EUROPÄISCHE KOMMISSION Brüssel, den 15.9.2022 COM(2022) 454 final 2022/0272(COD) Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnung (EU) 2019/1020 (Text von Bedeutung für den EWR) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



BEGRÜNDUNG 1.KONTEXT DES VORSCHLAGS •Gründe und Ziele des Vorschlags Hardware- und Softwareprodukte werden zunehmend zum Ziel erfolgreicher Cyberangriffe. Die dadurch entstehenden jährlichen Kosten der Cyberkriminalität werden bis zum Jahr 2021 auf 5,5 Billionen EUR geschätzt. Im Zusammenhang mit diesen Produkten gibt es zwei große Probleme, die hohe zusätzliche Kosten für die Nutzer und die Gesellschaft verursachen: 1) ein geringes Maß an Cybersicherheit, das sich in weitverbreiteten Schwachstellen und der unzureichenden und inkohärenten Bereitstellung von Sicherheitsaktualisierungen zu deren Behebung widerspiegelt, und 2) ein unzureichendes Verständnis und ein mangelnder Informationszugang der Nutzer, wodurch sie daran gehindert werden, Produkte mit angemessenen Cybersicherheitsmerkmalen auszuwählen oder sicher zu verwenden. In einem vernetzten Umfeld kann ein Cybersicherheitsvorfall bei einem Produkt eine ganze Organisation oder eine ganze Lieferkette beeinträchtigen und sich oft innerhalb von Minuten über die Grenzen des Binnenmarkts hinweg verbreiten. Dies kann zu einer schwerwiegenden Störung wirtschaftlicher und sozialer Tätigkeiten führen oder sogar lebensbedrohlich werden. Die Cybersicherheit von Produkten mit digitalen Elementen hat eine ausgeprägte grenzüberschreitende Dimension, weil die in einem Land hergestellten Produkte häufig im gesamten Binnenmarkt verwendet werden. Darüber hinaus breiten sich Vorfälle, die ursprünglich nur eine einzige Stelle oder einen einzelnen Mitgliedstaat betreffen, oftmals innerhalb von Minuten auf den gesamten Binnenmarkt aus. Die bestehenden Binnenmarktvorschriften gelten zwar für bestimmte Produkte mit digitalen Elementen, für die meisten Hardware- und Softwareprodukte gibt es derzeit aber keine EU-Rechtsvorschriften, die deren Cybersicherheit betreffen. Insbesondere erstreckt sich der derzeitige EU-Rechtsrahmen nicht auf die Cybersicherheit nicht eingebetteter Software, obwohl Cyberangriffe zunehmend auf Schwachstellen in diesen Produkten abzielen und erhebliche gesellschaftliche und wirtschaftliche Kosten verursachten. Es gibt zahlreiche Beispiele für bemerkenswerte Cyberangriffe, die auf eine unzureichende Produktsicherheit zurückzuführen sind, wie etwa der Ransomware-Wurm WannaCry, mit dem eine Windows-Schwachstelle ausgenutzt wurde und von dem im Jahr 2017 200 000 Computer in 150 Ländern befallen wurden, wodurch ein Schaden in Höhe von einigen Milliarden USD entstand, der Angriff auf die Lieferkette von Kaseya VSA, bei dem die Kaseya-Netzverwaltungssoftware benutzt wurde, um mehr als 1000 Unternehmen anzugreifen und eine Supermarktkette zur Schließung aller ihrer 500 Ladengeschäfte in ganz Schweden zu zwingen, oder die zahlreichen Vorfälle, bei denen Bankanwendungen gehackt werden, um ahnungslosen Verbrauchern ihr Geld zu stehlen. Im Hinblick auf die Gewährleistung des reibungslosen Funktionierens des Binnenmarkts wurden zwei Hauptziele festgelegt: 1) die Schaffung der Bedingungen für die Entwicklung sicherer Produkte mit digitalen Elementen, damit Hardware- und Softwareprodukte mit weniger Schwachstellen in Verkehr gebracht werden und damit die Hersteller sich während des gesamten Lebenszyklus eines Produkts ernsthaft um die Sicherheit kümmern, und 2) die Schaffung von Bedingungen, die es den Nutzern ermöglichen, bei der Auswahl und Verwendung von Produkten mit digitalen Elementen die Cybersicherheit zu berücksichtigen. Es wurden vier spezifische Ziele festgelegt: i) Gewährleistung, dass die Hersteller die Sicherheit von Produkten mit digitalen Elementen schon ab der Konzeptions- und Entwicklungsphase und über den gesamten Lebenszyklus verbessern, ii) Gewährleistung eines kohärenten Cybersicherheitsrahmens, der den Hardware- und Software-Herstellern die Einhaltung der Vorschriften erleichtert, iii) Erhöhung der Transparenz der Sicherheitseigenschaften von Produkten mit digitalen Elementen und iv) Befähigung der Unternehmen und Verbraucher, damit sie Produkte mit digitalen Elementen sicher verwenden können. Aufgrund des ausgeprägten grenzüberschreitenden Charakters der Cybersicherheit und der zunehmenden Häufigkeit der Sicherheitsvorfälle, die sich über Grenzen, Sektoren und Produkte hinweg auswirken, können die Ziele von den Mitgliedstaaten allein nicht wirksam erreicht werden. Angesichts des globalen Charakters der Märkte für Produkte mit digitalen Elementen sehen sich verschiedene Mitgliedstaaten mit denselben Risiken bei denselben Produkten mit digitalen Elementen in ihrem Hoheitsgebiet konfrontiert. Aus einem sich abzeichnenden fragmentierten Rahmen mit möglicherweise voneinander abweichenden nationalen Vorschriften erwächst die Gefahr, dass Hindernisse für einen offenen und wettbewerbsfähigen Binnenmarkt für Produkte mit digitalen Elementen entstehen. Daher ist ein gemeinsames Vorgehen auf EU-Ebene erforderlich, um das Vertrauen der Nutzer und die Attraktivität von EU-Produkten mit digitalen Elementen zu steigern. Dies würde auch dem Binnenmarkt zugutekommen, da so Rechtssicherheit und gleiche Wettbewerbsbedingungen für Anbieter von Produkten mit digitalen Elementen geschaffen werden. Hierauf wird auch im Abschlussbericht der Konferenz zur Zukunft Europas hingewiesen, in dem die Bürgerinnen und Bürger eine stärkere Rolle der EU bei der Abwehr von Cybersicherheitsbedrohungen fordern. •Zusammenspiel mit den bestehenden Vorschriften in diesem Bereich Der bestehende EU-Rahmen umfasst mehrere horizontale Rechtsvorschriften, die bestimmte Aspekte der Cybersicherheit aus verschiedenen Blickwinkeln abdecken (Produkte, Dienstleistungen, Krisenmanagement und Straftaten). Im Jahr 2013 trat die Richtlinie über Angriffe auf Informationssysteme in Kraft und bewirkte eine Harmonisierung der Straftatbestände und der Strafen für eine Reihe von Straftaten gegen Informationssysteme. Im August 2016 trat die Richtlinie (EU) 2016/1148 über die Sicherheit von Netz- und Informationssystemen (NIS-Richtlinie) als erster EU-weiter Rechtsakt im Bereich der Cybersicherheit in Kraft. Mit ihrer Überarbeitung, deren Ergebnis die Richtlinie [Richtlinie XXX/XXXX (NIS2)] ist, werden noch ehrgeizigere gemeinsame Ziele auf EU-Ebene verfolgt. Im Jahr 2019 trat der EU-Rechtsakt zur Cybersicherheit in Kraft, mit dem die Sicherheit von IKT-Produkten, IKT-Diensten und IKT-Prozessen durch die Einführung eines freiwilligen europäischen Rahmens für die Cybersicherheitszertifizierung verbessert werden sollte. Die Cybersicherheit der gesamten Lieferkette kann nur dann gewährleistet werden, wenn auch alle ihre Bestandteile cybersicher sind. Die oben genannten EU-Rechtsvorschriften weisen jedoch erhebliche Lücken in dieser Hinsicht auf, denn sie enthalten keine verbindlichen Anforderungen an die Sicherheit von Produkten mit digitalen Elementen. Während das vorgeschlagene Cyberresilienzgesetz in Verkehr gebrachte Produkte mit digitalen Elementen erfasst, zielt die Richtlinie [Richtlinie XXX/XXX (NIS2)] darauf ab, ein hohes Maß an Cybersicherheit der Dienste wesentlicher und wichtiger Einrichtungen zu gewährleisten. Nach der Richtlinie [Richtlinie XXX/XXXX (NIS2)] müssen die Mitgliedstaaten sicherstellen, dass die erfassten wesentlichen und wichtigen Einrichtungen, wie z. B. Erbringer von Gesundheitsdienstleistungen oder Cloud-Anbieter und Einrichtungen der öffentlichen Verwaltung, geeignete und verhältnismäßige technische, betriebliche und organisatorische Cybersicherheitsmaßnahmen ergreifen. Dazu gehört unter anderem die Anforderung, Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen umzusetzen, einschließlich Management und Offenlegung von Schwachstellen. Nach der Richtlinie [Richtlinie XXX/XXXX (NIS2)] muss die Kommission Durchführungsrechtsakte zur Festlegung der technischen und methodischen Anforderungen an diese Maßnahmen für bestimmte Arten von Einrichtungen, wie z. B. Cloud-Computing-Diensteanbieter, innerhalb von 21 Monaten nach dem Inkrafttreten dieser Richtlinie erlassen. Für alle anderen Einrichtungen kann die Kommission einen Durchführungsrechtsakt erlassen, in dem sie die technischen und methodischen Anforderungen sowie sektorspezifische Anforderungen festlegt. Dieser Rahmen wird sicherstellen, dass technische Spezifikationen und Maßnahmen, die den grundlegenden Cybersicherheitsanforderungen des Cyberresilienzgesetzes gleichwertig sind, auch bei der Konzeption, Entwicklung und Behandlung von Schwachstellen in als Dienstleistung bereitgestellter Software (Software-as-a-Service) umgesetzt werden. So könnte ein hohes Maß an Cybersicherheit z. B. bei elektronischen Patientenakten (EHR-Systeme) gewährleistet werden, selbst wenn sie als SaaS (Software-as-a-Service) bereitgestellt oder innerhalb von Gesundheitseinrichtungen (intern) gemäß der vorgeschlagenen [Verordnung über den europäischen Raum für Gesundheitsdaten] entwickelt werden. •Zusammenspiel mit der Politik der Union in anderen Bereichen Wie in der Mitteilung der Kommission zur Gestaltung der digitalen Zukunft Europas dargelegt wurde, ist es für die EU von entscheidender Bedeutung, dass das Potenzial des digitalen Zeitalters vollständig ausgeschöpft wird und dass die europäische Industrie und Innovationskapazität gestärkt werden, ohne bei Sicherheit und Ethik Abstriche zu machen. Die europäische Datenstrategie setzt auf vier Säulen – Datenschutz, Grundrechte, Sicherheit und Cybersicherheit – als wesentliche Voraussetzungen dafür, dass die Gesellschaft Vorteile aus der Nutzung von Daten ziehen kann. Der derzeitige EU-Rechtsrahmen für Produkte, die auch digitale Elemente enthalten können, umfasst mehrere Rechtsvorschriften, darunter EU-Rechtsvorschriften für bestimmte Produkte, die auch sicherheitsbezogene Aspekte abdecken, sowie allgemeine Rechtsvorschriften zur Produkthaftung. Der Vorschlag steht im Einklang mit dem gegenwärtigen produktbezogenen EU-Rechtsrahmen sowie mit den jüngsten Legislativvorschlägen wie dem Vorschlag der Kommission für eine Verordnung [KI-Verordnung]. Die vorgeschlagene Verordnung würde für alle Funkanlagen gelten, die in den Anwendungsbereich der Delegierten Verordnung (EU) 2022/30 der Kommission fallen. Darüber hinaus enthalten die in dieser Verordnung festgelegten Anforderungen alle Elemente der grundlegenden Anforderungen gemäß Artikel 3 Absatz 3 Buchstaben d, e und f der Richtlinie 2014/53/EU, einschließlich der Hauptelemente, die in dem auf der Grundlage der genannten delegierten Verordnung erlassenen [Durchführungsbeschluss XXX/2022 der Kommission über einen Normungsauftrag an die europäischen Normungsorganisationen] aufgeführt sind. Um Überschneidungen bei der Regulierung zu vermeiden, beabsichtigt die Kommission, die delegierte Verordnung in Bezug auf Funkanlagen, die unter die hier vorgeschlagene Verordnung fallen, aufzuheben oder zu ändern, sodass die vorgeschlagene Verordnung Anwendung finden würde, sobald sie anwendbar wird. Außerdem ist im Hinblick auf die Vermeidung von Doppelarbeit vorgesehen, dass die Kommission und die europäischen Normungsorganisationen – um die Durchführung der vorliegenden Verordnung zu erleichtern – bei der Ausarbeitung und Entwicklung harmonisierter Normen die Normungsarbeiten berücksichtigen, die im Rahmen des Durchführungsbeschlusses C(2022) 5637 der Kommission über einen Normungsauftrag zur Delegierten Verordnung (EU) 2022/30 über Funkanlagen durchgeführt werden. 2.RECHTSGRUNDLAGE, SUBSIDIARITÄT UND VERHÄLTNISMÄẞIGKEIT •Rechtsgrundlage

Rechtsgrundlage für diesen Vorschlag ist Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV), der die Annahme von Maßnahmen für die Errichtung und das Funktionieren des Binnenmarkts vorsieht. Zweck des Vorschlags ist die Harmonisierung der Cybersicherheitsanforderungen für Produkte mit digitalen Elementen in allen Mitgliedstaaten und die Beseitigung von Hindernissen für den freien Warenverkehr. Artikel 114 AEUV kann als Rechtsgrundlage herangezogen werden, um das Entstehen solcher Hindernisse zu verhindern, die sich aus unterschiedlichen nationalen Rechtsvorschriften und Ansätzen in Bezug darauf ergeben, wie Rechtsunsicherheiten und Lücken in den bestehenden Rechtsrahmen zu beseitigen sind. Darüber hinaus hat der Gerichtshof anerkannt, dass die Anwendung heterogener technischer Anforderungen ein stichhaltiger Grund für die Heranziehung des Artikels 114 AEUV sein könnte. Der derzeitige EU-Rechtsrahmen für Produkte mit digitalen Elementen beruht auf Artikel 114 AEUV und umfasst mehrere Rechtsvorschriften für bestimmte Produkte und über sicherheitsbezogene Aspekte sowie allgemeine Rechtsvorschriften zur Produkthaftung. Er deckt aber nur bestimmte Aspekte im Zusammenhang mit der Cybersicherheit materieller digitaler Produkte und gegebenenfalls der in diese Produkte eingebetteten Software ab. Auf nationaler Ebene beginnen die Mitgliedstaaten damit, nationale Maßnahmen zu ergreifen, mit denen Anbieter digitaler Produkte verpflichtet werden, ihre Cybersicherheit zu verbessern. Gleichzeitig hat die Cybersicherheit digitaler Produkte eine besonders ausgeprägte grenzüberschreitende Dimension, weil die in einem Land hergestellten Produkte häufig von Organisationen und Verbrauchern im gesamten Binnenmarkt verwendet werden. Vorfälle, die ursprünglich nur eine einzige Stelle oder einen einzelnen Mitgliedstaat betreffen, breiten sich oftmals innerhalb von Minuten auf Organisationen, Sektoren und mehrere Mitgliedstaaten aus. Die verschiedenen bisher auf EU-Ebene und auf nationaler Ebene erlassenen Vorschriften und ergriffenen Initiativen befassen sich nur teilweise mit den festgestellten Problemen und Risiken, wodurch ein legislativer Flickenteppich innerhalb des Binnenmarkts entstanden ist, der zu einer größeren Rechtsunsicherheit sowohl für die Anbieter als auch für die Nutzer solcher Produkte und zu einer größeren unnötigen Belastung der Unternehmen führt, die eine Reihe verschiedener Anforderungen in Bezug auf ähnliche Produktarten zu erfüllen haben. Die vorgeschlagene Verordnung würde das Regulierungsumfeld der EU straffen und harmonisieren, indem Cybersicherheitsanforderungen für Produkte mit digitalen Elementen eingeführt und Überschneidungen mit Anforderungen, die sich aus verschiedenen Rechtsvorschriften ergeben, vermieden werden. Dies würde zu mehr Rechtssicherheit für Wirtschaftsakteure und Nutzer in der gesamten Union sowie zu einer besseren Harmonisierung des europäischen Binnenmarkts führen, wodurch bessere Bedingungen für Wirtschaftsakteure geschaffen würden, die in den EU-Markt eintreten wollen. •Subsidiarität (bei nicht ausschließlicher Zuständigkeit) Aufgrund des ausgeprägten grenzüberschreitenden Charakters der Cybersicherheit im Allgemeinen und der zunehmenden Zahl der Risiken und Sicherheitsvorfälle, die sich über Grenzen, Sektoren und Produkte hinweg auswirken, können die Ziele der vorliegenden Maßnahme von den Mitgliedstaaten allein nicht wirksam erreicht werden. Durch nationale Ansätze zur Lösung der Probleme und insbesondere durch Konzepte, mit denen verbindliche Anforderungen eingeführt werden, entstehen zusätzliche Rechtsunsicherheit und rechtliche Hindernisse. Unternehmen könnten so daran gehindert werden, nahtlos in andere Mitgliedstaaten zu expandieren, wodurch die Vorteile ihrer Produkte den dortigen Nutzern vorenthalten würden. Daher ist ein gemeinsames Vorgehen auf EU-Ebene erforderlich, um bei den Nutzern Vertrauen zu schaffen und die Attraktivität von EU-Produkten mit digitalen Elementen zu steigern. Dies würde auch dem digitalen Binnenmarkt und dem Binnenmarkt im Allgemeinen zugutekommen, denn so wird Rechtssicherheit gewährleistet und es werden gleiche Wettbewerbsbedingungen für die Hersteller von Produkten mit digitalen Elementen geschaffen. Schließlich wurde die Kommission in den Schlussfolgerungen des Rates vom 23. Mai 2022 zur Entwicklung der Cyberabwehr der Europäischen Union aufgefordert, bis Ende 2022 gemeinsame Anforderungen an die Cybersicherheit vernetzter Geräte vorzuschlagen. •Verhältnismäßigkeit Was die Verhältnismäßigkeit der vorgeschlagenen Verordnung betrifft, würden die Maßnahmen der erwogenen Politikoptionen nicht über das zur Erreichung der allgemeinen und besonderen Ziele erforderliche Maß hinausgehen und keine unverhältnismäßig hohen Kosten verursachen. Konkret würde mit dem in Betracht gezogenen Eingreifen sichergestellt, dass Produkte mit digitalen Elementen während ihres gesamten Lebenszyklus und proportional zu den bestehenden Risiken abgesichert werden, und zwar durch objektive und technologieneutrale Anforderungen, die angemessen bleiben und im Allgemeinen den Interessen der beteiligten Unternehmen entsprechen. Die grundlegenden Cybersicherheitsanforderungen in dem Vorschlag bauen auf bereits weitverbreiteten Normen auf, und das anschließende Normungsverfahren würde den technischen Besonderheiten der Produkte Rechnung tragen. Das bedeutet, dass die Sicherheitskontrollen angepasst werden, wenn dies für ein bestimmtes Risikoniveau erforderlich ist. Darüber hinaus würden die geplanten horizontalen Vorschriften für kritische Produkte ausschließlich eine Konformitätsbewertung durch Dritte vorsehen. Dies würde aber nur einen geringen Anteil des Marktes für Produkte mit digitalen Elementen betreffen. Die Auswirkungen auf KMU würden von ihrer Marktpräsenz bei diesen Produktkategorien abhängen. Was die Verhältnismäßigkeit der Kosten der Konformitätsbewertung betrifft, würden die notifizierten Stellen, die die Bewertungen durch Dritte durchführen, bei der Festsetzung ihrer Gebühren die Unternehmensgröße berücksichtigen. Außerdem würde zur Vorbereitung der Umsetzung ein angemessener Übergangszeitraum von 24 Monaten vorgesehen, damit die betroffenen Märkte Zeit für die Vorbereitung haben und gleichzeitig eine klare Zielrichtung für FuE-Investitionen bekommen. Etwaige Befolgungskosten für die Unternehmen würden durch die Vorteile aufgewogen, die ein höheres Sicherheitsniveau der Produkte mit digitalen Elementen und letztlich ein höheres Vertrauen der Nutzer in diese Produkte mit sich bringen. •Wahl des Instruments Ein regulatorisches Eingreifen würde den Erlass einer Verordnung und nicht einer Richtlinie erforderlich machen, denn bei dieser besonderen Art von Produktvorschriften lassen sich mit einer Verordnung die festgestellten Probleme wirksamer angehen und die gesetzten Ziele effektiver erreichen, da es sich um einen Eingriff handelt, mit dem die Bedingungen für das Inverkehrbringen einer sehr breiten Kategorie von Produkten auf dem Binnenmarkt geregelt werden. Im Falle einer Richtlinie könnte der Umsetzungsprozess für ein solches Eingreifen zu viel Ermessensspielraum auf nationaler Ebene belassen, was möglicherweise zu einer mangelnden Einheitlichkeit bestimmter grundlegender Cybersicherheitsanforderungen, Rechtsunsicherheit, einer weiteren Fragmentierung oder sogar diskriminierenden grenzübergreifenden Situationen führen könnte, zumal die erfassten Produkte zu unterschiedlichen Zwecken verwendet werden könnten und die Hersteller mehrere Kategorien solcher Produkte herstellen können. 3.ERGEBNISSE DER EX-POST-BEWERTUNG, DER KONSULTATION DER INTERESSENTRÄGER UND DER FOLGENABSCHÄTZUNG •Konsultation der Interessenträger Die Kommission hat eine Vielzahl verschiedener Interessenträger konsultiert. Die Mitgliedstaaten und Interessenträger wurden aufgefordert, sich an der öffentlichen Konsultation sowie an den Umfragen und Workshops zu beteiligen, die im Rahmen einer Studie veranstaltet wurden, die von einem Konsortium zur Unterstützung der Vorbereitungsarbeiten der Kommission für die Folgenabschätzung durchgeführt wurden, nämlich von Wavestone, Zentrum für Europäische Politische Studien (CEPS und ICF). Zu den konsultierten Interessenträgern gehörten nationale Marktüberwachungsbehörden, mit Cybersicherheit befasste Unionseinrichtungen, Hardware- und Software-Hersteller, Einführer und Händler von Hard- und Software, Wirtschaftsverbände, Verbraucherorganisationen und Nutzer von Produkten mit digitalen Elementen sowie Bürgerinnen und Bürger, Forscher und Hochschulen, notifizierte Stellen und Akkreditierungsstellen sowie Fachkreise der Cybersicherheitsbranche. Die Konsultationsmaßnahmen umfassten Folgendes: ·Eine erste Studie wurde von einem Konsortium aus ICF, Wavestone, Carsa und CEPS durchgeführt und im Dezember 2021 veröffentlicht. Darin wurden mehrere Arten von Marktversagen festgestellt und mögliche Regulierungsmaßnahmen untersucht.

·Es wurde eine öffentliche Konsultation durchgeführt, die sich an Bürgerinnen und Bürger, Interessenträger und Cybersicherheitsexperten richtete. Darauf gingen 176 Antworten ein. Diese trugen zur Erfassung verschiedener Meinungen und Erfahrungen aus allen Interessengruppen bei. ·Es wurden Workshops im Rahmen der Studie zur Unterstützung der Vorbereitungsarbeiten der Kommission für ein Cyberresilienzgesetz organisiert, an denen rund 100 Vertreter aus allen 27 Mitgliedstaaten teilnahmen, die eine Vielzahl von Interessenträgern vertraten. ·Es wurden Expertenbefragungen durchgeführt, um ein tieferes Verständnis der aktuellen Cybersicherheitsprobleme im Zusammenhang mit Produkten mit digitalen Elementen zu gewinnen und Politikoption für mögliche Regulierungsmaßnahmen zu erörtern. ·Es fanden bilaterale Gespräche mit nationalen Cybersicherheitsbehörden, dem Privatsektor und Verbraucherorganisationen statt. ·Wichtige KMU-Akteure wurden gezielt angesprochen. •Einholung und Nutzung von Expertenwissen Mit den Konsultationstätigkeiten sollten auf der Grundlage der EU-Leitlinien für eine bessere Rechtsetzung Beiträge zu den fünf wichtigsten Bewertungskriterien (Wirksamkeit, Effizienz, Relevanz, Kohärenz, EU-Mehrwert) sowie zu den potenziellen Auswirkungen möglicher Optionen für die Zukunft eingeholt werden. Der Auftragnehmer wandte sich nicht nur an die Interessenträger, die von der vorgeschlagenen Verordnung unmittelbar betroffen wären, sondern konsultierte darüber hinaus ein breites Spektrum von Fachleuten im Bereich der Cybersicherheit. •Folgenabschätzung Die Kommission führte eine Folgenabschätzung für diesen Vorschlag durch, die vom Ausschuss für Regulierungskontrolle (RSB) der Kommission geprüft wurde. Am 6. Juli 2022 fand eine Sitzung mit dem RSB statt, in deren Folge dieser eine befürwortende Stellungnahme abgab. Die Folgenabschätzung wurde angepasst, um den Empfehlungen und Anmerkungen des RSB Rechnung zu tragen. Die Kommission prüfte verschiedene Politikoptionen zur Erreichung des allgemeinen Ziels des Vorschlags. ·Nicht zwingendes Recht und freiwillige Maßnahmen (Option 1): Bei dieser Option gäbe es keine verbindlichen Regulierungsmaßnahmen. Stattdessen würde die Kommission Mitteilungen, Leitlinien, Empfehlungen und möglicherweise Verhaltenskodizes herausgeben, um freiwillige Maßnahmen zu fördern. Um das Fehlen horizontaler EU-Vorschriften auszugleichen, würden weiterhin freiwillige oder obligatorische nationale Regelungen geschaffen. ·Ad-hoc-Regulierung der Cybersicherheit materieller Produkte mit digitalen Elementen und entsprechender eingebetteter Software (Option 2): Diese Option brächte eine produktspezifische Ad-hoc-Regulierung mit sich, die darauf beschränkt wäre, die Cybersicherheitsanforderungen in den bereits bestehenden Rechtsvorschriften zu ergänzen oder zu ändern oder neue Rechtsvorschriften einzuführen, sobald neue Risiken entstünden, gegebenenfalls auch in Bezug auf nicht eingebettete Software. Die Optionen 3 und 4 betreffen eine horizontale Regulierung mit verschiedenen Anwendungsbereichen und sind weitgehend an den Neuen Rechtsrahmen (NLF) angelehnt. In diesem Rahmen sind grundlegende Anforderungen als Voraussetzung für das Inverkehrbringen bestimmter Produkte auf dem Binnenmarkt festgelegt. Der NLF sieht in der Regel auch eine Konformitätsbewertung vor, d. h. das vom Hersteller durchgeführte Verfahren zum Nachweis, dass bestimmte Anforderungen an ein Produkt erfüllt werden. ·Gemischter Ansatz mit verbindlichen horizontalen Vorschriften für die Cybersicherheit materieller Produkte mit digitalen Elementen und der jeweiligen eingebetteten Software und einem abgestuften Ansatz für nicht eingebettete Software (Option 3): Diese Option umfasst eine Verordnung zur Einführung horizontaler Cybersicherheitsanforderungen für alle materiellen Produkte mit digitalen Elementen und darin eingebettete Software als Voraussetzung für das Inverkehrbringen und zwei Unteroptionen mit und ohne obligatorische Konformitätsbewertung durch Dritte (3i und 3ii). Nicht eingebettete Software würde nicht reguliert werden. ·Horizontale Regulierung zur Einführung von Cybersicherheitsanforderungen für eine breite Palette materieller und immaterieller digitaler Produkte und zugehöriger Dienste, einschließlich nicht eingebetteter Software (Option 4): Abgesehen vom Anwendungsbereich ähnelt diese Option der Option 3. Bei der Option 4 würde nicht eingebettete Software (mit zwei Unteroptionen: 4a) nur mit kritischer bzw. 4b) mit aller Software) in den Anwendungsbereich einer möglichen Verordnung einbezogen werden. Für jede Unteroption würden dieselben Unteroptionen zur Konformitätsbewertung in Betracht gezogen wie bei Option 3. Die Option 4 (mit Unteroptionen, die alle Software abdecken und eine obligatorische Konformitätsbewertung kritischer Produkte durch Dritte vorsehen) ergab sich als bevorzugte Option auf der Grundlage der Bewertung der Wirksamkeit hinsichtlich der besonderen Ziele und der Effizienz im Hinblick auf das Kosten-Nutzen-Verhältnis. Diese Option würde die Festlegung spezifischer horizontaler Cybersicherheitsanforderungen für alle auf dem Binnenmarkt in Verkehr gebrachten oder bereitgestellten Produkte mit digitalen Elementen gewährleisten und wäre die einzige Option, die die gesamte digitale Lieferkette abdeckt. Eine solche Regulierung würde auch nicht eingebettete Software erfassen, die häufig Schwachstellen aufweist, wodurch ein kohärenter Ansatz für alle Produkte mit digitalen Elementen und eine klare Verteilung der Verantwortlichkeiten der verschiedenen Wirtschaftsakteure gewährleistet würde. Diese Politikoption bringt noch einen zusätzlichen Vorteil, weil sie auch Aspekte der Sorgfaltspflicht und des gesamten Lebenszyklus nach dem Inverkehrbringen der Produkte mit digitalen Elementen mit abdeckt, sodass unter anderem angemessene Informationen über die Sicherheitsunterstützung und die Bereitstellung von Sicherheitsaktualisierungen gewährleistet werden. Diese Politikoption würde auch die jüngste Überprüfung des NIS-Rahmens am wirksamsten ergänzen, da sie sicherstellt, dass die Voraussetzungen für eine erhöhte Sicherheit der Lieferkette geschaffen würden. Die bevorzugte Option würde den verschiedenen Beteiligten erhebliche Vorteile bringen. Für Unternehmen würde sie abweichende Sicherheitsvorschriften für Produkte mit digitalen Elementen verhindern und die Kosten der Einhaltung der einschlägigen Rechtsvorschriften zur Cybersicherheit senken. Sie würde dazu beitragen, die Zahl der Cybervorfälle, die Kosten der Bewältigung von Sicherheitsvorfällen und die Rufschädigung zu verringern. Schätzungen zufolge könnte die Initiative für die gesamte EU eine Senkung der den Unternehmen durch Vorfälle entstehenden Kosten um etwa 180 bis 290 Mrd. EUR pro Jahr bewirken. Sie würde auch zu höheren Umsätzen infolge einer steigenden Nachfrage nach Produkten mit digitalen Elementen führen. Dies würde zudem den weltweiten Ruf der Unternehmen verbessern und eine wachsende Nachfrage auch außerhalb der EU nach sich ziehen. Für die Nutzer würde die bevorzugte Option die Transparenz der Sicherheitseigenschaften erhöhen und die Verwendung von Produkten mit digitalen Elementen erleichtern. Außerdem kämen die Verbraucher und Bürger so in den Genuss eines besseren Schutzes ihrer Grundrechte, z. B. im Hinblick auf die Privatsphäre und den Datenschutz. Auf die Frage nach der Einschätzung der Wirksamkeit der Maßnahmen stimmten die Teilnehmer der öffentlichen Konsultation darin überein, dass die Option 4 die wirksamste Maßnahme wäre (4,08 auf einer Skala von 1 bis 5). Dazu gehören Verbraucherorganisationen (5,00), Befragte, die sich als Nutzer bezeichnen (4,22), notifizierte Stellen (4,17), Marktüberwachungsbehörden (5,00) und Hersteller von Produkten mit digitalen Elementen (3,85), einschließlich kleiner und mittlerer Unternehmen (4,05). •Effizienz der Rechtsetzung und Vereinfachung

In diesem Vorschlag werden Anforderungen festgelegt, die für die Herstellung von Software und Hardware gelten sollen. Es ist nötig, für Rechtssicherheit zu sorgen und eine weitere Fragmentierung der produktbezogenen Cybersicherheitsanforderungen im Binnenmarkt zu vermeiden, wie die breite Unterstützung verschiedener Interessenträger für ein horizontales Eingreifen verdeutlicht hat. Mit dem Vorschlag wird der Regelungsaufwand, der den Herstellern durch mehrere Rechtsakte zur Produktsicherheit entsteht, so gering wie möglich gehalten. Durch die Angleichung an den NLF wird das Funktionieren der Maßnahme und ihre Durchsetzung verbessert. Mit dem Vorschlag wird der Ablauf des Schutzklauselverfahrens gestrafft, indem Hersteller und Mitgliedstaaten eingebunden werden, bevor die Kommission unterrichtet wird. Ein Großteil der Hersteller, die in den Anwendungsbereich des Vorschlags fallen, ist bereits mit der Funktionsweise des NLF vertraut, was zu dessen Verständnis und Umsetzung beitragen wird. Der Vorschlag wird das Vertrauen der Verbraucher und Unternehmen in Produkte mit digitalen Elementen fördern. •Grundrechte Alle Politikoptionen dürften bis zu einem gewissen Grad den Schutz der Grundrechte und Grundfreiheiten wie Privatsphäre, Schutz personenbezogener Daten, unternehmerische Freiheit, Schutz des Eigentums und Schutz der persönlichen Würde und Unversehrtheit verbessern. In dieser Hinsicht am wirksamsten wäre die bevorzugte Option 4, die eine horizontale Regulierung und einen breiten Anwendungsbereich vorsieht, weil sie mit größerer Wahrscheinlichkeit dazu beitragen würde, die Zahl und Schwere von Vorfällen, einschließlich Verletzungen des Schutzes personenbezogener Daten, zu verringern. Sie würde auch die Rechtssicherheit erhöhen und gleiche Wettbewerbsbedingungen für die Wirtschaftsakteure schaffen, das Vertrauen der Nutzer stärken und die Attraktivität von EU-Produkten mit digitalen Elementen insgesamt steigern, wodurch sie das Eigentum schützt und die Bedingungen für die Geschäftstätigkeit der Wirtschaftsakteure verbessern hilft. Die horizontalen Cybersicherheitsanforderungen würden zur Sicherheit personenbezogener Daten beitragen, indem sie die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen in Produkten mit digitalen Elementen schützen. Die Einhaltung dieser Anforderungen wird die Einhaltung der Sicherheitsanforderungen der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, DSGVO) an die Verarbeitung personenbezogener Daten erleichtern. Der Vorschlag würde die Transparenz und die Informationen für die Nutzer verbessern, auch für jene Nutzer, die geringere Cybersicherheitskompetenzen haben mögen. Die Nutzer würden auch besser über die Risiken, Fähigkeiten und Beschränkungen von Produkten mit digitalen Elementen informiert, wodurch sie besser in die Lage versetzt würden, die nötigen Präventions- und Minderungsmaßnahmen zu ergreifen, um die Restrisiken zu verringern. 4.AUSWIRKUNGEN AUF DEN HAUSHALT Die Agentur der Europäischen Union für Cybersicherheit (ENISA) wird Personalmittel im Umfang von 4,5 VZÄ umverteilen müssen, um die ihr im Rahmen dieser Verordnung übertragenen Aufgaben zu erfüllen. Die Kommission müsste 7 VZÄ bereitstellen, um ihre Zuständigkeiten im Zusammenhang mit der Durchsetzung dieser Verordnung wahrzunehmen. Ein detaillierter Überblick über die anfallenden Kosten ist dem Finanzbogen im Anhang zu diesem Vorschlag zu entnehmen. 5.WEITERE ANGABEN •Durchführungspläne sowie Monitoring-, Bewertungs- und Berichterstattungsmodalitäten Die Kommission wird die Durchführung, Anwendung und Einhaltung dieser neuen Bestimmungen überwachen, um auch deren Wirksamkeit zu bewerten. Die Verordnung sieht eine Bewertung und Überprüfung durch die Kommission sowie die Übermittlung eines entsprechenden öffentlichen Berichts an das Europäische Parlament und den Rat vor, und zwar 36 Monate nach dem Datum des Geltungsbeginns und danach alle vier Jahre. •Ausführliche Erläuterung einzelner Bestimmungen des Vorschlags Allgemeine Bestimmungen (Kapitel I) Die vorgeschlagene Verordnung enthält a) Vorschriften für das Inverkehrbringen von Produkten mit digitalen Elementen, um die Cybersicherheit solcher Produkte zu gewährleisten; b) grundlegende Anforderungen an die Konzeption, Entwicklung und Herstellung von Produkten mit digitalen Elementen sowie Pflichten der Wirtschaftsakteure in Bezug auf diese Produkte hinsichtlich der Cybersicherheit; c) grundlegende Anforderungen an die von den Herstellern festgelegten Verfahren zur Behandlung von Schwachstellen, um die Cybersicherheit von Produkten mit digitalen Elementen während ihres gesamten Lebenszyklus zu gewährleisten, sowie Pflichten der Wirtschaftsakteure in Bezug auf diese Verfahren; d) Vorschriften für die Marktüberwachung und die Durchsetzung der oben genannten Vorschriften und Anforderungen. Die vorgeschlagene Verordnung wird für Produkte mit digitalen Elementen gelten, deren bestimmungsgemäße und vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. Die vorgeschlagene Verordnung wird nicht für Produkte mit digitalen Elementen gelten, die in den Anwendungsbereich der Verordnung (EU) 2017/745 [Medizinprodukte für den menschlichen Gebrauch und deren Zubehör] und der Verordnung (EU) 2017/746 [In-vitro-Diagnostika für den menschlichen Gebrauch und deren Zubehör] fallen, denn beide Verordnungen enthalten Anforderungen an solche Produkte, einschließlich Software, und allgemeine Pflichten der Hersteller, die sich auf den gesamten Produktlebenszyklus und die Konformitätsbewertungsverfahren erstrecken. Die vorgeschlagene Verordnung wird weder für Produkte mit digitalen Elementen gelten, die nach der Verordnung 2018/1139 [hohes einheitliches Niveau der Flugsicherheit] zertifiziert wurden, noch für Produkte, die unter die Verordnung (EU) 2019/2144 [Typgenehmigung von Kraftfahrzeugen und Kraftfahrzeuganhängern sowie von Systemen, Bauteilen und selbstständigen technischen Einheiten für diese Fahrzeuge] fallen. Kritische Produkte mit digitalen Elementen unterliegen besonderen Konformitätsbewertungsverfahren und werden anhand des von ihnen ausgehenden Cybersicherheitsrisikos gemäß Anhang III in die Klassen I und II unterteilt, wobei die Klasse II ein höheres Risiko darstellt. Ein Produkt mit digitalen Elementen gilt als kritisch und wird daher unter Berücksichtigung der Auswirkungen potenzieller Cybersicherheitslücken, die in dem Produkt mit digitalen Elementen enthalten sind, in Anhang III aufgenommen. Bei der Bestimmung des Cybersicherheitsrisikos werden die Cybersicherheitsfunktion des Produkts mit digitalen Elementen und dessen bestimmungsgemäße Verwendung in sensiblen Umgebungen wie einem industriellen Umfeld berücksichtigt. Der Kommission wird überdies die Befugnis übertragen, delegierte Rechtsakte zur Ergänzung dieser Verordnung zu erlassen, um Kategorien hochkritischer Produkte mit digitalen Elementen festzulegen, für die die Hersteller ein europäisches Cybersicherheitszertifikat im Rahmen eines europäischen Systems für die Cybersicherheitszertifizierung erlangen müssen, um die Konformität mit den grundlegenden Anforderungen in Anhang I oder Teilen davon nachzuweisen. Bei der Festlegung solcher Kategorien hochkritischer Produkte mit digitalen Elementen berücksichtigt die Kommission das mit der Kategorie der Produkte mit digitalen Elementen verbundene Cybersicherheitsrisiko im Lichte eines oder mehrerer der Kriterien, die für die Auflistung der kritischen Produkte mit digitalen Elementen in Anhang III maßgeblich sind, sowie im Hinblick auf die Bewertung, ob Produkte dieser Produktkategorie von wesentlichen Einrichtungen der in Anhang [Anhang I] der Richtlinie [Richtlinie XXX/XXXX (NIS2)] genannten Art verwendet werden oder diese von solchen Produkten abhängen oder solche Produkte möglicherweise künftig für die Tätigkeiten dieser Einrichtungen von Bedeutung sein werden oder ob sie für die Widerstandsfähigkeit der gesamten Lieferkette von Produkten mit digitalen Elementen gegen Störungen von Bedeutung sind. Pflichten der Wirtschaftsakteure (Kapitel II) Der Vorschlag enthält Pflichten für Hersteller, Einführer und Händler, die auf den Referenzbestimmungen des Beschlusses Nr. 768/2008/EG beruhen. Entsprechend den grundlegenden Cybersicherheitsanforderungen und Pflichten dürfen alle Produkte mit digitalen Elementen nur dann auf dem Markt bereitgestellt werden, wenn sie bei ordnungsgemäßer Lieferung, Installation und Wartung und bei bestimmungsgemäßer oder vernünftigerweise vorhersehbarer Verwendung den grundlegenden Cybersicherheitsanforderungen dieser Verordnung genügen. Entsprechend den grundlegenden Anforderungen und Pflichten müssen die Hersteller die Cybersicherheit bei der Konzeption, Entwicklung und Herstellung von Produkten mit digitalen Elementen durchgehend berücksichtigen, hinsichtlich der Sicherheitsaspekte bei der Konzeption und Entwicklung ihrer Produkte die gebotene Sorgfalt walten lassen, im Hinblick auf Cybersicherheitsaspekte, die den Kunden mitgeteilt werden müssen, transparent sein, die Sicherheitsunterstützung (Aktualisierungen) auf verhältnismäßige Weise gewährleisten und die Anforderungen an die Behandlung von Schwachstellen einhalten.

Die Pflichten im Zusammenhang mit dem Inverkehrbringen von Produkten mit digitalen Elementen sollen den Wirtschaftsakteuren – von Herstellern bis hin zu Händlern und Einführern – in einem angemessenen Verhältnis zu ihrer Rolle und Verantwortung in der Lieferkette auferlegt werden. Konformität des Produkts mit digitalen Elementen (Kapitel III) Bei Produkten mit digitalen Elementen, die mit harmonisierten Normen oder Teilen davon übereinstimmen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht worden sind, wird eine Konformität mit den grundlegenden Anforderungen dieser vorgeschlagenen Verordnung vermutet. Wenn es keine harmonisierten Normen gibt oder diese unzureichend sind oder wenn unangemessene Verzögerungen im Normungsverfahren auftreten oder der Normungsauftrag der Kommission von den europäischen Normungsorganisationen abgelehnt wird, kann die Kommission im Wege von Durchführungsrechtsakten gemeinsame Spezifikationen annehmen. Überdies wird bei Produkten mit digitalen Elementen, die im Rahmen eines europäischen Systems für die Cybersicherheitszertifizierung gemäß der Verordnung (EU) 2019/881 zertifiziert worden sind oder für die eine EU-Konformitätserklärung oder ein EU-Zertifikat ausgestellt wurde, für welche die Kommission im Wege eines Durchführungsrechtsakts festgelegt hat, dass sie eine Konformitätsvermutung für diese Verordnung begründen können, davon ausgegangen, dass die Produkte den grundlegenden Anforderungen dieser Verordnung oder Teilen genügen, sofern die EU-Konformitätserklärung oder das Cybersicherheitszertifikat oder Teile davon diese Anforderungen abdecken. Um einen übermäßigen Verwaltungsaufwand für die Hersteller zu vermeiden, sollte die Kommission darüber hinaus gegebenenfalls angeben, ob mit einem im Rahmen eines solchen europäischen Systems für die Cybersicherheitszertifizierung ausgestellten Cybersicherheitszertifikat die in dieser Verordnung vorgesehene Pflicht der Hersteller, für die betreffenden Anforderungen eine Konformitätsbewertung durch Dritte durchführen zu lassen, aufgehoben werden kann. Zum Nachweis, dass die grundlegenden Anforderungen in Anhang I erfüllt sind, muss der Hersteller das Produkt mit digitalen Elementen und die von ihm festgelegten Verfahren zur Behandlung von Schwachstellen einer Konformitätsbewertung nach einem der in Anhang VI genannten Verfahren unterziehen. Hersteller kritischer Produkte der Klassen I und II müssen dazu die jeweiligen Module anwenden, die für die Konformität erforderlich sind. Hersteller kritischer Produkte der Klasse II müssen einen Dritten in ihre Konformitätsbewertung einbeziehen. Notifizierung von Konformitätsbewertungsstellen (Kapitel IV) Der ordnungsgemäßen Arbeitsweise der notifizierten Stellen kommt eine entscheidende Bedeutung für die Gewährleistung eines hohen Maßes an Cybersicherheit und für das Vertrauen aller interessierten Kreise in das System nach dem neuen Konzept zu. Aus diesem Grund enthält der Vorschlag in Übereinstimmung mit dem Beschluss Nr. 768/2008/EG Anforderungen an die nationalen Behörden, die für die Konformitätsbewertungsstellen (notifizierten Stellen) zuständig sind. Die endgültige Verantwortung für die Benennung und Überwachung der notifizierten Stellen verbleibt bei den Mitgliedstaaten. Die Mitgliedstaaten benennen eine notifizierende Behörde, die für die Einrichtung und Durchführung der erforderlichen Verfahren für die Bewertung und Notifizierung von Konformitätsbewertungsstellen und für die Überwachung der notifizierten Stellen zuständig ist. Marktüberwachung und Durchsetzung (Kapitel V) Nach der Verordnung (EU) 2019/1020 führen die nationalen Marktüberwachungsbehörden die Marktüberwachung im Hoheitsgebiet des jeweiligen Mitgliedstaats durch. Die Mitgliedstaaten können beschließen, eine bestehende oder eine neue Behörde als Marktüberwachungsbehörde zu benennen, einschließlich der in Artikel [Artikel X] der Richtlinie [Richtlinie XXX/XXXX (NIS2)] genannten zuständigen nationalen Behörden oder der in Artikel 58 der Verordnung (EU) 2019/881 genannten benannten nationalen Behörden für die Cybersicherheitszertifizierung. Die Wirtschaftsakteure sollten umfassend mit den Marktüberwachungsbehörden und anderen zuständigen Behörden zusammenarbeiten. Übertragene Befugnisse und Ausschussverfahren (Kapitel VI) Damit der Rechtsrahmen erforderlichenfalls angepasst werden kann, sollte der Kommission die Befugnis übertragen werden, gemäß Artikel 290 AEUV Rechtsakte zu erlassen, um die Liste kritischer Produkte der Klassen I und II zu aktualisieren und die Definitionen dieser Produkte festzulegen, um ferner festzulegen, ob eine Einschränkung oder ein Ausschluss für Produkte mit digitalen Elementen notwendig wäre, die unter andere Unionsvorschriften mit Anforderungen fallen, mit denen dasselbe Schutzniveau wie mit dieser Verordnung erreicht wird, um die Zertifizierung bestimmter hochkritischer Produkte mit digitalen Elementen auf der Grundlage der in dieser Verordnung festgelegten Kriterien vorzuschreiben, um die Mindestangaben der EU-Konformitätserklärung und die Ergänzung der in die technische Dokumentation aufzunehmenden Elemente vorzuschreiben. Der Kommission wird die Befugnis übertragen, Durchführungsrechtsakte zu erlassen, die Folgendes betreffen: Festlegung des Formats oder der Elemente der Meldepflichten und der Software-Stückliste; Ausweisung der europäischen Systeme für die Cybersicherheitszertifizierung, die zum Nachweis der Konformität mit den grundlegenden Anforderungen dieser Verordnung oder Teilen davon verwendet werden können; Annahme gemeinsamer Spezifikationen; Festlegung technischer Spezifikationen für die Anbringung der CE-Kennzeichnung; Annahme von Korrekturmaßnahmen oder einschränkenden Maßnahmen auf Unionsebene unter außergewöhnlichen Umständen, die ein sofortiges Eingreifen rechtfertigen, um das reibungslose Funktionieren des Binnenmarkts zu bewahren. Vertraulichkeit und Sanktionen (Kapitel VII) Alle Parteien, die diese Verordnung anwenden, müssen die Vertraulichkeit der Informationen und Daten wahren, von denen sie in Ausübung ihrer Aufgaben und Tätigkeiten Kenntnis erlangen. Um die wirksame Durchsetzung der in dieser Verordnung festgelegten Pflichten zu gewährleisten, sollte jede Marktüberwachungsbehörde befugt sein, Geldbußen aufzuerlegen oder ihre Auferlegung zu beantragen. Dafür werden in dieser Verordnung Obergrenzen für Geldbußen festgelegt, die in den einzelstaatlichen Rechtsvorschriften für Verstöße gegen die in dieser Verordnung festgelegten Pflichten vorgesehen werden sollten. Übergangs- und Schlussbestimmungen (Kapitel VIII) Damit Hersteller, notifizierte Stelle und Mitgliedstaaten genügend Zeit haben, um sich auf die neuen Anforderungen einzustellen, soll der Geltungsbeginn der vorgeschlagenen Verordnung [24 Monate] nach ihrem Inkrafttreten liegen, mit Ausnahme der Meldepflichten der Hersteller, die schon ab dem [12 Monate] nach dem Inkrafttreten gelten würden.



2022/0272 (COD)

Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnung (EU) 2019/1020 (Text von Bedeutung für den EWR) DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 114, auf Vorschlag der Europäischen Kommission, nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente, nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses, nach Stellungnahme des Ausschusses der Regionen, gemäß dem ordentlichen Gesetzgebungsverfahren, in Erwägung nachstehender Gründe: (1)Es ist nötig, das Funktionieren des Binnenmarkts zu verbessern und dazu einen einheitlichen Rechtsrahmen für grundlegende Cybersicherheitsanforderungen für das Inverkehrbringen von Produkten mit digitalen Elementen auf dem Unionsmarkt festzulegen. Dabei sollten zwei große Probleme angegangen werden, die hohe Kosten für die Nutzer und die Gesellschaft verursachen: ein geringes Maß an Cybersicherheit von Produkten mit digitalen Elementen, das sich in weitverbreiteten Schwachstellen und der unzureichenden und inkohärenten Bereitstellung von Sicherheitsaktualisierungen zu deren Behebung widerspiegelt, sowie ein unzureichendes Verständnis und ein mangelnder Informationszugang der Nutzer, wodurch sie daran gehindert werden, Produkte mit angemessenen Cybersicherheitsmerkmalen auszuwählen oder sicher zu verwenden. (2)Mit dieser Verordnung sollen die Rahmenbedingungen für die Entwicklung sicherer Produkte mit digitalen Elementen geschaffen werden, damit Hardware- und Softwareprodukte mit weniger Schwachstellen in Verkehr gebracht werden und damit die Hersteller sich während des gesamten Lebenszyklus eines Produkts ernsthaft um die Sicherheit kümmern. Außerdem sollen Bedingungen geschaffen werden, die es den Nutzern ermöglichen, bei der Auswahl und Verwendung von Produkten mit digitalen Elementen die Cybersicherheit zu berücksichtigen. (3)Das derzeit geltende einschlägige Unionsrecht umfasst mehrere horizontale Vorschriften, die bestimmte Aspekte der Cybersicherheit aus unterschiedlichen Blickwinkeln regeln, darunter auch Maßnahmen zur Erhöhung der Sicherheit der digitalen Lieferkette. Das bestehende Unionsrecht in Bezug auf die Cybersicherheit, wozu die [Richtlinie XXX/XXXX (NIS2)] und die Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates, gehören, enthält jedoch keine unmittelbar verbindlichen Anforderungen an die Sicherheit von Produkten mit digitalen Elementen. (4)Die bestehenden Rechtsvorschriften der Union gelten zwar für bestimmte Produkte mit digitalen Elementen, jedoch gibt es keinen horizontalen Rechtsrahmen der Union, der umfassende Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen festlegen würde. Die verschiedenen bisher auf Unionsebene und auf nationaler Ebene erlassenen Vorschriften und ergriffenen Initiativen befassen sich nur teilweise mit den festgestellten Problemen und Risiken im Zusammenhang mit der Cybersicherheit, wodurch ein legislativer Flickenteppich innerhalb des Binnenmarkts entstanden ist, der zu einer größeren Rechtsunsicherheit sowohl für die Hersteller als auch für die Nutzer solcher Produkte und zu einer größeren unnötigen Belastung der Unternehmen führt, die eine Reihe verschiedener Anforderungen in Bezug auf ähnliche Produktarten zu erfüllen haben. Die Cybersicherheit dieser Produkte hat eine besonders ausgeprägte grenzüberschreitende Dimension, weil die in einem Land hergestellten Produkte häufig von Organisationen und Verbrauchern im gesamten Binnenmarkt verwendet werden. Dies macht es notwendig, den Bereich auf Unionsebene zu regulieren. Das Regulierungsumfeld der Union sollte durch die Einführung von Cybersicherheitsanforderungen für Produkte mit digitalen Elementen harmonisiert werden. Überdies gilt es, Rechtssicherheit für die Akteure und Nutzer in der gesamten Union herzustellen und eine bessere Harmonisierung des Binnenmarkts zu erreichen, wodurch auch bessere Bedingungen für Wirtschaftsteilnehmer geschaffen würden, die in den Unionsmarkt eintreten wollen. (5)Auf Unionsebene wurden in verschiedenen programmatischen und politischen Papieren wie der EU-Cybersicherheitsstrategie für die digitale Dekade, den Schlussfolgerungen des Rates vom 2. Dezember 2020 und 23. Mai 2022 oder der Entschließung des Europäischen Parlaments vom 10. Juni 2021 besondere Cybersicherheitsanforderungen der Union für digitale oder vernetzte Produkte verlangt. Gleichzeitig haben mehrere Länder weltweit Maßnahmen ergriffen, um dieses Problem auf eigene Initiative anzugehen. Im Abschlussbericht der Konferenz zur Zukunft Europas forderten die Bürgerinnen und Bürger „eine stärkere Rolle der EU bei der Abwehr von Cybersicherheitsbedrohungen“. (6)Um das Gesamtniveau der Cybersicherheit aller im Binnenmarkt in Verkehr gebrachten Produkte mit digitalen Elementen zu erhöhen, müssen für diese Produkte objektive und technologieneutrale grundlegende Cybersicherheitsanforderungen eingeführt werden, die dann horizontal gelten sollen. (7)Alle Produkte mit digitalen Elementen, die in ein größeres elektronisches Informationssystem integriert oder mit ihm verbunden sind, können unter bestimmten Umständen böswilligen Akteuren als Angriffsvektor dienen. Folglich kann selbst eine als weniger kritisch geltende Hardware und Software die anfängliche Kompromittierung eines Geräts oder Netzes erleichtern und es böswilligen Akteuren ermöglichen, sich privilegierten Zugang zu einem System zu verschaffen oder sich quer von System zu System zu bewegen. Die Hersteller sollten daher dafür sorgen, dass alle verbindungsfähigen Produkte mit digitalen Elementen im Einklang mit den in dieser Verordnung festgelegten grundlegenden Anforderungen konzipiert und entwickelt werden. Dazu gehören sowohl Produkte, die physisch über Hardware-Schnittstellen verbunden werden können, als auch Produkte, die logisch verbunden werden, z. B. über Netzwerksockets, Pipes, Dateien, Anwendungsprogrammierschnittstellen oder andere Arten von Software-Schnittstellen. Da sich Cybersicherheitsbedrohungen über verschiedene Produkte mit digitalen Elementen verbreiten können, ehe ein bestimmtes Ziel erreicht wird, z. B. durch Verkettung mehrerer ausnutzbarer Schwachstellen, sollten die Hersteller auch die Cybersicherheit jener Produkte gewährleisten, die nur indirekt mit anderen Geräten oder Netzen verbunden sind. (8)Durch die Festlegung von Cybersicherheitsanforderungen für das Inverkehrbringen von Produkten mit digitalen Elementen wird die Cybersicherheit dieser Produkte gleichermaßen sowohl für Verbraucher als auch für Unternehmen verbessert. Dies betrifft auch Anforderungen für das Inverkehrbringen von Verbraucherprodukten mit digitalen Elementen, die für schutzbedürftige Verbraucher bestimmt sind, wie z. B. Spielzeug und Babymonitore.

(9)Diese Verordnung gewährleistet ein hohes Niveau der Cybersicherheit von Produkten mit digitalen Elementen. Sie enthält keine Vorschriften für Dienstleistungen wie Software-as-a-Service (SaaS), mit Ausnahme von Datenfernverarbeitungslösungen, die sich auf ein Produkt mit digitalen Elementen beziehen und als entfernt stattfindende Datenverarbeitung verstanden werden, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht erfüllen könnte. Mit der [Richtlinie XXX/XXXX (NIS2)] werden Anforderungen an die Cybersicherheit und die Meldung von Sicherheitsvorfällen für wesentliche und wichtige Einrichtungen wie kritische Infrastrukturen festgelegt, um die Resilienz der von ihnen erbrachten Dienste zu erhöhen. Die [Richtlinie XXX/XXXX (NIS2)] gilt für Cloud-Computing-Dienste und Cloud-Dienstmodelle wie SaaS. In den Anwendungsbereich dieser Richtlinie fallen alle Einrichtungen, die Cloud-Computing-Dienste in der Union erbringen und den Schwellenwert für mittlere Unternehmen erreichen oder überschreiten. (10)Um die Innovation oder die Forschung nicht zu behindern, sollte freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt oder bereitgestellt wird, nicht unter diese Verordnung fallen. Dies gilt insbesondere für offen geteilte und frei zugängliche, nutzbare, veränderbare und weiterverteilbare Software, einschließlich ihres Quellcodes und ihrer veränderten Versionen. Im Zusammenhang mit Software ist eine Geschäftstätigkeit möglicherweise nicht nur dadurch gekennzeichnet, dass für ein Produkt ein Preis verlangt wird, sondern auch dadurch, dass für technische Unterstützungsleistungen ein Entgelt verlangt wird, dass eine Softwareplattform bereitgestellt wird, über die der Hersteller andere Dienste monetisiert, oder dass personenbezogene Daten zu anderen Zwecken als der alleinigen Verbesserung der Sicherheit, Kompatibilität oder Interoperabilität der Software verwendet werden. (11)Ein sicheres Internet ist für das Funktionieren kritischer Infrastrukturen und für die Gesellschaft insgesamt unverzichtbar. Die [Richtlinie XXX/XXXX (NIS2)] zielt darauf ab, ein hohes Maß an Cybersicherheit der Dienste wesentlicher und wichtiger Einrichtungen zu gewährleisten, zu denen auch die Betreiber digitaler Infrastrukturen zählen, die Kernfunktionen des offenen Internets unterstützen und den Internetzugang und Internetdienste gewährleisten. Deshalb ist es wichtig, dass die Produkte mit digitalen Elementen, die erforderlich sind, damit die Betreiber digitaler Infrastrukturen das Funktionieren des Internets gewährleisten können, auf sichere Weise entwickelt werden und dass sie den etablierten Internetsicherheitsstandards entsprechen. Diese Verordnung, die für alle verbindungsfähigen Hardware- und Softwareprodukte gilt, zielt auch darauf ab, den Betreibern digitaler Infrastrukturen die Einhaltung der Anforderungen der [Richtlinie XXX/XXXX (NIS2)] an die Lieferketten zu erleichtern, indem sichergestellt wird, dass die Produkte mit digitalen Elementen, die sie für die Erbringung ihrer Dienste verwenden, auf sichere Weise entwickelt werden und dass sie rechtzeitig Sicherheitsaktualisierungen für solche Produkte erhalten. (12)Die Verordnung (EU) 2017/745 des Europäischen Parlaments und des Rates enthält Vorschriften für Medizinprodukte und die Verordnung (EU) 2017/746 des Europäischen Parlaments und des Rates enthält Vorschriften für In-vitro-Diagnostika. Beide Verordnungen dienen der Bewältigung von Cybersicherheitsrisiken und folgen besonderen Ansätzen, die auch dieser Verordnung zugrunde liegen. Insbesondere enthalten die Verordnungen (EU) 2017/745 und (EU) 2017/746 grundlegende Anforderungen an Medizinprodukte, die mittels eines elektronischen Systems funktionieren oder die selbst Software sind. Bestimmte nicht eingebettete Software und der gesamte Lebenszyklusansatz werden ebenfalls von diesen Verordnungen erfasst. Nach diesen Anforderungen müssen die Hersteller bei der Entwicklung und Konstruktion ihrer Produkte Risikomanagementgrundsätze anwenden und dazu Anforderungen an IT-Sicherheitsmaßnahmen sowie entsprechende Konformitätsbewertungsverfahren festlegen. Darüber hinaus gibt es seit Dezember 2019 spezifische Leitlinien zur Cybersicherheit von Medizinprodukten, die den Herstellern von Medizinprodukten und In-vitro-Diagnostika Orientierungen für die Einhaltung aller einschlägigen grundlegenden Anforderungen in Anhang I dieser Verordnungen in Bezug auf die Cybersicherheit an die Hand geben. Produkte mit digitalen Elementen, die unter eine dieser Verordnungen fallen, sollten daher nicht von der vorliegenden Verordnung erfasst werden. (13)Mit der Verordnung (EU) 2019/2144 des Europäischen Parlaments und des Rates sind Anforderungen an die Typgenehmigung von Kraftfahrzeugen sowie von Systemen und Bauteilen für diese Fahrzeuge festgelegt und bestimmte Cybersicherheitsanforderungen eingeführt worden, auch in Bezug auf den Betrieb eines zertifizierten Cybersicherheitsmanagementsystems, Software-Aktualisierungen, welche die Strategien und Verfahren der Organisationen für den Umgang mit Cybersicherheitsrisiken über dem gesamten Lebenszyklus von Fahrzeugen, Ausrüstungen und Diensten im Einklang mit den geltenden Regelungen der Vereinten Nationen über technische Spezifikationen und Cybersicherheit umfassen und spezifische Konformitätsbewertungsverfahren vorsehen. Im Bereich der Luftfahrt besteht das Hauptziel der Verordnung (EU) 2018/1139 des Europäischen Parlaments und des Rates in der Festlegung und Aufrechterhaltung eines hohen einheitlichen Niveaus der Flugsicherheit in der Union. Die Verordnung schafft einen Rahmen für grundlegende Anforderungen an die Lufttüchtigkeit luftfahrttechnischer Erzeugnisse, Teile und Ausrüstungen, einschließlich Software, die den Pflichten zum Schutz vor Bedrohungen der Informationssicherheit Rechnung tragen. Produkte mit digitalen Elementen, die unter die Verordnung (EU) 2019/2144 fallen, und Produkte, die nach der Verordnung (EU) 2018/1139 zertifiziert worden sind, unterliegen daher nicht den in der vorliegenden Verordnung festgelegten grundlegenden Anforderungen und Konformitätsbewertungsverfahren. Das Zertifizierungsverfahren nach der Verordnung (EU) 2018/1139 gewährleistet die mit der vorliegenden Verordnung angestrebte Vertrauenswürdigkeit. (14)In dieser Verordnung werden horizontale Cybersicherheitsvorschriften festgelegt, die nicht speziell für bestimmte Sektoren oder bestimmte Produkte mit digitalen Elementen gelten sollen. Dennoch könnten sektor- oder produktspezifische Unionsvorschriften mit denen Anforderungen eingeführt werden, die sich auf alle oder einige der Risiken beziehen, die von den in dieser Verordnung festgelegten grundlegenden Anforderungen abgedeckt werden. Die Anwendung dieser Verordnung auf Produkte mit digitalen Elementen, die unter andere Unionsvorschriften mit Anforderungen in Bezug auf alle oder einige der von den grundlegenden Anforderungen in Anhang I dieser Verordnung abgedeckten Risiken fallen, kann in solchen Fällen eingeschränkt oder ausgeschlossen werden, sofern die Einschränkung oder der Ausschluss mit dem für diese Produkte geltenden allgemeinen Rechtsrahmen vereinbar ist und mit den sektorspezifischen Vorschriften dasselbe Schutzniveau erreicht wird, wie es diese Verordnung gewährleistet. Der Kommission wird die Befugnis übertragen, delegierte Rechtsakte zur Änderung dieser Verordnung im Hinblick auf die Festlegung solcher Produkte und Vorschriften zu erlassen. In Bezug auf bestehende Rechtsvorschriften der Union, für die solche Einschränkungen oder Ausschlüsse gelten sollten, enthält diese Verordnung besondere Bestimmungen, um ihr Verhältnis zu diesen Rechtsvorschriften der Union zu präzisieren. (15)Nach der Delegierten Verordnung (EU) 2022/30 gelten die grundlegenden Anforderungen gemäß Artikel 3 Absatz 3 Buchstabe d (schädliche Auswirkungen auf das Netz und missbräuchliche Nutzung von Netzressourcen), Buchstabe e (personenbezogene Daten und Privatsphäre) und Buchstabe f (Betrug) der Richtlinie 2014/53/EU für bestimmte Funkanlagen. Der [Durchführungsbeschluss XXX/2022 der Kommission über einen Normungsauftrag an die europäischen Normungsorganisationen] enthält Anforderungen für die Entwicklung spezifischer Normen, in denen präzisiert wird, wie diese drei grundlegenden Anforderungen zu behandeln sind. Die in dieser Verordnung festgelegten grundlegenden Anforderungen umfassen alle Elemente der grundlegenden Anforderungen gemäß Artikel 3 Absatz 3 Buchstaben d, e und f der Richtlinie 2014/53/EU. Darüber hinaus stehen die in dieser Verordnung festgelegten grundlegenden Anforderungen im Einklang mit den Zielen der Anforderungen an die spezifischen Normen, die in diesem Normungsauftrag vorgesehenen sind. Sollte die Kommission die Delegierte Verordnung (EU) 2022/30 aufheben oder ändern, sodass sie für bestimmte von der vorliegenden Verordnung erfasste Produkte nicht mehr gilt, so sollten daher dann die Kommission und die europäischen Normungsorganisationen bei der Ausarbeitung und Entwicklung harmonisierter Normen die Normungsarbeiten, die im Rahmen des Durchführungsbeschlusses C(2022) 5637 der Kommission über einen Normungsauftrag zur Delegierten Verordnung (EU) 2022/30 über Funkanlagen durchgeführt werden, berücksichtigen, um die Durchführung der vorliegenden Verordnung zu erleichtern. (16)Die Richtlinie 85/374/EWG wirkt ergänzend zu dieser Verordnung. Diese Richtlinie enthält Vorschriften über die Haftung für fehlerhafte Produkte, damit geschädigte Personen Schadenersatz verlangen können, wenn durch ein fehlerhaftes Produkt ein Schaden verursacht wurde. Darin wird der Grundsatz festgelegt, dass der Hersteller eines Produkts unabhängig vom Verschulden für Schäden haftet, die durch die mangelnde Sicherheit seines Produkts verursacht werden („verschuldensunabhängige Haftung“). Besteht ein solcher Mangel an Sicherheit in fehlenden Sicherheitsaktualisierungen nach dem Inverkehrbringen des Produkts und wird dadurch ein Schaden verursacht, könnte dies die Haftung des Herstellers nach sich ziehen. In dieser Verordnung sollten Pflichten der Hersteller in Bezug auf die Bereitstellung solcher Sicherheitsaktualisierungen festgelegt werden. (17)Die vorliegende Verordnung sollte unbeschadet der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates gelten, die Bestimmungen zur Einführung von Datenschutz-Zertifizierungsverfahren und von Datenschutzsiegeln und ‑prüfzeichen enthält, die dem Nachweis dienen, dass die für die Datenverarbeitung Verantwortlichen und die Auftragsverarbeiter bei der Verarbeitung von Daten die Bestimmungen der letzteren Verordnung einhalten. Solche Vorgänge könnten in ein Produkt mit digitalen Elementen eingebettet werden. Die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen sowie die Cybersicherheit im Allgemeinen sind Schlüsselelemente der Verordnung (EU) 2016/679. Durch den Schutz von Verbrauchern und Organisationen vor Cybersicherheitsrisiken sollen die in dieser Verordnung festgelegten grundlegenden Cybersicherheitsanforderungen auch dazu beitragen, den Schutz personenbezogener Daten und den Schutz der Privatsphäre natürlicher Personen zu verbessern. Sowohl bei der Normung als auch bei der Zertifizierung von Cybersicherheitsaspekten sollten Synergien im Rahmen der Zusammenarbeit zwischen der Kommission, den europäischen Normungsorganisationen, der Agentur der Europäischen Union für Cybersicherheit (ENISA), dem durch die Verordnung (EU) 2016/679 eingesetzten Europäischen Datenschutzausschuss (EDSA) und den nationalen Datenschutzaufsichtsbehörden berücksichtigt werden. Synergien zwischen dieser Verordnung und dem Datenschutzrecht der Union sollten auch im Bereich der Marktüberwachung und Rechtsdurchsetzung angestrebt werden. Dazu sollten die nach dieser Verordnung benannten nationalen Marktüberwachungsbehörden mit den Behörden zusammenarbeiten, die die Anwendung des Datenschutzrechtes der Union beaufsichtigen. Letztere Behörden sollten auch Zugang zu Informationen haben, die für die Erfüllung ihrer Aufgaben von Bedeutung sind. (18)Soweit ihre Produkte in den Anwendungsbereich der vorliegenden Verordnung fallen, sollten die Aussteller von Brieftaschen für die europäische digitale Identität (EUid-Brieftaschen) gemäß Artikel [Artikel 6a Absatz 2 der Verordnung (EU) Nr. 910/2014, geändert durch den Vorschlag für eine Verordnung zur Änderung der Verordnung (EU) Nr. 910/2014 im Hinblick auf die Schaffung eines Rahmens für eine europäische digitale Identität] sowohl die in der vorliegenden Verordnung festgelegten horizontalen grundlegenden Anforderungen als auch die besonderen Sicherheitsanforderungen gemäß Artikel [Artikel 6a der Verordnung (EU) Nr. 910/2014, geändert durch den Vorschlag für eine Verordnung zur Änderung der Verordnung (EU) Nr. 910/2014 im Hinblick auf die Schaffung eines Rahmens für eine europäische digitale Identität] erfüllen. Um die Einhaltung der Vorschriften zu erleichtern, sollten Aussteller von EUid-Brieftaschen die Konformität der EUid-Brieftaschen mit den in beiden Verordnungen festgelegten Anforderungen dadurch nachweisen können, dass sie ihre Produkte im Rahmen eines europäischen Systems für die Cybersicherheitszertifizierung nach der Verordnung (EU) 2019/881 zertifizieren lassen, für das die Kommission im Wege eines Durchführungsrechtsakts eine Konformitätsvermutung für die Anforderungen der vorliegenden Verordnung festgelegt hat, soweit das Zertifikat oder Teile davon diese Anforderungen abdecken. (19)Bestimmte in dieser Verordnung vorgesehene Aufgaben sollten von der ENISA im Einklang mit Artikel 3 Absatz 2 der Verordnung (EU) 2019/881 wahrgenommen werden. Insbesondere sollte die ENISA Meldungen von Herstellern über aktiv ausgenutzte Schwachstellen in Produkten mit digitalen Elementen sowie über Vorfälle, die sich auf die Sicherheit dieser Produkte auswirken, entgegennehmen. Die ENISA sollte diese Meldungen auch an die zuständigen Computer-Notfallteams (CSIRTs) bzw. an die gemäß Artikel [Artikel X] der Richtlinie [Richtlinie XXX/XXXX (NIS2)] benannten zentralen Anlaufstellen der Mitgliedstaaten weiterleiten und die betreffenden Marktüberwachungsbehörden von den gemeldeten Schwachstellen unterrichten. Auf der Grundlage der von ihr erfassten Informationen sollte die ENISA alle zwei Jahre einen technischen Bericht über aufkommende Trends in Bezug auf Cybersicherheitsrisiken bei Produkten mit digitalen Elementen erstellen und ihn der in der Richtlinie [Richtlinie XXX/XXXX (NIS2)] genannten Kooperationsgruppe vorlegen. Darüber hinaus sollte die ENISA angesichts ihrer Sachkenntnis und ihres Auftrags in der Lage sein, den Prozess der Durchführung dieser Verordnung zu unterstützen. Sie sollte insbesondere in der Lage sein, gemeinsame Tätigkeiten vorzuschlagen, die von Marktüberwachungsbehörden auf der Grundlage von Hinweisen oder Informationen über eine mögliche Nichtkonformität von Produkten mit digitalen Elementen mit dieser Verordnung in mehreren Mitgliedstaaten durchgeführt werden sollen, oder Produktkategorien zu ermitteln, zu denen gleichzeitige koordinierte Kontrollen organisiert werden sollten. Unter außergewöhnlichen Umständen sollte die ENISA auf Ersuchen der Kommission Bewertungen in Bezug auf bestimmte Produkte mit digitalen Elementen, die ein erhebliches Cybersicherheitsrisiko bergen, durchführen können, wenn ein sofortiges Eingreifen erforderlich ist, um das reibungslose Funktionieren des Binnenmarkts zu bewahren. (20)Produkte mit digitalen Elementen sollten grundsätzlich mit der CE-Kennzeichnung versehen sein, aus der ihre Konformität mit dieser Verordnung hervorgeht, sodass sie frei im Binnenmarkt verkehren können. Die Mitgliedstaaten sollten für das Inverkehrbringen von Produkten mit digitalen Elementen, die den in dieser Verordnung festgelegten Anforderungen genügen und mit der CE-Kennzeichnung versehen sind, keine ungerechtfertigten Hindernisse schaffen. (21)Damit Hersteller Software zu Testzwecken freigeben können, bevor sie ihre Produkte einer Konformitätsbewertung unterziehen, sollten die Mitgliedstaaten nicht verhindern, dass unfertige Software z. B. als Alpha-, Beta- oder Vorabversion bereitgestellt wird, sofern die Version nur so lange zur Verfügung gestellt wird, wie es für die Tests und das Sammeln von Rückmeldungen erforderlich ist. Die Hersteller sollten sicherstellen, dass unter diesen Bedingungen bereitgestellte Software erst nach einer Risikobewertung freigegeben wird und die Sicherheitsanforderungen dieser Verordnung in Bezug auf die Eigenschaften von Produkten mit digitalen Elementen so weit wie möglich erfüllt. Die Hersteller sollten auch die Anforderungen an die Behandlung von Schwachstellen so weit wie möglich umsetzen. Die Hersteller sollten die Nutzer nicht zu einer Aktualisierung auf Versionen zwingen, die nur zu Testzwecken freigegeben wurden. (22)Damit Produkte mit digitalen Elementen beim Inverkehrbringen keine Cybersicherheitsrisiken für Personen und Organisationen darstellen, sollten für solche Produkte grundlegende Anforderungen festgelegt werden. Werden solche Produkte nachträglich physisch oder digital in einer Weise verändert, die vom Hersteller nicht vorgesehen ist und die dazu führen kann, dass sie die betreffenden grundlegenden Anforderungen nicht mehr erfüllen, sollte die Veränderung als wesentlich betrachtet werden. Beispielsweise könnten Software-Aktualisierungen und ‑Reparaturen den Wartungsarbeiten gleichgestellt werden, sofern sie ein bereits in Verkehr gebrachtes Produkt nicht so verändern, dass die Konformität mit den geltenden Anforderungen beeinträchtigt oder die bestimmungsgemäße Verwendung, für die das Produkt geprüft wurde, verändert werden kann. Ebenso wie bei physischen Reparaturen oder Änderungen sollte ein Produkt mit digitalen Elementen durch eine Softwareänderung als wesentlich verändert gelten, wenn durch die Software-Aktualisierung die ursprünglich vorgesehenen Funktionen, die Art oder die Leistung des Produkts geändert werden und diese Änderungen in der ursprünglichen Risikobewertung nicht vorgesehen waren oder sich infolge der Software-Aktualisierung die Art der Gefahr verändert hat oder das Risiko gestiegen ist. (23)Im Einklang mit dem allgemein anerkannten Begriff der wesentlichen Änderung von Produkten, für die Harmonisierungsrechtsvorschriften der Union gelten, ist es angebracht, immer dann, wenn eine wesentliche Änderung eintritt, die sich auf die Konformität eines Produkts mit dieser Verordnung auswirken könnte, oder wenn sich die Zweckbestimmung dieses Produkts ändert, die Konformität des Produkts mit digitalen Elementen zu überprüfen und es gegebenenfalls einer neuen Konformitätsbewertung zu unterziehen. Wenn der Hersteller eine Konformitätsbewertung unter Beteiligung eines Dritten durchführt, sollten Veränderungen, die zu wesentlichen Änderungen führen könnten, dem Dritten mitgeteilt werden. (24)Die Aufbereitung, Wartung und Reparatur eines Produkts mit digitalen Elementen im Sinne der Verordnung [Ökodesign-Verordnung] führt nicht unbedingt zu einer wesentlichen Änderung des Produkts, wenn z. B. die bestimmungsgemäße Verwendung und die Funktionen nicht geändert werden und das Risikoniveau gleich bleibt. Die Aufrüstung eines Produkts durch den Hersteller könnte jedoch zu Änderungen in der Konzeption und Entwicklung des Produkts führen und sich daher auf die bestimmungsgemäße Verwendung und die Konformität des Produkts mit den Anforderungen dieser Verordnung auswirken. (25)Produkte mit digitalen Elementen sollten als kritisch betrachtet werden, wenn die negativen Auswirkungen der Ausnutzung potenzieller Cybersicherheitslücken in dem Produkt unter anderem aufgrund seiner Cybersicherheitsfunktion oder seiner bestimmungsgemäßen Verwendung schwerwiegend sein können. Insbesondere können Schwachstellen in Produkten mit digitalen Elementen, die eine Cybersicherheitsfunktion haben, wie z. B. Sicherheitselemente (Secure Elements), zu einer Ausbreitung von Sicherheitsproblemen in der gesamten Lieferkette führen. Die Schwere der Auswirkungen eines Cybersicherheitsvorfalls kann auch zunehmen, wenn die bestimmungsgemäße Verwendung des Produkts, z. B. in einem industriellen Umfeld oder im Zusammenhang mit einer wesentlichen Einrichtung der in Anhang [Anhang I] der Richtlinie [Richtlinie XXX/XXXX (NIS2)] genannten Art, oder seine Verwendung zur Wahrnehmung kritischer oder sensibler Funktionen wie der Verarbeitung personenbezogener Daten berücksichtigt wird. (26)Kritische Produkte mit digitalen Elementen sollten strengeren Konformitätsbewertungsverfahren unterliegen, wobei ein verhältnismäßiger Ansatz gewahrt bleiben sollte. Zu diesem Zweck sollten kritische Produkte mit digitalen Elementen in zwei Klassen unterteilt werden, die das mit diesen Produktkategorien verbundene Cybersicherheitsrisiko widerspiegeln. Ein potenzieller Cybervorfall mit Produkten der Klasse II könnte größere negative Auswirkungen haben als ein Vorfall mit Produkten der Klasse I, beispielsweise wegen der Art ihrer Cybersicherheitsfunktion oder ihrer bestimmungsgemäßen Verwendung in sensiblen Umgebungen, und daher sollten erstere Produkte einem strengeren Konformitätsbewertungsverfahren unterzogen werden. (27)Die in Anhang III dieser Verordnung genannten Kategorien kritischer Produkte mit digitalen Elementen sollten als jene Produkte verstanden werden, deren Kernfunktionen den in Anhang III dieser Verordnung aufgeführten Arten entsprechen. So sind in Anhang III dieser Verordnung beispielsweise Produkte aufgeführt, die durch ihre Kernfunktion als Allzweck-Mikroprozessoren der Klasse II definiert sind. Folglich unterliegen Allzweck-Mikroprozessoren einer obligatorischen Konformitätsbewertung durch Dritte. Dies gilt nicht für andere, nicht ausdrücklich in Anhang III dieser Verordnung genannte Produkte, in denen ein Allzweck-Mikroprozessor enthalten sein kann. Die Kommission sollte bis zum [12 Monate nach Inkrafttreten dieser Verordnung] delegierte Rechtsakte erlassen, in denen sie die Definitionen der nach Anhang III zur Klasse I und Klasse II gehörigen Produktkategorien festlegt. (28)Mit dieser Verordnung werden Cybersicherheitsrisiken gezielt angegangen. Produkte mit digitalen Elementen können jedoch noch andere Sicherheitsrisiken bergen, die nicht mit der Cybersicherheit zusammenhängen. Solche anderen Risiken sollten weiterhin durch andere einschlägige Produktvorschriften der Union geregelt werden. Wenn keine anderen Harmonisierungsrechtsvorschriften der Union anwendbar sind, sollten die Produkte der Verordnung [Verordnung über die allgemeine Produktsicherheit] unterliegen. Angesichts der gezielten Ausrichtung der vorliegenden Verordnung sollten daher abweichend von Artikel 2 Absatz 1 Unterabsatz 3 Buchstabe b der Verordnung [Verordnung über die allgemeine Produktsicherheit] in Bezug auf Sicherheitsrisiken, die nicht unter die vorliegende Verordnung fallen, das Kapitel III Abschnitt 1, die Kapitel V und VII sowie die Kapitel IX bis XI der Verordnung [Verordnung über die allgemeine Produktsicherheit] auch für Produkte mit digitalen Elementen gelten, wenn diese Produkte keinen besonderen Anforderungen anderer Harmonisierungsrechtsvorschriften der Union im Sinne von [Artikel 3 Nummer 25 der Verordnung über die allgemeine Produktsicherheit] unterliegen.

(29)Produkte mit digitalen Elementen, die nach Artikel 6 der Verordnung [KI-Verordnung] als Hochrisiko-KI-Systeme eingestuft sind und in den Anwendungsbereich der vorliegenden Verordnung fallen, sollten den in der vorliegenden Verordnung festgelegten grundlegenden Anforderungen genügen. Genügen diese Hochrisiko-KI-Systeme den grundlegenden Anforderungen der vorliegenden Verordnung, so sollte davon ausgegangen werden, dass sie die Cybersicherheitsanforderungen gemäß Artikel [Artikel 15] der Verordnung [KI-Verordnung] erfüllen, soweit diese Anforderungen von der nach der vorliegenden Verordnung ausgestellten EU-Konformitätserklärung oder Teilen davon abgedeckt sind. Für die Konformitätsbewertungsverfahren zu den grundlegenden Cybersicherheitsanforderungen für ein Produkt mit digitalen Elementen, das unter die vorliegende Verordnung fällt und als Hochrisiko-KI-System eingestuft ist, sollten grundsätzlich anstelle der jeweiligen Bestimmungen der vorliegenden Verordnung die einschlägigen Bestimmungen des Artikels 43 der Verordnung [KI-Verordnung] Anwendung finden. Diese Regel sollte jedoch nicht dazu führen, dass die erforderliche Vertrauenswürdigkeit für unter die vorliegende Verordnung fallende kritische Produkte mit digitalen Elementen verringert wird. Deshalb sollten abweichend von dieser Regel Hochrisiko-KI-Systeme, die in den Anwendungsbereich der Verordnung [KI-Verordnung] fallen und auch als kritische Produkte mit digitalen Elementen gemäß der vorliegenden Verordnung gelten und auf die das Konformitätsbewertungsverfahren auf der Grundlage einer internen Kontrolle gemäß Anhang VI der Verordnung [KI-Verordnung] angewandt wird, den Konformitätsbewertungsbestimmungen der vorliegenden Verordnung unterliegen, soweit die grundlegenden Anforderungen der vorliegenden Verordnung betroffen sind. In diesem Fall sollten für alle anderen Aspekte, die unter die Verordnung [KI-Verordnung] fallen, die jeweiligen Bestimmungen über die Konformitätsbewertung auf der Grundlage einer internen Kontrolle gemäß Anhang VI der Verordnung [KI-Verordnung] gelten. (30)Maschinenprodukte, die in den Anwendungsbereich der Verordnung [Vorschlag für eine Maschinenverordnung] fallen, bei denen es sich um Produkte mit digitalen Elementen im Sinne der vorliegenden Verordnung handelt und für die auf der Grundlage der vorliegenden Verordnung eine EU-Konformitätserklärung ausgestellt wurde, sollten in Bezug auf den Schutz vor Korruption und in Bezug auf die Sicherheit und Zuverlässigkeit von Steuerungssystemen als konform mit den grundlegenden Gesundheits- und Sicherheitsanforderungen in [Anhang III Abschnitte 1.1.9 und 1.2.1] der Verordnung [Vorschlag für eine Maschinenverordnung] gelten, sofern mit der nach der vorliegenden Verordnung ausgestellten EU-Konformitätserklärung die Erfüllung der genannten Anforderungen nachgewiesen wird. (31)Die Verordnung [Vorschlag für eine Verordnung über den europäischen Raum für Gesundheitsdaten] ergänzt die in der vorliegenden Verordnung festgelegten grundlegenden Anforderungen. Die elektronischen Patientendatensysteme (im Folgenden „EHR-Systeme“), die in den Anwendungsbereich der Verordnung [Vorschlag für eine Verordnung über den europäischen Raum für Gesundheitsdaten] fallen und bei denen es sich um Produkte mit digitalen Elementen im Sinne der vorliegenden Verordnung handelt, sollten daher auch den grundlegenden Anforderungen der vorliegenden Verordnung genügen. Ihre Hersteller sollten die Konformität nach Maßgabe der Verordnung [Vorschlag für eine Verordnung über den europäischen Raum für Gesundheitsdaten] nachweisen. Zur Erleichterung der Einhaltung der Vorschriften können die Hersteller eine einzige technische Dokumentation erstellen, die die in beiden Rechtsakten vorgeschriebenen Elemente enthält. Da die vorliegende Verordnung nicht für SaaS gilt, fallen EHR-Systeme, die im Rahmen des SaaS-Lizenzierungs- und Umsetzungsmodells angeboten werden, nicht in den Anwendungsbereich dieser Verordnung. Ebenso fallen EHR-Systeme, die intern entwickelt und verwendet werden, nicht in den Anwendungsbereich dieser Verordnung, weil sie nicht in Verkehr gebracht werden. (32)Um sicherzustellen, dass Produkte mit digitalen Elementen sowohl zum Zeitpunkt ihres Inverkehrbringens als auch während ihres gesamten Lebenszyklus sicher sind, müssen grundlegende Anforderungen für die Behandlung von Schwachstellen und grundlegende Cybersicherheitsanforderungen in Bezug auf die Eigenschaften von Produkten mit digitalen Elementen festgelegt werden. Die Hersteller sollten sowohl alle grundlegenden Anforderungen in Bezug auf die Behandlung von Schwachstellen erfüllen und sicherstellen, dass alle ihre Produkte ohne bekannte ausnutzbare Schwachstellen abgegeben werden, als auch bestimmen, welche anderen grundlegenden Anforderungen in Bezug auf die Produkteigenschaften für die betreffende Produktart von Bedeutung sind. Zu diesem Zweck sollten die Hersteller eine Bewertung der Cybersicherheitsrisiken vornehmen, die mit einem Produkt mit digitalen Elementen verbunden sind, um einschlägige Risiken und grundlegende Anforderungen zu ermitteln und geeignete harmonisierte Normen oder gemeinsame Spezifikationen angemessen anzuwenden. (33)Zur Erhöhung der Sicherheit von Produkten mit digitalen Elementen, die im Binnenmarkt in Verkehr gebracht werden, ist es erforderlich, grundlegende Anforderungen festzulegen. Diese grundlegenden Anforderungen sollten die EU-weit koordinierten Risikobewertungen kritischer Lieferketten gemäß [Artikel X] der Richtlinie [Richtlinie XXX/XXXX(NIS2)] unberührt lassen, in denen sowohl technische als gegebenenfalls auch nichttechnische Risikofaktoren wie eine unzulässige Einflussnahme eines Drittlands auf Lieferanten berücksichtigt werden. Darüber hinaus sollten hiervon die Vorrechte der Mitgliedstaaten unberührt bleiben, zusätzliche Anforderungen festzulegen, die nichttechnischen Faktoren Rechnung tragen, um ein hohes Maß an Resilienz zu gewährleisten, einschließlich derer, die in der Empfehlung (EU) 2019/534, in der unionsweit koordinierten Risikobewertung zur Cybersicherheit in 5G-Netzen und in dem EU-Instrumentarium für die 5G-Cybersicherheit, das die in der [Richtlinie XXX/XXXX (NIS2)] genannte NIS-Kooperationsgruppe vereinbart hat, definiert worden sind. (34)Damit die nationalen CSIRTs und die nach Artikel [X] der Richtlinie [Richtlinie XX/XXXX (NIS2)] benannte zentrale Anlaufstelle die Informationen erhalten, die sie benötigen, um ihre Aufgaben wahrzunehmen und das Gesamtniveau der Cybersicherheit wesentlicher und wichtiger Einrichtungen zu erhöhen, und um das wirksame Funktionieren der Marktüberwachungsbehörden zu gewährleisten, sollten die Hersteller von Produkten mit digitalen Elementen der ENISA alle aktiv ausgenutzten Schwachstellen melden. Da die meisten Produkte mit digitalen Elementen im gesamten Binnenmarkt vermarktet werden, sollte jede ausgenutzte Schwachstelle in einem Produkt mit digitalen Elementen als Bedrohung für das Funktionieren des Binnenmarkts betrachtet werden. Überdies sollten die Hersteller in Erwägung ziehen, behobene Schwachstellen in der gemäß der Richtlinie [Richtlinie XX/XXXX (NIS2)] eingerichteten und von der ENISA verwalteten europäischen Schwachstellendatenbank oder einer anderen öffentlich zugänglichen Schwachstellendatenbank offenzulegen. (35)Die Hersteller sollten der ENISA auch jeden Vorfall melden, der sich auf die Sicherheit eines Produkts mit digitalen Elementen auswirkt. Ungeachtet der Verpflichtung wesentlicher und wichtiger Einrichtungen zur Meldung von Sicherheitsvorfällen gemäß der Richtlinie [Richtlinie XXX/XXXX (NIS2)] ist es von entscheidender Bedeutung, dass die ENISA, die von den Mitgliedstaaten gemäß Artikel [X] der Richtlinie [Richtlinie XXX/XXXX (NIS2)] benannten zentralen Anlaufstellen und die Marktüberwachungsbehörden von den Herstellern der Produkte mit digitalen Elementen Informationen erhalten, die es ihnen ermöglichen, die Sicherheit dieser Produkte zu bewerten. Damit die Nutzer rasch auf Vorfälle reagieren können, die sich auf die Sicherheit ihrer Produkte mit digitalen Elementen auswirken, sollten die Hersteller auch ihre Nutzer über solche Vorfälle und gegebenenfalls über Korrekturmaßnahmen informieren, die die Nutzer ergreifen können, um die Auswirkungen des Vorfalls zu mindern, und zwar z. B. durch Veröffentlichung einschlägiger Informationen auf ihren Websites oder, falls der Hersteller zu den Nutzern Kontakt aufnehmen kann und die Risiken dies rechtfertigen, durch direkte Kontaktaufnahme zu den Nutzern. (36)Hersteller von Produkten mit digitalen Elementen sollten Konzepte für die koordinierte Offenlegung von Schwachstellen einführen, um das Melden von Schwachstellen durch natürliche oder juristische Personen zu erleichtern. Ein Konzept für die koordinierte Offenlegung von Schwachstellen sollte einen strukturierten Prozess vorsehen, in dem Schwachstellen dem Hersteller in einer Weise gemeldet werden, die dem Hersteller die Diagnose und Behebung solcher Schwachstellen ermöglicht, bevor detaillierte Informationen über die Schwachstelle an Dritte oder die Öffentlichkeit weitergegeben werden. Angesichts dessen, dass mit Informationen über ausnutzbare Schwachstellen in weitverbreiteten Produkten mit digitalen Elementen auf dem Schwarzmarkt hohe Preisen zu erzielen sind, sollten die Hersteller solcher Produkte in der Lage sein, im Rahmen ihrer Konzepte für die koordinierte Offenlegung von Schwachstellen Programme durchzuführen, mit denen sie Anreize für das Melden von Schwachstellen geben, indem sie dafür sorgen, dass natürliche oder juristische Personen Anerkennung und Belohnung für ihre Bemühungen erhalten (sogenannte „Bug-Bounty-Programme“). (37)Zur Erleichterung der Schwachstellenanalyse sollten die Hersteller feststellen und dokumentieren, welche Komponenten in den Produkten mit digitalen Elementen enthalten sind, und dazu gegebenenfalls eine Software-Stückliste aufstellen. Eine Software-Stückliste kann denjenigen, die Software herstellen, kaufen und betreiben, Informationen vermitteln, die ihr Verständnis der Lieferkette verbessern, was zahlreiche Vorteile mit sich bringt und vor allem Herstellern und Nutzern hilft, bekannte neu auftretende Schwachstellen und Risiken zu verfolgen. Für die Hersteller ist es besonders wichtig, sich zu vergewissern, dass ihre Produkte keine anfälligen Komponenten enthalten, die von Dritten entwickelt wurden. (38)Um die Bewertung der Konformität mit den in dieser Verordnung festgelegten Anforderungen zu erleichtern, sollte eine Konformitätsvermutung für Produkte mit digitalen Elementen gelten, die harmonisierten Normen entsprechen, mit denen die grundlegenden Anforderungen dieser Verordnung in detaillierte technische Spezifikationen umgesetzt werden und die gemäß der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates angenommen wurden. Die Verordnung (EU) Nr. 1025/2012 enthält ein Verfahren für Einwände gegen harmonisierte Normen, falls diese Normen den Anforderungen der vorliegenden Verordnung nicht in vollem Umfang entsprechen. (39)Mit der Verordnung (EU) 2019/881 ist ein freiwilliger europäischer Rahmen für die Cybersicherheitszertifizierung von IKT-Produkten, ‑Prozessen und ‑Diensten geschaffen worden. Die europäischen Systeme für die Cybersicherheitszertifizierung können Produkte mit digitalen Elementen erfassen, die unter die vorliegende Verordnung fallen. Die vorliegende Verordnung sollte Synergien mit der Verordnung (EU) 2019/881 schaffen. Um die Bewertung der Konformität mit den in der vorliegenden Verordnung festgelegten Anforderungen zu erleichtern, wird bei Produkten mit digitalen Elementen, die zertifiziert worden sind oder für die im Rahmen eines Cybersicherheitssystems gemäß der Verordnung (EU) 2019/881 eine Konformitätserklärung ausgestellt wurde und die von der Kommission in einem Durchführungsrechtsakt aufgeführt werden, davon ausgegangen, dass sie den grundlegenden Anforderungen der vorliegenden Verordnung genügen, sofern das Cybersicherheitszertifikat oder die Konformitätserklärung oder Teile davon diese Anforderungen abdecken. Die Notwendigkeit neuer europäischer Systeme für die Cybersicherheitszertifizierung von Produkten mit digitalen Elementen sollte im Lichte der vorliegenden Verordnung geprüft werden. Solche künftigen europäischen Systeme für die Cybersicherheitszertifizierung von Produkten mit digitalen Elementen sollten den in dieser Verordnung festgelegten grundlegenden Anforderungen Rechnung tragen und die Einhaltung dieser Verordnung erleichtern. Der Kommission sollte die Befugnis übertragen werden, im Wege von Durchführungsrechtsakten die europäischen Systeme für die Cybersicherheitszertifizierung auszuweisen, die zum Nachweis der Konformität mit den grundlegenden Anforderungen dieser Verordnung verwendet werden können. Um einen übermäßigen Verwaltungsaufwand für die Hersteller zu vermeiden, sollte die Kommission darüber hinaus gegebenenfalls angeben, ob mit einem im Rahmen solcher europäischen Systeme für die Cybersicherheitszertifizierung ausgestellten Cybersicherheitszertifikat die in dieser Verordnung vorgesehene Pflicht der Hersteller, für die betreffenden Anforderungen eine Konformitätsbewertung durch Dritte durchführen zu lassen, aufgehoben werden kann. (40)Beim Inkrafttreten des Durchführungsrechtsakts [Durchführungsverordnung (EU) …/… der Kommission vom XXX über das auf gemeinsamen Kriterien beruhende europäische System für die Cybersicherheitszertifizierung] (EUCC), der unter diese Verordnung fallende Hardwareprodukte wie Hardware-Sicherheitsmodule und Mikroprozessoren betrifft, kann die Kommission im Wege eines Durchführungsrechtsakts festlegen, auf welche Weise das EUCC eine Konformitätsvermutung mit den grundlegenden Anforderungen in Anhang I dieser Verordnung oder Teilen davon begründen kann. Darüber hinaus kann in einem solchen Durchführungsrechtsakt festgelegt werden, wie mit einem im Rahmen des EUCC ausgestellten Zertifikat die Pflicht der Hersteller, für die betreffenden Anforderungen dieser Verordnung eine Bewertung durch Dritte durchführen zu lassen, aufgehoben werden kann. (41)Wenn keine harmonisierten Normen angenommen wurden oder die grundlegenden Anforderungen dieser Verordnung in den harmonisierten Normen nicht ausreichend berücksichtigt wurden, sollte die Kommission in der Lage sein, im Wege von Durchführungsrechtsakten gemeinsame Spezifikationen festzulegen. Gründe für die Entwicklung solcher gemeinsamen Spezifikationen anstelle der Anwendung harmonisierter Normen könnten die Ablehnung des Normungsauftrags durch die europäischen Normungsorganisationen, unangemessene Verzögerungen bei der Ausarbeitung geeigneter harmonisierter Normen oder eine mangelnde Übereinstimmung entwickelter Normen mit den Anforderungen dieser Verordnung oder mit einem Normungsauftrag der Kommission sein. Um die Bewertung der Konformität mit den grundlegenden Anforderungen dieser Verordnung zu erleichtern, sollte eine Konformitätsvermutung für Produkte mit digitalen Elementen gelten, die den gemeinsamen Spezifikationen entsprechen, die die Kommission nach dieser Verordnung angenommen hat, um ausführliche technische Spezifikationen für diese Anforderungen zu formulieren. (42)Die Hersteller sollten eine EU-Konformitätserklärung ausstellen, aus der die nach dieser Verordnung erforderlichen Informationen über die Konformität der Produkte mit digitalen Elementen mit den Anforderungen dieser Verordnung und gegebenenfalls den sonstigen einschlägigen Harmonisierungsrechtsvorschriften der Union, denen das Produkt unterliegt, hervorgehen. Die Hersteller können ferner auch aufgrund anderer Rechtsvorschriften der Union verpflichtet sein, eine EU-Konformitätserklärung auszustellen. Um einen wirksamen Zugang zu Informationen für die Zwecke der Marktüberwachung zu gewährleisten, sollte eine einzige EU-Konformitätserklärung in Bezug die Einhaltung aller einschlägigen Rechtsvorschriften der Union ausgestellt werden. Um den Verwaltungsaufwand für die Wirtschaftsakteure zu verringern, sollte es zulässig sein, dass diese einzige EU-Konformitätserklärung aus einer Akte besteht, die sich aus den einschlägigen einzelnen Konformitätserklärungen zusammensetzt. (43)Die CE-Kennzeichnung bringt die Konformität eines Produkts zum Ausdruck und ist das sichtbare Ergebnis eines ganzen Prozesses, der die Konformitätsbewertung im weiteren Sinne umfasst. Die allgemeinen Grundsätze für die CE-Kennzeichnung sind in der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates festgelegt. Die Vorschriften für die Anbringung der CE-Kennzeichnung auf Produkten mit digitalen Elementen sollten in der vorliegenden Verordnung festgelegt werden. Die CE-Kennzeichnung sollte die einzige Kennzeichnung sein, die die Übereinstimmung der Produkte mit digitalen Elementen mit den Anforderungen dieser Verordnung garantiert. (44)Damit die Wirtschaftsakteure die Konformität mit den grundlegenden Anforderungen dieser Verordnung nachweisen können und die Marktüberwachungsbehörden sicherstellen können, dass Produkte mit digitalen Elementen, die auf dem Markt bereitgestellt werden, diesen Anforderungen genügen, sind Konformitätsbewertungsverfahren vorzusehen. Im Beschluss Nr. 768/2008/EG des Europäischen Parlaments und des Rates sind Module für Konformitätsbewertungsverfahren festgelegt, die der Höhe des Risikos und dem geforderten Sicherheitsniveau angemessen sind. Um die sektorübergreifende Kohärenz zu gewährleisten und Ad-hoc-Varianten zu vermeiden, beruhen die Konformitätsbewertungsverfahren zur Überprüfung der Konformität von Produkten mit digitalen Elementen mit den grundlegenden Anforderungen dieser Verordnung auf diesen Modulen. In den Konformitätsbewertungsverfahren sollten sowohl produkt- als auch verfahrensbezogene Anforderungen untersucht und überprüft werden, die den gesamten Lebenszyklus von Produkten mit digitalen Elementen abdecken, einschließlich Planung, Konzeption, Entwicklung oder Herstellung, Tests und Wartung des Produkts. (45)In der Regel sollte die Konformitätsbewertung von Produkten mit digitalen Elementen vom Hersteller in eigener Verantwortung nach dem Verfahren auf der Grundlage von Modul A des Beschlusses Nr. 768/2008/EG durchgeführt werden. Der Hersteller sollte die Flexibilität behalten, ein strengeres Konformitätsbewertungsverfahren unter Einbeziehung eines Dritten zu wählen. Ist das Produkt als kritisches Produkt der Klasse I eingestuft, so ist eine zusätzliche Vertrauenswürdigkeitsprüfung erforderlich, um die Konformität mit den grundlegenden Anforderungen dieser Verordnung nachzuweisen. Der Hersteller sollte die von der Kommission in einem Durchführungsrechtsakt ausgewiesenen harmonisierten Normen, gemeinsamen Spezifikationen oder Systeme für die Cybersicherheitszertifizierung gemäß der Verordnung (EU) 2019/881 verwenden, wenn er die Konformitätsbewertung in eigener Verantwortung durchführen möchte (Modul A). Verwendet der Hersteller solche harmonisierten Normen, gemeinsamen Spezifikationen oder Systeme für die Cybersicherheitszertifizierung nicht, so sollte eine Konformitätsbewertung unter Beteiligung eines Dritten durchgeführt werden. Unter Berücksichtigung des Verwaltungsaufwands für die Hersteller und der Tatsache, dass die Cybersicherheit in der Konzeptions- und Entwicklungsphase materieller und immaterieller Produkte mit digitalen Elementen eine wichtige Rolle spielt, wurden Konformitätsbewertungsverfahren auf der Grundlage der Module B und C oder des Moduls H des Beschlusses Nr. 768/2008/EG als am besten geeignet ausgewählt, um die Konformität kritischer Produkte mit digitalen Elementen auf verhältnismäßige und wirksame Weise zu bewerten. Der Hersteller, der die Konformitätsbewertung durch Dritte durchführen lässt, kann das Verfahren auswählen, das seinem Konzeptions- und Herstellungsprozess am besten entspricht. Angesichts des noch größeren Cybersicherheitsrisikos, das mit der Verwendung von Produkten verbunden ist, die als kritische Produkte der Klasse II eingestuft sind, sollte an deren Konformitätsbewertung stets ein Dritter beteiligt werden. (46)Während die Herstellung materieller Produkte mit digitalen Elementen in der Regel einen erheblichen Aufwand während der gesamten Konzeptions-, Entwicklungs- und Herstellungsphase erfordert, konzentriert sich die Herstellung von Produkten mit digitalen Elementen in Form von Software fast ausschließlich auf die Konzeption und Entwicklung, wogegen die Herstellungsphase eine untergeordnete Rolle spielt. Dennoch müssen Softwareprodukte oft noch kompiliert und zu Versionen zusammengefügt, gepackt, zum Herunterladen bereitgestellt oder auf physische Datenträger kopiert werden, bevor sie in Verkehr gebracht werden. Bei der Anwendung der einschlägigen Konformitätsbewertungsmodule zur Überprüfung der Konformität des Produkts mit den grundlegenden Anforderungen dieser Verordnung in der Konzeptions-, Entwicklungs- und Herstellungsphase sollten diese Tätigkeiten als dem Herstellungsprozess gleichkommende Tätigkeiten betrachtet werden. (47)Damit Produkte mit digitalen Elementen einer Konformitätsbewertung durch Dritte unterzogen werden können, sollten die nationalen notifizierenden Behörden der Kommission und den anderen Mitgliedstaaten die Konformitätsbewertungsstellen notifizieren, sofern diese eine Reihe von Anforderungen erfüllen, insbesondere in Bezug auf Unabhängigkeit, Kompetenz und Nichtvorliegen von Interessenkonflikten. (48)Um für ein einheitliches Qualitätsniveau bei der Durchführung der Konformitätsbewertungen von Produkte mit digitalen Elementen zu sorgen, müssen auch die Anforderungen an die notifizierenden Behörden und andere Stellen, die bei der Begutachtung, Notifizierung und Überwachung von notifizierten Stellen tätig sind, festgelegt werden. Das in dieser Verordnung vorgesehene System sollte durch das Akkreditierungssystem gemäß der Verordnung (EG) Nr. 765/2008 ergänzt werden. Da die Akkreditierung ein wichtiges Mittel zur Überprüfung der Kompetenz von Konformitätsbewertungsstellen ist, sollte sie auch zu Notifizierungszwecken eingesetzt werden.

(49)Eine transparente Akkreditierung nach Maßgabe der Verordnung (EG) Nr. 765/2008, die das notwendige Maß an Vertrauen in Konformitätsbescheinigungen gewährleistet, sollte von den nationalen Behörden unionsweit als bevorzugtes Mittel zum Nachweis der fachlichen Kompetenz von Konformitätsbewertungsstellen angesehen werden. Allerdings können nationale Behörden die Auffassung vertreten, dass sie über die geeigneten Mittel verfügen, um diese Bewertung selbst vorzunehmen. Um in solchen Fällen die Glaubwürdigkeit der durch andere nationale Behörden vorgenommenen Beurteilungen zu gewährleisten, sollten sie der Kommission und den anderen Mitgliedstaaten alle erforderlichen Unterlagen übermitteln, aus denen hervorgeht, dass die beurteilten Konformitätsbewertungsstellen die entsprechenden rechtlichen Anforderungen erfüllen. (50)Häufig vergeben Konformitätsbewertungsstellen Teile ihrer Arbeit im Zusammenhang mit der Konformitätsbewertung an Unterauftragnehmer oder übertragen sie an Zweigstellen. Zur Wahrung des für das Inverkehrbringen von Produkten mit digitalen Elementen in der Union erforderlichen Schutzniveaus müssen die Unterauftragnehmer und Zweigstellen bei der Ausführung der Konformitätsbewertungsaufgaben unbedingt denselben Anforderungen genügen wie die notifizierten Stellen. (51)Die Notifizierung einer Konformitätsbewertungsstelle sollte der Kommission und den anderen Mitgliedstaaten von der notifizierenden Behörde über das NANDO-Informationssystem (New Approach Notified and Designated Organisations, Informationssystem für die nach dem neuen Konzept notifizierten und benannten Organisationen) übermittelt werden. NANDO ist das von der Kommission entwickelte und verwaltete elektronische Notifizierungsinstrument, mit dem eine Liste aller notifizierten Stellen geführt wird. (52)Da die notifizierten Stellen ihre Dienstleistungen in der gesamten Union anbieten können, sollten die anderen Mitgliedstaaten und die Kommission die Möglichkeit erhalten, Einwände gegen eine notifizierte Stelle zu erheben. Daher ist es wichtig, dass eine Frist vorgesehen wird, innerhalb deren etwaige Zweifel oder Bedenken hinsichtlich der Kompetenz von Konformitätsbewertungsstellen geklärt werden können, bevor diese ihre Arbeit als notifizierte Stellen aufnehmen. (53)Im Interesse der Wettbewerbsfähigkeit ist es entscheidend, dass die notifizierten Stellen die Konformitätsbewertungsverfahren anwenden, ohne unnötigen Aufwand für die Wirtschaftsakteure zu schaffen. Aus demselben Grund, und damit die Gleichbehandlung der Wirtschaftsakteure sichergestellt ist, ist für eine einheitliche technische Anwendung der Konformitätsbewertung