušnými orgány. Každý členský stát by měl oznámit Komisi a ostatním členským státům své orgány dozoru nad trhem a působnost každého z nich, přičemž by měl zajistit nezbytné zdroje a dovednosti pro provádění úkolů dozoru souvisejících s tímto nařízením. Podle čl. 10 odst. 2 a 3 nařízení (EU) 2019/1020 by měl každý členský stát jmenovat ústřední styčný úřad, který by měl mimo jiné odpovídat za zastupování koordinovaného postoje orgánů dozoru nad trhem a za pomoc při spolupráci mezi orgány dozoru nad trhem v různých členských státech. (56)Pro jednotné uplatňování tohoto nařízení by měla být zřízena specializovaná skupina pro správní spolupráci podle čl. 30 odst. 2 nařízení (EU) 2019/1020. Tato skupina pro správní spolupráci by se měla skládat ze zástupců určených orgánů dozoru nad trhem a případně i ze zástupců ústředních styčných úřadů. Komise by měla podporovat a podněcovat spolupráci mezi orgány dozoru nad trhem prostřednictvím sítě Unie pro soulad výrobků s předpisy, zřízené na základě článku 29 nařízení (EU) 2019/1020 a složené ze zástupců každého členského státu, včetně zástupce každého ústředního styčného úřadu podle článku 10 nařízení (EU) 2019/1020 a nepovinného vnitrostátního odborníka, předsedů skupiny pro správní spolupráci a zástupců Komise. Komise by se měla účastnit zasedání sítě, jejích podskupin a této příslušné skupiny pro správní spolupráci. Měla by této skupině pro správní spolupráci rovněž poskytovat pomoc prostřednictvím výkonného sekretariátu, který poskytuje technickou a logistickou podporu. (57)V zájmu zajištění včasných, přiměřených a účinných opatření ve vztahu k produktům s digitálními prvky, které představují významné kybernetické bezpečnostní riziko, by měl být stanoven ochranný postup Unie, v jehož rámci jsou zúčastněné strany informovány o opatřeních, která mají být v souvislosti s těmito produkty přijata. Tento postup by měl orgánům dozoru nad trhem umožnit, aby ve spolupráci s příslušnými hospodářskými subjekty jednaly v případě potřeby co nejdříve. Pokud se členské státy a Komise shodují, že opatření přijaté členským státem je důvodné, neměl by být vyžadován žádný další zásah Komise, kromě případů, kdy lze nesoulad s právními předpisy přisuzovat nedostatkům v harmonizované normě. (58)V některých případech však může produkt s digitálními prvky, který je v souladu s tímto nařízením, přesto představovat významné kybernetické bezpečnostní riziko nebo představovat riziko pro zdraví nebo bezpečnost osob, pro dodržování povinností podle unijního nebo vnitrostátního práva, jejichž cílem je ochrana základních práv, dostupnosti, pravosti, integrity nebo důvěrnosti služeb nabízených prostřednictvím elektronického informačního systému zásadními subjekty druhu podle [příloha I směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)] nebo pro jiné aspekty ochrany veřejného zájmu. Je proto nezbytné stanovit pravidla, která zajistí zmírnění těchto rizik. V důsledku toho by orgány dozoru nad trhem měly přijmout opatření požadující po hospodářském subjektu, aby zajistil, že produkt již toto riziko nepředstavuje, nebo aby jej v závislosti na riziku stáhl z oběhu. Jakmile orgán dozoru nad trhem takto omezí nebo zakáže volný pohyb produktu, měl by členský stát neprodleně oznámit Komisi a ostatním členským státům prozatímní opatření s uvedením důvodů a odůvodnění. Pokud orgán dozoru nad trhem tato opatření proti produktům představujícím riziko přijme, měla by Komise neprodleně zahájit konzultace s členskými státy a příslušným hospodářským subjektem nebo subjekty a měla by vnitrostátní opatření vyhodnotit. Na základě výsledků tohoto hodnocení by měla Komise rozhodnout, zda je vnitrostátní opatření důvodné, či nikoli. Rozhodnutí Komise by mělo být určeno všem členským státům a Komise jej neprodleně sdělí členským státům a příslušnému hospodářskému subjektu nebo subjektům. Pokud je opatření považováno za oprávněné, může Komise rovněž zvážit přijetí návrhů na revizi příslušných právních předpisů Unie. (59)U produktů s digitálními prvky, které představují významné kybernetické bezpečnostní riziko, a pokud existuje důvod se domnívat, že nejsou v souladu s tímto nařízením, nebo u produktů, které jsou v souladu s tímto nařízením, avšak představují jiná důležitá rizika, například rizika pro zdraví nebo bezpečnost osob, základní práva nebo poskytování služeb zásadními subjekty druhu podle [příloha I směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)], může Komise požádat agenturu ENISA o provedení hodnocení. Na základě tohoto hodnocení může Komise prostřednictvím prováděcích aktů přijmout nápravná nebo omezující opatření na úrovni Unie, včetně nařízení o stažení příslušných produktů z trhu nebo z oběhu, a to v přiměřené lhůtě úměrné povaze rizika. Komise může tento zásah použít pouze za výjimečných okolností, které odůvodňují okamžitý zásah za účelem zachování řádného fungování vnitřního trhu, a pouze v případě, že kontrolní orgány nepřijaly účinná opatření k nápravě situace. Těmito výjimečnými okolnostmi mohou být mimořádné situace, kdy výrobce například ve velkém měřítku dodává nevyhovující produkt na trh ve více členských státech a tento produkt se používá i v klíčových odvětvích ze strany subjektů, které spadají do oblasti působnosti [směrnice XXX/XXXX (o bezpečnosti sítí a informací 2)], přičemž obsahuje známé zranitelnosti, které zneužívají nepřátelské subjekty a pro něž výrobce neposkytuje dostupné opravy. Komise může v těchto mimořádných situacích zasáhnout pouze po dobu trvání mimořádných okolností a v případě, že přetrvává nesoulad s tímto nařízením nebo že přetrvávají uvedená významná rizika. (60)V případech, kdy existují náznaky nesouladu s tímto nařízením v několika členských státech, by orgány dozoru nad trhem měly mít možnost provádět společné činnosti s jinými orgány za účelem ověření souladu a zjištění kybernetických bezpečnostních rizik produktů s digitálními prvky. (61)Souběžné koordinované kontrolní akce („sweepy“) jsou konkrétní donucovací opatření orgánů dozoru nad trhem, která mohou dále zvýšit bezpečnost produktů. Kontrolní akce by měly být prováděny zejména v případech, kdy tržní trendy, stížnosti spotřebitelů nebo jiné náznaky ukazují, že některé kategorie produktů často představují kybernetická bezpečnostní rizika. Agentura ENISA by měla orgánům dozoru nad trhem předkládat návrhy na kategorie produktů, u nichž by mohly být kontrolní akce zorganizovány, mimo jiné na základě obdržených oznámeních o zranitelnosti produktů a o incidentech. (62)Aby bylo zajištěno, že regulační rámec může být v případě potřeby upraven, měla by být na Komisi přenesena pravomoc přijímat akty v souladu s článkem 290 Smlouvy, pokud jde o aktualizace seznamu kritických produktů v příloze III a upřesnění definic těchto kategorií produktů. Na Komisi by měla být přenesena pravomoc přijímat akty v souladu s uvedeným článkem za účelem zjištění produktů s digitálními prvky, na něž se vztahují jiná pravidla Unie, jež dosahují stejné úrovně ochrany jako toto nařízení, s upřesněním, zda by bylo nezbytné jejich omezení nebo vyloučení z oblasti působnosti tohoto nařízení, jakož i případně rozsah tohoto omezení. Na Komisi by měla být přenesena pravomoc přijímat akty v souladu s uvedeným článkem, pokud jde o možné pověření certifikací v případě některých vysoce kritických produktů s digitálními prvky na základě kritérií kritičnosti stanovených v tomto nařízení, jakož i za účelem stanovení minimálního obsahu EU prohlášení o shodě a doplnění prvků, které mají být obsaženy v technické dokumentaci. Je obzvláště důležité, aby Komise v rámci přípravné činnosti vedla odpovídající konzultace, a to i na odborné úrovni, a aby tyto konzultace probíhaly v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů. Pro zajištění rovné účasti na vypracovávání aktů v přenesené pravomoci obdrží Evropský parlament a Rada veškeré dokumenty současně s odborníky z členských států a jejich odborníci mají automaticky přístup na setkání skupin odborníků Komise, jež se věnují přípravě aktů v přenesené pravomoci. (63)Za účelem zajištění jednotných podmínek k provedení tohoto nařízení by měly být Komisi svěřeny prováděcí pravomoci, aby: určila formát a prvky softwarového kusovníku, blíže upřesnila druh informací, formát a postup oznámení o aktivně zneužívaných zranitelnostech a incidentech, které výrobci agentuře ENISA oznamují, specifikovala evropské systémy certifikace kybernetické bezpečnosti přijaté podle nařízení (EU) 2019/881, které lze použít k prokázání shody se základními požadavky nebo jejich částmi stanovenými v příloze I tohoto nařízení, přijala obecné specifikace, pokud jde o základní požadavky stanovené v příloze I, stanovila technické specifikace pro piktogramy nebo jakékoli jiné značky týkající se bezpečnosti produktů s digitálními prvky a mechanismů na podporu jejich používání a rozhodla o nápravných nebo omezujících opatřeních na úrovni Unie za výjimečných okolností, které odůvodňují okamžitý zásah za účelem zachování řádného fungování vnitřního trhu. Tyto pravomoci by měly být vykonávány v souladu s nařízením Evropského parlamentu a Rady (EU) č. 182/2011. (64)V zájmu zajištění důvěryhodné a konstruktivní spolupráce orgánů dozoru nad trhem na úrovni Unie a na vnitrostátní úrovni by měly všechny strany zapojené do uplatňování tohoto nařízení respektovat důvěrnost informací a údajů získaných při plnění svých úkolů. (65)S cílem zajistit účinné vymáhání povinností stanovených v tomto nařízení by každý orgán dozoru nad trhem měl mít pravomoc ukládat správní pokuty nebo požadovat uložení správních pokut. Proto by měly být stanoveny maximální úrovně správních pokut za nedodržení povinností stanovených v tomto nařízení, které budou určeny ve vnitrostátních právních předpisech. Při rozhodování o výši správní pokuty v každém jednotlivém případě by měly být zohledněny veškeré relevantní okolnosti konkrétní situace a přinejmenším ty, které jsou výslovně stanoveny v tomto nařízení, včetně skutečnosti, zda jiné orgány dozoru nad trhem již neuložily témuž hospodářskému subjektu správní pokuty za podobná protiprávní jednání. Tyto okolnosti mohou být buď přitěžující v situacích, kdy protiprávní jednání ze strany téhož subjektu trvá na území jiných členských států, než je stát, v němž již byla správní pokuta uložena, nebo polehčující tím, že je zajištěno, že některá jiná správní pokuta uvažovaná jiným orgánem dozoru nad trhem pro stejný hospodářský subjekt nebo stejný druh porušení předpisů již zohledňuje (společně s dalšími relevantními zvláštními okolnostmi) danou sankci a její výši uloženou v jiných členských státech. Ve všech těchto případech by kumulativní správní pokuta, kterou by mohly uložit orgány dozoru nad trhem několika členských států témuž hospodářskému subjektu za stejný druh porušení, měla zajišťovat dodržení zásady proporcionality. (66)Jsou-li správní pokuty uloženy osobám, které nejsou podnikem, měl by příslušný úřad při rozhodování o odpovídající výši pokuty zohlednit obecnou úroveň příjmů v daném členském státě, jakož i ekonomickou situaci dané osoby. Mělo by být ponecháno na členských státech, aby určily, zda a v jaké míře by měly podléhat správním pokutám orgány veřejné správy. (67)Ve vztazích s třetími zeměmi usiluje EU o podporu mezinárodního obchodu s regulovanými produkty. V zájmu usnadnění obchodu lze uplatnit širokou škálu opatření, včetně několika právních nástrojů, například dvoustranných (mezivládních) dohod o vzájemném uznávání (MRA) pro posuzování shody a označování regulovaných produktů. Dohody MRA se uzavírají mezi Unií a třetími zeměmi, které jsou na srovnatelné úrovni technického rozvoje a mají slučitelný přístup k posuzování shody. Tyto dohody jsou založeny na vzájemném uznávání certifikátů, označení shody a protokolů o zkouškách vystavených subjekty posuzování shody jedné ze stran v souladu s právními předpisy druhé strany. V současné době platí dohody MRA pro několik zemí. Tyto dohody se uzavírají v řadě konkrétních odvětví, která se mohou v jednotlivých zemích lišit. S cílem dále usnadnit obchod a uznat, že dodavatelské řetězce produktů s digitálními prvky jsou celosvětové, mohou být dohody MRA týkající se posuzování shody uzavřeny pro produkty, na něž se vztahuje toto nařízení, v souladu s článkem 218 Smlouvy o fungování EU. V zájmu posílení kybernetické odolnosti v celosvětovém měřítku je rovněž důležitá spolupráce s partnerskými zeměmi, neboť to v dlouhodobém horizontu přispěje k posílení rámce kybernetické bezpečnosti v rámci EU i mimo ni.

(68)Komise by měla provádět pravidelný přezkum tohoto nařízení za konzultace se zúčastněnými stranami, zejména pokud jde o nutnost změn s ohledem na měnící se společenské, politické, technologické nebo tržní podmínky. (69)Hospodářským subjektům by měl být poskytnut dostatečný čas na přizpůsobení se požadavkům tohoto nařízení. Toto nařízení by se mělo použít [24 měsíců] od svého vstupu v platnost, s výjimkou povinností podávat zprávy o aktivně zneužívaných zranitelnostech a incidentech, které by se měly použít [12 měsíců] od vstupu tohoto nařízení v platnost. (70)Jelikož cíle tohoto nařízení nemůže být dosaženo uspokojivě členskými státy, ale spíše jej, z důvodu účinků opatření, může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje toto nařízení rámec toho, co je nezbytné k dosažení tohoto cíle, (71)V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne […], PŘIJALY TOTO NAŘÍZENÍ: KAPITOLA I OBECNÁ USTANOVENÍ Článek 1 Předmět Tímto nařízením se stanoví: a)pravidla pro uvádění produktů s digitálními prvky na trh s cílem zajistit kybernetickou bezpečnost těchto produktů; b)základní požadavky na navrhování, vývoj a výrobu produktů s digitálními prvky a povinnosti hospodářských subjektů v souvislosti s těmito produkty s ohledem na kybernetickou bezpečnost; c)základní požadavky na procesy řešení zranitelnosti zavedené výrobci s cílem zajistit kybernetickou bezpečnost produktů s digitálními prvky během celého životního cyklu a povinnosti hospodářských subjektů v souvislosti s těmito procesy; d)pravidla pro