EUROOPA KOMISJON Brüssel,15.9.2022 COM(2022) 454 final 2022/0272(COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS, mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrust (EL) 2019/1020 (EMPs kohaldatav tekst) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



SELETUSKIRI 1.ETTEPANEKU TAUST •Ettepaneku põhjused ja eesmärgid Üha enam tabavad riist- ja tarkvaratooteid edukad küberründed; nende tõttu suurenes küberkuritegevuse hinnanguline ülemaailmne kulu 2021. aastaks 5,5 triljoni euroni aastas. Neid tooteid mõjutavad kaks põhiprobleemi, mis suurendavad kasutajate ja ühiskonna kulusid: 1) küberturvalisuse madal tase, mida kajastavad levinud nõrkused ning ebapiisavad ja ebajärjekindlad turvauuendused nende kõrvaldamiseks, ning 2) kasutajate ebapiisav arusaamine ja juurdepääs teabele, mis takistab neil valida piisavate küberturvalisuse omadustega tooteid või kasutada neid turvalisel viisil. Võrgustatud keskkonnas võib ühe tootega seotud küberintsident mõjutada tervet organisatsiooni või kogu tarneahelat ning selle mõju võib sageli minutite jooksul laieneda üle siseturu piiride. See võib põhjustada olulisi häireid majandustegevuses ja ühiskonnaelus või muutuda isegi eluohtlikuks. Digielemente sisaldavate toodete küberturvalisusel on tugev piiriülene mõõde, kuna ühes riigis toodetud tooteid kasutatakse sageli kogu siseturul. Lisaks levivad algselt üht üksust või liikmesriiki mõjutanud intsidendid sageli minutite jooksul üle kogu siseturu. Kuigi teatavate digielemente sisaldavate toodete suhtes kohaldatakse kehtivaid siseturgu käsitlevaid õigusakte, ei ole enamik riist- ja tarkvaratooteid praegu hõlmatud ühegi ELi õigusaktiga, mis käsitleks nende küberturvalisust. Eelkõige ei käsitleta praeguses ELi õigusraamistikus sisseehitamata tarkvara küberturvalisust, vaatamata sellele, et küberrünnete sihtmärgiks võetakse üha enam just nende toodete nõrkused, põhjustades märkimisväärseid ühiskondlikke ja majanduslikke kulusid. Leidub palju näiteid märkimisväärsete küberrünnete kohta, mis olid tingitud toodete ebaoptimaalsest turvalisusest, näiteks WannaCry lunavara-uss, mille puhul kasutati ära Windowsi nõrkust ning mis mõjutas 2017. aastal 200 000 arvutit 150 riigis ja tekitas miljardite USA dollarite suuruse kahju; Kaseya VSA tarneahela rünne, mille käigus kasutati Kaseya võrguhaldustarkvara, et rünnata enam kui 1 000 ettevõtet, ja mis sundis üht supermarketiketti sulgema Rootsis kõik oma 500 kauplust, või paljud pangarakenduste häkkimise intsidendid, mille eesmärk oli varastada pahaaimamatute tarbijate raha. Siseturu nõuetekohase toimimise tagamiseks määrati kindlaks kaks põhieesmärki: 1) luua tingimused digielemente sisaldavate turvaliste toodete arendamiseks, tagades, et turule lastakse vähemate nõrkustega riist- ja tarkvaratooted, ning tagada, et tootjad suhtuvad turvalisusesse tõsiselt toote kogu elutsükli jooksul, ning 2) luua tingimused, mis võimaldavad kasutajatel digielemente sisaldavate toodete valimisel ja kasutamisel küberturvalisust arvesse võtta. Seati neli erieesmärki: i) tagada, et tootjad parandavad digielemente sisaldavate toodete turvalisust alates projekteerimis- ja arendamisetapist ning kogu elutsükli jooksul; ii) tagada sidus küberturvalisuse raamistik, mis hõlbustab riist- ja tarkvaratootjatel nõuete täitmist; iii) suurendada digielemente sisaldavate toodete turvaomaduste läbipaistvust ning iv) võimaldada ettevõtjatel ja tarbijatel digielemente sisaldavaid tooteid turvaliselt kasutada. Küberturvalisuse tugev piiriülene olemus ja selliste intsidentide kasvav arv, millel on piiriülene ning muudele sektoritele ja toodetele ülekanduv mõju, tähendavad, et liikmesriigid üksi ei suuda eesmärke tulemuslikult saavutada. Võttes arvesse digielemente sisaldavate toodete turgude ülemaailmset olemust, seistakse liikmesriikide territooriumil samade digielemente sisaldavate toodete puhul silmitsi samade riskidega. Kujunev killustunud raamistik, mis koosneb potentsiaalselt lahknevatest siseriiklikest õigusnormidest, võib takistada digielemente sisaldavate toodete avatud ja konkurentsivõimelise ühtse turu toimimist. Seega on vaja ELi tasandi ühismeetmeid, et suurendada kasutajate usaldust ja digielemente sisaldavate ELi toodete populaarsust. Need tooksid kasu ka siseturule, tagades õiguskindluse ja luues võrdsed võimalused digielemente sisaldavate toodete müüjatele, nagu on rõhutatud ka Euroopa tuleviku konverentsi lõpparuandes, milles on esitatud kodanike üleskutse suurendada ELi rolli küberohtude vastu võitlemisel. •Koostoime poliitikavaldkonnas praegu kehtivate õigusnormidega ELi raamistik koosneb mitmest horisontaalsest õigusaktist, mis käsitlevad küberturvalisusega seotud teatavaid aspekte eri vaatenurkadest (tooted, teenused, kriisiohje ja kuriteod). 2013. aastal jõustus direktiiv, milles käsitletakse infosüsteemide vastu suunatud ründeid ning millega ühtlustatakse kriminaliseerimist ja karistusi mitme infosüsteemide vastu suunatud kuriteo puhul. 2016. aasta augustis jõustus esimese kogu ELi hõlmava küberturvalisust käsitleva õigusaktina direktiiv (EL) 2016/1148 võrgu- ja infosüsteemide turvalisuse kohta (küberturvalisuse direktiiv). Selle läbivaatamine, mille tulemusel võetakse vastu direktiiv [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)], tõstab ELi ühist ambitsioonitaset. 2019. aastal jõustus ELi küberturvalisuse määrus, mille eesmärk on suurendada IKT-toodete, -teenuste ja -protsesside turvalisust vabatahtliku Euroopa küberturvalisuse sertifitseerimise raamistiku kehtestamisega. Kogu tarneahela küberturvalisus on tagatud ainult siis, kui on tagatud kõigi selle komponentide küberturvalisus. Eespool nimetatud ELi õigusaktides on selles osas siiski märkimisväärseid lünki, kuna need ei sisalda kohustuslikke nõudeid digielemente sisaldavate toodete turvalisuse kohta. Kavandatav kübervastupidavusvõime määrus käsitleb turule lastavaid digielemente sisaldavaid tooteid, aga direktiivi [direktiiv XXX/XXX (küberturvalisuse 2. direktiiv)] eesmärk on tagada elutähtsate ja oluliste üksuste osutatavate teenuste küberturvalisuse kõrge tase. Direktiivi [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] kohaselt peavad liikmesriigid tagama, et selle kohaldamisalasse kuuluvad elutähtsad ja olulised üksused, nagu tervishoiu- või pilveteenuse osutajad ja avaliku halduse üksused, võtavad asjakohaseid ja proportsionaalseid tehnilisi, operatiivseid ja korralduslikke küberturvalisuse meetmeid. See hõlmab muu hulgas nõuet tagada võrgu- ja infosüsteemide hankimise, arendamise ja hooldamise turvalisus, sealhulgas nõrkuste käitlemine ja avalikustamine. Direktiivis [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] nõutakse, et komisjon võtaks 21 kuu jooksul pärast direktiivi jõustumist vastu rakendusaktid, milles sätestatakse kõnealuste meetmete tehnilised ja metoodilised nõuded, mida peavad järgima teatavat liiki üksused, näiteks pilvandmetöötlusteenuse osutajad. Kõigi muude üksuste puhul võib komisjon võtta vastu rakendusakti, milles sätestatakse tehnilised ja metoodilised nõuded ning valdkondlikud nõuded. Selle raamistikuga tagatakse, et kübervastupidavusvõime määruse oluliste küberturvalisuse nõuetega sarnaseid tehnilisi kirjeldusi ja meetmeid rakendatakse ka teenusena pakutava tarkvara (teenustarkvara) projekteerimisel, arendamisel ja selle nõrkuste käitlemisel. See võiks näiteks tagada küberturvalisuse kõrge taseme digitaalsete tervise infosüsteemide puhul, sealhulgas juhul, kui neid pakutakse teenustarkvarana (SaaS) või kui need on välja töötatud tervishoiuasutustes (asutusesiseselt) kooskõlas kavandatava [ühtse Euroopa terviseandmeruumi määrusega]. •Koostoime muude liidu tegevuspõhimõtetega Nagu on märgitud teatises „Euroopa digituleviku kujundamine“, on väga oluline, et EL kasutaks ära kõik digiajastu hüved ning tugevdaks oma tööstust ja innovatsioonisuutlikkust ohututes ja eetilistes piirides. Euroopa andmestrateegias on sätestatud andmeid kasutava ühiskonna eeltingimusena neli sammast – andmekaitse, põhiõigused, ohutus ja küberturvalisus. Ka digielementide võimalusega toodete suhtes kohaldatav praegune ELi raamistik hõlmab mitut õigusakti, sealhulgas konkreetseid tooteid käsitlevaid ELi õigusakte, mis hõlmavad ohutusega seotud aspekte, ja tootevastutust käsitlevaid üldisi õigusakte. Ettepanek on kooskõlas kehtiva toodetega seotud ELi õigusraamistikuga ning hiljutiste seadusandlike ettepanekutega, nagu komisjoni ettepanek võtta vastu määrus [tehisintellekti käsitlev määrus]. Kavandatud määrust kohaldataks kõigi komisjoni delegeeritud määruse (EL) 2022/30 kohaldamisalasse kuuluvate raadioseadmete suhtes. Lisaks hõlmavad käesolevas määruses sätestatud nõuded kõiki direktiivi 2014/53/EL artikli 3 lõike 3 punktides d, e ja f osutatud oluliste nõuete elemente, sealhulgas peamisi elemente, mis on sätestatud nimetatud delegeeritud määruse alusel vastu võetud [komisjoni rakendusotsuses XXX/2022 Euroopa standardiorganisatsioonidele esitatava standardimistaotluse kohta]. Õigusliku kattuvuse vältimiseks nähakse ette, et komisjon tunnistab delegeeritud määruse kehtetuks või muudab seda seoses kavandatava määrusega hõlmatud raadioseadmetega, et alates kavandatava määruse kohaldatavaks muutumisest kohaldataks seda nende suhtes. Töö dubleerimise vältimiseks nähakse ette, et harmoneeritud standardite ettevalmistamisel ja väljatöötamisel käesoleva määruse rakendamise hõlbustamiseks võtavad komisjon ja Euroopa standardiorganisatsioonid arvesse standardimistööd, mis on tehtud vastavalt komisjoni rakendusotsusele C(2022) 5637, mis käsitleb standardimistaotlust seoses raadioseadmete direktiivi kohase delegeeritud määrusega (EL) 2022/30. 2.ÕIGUSLIK ALUS, SUBSIDIAARSUS JA PROPORTSIONAALSUS •Õiguslik alus

Ettepaneku õiguslik alus on Euroopa Liidu toimimise lepingu (edaspidi „ELi toimimise leping“) artikkel 114, milles on ette nähtud meetmete võtmine, et tagada siseturu loomine ja toimimine. Ettepaneku eesmärk on ühtlustada digielemente sisaldavate toodete suhtes kehtivad küberturvalisuse nõuded kõigis liikmesriikides ja kõrvaldada kaupade vaba liikumise takistused. ELi toimimise lepingu artiklit 114 võib kasutada õigusliku alusena, et vältida selliste takistuste tulenemist liikmesriikide õigusaktide ja lähenemisviiside erinevustest seoses sellega, kuidas õiguskindlusetust ja lünki kehtivates õigusraamistikes kõrvaldatakse. Lisaks on Euroopa Kohus tunnistanud, et erinevate tehniliste nõuete kohaldamine võib olla piisav alus ELi toimimise lepingu artikli 114 kohaldamiseks. Praegune ELi õigusraamistik, mida kohaldatakse digielemente sisaldavate toodete suhtes, põhineb ELi toimimise lepingu artiklil 114 ja koosneb mitmest õigusaktist, mis käsitlevad muu hulgas konkreetseid tooteid ja ohutusega seotud aspekte või mis on üldised tootevastutust käsitlevad õigusaktid. See hõlmab siiski ainult teatavaid aspekte seoses materiaalsete digitaaltoodete ja vajaduse korral neisse toodetesse sisseehitatud tarkvara küberturvalisusega. Riigi tasandil on liikmesriigid hakanud võtma riiklikke meetmeid, millega nõutakse, et digitaaltoodete müüjad parandaksid nende küberturvalisust. Samal ajal on digitaaltoodete küberturvalisusel eriti tugev piiriülene mõõde, kuna ühes riigis toodetud tooteid kasutavad sageli organisatsioonid ja tarbijad kogu siseturul. Intsidendid, mis algselt puudutavad ühte üksust või liikmesriiki, levivad sageli minutite jooksul muudesse organisatsioonidesse ja sektoritesse ning mitmesse liikmesriiki. ELi ja liikmesriikide tasandil seni vastu võetud eri õigusaktides ja algatustes käsitletakse tuvastatud probleeme vaid osaliselt ja need võivad tekitada siseturul õigusaktide killustatust, suurendades õiguskindlusetust nii nende toodete müüjate kui ka kasutajate jaoks ning tekitades ettevõtjatele tarbetut lisakoormust vajaduse tõttu täita sarnaste tooteliikide puhul erinevaid nõudeid. Kavandatud määrusega ühtlustataks ja lihtsustataks ELi regulatiivset keskkonda digielemente sisaldavate toodete suhtes kehtivate küberturvalisuse nõuetega ning välditaks eri õigusaktidest tulenevaid kattuvaid nõudeid. Sellega suurendataks kogu liidus ettevõtjate ja kasutajate õiguskindlust ning ühtlustataks paremini Euroopa ühtset turgu, luues soodsamad tingimused ettevõtjatele, kes soovivad ELi turule siseneda. •Subsidiaarsus (ainupädevusse mittekuuluva valdkonna puhul) Küberturvalisuse tugev piiriülene olemus üldiselt ning selliste riskide ja intsidentide kasvav arv, millel on piiriülene ning muudele sektoritele ja toodetele ülekanduv mõju, tähendavad, et liikmesriigid üksi ei suuda kõnealuse sekkumise eesmärke tulemuslikult saavutada. Riikide lähenemisviisid probleemide lahendamisel ja eelkõige lähenemisviisid, millega kehtestatakse kohustuslikud nõuded, tekitavad täiendavat õiguskindlusetust ja õiguslikke tõkkeid. Ettevõtetel võib sujuv laienemine teistesse liikmesriikidesse olla takistatud, mistõttu kasutajad jäävad ilma nende toodete hüvedest. Seepärast on vaja ELi tasandi ühismeetmeid, et suurendada kasutajate usaldust ja seega digielemente sisaldavate ELi toodete populaarsust. Need tooksid kasu ka digitaalsele ühtsele turule ja siseturule üldiselt, tagades õiguskindluse ning luues võrdsed võimalused digielemente sisaldavate toodete tootjatele. Nõukogu 23. mai 2022. aasta järeldustes Euroopa Liidu kübervaldkonna riskiseisundi parandamise kohta kutsutakse komisjoni üles tegema 2022. aasta lõpuks ettepanek ühtsete küberturvalisuse nõuete kohta, mis kehtivad ühendatud seadmete suhtes. •Proportsionaalsus Mis puudutab kavandatud määruse proportsionaalsust, siis kaalutud poliitikavariantide meetmed ei läheks kaugemale sellest, mis on vajalik üld- ja erieesmärkide saavutamiseks, ega põhjustaks ebaproportsionaalseid kulusid. Täpsemalt tagataks kaalutava sekkumisega, et digielemente sisaldavad tooted on kaitstud kogu nende elutsükli jooksul ja proportsionaalselt asjaomaste riskidega, kehtestades selleks sihipärased ja tehnoloogianeutraalsed nõuded, mis jäävad mõistlikuks ja vastavad üldiselt asjaomaste üksuste huvidele. Ettepanekus esitatud olulised küberturvalisuse nõuded põhinevad laialdaselt kasutatavatel standarditel ning järgnevas standardimisprotsessis võetakse arvesse toodete tehnilisi eripärasid. See tähendab, et kui see on konkreetset riskitaset arvestades vajalik, kohandatakse turvameetmeid. Lisaks nähtaks kavandatud horisontaalsete eeskirjadega ette üksnes kriitilise tähtsusega toodete hindamine kolmanda isiku poolt. See hõlmaks vaid väikest osa digielemente sisaldavate toodete turust. Mõju VKEdele sõltuks nende tegutsemisest nende konkreetsete tootekategooriate turul. Seoses vastavushindamise kulude proportsionaalsusega võtavad kolmandate isikute poolseid hindamisi ellu viivad teavitatud asutused oma tasude kehtestamisel arvesse ettevõtja suurust. Samuti nähakse rakendamise ettevalmistamiseks ette mõistlik 24-kuuline üleminekuperiood, mis annab asjaomastele turgudele aega valmistuda, ning samal ajal määratakse kindlaks teadus- ja arendustegevusse tehtavate investeeringute selge suund. Kõik ettevõtjate kantavad nõuete täitmisega seotud kulud oleksid väiksemad kui kasu, mida toob digielemente sisaldavate toodete suurem turvalisus ja lõppkokkuvõttes kasutajate suurem usaldus nende toodete vastu. •Vahendi valik Regulatiivne sekkumine tähendaks määruse, mitte direktiivi vastuvõtmist. See tuleneb asjaolust, et seda liiki tooteid käsitlevatest õigusaktidest oleks määrus tuvastatud probleemide lahendamisel tulemuslikum ja vastaks sõnastatud eesmärkidele, kuna tegemist on sekkumisega, millest sõltub väga laia tootekategooria siseturule laskmine. Direktiivi ülevõtmise protsess võib sellise sekkumise puhul jätta riigi tasandil liiga palju kaalutlusruumi, mis võib põhjustada teatavate oluliste küberturvalisuse nõuete ebaühtlust, õiguskindlusetust, edasist killustatust või isegi diskrimineerivaid piiriüleseid olukordi, eriti kui võtta arvesse asjaolu, et hõlmatud tooted võivad olla mitmeotstarbelised ning et tootjad võivad toota selliseid mitmesse kategooriasse kuuluvaid tooteid. 3.JÄRELHINDAMISE, SIDUSRÜHMADEGA KONSULTEERIMISE JA MÕJU HINDAMISE TULEMUSED •Konsulteerimine sidusrühmadega Komisjon on konsulteerinud paljude sidusrühmadega. Liikmesriike ja sidusrühmi kutsuti osalema avalikul konsultatsioonil ning küsitlustes ja seminaridel osana uuringust, mille korraldas komisjoni mõjuhinnangu ettevalmistamise tööd toetav konsortsium, kuhu kuulusid Wavestone, Euroopa Poliitikauuringute Keskus (CEPS) ja ICF. Konsulteeritud sidusrühmade hulka kuulusid riiklikud turujärelevalveasutused, küberturvalisuse valdkonnas tegutsevad liidu asutused, riist- ja tarkvara tootjad, riist- ja tarkvara importijad ja turustajad, kutseorganisatsioonid, tarbijaorganisatsioonid ja digielemente sisaldavate toodete kasutajad ning kodanikud, teadlased ja akadeemilised ringkonnad, teavitatud asutused ja akrediteerimisasutused ning küberturvalisuse valdkonna spetsialistid. Konsultatsioonid hõlmasid alljärgnevat: ·ICFi, Wavestone’i, Carsa ja CEPSi moodustatud konsortsiumi esimene uuring, mis avaldati 2021. aasta detsembris. Uuringu käigus tehti kindlaks mitu turutõrget ja hinnati võimalikke regulatiivseid sekkumisi;

·avalik konsultatsioon, mille sihtrühma kuulusid kodanikud, sidusrühmad ja küberturvalisuse eksperdid. Esitati 176 vastust. Need aitasid kaasa erinevate arvamuste ja kogemuste kogumisele kõigilt sidusrühmadelt; ·komisjoni kübervastupidavusvõime määruse ettevalmistavat tööd toetava uuringu raames korraldatud seminarid tõid kõigist 27 liikmesriigist kokku ligikaudu 100 mitmesuguste sidusrühmade esindajat; ·korraldati intervjuud ekspertidega, et saada parem arusaam digielemente sisaldavate toodetega seotud praegustest küberturvalisuse probleemidest ja arutada poliitikavariante võimaliku regulatiivse sekkumise jaoks; ·peeti kahepoolseid arutelusid riiklike küberturvalisuse asutuste, erasektori ja tarbijaorganisatsioonidega; ·tegeleti peamiste VKEdest sidusrühmade sihipärase teavitamisega. •Eksperdiarvamuste kogumine ja kasutamine Konsultatsioonide eesmärk oli saada teavet viie peamise hindamiskriteeriumi kohta, mis põhinevad ELi parema õigusloome suunistel (tulemuslikkus, tõhusus, asjakohasus, sidusus, ELi lisaväärtus), ning võimalike tulevikuvariantide võimaliku mõju kohta. Töövõtja ei ole mitte ainult pöördunud sidusrühmade poole, keda kavandatav määrus otseselt mõjutaks, vaid on konsulteerinud ka paljude küberturvalisuse valdkonna ekspertidega. •Mõjuhinnang Komisjon korraldas käesoleva ettepaneku mõju hindamise, mille vaatas läbi komisjoni õiguskontrollikomitee. Õiguskontrollikomiteega toimus 6. juulil 2022 koosolek ja sellele järgnes positiivne arvamus. Mõjuhinnangut kohandati, et võtta arvesse õiguskontrollikomitee soovitusi ja märkusi. Komisjon uuris erinevaid poliitikavariante ettepaneku üldeesmärgi saavutamiseks: ·pehme õiguse lähenemisviis ja vabatahtlikud meetmed (1. variant): selle variandi puhul puuduks kohustuslik regulatiivne sekkumine. Selle asemel annaks komisjon välja teatisi, suuniseid, soovitusi ja võimalikke tegevusjuhendeid, et soodustada vabatahtlike meetmete võtmist. ELi horisontaalsete eeskirjade puudumise kompenseerimiseks jätkataks vabatahtlike või kohustuslike riiklike kavade väljatöötamist; ·sihipärane regulatiivne sekkumine digielemente sisaldavate materiaalsete toodete ja vastava sisseehitatud tarkvara küberturvalisuse valdkonnas (2. variant): see variant hõlmaks sihipärast tootepõhist regulatiivset sekkumist, mis piirduks küberturvalisuse nõuete lisamise ja/või muutmisega juba kehtivates õigusaktides või uute õigusaktide vastuvõtmisega uute riskide ilmnemise korral, sealhulgas võib-olla ka sisseehitamata tarkvara puhul. 3. ja 4. variant hõlmavad eri ulatusega horisontaalset regulatiivset sekkumist, mis suures osas põhineb uuel õigusraamistikul. Selles raamistikus sätestatakse olulised nõuded, mis peavad olema täidetud teatavate toodete siseturule laskmiseks. Uues õigusraamistikus on üldjuhul ette nähtud ka vastavushindamine, mille tootja korraldab selleks, et tõendada tootega seotud kindlaksmääratud nõuete täitmist: ·kombineeritud lähenemisviis, sealhulgas horisontaalsed kohustuslikud eeskirjad digielemente sisaldavate materiaalsete toodete ja vastava sisseehitatud tarkvara küberturvalisuse kohta ning järkjärguline lähenemisviis sisseehitamata tarkvara puhul (3. variant): see variant hõlmaks määrust, millega kehtestatakse kõigi digielemente sisaldavate materiaalsete toodete ja nendesse sisseehitatud tarkvara suhtes horisontaalsed küberturvalisuse nõuded, mis peavad olema täidetud nende toodete turule laskmiseks, ning see hõlmaks kahte allvarianti koos kohustusliku kolmanda isiku poolse hindamisega ja ilma selleta (3i ja 3ii). Sisseehitamata tarkvara ei oleks reguleeritud; ·horisontaalne regulatiivne sekkumine, millega kehtestatakse küberturvalisuse nõuded laiale hulgale materiaalsetele ja immateriaalsetele digielemente sisaldavatele toodetele, sealhulgas sisseehitamata tarkvarale (4. variant): see variant sarnaneb 3. variandiga, kui kohaldamisala välja arvata. 4. variandi puhul hõlmaks võimaliku määruse kohaldamisala sisseehitamata tarkvara (on kaks allvarianti, mis hõlmavad üksnes kriitilise tähtsusega (4a) või kogu tarkvara (4b)). Mõlema allvariandi puhul kaalutakse samu vastavushindamisega seotud variante nagu 3. variandi puhul. 4. variant (allvariantidega, mis hõlmavad kogu tarkvara ja kriitilise tähtsusega toodete kohustuslikku kolmanda isiku poolset hindamist) osutus eelistatud variandiks, tuginedes tulemuslikkuse hindamisele erieesmärkide ja kulutõhususe alusel. See variant tagaks konkreetsete horisontaalsete küberturvalisuse nõuete kehtestamise kõigi siseturule lastavate või seal kättesaadavaks tehtavate digielemente sisaldavate toodete suhtes ning oleks ainus variant, mis hõlmab kogu digitaalset tarneahelat. Selline regulatiivne sekkumine hõlmaks ka sisseehitamata tarkvara, millel on sageli nõrku kohti, ning tagaks seega sidusa lähenemisviisi kõigi digielemente sisaldavate toodete puhul, kusjuures vastutus oleks eri ettevõtjate vahel selgelt jaotatud. See poliitikavariant loob ka lisaväärtust, hõlmates hoolsuskohustuse ja kogu elutsükli aspekte pärast digielemente sisaldavate toodete turule laskmist, et tagada muu hulgas asjakohase teabe andmine turvalisusealase toe kohta ja turvauuenduste tegemine. See poliitikavariant täiendaks ühtlasi kõige tõhusamalt võrgu- ja infoturbe raamistiku hiljutist läbivaatamist, tagades eeltingimused tarneahela turvalisuse suurendamiseks. Eelistatud variant tooks eri sidusrühmadele märkimisväärset kasu. Ettevõtjate jaoks hoiaks see ära digielemente sisaldavate toodete suhtes kohaldatavate turvaeeskirjade lahknevuse ja vähendaks asjaomaste küberturvalisuse õigusaktide nõuete täitmisega seotud kulusid. See vähendaks küberintsidentide arvu, intsidentide käsitlemise kulusid ja mainekahju. Algatus võib kogu ELis vähendada ettevõtjaid mõjutavate intsidentidega seotud kulusid hinnanguliselt 180–290 miljardi euro võrra aastas. See tooks kaasa käibe suurenemise, kuna nõudlus digielemente sisaldavate toodete järele suureneks. See parandaks ettevõtjate ülemaailmset mainet, mis tooks kaasa nõudluse suurenemise ka väljaspool ELi. Kasutajate jaoks suurendaks eelistatud variant turvaomaduste läbipaistvust ja hõlbustaks digielemente sisaldavate toodete kasutamist. Tarbijad ja kodanikud saaksid kasu ka oma põhiõiguste (nagu eraelu puutumatus ja andmekaitse) paremast kaitsest. Kui avalikul konsultatsioonil osalejatel paluti hinnata poliitikameetmete tõhusust, nõustusid nad, et kõige tõhusam meede oleks 4. variant (4,08 punkti skaalal 1–5). Osalejate hulka kuulusid tarbijaorganisatsioonid (5,00), end kasutajatena määratlenud osalejad (4,22), teavitatud asutused (4,17), turujärelevalveasutused (5,00) ja digielemente sisaldavate toodete tootjad (3,85), sealhulgas väikesed ja keskmise suurusega tootjad (4,05). •Õigusnormide toimivus ja lihtsustamine

Käesolevas ettepanekus sätestatakse nõuded, mida kohaldatakse tark- ja riistvara tootmise suhtes. Vaja on tagada õiguskindlus ja vältida siseturul toodetega seotud küberturvalisuse nõuete edasist killustumist; seda vajadust on tõendanud eri sidusrühmade laialdane toetus horisontaalsele sekkumisele. Ettepanekuga vähendatakse tootjatele mitme tooteohutust käsitleva õigusaktiga pandud regulatiivset koormust. Uue õigusraamistikuga vastavusse viimine tähendab sekkumise ja selle nõuete täitmise tagamise paremat toimimist. Ettepanekuga lihtsustatakse kaitsemeetmete menetluse protsessi, kaasates tootjad ja liikmesriigid enne komisjoni teavitamist. Suur osa ettepaneku kohaldamisalasse kuuluvatest tootjatest on uue õigusraamistiku toimimisega juba kursis, mis aitab kaasa selle mõistmisele ja rakendamisele. Tarbijate ja ettevõtjate seisukohast suurendab ettepanek usaldust digielemente sisaldavate toodete vastu. •Põhiõigused Kõik poliitikavariandid peaksid teataval määral tõhustama selliste põhiõiguste ja -vabaduste kaitset nagu eraelu puutumatus, isikuandmete kaitse, ettevõtlusvabadus ning vara või inimväärikuse ja isikupuutumatuse kaitse. Sellega seoses oleks kõige tulemuslikum eelkõige eelistatud 4. poliitikavariant, mis hõlmab horisontaalset regulatiivset sekkumist ja millel on lai poliitiline ulatus, kuna see aitab tõenäolisemalt vähendada intsidentide, sealhulgas isikuandmetega seotud rikkumiste arvu ja raskusastet. Samuti suurendaks see õiguskindlust ja looks ettevõtjatele võrdsed tingimused, suurendaks kasutajate usaldust ja digielemente sisaldavate ELi toodete üldist populaarsust, kaitstes seeläbi vara ja parandades ettevõtjate äritegevuse tingimusi. Horisontaalsed küberturvalisuse nõuded aitaksid kaasa isikuandmete turvalisuse tagamisele, kaitstes digielemente sisaldavates toodetes sisalduva teabe konfidentsiaalsust, terviklikkust ja kättesaadavust. Nende nõuete täitmine hõlbustab isikuandmete kaitse üldmääruse (EL) 2016/679 kohase isikuandmete töötlemise turvalisuse nõude täitmist. Ettepanekuga parandataks läbipaistvust ja kasutajate teavitamist, sealhulgas nende kasutajate puhul, kellel võib olla vähem küberturvalisusealaseid oskusi. Kasutajaid teavitataks paremini ka digielemente sisaldavate toodete riskidest, võimalustest ja piirangutest ning see annaks neile paremad võimalused võtta vajalikke ennetus- ja leevendusmeetmeid jääkriskide vähendamiseks. 4.MÕJU EELARVELE Euroopa Liidu Küberturvalisuse Ametile (ENISA) käesoleva määrusega antud ülesannete täitmiseks peab ENISA paigutama vahendid ümber ligikaudu 4,5 täistööajale taandatud töötaja ulatuses. Komisjon peaks nägema ette 7 täistööajale taandatud töötajat, et täita oma käesolevast määrusest tulenevaid kohustusi seoses nõuete täitmise tagamisega. Üksikasjalik ülevaade kaasnevatest kuludest on esitatud käesoleva ettepanekuga seotud finantsselgituses. 5.MUU TEAVE •Rakenduskavad ning järelevalve, hindamise ja aruandluse kord Komisjon jälgib nende uute sätete rakendamist, kohaldamist ja järgimist, et hinnata nende tulemuslikkust. Määruses nähakse ette, et komisjon vaatab selle läbi ja hindab seda ning esitab selle kohta avaliku aruande Euroopa Parlamendile ja nõukogule 36 kuud pärast kohaldamise alguskuupäeva ning seejärel iga nelja aasta tagant. •Ettepaneku sätete üksikasjalik selgitus Üldsätted (I peatükk) Käesolevas kavandatavas määruses sätestatakse a) õigusnormid, mis reguleerivad digielemente sisaldavate toodete turule laskmist, et tagada selliste toodete küberturvalisus; b) digielemente sisaldavate toodete projekteerimise, arendamise ja tootmise olulised nõuded ning kohustused, mida ettevõtjad peavad selliste toodete puhul seoses küberturvalisusega täitma; c) selliste protsesside olulised nõuded, mille tootjad on kehtestanud nõrkuste käitlemiseks, et tagada digielemente sisaldavate toodete küberturvalisus kogu toote elutsükli vältel, ning ettevõtjate kohustused seoses nende protsessidega; d) õigusnormide turujärelevalve ja eespool nimetatud õigusnormide ja nõuete täitmise tagamise kohta. Kavandatud määrust kohaldatakse kõigi digielemente sisaldavate toodete suhtes, mille kavandatud ja mõistlikult prognoositav kasutamine hõlmab otsest või kaudset loogilist või füüsilist andmeühendust seadme või võrguga. Kavandatud määrust ei kohaldata selliste digielemente sisaldavate toodete suhtes, mis kuuluvad määruse (EL) 2017/745 [inimestel kasutatavad meditsiiniseadmed ja selliste seadmete abiseadmed] ja määruse (EL) 2017/746 [inimestel kasutatavad in vitro diagnostikameditsiiniseadmed ja selliste seadmete abiseadmed] kohaldamisalasse, kuna mõlemad määrused käsitlevad nõudeid seadmete kohta, sealhulgas tarkvara kohta, ja tootjate üldisi kohustusi, mis hõlmavad toodete kogu olelusringi, ning vastavushindamismenetlusi. Käesolevat määrust ei kohaldata digielemente sisaldavate toodete suhtes, mis on sertifitseeritud vastavalt määrusele (EL) 2018/1139 [tsiviillennundusohutuse ühtlaselt kõrge tase], ega toodete suhtes, mille suhtes kohaldatakse määrust (EL) 2019/2144 [mis käsitleb mootorsõidukite ja nende haagiste ning mootorsõidukite jaoks ette nähtud süsteemide, osade ja eraldi seadmestike tüübikinnituse nõudeid]. Digielemente sisaldavate kriitilise tähtsusega toodete suhtes kohaldatakse konkreetseid vastavushindamismenetlusi ning need jaotatakse III lisa kohaselt I ja II klassi vastavalt nende küberriski tasemele, kusjuures II klass kajastab suuremat riski. Digielemente sisaldavat toodet peetakse kriitilise tähtsusega tooteks ja see lisatakse seega III lisasse selle digielemente sisaldava toote võimalike küberturvalisuse nõrkuste mõju põhjal. Küberriski kindlakstegemisel võetakse muu hulgas arvesse digielemente sisaldava toote küberturvalisusega seotud funktsionaalsust ja kavandatud kasutamist tundlikes keskkondades, näiteks tööstuskeskkonnas. Komisjonil on ühtlasi õigus võtta käesoleva määruse täiendamiseks vastu delegeeritud õigusakte, millega määratakse kindlaks digielemente sisaldavate ülikriitilise tähtsusega toodete kategooriad, mille puhul tootjad peavad saama Euroopa küberturvalisuse sertifitseerimise kava alusel Euroopa küberturvalisuse sertifikaadi, et tõendada vastavust I lisas sätestatud olulistele nõuetele või nende osadele. Selliste digielemente sisaldavate ülikriitilise tähtsusega toodete kategooriate kindlaksmääramisel võtab komisjon arvesse digielemente sisaldavate toodete kategooriaga seotud küberriski taset, pidades silmas üht või mitut kriteeriumi, mida võetakse arvesse digielemente sisaldavate kriitilise tähtsusega toodete loetlemisel III lisas, ning hinnangut selle kohta, kas selle kategooria tooteid kasutavad või neile tuginevad direktiivi [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv) lisas [I lisa] osutatud liiki elutähtsad üksused või kas neil toodetel on potentsiaalne tulevane tähtsus nende üksuste tegevuse jaoks või kas need on olulised digielemente sisaldavate toodete tarneahela kui terviku vastupidavusvõime tagamiseks häirivate sündmuste korral. Ettevõtjate kohustused (II peatükk) Ettepanek sisaldab tootjate, importijate ja turustajate kohustusi, mis põhinevad otsuses nr 768/2008/EÜ ette nähtud erisätetel. Oluliste küberturvalisuse nõuete ja kohustustega nähakse kõigi digielemente sisaldavate toodete puhul ette, et need tehakse turul kättesaadavaks üksnes juhul, kui need nõuetekohase tarnimise ja õige paigaldamise, hooldamise ning sihtotstarbelise või mõistlikult prognoositavatel tingimustel kasutamise korral on vastavuses käesolevas määruses sätestatud oluliste küberturvalisuse nõuetega.

Oluliste nõuete ja kohustustega nähtaks ette, et tootjad peavad võtma digielemente sisaldavate toodete projekteerimisel, arendamisel ja tootmisel arvesse küberturvalisust, täitma oma toodete projekteerimisel ja arendamisel hoolsuskohustust seoses turvaaspektidega, tagama läbipaistvuse küberturvalisuse aspektide puhul, mis tuleb klientidele teatavaks teha, tagama proportsionaalsel viisil turvalisusealase toe (uuendused) ning täitma nõrkuste käitlemise nõudeid. Ettevõtjatele alates tootjatest kuni turustajate ja importijateni kehtestataks seoses digielemente sisaldavate toodete turule laskmisega piisavad kohustused, võttes arvesse nende ettevõtjate rolli ja kohustusi tarneahelas. Digielemente sisaldava toote vastavus (III peatükk) Digielemente sisaldav toode, mis on vastavuses harmoneeritud standardite või nende osadega, mille viited on avaldatud Euroopa Liidu Teatajas, eeldatakse olevat vastavuses käesolevas kavandatud määruses sätestatud oluliste nõuetega. Kui harmoneeritud standardid puuduvad või on ebapiisavad või kui standardimismenetluses esineb põhjendamatuid viivitusi või kui Euroopa standardiorganisatsioonid ei ole komisjoni taotlust vastu võtnud, võib komisjon võtta rakendusaktidega vastu ühtsed kirjeldused. Lisaks eeldatakse, et digielemente sisaldavad tooted, mis on sertifitseeritud või mille kohta on välja antud ELi vastavusdeklaratsioon või sertifikaat määruse (EL) 2019/881 kohase Euroopa küberturvalisuse sertifitseerimise kava alusel ja mille kohta komisjon on rakendusaktiga täpsustanud, et ta saab eeldada vastavust käesolevale määrusele, vastavad käesoleva määruse olulistele nõuetele või nende osadele, niivõrd kui ELi vastavusdeklaratsioon või küberturvalisuse sertifikaat või nende osad hõlmavad neid nõudeid. Et vältida tootjate põhjendamatut halduskoormust, peaks komisjon ühtlasi vajaduse korral täpsustama, kas sellise Euroopa küberturvalisuse sertifitseerimise kava alusel välja antud küberturvalisuse sertifikaat kaotab tootjate kohustuse tagada kolmanda isiku poolne vastavushindamine, mis on käesoleva määruse asjaomaste nõuetega ette nähtud. Tootja peab viima ellu digielemente sisaldava toote vastavushindamise ja nõrkuste käitlemise protsessid, mille ta on kehtestanud I lisas sätestatud olulistele nõuetele vastavuse tõendamiseks, järgides ühte VI lisas sätestatud menetlustest. I ja II klassi kuuluvate kriitilise tähtsusega toodete tootjad peavad kasutama nõuetele vastavuse tagamiseks asjaomaseid vajalikke mooduleid. II klassi kuuluvate kriitilise tähtsusega toodete tootjad peavad oma vastavushindamisse kaasama kolmanda isiku. Vastavushindamisasutustest teavitamine (IV peatükk) Teavitatud asutuste nõuetekohane toimimine on äärmiselt oluline, et tagada küberturvalisuse kõrge tase ja kõigi huvitatud isikute usaldus uue lähenemisviisi süsteemi vastu. Seepärast sätestatakse ettepanekus kooskõlas otsusega nr 768/2008/EÜ nõuded vastavushindamisasutuste (teavitatud asutused) eest vastutavatele liikmesriikide ametiasutustele. Sellega jäetakse teavitatud asutuste määramise ja järelevalve lõplik kohustus liikmesriikidele. Liikmesriigid määravad teavitava asutuse, kes vastutab vastavushindamisasutuste hindamiseks ja nendest teavitamiseks ning teavitatud asutuste järelevalveks vajalike menetluste kehtestamise ja rakendamise eest. Turujärelevalve ja täitmise tagamine (V peatükk) Kooskõlas määrusega (EL) 2019/1020 teevad riiklikud turujärelevalveasutused turujärelevalvet asjaomase liikmesriigi territooriumil. Liikmesriigid võivad otsustada määrata turujärelevalveasutuseks mis tahes olemasoleva või uue asutuse, sealhulgas direktiivi [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] artiklis [artikkel X] osutatud määratud riiklikud pädevad asutused või määruse (EL) 2019/881 artiklis 58 osutatud määratud riiklikud küberturvalisuse sertifitseerimise asutused. Ettevõtjatel palutakse teha turujärelevalveasutuste ja muude pädevate asutustega täielikku koostööd. Delegeeritud volitused ja komiteemenetlused (VI peatükk) Tagamaks, et õigusraamistikku saab vajaduse korral kohandada, on komisjonil õigus võtta kooskõlas ELi toimimise lepingu artikliga 290 vastu delegeeritud õigusakte, et ajakohastada I ja II klassi kuuluvate kriitilise tähtsusega toodete loetelu ja täpsustada nende toodete määratlusi; täpsustada, kas vajalik on piirang või väljajätmine selliste digielemente sisaldavate toodete puhul, mis on hõlmatud muude liidu õigusnormidega, milles kehtestatud nõuetega saavutatakse samasugune kaitsetase nagu käesoleva määrusega; kehtestada kohustus sertifitseerida teatavad digielemente sisaldavad ülikriitilise tähtsusega tooted käesolevas määruses sätestatud kriteeriumide alusel; määrata kindlaks ELi vastavusdeklaratsiooni minimaalne sisu ja täiendada tehnilises dokumentatsioonis esitatavaid elemente. Komisjonil on ühtlasi õigus võtta vastu rakendusakte, et: määrata kindlaks aruandekohustuste ja tarkvaramaterjalide loetelu vorm või elemendid; määrata kindlaks Euroopa küberturvalisuse sertifitseerimise kavad, mida saab kasutada käesolevas määruses sätestatud olulistele nõuetele või nende osadele vastavuse tõendamiseks; võtta vastu ühtsed kirjeldused; kehtestada CE-vastavusmärgise kinnitamise tehnilised kirjeldused; võtta erandlikel asjaoludel, mis õigustavad viivitamatut sekkumist, liidu tasandil parandus- või piiravaid meetmeid, et säilitada siseturu hea toimimine. Konfidentsiaalsus ja karistused (VII peatükk) Kõik käesolevat määrust kohaldavad osalised austavad oma ülesannete täitmise ja tegevuse käigus saadud teabe ja andmete konfidentsiaalsust. Et tagada käesolevas määruses sätestatud kohustuste tõhus täitmine, peaks igal turujärelevalveasutusel olema õigus määrata haldustrahve või taotleda nende määramist. Samamoodi kehtestatakse käesolevas määruses nende haldustrahvide ülemmäärad, mis tuleks siseriiklikes õigusaktides sätestada käesolevas määruses sätestatud kohustuste täitmata jätmise eest. Ülemineku- ja lõppsätted (VIII peatükk) Et anda tootjatele, teavitatud asutustele ja liikmesriikidele aega uute nõuetega kohanemiseks, hakatakse kavandatud määrust kohaldama [24 kuud] pärast selle jõustumist, välja arvatud tootjate aruandekohustus, mida hakatakse kohaldama [12 kuud] pärast jõustumise kuupäeva.





2022/0272 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS, mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrust (EL) 2019/1020 (EMPs kohaldatav tekst) EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU, võttes arvesse Euroopa Liidu toimimise lepingut, eelkõige selle artiklit 114, võttes arvesse Euroopa Komisjoni ettepanekut, olles edastanud seadusandliku akti eelnõu riikide parlamentidele, võttes arvesse Euroopa Majandus- ja Sotsiaalkomitee arvamust, võttes arvesse Regioonide Komitee arvamust, toimides seadusandliku tavamenetluse kohaselt ning arvestades järgmist: (1)Siseturu toimimist on vaja parandada ning selleks tuleb kehtestada ühtne õigusraamistik, mis käsitleb digielemente sisaldavate toodete liidu turule laskmise jaoks olulisi küberturvalisuse nõudeid. Käsitleda tuleks kaht suurt probleemi, mis tekitavad kasutajate ja ühiskonna jaoks lisakulusid: ühest küljest digielemente sisaldavate toodete küberturvalisuse madal tase, millest annavad märku laialdaselt levinud nõrkused ning nende kõrvaldamiseks vajalike turvauuenduste ebapiisav ja ebajärjekindel pakkumine, ja teisalt see, et kasutajate arusaamine teabest ja juurdepääs sellele on ebapiisav, mis ei lase neil valida piisava küberturvalisusega tooteid või neid turvaliselt kasutada. (2)Käesoleva määruse eesmärk on kehtestada turvaliste digielemente sisaldavate toodete väljatöötamise piirtingimused, tagades, et turule lastavatel riist- ja tarkvaratoodetel on vähem nõrkusi ja et tootjad suhtuvad turvalisusse kogu toote elutsükli jooksul tõsiselt. Ühtlasi on selle eesmärk luua tingimused, et kasutajad saaksid digielemente sisaldavaid tooteid valides ja kasutades võtta arvesse küberturvalisust. (3)Praegu kehtivad asjakohased liidu õigusaktid sisaldavad mitut horisontaalsete normide kogumit, mis käsitlevad küberturvalisusega seotud teatavaid aspekte eri vaatenurkadest, sealhulgas digitaalse tarneahela turvalisuse parandamise meetmed. Küberturvalisust käsitlevad kehtivad liidu õigusaktid, sealhulgas [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] ja Euroopa Parlamendi ja nõukogu määrus (EL) 2019/881, ei reguleeri siiski otseselt digielemente sisaldavate toodete turvalisuse kohustuslikke nõudeid. (4)Kehtivaid liidu õigusakte kohaldatakse küll teatavate digielemente sisaldavate toodete suhtes, kuid puudub horisontaalne liidu õigusraamistik, milles sätestatakse kõigi digielemente sisaldavate toodete jaoks põhjalikud küberturvalisuse nõuded. Liidu ja liikmesriikide tasandi senised õigusaktid ja algatused on küberturvalisusega seoses kindlaks tehtud probleeme ja riske käsitlenud vaid osaliselt ning seega on siseturul loodud seadusandlik killustatus, mis suurendab nii selliste toodete tootjate kui ka kasutajate õiguskindlusetust ja tekitab ettevõtjate jaoks tarbetu koormuse täita samalaadsete toodete puhul paljusid eri nõudeid. Selliste toodete küberturvalisusel on eriti tugev piiriülene aspekt, sest ühes riigis valmistatud tooteid kasutavad organisatsioonid ja tarbijad sageli kõikjal siseturul. See tähendab, et kõnealust valdkonda on vaja reguleerida liidu tasandil. Liidu õiguslikku keskkonna ühtlustamiseks tuleks kehtestada digielemente sisaldavate toodete küberturvalisuse nõuded. Ühtlasi tuleks kogu liidus tagada ettevõtjate ja kasutajate jaoks kindlustunne ning ühtne turg tuleks paremini ühtlustada, luues liidu turule siseneda soovivate ettevõtjate jaoks paremini toimivad tingimused. (5)Liidu tasandil on mitmetes programmilistes ja poliitilistes dokumentides, näiteks ELi küberturvalisuse strateegias digikümnendi jaoks, nõukogu 2. detsembri 2020. aasta ja 23. mai 2022. aasta järeldustes ning Euroopa Parlamendi 10. juuni 2021. aasta resolutsioonis, esitatud üleskutse kehtestada digitaalsete või ühendatud toodete jaoks liidu küberturvalisuse erinõuded, kusjuures maailmas on mitu riiki selle probleemi lahendamiseks omal algatusel juba meetmeid võtnud. Euroopa tuleviku konverentsi lõpparuandes soovisid kodanikud ELi rolli tugevdamist küberohtudega võitlemisel. (6)Kõigi siseturule lastavate digielemente sisaldavate toodete üldise küberturvalisuse taseme tõstmiseks tuleb kehtestada nende toodete eesmärgipärased ja tehnoloogianeutraalsed olulised küberturvalisuse nõuded, mis kehtivad horisontaalselt. (7)Teatavatel tingimustel võivad kõik digielemente sisaldavad tooted, mis on integreeritud või ühendatud suuremate elektrooniliste infosüsteemidega, olla kuritahtlike isikute jaoks ründevektor. Seetõttu võib ka riistvara ja tarkvara, mille tähtsust ei peeta nii kriitiliseks, hõlbustada seadme või võrgu esialgset kahjustamist ja võimaldada kuritahtlikul isikul saada süsteemile eelisjuurdepääsu või liikuda süsteemide vahel lateraalselt. Seepärast peaksid tootjad tagama, et kõik digielemente sisaldavad ühendatavad tooted projekteeritakse ja neid arendatakse kooskõlas käesolevas määruses sätestatud oluliste nõuetega. See käib nii nende toodete kohta, mida saab ühendada füüsiliselt riistvaralise liidese kaudu, kui ka neid, mis ühendatakse loogiliselt, näiteks võrgupesa, toru, faili, rakendusliidese või muud liiki tarkvaraliidese kaudu. Küberturvalisuse ohud võivad enne teatava sihtmärgini jõudmist levida mitmesuguste digielemente sisaldavate toodete kaudu, näiteks mitmest nõrkuse ärakasutamisest tekitatud ahelas, ja seepärast peaksid tootjad tagama ka selliste toodete küberturvalisuse, mis on teiste seadmete või võrkudega ühendatud üksnes kaudselt.

(8)Kui kehtestatakse küberturvalisuse nõuded digielemente sisaldavate toodete turule laskmise jaoks, paraneb nende toodete küberturvalisus nii tarbijate kui ka ettevõtjate jaoks. See hõlmab ka haavatavatele tarbijatele mõeldud digielemente sisaldavate toodete, näiteks mänguasjade ja beebimonitoride turule laskmise nõudeid. (9)Käesoleva määrusega tagatakse digielemente sisaldavate toodete küberturvalisuse kõrge tase. Määrusega ei reguleerita selliseid teenuseid nagu teenusena pakutav tarkvara (SaaS), välja arvatud digielemente sisaldava tootega seotud kaugandmetöötluslahendused, s.o igasugune distantsilt toimuv andmevahetus, mille jaoks on tarkvara projekteerinud ja välja töötanud asjaomase toote tootja või mille jaoks on selline tarkvara projekteeritud ja välja töötatud selle tootja vastutusel ning mille puudumine ei laseks sellisel digielemente sisaldaval tootel täita üht oma funktsioonidest. [Direktiiviga XXX/XXXX (küberturvalisuse 2. direktiiv)] on kehtestatud küberturvalisuse ja intsidentidest teatamise nõuded elutähtsate ja oluliste üksuste, näiteks elutähtsa taristu jaoks, et suurendada nende osutatavate teenuste vastupidavusvõimet. [Direktiivi XXX/XXXX (küberturvalisuse 2. direktiiv)] kohaldatakse pilvteenuste ja pilvteenuse mudelite suhtes (näiteks SaaS). Selle direktiivi kohaldamisalasse kuuluvad kõik liidus pilvteenuseid osutavad üksused, mis vastavad keskmise suurusega ettevõtjatele kehtestatud künnisele või ületavad selle. (10)Et mitte takistada innovatsiooni ja teadusuuringuid, ei peaks käesoleva määruse kohaldamisalasse kuuluma vaba ja avatud lähtekoodiga tarkvara, mida arendatakse või pakutakse väljaspool äritegevust. Eeskätt puudutab see tarkvara, kaasa arvatud selle lähtekoodi ja muudetud versioone, mida jagatakse avalikult ja mis on vabalt kättesaadav, kasutatav, muudetav ja edasi levitatav. Tarkvara puhul ei pruugi äritegevust iseloomustada üksnes toote eest hinna küsimine, vaid ka tehniliste tugiteenuste eest hinna küsimine, tarkvaraplatvormi pakkumine, mille kaudu tootja teenib raha muude teenuste eest, või isikuandmete kasutamine muul otstarbel kui üksnes tarkvara turvalisuse, ühilduvuse või koostalitlusvõime parandamiseks. (11)Turvaline internet on elutähtsa taristu ja ühiskonna kui terviku toimimiseks hädavajalik. [Direktiivi XXX/XXXX (küberturvalisuse 2. direktiiv)] eesmärk on tagada elutähtsate ja oluliste üksuste, sealhulgas avatud interneti tuumteenuseid toetavate ning internetiühendust ja internetiteenuseid tagavate digitaristu pakkujate osutatavate teenuste küberturvalisuse kõrge tase. Seepärast on oluline, et digielemente sisaldavad tooted, mida digitaristu pakkujad vajavad, et tagada interneti toimimine, oleksid välja töötatud turvalisel viisil ja et need vastaksid väljakujunenud internetiturvalisuse standarditele. Käesolevat määrust kohaldatakse kõigi ühendatavate riistvara- ja tarkvaratoodete suhtes ning ühtlasi on selle määruse eesmärk aidata digitaristu pakkujatel täita [direktiivist XXX/XXXX (küberturvalisuse 2. direktiiv)] tulenevaid tarneahela nõudeid, tagades, et nende teenuste osutamiseks kasutatavate digielemente sisaldavate toodete väljatöötamine toimub turvalisel viisil ning neil on juurdepääs selliste toodete õigeaegsetele turvauuendustele. (12)Euroopa Parlamendi ja nõukogu määrusega (EL) 2017/745 on kehtestatud õigusnormid meditsiiniseadmete kohta ning Euroopa Parlamendi ja nõukogu määrusega (EL) 2017/746 in vitro diagnostikameditsiiniseadmete kohta. Mõlemas määruses on käsitletud küberriske ja järgitud lähenemisviise, mida puudutatakse ka käesolevas määruses. Konkreetsemalt on määruses (EL) 2017/745 ja (EL) 2017/746 sätestatud olulised nõuded selliste meditsiiniseadete jaoks, mis toimivad elektroonilise süsteemi kaudu või on ise tarkvara. Neis määrustes käsitletakse ka teatavat sisseehitamata tarkvara ja kogu elutsüklit hõlmavat lähenemisviisi. Need nõuded kohustavad tootjaid kohaldama oma toodete väljatöötamisel ja loomisel riskijuhtimise põhimõtteid ning kehtestama IT-turvalisuse meetmete alased nõuded ja asjaomased vastavushindamismenetlused. Peale selle kehtivad alates 2019. aasta detsembrist meditsiiniseadmete küberturvalisuse kohta erijuhised, millega antakse meditsiiniseadmete, sealhulgas in vitro diagnostikaseadmete tootjatele juhised selle kohta, kuidas täita küberturvalisuse osas nende määruste I lisa kõiki asjaomaseid olulisi nõudeid. Seega ei peaks digielemente sisaldavad tooted, mille suhtes kohaldatakse üht neist määrustest, kuuluma käesoleva määruse kohaldamisalasse. (13)Euroopa Parlamendi ja nõukogu määrusega (EL) 2019/2144 on ette nähtud sõidukite ning nende süsteemide ja osade tüübikinnituse nõuded, millega kehtestati teatavad küberturvalisuse nõuded (muu hulgas sertifitseeritud küberturvalisuse haldamise süsteemide käitamise ja tarkvarauuenduste kohta), mis hõlmavad organisatsiooni põhimõtteid ja protseduure sõidukite, seadmete ja teenuste kogu kasutuseaga seotud küberriskide jaoks kooskõlas kohaldatavate ÜRO eeskirjadega tehniliste kirjelduste ja küberturvalisuse kohta ning millega on ette nähtud konkreetsed vastavushindamismenetlused. Lennunduse valdkonnas on Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1139 põhieesmärk luua ja säilitada liidus tsiviillennundusohutuse ühtlaselt kõrge tase. Nimetatud määrusega on loodud lennundustoodete, osade, seadmete, sealhulgas tarkvara lennukõlblikkuse oluliste nõuete raamistik, milles võetakse arvesse kohustust kaitsta infoturvaohtude eest. Seega ei kehti käesolevas määruses sätestatud olulised nõuded ja vastavushindamismenetlused digielemente sisaldavate toodete suhtes, mille suhtes kohaldatakse määrust (EL) 2019/2144, ja määruse (EL) 2018/1139 kohaselt sertifitseeritud toodete suhtes. Määruse (EL) 2018/1139 kohane sertifitseerimismenetlus tagab usaldusväärsuse taseme, mille poole käesoleva määrusega püüeldakse. (14)Käesoleva määrusega nähakse ette horisontaalsed küberturvalisuse normid, mis ei piirdu konkreetsete sektorite või vaid teatavate digielemente sisaldavate toodetega. Sellegipoolest võib kehtestada sektori- või tootespetsiifilisi liidu norme, millega nähakse ette kõiki või mõningaid käesolevas määruses sätestatud oluliste nõuetega hõlmatud riske käsitlevad nõuded. Sellisel juhul võib käesoleva määruse kohaldamine digielemente sisaldavate toodete suhtes, mida reguleerivad muud liidu normid, millega nähakse ette kõiki või mõningaid käesoleva määruse I lisas sätestatud oluliste nõuetega hõlmatud riske käsitlevad nõuded, olla piiratud või välistatud, kui selline piiramine või välistamine on kooskõlas selliste toodete suhtes kehtiva üldise õigusraamistikuga ja kui valdkondlike õigusnormidega saavutatakse kaitse samasugune tase, nagu on ette nähtud käesoleva määrusega. Komisjonil on õigus võtta käesoleva määruse muutmiseks vastu delegeeritud õigusakte ning määrata kindlaks sellised tooted ja normid. Kehtivate liidu õigusaktide kohta, mille suhtes tuleks kohaldada sellist piirangut või välistust, esitatakse käesolevas määruses konkreetsed sätted, et selgitada määruse suhet kõnealuste liidu õigusaktidega. (15)Delegeeritud määruses (EL) 2022/30 on sätestatud, et teatavate raadioseadmete suhtes kohaldatakse direktiivi 2014/53/EL artikli 3 lõike 3 punktis d (võrgu kahjustamine ja võrgu ressursside kuritarvitamine), punktis e (isikuandmed ja eraelu puutumatus) ja punktis f (pettused) sätestatud olulisi nõudeid. [Komisjoni rakendusotsuses XXX/2022 Euroopa standardiorganisatsioonidele esitatud standardimistaotluse kohta] on sätestatud nõuded konkreetsete standardite väljatöötamise kohta, et veelgi täpsustada, kuidas neid kolme olulist nõuet tuleks käsitleda. Käesolevas määruses sätestatud olulised nõuded sisaldavad kõiki direktiivi 2014/53/EL artikli 3 lõike 3 punktides d, e ja f osutatud oluliste nõuete elemente. Peale selle on käesolevas määruses sätestatud olulised nõuded kooskõlas standardimistaotluses loetletud konkreetsete standardite nõuete eesmärkidega. Seega kui komisjon tunnistab delegeeritud määruse (EL) 2022/30 kehtetuks või muudab seda nii, et määrust ei kohaldata enam teatavate käesoleva määruse kohaldamisalasse kuuluvate toodete suhtes, peaksid komisjon ja Euroopa standardiorganisatsioonid võtma arvesse standardimistööd, mis on tehtud seoses komisjoni rakendusotsusega C(2022) 5637 standardimistaotluse kohta seoses raadioseadmete direktiivi delegeeritud määrusega 2022/30, et valmistada ette ja töötada välja käesoleva määruse rakendamist hõlbustavad harmoneeritud standardid. (16)Direktiiv 85/374/EMÜ täiendab käesolevat määrust. Selles direktiivis on sätestatud tootevastutuse normid, et kahju kannatanud isik saaks nõuda kahju hüvitamist, kui kahju on põhjustanud puudusega toode. Direktiivis on sätestatud põhimõte, et toote tootja vastutab kahju eest, mille on põhjustanud tema toote puudulik ohutus olenemata süüst („mittesüüline vastutus“). Kui selline puudulik ohutus seisneb toote turule laskmise järgsete turvauuenduste puudumises ja see põhjustab kahju, võib see kaasa tuua tootja vastutuse. Käesolevas määruses tuleks sätestada tootjate kohustused, mis on seotud selliste turvauuenduste pakkumisega. (17)Käesolev määrus ei tohiks piirata Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 kohaldamist, sealhulgas sätteid selliste andmekaitse sertifitseerimismehhanismide ning andmekaitsepitserite ja -märgiste kasutuselevõtuks, mille abil saab tõendada, et vastutavate töötlejate ja volitatud töötlejate isikuandmete töötlemise toimingud vastavad kõnealusele määrusele. Digielemente sisaldavatesse toodetesse võib selliseid toiminguid integreerida. Lõimitud ja vaikimisi andmekaitse ning küberturvalisus üldiselt on määruse (EL) 2016/679 olulised elemendid. Käesolevas määruses sätestatud olulised küberturvalisuse nõuded kaitsevad tarbijaid ja organisatsioone küberriskide eest ning aitavad seega parandada isikuandmete kaitset ja üksikisikute eraelu kaitset. Komisjoni, Euroopa standardiorganisatsioonide, Euroopa Liidu Küberturvalisuse Ameti (ENISA), määrusega (EL) 2016/679 loodud Euroopa Andmekaitsenõukogu ja riiklike andmekaitse järelevalveasutuste vahelises koostöös tuleks kaaluda koostoimet nii küberturvalisuse aspektide standardimise kui ka sertifitseerimise vallas. Käesoleva määruse ja liidu andmekaitseõiguse koostoimesse tuleks panustada ka turujärelevalve ja nõuete täitmise tagamise valdkonnas. Seda eesmärki silmas pidades peaksid käesoleva määruse kohaselt nimetatud riiklikud turujärelevalveasutused tegema koostööd liidu andmekaitseõiguse järelevalvega tegelevate asutustega. Liidu andmekaitseõiguse järelevalvega tegelevatel asutustel peaks samuti olema juurdepääs oma ülesannete täitmiseks vajalikule teabele. (18)Kui artiklis [määruse (EL) nr 910/2014 artikli 6a lõige 2, nagu seda on muudetud ettepanekuga määruse kohta, millega muudetakse määrust (EL) nr 910/2014 seoses Euroopa digiidentiteedi raamistiku kehtestamisega] osutatud Euroopa digiidentiteeditasku väljastaja tooted kuuluvad käesoleva määruse kohaldamisalasse, peaksid nad täitma nii käesoleva määrusega ettenähtud olulisi horisontaalseid nõudeid kui ka artikliga [määruse (EL) nr 910/2014 artikkel 6a, nagu seda on muudetud ettepanekuga määruse kohta, millega muudetakse määrust (EL) nr 910/2014 seoses Euroopa digiidentiteedi raamistiku kehtestamisega] ettenähtud spetsiifilisi turvanõudeid. Nõuete täitmise hõlbustamiseks peaks digiidentiteeditasku väljastaja saama tõendada Euroopa digiidentiteeditasku vastavust kummaski õigusaktis sätestatud nõuetele sedasi, et laseb oma tooted sertifitseerida määruse (EL) 2019/881 alusel loodud sellise Euroopa küberturvalisuse sertifitseerimise kava kohaselt, mille kohta komisjon on rakendusaktiga näinud ette käesolevale määrusele vastavuse eelduse, kuivõrd sertifikaat või selle osad hõlmavad neid nõudeid. (19)Teatavaid käesolevas määruses sätestatud ülesandeid peaks täitma ENISA kooskõlas määruse (EL) 2019/881 artikli 3 lõikega 2. Esmajoones peaks ENISA saama tootjatelt teateid digielemente sisaldavates toodetes esinevate aktiivselt ärakasutatavate nõrkuste kohta, aga ka intsidentide kohta, mis mõjutavad nende toodete turvalisust. ENISA peaks need teated edastama ka asjaomastele küberturbe intsidentide lahendamise üksustele (CSIRTidele) või liikmesriikide direktiivi [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] artikli [artikkel X] kohaselt määratud asjaomastele ühtsetele kontaktpunktidele ning teavitama asjaomaseid turujärelevalveasutusi teatatud nõrkusest. ENISA peaks kogutud teabe põhjal koostama iga kahe aasta järel tehnilise aruande küberriskide värskete suundumuste kohta digielemente sisaldavates toodetes ning esitama selle direktiivis [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] osutatud koostöörühmale. Arvestades ENISA eksperditeadmisi ja volitusi, peaks ENISA ühtlasi saama toetada käesoleva määruse rakendamise protsessi. Eeskätt peaks ta saama teha ettepanekuid ühismeetmete kohta, mida turujärelevalveasutused võiksid võtta, tuginedes märkidele või teabele selle kohta, et digielemente sisaldavad tooted ei pruugi mitmes liikmesriigis olla vastavuses käesoleva määrusega, või määrata kindlaks tootekategooriaid, mille suhtes tuleks korraldada üheaegseid koordineeritud kontrollimeetmeid. Erandlike asjaolude korral peaks ENISA saama komisjoni taotlusel korraldada selliste digielemente sisaldavate toodete hindamisi, mis kujutavad endast olulist küberriski, kui siseturu hea toimimise säilitamiseks on vaja sekkuda viivitamata. (20)Digielemente sisaldavatel toodetel peaks olema CE-vastavusmärgis, mis näitab nende vastavust käesolevale määrusele, et nad saaksid siseturul vabalt liikuda. Liikmesriigid ei tohiks luua põhjendamatuid tõkkeid käesolevas määruses sätestatud nõuetele vastavate ja CE-vastavusmärgisega digielemente sisaldavate toodete turule laskmisele. (21)Tagamaks et tootjad saavad tarkvara testimiseks välja lasta enne, kui nende toodete suhtes kohaldatakse vastavushindamist, ei tohiks liikmesriigid takistada lõpetamata tarkvara, näiteks alfaversioonide, beetaversioonide või kandidaatversioonide kättesaadavaks tegemist, eeldusel et versioon tehakse kättesaadavaks üksnes selle testimiseks ja tagasiside kogumiseks vajaliku aja jooksul. Tootjad peaksid tagama, et kirjeldatud tingimustel kättesaadavaks tehtud tarkvara lastakse välja alles pärast riskihindamist ja et see vastab võimalikult suures ulatuses digielemente sisaldavate toodete omaduste kohta käesoleva määrusega kehtestatud turvanõuetele. Samuti peaksid tootjad võimalikult suures ulatuses rakendama nõrkuste käitlemise nõudeid. Tootjad ei tohiks sundida kasutajaid paigaldama üksnes testimiseks välja lastud versioone. (22)Tagamaks et digielemente sisaldavad tooted ei põhjusta turule laskmisel inimestele ja organisatsioonidele küberriske, tuleks selliste toodete jaoks kehtestada olulised nõuded. Kui hiljem muudetakse toodet füüsiliste või digitaalsete vahenditega, mida tootja ette ei näinud ja mis võib tähendada, et toode ei vasta enam asjakohastele olulistele nõuetele, tuleks seda pidada oluliseks muutmiseks. Näiteks tarkvarauuendused või -parandused võib ühildada hooldustöödega, eeldusel et need ei muuda juba turule lastud toodet viisil, mis mõjutaks vastavust kohaldatavatele nõuetele või muudaks kavandatud kasutamist, millest lähtuvalt on toodet hinnatud. Nagu füüsilise parandamise või muutmise korral, tuleks digielemente sisaldavat toodet käsitada tarkvara muutmise tõttu oluliselt muudetud tootena, kui tarkvarauuendusega muudetakse toote algselt kavandatud funktsioone, liiki või tööd ning selliseid muudatusi ei olnud esialgses riskihindamises ette nähtud või kui tarkvarauuenduse tõttu on ohu laad muutunud või riskitase tõusnud. (23)Liidu ühtlustamisõigusaktidega reguleeritud toodete olulise muutmise laialdaselt juurdunud mõistega kooskõlas on otstarbekas kontrollida digielemente sisaldava toote vastavust ja vajaduse korral teha sellele uus vastavushindamine alati, kui leiab aset oluline muudatus, mis võib mõjutada toote vastavust käesolevale määrusele, või kui selle toote sihtotstarve muutub. Kui see on asjakohane, tuleb juhul, kui tootja võtab ette vastavushindamise, millesse on kaasatud kolmas isik, teavitada seda kolmandat isikut muudatustest, mis võivad kaasa tuua olulisi muudatusi. (24)Digielemente sisaldava toote määruses [ökodisaini määrus] määratletud renoveerimine, hooldus ja parandamine ei pruugi põhjustada toote olulist muutmist, näiteks siis, kui kavandatud kasutamist ja funktsioone ei muudeta ja riski taset ei mõjutata. Toote uuendamine tootja poolt võib siiski põhjustada muudatusi toote projektis ja arendamises ning võib seega mõjutada toote kavandatud kasutamist ja vastavust käesolevas määruses sätestatud nõuetele. (25)Digielemente sisaldavaid tooteid peaks käsitama kriitilise tähtsusega toodetena, kui toote võimalike küberturvalisuse nõrkuste ärakasutamise kahjulik mõju võib olla tõsine muu hulgas küberturvalisusega seotud funktsioonide või kavandatud kasutamise tõttu. Turvalisusprobleemide leviku tarneahelas võivad kaasa tuua eeskätt selliste digielemente sisaldavate toodete nõrkused, mille funktsioonid on seotud küberturvalisusega (näiteks turvalised elemendid). Küberintsidendi mõju tõsidus võib suureneda ka siis, kui võetakse arvesse toote kavandatud kasutamist, näiteks tööstuskeskkonnas või seoses direktiivi [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] [I lisa] lisas osutatud liiki elutähtsa üksusega või kriitilise tähtsusega või tundlike funktsioonide (näiteks isikuandmete töötlemine) täitmise korral. (26)Digielemente sisaldavate kriitilise tähtsusega toodete suhtes tuleks kohaldada rangemaid vastavushindamismenetlusi, jäädes oma lähenemises siiski proportsionaalseks. Sel otstarbel tuleks digielemente sisaldavad kriitilise tähtsusega tooted jagada kahte klassi, lähtudes nende tootekategooriatega seotud küberriskide tasemest. II klassi tooteid hõlmava võimaliku küberintsidendi kahjulik mõju võib olla suurem kui I klassi tooteid hõlmava intsidendi puhul näiteks johtuvalt toote küberturvalisusega seotud funktsiooni laadist või kavandatud kasutamisest tundlikus keskkonnas ning seetõttu tuleks sellise toote suhtes kohaldada rangemat vastavushindamismenetlust. (27)Käesoleva määruse III lisas osutatud digielemente sisaldavate kriitilise tähtsusega toodete kategooriaid tuleks mõista kui tooteid, mille põhifunktsioon on sellist liiki, mis on loetletud käesoleva määruse III lisas. Näiteks on käesoleva määruse III lisas loetletud tooted, mis on nende põhifunktsiooni järgi määratletud II klassi kuuluvate üldotstarbeliste mikroprotsessoritena. Sellest tulenevalt kohaldatakse üldotstarbeliste mikroprotsessorite suhtes kohustuslikku kolmanda isiku vastavushindamist. See ei kehti aga muude toodete suhtes, millesse võib olla integreeritud üldotstarbeline mikroprotsessor, kuid millele ei ole käesoleva määruse III lisas sõnaselgelt viidatud. Komisjon peaks [12 kuu jooksul pärast käesoleva määruse jõustumist] võtma vastu delegeeritud õigusaktid, et täpsustada III lisas sätestatud I ja II klassi tootekategooriate määratlusi.

(28)Käesolevas määruses käsitletakse küberriske sihipäraselt. Digielemente sisaldavad tooted võivad siiski põhjustada muid ohutusriske, mis ei ole seotud küberturvalisusega. Selliste riskide suhtes tuleks ka edaspidi kohaldada muid asjakohaseid tootealaseid liidu õigusakte. Kui muid liidu ühtlustamisõigusakte ei kohaldata, tuleks nende riskide suhtes kohaldada määrust [üldise tooteohutuse määrus]. Käesoleva määruse sihipärasust arvestades tuleks seega käesoleva määrusega hõlmamata riskide osas erandina määruse [üldise tooteohutuse määrus] artikli 2 lõike 1 kolmanda lõigu punktist b kohaldada digielemente sisaldavate toodete suhtes määruse [üldise tooteohutuse määrus] III peatüki 1. jaotist, V ja VII peatükki ja peatükke IX–XI, kui nende toodete suhtes ei kohaldata muude liidu ühtlustamisõigusaktidega kehtestatud erinõudeid [üldise tooteohutuse määruse artikli 3 punkti 25] tähenduses. (29)Digielemente sisaldavad tooted, mis on vastavalt määruse [tehisintellektimäärus] artiklile 6 liigitatud suure riskiga tehisintellektisüsteemiks ja mis kuuluvad käesoleva määruse kohaldamisalasse, peaksid vastama käesolevas määruses sätestatud olulistele nõuetele. Kui sellised suure riskiga tehisintellektisüsteemid vastavad käesolevas määruses sätestatud olulistele nõuetele, tuleks need lugeda määruse [tehisintellektimäärus] artiklis [artikkel 15] sätestatud küberturvalisuse nõuetele vastavaks, kuivõrd käesoleva määruse alusel välja antud ELi vastavusdeklaratsioon või selle osad hõlmavad neid nõudeid. Mis puudutab käesoleva määruse kohaldamisalasse kuuluva ja suure riskiga tehisintellektisüsteemiks liigitatud digielemente sisaldava toote oluliste küberturvalisuse nõuetega seotud vastavushindamismenetlusi, siis tuleks käesoleva määruse vastavate sätet asemel reeglina kohaldada määruse [tehisintellektimäärus] artikli 43 asjaomaseid sätteid. Sellise reegli tagajärjel ei tohiks siiski väheneda käesoleva määruse kohaldamisalasse kuuluvate digielemente sisaldavate kriitilise tähtsusega toodete usaldusväärsuse vajalik tase. Seepärast tuleks erandina sellest reeglist kohaldada suure riskiga tehisintellektisüsteemide suhtes, mis kuuluvad määruse [tehisintellektimäärus] kohaldamisalasse ja kvalifitseeruvad ühtlasi digielemente sisaldavateks kriitilise tähtsusega toodeteks vastavalt käesolevale määrusele ning mille suhtes kohaldatakse määruse [tehisintellektimäärus] VI lisas osutatud sisekontrollil põhinevat vastavushindamismenetlust, käesoleva määruse vastavushindamise sätteid selles osas, mis puudutab käesoleva määruse olulisi nõudeid. Sellisel juhul tuleks kõigis muudes määrusega [tehisintellektimäärus] hõlmatud aspektides kohaldada sätteid, mis käsitlevad [tehisintellektimäärus] VI lisas sätestatud sisekontrollil põhinevat vastavushindamismenetlust. (30)Määruse [masinamääruse ettepanek] kohaldamisalasse kuuluvad masinavaldkonna tooted, mis on digielemente sisaldavad tooted käesoleva määruse tähenduses ja mille kohta on käesoleva määruse alusel välja antud vastavusdeklaratsioon, tuleks lugeda määruse [masinamääruse ettepanek] [III lisa punktides 1.1.9 ja 1.2.1] sätestatud olulistele tervisekaitse- ja ohutusnõuetele vastavaks rikkumise eest kaitsmise ning juhtimissüsteemide ohutuse ja töökindluse poolest, kui vastavust nendele nõuetele on tõendatud käesoleva määruse alusel välja antud ELi vastavusdeklaratsioonis. (31)Käesolevas määruses sätestatud olulisi nõudeid täiendab määrus [Euroopa terviseandmeruumi määruse ettepanek]. Määruse [Euroopa terviseandmeruumi määruse ettepanek] kohaldamisalasse kuuluvad digitaalsed tervise infosüsteemid, mis on digielemente sisaldavad tooted käesoleva määruse tähenduses, peaksid seega vastama ka käesolevas määruses sätestatud olulistele nõuetele. Nende tootjad peaksid tõendama vastavust vastavalt määruses [Euroopa terviseandmeruumi määruse ettepanek] nõutule. Nõuete täitmise hõlbustamiseks võivad tootjad koostada ühe tehnilise dokumendi, mis sisaldab mõlema õigusaktiga nõutavaid elemente. Käesolev määrus ei hõlma SaaSi kui sellist ja seega ei kuulu SaaSi litsentsimis- ja tarnemudeli kaudu pakutavad digitaalsed tervise infosüsteemid käesoleva määruse kohaldamisalasse. Samuti ei kuulu käesoleva määruse kohaldamisalasse digitaalsed tervise infosüsteemid, mis on välja töötatud ja mida kasutatakse asutuse sees, sest neid ei lasta turule. (32)Tagamaks et digielemente sisaldavad tooted on turvalised nii turule laskmise ajal kui ka kogu elutsükli jooksul, tuleb kehtestada nõrkuste käitlemise olulised nõuded ja olulised küberturvalisuse nõuded, mis puudutavad digielemente sisaldavate toodete omadusi. Tootjad peaksid täitma kõiki nõrkuste käitlemisega seotud olulisi nõudeid ja tagama, et nende tooted tarnitakse ilma teadaolevate ärakasutatavate nõrkusteta, ning samas peaksid nad kindlaks tegema, millised muud toote omadustega seotud olulised nõuded on asjaomase tooteliigi puhul asjakohased. Sel otstarbel peaksid tootjad korraldama digielemente sisaldava tootega seotud küberriskide hindamise, et teha kindlaks asjaomased riskid ja asjaomased olulised nõuded ning kohaldada sobivaid harmoneeritud standardeid või ühtseid kirjeldusi nõuetekohaselt. (33)Siseturule lastavate digielemente sisaldavate toodete turvalisuse parandamiseks on vaja kehtestada olulised nõuded. Need olulised nõuded ei tohiks piirata direktiivi [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] [artikliga X] ettenähtud kriitilise tähtsusega tarneahelate ELi koordineeritud riskihindamiste kohaldamist, milles võetakse arvesse nii tehnilisi kui ka vajaduse korral mittetehnilisi riskitegureid, näiteks tarnijate lubamatut mõjutamist kolmanda riigi poolt. Samuti ei tohiks see piirata liikmesriikide õigust kehtestada täiendavaid nõudeid, milles võetakse vastupidavuse kõrge taseme tagamiseks arvesse mittetehnilisi tegureid, kaasa arvatud neid, mis on määratletud soovituses (EL) 2019/534, kogu ELi hõlmavas 5G-võrkude turvalisuse koordineeritud riskihindamise aruandes ja direktiivis [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] osutatud võrgu- ja infoturbe koostöörühma kokkulepitud 5G-küberturvalisuse ELi meetmepaketis. (34)Tagamaks et riikide CSIRTidele ja direktiivi [direktiiv XX/XXXX (küberturvalisuse 2. direktiiv)] artikli [artikkel X] kohaselt määratud asjaomastele ühtsetele kontaktpunktidele antakse teave, mida need vajavad oma ülesannete täitmiseks ning elutähtsate ja oluliste üksuste küberturvalisuse üldise taseme tõstmiseks, ning tagamaks et turujärelevalveasutused tegutsevad tulemuslikult, peaksid digielemente sisaldavate toodete tootjad teatama ENISA-le nõrkustest, mida aktiivselt ära kasutatakse. Digielemente sisaldavaid tooteid turustatakse enamasti kõikjal siseturul ja seega tuleks digielemente sisaldava toote iga ärakasutatavat nõrkust käsitada ohuna siseturu toimimisele. Tootjad peaksid kaaluma ka parandatud nõrkade kohtade avalikustamist direktiivi [direktiiv XX/XXXX (küberturvalisuse 2. direktiiv)] alusel loodud ja ENISA hallatavas Euroopa nõrkuste andmebaasis või muus avalikult juurdepääsetavas nõrkuste andmebaasis. (35)Tootjad peaksid ENISA-le teatama ka kõigist intsidentidest, mis mõjutavad digielemente sisaldava toote turvalisust. Olenemata direktiiviga [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] elutähtsate ja oluliste üksuste jaoks ettenähtud intsidentidest teatamise kohustustest on ENISA, direktiivi [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] artikli [artikkel X] kohaselt määratud ühtsete kontaktpunktide ja turujärelevalveasutuste jaoks ülioluline saada digielemente sisaldavate toodete tootjatelt teavet, mis võimaldaks neil hinnata selliste toodete turvalisust. Tagamaks, et kasutajad saavad nende digielemente sisaldavaid tooteid mõjutavatele intsidentidele kiiresti reageerida, peaksid tootjad teavitama sellistest intsidentidest ka oma kasutajaid ning, kui see on asjakohane, teavitama neid ka parandusmeetmetest, mida kasutajad saavad võtta intsidendi mõju leevendamiseks; näiteks võivad tootjad avaldada asjakohase teabe oma veebisaidil või, kui neil on võimalik oma kasutajatega ühendust võtta ja kui see on riskide seisukohast põhjendatud, pöörduda otse kasutajate poole. (36)Digielemente sisaldavate toodete tootjad peaksid kehtestama nõrkuste koordineeritud avalikustamise põhimõtted, et üksikisikutel või üksustel oleks lihtsam nõrkustest teatada. Nõrkuste koordineeritud avalikustamise põhimõtetes tuleks kirjeldada struktureeritud protsessi, mille kohaselt turvanõrkusest tootjale teatada nii, et tootja saaks sellised nõrkused diagnoosida ja kõrvaldada enne, kui üksikasjalik teave nõrkuse kohta avalikustatakse kolmandatele isikutele või avalikkusele. Arvestades et teavet laialdaselt kasutatavates digielemente sisaldavate toodetes esinevate ärakasutamist võimaldavate nõrkuste kohta võidakse mustal turul müüa kõrge hinnaga, peaksid selliste toodete tootjad saama oma nõrkuste koordineeritud avalikustamise põhimõtete raames kasutada programme, millega motiveerida nõrkustest teatama, tagades üksikisikutele või üksustele nende töö eest tunnustuse ja kompensatsiooni (nn puugipreemia programmid). (37)Hõlbustamaks nõrkuste analüüsimist peaksid tootjad nimetama ja dokumenteerima digielemente sisaldavate toodete koostisosad ning koostama nn tarkvaramaterjalide loetelu. Tarkvaramaterjalide loetelu võib anda tarkvara tootjatele, ostjatele ja käitajatele teabe, mis parandab nende arusaamist tarneahelast, mis on kasulik mitmes mõttes – eeskätt aitab see tootjatel ja kasutajatel ajada värskelt ilmnenud nõrkuste ja riskide jälgi. Tootjate jaoks on eriti oluline tagada, et nende tooted ei sisaldaks kolmandate isikute välja töötatud kaitsetuid komponente. (38)Et vastavust käesoleva määruse nõuetele oleks lihtsam hinnata, tuleks eeldada vastavust juhul, kui digielemente sisaldav toode on vastavuses harmoneeritud standarditega, milles pannakse käesoleva määruse olulised nõuded üksikasjalike tehniliste kirjelduste vormi ja mis on vastu võetud kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) nr 1025/2012. Määrusega (EL) nr 1025/2012 on ette nähtud menetlus vastuväidete esitamiseks harmoneeritud standarditele, kui need standardid ei vasta täielikult käesoleva määruse nõuetele. (39)Määrusega (EL) 2019/881 on kehtestatud IKT toodete, protsesside ja teenuste Euroopa küberturvalisuse sertifitseerimise vabatahtlik raamistik. Euroopa küberturvalisuse sertifitseerimise kavad võivad hõlmata käesoleva määruse kohaldamisalasse kuuluvaid digielemente sisaldavaid tooteid. Käesolev määrus peaks tekitama koostoime määrusega (EL) 2019/881. Et vastavust käesoleva määruse nõuetele oleks lihtsam hinnata, eeldatakse, et digielemente sisaldavad tooted, mis on sertifitseeritud või mille kohta on välja antud vastavusdeklaratsioon määruse (EL) 2019/881 kohase küberturvalisuse kava alusel, mille komisjon on rakendusaktis ära märkinud, vastavad käesoleva määruse olulistele nõuetele niivõrd, kuivõrd küberturvalisuse sertifikaat või vastavusdeklaratsioon või nende osa hõlmavad neid nõudeid. Käesolevast määrusest lähtuvalt tuleks hinnata, kas digielemente sisaldavate toodete jaoks oleks vaja uut Euroopa küberturvalisuse sertifitseerimise kava. Sellistes tulevastes Euroopa küberturvalisuse sertifitseerimise kavades, mis hõlmavad digielemente sisaldavaid tooteid, tuleks arvesse võtta käesolevas määruses sätestatud olulisi nõudeid ja hõlbustada käesoleva määruse järgimist. Komisjonil peaks olema õigus rakendusaktidega täpsustada, milliseid Euroopa küberturvalisuse sertifitseerimise kavasid võib kasutada, et tõendada vastavust käesolevas määruses sätestatud olulistele nõuetele. Lisaks peaks komisjon tootjate põhjendamatu halduskoormuse vältimiseks, kui see on asjakohane, täpsustama, kas sellise Euroopa küberturvalisuse sertifitseerimise kava alusel välja antud küberturvalisuse sertifikaat vabastab tootja kolmanda isiku tehtava vastavushindamise kohustusest, mis on käesoleva määrusega vastavate nõuete puhul ette nähtud. (40)Pärast seda, kui on jõustunud rakendusakt, millega nähakse ette [komisjoni XXX rakendusmäärus (EL) .../... Euroopa ühise kriteeriumidel põhineva küberturvalisuse sertifitseerimise kava kohta] (EUCC), mis puudutab käesoleva määruse kohaldamisalasse kuuluvaid riistvaratooteid, näiteks riistvara turvamooduleid ja mikroprotsessoreid, võib komisjon rakendusaktiga täpsustada, kuidas EUCC võimaldab eeldada vastavust käesoleva määruse I lisas või selle osades viidatud olulistele nõuetele. Lisaks võib sellises rakendusaktis täpsustada, kuidas EUCC alusel välja antud sertifikaat vabastab tootja kolmanda isiku tehtava vastavushindamise kohustusest, mis on vastavate nõuete puhul käesoleva määruse kohaselt nõutav. (41)Kui harmoneeritud standardeid ei ole vastu võetud või kui harmoneeritud standardites ei käsitleta käesoleva määruse olulisi nõudeid piisavalt, peaks komisjon saama rakendusaktidega vastu võtta ühtsed kirjeldused. Põhjuseks, miks töötada harmoneeritud standarditele tuginemise asemel välja sellised ühtsed kirjeldused, võib olla standardimistaotluse tagasilükkamine mõne Euroopa standardiorganisatsiooni poolt, põhjendamatud viivitused asjakohaste harmoneeritud standardite kehtestamisel või väljatöötatud standardite ebapiisav vastavus käesoleva määruse nõuetele või mõnele komisjoni taotlusele. Et vastavust käesolevas määruses sätestatud olulistele nõuetele oleks lihtsam hinnata, tuleks eeldada vastavust juhul, kui digielemente sisaldav toode on vastavuses ühtsete kirjeldustega, mille komisjon on vastu võtnud käesoleva määruse kohaselt, et esitada nende nõuete üksikasjalikud tehnilised kirjeldused. (42)Tootjad peaksid koostama ELi vastavusdeklaratsiooni, milles esitatakse käesoleva direktiivi kohaselt nõutav teave digielemente sisaldava toote vastavuse kohta käesoleva direktiivi olulistele nõuetele ja, kui see on asjakohane, muudele asjaomastele liidu ühtlustamisõigusaktidele, mille kohaldamisalasse toode kuulub. Tootjatelt võidakse ELi vastavusdeklaratsiooni koostamist nõuda ka liidu muude õigusaktidega. Selleks et tagada turujärelevalve eesmärgil tõhus juurdepääs teabele, tuleks koostada ühtne ELi vastavusdeklaratsioon, mis kajastaks vastavust kõigile asjaomastele liidu õigusaktidele. Ettevõtjate halduskoormuse vähendamiseks peaks olema võimalik, et kõnealune ühtne ELi vastavusdeklaratsioon on asjaomastest üksikutest vastavusdeklaratsioonidest koostatud toimik. (43)Toote vastavust näitav CE-vastavusmärgis on üldisemas mõttes kogu vastavushindamise menetluse nähtav tulem. CE-vastavusmärgise kasutamist reguleerivad üldpõhimõtted on sätestatud Euroopa Parlamendi ja nõukogu määruses (EÜ) nr 765/2008. Käesolevas määruses tuleks sätestada õigusnormid selle kohta, kuidas kinnitada CE-vastavusmärgis digielemente sisaldavatele toodetele. CE-vastavusmärgis peaks olema ainus märgis, mis tagab, et digielemente sisaldavad tooted vastavad käesoleva määruse nõuetele. (44)Et ettevõtjad saaksid tõendada vastavust käesolevas määruses sätestatud olulistele nõuetele ja et turujärelevalveasutused saaksid tagada, et turul kättesaadavaks tehtud digielemente sisaldavad tooted vastavad neile nõuetele, on vaja ette näha vastavushindamismenetlused. Euroopa Parlamendi ja nõukogu otsusega nr 768/2008/EÜ on kehtestatud vastavushindamismenetluste moodulid, arvestades kaasnevaid riske ja vajaliku turvalisuse taset. Sektoritevahelise ühtsuse tagamiseks ja ühekordsetest lahendustest hoidumiseks on vastavushindamismenetlused, mis on piisavad, et kontrollida digielemente sisaldavate toodete vastavust käesolevas määruses sätestatud olulistele nõuetele, loodud nimetatud moodulite põhjal. Vastavushindamismenetlustega tuleks uurida ja kontrollida nii toote kui ka protsessiga seotud nõudeid, mis katavad kogu digielemente sisaldava toote elutsüklit, sh toote kavandamine, projekteerimine, arendamine või tootmine, testimine ja hooldus. (45)Üldjuhul peaks digielemente sisaldavate toodete vastavushindamise tegema tootja omal vastutusel, järgides otsuse 768/2008/EÜ moodulit A. Tootjale peaks jääma vabadus valida rangem vastavushindamismenetlus, millesse on kaasatud kolmas isik. Kui toode on klassifitseeritud I klassi kriitilise tähtsusega tooteks, on käesolevas määruses sätestatud olulistele nõuetele vastavuse tõendamiseks vaja täiendavat kindlust. Kui tootja soovib teha vastavushindamist omal vastutusel (moodul A), peaks ta kohaldama harmoneeritud standardeid, ühtseid kirjeldusi või määruse (EL) 2019/881 kohaseid küberturvalisuse sertifitseerimise kavasid, mille komisjon on rakendusaktis ära märkinud. Kui tootja selliseid harmoneeritud standardeid, ühtseid kirjeldusi või küberturvalisuse sertifitseerimise kavasid ei kohalda, peaks ta kohaldama vastavushindamist, millesse on kaasatud kolmas isik. Võttes arvesse tootjate halduskoormust ja asjaolu, et küberturvalisusel on nii materiaalsete kui ka immateriaalsete digielemente sisaldavate toodete projekteerimise ja arendamise etapis oluline koht, on digielemente sisaldavate kriitilise tähtsusega toodete proportsionaalse ja tulemusliku vastavushindamismenetluse jaoks kõige sobivamaks valitud vastavalt otsuse 768/2008/EÜ moodulitel B+C või H põhinevad vastavushindamismenetlused. Tootja, kes teeb vastavushindamismenetluse koos kolmanda isikuga, võib valida menetluse, mis sobib tema projekteerimis- ja tootmisprotsessiga kõige paremini. Arvestades, et II klassi kriitilise tähtsusega toodeteks liigitatud toodete kasutamisega on seotud veelgi suurem küberrisk, peaks nende vastavushindamisse olema alati kaasatud kolmas isik. (46)Kui digielemente sisaldavate materiaalsete toodete loomiseks on tavaliselt vaja teha palju tööd nii projekteerimise, arendamise kui ka toomise etapis, siis tarkvara kujul loodavate digielemente sisaldavate toodete puhul keskendutakse peaaegu eranditult projekteerimisele ja arendamisele ning tootmine mängib väiksemat rolli. Paljudel juhtudel tuleb tarkvaratooted enne turule laskmist siiski kompileerida, ehitada, pakendada, teha allalaadimiseks kättesaadavaks või kopeerida füüsilisele andmekandjale. Kui kohaldatakse asjaomast vastavushindamismenetlust, et kontrollida toote vastavust käesoleva määruse olulistele nõuetele projekteerimise, arendamise ja tootmise etapis, tuleks loetletud toiminguid käsitada tootmisega samaväärse tegevusena. (47)Et digielemente sisaldav toode saaks läbida kolmanda isiku tehtava vastavushindamise, peaksid riikide teavitavad asutused teatama komisjonile ja teistele liikmesriikidele vastavushindamisasutuste nimed, tingimusel et need asutused vastavad teatavatele nõuetele eeskätt sõltumatuse, pädevuse ja huvide konflikti puudumise vallas.

(48)Digielemente sisaldavate toodete vastavushindamise kvaliteedi ühtlase taseme tagamiseks on vaja kehtestada nõuded ka teavitavate ametiasutuste kohta ja muude teavitatud asutuste hindamisse, teavitamisse ja nende järelevalvesse kaasatud asutuste kohta. Käesolevas määruses esitatud süsteemi peaks täiendama määrusega (EÜ) nr 765/2008 ette nähtud akrediteerimissüsteem. Kuna akrediteerimine on vastavushindamisasutuse pädevuse kontrollimise põhiline vahend, siis tuleks seda kasutada ka teavitamise eesmärgil. (49)Määrusega (EÜ) nr 765/2008 ettenähtud läbipaistev akrediteerimine, mis tagab vastavussertifikaatide usaldusväärsuse vajaliku taseme, peaks kogu liidus kujunema riikide ametiasutuste jaoks eelistatud vahendiks, millega tõendada vastavushindamisasutuste tehnilist pädevust. Riiklikud asutused võivad siiski olla seisukohal, et neil on asjakohased vahendid, et kõnealune hindamine ise läbi viia. Teiste riiklike asutuste läbiviidud hindamiste piisava usaldusväärsuse tagamiseks tuleks neil sellisel juhul esitada komisjonile ja teistele liikmesriikidele dokumentaalsed tõendid selle kohta, et hinnatud vastavushindamisasutused täidavad asjakohaste õigusaktidega kehtestatud nõudeid. (50)Vastavushindamisasutused kasutavad vastavushindamise mõne toimingu tegemiseks sageli alltöövõtjaid või tütarettevõtjaid. Turule lastavate digielemente sisaldavate toodete ettenähtud kaitsetaseme tagamiseks on oluline, et vastavushindamisse kaasatud alltöövõtjad ja tütarettevõtjad vastaksid vastavushindamise ülesannete täitmisel samadele nõuetele kui teavitatud asutused. (51)Teavitav asutus peaks saatma vastavushindamisasutuse kohta teate komisjonile ja teistele liikmesriikidele teavitatud ja määratud organisatsioonide uue teabesüsteemi NANDO kaudu. NANDO on komisjoni arendatav ja hallatav elektroonilise teavitamise töövahend, mis sisaldab kõigi teavitatud asutuste loetelu. (52)Et teavitatud asutused võivad oma teenuseid pakkuda kogu liidus, peaksid teised liikmesriigid ja komisjon saama võimaluse esitada teavitatud asutuse kohta vastuväiteid. Seega on oluline näha ette ajavahemik, mille jooksul saaks lahendada kõik võimalikud vastavushindamisasutuste pädevust puudutavad kahtlused või probleemid, enne kui nad alustavad tegevust teavitatud asutustena. (53)Konkurentsivõime tagamiseks on oluline, et teavitatud asutused kohaldaksid vastavushindamisi ilma ettevõtjaid liigselt koormamata. Samal põhjusel ja ettevõtjate võrdse kohtlemise tagamiseks tuleb tagada vastavushindamismenetluste tehnilise kohaldamise järjekindlus. Seda peaks saama kõige paremini saavutada otstarbeka koordineerimise ja koostööga teavitatud asutuste vahel. (54)Liidu õigusaktide asjakohase ja ühetaolise kohaldamise tagamisel on oluline vahend turujärelevalve. Seepärast on otstarbekas kehtestada õigusraamistik turujärelevalve sobival viisil teostamise jaoks. Käesoleva määruse kohaldamisalasse kuuluvate digielemente sisaldavate toodete suhtes kohaldatakse liidu turujärelevalvet ja liidu turule sisenevate toodete kontrollimist käsitlevaid õigusnorme, mis on sätestatud Euroopa Parlamendi ja nõukogu määruses (EL) 2019/1020. (55)Vastavalt määrusele (EL) 2019/1020 teevad turujärelevalveasutused turujärelevalvet oma liikmesriigi territooriumil. Käesolev määrus ei tohiks takistada liikmesriike valimast, millised pädevad asutused kõnealuseid ülesandeid täitma hakkavad. Iga liikmesriik peaks määrama ühe või mitu oma territooriumil tegutsevat turujärelevalveasutust. Liikmesriigid võivad turujärelevalveasutuseks määrata mis tahes olemasoleva või uue asutuse, kaasa arvatud direktiivi [direktiiv XXX/XXXX (küberturvalisuse 2. direktiiv)] artiklis [artikkel X] osutatud riigi pädeva asutuse või määruse (EL) 2019/881 artiklis 58 osutatud määratud riikliku küberturvalisuse sertifitseerimise asutuse. Ettevõtjad peaksid tegema turujärelevalveasutuste ja muude pädevate asutustega täielikku koostööd. Iga liikmesriik peaks teavitama komisjoni ja teisi liikmesriike oma turujärelevalveasutustest ja iga kõnealuse asutuse pädevusvaldkondadest ning tagama käesoleva määrusega seotud järelevalveülesannete täitmiseks vajalikud ressursid ja oskused. Vastavalt määruse (EL) 2019/1020 artikli 10 lõigetele 2 ja 3 peaks iga liikmesriik määrama ühtse kontaktasutuse, mis vastutab muu hulgas turujärelevalveasutuste kooskõlastatud seisukoha esindamise ning eri liikmesriikide turujärelevalveasutuste vahelise koostöö toetamise eest. (56)Käesoleva määruse ühetaoliseks kohaldamiseks tuleks luua spetsiaalne halduskoostöörühm vastavalt määruse (EL) 2019/1020 artikli 30 lõikele 2. See halduskoostöörühm peaks koosnema määratud turujärelevalveasutuste esindajatest ning vajaduse korral ühtsete kontaktasutuste esindajatest. Komisjon peaks toetama ja soodustama turujärelevalveasutuste vahelist koostööd määruse (EL) 2019/1020 artikliga 29 loodud liidu toodetele vastavuse võrgustikus, millesse kuuluvad iga liikmesriigi esindajad, kaasa arvatud iga määruse (EL) 2019/1020 artiklis 10 osutatud ühtse kontaktasutuse esindaja ja soovi korral riiklik ekspert, halduskoostöörühmade esimehed ning komisjoni esindajad. Komisjon peaks osalema võrgustiku, selle allrühmade ja vastava halduskoostöörühma koosolekutel. Samuti peaks ta seda halduskoostöörühma abistama tehnilist ja logistilist tuge pakkuva täitevsekretariaadi näol. (57)Õigeaegsete, proportsionaalsete ja tulemuslike meetmete tagamiseks seoses digielemente sisaldavate toodetega, mis kujutavad endast olulist küberriski, tuleks ette näha liidu kaitsemenetlus, mille raames teavitatakse huvitatud isikuid meetmetest, mida kavatsetakse selliste toodete suhtes võtta. See peaks võimaldama ka turujärelevalveasutustel koostöös asjaomaste ettevõtjatega vajaduse korral varem reageerida. Kui liikmesriigid ja komisjon nõustuvad liikmesriigi võetud meetmete põhjendustega, siis ei peaks komisjon rohkem sekkuma, välja arvatud juhul, kui mittevastavus on põhjendatav puudustega harmoneeritud standardis. (58)Teatavatel juhtudel võib käesoleva määruse nõuetele vastav digielemente sisaldav toode siiski kujutada olulist küberriski või olla risk isikute tervise ja ohutuse, põhiõiguste kaitseks mõeldud liidu või liikmesriigi õigusest tulenevate kohustuste täitmise, [direktiivi XXX/XXXX (küberturvalisuse 2. direktiiv) I lisas] osutatud liiki elutähtsate üksuste poolt elektroonilise infosüsteemi abil osutatavate teenuste käideldavuse, autentsuse, tervikluse või konfidentsiaalsuse või avalike huvide kaitse muude aspektide jaoks. Seepärast on vaja kehtestada õigusnormid, mis tagaksid selliste riskide maandamise. Seetõttu peaksid turujärelevalveasutused võtma meetmeid, mis kohustaksid ettevõtjaid tagama, et toode ei kujuta endast enam kõnealust riski, selle tagasi nõudma või turult kõrvaldama, olenevalt sellest, millise riskiga on tegu. Niipea kui turujärelevalveasutus piirab sellisel moel toote vaba liikumist või keelab selle, peab liikmesriik ajutistest meetmetest viivitamata teatama komisjonile ja teistele liikmesriikidele ning esitama otsuse põhjused ja põhjenduse. Kui turujärelevalveasutus võtab endast riski kujutavate toodete suhtes selliseid meetmeid, peaks komisjon viivitamata alustama konsultatsioone liikmesriikide ja asjaomas(t)e ettevõtja(te)ga ning riiklikku meedet hindama. Kõnealuse hindamise tulemuste põhjal peaks komisjon otsustama, kas riiklik meede on põhjendatud või mitte. Komisjon peaks adresseerima oma otsuse kõikidele liikmesriikidele ning edastama selle viivitamata neile ja asjaomas(t)ele ettevõtja(te)le. Kui meedet peetakse põhjendatuks, võib komisjon kaaluda ka võimalust võtta vastu ettepanekud liidu vastavate õigusaktide läbivaatamiseks. (59)Kui tegemist on digielemente sisaldavate toodetega, mis kujutavad endast olulist küberriski, ja kui on alust uskuda, et need tooted ei vasta käesolevale määrusele, või kui tegemist on toodetega, mis vastavad käesolevale määrusele, kuid kujutavad endast muid olulisi riske, näiteks riski inimeste tervisele või ohutusele, põhiõigustele või [direktiivi XXX/XXXX (küberturvalisuse 2. direktiiv) I lisas] osutatud liiki elutähtsate üksuste poolt osutatavatele teenustele, võib komisjon taotleda, et ENISA teeks hindamise. Selle hindamise põhjal võib komisjon võtta rakendusaktidega vastu liidu tasandi parandusmeetmeid või piiravaid meetmeid, sealhulgas nõuda turult kõrvaldamist või tagasinõudmist mõistliku aja jooksul, mis vastab riski laadile. Komisjon võib sellist sekkumist kasutada üksnes erandlike asjaolude korral, mis õigustavad viivitamatut sekkumist siseturu hea toimimise säilitamiseks, ning seda üksnes juhul, kui järelevalveasutused ei ole võtnud olukorra parandamiseks tulemuslikke meetmeid. Sellised erandlikud asjaolud võivad olla hädaolukorrad, kus näiteks tootja on nõuetele mittevastava toote mitmes liikmesriigis laialdaselt kättesaadavaks teinud, [direktiivi XXX/XXXX (küberturvalisuse 2. direktiiv)] kohaldamisalasse kuuluvad üksused kasutavad neid ka võtmetähtsusega sektorites, samas kui toodetel on teadaolevad nõrkused, mida pahatahtlikud isikud ära kasutavad ja mille parandamiseks ei paku tootja paiku. Sellistes hädaolukordades võib komisjon sekkuda ainult erandlike asjaolude kestel ja juhul, kui käesoleva määruse rikkumine või ilmnenud olulised riskid püsivad. (60)Kui on märke, et käesolevat määrust ei täideta mitmes liikmesriigis, peaks turujärelevalveasutustel olema võimalik võtta ette ühismeetmeid koos teiste asutustega, et kontrollida vastavust ja teha kindlaks digielemente sisaldavate toodete küberriskid. (61)Samaaegsed koordineeritud kontrollimeetmed („lauskontrollid“) on turujärelevalveasutuste konkreetsed normide täitmise tagamise meetmed, mis võivad aidata tooteohutust veelgi parandada, Lauskontrolle tuleks eelkõige teha juhul, kui turusuundumused, tarbijate kaebused või muud andmed viitavad sellele, et teatavad tootekategooriad põhjustavad sageli küberriske. ENISA peaks esitama turujärelevalveasutustele ettepanekud tootekategooriate kohta, mille suhtes võiks korraldada lauskontrolle, tuginedes muu hulgas toote nõrkuste ja intsidentide kohta saadud teadetele. (62)Tagamaks, et õigusraamistikku saab vajaduse korral kohandada, tuleks komisjonile delegeerida õigus võtta vastu õigusakte vastavalt aluslepingu artiklile 290, et ajakohastada III lisas loetletud kriitilise tähtsusega toodete loetelu ja täpsustada nende tootekategooriate määratlusi. Komisjonile tuleks delegeerida õigus võtta kooskõlas nimetatud artikliga vastu õigusakte, et teha kindlaks digielemente sisaldavad tooted, mille suhtes kohaldatakse muid liidu õigusnorme, millega saavutatakse samal tasemel kaitse kui käesoleva määrusega, ning täpsustada, kas oleks vaja piiranguid või erandeid käesoleva määruse kohaldamisalast ning, kui see on asjakohane, siis ka kõnealuse piirangu ulatus. Õigus võtta kooskõlas nimetatud artikliga vastu õigusakte tuleks komisjonile delegeerida ka selleks, et vajaduse korral lubada sertifitseerida teatavaid digielemente sisaldavaid ülikriitilise tähtsusega tooteid, tuginedes käesolevas määruses sätestatud kriitilise tähtsuse kriteeriumidele, ning selleks, et täpsustada ELi vastavusdeklaratsiooni minimaalne sisu ja täiendada elemente, mis peavad olema tehnilises dokumentatsioonis. On eriti oluline, et komisjon viiks ettevalmistava töö käigus läbi asjakohaseid konsultatsioone, sealhulgas ekspertide tasandil, ja et kõnealused konsultatsioonid toimuksid kooskõlas 13. aprilli 2016. aasta institutsioonidevahelises parema õigusloome kokkuleppes sätestatud põhimõtetega. Eelkõige selleks, et tagada võrdne osalemine delegeeritud õigusaktide ettevalmistamises, saavad Euroopa Parlament ja nõukogu kõik dokumendid liikmesriikide ekspertidega samal ajal ning nende ekspertidel on pidev juurdepääs komisjoni eksperdirühmade koosolekutele, millel arutatakse delegeeritud õigusaktide ettevalmistamist. (63)Selleks et tagada käesoleva määruse rakendamise ühetaolised tingimused, tuleks komisjonile anda rakendamisvolitused, et: täpsustada tarkvaramaterjalide loetelu vorm ja elemendid, veelgi täpsustada, milline peab olema tootja poolt aktiivselt ärakasutatavate nõrkuste ja intsidentide kohta ENISA-le esitatavas teates sisalduva teabe liik, vorming ja teatamise kord, täpsustada Euroopa küberturvalisuse sertifitseerimise kavad, mis on vastu võetud määruse (EL) 2019/881 kohaselt ja mida saab kasutada, et tõendada vastavust käesoleva määruse I lisas sätestatud olulistele nõuetele või nende osadele, võtta vastu ühiseid kirjeldusi I lisas sätestatud oluliste nõuete kohta, kehtestada piktogrammide või digielemente sisaldavate toodete turvalisusega seotud muude märgiste tehnilisi kirjeldusi ja nende kasutamist edendavaid mehhanisme, otsustada erandlike asjaolude korral, mis õigustavad viivitamatut sekkumist siseturu hea toimimise jätkumiseks, liidu tasandi parandusmeetmete või piiravate meetmete üle. Neid volitusi tuleks teostada kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) nr 182/2011. (64)Turujärelevalveasutuste usaldusliku ja konstruktiivse koostöö tagamiseks liidu ja riikide tasandil peaksid kõik käeoleva määruse kohaldamises osalejad austama oma ülesannete täitmise käigus saadud teabe ja andmete konfidentsiaalsust. (65)Et tagada käesolevas määruses sätestatud kohustuste tõhus täitmine, peaks igal turujärelevalveasutusel olema õigus määrata haldustrahve või taotleda nende määramist. Seepärast tuleks kehtestada käesolevas määruses sätestatud kohustuste täitmata jätmise eest siseriiklikus õiguses sätestatavate haldustrahvide maksimummäärad. Igal üksikjuhul haldustrahvi suuruse üle otsustades tuleks arvesse võtta kõiki konkreetse olukorra asjakohaseid aspekte ja vähemalt neid asjaolusid, mis on käesolevas määruses sõnaselgelt sätestatud, sealhulgas seda, kas teised turujärelevalveasutused on sama ettevõtja suhtes juba kohaldanud haldustrahve samalaadse rikkumise eest. Sellised asjaolud võivad olla kas raskendavad, kui sama ettevõtja rikkumine jätkub mõne muu liikmesriigi territooriumil kui see, kus haldustrahvi on juba kohaldatud, või leevendavad, kui tagatakse, et mõne teise turujärelevalveasutuse poolt samale ettevõtjale või sama liiki rikkumise puhul kaalutava muu haldustrahvi korral tuleks koos muude asjakohaste konkreetsete asjaoludega juba arvesse võtta ka teistes liikmesriikides määratud karistust ja selle suurust. Kõigil sellistel juhtudel peaks kumulatiivse haldustrahvi puhul, mida mitme liikmesriigi turujärelevalveasutused võivad samale ettevõtjale sama liiki rikkumise eest kohaldada, olema tagatud proportsionaalsuse põhimõtte järgimine. (66)Kui haldustrahv määratakse isikule, kes ei ole ettevõtja, peaks pädev asutus sobiva trahvisumma määramisel arvesse võtma üldist sissetulekutaset selles liikmesriigis ja isiku majanduslikku olukorda. See, kas ja mil määral tuleks kohaldada trahve avaliku sektori asutustele, peaks olema liikmesriikide otsustada. (67)Oma suhetes kolmandate riikidega püüab EL edendada reguleeritud toodete rahvusvahelist kaubandust. Kaubavahetuse hõlbustamiseks võib vastavushindamise ja reguleeritud toodete suhtes kohaldada mitmesuguseid meetmeid, sealhulgas mitmeid õigusakte, näiteks kahepoolset (valitsustevahelist) vastastikuse tunnustamise lepingut. Vastastikuse tunnustamise lepingud sõlmitakse liidu ja selliste kolmandate riikide vahel, kus on tehniline areng võrreldaval tasemel ja kelle lähenemisviis vastavushindamisele on samalaadne. Kõnealused lepingud põhinevad selliste sertifikaatide, vastavusmärgiste ja testimisaruannete vastastikusel aktsepteerimisel, mille ühe poole vastavushindamisasutused on väljastanud kooskõlas teise poole õigusaktidega. Praegu kehtivad vastastikuse tunnustamise lepingud mitme riigi puhul. Lepingud on sõlmitud mitmes konkreetses valdkonnas, mis võivad riigiti erineda. Mõistes, et digielemente sisaldavate toodete tarneahelad on ülemaailmsed, võib liit sõlmida käesoleva määrusega reguleeritud toodete puhul vastavushindamist käsitlevaid vastastikuse tunnustamise lepinguid vastavalt ELi toimimise lepingu artiklile 218, et kaubavahetust veelgi hõlbustada. Et tugevdada kübervastupidavust kogu maailmas, on oluline ka koostöö partnerriikidega, sest pikas perspektiivis aitab see tugevdada küberturvalisuse raamistikku nii ELis kui ka väljaspool seda.

(68)Komisjon peaks huvitatud isikutega konsulteerides käesoleva määruse sätted regulaarselt läbi vaatama, eelkõige selleks, et teha kindlaks, kas neid on vaja muuta seoses ühiskondlike, poliitiliste, tehnoloogiliste ja turutingimuste muutumisega. (69)Ettevõtjatele tuleks anda piisavalt aega käesoleva määruse nõuetega kohanemiseks. Käesolevat määrust tuleks hakata kohaldama [24 kuu jooksul] alates selle jõustumisest, välja arvatud aktiivselt ärakasutatavaid nõrkusi ja intsidente käsitlevate aruandluskohustuste osas, mida tuleks hakata kohaldama [12 kuu jooksul] alates käesoleva määruse jõustumisest. (70)Liikmesriigid ei suuda käesoleva määruse eesmärki piisavalt saavutada, küll aga saab neid meetme ulatuse tõttu paremini saavutada liidu tasandil, ja seega võib liit võtta meetmeid kooskõlas Euroopa Liidu lepingu artiklis 5 sätestatud subsidiaarsuse põhimõttega. Nimetatud artiklis sätestatud proportsionaalsuse põhimõtte kohaselt ei lähe käesolev määrus nimetatud eesmärgi saavutamiseks vajalikust kaugemale. (71)Vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 artikli 42 lõikele 1 on konsulteeritud Euroopa Andmekaitseinspektoriga, kes esitas oma arvamuse [...], ON VASTU VÕTNUD KÄESOLEVA MÄÄRUSE: I PEATÜKK ÜLDSÄTTED Artikkel 1 Reguleerimisese Käesoleva määrusega nähakse ette: (a)õigusnormid, mis reguleerivad digielemente sisaldavate toodete turule laskmist, et tagada selliste toodete küberturvalisus; (b)digielemente sisaldavate toodete projekteerimise, arendamise ja tootmise olulised nõuded ning kohustused, mida ettevõtjad peavad selliste toodete puhul seoses küberturvalisusega täitma; (c)selliste protsesside olulised nõuded, mille tootjad on kehtestanud nõrkuste käitlemiseks, et tagada digielemente sisaldavate toodete küberturvalisus kogu toote elutsükli vältel, ning ettevõtjate kohustused seoses nende protsessidega; (d)õigusnormide turujärelevalve ja eespool nimetatud õigusnormide ja nõuete täitmise tagamise kohta. Artikkel 2 Kohaldamisala 1.Käesolevat määrust kohaldatakse digielemente sisaldavate toodete suhtes, mille kavandatud või mõistlikult prognoositav kasutamine hõlmab otsest või kaudset loogilist või füüsilist andmeühendust mõne seadme või võrguga. 2.Käesolevat määrust ei kohaldata digielemente sisaldavate toodete suhtes, mille suhtes kohaldatakse järgmisi liidu õigusakte: (a)määrus (EL) 2017/745; (b)määrus (EL) 2017/746;

(c)määrus (EL) 2019/2144. 3.Käesolevat määrust ei kohaldata digielemente sisaldavate toodete suhtes, mis on sertifitseeritud vastavalt määrusele (EL) 2018/1139. 4.Käesoleva määruse kohaldamist digielemente sisaldavate toodete suhtes, mis kuuluvad ka muude selliste liidu õigusnormide kohaldamisalasse, millega on kehtestatud nõuded, mis käsitlevad kõiki või mõningaid I lisas sätestatud oluliste nõuetega hõlmatud riske, võib piirata või selle välistada, kui: (a)selline piiramine või välistamine on kooskõlas nende toodete suhtes kohaldatava üldise reguleeriva raamistikuga ning (b)valdkondlike normidega saavutatakse samasugune kaitsetase kui käesoleva määrusega. Komisjonil on õigus võtta vastu delegeeritud õigusakte vastavalt artiklile 50, et muuta käesolevat määrust ning täpsustada, olenevalt asjaoludest, kas selline piiramine või välistamine on vajalik, milliseid tooteid ja õigusnorme see puudutab ja milline on piirangu ulatus. 5.Käes