EUROPA-KOMMISSIONEN Bruxelles, den 15.9.2022 COM(2022) 454 final 2022/0272(COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om horisontale cybersikkerhedskrav til produkter med digitale elementer og om ændring af forordning (EU) 2019/1020 (EØS-relevant tekst) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



BEGRUNDELSE 1.BAGGRUND FOR FORSLAGET •Forslagets begrundelse og formål Hardware- og softwareprodukter udsættes i stigende grad for vellykkede cyberangreb, og de samlede årlige omkostninger ved cyberkriminalitet beløb sig således til 5,5 mia. EUR i 2021. To store problemer knytter sig til disse produkter, som øger omkostningerne for brugerne og samfundet: 1) et lavt cybersikkerhedsniveau, der afspejles i udbredte sårbarheder og utilstrækkelig og inkonsekvent levering af sikkerhedsopdateringer til håndtering heraf, og 2) brugernes utilstrækkelige forståelse af og adgang til oplysninger, hvilket forhindrer dem i at vælge produkter med passende cybersikkerhedsegenskaber eller at anvende dem på en sikker måde. I et forbundet miljø kan en cybersikkerhedshændelse i ét produkt påvirke en hel organisation eller en hel forsyningskæde og spreder sig ofte over hele det indre markeds grænser inden for få minutter. Dette kan føre til alvorlige forstyrrelser af økonomiske og sociale aktiviteter eller endda blive livstruende. Cybersikkerheden for produkter med digitale elementer har en stærk grænseoverskridende dimension, da produkter fremstillet i ét land ofte anvendes i hele det indre marked. Hændelser, der i første omgang berører en enkelt enhed eller en enkelt medlemsstat, spreder sig desuden ofte inden for få minutter i hele det indre marked. Selv om den eksisterende lovgivning om det indre marked finder anvendelse på visse produkter med digitale elementer, er de fleste hardware- og softwareprodukter i øjeblikket ikke omfattet af EU-lovgivning om cybersikkerhed. EU's nuværende retlige ramme indeholder navnlig ikke bestemmelser om cybersikkerheden for ikkeindlejrede softwareprodukter, selv om cyberangreb i stigende grad er rettet mod sårbarheder i disse produkter, hvilket medfører betydelige samfundsmæssige og økonomiske omkostninger. Der er talrige eksempler på bemærkelsesværdige cyberangreb, der skyldes suboptimal produktsikkerhed, f.eks. ransomware-ormen WannaCry, som udnyttede en Windows-sårbarhed og ramte 200 000 computere i 150 lande i 2017 og forårsagede skader til flere milliarder amerikanske dollars, angrebet på Kaseya VSA-forsyningskæden, hvor Kaseyas netværksadministrationssoftware blev anvendt til at angribe over 1 000 virksomheder og tvang en supermarkedskæde til at lukke alle sine 500 butikker i hele Sverige, eller de mange hændelser, hvor bankapplikationer hackes for at stjæle penge fra intetanende forbrugere. Der blev udpeget to hovedmål, som skal sikre et velfungerende indre marked: 1) skabe betingelser for udvikling af sikre produkter med digitale elementer ved at sikre, at hardware- og softwareprodukter bringes i omsætning med færre sårbarheder, og at fabrikanterne tager sikkerheden alvorligt i hele et produkts livscyklus, og 2) skabe betingelser, der gør det muligt for brugerne at tage hensyn til cybersikkerhed, når de udvælger og anvender produkter med digitale elementer. Der blev fastsat fire specifikke mål: i) sikre, at fabrikanterne forbedrer sikkerheden af produkter med digitale elementer lige fra design- og udviklingsfasen og i hele livscyklussen, ii) sikre en sammenhængende ramme for cybersikkerhed, der letter hardware- og softwareproducenternes overholdelse af kravene, iii) øge gennemsigtigheden med hensyn til sikkerhedsegenskaber ved produkter med digitale elementer og iv) gøre det muligt for virksomheder og forbrugere at anvende produkter med digitale elementer på en sikker måde. Den stærke grænseoverskridende karakter af cybersikkerhed og det stigende antal hændelser med afsmittende virkninger på tværs af grænser, sektorer og produkter betyder, at målene ikke kan opfyldes effektivt af medlemsstaterne alene. I betragtning af den globale karakter af markederne for produkter med digitale elementer står medlemsstaterne over for de samme risici i forbindelse med det samme produkt med digitale elementer på deres område. Et kludetæppe af potentielt divergerende nationale regler risikerer at forhindre et åbent og konkurrencedygtigt indre marked for produkter med digitale elementer. En fælles indsats på EU-plan er derfor nødvendig for at øge tilliden blandt brugerne og gøre EU-produkter med digitale elementer mere attraktive. Det vil også gavne det indre marked ved at sikre retssikkerhed og lige vilkår for leverandører af produkter med digitale elementer, hvilket også blev fremhævet i den endelige rapport fra konferencen om Europas fremtid, hvor borgerne opfordrer EU til at spille en stærkere rolle i bekæmpelsen af cybersikkerhedstrusler. •Sammenhæng med de gældende regler på samme område EU-rammen omfatter flere horisontale retsakter, der dækker visse aspekter af cybersikkerhed fra forskellige vinkler (produkter, tjenester, krisestyring og kriminalitet). I 2013 trådte direktivet om angreb på informationssystemer, der harmoniserer kriminalisering og sanktioner for en række strafbare handlinger rettet mod informationssystemer, i kraft. I august 2016 trådte direktiv (EU) 2016/1148 om sikkerhed i net- og informationssystemer (NIS-direktivet) i kraft som den første EU-retsakt om cybersikkerhed. I revisionen heraf, der er mundet ud i direktiv [direktiv XXX/XXXX (NIS2)], hæves EU's fælles ambitionsniveau. I 2019 trådte EU's forordning om cybersikkerhed i kraft, og den havde til formål at øge sikkerheden i forbindelse med IKT-produkter, -tjenester og -processer gennem indførelse af en frivillig europæisk ramme for cybersikkerhedscertificering. Cybersikkerhed i hele forsyningskæden kan kun sikres, hvis alle dele deraf er cybersikre. Ovennævnte EU-lovgivning har imidlertid betydelige mangler i denne henseende, da den ikke omfatter obligatoriske krav til sikkerheden af produkter med digitale elementer. Selv om den foreslåede forordning om cyberrobusthed omfatter produkter med digitale elementer, der bringes i omsætning, har direktiv [direktiv XXX/XXXX (NIS2)] til formål at sikre et højt cybersikkerhedsniveau for tjenester, der udbydes af væsentlige og vigtige enheder. I henhold til direktiv [XXX/XXXX (NIS2)] skal medlemsstaterne sikre, at væsentlige og vigtige enheder inden for anvendelsesområdet såsom sundhedstjenesteydere eller cloududbydere og offentlige forvaltningsenheder træffer passende og forholdsmæssige tekniske, operationelle og organisatoriske cybersikkerhedsforanstaltninger. Dette omfatter bl.a. et krav om at sikre sikkerhed i forbindelse med erhvervelse, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering og offentliggørelse af sårbarheder. I henhold til direktiv [XXX/XXXX (NIS2)] skal Kommissionen vedtage gennemførelsesretsakter, der fastlægger de tekniske og metodiske krav til disse foranstaltninger senest 21 måneder efter datoen for dette direktivs ikrafttræden for visse typer enheder såsom udbydere af cloud computing-tjenester. For alle andre enheder kan Kommissionen vedtage en gennemførelsesretsakt, der fastlægger de tekniske og metodiske krav samt sektorspecifikke krav. Denne ramme vil sikre, at der også gennemføres tekniske specifikationer og foranstaltninger, der opfylder de væsentlige cybersikkerhedskrav i forordningen om cyberrobusthed, med henblik på design og udvikling af og håndtering af sårbarheder i software, der leveres som en service (software-as-a-service). Dette kan f.eks. være et middel til at sikre et højt cybersikkerhedsniveau, f.eks. i forbindelse med elektroniske patientjournalsystemer (EPJ-systemer), herunder når softwaren leveres som software-as-a-service (SaaS) eller udvikles i sundhedsinstitutioner (internt) i overensstemmelse med forslaget til [forordning om det europæiske sundhedsdataområde]. •Sammenhæng med Unionens politik på andre områder Som beskrevet i meddelelsen om Europas digitale fremtid i støbeskeen er det afgørende, at EU høster alle fordelene ved den digitale tidsalder og styrker sin industri og innovationskapacitet inden for sikre og etiske grænser. I den europæiske strategi for data fastsættes der fire søjler — databeskyttelse, grundlæggende rettigheder, sikkerhed og cybersikkerhed — som væsentlige forudsætninger for et samfund, der styrkes ved brugen af data. Den nuværende EU-ramme for produkter, der også kan have digitale elementer, omfatter flere retsakter, herunder EU-lovgivning om specifikke produkter, der dækker sikkerhedsrelaterede aspekter, og generel lovgivning om produktansvar. Forslaget er i overensstemmelse med den nuværende produktrelaterede EU-lovramme samt med nylige lovgivningsforslag såsom Kommissionens forslag til forordning [forordningen om kunstig intelligens — AI-forordningen]. Den foreslåede forordning vil finde anvendelse på alt radioudstyr, der er omfattet af Kommissionens delegerede forordning (EU) 2022/30. Desuden omfatter kravene i denne forordning alle elementerne i de væsentlige krav, der er omhandlet i artikel 3, stk. 3, litra d), e) og f), i direktiv 2014/53/EU, herunder hovedelementerne i [Kommissionens gennemførelsesafgørelse XXX/2022 om en standardiseringsanmodning til de europæiske standardiseringsorganisationer] udstedt på grundlag af nævnte delegerede forordning. For at undgå overlapning af reglerne forventes det, at Kommissionen ophæver eller ændrer den delegerede forordning for så vidt angår radioudstyr, der er omfattet af den foreslåede forordning, således at sidstnævnte forordning finder anvendelse herpå, når den er trådt i kraft. For at undgå dobbeltarbejde er det desuden hensigten, at Kommissionen og de europæiske standardiseringsorganisationer skal tage hensyn til det standardiseringsarbejde, der er udført i forbindelse med Kommissionens gennemførelsesafgørelse C (2022) 5637 om en standardiseringsanmodning i forbindelse med den delegerede forordning 2022/30 om radioudstyrsdirektivet, ved udarbejdelsen og udviklingen af harmoniserede standarder for at lette gennemførelsen af forordningen. 2.RETSGRUNDLAG, NÆRHEDSPRINCIPPET OG PROPORTIONALITETSPRINCIPPET •Retsgrundlag

Retsgrundlaget for dette forslag er artikel 114 i traktaten om Den Europæiske Unions funktionsmåde (TEUF), som indeholder bestemmelser om vedtagelse af foranstaltninger, der skal sikre det indre markeds oprettelse og funktion. Formålet med forslaget er at harmonisere cybersikkerhedskravene til produkter med digitale elementer i alle medlemsstater og fjerne hindringer for den frie bevægelighed for varer. Artikel 114 i TEUF kan anvendes som retsgrundlag for at forhindre disse hindringer som følge af divergerende nationale love og tilgange til, hvordan retsusikkerheden og hullerne i de eksisterende retlige rammer kan afhjælpes. Domstolen har desuden anerkendt, at anvendelse af heterogene tekniske krav kan være en gyldig grund til at udløse artikel 114 i TEUF. EU's nuværende lovgivningsmæssige ramme for produkter med digitale elementer er baseret på artikel 114 i TEUF og omfatter flere retsakter, herunder om specifikke produkter og sikkerhedsrelaterede aspekter, eller generel lovgivning om produktansvar. Den dækker imidlertid kun visse aspekter i forbindelse med cybersikkerheden for håndgribelige digitale produkter og, hvor det er relevant, software indlejret i disse produkter. På nationalt plan er medlemsstaterne begyndt at træffe nationale foranstaltninger, der pålægger leverandører af digitale produkter at forbedre deres cybersikkerhed. Cybersikkerheden for digitale produkter har samtidig en særlig stærk grænseoverskridende dimension, da produkter fremstillet i ét land ofte anvendes af organisationer og forbrugere i hele det indre marked. Hændelser, der i første omgang berører en enkelt enhed eller medlemsstat, spredes ofte inden for få minutter på tværs af organisationer, sektorer og flere medlemsstater. De forskellige retsakter og initiativer, der er truffet indtil videre på EU-plan og nationalt plan, løser kun delvist de konstaterede problemer og risici og skaber et kludetæppe af lovgivning i det indre marked, øger retsusikkerheden for både leverandører og brugere af disse produkter og pålægger virksomhederne unødvendige byrder forbundet med opfyldelsen af en række krav til lignende produkttyper. Den foreslåede forordning vil harmonisere og strømline EU's lovgivningsmæssige landskab ved at indføre cybersikkerhedskrav for produkter med digitale elementer og undgå overlappende krav i forskellige retsakter. Dette vil skabe større retssikkerhed for erhvervsdrivende og brugere i hele Unionen samt en bedre harmonisering af EU's indre marked, hvilket vil skabe mere levedygtige vilkår for operatører, der ønsker at komme ind på EU-markedet. •Nærhedsprincippet (for områder, der ikke er omfattet af enekompetence) Den stærke grænseoverskridende karakter af cybersikkerhed generelt og det stigende antal risici og hændelser med afsmittende virkninger på tværs af grænser, sektorer og produkter betyder, at målene for det nuværende tiltag ikke kan opfyldes effektivt af medlemsstaterne alene. Nationale tilgange til løsning af problemerne, herunder navnlig indførelse af obligatoriske krav, vil skabe yderligere retsusikkerhed og juridiske hindringer. Der kan lægges hindringer i vejen for virksomhedernes ekspansion i andre medlemsstater, hvilket fratager brugerne fordelene ved deres produkter. En fælles indsats på EU-plan er derfor nødvendig for at skabe en høj grad af tillid blandt brugerne og gøre EU-produkter med digitale elementer mere attraktive. Det vil også gavne det digitale indre marked og det indre marked generelt ved at sikre retssikkerhed og lige vilkår for fabrikanter af produkter med digitale elementer. Endelig opfordrer Rådet i sine konklusioner af 23. maj 2022 om udviklingen af Den Europæiske Unions cyberposition Kommissionen til at foreslå fælles cybersikkerhedskrav for forbundne enheder inden udgangen af 2022. •Proportionalitetsprincippet Med hensyn til proportionaliteten af den foreslåede forordning vil foranstaltningerne i de overvejede løsninger ikke gå ud over, hvad der er nødvendigt for at nå de generelle og specifikke mål, og de vil ikke medføre uforholdsmæssigt store omkostninger. Mere specifikt vil det påtænkte tiltag sikre, at produkter med digitale elementer sikres i hele deres livscyklus på en måde, der står i et rimeligt forhold til de pågældende risici, gennem målorienterede og teknologineutrale krav, der fortsat er rimelige og generelt svarer til de involverede enheders interesse. De væsentlige cybersikkerhedskrav i forslaget bygger på almindeligt anvendte standarder, og der vil blive taget hensyn til produkternes tekniske specifikationer i den efterfølgende standardiseringsproces. Det betyder, at sikkerhedskontrollen vil blive tilpasset, hvor det er nødvendigt for et givet risikoniveau. Desuden vil de påtænkte horisontale regler kun omfatte tredjepartsvurdering af kritiske produkter. Dette vil kun omfatte en lille andel af markedet for produkter med digitale elementer. Virkningerne for SMV'er vil afhænge af deres tilstedeværelse på markedet for disse specifikke produktkategorier. Med hensyn til proportionaliteten af omkostningerne til overensstemmelsesvurdering vil bemyndigede organer, der foretager tredjepartsvurderinger, tage hensyn til virksomhedens størrelse ved fastsættelsen af deres gebyrer. Der vil også blive fastsat en rimelig overgangsperiode på 24 måneder til at forberede gennemførelsen, hvilket giver de relevante markeder tid til at forberede sig, samtidig med at der udstikkes en klar kurs for FoU-investeringer. Virksomhedernes eventuelle overholdelsesomkostninger vil blive opvejet af fordelene ved et højere sikkerhedsniveau for produkter med digitale elementer og i sidste ende af en stigning i brugernes tillid til disse produkter. •Valg af retsakt Et reguleringstiltag ville indebære vedtagelse af en forordning og ikke et direktiv. Dette skyldes, at en forordning i forbindelse med denne særlige type produktlovgivning ville løse de konstaterede problemer mere effektivt og opfylde de formulerede mål, da der er tale om et indgreb, som fastsætter de betingelser på hvilke en meget bred kategori af produkter kan bringes i omsætning i det indre marked. I tilfælde af et direktiv kunne gennemførelsen af et sådant indgreb give for stort spillerum på nationalt plan, hvilket potentielt kunne føre til manglende ensartethed i visse væsentlige cybersikkerhedskrav, retsusikkerhed, yderligere fragmentering eller endda diskriminerende situationer på tværs af grænserne, så meget desto mere som de omfattede produkter kan have eller anvendes til flere formål, og fabrikanterne kan producere flere kategorier af sådanne produkter. 3.RESULTATER AF EFTERFØLGENDE EVALUERINGER, HØRINGER AF INTERESSEREDE PARTER OG KONSEKVENSANALYSER •Høringer af interesserede parter Kommissionen har hørt en lang række interesserede parter. Medlemsstaterne og interessenterne blev opfordret til at deltage i den åbne offentlige høring og i de undersøgelser og workshopper, der blev afholdt i forbindelse med en undersøgelse udført af et konsortium, der understøttede Kommissionens forberedende arbejde til konsekvensanalysen: Wavestone, Centre for European Policy Studies (CEPS) og ICF. De hørte interessenter omfattede nationale markedsovervågningsmyndigheder, EU-organer, der beskæftiger sig med cybersikkerhed, hardware- og softwarefabrikanter, importører og distributører af hardware og software, brancheorganisationer, forbrugerorganisationer og brugere af produkter med digitale elementer og borgere, forskere og den akademiske verden, bemyndigede organer og akkrediteringsorganer samt fagfolk inden for cybersikkerhedsindustrien. Høringsaktiviteterne omfattede: ·En første undersøgelse udført af et konsortium bestående af ICF, Wavestone, Carsa og CEPS, som blev offentliggjort i december 2021. Undersøgelsen afdækkede flere markedssvigt, og en række mulige reguleringstiltag blev vurderet.

·En åben offentlig høring rettet mod borgere, interessenter og cybersikkerhedseksperter. Der blev indsendt 176 svar. Disse bidrog til indsamlingen af forskellige holdninger og erfaringer fra alle interessentgrupper. ·De workshopper, der blev afholdt som led i undersøgelsen til støtte for Kommissionens forberedende arbejde med en retsakt om cyberrobusthed, samlede omkring 100 repræsentanter fra alle 27 medlemsstater, der repræsenterede forskellige interessenter. ·Der blev gennemført ekspertinterviews for at få en dybere forståelse af de aktuelle cybersikkerhedsudfordringer i forbindelse med produkter med digitale elementer og for at drøfte mulighederne for et reguleringstiltag. ·Der blev afholdt bilaterale drøftelser med nationale cybersikkerhedsmyndigheder, den private sektor og forbrugerorganisationer. ·Der blev taget målrettet kontakt til centrale SMV-interessenter. •Indhentning og brug af ekspertbistand Formålet med høringsaktiviteterne var at få input til de fem vigtigste evalueringskriterier baseret på EU's retningslinjer for bedre regulering (virkningsfuldhed, effektivitet, relevans, sammenhæng, EU-merværdi) samt de potentielle virkninger af mulige løsninger i fremtiden. Kontrahenten har ikke kun været i kontakt med de interessenter, der vil blive direkte berørt af den foreslåede forordning, men har også hørt en bred vifte af eksperter inden for cybersikkerhed. •Konsekvensanalyse Kommissionen har foretaget en konsekvensanalyse af dette forslag, som blev behandlet af Kommissionens Udvalg for Forskriftskontrol. Der blev afholdt et møde med Udvalget for Forskriftskontrol den 6. juli 2022, og der blev efterfølgende afgivet en positiv udtalelse. Konsekvensanalysen blev tilpasset for at tage højde for anbefalingerne og bemærkningerne fra Udvalget for Forskriftskontrol. Kommissionen har undersøgt forskellige løsninger for at nå forslagets overordnede formål: ·En tilgang med blød lovgivning og frivillige foranstaltninger (løsning 1): Denne løsning omfatter ikke obligatoriske reguleringstiltag. Kommissionen vil i stedet udstede meddelelser, vejledning, henstillinger og eventuelt adfærdskodekser for at tilskynde til frivillige foranstaltninger. Nationale ordninger, frivillige eller obligatoriske, vil fortsat blive udviklet for at kompensere for manglen på horisontale EU-regler. ·Produktspecifikt ad hoc-reguleringstiltag i forbindelse med cybersikkerhed for håndgribelige produkter med digitale elementer og indlejret software (løsning 2): Denne løsning vil indebære et produktspecifikt ad hoc-reguleringstiltag, der vil være begrænset til at tilføje og/eller ændre cybersikkerhedskravene i den allerede eksisterende lovgivning eller indføre ny lovgivning, efterhånden som der opstår nye risici, herunder potentielt for ikkeindlejret software. Løsning 3 og 4 indebærer et horisontalt reguleringstiltag, der varierer i omfang, og som i vid udstrækning følger den nye lovgivningsmæssige ramme. I denne ramme fastsættes væsentlige krav som en forudsætning for, at visse produkter kan bringes i omsætning i det indre marked. Den nye lovgivningsramme indeholder typisk også bestemmelser om overensstemmelsesvurdering, den proces, der udføres af fabrikanten for at påvise, om specifikke krav til et produkt er opfyldt. ·Blandet tilgang, herunder horisontale obligatoriske regler for cybersikkerhed for håndgribelige produkter med digitale elementer og indlejret software og en trinvis tilgang til ikkeindlejret software (løsning 3): Denne løsning vil indebære en forordning, der indfører horisontale cybersikkerhedskrav til alle håndgribelige produkter med digitale elementer og indlejret software som en forudsætning for, at produkterne kan bringes i omsætning, og vil omfatte to delløsninger med og uden obligatorisk tredjepartsvurdering (3i og 3ii). Ikkeindlejret software vil ikke blive reguleret. ·Et horisontalt reguleringstiltag med indførelse af cybersikkerhedskrav til en bred vifte af håndgribelige og ikkehåndgribelige produkter med digitale elementer, herunder ikkeindlejret software (løsning 4): Denne løsning ligner løsning 3, bortset fra anvendelsesområdet. Løsning 4 vil omfatte ikkeindlejret software (med to delløsninger, der kun omfatter kritisk software (4a) eller al software (4b)) inden for anvendelsesområdet for en potentiel forordning. For hver delløsning vil de samme delløsninger vedrørende overensstemmelsesvurdering som for løsning 3 blive overvejet. Løsning 4 (med delløsninger, der omfatter al software og indebærer obligatorisk tredjepartsvurdering af kritiske produkter) fremstod som den foretrukne løsning baseret på en vurdering af effektiviteten i forhold til de specifikke mål og omkostningseffektiviteten. Denne løsningsmodel vil sikre, at der fastsættes specifikke horisontale cybersikkerhedskrav til alle produkter med digitale elementer, der bringes i omsætning eller gøres tilgængelige på det indre marked, og vil være den eneste løsning, der dækker hele den digitale forsyningskæde. Ikkeindlejret software, der ofte er udsat for sårbarheder, vil også være omfattet af et sådant reguleringstiltag og dermed sikre en sammenhængende tilgang til alle produkter med digitale elementer med en klar ansvarsfordeling mellem forskellige erhvervsdrivende. Denne løsning tilfører også merværdi ved at omfatte aspekter vedrørende pligt til at udvise rettidig omhu og livscyklus, når produkterne med digitale elementer er bragt i omsætning, bl.a. for at sikre tilvejebringelsen af relevante oplysninger om sikkerhedsstøtte og levering af sikkerhedsopdateringer. Denne løsning vil også mest effektivt supplere den seneste revision af NIS-rammen ved at sikre forudsætningerne for en styrket forsyningskædesikkerhed. Den foretrukne løsning vil medføre betydelige fordele for de forskellige interessenter. For virksomhederne vil det forhindre divergerende sikkerhedsregler for produkter med digitale elementer og mindske omkostningerne til overholdelse af relateret lovgivning om cybersikkerhed. Det vil reducere antallet af cyberhændelser, omkostningerne til håndtering af hændelser og skade på omdømme. For hele EU anslås det, at initiativet kan føre til en omkostningsreduktion som følge af hændelser, der påvirker virksomheder, på ca. 180-290 mia. EUR om året. Det vil føre til en øget omsætning som følge af øget efterspørgsel efter produkter med digitale elementer. Det vil forbedre virksomhedernes globale omdømme og også føre til øget efterspørgsel uden for EU. For brugerne vil den foretrukne løsning øge gennemsigtigheden med hensyn til sikkerhedsegenskaberne og lette anvendelsen af produkter med digitale elementer. Forbrugere og borgere vil også få en bedre beskyttelse af deres grundlæggende rettigheder såsom privatlivets fred og databeskyttelse. Da respondenterne i den offentlige høring blev bedt om at vurdere effektiviteten af de politiske tiltag, var de enige i, at løsning 4 ville være den mest effektive foranstaltning (4,08 på en skala fra 1 til 5). Dette omfatter forbrugerorganisationer (5,00), respondenter, der angav sig som brugere (4,22), bemyndigede organer (4,17), markedsovervågningsmyndigheder (5,00) og producenter af produkter med digitale elementer (3,85), herunder små og mellemstore producenter (4,05). •Målrettet regulering og forenkling

Med dette forslag fastsættes krav, der vil gælde for software- og hardwarefabrikanter. Der er behov for at sikre retssikkerheden og undgå yderligere markedsfragmentering af produktrelaterede krav til cybersikkerhed på det indre marked, hvilket den brede støtte fra forskellige interessenter til et horisontalt tiltag viser. Forslaget vil minimere den regelbyrde, som en række retsakter om produktsikkerhed pålægger fabrikanterne. Tilpasningen til den nye lovgivningsmæssige ramme betyder, at tiltaget og håndhævelsen heraf vil fungere bedre. Forslaget strømliner beskyttelsesprocedurerne ved at inddrage fabrikanterne og medlemsstaterne inden Kommissionen underrettes. En stor del af de fabrikanter, der er omfattet af forslaget, er allerede fortrolige med den nye lovgivningsmæssige ramme, hvilket vil bidrage til forståelsen og gennemførelsen heraf. For forbrugere og virksomheder vil forslaget fremme tilliden til produkter med digitale elementer. •Grundlæggende rettigheder Alle løsninger forventes i et vist omfang at forbedre beskyttelsen af grundlæggende rettigheder og frihedsrettigheder såsom privatlivets fred, beskyttelse af personoplysninger, frihed til at oprette og drive egen virksomhed og beskyttelse af ejendom eller personlig værdighed og integritet. Den foretrukne løsning 4, der består af brede horisontale reguleringstiltag, vil navnlig være mest effektiv i denne henseende, da der er større sandsynlighed for, at den vil bidrage til at mindske antallet og alvoren af hændelser, herunder brud på persondatasikkerheden. Den vil også øge retssikkerheden og skabe lige vilkår for de erhvervsdrivende, øge tilliden blandt brugerne og gøre EU-produkter med digitale elementer mere attraktive som helhed og dermed beskytte ejendomsretten og forbedre vilkårene for erhvervsdrivende. De horisontale cybersikkerhedskrav vil bidrage til sikkerheden af personoplysninger ved at beskytte fortroligheden, integriteten og tilgængeligheden af oplysninger om produkter med digitale elementer. Overholdelse af disse krav vil gøre det lettere at overholde kravet om sikkerhed i forbindelse med behandling af personoplysninger i henhold til forordning (EU) 2016/679 (den generelle forordning om databeskyttelse). Forslaget vil øge gennemsigtigheden og informationen til brugerne, herunder brugere, der ikke har så mange cybersikkerhedsfærdigheder. Brugerne vil også blive bedre informeret om risici, kapaciteter og begrænsninger ved produkter med digitale elementer, hvilket vil give dem bedre forudsætninger for at træffe de nødvendige forebyggende og afbødende foranstaltninger for at reducere de resterende risici. 4.VIRKNINGER FOR BUDGETTET For at kunne udføre opgaverne tildelt Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) i henhold til denne forordning, skal ENISA omfordele ressourcer på ca. 4.5 fuldtidsækvivalenter. Kommissionen skal tildele syv fuldtidsækvivalenter for at opfylde sine håndhævelsesforpligtelser i henhold til denne forordning. En detaljeret oversigt over de omkostninger, der er forbundet hermed, findes i "finansieringsoversigten" til dette forslag. 5.ANDRE FORHOLD •Planer for gennemførelsen og foranstaltninger til overvågning, evaluering og rapportering Kommissionen vil overvåge gennemførelsen, anvendelsen og overholdelsen af disse nye bestemmelser med henblik på at vurdere deres effektivitet. Forordningen vil indeholde krav om evaluering og revision fra Kommissionen og forelæggelse af en offentlig rapport herom for Europa-Parlamentet og Rådet senest 36 måneder efter datoen for forordningens anvendelse og hvert fjerde år derefter. •Nærmere redegørelse for de enkelte bestemmelser i forslaget Almindelige bestemmelser (kapitel I) I denne foreslåede forordning fastsættes a) regler for omsætning af produkter med digitale elementer for at sikre cybersikkerheden for sådanne produkter, b) væsentlige krav til design, udvikling og produktion af produkter med digitale elementer og forpligtelser for erhvervsdrivende i forbindelse med disse produkter med hensyn til cybersikkerhed c) væsentlige krav til de sårbarhedshåndteringsprocesser, som fabrikanterne skal indføre for at sikre cybersikkerheden for produkter med digitale elementer i hele deres livscyklus, og forpligtelser for erhvervsdrivende i forbindelse med disse processer, d) regler om markedsovervågning og håndhævelse af ovennævnte regler og krav. Den foreslåede forordning vil finde anvendelse på produkter med digitale elementer, hvis tilsigtede og med rimelighed forudsigelige anvendelse omfatter en direkte eller indirekte logisk eller fysisk dataforbindelse til en enhed eller et netværk. Den foreslåede forordning finder ikke anvendelse på produkter med digitale elementer inden for anvendelsesområdet for forordning (EU) 2017/745 [medicinsk udstyr til human brug og tilbehør til sådant udstyr] og forordning (EU) 2017/746 [medicinsk udstyr til in vitro-diagnostik til human brug og tilbehør til sådant udstyr], da begge forordninger indeholder krav vedrørende udstyr, herunder om software og generelle forpligtelser for fabrikanter, der dækker hele produkternes livscyklus, samt overensstemmelsesvurderingsprocedurer. Denne forordning finder ikke anvendelse på produkter med digitale elementer, der er certificeret i overensstemmelse med forordning 2018/1139 [højt ensartet niveau for civil luftfartssikkerhed], eller på produkter, som forordning (EU) 2019/2144 finder anvendelse på [om krav til typegodkendelse af motorkøretøjer og påhængskøretøjer dertil samt systemer, komponenter og separate tekniske enheder til sådanne køretøjer]. Kritiske produkter med digitale elementer omfattes af specifikke overensstemmelsesvurderingsprocedurer og inddeles i klasse I og II som fastsat i bilag III, der afspejler deres cybersikkerhedsrisikoniveau, hvor klasse II udgør en større risiko. Et produkt med digitale elementer betragtes som kritisk og er derfor medtaget i bilag III under hensyntagen til virkningen af potentielle cybersikkerhedssårbarheder i produktet med digitale elementer. Den cybersikkerhedsrelaterede funktionalitet i produktet med digitale elementer og produktets tilsigtede anvendelse i følsomme miljøer såsom industrielle rammer tages i betragtning ved fastlæggelsen af cybersikkerhedsrisiciene. Kommissionen tillægges også beføjelser til at vedtage delegerede retsakter med henblik på at supplere denne forordning ved at præcisere de kategorier af meget kritiske produkter med digitale elementer, for hvilke fabrikanterne skal indhente en europæisk cybersikkerhedsattest i henhold til en europæisk cybersikkerhedscertificeringsordning for at påvise overensstemmelse med de væsentlige krav i bilag I eller dele deraf. Ved fastlæggelsen af sådanne kategorier af højkritiske produkter med digitale elementer tager Kommissionen hensyn til cybersikkerhedsrisikoniveauet for kategorien af produkter med digitale elementer på grundlag af et eller flere af de kriterier, der overvejes for opførelse af kritiske produkter med digitale elementer i bilag III, samt vurderingen af, om denne produktkategori anvendes af de væsentlige enheder af den type, der er omhandlet i bilag [bilag I] til direktiv [direktiv XXX/XXXX (NIS2)], eller vil have potentiel fremtidig betydning for disse enheders aktiviteter, eller er relevant for modstandsdygtigheden i den samlede forsyningskæde for produkter med digitale elementer over for afbrydelser. Erhvervsdrivendes forpligtelser (kapitel II) Forslaget indeholder forpligtelser for fabrikanter, importører og distributører baseret på referencebestemmelserne i afgørelse 768/2008/EF. Ifølge de væsentlige cybersikkerhedskrav og -forpligtelser må alle produkter med digitale elementer kun gøres tilgængelige på markedet, hvis de er korrekt leveret, installeret og vedligeholdt og anvendes til det tilsigtede formål eller på betingelser, som med rimelighed kan forudses, og opfylder de væsentlige cybersikkerhedskrav, der er fastsat i denne forordning.

Ifølge de væsentlige krav og forpligtelser skal fabrikanterne til at tage højde for cybersikkerhed i forbindelse med design, udvikling og produktion af produkter med digitale elementer, udvise den fornødne omhu med hensyn til sikkerhedsaspekter i forbindelse med design og produktion af deres produkter, være åbne omkring cybersikkerhedsaspekter, som kunderne skal have kendskab til, sørge for sikkerhedsstøtte (opdateringer) på en forholdsmæssig måde og opfylde krav til håndtering af sårbarheder. Der vil blive indført forpligtelser for erhvervsdrivende, lige fra fabrikanter til distributører og importører, i forbindelse med omsætning af produkter med digitale elementer, som er passende i forhold til deres rolle og ansvar i forsyningskæden. Overensstemmelsen af produkter med digitale elementer (kapitel III) Produktet med digitale elementer, som er i overensstemmelse med harmoniserede standarder eller dele heraf, hvis referencer er offentliggjort i Den Europæiske Unions Tidende, formodes at være i overensstemmelse med de væsentlige krav i denne foreslåede forordning. Hvis der ikke findes harmoniserede standarder, eller hvis de er utilstrækkelige, eller hvis der er unødige forsinkelser i standardiseringsproceduren, eller hvis Kommissionens anmodning ikke er blevet imødekommet af nogen af de europæiske standardiseringsorganisationer, kan Kommissionen vedtage fælles specifikationer ved hjælp af gennemførelsesretsakter. Desuden formodes produkter med digitale elementer, der er blevet certificeret, eller for hvilke der er udstedt en EU-overensstemmelseserklæring eller attest i henhold til en europæisk cybersikkerhedscertificeringsordning i henhold til forordning (EU) 2019/881, og for hvilken Kommissionen har præciseret i en gennemførelsesretsakt, at den kan danne grundlag for formodning om overensstemmelse med denne forordning, at være i overensstemmelse med de væsentlige krav i denne forordning eller dele heraf, såfremt cybersikkerhedsattesten eller overensstemmelseserklæringen eller dele heraf dækker disse krav. For at undgå unødige administrative byrder for fabrikanter bør Kommissionen endvidere, hvor det er relevant, præcisere, om en cybersikkerhedsattest, der er udstedt i henhold til en sådan europæisk cybersikkerhedscertificeringsordning, fritager fabrikanten fra forpligtelsen til at lade foretage en overensstemmelsesvurdering af tredjepart som omhandlet i denne forordning vedrørende tilsvarende krav . Fabrikanten skal foretage en overensstemmelsesvurdering af produktet med digitale elementer og de sårbarhedshåndteringsprocesser, fabrikanter har indført, for at påvise overensstemmelse med de væsentlige krav i bilag I ved at følge en af de procedurer, der er fastsat i bilag VI. Fabrikanter af kritiske produkter i klasse I og II skal anvende de respektive moduler, der er nødvendige for at opfylde kravene. Fabrikanter af kritiske produkter i klasse II skal inddrage en tredjepart i deres overensstemmelsesvurdering. Notifikation af overensstemmelsesvurderingsorganer (kapitel IV) Velfungerende bemyndigede organer er af afgørende betydning for at sikre et højt cybersikkerhedsniveau og alle berørte parters tillid til systemet med den nye metode. I overensstemmelse afgørelse 768/2008/EF indeholder forslaget derfor en række krav til de nationale myndigheder med ansvar for overensstemmelsesvurderingsorganer (bemyndigede organer). Det endelige ansvar for udpegelsen og overvågningen af de bemyndigede organer overlades til medlemsstaterne. Medlemsstaterne udpeger en bemyndigende myndighed, som er ansvarlig for at indføre og gennemføre de nødvendige procedurer for vurdering og notifikation af overensstemmelsesvurderingsorganer og overvågning af bemyndigede organer. Markedsovervågning og håndhævelse (kapitel V) I overensstemmelse med forordning (EU) 2019/1020 udfører de nationale markedsovervågningsmyndigheder markedsovervågning i den pågældende medlemsstat. Medlemsstaterne kan vælge at udpege enhver eksisterende eller ny myndighed som markedsovervågningsmyndighed, herunder eksisterende nationale kompetente myndigheder som omhandlet i artikel [artikel X] i direktiv [direktiv XXX/XXXX (NIS2)], eller udpegede nationale cybersikkerhedscertificeringsmyndigheder som omhandlet i artikel 58 i forordning (EU) 2019/881. Erhvervsdrivende anmodes om at samarbejde fuldt ud med markedsovervågningsmyndighederne og andre kompetente myndigheder. Delegerede beføjelser og udvalgsprocedure (kapitel VI) For at sikre, at den lovgivningsmæssige ramme kan tilpasses om nødvendigt, delegeres Kommissionen beføjelse til at vedtage retsakter, jf. artikel 290 i TEUF, for så vidt angår opdatering af listen over kritiske produkter i klasse I og II og præcisering af definitionerne af disse produkter, præcisering af, om en begrænsning eller udelukkelse er nødvendig for produkter med digitale elementer, der er omfattet af andre EU-forskrifter, der fastlægger krav, som sikrer samme beskyttelsesniveau som denne forordning, tildeling af mandat til certificering af visse meget kritiske produkter med digitale elementer baseret på de kriterier, der er fastsat i denne forordning, præcisering af minimumsindholdet i EU-overensstemmelseserklæringen og supplering af de elementer, der skal indgå i den tekniske dokumentation. Kommissionen tillægges desuden beføjelser til at vedtage gennemførelsesretsakter med henblik på at: præcisere formatet for eller elementerne i rapporteringsforpligtelserne og softwarekomponentlisten, præcisere de europæiske cybersikkerhedscertificeringsordninger, der kan anvendes til at påvise overensstemmelse med de væsentlige krav eller dele heraf som fastsat i denne forordning, vedtage fælles specifikationer, fastsætte tekniske specifikationer for anbringelse af CE-mærkningen; vedtage korrigerende eller restriktive foranstaltninger på EU-plan under ekstraordinære omstændigheder, der berettiger et hurtigt indgreb for at bevare et velfungerende indre marked. Fortrolighed og sanktioner (kapitel VII) Alle parter, der anvender denne forordning, skal overholde tavshedspligten for oplysninger og data, der indhentes under udførelsen af deres opgaver og arbejde. For at sikre en effektiv håndhævelse af de forpligtelser, der er fastsat i denne forordning, bør hver markedsovervågningsmyndighed have beføjelse til at pålægge eller anmode om pålæggelse af administrative bøder. På samme måde fastsættes der i denne forordning maksimumsniveauer for administrative bøder, som bør fastsættes i national lovgivning for manglende overholdelse af forpligtelserne i denne forordning. Overgangsbestemmelser og afsluttende bestemmelser (kapitel VIII) For at give fabrikanter, bemyndigede organer og medlemsstaterne tid til at tilpasse sig de nye krav vil den foreslåede forordning finde anvendelse [24 måneder] efter dens ikrafttræden, bortset fra fabrikanternes indberetningspligt, som finder anvendelse fra [12 måneder] efter ikrafttrædelsesdatoen.





2022/0272 (COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om horisontale cybersikkerhedskrav til produkter med digitale elementer og om ændring af forordning (EU) 2019/1020 (EØS-relevant tekst) EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR — under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114, og under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg, under henvisning til udtalelse fra Regionsudvalget, efter den almindelige lovgivningsprocedure, og ud fra følgende betragtninger: (1)Det er nødvendigt at forbedre det indre markeds funktion ved at fastlægge en ensartet retlig ramme for væsentlige cybersikkerhedskrav til produkter med digitale elementer, der bringes i omsætning på EU-markedet. Der bør tages fat på to store problemer, som øger omkostningerne for brugerne og samfundet: et lavt cybersikkerhedsniveau for produkter med digitale elementer, der afspejles i udbredte sårbarheder og utilstrækkelig og inkonsekvent levering af sikkerhedsopdateringer til håndtering heraf, og brugernes utilstrækkelige forståelse af og adgang til oplysninger, hvilket forhindrer dem i at vælge produkter med passende cybersikkerhedsegenskaber eller at anvende dem på en sikker måde. (2)Denne forordning har til formål at fastsætte grænsebetingelserne for udvikling af sikre produkter med digitale elementer ved at sikre, at hardware- og softwareprodukter bringes i omsætning med færre sårbarheder, og at fabrikanterne tager sikkerheden alvorligt i hele et produkts livscyklus. Den har også til formål at skabe betingelser, der gør det muligt for brugerne at tage hensyn til cybersikkerhed, når de udvælger og anvender produkter med digitale elementer. (3)Den relevante gældende EU-lovgivning omfatter flere sæt horisontale regler, der omhandler visse cybersikkerhedsaspekter fra forskellige vinkler, herunder foranstaltninger til forbedring af sikkerheden i den digitale forsyningskæde. Den eksisterende EU-lovgivning vedrørende cybersikkerhed, herunder [direktiv XXX/XXXX (NIS2)] og Europa-Parlamentets og Rådets forordning (EU) 2019/881, omfatter imidlertid ikke direkte obligatoriske krav til sikkerheden af produkter med digitale elementer. (4)Selv om den eksisterende EU-lovgivning finder anvendelse på visse produkter med digitale elementer, er der ingen horisontal EU-lovramme, der fastsætter omfattende cybersikkerhedskrav for alle produkter med digitale elementer. De forskellige retsakter og initiativer, der er truffet indtil videre på EU-plan og nationalt plan, løser kun delvist de identificerede cybersikkerhedsrelaterede problemer og risici og skaber et kludetæppe af lovgivning i det indre marked, øger retsusikkerheden for både fabrikanter og brugere af disse produkter og pålægger virksomhederne unødvendige byrder forbundet med opfyldelsen af en række krav til lignende produkttyper. Cybersikkerheden for disse produkter har en særlig stærk grænseoverskridende dimension, da produkter fremstillet i ét land ofte anvendes af organisationer og forbrugere i hele det indre marked. Dette gør det nødvendigt at regulere området på EU-plan. Unionens lovgivningsmæssige landskab bør harmoniseres ved at indføre cybersikkerhedskrav til produkter med digitale elementer. Der bør desuden sikres større retssikkerhed for erhvervsdrivende og brugere i hele Unionen samt en bedre harmonisering af det europæiske indre marked, hvilket vil skabe mere levedygtige vilkår for operatører, der ønsker at komme ind på EU-markedet. (5)På EU-plan er der i forskellige program- og politikdokumenter såsom EU's strategi for cybersikkerhed for det digitale årti, Rådets konklusioner af 2. december 2020 og 23. maj 2022 eller Europa-Parlamentets beslutning af 10. juni 2021 blevet opfordret til, at der indføres specifikke EU-cybersikkerhedskrav til digitale eller forbundne produkter, og en række lande rundt om i verden har indført foranstaltninger til at løse dette problem på eget initiativ. I den endelige rapport fra konferencen om Europas fremtid opfordrede borgerne EU til "at spille en stærkere rolle i bekæmpelsen af cybersikkerhedstrusler". (6)For at øge det samlede cybersikkerhedsniveau for alle produkter med digitale elementer, der bringes i omsætning i det indre marked, er det nødvendigt at indføre objektive og teknologineutrale væsentlige cybersikkerhedskrav til disse produkter, der gælder horisontalt. (7)Under visse omstændigheder kan alle produkter med digitale elementer, der er integreret i eller forbundet med et større elektronisk informationssystem, fungere som angrebsvektor for ondsindede aktører. Som følge heraf kan selv hardware og software, der betragtes som mindre kritisk, lette den indledende kompromittering af en enhed eller et netværk, der gør det muligt for ondsindede aktører at få privilegeret adgang til et system eller bevæge sig sideværts på tværs af systemer. Fabrikanterne bør derfor sikre, at alle produkter med digitale elementer, der kan forbindes, designes og udvikles i overensstemmelse med de væsentlige krav, der er fastsat i denne forordning. Dette omfatter både produkter, der kan forbindes fysisk via hardwaregrænseflader, og produkter, der er logisk forbundne, f.eks. via netstikdåser, rør, filer, applikationsprogrammeringsgrænseflader eller andre typer softwaregrænseflader. Da cybersikkerhedstrusler kan udbredes gennem forskellige produkter med digitale elementer, inden de når et bestemt mål, f.eks. ved at sammenkæde flere sårbarheder, bør fabrikanterne også sikre cybersikkerheden i de produkter, der kun er indirekte forbundet med andre enheder eller netværk.

(8)Ved at fastsætte cybersikkerhedskrav til produkter med digitale elementer, der bringes i omsætning, vil disse produkters cybersikkerhed blive forbedret for både forbrugere og virksomheder. Dette omfatter også krav til produkter med digitale elementer beregnet til sårbare forbrugere, f.eks. legetøj og babyalarmer, der bringes i omsætning. (9)Denne forordning sikrer et højt cybersikkerhedsniveau for produkter med digitale elementer. Den regulerer ikke tjenester såsom software-as-a-service (SaaS), bortset fra fjerndatabehandlingsløsninger vedrørende et produkt med digitale elementer forstået som enhver databehandling på afstand, som softwaren er designet og udviklet til af fabrikanten af det pågældende produkt eller under den pågældende fabrikants ansvar, hvis fravær ville forhindre et sådant produkt med digitale elementer i at udføre en af sine funktioner. I [direktiv XXX/XXXX (NIS2)] indføres krav om cybersikkerhed og underretning om hændelser til væsentlige og vigtige enheder såsom kritisk infrastruktur for at øge modstandsdygtigheden af de tjenester, de leverer. [Direktiv XXX/XXXX (NIS2)] finder anvendelse på cloud computing-tjenester og modeller for cloud-tjenester såsom SaaS. Alle enheder, der udbyder cloud computing-tjenester i Unionen, og som opfylder eller overskrider tærsklen for mellemstore virksomheder, er omfattet af nævnte direktivs anvendelsesområde. (10)For ikke at hæmme innovation eller forskning bør gratis og open source-software, der ikke udvikles eller leveres som led i erhvervsvirksomhed, ikke være omfattet af denne forordning. Dette er navnlig tilfældet for software, herunder kildekode og ændrede versioner, der deles åbent og er frit tilgængelige, anvendelige, redigerbare og redistribuerbare. I forbindelse med software kan erhvervsvirksomhed ikke blot være kendetegnet ved opkrævning af en pris for et produkt, men også ved opkrævning af en pris for tekniske supporttjenester, ved tilrådighedsstillelse af en softwareplatform, hvorigennem fabrikanten tjener penge på andre tjenester, eller ved anvendelse af personoplysninger til andre formål end blot at forbedre softwarens sikkerhed, kompatibilitet eller interoperabilitet. (11)Et sikkert internet er uundværligt for kritiske infrastrukturers funktion og for samfundet som helhed. [Direktiv XXX/XXXX (NIS2)] har til formål at sikre et højt cybersikkerhedsniveau for tjenester, der leveres af væsentlige og vigtige enheder, herunder udbydere af digital infrastruktur, der understøtter centrale funktioner i det åbne internet og sikrer internetadgang og internettjenester. Det er derfor vigtigt, at produkter med digitale elementer, der er nødvendige for, at udbydere af digital infrastruktur kan sikre, at internettet fungerer, udvikles på en sikker måde, og at de overholder veletablerede standarder for internetsikkerhed. Denne forordning, som finder anvendelse på alle hardware- og softwareprodukter, der kan forbindes, har også til formål at gøre det lettere for udbydere af digital infrastruktur at overholde kravene i forsyningskæden i henhold til [direktiv XXX/XXXX (NIS2)] ved at sikre, at de produkter med digitale elementer, som de anvender i forbindelse med leveringen af deres tjenester, udvikles på en sikker måde, og at de har adgang til rettidige sikkerhedsopdateringer for sådanne produkter. (12)Europa-Parlamentets og Rådets forordning (EU) 2017/745 fastsætter regler om medicinsk udstyr, og Europa-Parlamentets og Rådets forordning (EU) 2017/746 fastsætter regler om medicinsk udstyr til in vitro-diagnostik. Begge forordninger omhandler cybersikkerhedsrisici og følger særlige tilgange, der også behandles i nærværende forordning. Mere specifikt fastsætter forordning (EU) 2017/745 og (EU) 2017/746 væsentlige krav til medicinsk udstyr, der fungerer via et elektronisk system, eller som er software i sig selv. Visse former for ikkeindlejret software og livscyklustilgangen behandles også i disse forordninger. Disse krav giver fabrikanterne mandat til at udvikle og bygge deres produkter ud fra risikostyringsprincipper og ved at fastsætte krav vedrørende IT-sikkerhedsforanstaltninger og anvende tilsvarende overensstemmelsesvurderingsprocedurer. Desuden blev der i december 2019 indført specifik vejledning om cybersikkerhed for medicinsk udstyr, som giver fabrikanter af medicinsk udstyr, herunder udstyr til in vitro-diagnostik, vejledning i, hvordan de opfylder alle de relevante væsentlige krav i bilag I til disse forordninger for så vidt angår cybersikkerhed. Produkter med digitale elementer, som en af disse forordninger finder anvendelse på, bør derfor ikke være omfattet af denne forordning. (13)Ved Europa-Parlamentets og Rådets forordning (EU) 2019/2144 fastsættes krav til typegodkendelse af køretøjer og deres systemer og komponenter, herunder en række cybersikkerhedskrav, bl.a. vedrørende drift af et certificeret cybersikkerhedsstyringssystem, softwareopdateringer, der dækker organisationers politikker og processer for styring af cyberrisici i hele livscyklussen for køretøjer, udstyr og tjenester i overensstemmelse med de gældende FN-regulativer om tekniske specifikationer og cybersikkerhed, og der indføres specifikke overensstemmelsesvurderingsprocedurer. På luftfartsområdet er hovedformålet med Europa-Parlamentets og Rådets forordning (EU) 2018/1139 at fastlægge og opretholde et højt og ensartet sikkerhedsniveau for den civile luftfart i Unionen. Den skaber en ramme for væsentlige krav til luftdygtighed for luftfartøjsmateriel, dele og udstyr, herunder software, hvor deres tages hensyn til forpligtelser til at beskytte mod trusler mod informationssikkerheden. Produkter med digitale elementer, som forordning (EU) 2019/2144 finder anvendelse på, og produkter, der er certificeret i overensstemmelse med forordning (EU) 2018/1139, er derfor ikke omfattet af de væsentlige krav og overensstemmelsesvurderingsprocedurerne i nærværende forordning. Certificeringsprocessen i henhold til forordning (EU) 2018/1139 sikrer det samme beskyttelsesniveau som det, der er fastsat i denne forordning. (14)I denne forordning fastsættes horisontale cybersikkerhedsregler, som ikke er specifikke for sektorer eller visse produkter med digitale elementer. Der kan dog indføres sektor- eller produktspecifikke EU-forskrifter, der fastlægger krav vedrørende alle eller nogle af de risici, der er omfattet af de væsentlige krav i denne forordning. I sådanne tilfælde kan anvendelsen af denne forordning på produkter med digitale elementer, som er omfattet af andre EU-forskrifter, der fastlægger krav vedrørende alle eller nogle af de risici, som er omfattet af de væsentlige krav i bilag I til denne forordning, begrænses eller udelukkes, hvis en sådan begrænsning eller udelukkelse er i overensstemmelse med den overordnede lovgivningsmæssige ramme, der gælder for disse produkter, og hvis de sektorspecifikke regler sikrer samme beskyttelsesniveau som det, der er fastsat i denne forordning. Kommissionen tillægges beføjelser til at vedtage delegerede retsakter for at ændre denne forordning ved at identificere sådanne produkter og forskrifter. For eksisterende EU-lovgivning, hvor sådanne begrænsninger eller udelukkelser bør finde anvendelse, indeholder denne forordning specifikke bestemmelser for at præcisere forordningens sammenhæng med den pågældende EU-lovgivning. (15)I delegeret forordning (EU) 2022/30 præciseres det, at de væsentlige krav i artikel 3, stk. 3, litra d) (skade på net og misbrug af netressourcer), litra e) (personoplysninger og privatliv) og litra f) (svig) i direktiv 2014/53/EU finder anvendelse på visse typer radioudstyr. I [Kommissionens gennemførelsesafgørelse XXX/2022 om en standardiseringsanmodning til de europæiske standardiseringsorganisationer] fastsættes krav til udviklingen af specifikke standarder med nærmere angivelse af, hvordan disse tre væsentlige krav bør håndteres. De væsentlige krav fastsat i denne forordning omfatter alle elementerne i de væsentlige krav, der er omhandlet i artikel 3, stk. 3, litra d), e) og f), i direktiv 2014/53/EU. De væsentlige krav i denne forordning er desuden i overensstemmelse med målene for kravene til specifikke standarder, der er omfattet af denne standardiseringsanmodning. Hvis Kommissionen ophæver eller ændrer delegeret forordning (EU) 2022/30 med den konsekvens, at den ophører med at finde anvendelse på visse produkter, der er omfattet af nærværende forordning, bør Kommissionen og de europæiske standardiseringsorganisationer tage hensyn til det standardiseringsarbejde, der er udført i forbindelse med Kommissionens gennemførelsesafgørelse C (2022) 5637 om en standardiseringsanmodning i forbindelse med den delegerede forordning 2022/30 om radioudstyrsdirektivet, ved udarbejdelsen og udviklingen af harmoniserede standarder for at lette gennemførelsen af forordningen. (16)Direktiv 85/374/EØF supplerer denne forordning. Nævnte direktiv fastsætter regler om produktansvar, således at skadelidte kan kræve erstatning for skade forårsaget af defekte produkter. Det fastsætter princippet om, at fabrikanten af et produkt er ansvarlig for skader forårsaget af produktets manglende sikkerhed uanset fejl ("objektivt ansvar"). Hvis en sådan mangel på sikkerhed består i manglende sikkerhedsopdateringer, efter at produktet er bragt i omsætning, og dette forårsager skade, kan fabrikantens ansvar udløses. Fabrikanternes forpligtelser vedrørende levering af sådanne sikkerhedsopdateringer bør fastsættes i denne forordning. (17)Denne forordning bør ikke berøre Europa-Parlamentets og Rådets forordning (EU) 2016/679, herunder bestemmelser om fastlæggelse af certificeringsmekanismer for databeskyttelse samt databeskyttelsesmærkninger og -mærker med henblik på at påvise, at dataansvarliges og databehandleres behandlingsaktiviteter overholder nævnte forordning. Sådanne aktiviteter kan indlejres i et produkt med digitale elementer. Databeskyttelse gennem design og gennem standardindstillinger samt cybersikkerhed generelt er centrale elementer i forordning (EU) 2016/679. Ved at beskytte forbrugere og organisationer mod cybersikkerhedsrisici skal de væsentlige cybersikkerhedskrav i denne forordning også bidrage til at forbedre beskyttelsen af personoplysninger og privatlivets fred for enkeltpersoner. Synergier med hensyn til både standardisering og certificering af cybersikkerhedsaspekter bør overvejes inden for rammerne af samarbejdet mellem Kommissionen, de europæiske standardiseringsorganisationer, Den Europæiske Unions Agentur for Cybersikkerhed (ENISA), Det Europæiske Databeskyttelsesråd (EDPB) oprettet ved forordning (EU) 2016/679 og de nationale databeskyttelsestilsynsmyndigheder. Der bør også skabes synergier mellem denne forordning og EU's databeskyttelseslovgivning inden for markedsovervågning og håndhævelse. Med henblik herpå bør nationale markedsovervågningsmyndigheder udpeget i henhold til denne forordning samarbejde med myndigheder, der fører tilsyn med EU's databeskyttelseslovgivning. Sidstnævnte myndigheder bør også have adgang til oplysninger, der er relevante for udførelsen af deres opgaver. (18)I det omfang deres produkter er omfattet af denne forordnings anvendelsesområde, bør udstedere af europæiske digitale ID-tegnebøger som omhandlet i artikel [artikel 6a, stk. 2, i forordning (EU) nr. 910/2014 som ændret ved forslag til forordning om ændring af forordning (EU) nr. 910/2014 for så vidt angår fastlæggelse af en ramme for en europæisk digital identitet] opfylde både de horisontale væsentlige krav fastsat i denne forordning og de specifikke sikkerhedskrav fastsat i artikel [artikel 6a i forordning (EU) nr. 910/2014 som ændret ved forslag til forordning om ændring af forordning (EU) nr. 910/2014 for så vidt angår fastlæggelse af en ramme for en europæisk digital identitet]. For at lette overholdelsen bør udstedere af tegnebøger kunne påvise, at europæiske digitale ID-tegnebøger opfylder de krav, der er fastsat i begge retsakter, ved at certificere deres produkter i henhold til en europæisk cybersikkerhedscertificeringsordning, der er oprettet i henhold til forordning (EU) 2019/881, og for hvilken Kommissionen har præciseret i en gennemførelsesretsakt, at den kan danne grundlag for formodning om overensstemmelse med denne forordning, såfremt attesten eller dele heraf dækker disse krav. (19)Visse af de opgaver, der er fastsat i denne forordning, bør udføres af ENISA i overensstemmelse med artikel 3, stk. 2, i forordning (EU) 2019/881. ENISA bør navnlig modtage underretninger fra fabrikanter om aktivt udnyttede sårbarheder i produkter med digitale elementer samt om hændelser, der indvirker på disse produkters sikkerhed. ENISA bør også videresende disse underretninger til de relevante enheder, der håndterer IT-sikkerhedshændelser (CSIRT'er), eller til de relevante centrale kontaktpunkter i medlemsstaterne, der er udpeget i overensstemmelse med artikel [artikel X] i direktiv [direktiv XXX/XXXX (NIS2)], og underrette de relevante markedsovervågningsmyndigheder om den anmeldte sårbarhed. På grundlag af de oplysninger, som agenturet indsamler, bør ENISA hvert andet år udarbejde en teknisk rapport om nye tendenser med hensyn til cybersikkerhedsrisici forbundet med produkter med digitale elementer og forelægge den for den samarbejdsgruppe, der er omhandlet i direktiv [direktiv XXX/XXXX (NIS2)]. Endvidere bør ENISA i betragtning af sin ekspertise og sit mandat være i stand til at støtte processen for gennemførelse af denne forordning. Agenturet bør navnlig kunne foreslå fælles aktiviteter, der skal gennemføres af markedsovervågningsmyndighederne, på grundlag af tegn på eller oplysninger om, at kravene i denne forordning til produkter med digitale elementer muligvis ikke overholdes i flere medlemsstater, eller identificere produktkategorier, for hvilke der bør tilrettelægges samtidige, koordinerede kontrolaktioner. Under ekstraordinære omstændigheder bør ENISA efter anmodning fra Kommissionen kunne foretage evalueringer af specifikke produkter med digitale elementer, der udgør en væsentlig cybersikkerhedsrisiko, hvis der er behov for et hurtigt indgreb for at bevare et velfungerende indre marked. (20)Produkter med digitale elementer bør være forsynet med CE-mærkning for at vise, at de er i overensstemmelse med denne forordning, således at de kan bevæge sig frit på det indre marked. Medlemsstaterne bør ikke skabe uberettigede hindringer for omsætning af produkter med digitale elementer, der opfylder kravene i denne forordning, og som er forsynet med CE-mærkning. (21)For at sikre, at fabrikanterne kan frigive software til testformål, inden deres produkter underkastes en overensstemmelsesvurdering, bør medlemsstaterne ikke forhindre, at ufærdig software såsom alfaversioner, betaversioner eller versioner, som er klar til frigivelse ("release candidates"), stilles til rådighed, så længe versionen kun stilles til rådighed i det tidsrum, der er nødvendigt for at teste den og indsamle feedback. Fabrikanterne bør sikre, at software, der stilles til rådighed under disse betingelser, kun frigives efter en risikovurdering, og at den i videst muligt omfang opfylder de sikkerhedskrav vedrørende egenskaberne ved produkter med digitale elementer, der er fastsat i denne forordning. Fabrikanterne bør også gennemføre kravene til håndtering af sårbarheder i videst muligt omfang. Fabrikanterne bør ikke tvinge brugerne til at opgradere til versioner, der kun frigives til prøvningsformål. (22)For at sikre, at produkter med digitale elementer, der bringes i omsætning, ikke indebærer cybersikkerhedsrisici for personer og organisationer, bør der fastsættes væsentlige krav til sådanne produkter. Hvis produkterne efterfølgende ændres fysisk eller digitalt på en måde, som fabrikanten ikke har forudset, og som kan indebære, at de ikke længere opfylder de relevante væsentlige krav, bør ændringen betragtes som væsentlig. Softwareopdateringer eller reparationer kan f.eks. sammenlignes med vedligeholdelse, såfremt de ikke ændrer et produkt, der allerede er bragt i omsætning, på en sådan måde, at det påvirker overholdelsen af de gældende krav, eller såfremt produktets tilsigtede anvendelse kan ændres. Som det er tilfældet med fysiske reparationer eller ændringer, bør et produkt med digitale elementer anses for at være væsentligt ændret ved en softwareændring, hvis softwareopdateringen ændrer produktets oprindelige funktioner, type eller ydeevne, og disse ændringer ikke var forudset i den indledende risikovurdering, eller farens art har ændret sig, eller risikoniveauet er forøget som følge af softwareopdateringen. (23)I overensstemmelse med det almindeligt anerkendte begreb væsentlig ændring for produkter, der er reguleret ved EU-harmoniseringslovgivning, bør det verificeres, om et produkt med digitale elementer overholder kravene, og i givet fald bør produktet underkastes en ny overensstemmelsesvurdering, når der sker en væsentlig ændring, som kan påvirke produktets overensstemmelse med denne forordning, eller når produktets tilsigtede formål ændres. Hvis fabrikanten foretager en overensstemmelsesvurdering, der involverer en tredjepart, bør tredjeparten i givet fald underrettes om ændringer, der kan føre til væsentlige ændringer. (24)Istandsættelse, vedligeholdelse og reparation af et produkt med digitale elementer som defineret i forordningen [forordningen om miljøvenligt design] fører ikke nødvendigvis til en væsentlig ændring af produktet, f.eks. hvis den tilsigtede anvendelse og funktionalitet ikke ændres, og risikoniveauet ikke påvirkes. Fabrikantens opgradering af et produkt kan imidlertid føre til ændringer i produktets design og udvikling og kan derfor påvirke produktets tilsigtede anvendelse og opfyldelse af kravene i denne forordning. (25)Produkter med digitale elementer bør betragtes som kritiske, hvis den negative indvirkning af udnyttelsen af potentielle cybersikkerhedssårbarheder i produktet kan være alvorlig, bl.a. på grund af den cybersikkerhedsrelaterede funktionalitet eller den tilsigtede anvendelse. Sårbarheder i produkter med digitale elementer, der har en cybersikkerhedsrelateret funktionalitet, f.eks. sikre elementer, kan navnlig skabe en lang række sikkerhedsproblemer i hele forsyningskæden. Indvirkningen af en cybersikkerhedshændelse kan også blive mere alvorlig, når der tages højde for den tilsigtede anvendelse af produktet, f.eks. i et industrielt miljø eller i forbindelse med en væsentlig enhed af den type, der er omhandlet i bilag [bilag I] til direktiv [direktiv XXX/XXXX (NIS2)], eller i forbindelse med udførelsen af kritiske eller følsomme funktioner såsom behandling af personoplysninger. (26)Kritiske produkter med digitale elementer bør være underlagt strengere overensstemmelsesvurderingsprocedurer, samtidig med at der sikres en forholdsmæssig tilgang. Med henblik herpå bør kritiske produkter med digitale elementer inddeles i to klasser, der afspejler cybersikkerhedsrisikoniveauet for disse produktkategorier. En potentiel cyberhændelse, der involverer produkter i klasse II, kan have større negative virkninger end en hændelse, der involverer produkter i klasse I, f.eks. på grund af karakteren af deres cybersikkerhedsrelaterede funktion eller tilsigtede anvendelse i følsomme miljøer, og bør derfor underkastes en strengere overensstemmelsesvurderingsprocedure. (27)De kategorier af kritiske produkter med digitale elementer, der er omhandlet i bilag III til denne forordning, bør forstås som de produkter, hvis væsentligste funktion er af den type, der er opført i bilag III til denne forordning. F.eks. indeholder bilag III til denne forordning en liste over produkter, der defineres ud fra deres væsentligste funktion som mikroprocessorer til generelle formål i klasse II. Som følge heraf er mikroprocessorer til generelle formål underkastet obligatorisk overensstemmelsesvurdering udført af tredjepart. Dette er ikke tilfældet for andre produkter, der ikke udtrykkeligt er nævnt i bilag III til denne forordning, og som kan integrere en mikroprocessor til generelle formål. Kommissionen bør vedtage delegerede retsakter [senest 12 måneder efter denne forordnings ikrafttræden] for at præcisere definitionerne af de produktkategorier, der er omfattet af kategori I og II, jf. bilag III.

(28)Denne forordning har en målrettet tilgang til cybersikkerhedsrisici. Produkter med digitale elementer kan imidlertid indebære andre sikkerhedsrisici, som ikke vedrører cybersikkerhed. Disse risici bør fortsat reguleres af anden relevant EU-produktlovgivning. Hvis ingen anden EU-harmoniseringslovgivning finder anvendelse, bør de være omfattet af forordning [forordningen om produktsikkerhed i almindelighed]. Uanset artikel 2, stk. 1, tredje afsnit, litra b), i forordning [forordningen om produktsikkerhed i almindelighed] bør kapitel III, afdeling 1, kapitel V og VII og kapitel IX-XI i forordning [forordningen om produktsikkerhed i almindelighed] i lyset af denne forordnings målrettede karakter derfor finde anvendelse på produkter med digitale elementer for så vidt angår sikkerhedsrisici, der ikke er omfattet af denne forordning, hvis disse produkter ikke er omfattet af specifikke krav i anden EU-harmoniseringslovgivning som defineret i [artikel 3, nr. 25), i forordningen om produktsikkerhed i almindelighed]. (29)Produkter med digitale elementer, der er klassificeret som højrisiko-AI-systemer i henhold til artikel 6 i forordning [AI-forordningen], og som falder ind under denne forordnings anvendelsesområde, bør opfylde de væsentlige krav, der er fastsat i denne forordning. Når disse højrisiko-AI-systemer opfylder de væsentlige krav i denne forordning, bør de anses for at være i overensstemmelse med cybersikkerhedskravene i artikel [artikel 15] i forordning [AI-forordningen], såfremt disse krav er omfattet af EU-overensstemmelseserklæringen eller dele heraf udstedt i henhold til denne forordning. For så vidt angår overensstemmelsesvurderingsprocedurerne vedrørende de væsentlige cybersikkerhedskrav til et produkt med digitale elementer, der er omfattet af denne forordning og klassificeret som et højrisiko-AI-system, bør de relevante bestemmelser i artikel 43 i forordning [AI-forordningen] som hovedregel finde anvendelse i stedet for de respektive bestemmelser i denne forordning. Denne regel bør dog ikke resultere i en reduktion af den nødvendige grad af sikkerhed for kritiske produkter med digitale elementer omfattet af denne forordning. Uanset denne regel bør højrisiko-AI-systemer, der er omfattet af anvendelsesområdet for forordning [AI-forordningen] og også betragtes som kritiske produkter med digitale elementer i henhold til denne forordning, og som overensstemmelsesvurderingsproceduren baseret på intern kontrol som omhandlet i bilag VI til forordning [AI-forordningen] finder anvendelse på, derfor være omfattet af bestemmelserne om overensstemmelsesvurdering i denne forordning for så vidt angår de væsentlige krav i denne forordning. I dette tilfælde bør de respektive bestemmelser om overensstemmelsesvurdering på grundlag af intern kontrol, der er fastsat i bilag VI til forordning [AI-forordningen], finde anvendelse på alle andre aspekter, der er omfattet af forordning [AI-forordningen]. (30)Maskinprodukter omfattet af anvendelsesområdet for forordning [forslaget til maskinforordning], der er produkter med digitale elementer som defineret i denne forordning, og for hvilke der er udstedt en overensstemmelseserklæring i henhold til denne forordning, bør formodes at være i overensstemmelse med de væsentlige sikkerheds- og sundhedskrav i [bilag III, punkt 1.1.9 og 1.2.1] til forordning [forslaget til maskinforordning], for så vidt angår beskyttelse mod korruption og kontrolsystemernes sikkerhed og pålidelighed, såfremt overensstemmelsen med disse krav dokumenteres ved en EU-overensstemmelseserklæring udstedt i henhold til denne forordning. (31)Forordning [forslaget til forordning om det europæiske sundhedsdataområde] supplerer de væsentlige krav, der er fastsat i denne forordning. De elektroniske patientjournalsystemer ("EPJ-systemer") omfattet af anvendelsesområdet for forordning [forslaget til forordning om det europæiske sundhedsdataområde], der er produkter med digitale elementer som defineret i denne forordning, bør derfor også opfylde de væsentlige krav, der er fastsat i denne forordning. Fabrikanterne af disse systemer bør påvise overensstemmelse som krævet i forordning [forslaget til forordning om det europæiske sundhedsdataområde]. For at lette overholdelsen kan fabrikanterne udarbejde en samlet teknisk dokumentation, som indeholder de elementer, der kræves i begge retsakter. Da denne forordning ikke omfatter SaaS som sådan, er EPJ-systemer, der tilbydes gennem SaaS-licens- og leveringsmodellen, ikke omfattet af denne forordnings anvendelsesområde. Tilsvarende er EPJ-systemer, der udvikles og anvendes internt, ikke omfattet af denne forordnings anvendelsesområde, da de ikke bringes i omsætning. (32)For at sikre, at produkter med digitale elementer er sikre både på det tidspunkt, hvor de bringes i omsætning, og i hele deres livscyklus, er det nødvendigt at fastsætte væsentlige krav til sårbarhedshåndtering og væsentlige cybersikkerhedskrav vedrørende egenskaberne ved produkter med digitale elementer. Fabrikanterne bør opfylde alle væsentlige krav vedrørende håndtering af sårbarheder og sikre, at alle deres produkter leveres uden kendte sårbarheder, der kan udnyttes, og de bør afgøre, hvilke andre væsentlige krav vedrørende produktegenskaberne der er relevante for den pågældende produkttype. Med henblik herpå bør fabrikanterne foretage en vurdering af de cybersikkerhedsrisici, der er forbundet med et produkt med digitale elementer, for at identificere relevante risici og relevante væsentlige krav og for på passende vis at anvende relevante harmoniserede standarder eller fælles specifikationer. (33)For at forbedre sikkerheden af produkter med digitale elementer, der bringes i omsætning i det indre marked, er det nødvendigt at fastsætte væsentlige krav. Disse væsentlige krav bør ikke berøre de koordinerede EU-risikovurderinger af kritiske forsyningskæder indført ved [artikel X] i direktiv [direktiv XXX/XXXX (NIS2)], hvor der tages hensyn til både tekniske og, hvor det er relevant, ikketekniske risikofaktorer såsom et tredjelands utilbørlige indflydelse på leverandører. Det bør desuden ikke berøre medlemsstaternes beføjelser til at fastsætte yderligere krav, der tager hensyn til ikketekniske faktorer med henblik på at sikre et højt niveau af modstandsdygtighed, herunder dem, der er defineret i henstilling (EU) 2019/534, i den EU-dækkende koordinerede risikovurdering af 5G-netsikkerhed og i EU-værktøjskassen om 5G-cybersikkerhed, som NIS-samarbejdsgruppen er nået til enighed om, jf. [direktiv XXX/XXXX (NIS2)]. (34)For at sikre, at de nationale CSIRT'er og det centrale kontaktpunkt, der er udpeget i overensstemmelse med artikel [artikel X] i direktiv [direktiv XX/XXXX (NIS2)], får de oplysninger, der er nødvendige for, at de kan udføre deres opgaver og øge det overordnede cybersikkerhedsniveau for væsentlige og vigtige enheder, og for at sikre, at markedsovervågningsmyndighederne fungerer effektivt, bør fabrikanter af produkter med digitale elementer underrette ENISA om sårbarheder, der udnyttes aktivt. Da de fleste produkter med digitale elementer markedsføres i hele det indre marked, bør enhver udnyttet sårbarhed i et produkt med digitale elementer betragtes som en trussel mod det indre markeds funktion. Fabrikanterne bør også overveje at offentliggøre afhjulpne sårbarheder i den europæiske sårbarhedsdatabase, der er oprettet i henhold til direktiv [direktiv XX/XXXX (NIS2)] og forvaltes af ENISA, eller i en anden offentligt tilgængelig sårbarhedsdatabase. (35)Fabrikanterne bør også underrette ENISA om enhver hændelse, der indvirker på sikkerheden af produktet med digitale elementer. Uanset forpligtelserne til underretning om hændelser i direktiv [XXX/XXXX (NIS2)] for væsentlige og vigtige enheder er det afgørende for ENISA, de centrale kontaktpunkter, der er udpeget af medlemsstaterne i overensstemmelse med artikel [artikel X] i direktiv [direktiv XXX/XXXX (NIS2)], og markedsovervågningsmyndighederne at modtage oplysninger fra fabrikanter af produkter med digitale elementer, der gør det muligt for dem at vurdere disse produkters sikkerhed. For at sikre, at brugerne kan reagere hurtigt på hændelser, der har indvirkning på sikkerheden af deres produkter med digitale elementer, bør fabrikanterne også underrette deres brugere om en sådan hændelse og, hvor det er relevant, om eventuelle korrigerende foranstaltninger, som brugerne kan træffe for at afbøde virkningen af hændelsen, f.eks. ved at offentliggøre relevante oplysninger på deres websteder eller hvis fabrikanten har mulighed for at kontakte brugerne, ved at kontakte brugerne direkte, hvis risiciene berettiger det. (36)Fabrikanter af produkter med digitale elementer bør indføre koordinerede politikker for offentliggørelse af sårbarheder for at gøre det lettere for enkeltpersoner eller enheder at indberette sårbarheder. En politik for koordineret offentliggørelse af sårbarheder bør angive en struktureret proces, hvorigennem sårbarheder indberettes til en fabrikant på en måde, der gør det muligt for fabrikanten at diagnosticere sådanne sårbarheder, inden detaljerede sårbarhedsoplysninger videregives til tredjeparter eller offentligheden. Da oplysninger om sårbarheder, der kan udnyttes i almindeligt anvendte produkter med digitale elementer, kan sælges til høje priser på det sorte marked, bør fabrikanter af sådanne produkter som led i deres koordinerede politikker for offentliggørelse af sårbarheder kunne anvende programmer, der tilskynder til indberetning af sårbarheder, ved at sikre, at enkeltpersoner eller enheder modtager anerkendelse og kompensation for deres indsats (såkaldte "bug bounty-programmer"). (37)For at lette sårbarhedsanalysen bør fabrikanterne identificere og dokumentere komponenter i produkter med digitale elementer, herunder ved at udarbejde en softwarekomponentliste. En softwarekomponentliste kan give fabrikanter, købere og brugere af software oplysninger, som øger deres forståelse af forsyningskæden, hvilket har mange fordele, og den gør det navnlig lettere for fabrikanter og brugere at spore kendte nyligt opståede sårbarheder og risici. Det er særlig vigtigt for fabrikanterne at sikre, at deres produkter ikke indeholder sårbare komponenter udviklet af tredjeparter. (38)For at lette vurderingen af overensstemmelsen med kravene i denne forordning bør der være en formodning om overensstemmelse for produkter med digitale elementer, som er i overensstemmelse med harmoniserede standarder, der omsætter de væsentlige krav i denne forordning til detaljerede tekniske specifikationer og er vedtaget i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012. Forordning (EU) nr. 1025/2012 fastsætter bestemmelser om en procedure for indsigelse mod harmoniserede standarder i tilfælde, hvor disse standarder ikke fuldt ud opfylder kravene i denne forordning. (39)Ved forordning (EU) 2019/881 oprettes en frivillig europæisk ramme for cybersikkerhedscertificering af IKT-produkter, -processer og -tjenester. Europæiske cybersikkerhedscertificeringsordninger kan omfatte produkter med digitale elementer omfattet af denne forordning. Denne forordning bør skabe synergier med forordning (EU) 2019/881. For at lette vurderingen af overensstemmelsen med kravene i denne forordning formodes produkter med digitale elementer, der er certificeret, eller for hvilke der er udstedt en overensstemmelseserklæring i henhold til en cybersikkerhedsordning i henhold til forordning (EU) 2019/881, og som Kommissionen har identificeret i en gennemførelsesretsakt, at være i overensstemmelse med de væsentlige krav i denne forordning, såfremt cybersikkerhedsattesten eller overensstemmelseserklæringen eller dele heraf dækker disse krav. Behovet for nye europæiske cybersikkerhedscertificeringsordninger for produkter med digitale elementer bør vurderes i lyset af denne forordning. I sådanne fremtidige europæiske cybersikkerhedscertificeringsordninger, der dækker produkter med digitale elementer, bør der tages hensyn til de væsentlige krav i denne forordning, og de bør lette overholdelsen af denne forordning. Kommissionen bør tillægges beføjelser til ved hjælp af gennemførelsesretsakter at præcisere de europæiske cybersikkerhedscertificeringsordninger, der kan anvendes til at påvise overensstemmelse med de væsentlige krav i denne forordning. For at undgå unødige administrative byrder for fabrikanter bør Kommissionen endvidere, hvor det er relevant, præcisere, om en cybersikkerhedsattest, der er udstedt i henhold til sådanne europæiske cybersikkerhedscertificeringsordninger, fritager fabrikanten fra forpligtelsen til at lade foretage en overensstemmelsesvurdering af tredjepart vedrørende tilsvarende krav som omhandlet denne forordning. (40)Ved gennemførelsesretsaktens ikrafttræden [Kommissionens gennemførelsesforordning (EU) nr. …/... af XXX om den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier] (EUCC) vedrørende hardwareprodukter omfattet af denne forordning såsom hardwaresikkerhedsmoduler og mikroprocessorer kan Kommissionen ved hjælp af en gennemførelsesretsakt præcisere, hvordan EUCC giver formodning om overensstemmelse med de væsentlige krav i bilag I til denne forordning eller dele heraf. Desuden kan en sådan gennemførelsesretsakt præcisere, hvordan en attest udstedt i henhold til EUCC fritager fabrikanterne fra forpligtelsen til at lade foretage en tredjepartsvurdering som krævet i denne forordning vedrørende tilsvarende krav. (41)Hvis der ikke vedtages harmoniserede standarder, eller hvis de harmoniserede standarder ikke i tilstrækkelig grad opfylder de væsentlige krav i denne forordning, bør Kommissionen kunne vedtage fælles specifikationer ved hjælp af gennemførelsesretsakter. Begrundelsen for at udvikle sådanne fælles specifikationer i stedet for at basere sig på harmoniserede standarder kan være, at ingen af de europæiske standardiseringsorganisationer har imødekommet standardiseringsanmodningen, unødige forsinkelser i udarbejdelsen af passende harmoniserede standarder eller udviklede standarders manglende overholdelse af kravene i denne forordning eller af en anmodning fra Kommissionen. Med henblik på at gøre det lettere at vurdere overensstemmelsen med de væsentlige krav i denne forordning bør der være en formodning om overensstemmelse for produkter med digitale elementer, som er i overensstemmelse med de fælles specifikationer, der er vedtaget af Kommissionen i henhold til denne forordning med henblik på detaljerede tekniske specifikationer af disse krav. (42)Fabrikanterne bør udfærdige en EU-overensstemmelseserklæring for at afgive de efter denne forordning krævede oplysninger om overensstemmelsen af produkter med digitale elementer med de væsentlige krav i denne forordning og, hvor det er relevant, med anden relevant EU-harmoniseringslovgivning, som produktet er omfattet af. Fabrikanter kan også blive pålagt at udarbejde en EU-overensstemmelseserklæring i henhold til anden EU-lovgivning. For at sikre effektiv adgang til oplysninger med henblik på markedsovervågning bør der udarbejdes en enkelt EU-overensstemmelseserklæring for overholdelse af alle relevante EU-retsakter. For at mindske de administrative byrder for de erhvervsdrivende bør det være muligt for en sådan enkelt EU-overensstemmelseserklæring at tage form af et dossier bestående af de relevante individuelle overensstemmelseserklæringer. (43)CE-mærkningen er et udtryk for et produkts overensstemmelse med kravene og det synlige resultat af en omfattende proces med overensstemmelsesvurdering i bred forstand. De generelle principper for CE-mærkning er fastsat i Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008. Der bør i denne forordning fastsættes bestemmelser vedrørende anbringelsen af CE-mærkningen på produkter med digitale elementer. CE-mærkningen bør være den eneste mærkning, der garanterer, at produkter med digitale elementer opfylder kravene i denne forordning. (44)For at gøre det muligt for erhvervsdrivende at påvise overensstemmelse med de væsentlige krav i denne forordning og gøre det muligt for markedsovervågningsmyndighederne at sikre, at produkter med digitale elementer, der gøres tilgængelige på markedet, opfylder disse krav, er det nødvendigt at fastsætte overensstemmelsesvurderingsprocedurer. Europa-Parlamentets og Rådets afgørelse 768/2008/EF fastsætter moduler for overensstemmelsesvurderingsprocedurer alt efter risikoniveauet og det krævede sikkerhedsniveau. For at sikre kohærens mellem de forskellige sektorer og undgå ad hoc-varianter er der blevet indført passende overensstemmelsesvurderingsprocedurer til kontrol af, om produkter med digitale elementer er i overensstemmelse med de væsentlige krav i denne forordning, baseret på disse moduler. Overensstemmelsesvurderingsprocedurerne bør omfatte en undersøgelse og kontrol af både produkt- og procesrelaterede krav, der dækker hele livscyklussen for produkter med digitale elementer, herunder planlægning, design, udvikling eller produktion, prøvning og vedligeholdelse af produktet. (45)Som hovedregel bør overensstemmelsesvurderingen af produkter med digitale elementer foretages af fabrikanten på eget ansvar i henhold til proceduren baseret på modul A i afgørelse 768/2008/EF. Fabrikanten bør have fleksibilitet til at vælge en strengere overensstemmelsesvurderingsprocedure, der involverer en tredjepart. Hvis produktet er klassificeret som et kritisk produkt i klasse I, kræves der yderligere sikkerhed for at påvise overensstemmelse med de væsentlige krav i denne forordning. Fabrikanten bør anvende harmoniserede standarder, fælles specifikationer eller cybersikkerhedscertificeringsordninger i henhold til forordning (EU) 2019/881, som Kommissionen har identificeret i en gennemførelsesretsakt, hvis fabrikanten ønsker at foretage overensstemmelsesvurderingen på eget ansvar (modul A). Hvis fabrikanten ikke anvender sådanne harmoniserede standarder, fælles specifikationer eller cybersikkerhedscertificeringsordninger, bør fabrikanten lade foretage en overensstemmelsesvurdering af tredjepart. Under hensyntagen til fabrikanternes administrative byrde og det forhold, at cybersikkerhed spiller en vigtig rolle i design- og udviklingsfasen for materielle og immaterielle produkter med digitale elementer, er overensstemmelsesvurderingsprocedurer baseret på modul B + C eller modul H i afgørelse 768/2008/EF blevet valgt som værende mest hensigtsmæssige til at vurdere overensstemmelsen af kritiske produkter med digitale elementer på en forholdsmæssig og effektiv måde. Den fabrikant, der lader tredjepart foretage overensstemmelsesvurderingen, kan vælge den procedure, der passer bedst til fabrikantens design- og produktionsproces. I betragtning af den endnu større cybersikkerhedsrisiko forbundet med anvendelsen af produkter, der er klassificeret som kritiske klasse II-produkter, bør overensstemmelsesvurderingen altid involvere en tredjepart. (46)Selv om fremstillingen af håndgribelige produkter med digitale elementer normalt kræver, at fabrikanterne gør en betydelig indsats i hele design-, udviklings- og produktionsfasen, er der ved fremstillingen af produkter med digitale elementer i form af software næsten udelukkende fokus på design og udvikling, mens produktionsfasen spiller en mindre rolle. I mange tilfælde skal softwareprodukter dog stadig først samles, bygges, pakkes, gøres tilgængelige for download eller kopieres på fysiske medier, inden de bringes i omsætning. Disse aktiviteter bør betragtes som aktiviteter, der svarer til produktion, når de relevante overensstemmelsesvurderingsmoduler anvendes til at verificere produktets overensstemmelse med de væsentlige krav i denne forordning i hele design-, udviklings- og produktionsfasen. (47)Med henblik på af tredjeparter foretagne overensstemmelsesvurderinger af produkter med digitale elementer bør de nationale bemyndigende myndigheder notificere overensstemmelsesvurderingsorganer til Kommissionen og de øvrige medlemsstater, forudsat at de opfylder en række krav, navnlig med hensyn til uafhængighed, kompetencer og interessekonflikter.

(48)For at sikre et ensartet kvalitetsniveau ved overensstemmelsesvurderingen af produkter med digitale elementer er det også nødvendigt at fastsætte krav til bemyndigende myndigheder og andre organer, som er involveret i vurdering, notifikation og overvågning af bemyndigede organer. Den ordning, der fastsættes i denne forordning, bør suppleres af akkrediteringsordningen som omhandlet i forordning (EF) nr. 765/2008. Da akkreditering er et vigtigt middel til at efterprøve overensstemmelsesvurderingsorganers kompetence, bør anvendelsen heraf også omfatte notifikationsformål. (49)De nationale offentlige myndigheder i hele Unionen bør betragte en gennemsigtig akkreditering, jf. forordning (EF) nr. 765/2008, der sikrer den fornødne tillid til overensstemmelsesattester, som det foretrukne middel til dokumentation af overensstemmelsesvurderingsorganers tekniske kompetence. De nationale myndigheder kan imidlertid mene, at de selv har passende midler til at foretage denne evaluering. I så fald bør de for at sikre et passende troværdighedsniveau for evalueringer, der foretages af andre nationale myndigheder, forelægge Kommissionen og de øvrige medlemsstater den nødvendige dokumentation for, at de evaluerede overensstemmelsesvurderingsorganer overholder de relevante forskriftsmæssige krav. (50)Overensstemmelsesvurderingsorganer giver ofte dele af deres aktiviteter i forbindelse med overensstemmelsesvurdering i underentreprise eller benytter sig af en dattervirksomhed. For at sikre det krævede beskyttelsesniveau for produkter med digitale elementer, der skal bringes i omsætning, er det afgørende, at de pågældende underentreprenører og dattervirksomheder opfylder de samme krav som bemyndigede organer hvad angår udførelse af overensstemmelsesvurderingsopgaver. (51)Den bemyndigende myndighed bør fremsende notifikationen af et overensstemmelsesvurderingsorgan til Kommissionen og de øvrige medlemsstater via NANDO-informationssystemet (New Approach Notified and Designated Organisations). NANDO er det elektroniske notifikationsværktøj, som Kommissionen har udviklet og administrerer, og det indeholder en liste over alle bemyndigede organer. (52)Da bemyndigede organer kan tilbyde deres tjenester i hele Unionen, er det hensigtsmæssigt at give de øvrige medlemsstater og Kommissionen mulighed for at kunne gøre indsigelse mod et bemyndiget organ. Det er derfor vigtigt, at der fastsættes en periode, inden for hvilken en eventuel tvivl eller usikkerhed om overensstemmelsesvurderingsorganers kompetence kan afklares, før de påbegynder deres aktiviteter som bemyndigede organer. (53)Af konkurrencehensyn er det afgørende, at bemyndigede organer anvender overensstemmelsesvurderingsprocedurerne uden at skabe unødvendige byrder for de erhvervsdrivende. Af samme grund og for at sikre, at de erhvervsdrivende behandles ens, må det sikres, at den tekniske anvendelse af overensstemmelsesvurderingsprocedurer er ensartet. Dette kan bedst opnås gennem koordinering og samarbejde mellem de bemyndigede organer. (54)Markedsovervågning er et væsentligt instrument til at sikre en korrekt og ensartet anvendelse af EU-lovgivningen. Der bør derfor skabes juridiske rammer, inden for hvilke markedsovervågningen kan foretages på en passende måde. Bestemmelserne om EU-markedsovervågning og kontrol af produkter, der indføres på EU-markedet, i Europa-Parlamentets og Rådets forordning (EU) 2019/1020 finder anvendelse på produkter med digitale elementer, der er omfattet af denne forordning. (55)I overensstemmelse med forordning (EU) 2019/1020 udfører markedsovervågningsmyndighederne markedsovervågning i den pågældende medlemsstat. Denne forordning bør ikke hindre medlemsstaterne i at udvælge de kompetente myndigheder, der skal udføre disse opgaver. Hver medlemsstat bør udpege en eller flere markedsovervågningsmyndigheder på dens område. Medlemsstaterne kan vælge at udpege enhver eksisterende eller ny myndighed som markedsovervågningsmyndighed, herunder nationale kompetente myndigheder som omhandlet i artikel [artikel X] i direktiv [direktiv XXX/XXXX (NIS2)], eller udpegede nationale cybersikkerhedscertificeringsmyndigheder som omhandlet i artikel 58 i forordning (EU) 2019/881. Erhvervsdrivende bør samarbejde fuldt ud med markedsovervågningsmyndighederne og andre kompetente myndigheder. Hver medlemsstat bør underrette Kommissionen samt de øvrige medlemsstater om sine markedsovervågningsmyndigheder og kompetenceområderne for hver af disse myndigheder og bør sikre de nødvendige ressourcer og færdigheder til at udføre overvågningsopgaverne i forbindelse med denne forordning. I henhold til artikel 10, stk. 2 og 3, i forordning (EU) 2019/1020 bør hver medlemsstat udpege et centralt forbindelseskontor, der bl.a. er ansvarligt for at repræsentere den koordinerede holdning blandt markedsovervågningsmyndighederne og bidrage til samarbejdet mellem markedsovervågningsmyndighederne i forskellige medlemsstater. (56)Der bør oprettes en særlig administrativ samarbejdsgruppe (ADCO) med henblik på ensartet gennemførelse af denne forordning i henhold til artikel 30, stk. 2, i forordning (EU) 2019/1020. Denne ADCO bør bestå af repræsentanter fra de udpegede markedsovervågningsmyndigheder og, hvis det er relevant, repræsentanter fra de centrale forbindelseskontorer. Kommissionen bør støtte og tilskynde til samarbejde mellem markedsovervågningsmyndigheder gennem EU-netværket for produktoverensstemmelse, der er oprettet i henhold til artikel 29 i forordning (EU) 2019/1020 og består af repræsentanter for hver medlemsstat, herunder en repræsentant for hvert centralt forbindelseskontor som omhandlet i artikel 10 i forordning (EU) 2019/1020 og en valgfri national ekspert, formændene for ADCO'erne og repræsentanter for Kommissionen. Kommissionen bør deltage i netværkets møder, dets undergrupper og den pågældende ADCO. Den bør også bistå denne ADCO med et administrativt sekretariat, der yder teknisk og logistisk støtte. (57)For at sikre rettidige, forholdsmæssige og effektive foranstaltninger i forbindelse med produkter med digitale elementer, der udgør en væsentlig cybersikkerhedsrisiko, bør der fastsættes en EU-beskyttelsesprocedure, hvorved de berørte parter orienteres om påtænkte foranstaltninger vedrørende sådanne produkter. Herved vil markedsovervågningsmyndighederne i samarbejde med de relevante erhvervsdrivende også få mulighed for at gribe ind i en tidligere fase, hvis det er nødvendigt. Når medlemsstaterne og Kommissionen er enige om berettigelsen af en foranstaltning truffet af en medlemsstat, bør Kommissionen ikke inddrages yderligere, medmindre manglende overholdelse af kravene kan tillægges mangler ved en harmoniseret standard. (58)I visse tilfælde kan et produkt med digitale elementer, der opfylder kravene i denne forordning, ikke desto mindre udgøre en væsentlig cybersikkerhedsrisiko eller en risiko for menneskers sundhed eller sikkerhed, for misligholdelse af forpligtelser i henhold til den del af EU-retten eller national ret, der har til formål at beskytte de grundlæggende rettigheder, tilgængeligheden, autenticiteten, integriteten eller fortroligheden af tjenester, der leveres ved brug af elektroniske informationssystemer af væsentlige enheder af den type, der er omhandlet i [bilag I til direktiv XXX/XXXX (NIS2)], eller for andre samfundsinteresser. Det er derfor nødvendigt at fastsætte regler, der sikrer, at disse risici afbødes. Som følge heraf bør markedsovervågningsmyndighederne træffe foranstaltninger til at kræve, at den erhvervsdrivende sikrer, at produktet ikke længere udgør en risiko, eller at det tilbagekaldes eller trækkes tilbage, afhængigt af risikoen. Når en markedsovervågningsmyndighed således begrænser eller forbyder den frie bevægelighed for et produkt, bør medlemsstaten straks underrette Kommissionen og de øvrige medlemsstater om de foreløbige foranstaltninger og angive begrundelserne for afgørelsen. Hvis en markedsovervågningsmyndighed vedtager sådanne foranstaltninger over for produkter, der udgør en risiko, bør Kommissionen rådføre sig med medlemsstaterne og den eller de relevante erhvervsdrivende og evaluere den nationale foranstaltning. På grundlag af resultaterne af denne vurdering bør Kommissionen træffe afgørelse om, hvorvidt den nationale foranstaltning er berettiget eller ej. Kommissionen bør rette sin afgørelse til alle medlemsstaterne og straks meddele den til disse og til den eller de relevante erhvervsdrivende. Hvis foranstaltningen anses for at være berettiget, kan Kommissionen også overveje at vedtage forslag til revision af den pågældende EU-lovgivning. (59)For produkter med digitale elementer, der udgør en væsentlig cybersikkerhedsrisiko, og hvor der er grund til at tro, at disse ikke opfylder kravene i denne forordning, eller for produkter, som opfylder kravene i denne forordning, men indebærer andre betydelige risici såsom risici for menneskers sundhed eller sikkerhed, grundlæggende rettigheder eller tjenester, der leveres af væsentlige enheder af den type, der er omhandlet i [bilag I til direktiv XXX/XXXX (NIS2)], kan Kommissionen anmode ENISA om at foretage en evaluering. På grundlag af denne evaluering kan Kommissionen ved hjælp af gennemførelsesretsakter vedtage korrigerende eller restriktive foranstaltninger på EU-plan, herunder påbud om at trække de pågældende produkter tilbage fra markedet eller tilbagekalde dem inden for en rimelig tidsfrist, som den fastsætter i forhold til risikoens art. Kommissionen kan kun foretage et sådant indgreb under ekstraordinære omstændigheder, der berettiger et hurtigt indgreb for at bevare et velfungerende indre marked, og kun hvis tilsynsmyndighederne ikke har truffet effektive foranstaltninger til at rette op på situationen. Sådanne ekstraordinære omstændigheder kan være nødsituationer, f.eks. hvor et produkt, der ikke opfylder kravene, gøres bredt tilgængeligt af fabrikanten i flere medlemsstater og også anvendes af enheder i nøglesektorer omfattet af [direktiv XXX/XXXX (NIS2)], selv om det indeholder kendte sårbarheder, der udnyttes af ondsindede aktører, og som fabrikanten ikke udsender rettelser til. Kommissionen kan kun gribe ind i sådanne nødsituationer, så længe de ekstraordinære omstændigheder er til stede, og hvis den manglende overholdelse af denne forordning eller de betydelige risici forbundet hermed fortsat er til stede. (60)I tilfælde, hvor der er tegn på manglende overholdelse af denne forordning i flere medlemsstater, bør markedsovervågningsmyndighederne kunne gennemføre fælles aktiviteter med andre myndigheder med henblik på at verificere overholdelsen og identificere cybersikkerhedsrisici forbundet med produkter med digitale elementer. (61)Samtidige koordinerede kontrolaktioner er specifikke håndhævelsesforanstaltninger truffet af markedsovervågningsmyndighederne, som kan forbedre produktsikkerheden. Kontrolaktioner bør navnlig foretages, hvis markedstendenser, forbrugerklager eller andre forhold tyder på, at visse produktkategorier ofte viser sig at udgøre en cybersikkerhedsrisiko. ENISA bør indsende forslag til produktkategorier, for hvilke der kan tilrettelægges kontrolaktioner, til markedsovervågningsmyndighederne, bl.a. på grundlag af de underretninger om produktsårbarheder og hændelser, som agenturet modtager. (62)For at sikre, at den lovgivningsmæssige ramme kan tilpasses om nødvendigt, bør Kommissionen delegeres beføjelse til at vedtage retsakter, jf. artikel 290 i TEUF, for så vidt angår opdateringer af listen over kritiske produkter i bilag III og præcisering af definitionerne af disse produktkategorier. Kommissionen bør tillægges beføjelse til at vedtage retsakter i overensstemmelse med nævnte artikel for at identificere produkter med digitale elementer, der er omfattet af andre EU-regler og opnår samme beskyttelsesniveau som i denne forordning, og for at præcisere, om en begrænsning eller udelukkelse fra denne forordnings anvendelsesområde er nødvendig, samt omfanget af denne begrænsning, hvis det er relevant. Kommissionen bør tillægges beføjelse til at vedtage retsakter i overensstemmelse med nævnte artikel for så vidt angår potentiel tildeling af mandat til certificering af visse meget kritiske produkter med digitale elementer baseret på de kriterier, der er fastsat i denne forordning, samt for så vidt angår præcisering af minimumsindholdet i EU-overensstemmelseserklæringen og supplering af de elementer, der skal indgå i den tekniske dokumentation. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelsen af delegerede retsakter. (63)For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser til at præcisere formatet for og elementerne i softwarekomponentlisten, præcisere typen af oplysninger, formatet og proceduren for underretninger om aktivt udnyttede sårbarheder og hændelser indgivet af fabrikanterne til ENISA, præcisere de europæiske cybersikkerhedscertificeringsordninger, der er vedtaget i henhold til forordning (EU) 2019/881, som kan anvendes til at påvise overensstemmelse med de væsentlige krav eller dele heraf som fastsat i bilag I til nærværende forordning, vedtage fælles specifikationer for de væsentlige krav i bilag I, fastsætte tekniske specifikationer for piktogrammer eller andre mærker vedrørende sikkerheden af produkter med digitale elementer og mekanismer til at fremme deres anvendelse og træffe afg