EUROOPAN KOMISSIO Bryssel 15.9.2022 COM(2022) 454 final 2022/0272(COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS digitaalisia elementtejä sisältävien tuotteiden horisontaalisista kyberturvavaatimuksista ja asetuksen (EU) 2019/1020 muuttamisesta (ETA:n kannalta merkityksellinen teksti) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



PERUSTELUT 1.EHDOTUKSEN TAUSTA •Ehdotuksen perustelut ja tavoitteet Laitteisto- ja ohjelmistotuotteisiin kohdistuu enenevässä määrin onnistuneita kyberhyökkäyksiä. Kyberrikollisuuden arvioidut maailmanlaajuiset vuotuiset kokonaiskustannukset olivat vuoteen 2021 mennessä nousseet jo 5,5 biljoonaan euroon. Tällaisiin tuotteisiin liittyy kaksi merkittävää ongelmaa, jotka aiheuttavat käyttäjille ja yhteiskunnalle lisäkustannuksia: 1) kyberturvallisuuden alhainen taso, joka johtuu laajalle levinneistä haavoittuvuuksista ja niiden korjaamiseksi tarvittavien tietoturvapäivitysten riittämättömästä ja epäjohdonmukaisesta tarjonnasta ja 2) käyttäjien riittämätön ymmärrys ja tiedonsaanti, mikä estää valitsemasta tuotteita, joilla on riittävät kyberturvaominaisuudet, tai estää käyttämästä tuotteita tietoturvallisesti. Verkotetussa ympäristössä yhden tuotteen kyberturvapoikkeama voi vaikuttaa kokonaiseen organisaatioon tai koko toimitusketjuun, ja se leviää sisämarkkinoilla rajojen yli usein minuuteissa. Tämä voi johtaa taloudellisen ja sosiaalisen toiminnan vakaviin häiriöihin tai jopa hengenvaaraan. Digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuudella on vahva rajat ylittävä ulottuvuus, sillä yhdessä maassa valmistettuja tuotteita käytetään usein monissa muissa maissa sisämarkkinoilla. Lisäksi tietoturvapoikkeamat, jotka vaikuttavat alun perin yhteen toimijaan tai yhteen jäsenvaltioon, leviävät usein minuuteissa koko sisämarkkinoille. Vaikka nykyistä sisämarkkinalainsäädäntöä sovelletaan tiettyihin digitaalisia elementtejä sisältäviin tuotteisiin, suurin osa laitteisto- ja ohjelmistotuotteista ei tällä hetkellä kuulu minkään kyberturvallisuutta koskevan EU-lainsäädännön piiriin. Nykyisessä EU:n oikeudellisessa kehyksessä ei käsitellä sulauttamattomien ohjelmistojen kyberturvallisuutta, vaikka tällaisten tuotteiden haavoittuvuuksiin kohdistuu yhä enemmän kyberhyökkäyksiä, mikä aiheuttaa merkittäviä yhteiskunnallisia ja taloudellisia kustannuksia. On olemassa lukuisia esimerkkejä merkittävistä kyberhyökkäyksistä, jotka ovat seurausta tuotteiden epäoptimaalisesta tietoturvasta, kuten WannaCry-kiristysohjelma, joka hyödynsi Windows-käyttöjärjestelmän haavoittuvuutta. Se saastutti 200 000 tietokonetta 150 maassa vuonna 2017 ja aiheutti miljardien Yhdysvaltain dollarien vahingot. Kaseya VSA -toimitusketjuhyökkäyksessä hyökättiin Kaseyan verkonhallintaohjelmiston avulla yli tuhanteen yritykseen ja muun muassa pakotettiin ruotsalainen valintamyymäläketju sulkemaan kaikki 500 myymäläänsä eri puolilla Ruotsia. On myös lukuisia tapauksia, joissa pankkisovelluksia on hakkeroitu rahan varastamiseksi kuluttajilta. Sisämarkkinoiden moitteettoman toiminnan varmistamiseksi asetettiin kaksi päätavoitetta: 1) luodaan edellytykset digitaalisia elementtejä sisältävien tietoturvallisten tuotteiden kehittämiselle varmistamalla, että laitteisto- ja ohjelmistotuotteet saatetaan markkinoille vähemmin haavoittuvuuksin ja että valmistajat suhtautuvat tietoturvaan vakavasti tuotteen koko elinkaaren ajan ja 2) luodaan olosuhteet, joissa käyttäjät voivat ottaa kyberturvan huomioon valitessaan ja käyttäessään digitaalisia elementtejä sisältäviä tuotteita. Lisäksi asetettiin neljä erityistavoitetta: i) varmistetaan, että valmistajat parantavat digitaalisia elementtejä sisältävien tuotteiden tietoturvaa suunnittelu- ja kehitysvaiheesta lähtien ja koko elinkaaren ajan, ii) luodaan johdonmukaiset kyberturvapuitteet, joissa laite- ja ohjelmistovalmistajien on helpompi noudattaa vaatimuksia, iii) lisätään läpinäkyvyyttä digitaalisia elementtejä sisältävien tuotteiden tietoturvaominaisuuksien suhteen ja iv) luodaan yrityksille ja kuluttajille edellytyksiä käyttää digitaalisia elementtejä sisältäviä tuotteita tietoturvallisesti. Kyberturvallisuuden selkeästi rajat ylittävä luonne ja lisääntyvät poikkeamat, joilla on heijastusvaikutuksia yli maiden, toimialojen ja tuotteiden rajojen, merkitsevät, että jäsenvaltiot eivät voi saavuttaa tavoitteita tuloksellisesti yksin. Koska digitaalisia elementtejä sisältävien tuotteiden markkinat ovat maailmanlaajuiset, jäsenvaltiot kohtaavat kaikki alueellaan samoja riskejä samojen tuotteiden osalta. Kehittymässä oleva hajanainen, mahdollisesti toisistaan poikkeavista kansallisista säännöistä syntyvä ympäristö saattaa myös haitata digitaalisia elementtejä sisältävien tuotteiden avoimia ja kilpailukykyisiä sisämarkkinoita. Näin ollen tarvitaan EU:n tason yhteisiä toimia käyttäjien luottamuksen lisäämiseksi ja digitaalisia elementtejä sisältävien EU-lähtöisten tuotteiden houkuttelevuuden lisäämiseksi. Tämä hyödyttäisi myös sisämarkkinoita tarjoamalla oikeusvarmuutta ja luomalla tasapuoliset toimintaedellytykset digitaalisia elementtejä sisältävien tuotteiden toimittajille, mitä korostetaan myös Euroopan tulevaisuuskonferenssin loppuraportissa, jossa kansalaiset vaativat EU:lta vahvempaa roolia kyberuhkien torjunnassa. •Vuorovaikutus muiden alaa koskevien politiikkojen säännösten kanssa EU-kehys sisältää useita horisontaalisia säädöksiä, jotka kattavat tiettyjä kyberturvallisuuteen eri näkökulmista liittyviä seikkoja (tuotteet, palvelut, kriisinhallinta ja rikollisuus). Tietojärjestelmiin kohdistuvista hyökkäyksistä annettu direktiivi, jolla yhdenmukaistettiin useiden tietojärjestelmiin kohdistuvien rikosten kriminalisointi ja niistä määrättävät seuraamukset, tuli voimaan vuonna 2013. Elokuussa 2016 tuli voimaan verkko- ja tietojärjestelmien turvallisuudesta annettu direktiivi (EU) 2016/1148 (ns. NIS-direktiivi), joka on ensimmäinen EU:n laajuinen kyberturvallisuutta koskeva säädös. Direktiivin tarkistus, joka johti direktiiviin [direktiivi XXX/XXXX, ns. NIS2-direktiivi], nostaa EU:n yhteistä tavoitetasoa. Vuonna 2019 tuli voimaan EU:n kyberturvasäädös, jolla pyritään parantamaan tieto- ja viestintäteknisten tuotteiden, palvelujen ja prosessien tietoturvaa ottamalla käyttöön vapaaehtoinen eurooppalainen kyberturvallisuuden sertifiointikehys. Koko toimitusketjun kyberturvallisuus voidaan varmistaa vain, jos kaikki sen osatekijät ovat kyberturvallisia. Edellä mainitussa EU:n lainsäädännössä on kuitenkin tältä osin huomattavia aukkoja, koska se ei sisällä digitaalisia elementtejä sisältävien tuotteiden tietoturvaa koskevia pakollisia vaatimuksia. Ehdotettu kyberkestävyyssäädös kattaa markkinoille saatetut digitaalisia elementtejä sisältävät tuotteet, kun taas direktiivillä [direktiivi XXX/XXX (NIS2)] pyritään varmistamaan keskeisten ja tärkeiden toimijoiden tarjoamien palvelujen korkeatasoinen kyberturvallisuus. Direktiivin XXX/XXXX (NIS2) mukaan jäsenvaltioiden on varmistettava, että sen soveltamisalaan kuuluvat keskeiset ja tärkeät toimijat, kuten terveydenhuollon tai pilvipalvelujen tarjoajat ja julkishallinnon toimijat, toteuttavat asianmukaiset ja oikeasuhteiset tekniset, operatiiviset ja organisatoriset kyberturvatoimenpiteet. Tähän sisältyy muun muassa vaatimus varmistaa tietoturva verkko- ja tietojärjestelmien hankinnoissa, kehittämisessä ja ylläpidossa, mukaan lukien haavoittuvuuksien käsittely ja niistä tiedottaminen. Direktiivin [direktiivi XXX/XXXX (NIS2)] mukaan komissio hyväksyy täytäntöönpanosäädökset, joissa vahvistetaan tietyntyyppisten toimijoiden, kuten pilvipalveluntarjoajien, osalta kyseisiin toimenpiteisiin liittyvät tekniset ja menetelmävaatimukset, 21 kuukauden kuluessa direktiivin voimaantulopäivästä. Kaikkien muiden toimijoiden osalta komissio voi hyväksyä täytäntöönpanosäädöksiä, joissa vahvistetaan teknisiä ja menetelmävaatimuksia, sekä asettaa alakohtaisia vaatimuksia. Tällä kehyksellä varmistetaan, että myös palveluna tarjottavien ohjelmistojen (Software-as-a-Service) suunnittelua, kehittämistä ja haavoittuvuuksien käsittelyä varten on olemassa tekniset eritelmät ja vaatimukset, jotka vastaavat kyberkestävyyssäädöksen olennaisia kyberturvavaatimuksia. Tämä voisi olla keino varmistaa korkea kyberturvataso esimerkiksi sähköisissä terveystietojärjestelmissä, myös silloin, kun ne toimitetaan palveluna tarjottavien ohjelmistojen muodossa tai niitä kehitetään terveydenhuollon yksiköiden sisäisesti ehdotetun [eurooppalaisesta terveysdata-avaruudesta annetun asetuksen] mukaisesti. Vuorovaikutus unionin muiden politiikkojen kanssa Kuten tiedonannossa ”Euroopan digitaalista tulevaisuutta rakentamassa” todetaan, on ratkaisevan tärkeää, että EU hyödyntää kaikki digiajan edut ja vahvistaa teollista ja innovointikapasiteettiaan turvallisten ja eettisten rajojen puitteissa. Euroopan datastrategiassa esitetään neljä pilaria – tietosuoja, perusoikeudet, turvallisuus ja kyberturvallisuus – datavetoisen yhteiskunnan olennaisina edellytyksinä. Tuotteisiin, joihin voi sisältyä myös digitaalisia elementtejä, sovellettava EU:n nykyinen kehys sisältää useita säädöksiä, kuten tiettyjä tuotteita koskevan EU:n lainsäädännön, joka kattaa turvallisuuteen liittyviä näkökohtia, ja tuotevastuuta koskevan yleisen lainsäädännön. Nyt käsillä oleva ehdotus on johdonmukainen nykyisen tuotteisiin liittyvän EU:n sääntelykehyksen sekä viimeaikaisten lainsäädäntöehdotusten, kuten komission asetusehdotuksen [tekoälyasetus] kanssa. Ehdotettua asetusta sovellettaisiin kaikkiin komission delegoidun asetuksen (EU) 2022/30 soveltamisalaan kuuluviin radiolaitteisiin. Lisäksi tässä asetuksessa säädetyt vaatimukset sisältävät kaikki direktiivin 2014/53/EU 3 artiklan 3 kohdan d, e ja f alakohdassa tarkoitettujen olennaisten vaatimusten osat, mukaan lukien kyseisen delegoidun asetuksen perusteella annetussa [Euroopan standardointijärjestöille esitetystä standardointipyynnöstä annetussa komission täytäntöönpanopäätöksessä XXX/2022] vahvistetut keskeiset osat. Sääntelyn päällekkäisyyden välttämiseksi komissio aikoo kumota delegoidun asetuksen tai muuttaa sitä ehdotetun asetuksen soveltamisalaan kuuluvien radiolaitteiden osalta siten, että niihin sovelletaan viimeksi mainittua asetusta, kun asetuksen soveltaminen alkaa. Päällekkäisen työn välttämiseksi komission ja eurooppalaisten standardointijärjestöjen on tarkoitus ottaa huomioon standardointityö, joka on tehty RED-direktiivin mukaista delegoitua asetusta 2022/30 koskevasta standardointipyynnöstä annetun komission täytäntöönpanopäätöksen C(2022) 5637 yhteydessä, kun yhdenmukaistettuja standardeja valmistellaan ja kehitetään asetuksen täytäntöönpanon helpottamiseksi. 2.OIKEUSPERUSTA, TOISSIJAISUUSPERIAATE JA SUHTEELLISUUSPERIAATE •Oikeusperusta

Tämän ehdotuksen oikeusperusta on Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 114 artikla, jossa määrätään toimenpiteistä sisämarkkinoiden toteuttamisen ja toiminnan varmistamiseksi. Ehdotuksen tarkoituksena on yhdenmukaistaa digitaalisia elementtejä sisältävien tuotteiden kyberturvavaatimukset kaikissa jäsenvaltioissa ja poistaa esteitä tavaroiden vapaalta liikkuvuudelta. SEUT-sopimuksen 114 artiklaa voidaan käyttää oikeusperustana tällaisten esteiden esiintymisen estämiseksi, kun esteet johtuisivat erilaisista kansallisista laeista ja lähestymistavoista, jotka koskevat nykyisten oikeudellisten kehysten oikeudellisen epävarmuuden poistamista ja aukkojen paikkaamista. Lisäksi unionin tuomioistuin on todennut, että epäyhtenäisten teknisten vaatimusten soveltaminen voi olla pätevä peruste SEUT-sopimuksen 114 artiklan soveltamiselle. Digitaalisia elementtejä sisältäviin tuotteisiin sovellettava EU:n nykyinen lainsäädäntökehys perustuu SEUT-sopimuksen 114 artiklaan ja sisältää useita säädöksiä, kuten tiettyjä tuotteita koskevan EU:n lainsäädännön, joka kattaa turvallisuuteen liittyviä näkökohtia, ja tuotevastuuta koskevan yleisen lainsäädännön. Se kattaa kuitenkin vain tietyt näkökohdat, jotka liittyvät aineellisten digitaalisten tuotteiden ja näihin tuotteisiin sulautettujen ohjelmistojen kyberturvallisuuteen. Jäsenvaltiot ovat alkaneet toteuttaa kansallisia toimenpiteitä, joissa edellytetään, että digitaalisten tuotteiden toimittajat parantavat tuotteidensa kyberturvallisuutta. Samalla digitaalisten tuotteiden kyberturvallisuudella on kuitenkin erityisen vahva rajat ylittävä ulottuvuus, sillä yhdessä maassa valmistettuja tuotteita käyttävät usein organisaatiot ja kuluttajat monissa muissa maissa koko sisämarkkinoilla. Poikkeamat, jotka koskevat alun perin yhtä toimijaa tai jäsenvaltiota, leviävät usein minuuteissa organisaatioiden, toimialojen ja jäsenvaltioiden rajojen yli. EU:n ja kansallisella tasolla tähän mennessä käyttöön otetuilla eri säädöksillä ja aloitteilla puututaan havaittuihin ongelmiin vain osittain ja vaarana on, että sisämarkkinoilla syntyy lainsäädännön hajanaisuutta, mikä lisää sekä näiden tuotteiden toimittajien että käyttäjien oikeudellista epävarmuutta ja aiheuttaa yrityksille tarpeetonta rasitetta, kun ne joutuvat noudattamaan samantyyppisten tuotteiden osalta toisistaan eriäviä vaatimuksia. Ehdotetulla asetuksella yhdenmukaistettaisiin ja virtaviivaistettaisiin EU:n sääntely-ympäristöä ottamalla käyttöön yhteiset kyberturvavaatimukset digitaalisia elementtejä sisältäville tuotteille, ja vältettäisiin eri säädöksistä johtuvat päällekkäiset vaatimukset. Tämä lisäisi oikeusvarmuutta toimijoiden ja käyttäjien näkökulmasta kaikkialla unionissa, yhdenmukaistaisi Euroopan sisämarkkinoita ja loisi suotuisammat olosuhteet toimijoille, jotka pyrkivät EU:n markkinoille. Toissijaisuusperiaate (jaetun toimivallan osalta) Kyberturvallisuuden ylipäätään selkeästi rajat ylittävä luonne ja lisääntyvät riskit ja poikkeamat, joilla on heijastusvaikutuksia yli maiden, toimialojen ja tuotteiden rajojen, merkitsevät, että jäsenvaltiot eivät voi saavuttaa nyt tarkasteltavana olevan intervention tavoitteita tuloksellisesti yksin. Kansalliset lähestymistavat ongelmien ratkaisemiseen ja erityisesti lähestymistavat, joilla otetaan käyttöön pakollisia vaatimuksia, lisäävät oikeudellista epävarmuutta ja oikeudellisia esteitä. Tämä voisi estää yrityksiä laajentamasta toimintaansa saumattomasti muihin jäsenvaltioihin, ja käyttäjät eivät pääsisi hyötymään niiden tuotteista. Näin ollen tarvitaan EU:n tason yhteisiä toimia käyttäjien luottamuksen lisäämiseksi ja digitaalisia elementtejä sisältävien EU-lähtöisten tuotteiden houkuttelevuuden lisäämiseksi. Tämä hyödyttäisi myös digitaalisia sisämarkkinoita ja sisämarkkinoita yleensä tarjoamalla oikeusvarmuutta ja luomalla tasapuoliset toimintaedellytykset digitaalisia elementtejä sisältävien tuotteiden valmistajille. Olennaista on myös todeta, että Euroopan unionin kybertoimien kehittämisestä 23. toukokuuta 2022 annetuissa neuvoston päätelmissä kehotetaan komissiota ehdottamaan vuoden 2022 loppuun mennessä verkkoon liitettyjä laitteita koskevia yhteisiä kyberturvavaatimuksia. Suhteellisuusperiaate Ehdotetun asetuksen oikeasuhteisuuden osalta voidaan todeta, että tarkasteltuihin toimintavaihtoehtoihin sisältyvät toimenpiteet eivät menisi pidemmälle kuin on tarpeen yleisten ja erityisten tavoitteiden saavuttamiseksi eivätkä aiheuttaisi suhteettomia kustannuksia. Tarkemmin sanoen tarkasteltavalla interventiolla varmistettaisiin, että digitaalisia elementtejä sisältävät tuotteet olisivat tietoturvallisia koko niiden elinkaaren ajan. Tähän päästäisiin objektiivisilla ja teknologianeutraaleilla, riskeihin oikein suhteutetuilla vaatimuksilla, jotka pysyvät kohtuullisella tasolla ja ovat yleisesti ottaen asianomaisten toimijoiden etujen mukaisia. Ehdotuksen keskeiset kyberturvavaatimukset perustuvat laajalti käytettyihin standardeihin, ja tulevassa standardointiprosessissa otettaisiin huomioon tuotteiden tekniset erityispiirteet. Tämä tarkoittaa, että jos tietty riskitaso sitä edellyttäisi, tietoturvavalvontaa mukautettaisiin tarvittavalla tavalla. Lisäksi kaavailluissa horisontaalisissa säännöissä vaadittaisiin kolmannen osapuolen suorittamaa arviointia vain kriittisille tuotteille. Tämä koskisi siis vain pientä osaa digitaalisia elementtejä sisältävien tuotteiden markkinoista. Vaikutus pk-yrityksiin riippuisi niiden läsnäolosta näiden tiettyjen tuoteluokkien markkinoilla. Vaatimustenmukaisuuden arvioinnista aiheutuvien kustannusten oikeasuhteisuuden osalta voidaan todeta, että ilmoitetut laitokset, jotka suorittavat arviointeja kolmansina osapuolina, ottaisivat yrityksen koon huomioon maksuja määrittäessään. Lisäksi säädettäisiin kohtuullisesta 24 kuukauden siirtymäajasta täytäntöönpanon valmistelemiseksi, jotta asianomaisilla markkinoilla olisi aikaa valmistautua, ja samalla annettaisiin selkeä suunta T&K-investoinneille. Yrityksille säännösten noudattamisesta mahdollisesti aiheutuvat kustannukset kompensoituisivat hyödyillä, joita saadaan digitaalisia elementtejä sisältävien tuotteiden tietoturvan paranemisesta ja viime kädessä käyttäjien näitä tuotteita kohtaan tunteman luottamuksen lisääntymisestä. •Toimintatavan valinta Sääntelyllinen interventio edellyttäisi asetusta direktiivin sijaan. Tämä johtuu siitä, että tämäntyyppisen tuotelainsäädännön tapauksessa asetuksella puututtaisiin havaittuihin ongelmiin tuloksellisemmin ja saavutettaisiin asetetut tavoitteet, koska kyseessä on interventio, jolla asetetaan ehtoja hyvin laajan tuoteluokan saattamiselle sisämarkkinoille. Direktiivin saattaminen osaksi kansallista lainsäädäntöä voisi jättää liikaa harkintavaltaa kansalliselle tasolle, mikä saattaisi johtaa tiettyjen olennaisten kyberturvavaatimusten epäyhdenmukaisuuteen, oikeudelliseen epävarmuuteen, suurempaan hajanaisuuteen tai jopa syrjintään rajat ylittävissä tilanteissa, varsinkin kun otetaan huomioon, että soveltamisalaan kuuluvilla tuotteilla voi olla useita käyttötarkoituksia tai -kohteita ja että valmistajat voivat tuottaa useita tällaisten tuotteiden luokkia. 3.JÄLKIARVIOINTIEN, SIDOSRYHMIEN KUULEMISTEN JA VAIKUTUSTENARVIOINTIEN TULOKSET •Sidosryhmien kuuleminen Komissio on kuullut laajasti erilaisia sidosryhmiä. Jäsenvaltioita ja sidosryhmiä pyydettiin osallistumaan avoimeen julkiseen kuulemiseen sekä kyselyihin ja työpajoihin, joita järjestettiin komission vaikutustenarvioinnin valmistelutyötä tukevan konsortion tekemän tutkimuksen yhteydessä. Konsortioon kuuluivat Wavestone, Centre for European Policy Studies (CEPS) ja ICF. Kuultuihin sidosryhmiin kuului kansallisia markkinavalvontaviranomaisia, kyberturvallisuutta käsitteleviä unionin elimiä, laitteistojen ja ohjelmistojen valmistajia, laitteistojen ja ohjelmistojen maahantuojia ja jakelijoita, toimialajärjestöjä, kuluttajajärjestöjä ja digitaalisia elementtejä sisältävien tuotteiden käyttäjiä sekä yksittäisiä kansalaisia, tutkijoita ja tiedeyhteisön edustajia, ilmoitettuja laitoksia ja akkreditointilaitoksia sekä kyberturvallisuusalan ammattilaisia. Kuulemistoimiin sisältyivät: ·Alustava selvitys, jonka toteuttivat ICF, Wavestone, Carsa ja CEPS ja joka julkaistiin joulukuussa 2021. Tutkimuksessa havaittiin useita markkinoiden toimintapuutteita ja arvioitiin mahdollisia sääntelytoimia.

·Avoin julkinen kuuleminen, joka oli suunnattu kansalaisille, sidosryhmille ja kyberturvallisuuden asiantuntijoille. Vastauksia saatiin 176. Kuuleminen auttoi kokoamaan erilaisia mielipiteitä ja kokemuksia kaikentyyppisiltä sidosryhmiltä. ·Komission kyberkestävyyssäädöksen valmistelutyötä tukevan selvityksen yhteydessä järjestettyihin työpajoihin osallistui noin 100 eri sidosryhmien edustajaa kaikista 27 jäsenvaltiosta. ·Lisäksi tehtiin asiantuntijahaastatteluja, jotta saataisiin syvällisempi käsitys digitaalisia elementtejä sisältäviin tuotteisiin liittyvistä nykyisistä kyberturvahaasteista ja joissa keskusteltiin toimintavaihtoehdoista mahdollisia sääntelytoimia silmällä pitäen. ·Kansallisten kyberturvallisuusviranomaisten, yksityisen sektorin ja kuluttajajärjestöjen kanssa käytiin kahdenvälisiä keskusteluja. ·Yhteyttä pidettiin myös alan keskeisiin pk-yrityksiin. •Asiantuntijatiedon keruu ja käyttö Kuulemistoimilla pyrittiin saamaan palautetta viidestä keskeisestä arviointikriteeristä, jotka perustuvat EU:n paremman sääntelyn suuntaviivoihin (vaikuttavuus, tehokkuus, relevanssi, johdonmukaisuus, EU:n tason lisäarvo), sekä mahdollisten toimintavaihtoehtojen potentiaalisista vaikutuksista. Sen lisäksi, että selvityksen toimeksisaaja on ollut yhteydessä sidosryhmiin, joihin ehdotettu asetus vaikuttaisi suoraan, se on kuullut myös lukuisia kyberturvallisuuden asiantuntijoita. •Vaikutustenarviointi Komissio teki ehdotuksesta vaikutustenarvioinnin, joka toimitettiin komission sääntelyntarkastelulautakunnan käsiteltäväksi. Lautakunnan kanssa pidettiin kokous 6. heinäkuuta 2022, minkä jälkeen se antoi myönteisen lausunnon. Vaikutustenarviointia kuitenkin mukautettiin sääntelyntarkastelulautakunnan suositusten ja huomautusten huomioon ottamiseksi. Komissio tarkasteli erilaisia toimintavaihtoehtoja, joilla ehdotuksen yleiset tavoitteet voitaisiin saavuttaa: ·Ei-sitova lähestymistapa ja vapaaehtoiset toimenpiteet (vaihtoehto 1): Tässä vaihtoehdossa ei tehtäisi sitovaa sääntelyllistä interventiota. Sen sijaan komissio antaisi tiedonantoja, ohjeistusta, suosituksia ja mahdollisesti käytännesääntöjä vapaaehtoisten toimenpiteiden edistämiseksi. Vapaaehtoisia tai pakollisia kansallisia järjestelmiä kehitettäisiin edelleen EU:n horisontaalisten sääntöjen puuttumisen kompensoimiseksi. ·Tapauskohtaiset interventiot, jotka koskisivat digitaalisia elementtejä sisältävien aineellisten tuotteiden ja niihin sulautettujen ohjelmistojen kyberturvallisuutta (vaihtoehto 2): Tämä vaihtoehto sisältäisi tapaus- ja tuotekohtaisen intervention, joka rajoittuisi kyberturvavaatimusten täydentämiseen ja/tai muuttamiseen jo voimassa olevassa lainsäädännössä tai uuden lainsäädännön antamiseen uusien riskien ilmetessä, mukaan lukien mahdollisesti sulauttamattomien ohjelmistojen osalta. Vaihtoehdot 3 ja 4 edellyttäisivät tietyn laajuista horisontaalista interventiota, joka vastaisi suurelta osin tuotteiden kaupan pitämistä koskevaa uutta lainsäädäntökehystä (New Legislative Framework, NLF). Kehyksessä asetetaan olennaisten vaatimusten täyttyminen edellytykseksi tiettyjen tuotteiden sisämarkkinoille saattamiselle. Kehyksessä säädetään yleensä myös vaatimustenmukaisuuden arvioinnista, jonka valmistaja suorittaa sen osoittamiseksi, täyttyvätkö kyseiset tuotteelle asetetut vaatimukset. ·Yhdistetty lähestymistapa, johon kuuluisivat digitaalisia elementtejä sisältävien aineellisten tuotteiden ja niihin sulautettujen ohjelmistojen kyberturvallisuutta koskevat horisontaaliset pakolliset säännöt sekä sulauttamattomia ohjelmistoja koskeva porrastettu lähestymistapa (vaihtoehto 3): Tähän vaihtoehtoon sisältyisi asetus, jolla otettaisiin käyttöön horisontaaliset kyberturvavaatimukset kaikille digitaalisia elementtejä sisältäville aineellisille tuotteille ja niihin sulautetuille ohjelmistoille edellytyksenä markkinoille saattamiselle, ja siihen sisältyisi kaksi alavaihtoehtoa, joissa joko edellytettäisiin tai ei edellytettäisi pakollista kolmannen osapuolen tekemää arviointia (alavaihtoehdot 3i ja 3ii). Sulauttamattomia ohjelmistoja ei säänneltäisi. ·Horisontaalinen sääntelytoimi, jolla otetaan käyttöön kyberturvallisuusvaatimuksia laajalle joukolle digitaalisia elementtejä sisältäviä aineellisia ja aineettomia tuotteita, mukaan lukien sulauttamattomat ohjelmistot (vaihtoehto 4): Tämä vaihtoehto muistuttaa soveltamisalaa lukuun ottamatta vaihtoehtoa 3. Vaihtoehdossa 4 mahdollinen asetus kattaisi sulauttamattomat ohjelmistot (kaksi alavaihtoehtoa, joista toinen kattaa vain kriittiset ohjelmistot (alavaihtoehto 4a) ja toinen kaikki ohjelmistot (alavaihtoehto 4b)). Kunkin alavaihtoehdon osalta harkittaisiin samoja vaatimustenmukaisuuden arviointiin liittyviä alavaihtoehtoja kuin vaihtoehdossa 3. Vaihtoehto 4 (alavaihtoehdolla, joka kattaa kaikki ohjelmistot ja edellyttää kriittisten tuotteiden pakollista kolmannen osapuolen arviointia) nousi parhaaksi vaihtoehdoksi, kun arvioitiin tuloksellisuutta suhteessa erityistavoitteisiin ja kustannustehokkuutta verrattuna hyötyihin. Tällä vaihtoehdolla varmistettaisiin horisontaalisten kyberturvavaatimusten asettaminen kaikille digitaalisia elementtejä sisältäville tuotteille, jotka asetetaan saataville sisämarkkinoilla, ja se olisi ainoa vaihtoehto, joka kattaisi koko digitaalisen toimitusketjun. Tällainen interventio kattaisi myös sulauttamattomat ohjelmistot, jotka ovat usein alttiita haavoittuvuuksille. Näin varmistettaisiin johdonmukainen lähestymistapa digitaalisia elementtejä sisältäviä kaikkia tuotteita varten, sekä eri talouden toimijoiden selkeä vastuunjako. Tämä toimintavaihtoehto tuo lisäarvoa myös, koska se kattaa huolellisuusvelvoitteeseen ja koko elinkaareen liittyvät näkökohdat sen jälkeen, kun digitaalisia elementtejä sisältävä tuote on saatettu markkinoille, jotta varmistetaan muun muassa asianmukainen tiedottaminen tietoturvatuesta ja tietoturvapäivitysten tarjoamisesta. Tämä toimintavaihtoehto täydentäisi myös tuloksellisimmin verkko- ja tietoturvakehyksen (NIS) hiljattain tehtyä tarkistusta luomalla edellytykset vahvemmalle koko toimitusketjun tietoturvalle. Parhaaksi arvioidusta vaihtoehdosta koituisi merkittäviä hyötyjä eri sidosryhmille. Yritysten kannalta se estäisi sen, että digitaalisia elementtejä sisältäviin tuotteisiin alettaisiin soveltaa toisistaan poikkeavia tietoturvasääntöjä. Se vähentäisi myös asiaan liittyvän kyberturvalainsäädännön noudattamisesta aiheutuvia kustannuksia. Se vähentäisi kyberturvapoikkeamien määrää, poikkeamien käsittelykustannuksia ja mainehaittaa. Arvion mukaan aloite voisi koko EU:ssa alentaa yrityksiä haittaavista poikkeamista aiheutuvia kustannuksia noin 180–290 miljardilla eurolla vuodessa. Se kasvattaisi liikevaihtoa, kun digitaalisia elementtejä sisältävien tuotteiden käyttö lisääntyisi. Se parantaisi eurooppalaisten yritysten mainetta maailmalla ja johtaisi myös EU:n ulkopuolelta tulevan kysynnän kasvuun. Käyttäjien kannalta taas parhaaksi arvioitu vaihtoehto lisäisi läpinäkyvyyttä tietoturvaominaisuuksien suhteen ja helpottaisi digitaalisia elementtejä sisältävien tuotteiden käyttöä. Myös kuluttajien ja kansalaisten perusoikeudet, kuten yksityisyyden suoja ja tietosuoja, turvattaisiin paremmin. Kun julkisen kuulemisen vastaajia pyydettiin arvioimaan eri toimintatapojen tuloksellisuutta, vastaajat olivat yhtä mieltä siitä, että vaihtoehto 4 olisi vaikuttavin toimenpide (4,08 asteikolla 1–5). Tätä mieltä olivat kuluttajajärjestöt (5,00), käyttäjiksi itsensä ilmoittaneet vastaajat (4,22), ilmoitetut laitokset (4,17), markkinavalvontaviranomaiset (5,00) ja digitaalisia elementtejä sisältävien tuotteiden valmistajat (3,85), mukaan lukien pienet ja keskisuuret valmistajat (4,05). •Sääntelyn toimivuus ja yksinkertaistaminen

Tässä ehdotuksessa asetetaan vaatimuksia ohjelmistojen ja laitteistojen valmistajille. On tarpeen varmistaa oikeusvarmuus ja välttää tuotteisiin liittyvien kyberturvavaatimusten hajanaistuminen entisestään sisämarkkinoilla. Tästä tarpeesta on osoituksena eri sidosryhmien laaja tuki horisontaaliselle interventiolle. Ehdotuksella minimoidaan useista tuoteturvallisuussäädöksistä valmistajille aiheutuva sääntelytaakka. Koska ehdotus on sovitettu yhteen tuotteiden kaupan pitämistä koskevan uuden lainsäädäntökehyksen kanssa, intervention toimivuus paranee ja sen toimintaa on helpompi valvoa. Ehdotuksella virtaviivaistetaan varmistusmenettelyjä ottamalla valmistajat ja jäsenvaltiot niihin mukaan ennen komissiolle ilmoittamista. Suuri osa ehdotuksen soveltamisalaan kuuluvista valmistajista tuntee jo tuotteiden kaupan pitämistä koskevan uuden lainsäädäntökehyksen toiminnan, mikä helpottaa ehdotuksen ymmärtämistä ja täytäntöönpanoa. Kuluttajien ja yritysten kannalta ehdotuksella lisätään luottamusta digitaalisia elementtejä sisältäviä tuotteita kohtaan. •Perusoikeudet Kaikkien toimintavaihtoehtojen odotetaan jossain määrin tehostavan perusoikeuksien ja -vapauksien suojaa, kuten yksityisyyden ja henkilötietojen suojaa, elinkeinovapautta sekä omaisuuden tai henkilökohtaisen ihmisarvon ja koskemattomuuden suojaa. Erityisesti parhaaksi arvioitu toimintavaihtoehto 4, joka koostuu horisontaalisista interventioista ja laajasta soveltamisalasta, olisi tältä osin tuloksellisin, koska se todennäköisesti auttaisi vähentämään poikkeamien, myös henkilötietoturvaloukkausten, määrää ja vakavuusastetta. Se myös parantaisi oikeusvarmuutta ja loisi talouden toimijoille tasapuoliset toimintaedellytykset, lisäisi käyttäjien luottamusta ja lisäisi digitaalisia elementtejä sisältävien EU-tuotteiden houkuttelevuutta kokonaisuudessaan. Näin suojeltaisiin talouden toimijoiden omaisuutta ja parannettaisiin niiden liiketoimintaedellytyksiä. Horisontaaliset kyberturvavaatimukset edistäisivät henkilötietoturvaa suojaamalla tietojen luottamuksellisuutta, eheyttä ja käytettävyyttä digitaalisia elementtejä sisältävissä tuotteissa. Näiden vaatimusten täyttäminen edesauttaa yleisen tietosuoja-asetuksen (EU) 2016/679 (GDPR) mukaisen henkilötietojen käsittelyn tietoturvaa koskevan vaatimuksen täyttymistä. Ehdotuksella lisättäisiin läpinäkyvyyttä ja tiedottamista käyttäjille, myös sellaisille käyttäjille, joiden kyberturvaosaaminen voi olla vähäisempää. Käyttäjät saisivat myös paremmin tietoa digitaalisia elementtejä sisältävien tuotteiden riskeistä, toiminnoista ja rajoituksista, mikä antaisi heille paremmat mahdollisuudet ennaltaehkäistä ja lieventää jäljelle jääviä riskejä. 4.TALOUSARVIOVAIKUTUKSET Voidakseen hoitaa sille tällä asetuksella osoitetut tehtävät Euroopan unionin kyberturvallisuusviraston (ENISA) on kohdennettava uudelleen noin 4,5 kokoaikaisen työntekijän verran resursseja. Komission olisi kohdennettava uudelleen 7 kokoaikaisen työntekijän verran resursseja tämän asetuksen täytäntöönpanoon liittyvien velvollisuuksiensa täyttämiseksi. Yksityiskohtainen erittely kustannuksista esitetään tähän ehdotukseen liittyvässä rahoitusselvityksessä. 5.LISÄTIEDOT •Toteuttamissuunnitelmat, seuranta, arviointi ja raportointijärjestelyt Komissio seuraa näiden uusien säännösten täytäntöönpanoa, soveltamista ja noudattamista niiden vaikuttavuuden arvioinnin näkökulmasta. Asetuksessa pyydetään komissiolta asetuksen arviointia ja uudelleentarkastelua ja kehotetaan komissiota toimittamaan asiaa käsittelevä julkinen kertomus Euroopan parlamentille ja neuvostolle viimeistään 36 kuukauden kuluttua soveltamispäivästä ja sen jälkeen neljän vuoden välein. •Ehdotukseen sisältyvien säännösten yksityiskohtaiset selitykset Yleiset säännökset (I luku) Asetusehdotuksessa vahvistetaan a) säännöt digitaalisia elementtejä sisältävien tuotteiden markkinoille saattamiselle niiden kyberturvallisuuden varmistamiseksi, b) digitaalisia elementtejä sisältävien tuotteiden suunnittelua, kehittämistä ja tuotantoa koskevat olennaiset vaatimukset ja näihin tuotteisiin liittyvät talouden toimijoiden kyberturvavelvoitteet, c) olennaiset vaatimukset haavoittuvuuksien käsittelyprosesseille, joita valmistajat ovat ottaneet käyttöön varmistaakseen digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuuden koko niiden elinkaaren ajan, sekä näihin prosesseihin liittyvät talouden toimijoiden velvoitteet ja d) markkinavalvontaa ja edellä mainittujen sääntöjen ja vaatimusten noudattamisen valvontaa koskevat säännöt. Ehdotettua asetusta sovelletaan kaikkiin digitaalisia elementtejä sisältäviin tuotteisiin, joiden aiottu ja kohtuudella ennakoitavissa oleva käyttö sisältää suoran tai epäsuoran loogisen tai fyysisen datayhteyden johonkin laitteeseen tai verkkoon. Ehdotettua asetusta ei sovelleta digitaalisia elementtejä sisältäviin tuotteisiin, jotka kuuluvat asetuksen (EU) 2017/745 [ihmisille tarkoitetut lääkinnälliset laitteet ja tällaisten laitteiden lisälaitteet] ja asetuksen (EU) 2017/746 [ihmisten käyttöön tarkoitetut in vitro -diagnostiikkaan tarkoitetut lääkinnälliset laitteet ja tällaisten laitteiden lisälaitteet] soveltamisalaan, koska näihin molempiin asetuksiin sisältyy laitteita, ohjelmistot mukaan lukien, koskevia vaatimuksia, tuotteiden koko elinkaaren kattavia valmistajien yleisiä velvoitteita sekä vaatimustenmukaisuuden arviointimenettelyjä koskevia vaatimuksia. Tätä asetusta ei sovelleta digitaalisia elementtejä sisältäviin tuotteisiin, jotka on sertifioitu asetuksen 2018/1139 [korkea ja yhdenmukainen siviili-ilmailun turvallisuustaso] mukaisesti, eikä tuotteisiin, joihin sovelletaan [moottoriajoneuvojen ja niiden perävaunujen tyyppihyväksyntävaatimuksista sekä tällaisiin ajoneuvoihin tarkoitetuista järjestelmistä, komponenteista ja erillisistä teknisistä yksiköistä annettua] asetusta (EU) 2019/2144. Digitaalisia elementtejä sisältäviin kriittisiin tuotteisiin sovelletaan erityisiä vaatimustenmukaisuuden arviointimenettelyjä, ja ne jaetaan luokkiin I ja II liitteen III mukaisesti kyberturvariskitason mukaisesti siten, että luokka II edustaa suurempaa riskiä. Digitaalisia elementtejä sisältävää tuotetta pidetään kriittisenä ja sen vuoksi se sisällytetään liitteeseen III sen potentiaalisten kyberhaavoittuvuuksien vaikutusten perusteella. Kyberturvariskin määrittämisessä otetaan huomioon muun muassa digitaalisia elementtejä sisältävän tuotteen kyberturvallisuuteen liittyvä toiminnallisuus ja käyttötarkoitus herkissä ympäristöissä, kuten teollisessa käytössä. Komissiolle siirretään myös valta antaa delegoituja säädöksiä, joilla täydennetään tätä asetusta määrittämällä sellaiset erittäin kriittiset digitaalisia elementtejä sisältävät tuoteryhmät, joiden osalta valmistajien on hankittava eurooppalainen kyberturvasertifikaatti eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesti sen osoittamiseksi, että tuotteet ovat liitteessä I vahvistettujen olennaisten vaatimusten tai niiden osien mukaisia. Määrittäessään tällaisia, digitaalisia elementtejä sisältäviä erittäin kriittisiä tuoteryhmiä komissio ottaa huomioon digitaalisia elementtejä sisältävään tuoteryhmään liittyvän kyberturvariskin tason tarkastellen yhtä tai useampaa digitaalisia elementtejä sisältävien kriittisten tuotteiden luetteloinnissa liitteessä III vahvistettua kriteeriä, sekä sitä, käyttävätkö tai hyödyntävätkö direktiivin [direktiivin XXX/XXXX (NIS2) liitteessä [liitteessä I] tarkoitetut keskeiset toimijat kyseistä tuoteryhmää tai onko sillä mahdollisesti tulevaisuudessa merkitystä näiden toimijoiden toiminnan kannalta tai ovatko ne merkityksellisiä digitaalisia elementtejä sisältävien tuotteiden koko toimitusketjun häiriönsietokyvyn kannalta. Talouden toimijoiden velvollisuudet (II luku) Ehdotukseen sisältyy valmistajia, maahantuojia ja jakelijoita koskevia velvollisuuksia, jotka perustuvat päätöksen 768/2008/EY viitesäännöksiin. Olennaisissa kyberturvavaatimuksissa ja -velvoitteissa määrätään, että digitaalisia elementtejä sisältäviä tuotteita voidaan asettaa saataville markkinoilla vain, jos ne asianmukaisesti toimitettuina, asennettuina, huollettuina ja käytettyinä käyttötarkoituksensa mukaisesti tai kohtuudella ennakoitavissa olosuhteissa täyttävät tässä asetuksessa vahvistetut olennaiset kyberturvavaatimukset.

Olennaisilla vaatimuksilla ja velvoitteilla asetettaisiin valmistajille velvollisuus ottaa kyberturvallisuus huomioon digitaalisia elementtejä sisältävien tuotteiden suunnittelussa, kehittämisessä ja tuotannossa, noudattaa tietoturvaan liittyen asianmukaista huolellisuutta tuotteidensa suunnittelussa ja kehittämisessä, tiedottaa avoimesti kyberturvanäkökohdista, jotka on saatettava asiakkaiden tietoon, varmistaa oikeasuhteisella tavalla tietoturvatuki (päivitykset) ja noudattaa haavoittuvuuksien käsittelyä koskevia vaatimuksia. Talouden toimijoille valmistajista aina jakelijoihin ja maahantuojiin saakka asetettaisiin digitaalisia elementtejä sisältävien tuotteiden markkinoille saattamista koskevia velvoitteita sen mukaan, mikä on niiden rooli ja vastuu toimitusketjussa. Digitaalisia elementtejä sisältävän tuotteen vaatimustenmukaisuus (III luku) Yhdenmukaistettujen standardien tai niiden osien, joiden viitetiedot on julkaistu Euroopan unionin virallisessa lehdessä, mukaisen digitaalisia elementtejä sisältävän tuotteen katsotaan täyttävän tämän asetusehdotuksen olennaiset vaatimukset. Jos yhdenmukaistettuja standardeja ei ole tai ne ovat riittämättömiä tai jos standardointimenettely viivästyy kohtuuttomasti tai jos eurooppalaiset standardointiorganisaatiot eivät ole hyväksyneet komission pyyntöä, komissio voi täytäntöönpanosäädöksillä hyväksyä yhteisiä eritelmiä. Lisäksi digitaalisia elementtejä sisältävien tuotteiden, jotka on sertifioitu tai joille on annettu EU-vaatimustenmukaisuusvakuutus tai sertifikaatti asetuksen (EU) 2019/881 mukaisen eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesti ja joiden osalta komissio on täytäntöönpanosäädöksellä vahvistanut, että tämä muodostaa vaatimustenmukaisuusolettaman tämän asetuksen vaatimusten suhteen, oletetaan olevan tämän asetuksen tai sen osien olennaisten vaatimusten mukaisia siltä osin kuin EU-vaatimustenmukaisuusvakuutus tai kyberturvasertifikaatti tai sen osa kattaa kyseiset vaatimukset. Lisäksi valmistajien tarpeettoman hallinnollisen taakan välttämiseksi komission olisi tarvittaessa täsmennettävä, poistaako tällaisen eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesti myönnetty kyberturvasertifikaatti valmistajilta velvoitteen teettää kolmansilla osapuolilla tässä asetuksessa säädetty vaatimustenmukaisuuden arviointi vastaavien vaatimusten osalta. Valmistajan on suoritettava digitaalisia elementtejä sisältävän tuotteen ja haavoittuvuuksien käsittelyprosessiensa vaatimustenmukaisuuden arviointi osoittaakseen, että liitteessä I vahvistetut olennaiset vaatimukset täyttyvät, noudattamalla jotakin liitteessä VI vahvistettua menettelyä. Luokkaan I ja II kuuluvien kriittisten tuotteiden valmistajien on käytettävä vaatimustenmukaisuuden osoittamiseen luokkiin sovellettavia moduuleja. Luokkaan II kuuluvien kriittisten tuotteiden valmistajien on otettava vaatimustenmukaisuuden arviointiin mukaan kolmas osapuoli. Vaatimustenmukaisuuden arviointilaitosten ilmoittaminen (IV luku) Ilmoitettujen laitosten moitteeton toiminta on olennainen edellytys sille, että korkeatasoinen kyberturvallisuus ja kaikkien sidosryhmien luottamus uuden lähestymistavan mukaiseen järjestelmään saadaan varmistettua. Sen vuoksi ehdotuksessa vahvistetaan päätöksen 768/2008/EY mukaisesti vaatimukset, joita sovelletaan vaatimustenmukaisuuden arviointilaitoksista (ilmoitetuista laitoksista) vastaaviin kansallisiin viranomaisiin. Ehdotuksen mukaan jäsenvaltiot vastaavat viime kädessä ilmoitettujen laitosten nimeämisestä ja valvonnasta. Jäsenvaltioiden on nimettävä ilmoittava viranomainen, joka on vastuussa vaatimustenmukaisuuden arviointilaitosten arviointiin ja ilmoittamiseen ja ilmoitettujen laitosten valvontaan liittyvien tarvittavien menettelyjen perustamisesta ja suorittamisesta. Markkinavalvonta ja täytäntöönpano (V luku) Asetuksen (EU) 2019/1020 mukaisesti kansalliset markkinavalvontaviranomaiset toteuttavat markkinavalvontaa kyseisen jäsenvaltion alueella. Jäsenvaltiot voivat nimetä minkä tahansa olemassa olevan tai uuden viranomaisen, mukaan lukien [direktiivin XXX/XXXX (NIS2) XXX artiklassa tarkoitetut kansalliset toimivaltaiset viranomaiset] tai asetuksen (EU) 2019/881 58 artiklassa tarkoitetut nimetyt kansalliset kyberturvasertifiointiviranomaiset, toimimaan markkinavalvontaviranomaisena. Talouden toimijoita pyydetään tekemään täysimääräistä yhteistyötä markkinavalvontaviranomaisten ja muiden toimivaltaisten viranomaisten kanssa. Säädösvallan siirtäminen ja komiteamenettelyt (VI luku) Sen varmistamiseksi, että sääntelykehystä voidaan tarvittaessa mukauttaa, komissiolle siirretään valta hyväksyä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, joilla päivitetään luokkaan I ja II kuuluvien kriittisten tuotteiden luetteloa ja esitetään näiden tuotteiden määritelmät; täsmennetään, onko rajoitus tai poissulkeminen tarpeen sellaisten digitaalisia elementtejä sisältävien tuotteiden osalta, jotka kuuluvat muiden sellaisten unionin sääntöjen soveltamisalaan, joissa vahvistetaan vaatimukset, joilla saavutetaan sama suojelun taso kuin tässä asetuksessa; säädetään tässä asetuksessa vahvistettujen kriteerien perusteella pakolliseksi tiettyjen erittäin kriittisten digitaalisia elementtejä sisältävien tuotteiden sertifiointi; täsmennetään EU-vaatimustenmukaisuusvakuutuksen vähimmäissisältö ja täydennetään teknisiin asiakirjoihin sisällytettäviä tietoelementtejä. Lisäksi komissiolle siirretään valta antaa täytäntöönpanosäädöksiä, joilla: täsmennetään raportointivelvoitteiden ja ohjelmistosisältöluettelon muoto tai osatekijät; yksilöidään eurooppalaiset kyberturvallisuuden sertifiointijärjestelmät, joita voidaan käyttää osoittamaan tässä asetuksessa säädettyjen olennaisten vaatimusten tai niiden osien täyttyminen; hyväksytään yhteisiä eritelmiä; säädetään teknisistä eritelmistä CE-merkinnän sijoittamista varten; hyväksytään unionin tasolla korjaavia tai rajoittavia toimenpiteitä poikkeuksellisissa olosuhteissa, jotka oikeuttavat välittömiin toimiin sisämarkkinoiden moitteettoman toiminnan suojaamiseksi. Luottamuksellisuus ja seuraamukset (VII luku) Kaikkien tätä asetusta soveltavien osapuolten on kunnioitettava tehtäviään suorittaessaan ja toimintaansa harjoittaessaan saamiensa tietojen luottamuksellisuutta. Tässä asetuksessa säädettyjen velvoitteiden tuloksellisen täytäntöönpanon varmistamiseksi kullakin markkinavalvontaviranomaisella olisi oltava valtuudet määrätä hallinnollisia sakkoja tai pyytää niiden määräämistä. Näin ollen tässä asetuksessa vahvistetaan tämän asetuksen velvoitteiden laiminlyömisestä perittävien hallinnollisten sakkojen enimmäismäärät, joista olisi säädettävä kansallisessa lainsäädännössä. Siirtymä- ja loppusäännökset (VIII luku) Jotta valmistajilla, ilmoitetuilla laitoksilla ja jäsenvaltioilla olisi aikaa sopeutua uusiin vaatimuksiin, ehdotettua asetusta aletaan soveltaa [24] kuukauden kuluttua sen voimaantulosta, lukuun ottamatta valmistajia koskevaa raportointivelvollisuutta, jota sovellettaisiin [12 kuukauden] kuluttua voimaantulosta.





2022/0272 (COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS digitaalisia elementtejä sisältävien tuotteiden horisontaalisista kyberturvavaatimuksista ja asetuksen (EU) 2019/1020 muuttamisesta (ETA:n kannalta merkityksellinen teksti) EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 114 artiklan, ottavat huomioon Euroopan komission ehdotuksen, sen jälkeen, kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille, ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon, ottavat huomioon alueiden komitean lausunnon, noudattavat tavallista lainsäätämisjärjestystä, sekä katsovat seuraavaa: (1)Sisämarkkinoiden toimintaa on tarpeen parantaa vahvistamalla yhtenäinen oikeudellinen kehys olennaisille kyberturvavaatimuksille, joita sovelletaan digitaalisia elementtejä sisältävien tuotteiden saattamiseen unionin markkinoille. Olisi puututtava kahteen merkittävään ongelmaan, joista aiheutuu kustannuksia käyttäjille ja yhteiskunnalle: digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuuden alhainen taso, josta ovat osoituksena laajalle levinneet haavoittuvuudet ja niiden korjaamiseksi tarvittavien tietoturvapäivitysten riittämätön ja epäjohdonmukainen tarjonta ja käyttäjien riittämätön ymmärrys ja tiedonsaanti, mikä estää valitsemasta tuotteita, joilla on riittävät kyberturvaominaisuudet, tai estää käyttämästä tuotteita tietoturvallisesti. (2)Tämän asetuksen tavoitteena on luoda edellytykset digitaalisia elementtejä sisältävien tietoturvallisten tuotteiden kehittämiselle varmistamalla, että laitteisto- ja ohjelmistotuotteet saatetaan markkinoille vähemmin haavoittuvuuksin ja että valmistajat suhtautuvat tietoturvaan vakavasti tuotteen koko elinkaaren ajan. Sillä pyritään myös luomaan olosuhteet, joissa käyttäjät voivat ottaa kyberturvallisuuden huomioon valitessaan ja käyttäessään digitaalisia elementtejä sisältäviä tuotteita. (3)Tällä hetkellä voimassa oleva asiaa koskeva unionin lainsäädäntö sisältää useita horisontaalisia säännöstöjä, joissa käsitellään tiettyjä kyberturvatekijöitä eri näkökulmista, mukaan lukien toimenpiteet digitaalisen toimitusketjun tietoturvan parantamiseksi. Kyberturvallisuuteen liittyvä voimassa oleva unionin lainsäädäntö, mukaan lukien [direktiivi XXX/XXXX (NIS2)] ja Euroopan parlamentin ja neuvoston asetus (EU) 2019/881, ei kuitenkaan suoraan kata digitaalisia elementtejä sisältävien tuotteiden tietoturvaa koskevia pakollisia vaatimuksia. (4)Voimassa olevaa unionin lainsäädäntöä sovelletaan tiettyihin digitaalisia elementtejä sisältäviin tuotteisiin, mutta ei ole olemassa horisontaalista unionin sääntelykehystä, jossa vahvistettaisiin kattavat kyberturvavaatimukset kaikille digitaalisia elementtejä sisältäville tuotteille. Unionin ja kansallisella tasolla tähän mennessä käyttöön otetuilla eri säädöksillä ja aloitteilla puututaan havaittuihin kyberturvaongelmiin vain osittain ja vaarana on, että sisämarkkinoilla syntyy lainsäädännön hajanaisuutta, mikä lisää sekä näiden tuotteiden valmistajien että käyttäjien oikeudellista epävarmuutta ja luo yrityksille tarpeetonta rasitetta, kun ne joutuvat noudattamaan samantyyppisten tuotteiden osalta toisistaan eriäviä vaatimuksia. Näiden tuotteiden kyberturvallisuudella on kuitenkin erityisen vahva rajat ylittävä ulottuvuus, sillä yhdessä maassa valmistettuja tuotteita käyttävät usein organisaatiot ja kuluttajat monissa muissa maissa koko sisämarkkinoilla. Tämän vuoksi alaa on tarpeen säännellä unionin tasolla. Unionin sääntely-ympäristö olisi yhdenmukaistettava asettamalla digitaalisia elementtejä sisältäville tuotteille kyberturvavaatimukset. Lisäksi olisi parannettava oikeusvarmuutta toimijoiden ja käyttäjien näkökulmasta kaikkialla unionissa ja yhdenmukaistettava sisämarkkinoita luoden samalla suotuisammat olosuhteet toimijoille, jotka pyrkivät unionin markkinoille. (5)Unionin tasolla erilaisissa ohjelmakohtaisissa ja poliittisissa asiakirjoissa, kuten EU:n kyberturvallisuusstrategiassa digitaaliselle vuosikymmenelle, 2 päivänä joulukuuta 2020 ja 23 päivänä toukokuuta 2022 annetuissa neuvoston päätelmissä ja Euroopan parlamentin 10 päivänä kesäkuuta 2021 antamassa päätöslauselmassa, peräänkuulutetaan erityisiä unionin kyberturvavaatimuksia digitaalisille tai verkotetuille tuotteille, ja useat maat eri puolilla maailmaa ovat ottaneet oma-aloitteisesti käyttöön sääntelyä asian ratkaisemiseksi. Euroopan tulevaisuuskonferenssin loppuraportissa kansalaiset kehottivat vahvistamaan EU:n roolia kyberturvauhkien torjunnassa. (6)Kaikkien sisämarkkinoille saatettujen digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuuden yleisen tason nostamiseksi on tarpeen ottaa käyttöön näille tuotteille horisontaalisesti sovellettavat objektiiviset ja teknologianeutraalit olennaiset kyberturvavaatimukset. (7)Tietyissä olosuhteissa kaikki digitaalisia elementtejä sisältävät tuotteet, jotka ovat laajempaan sähköiseen tietojärjestelmään integroituja tai liitettyjä, voivat päätyä vihamielisten toimijoiden hyökkäyskanaviksi. Tämän johdosta myös vähemmän kriittisinä pidetyt laitteistot ja ohjelmistot voivat helpottaa laitteen tai verkon ensi vaiheen vaarantumista, jolloin vihamieliset toimijat voivat saada luvattoman pääsyn järjestelmään tai siirtyä samantasoisten järjestelmien välillä. Tästä syystä valmistajien olisi varmistettava, että kaikki liitettävissä olevat digitaalisia elementtejä sisältävät tuotteet suunnitellaan ja tuotetaan tässä asetuksessa säädettyjen olennaisten vaatimusten mukaisesti. Tämä koskee sekä tuotteita, jotka voidaan liittää fyysisesti laitteistorajapintojen kautta, että tuotteita, jotka voidaan liittää loogisesti, kuten verkkorajapintojen, pipe-ratkaisujen, tiedostojen, sovellusrajapintojen tai muiden ohjelmistorajapintojen kautta. Koska kyberturvauhat voivat edetä erilaisten digitaalisia elementtejä sisältävien tuotteiden kautta ennen tietyn kohteen saavuttamista, esimerkiksi ketjuttamalla yhteen useita haavoittuvuuksia, valmistajien olisi varmistettava myös sellaisten tuotteiden kyberturvallisuus, jotka on liitetty muihin laitteisiin tai verkkoihin vain välillisesti.

(8)Asettamalla kyberturvavaatimuksia digitaalisia elementtejä sisältävien tuotteiden markkinoille saattamiselle parannetaan näiden tuotteiden kyberturvallisuutta sekä kuluttajien että yritysten kannalta. Tämä pätee myös vaatimuksiin, jotka koskevat haavoittuvassa asemassa oleville kuluttajille tarkoitettujen digitaalisia elementtejä sisältävien kulutustuotteiden, kuten lelujen ja itkuhälyttimien, saattamista markkinoille. (9)Tällä asetuksella varmistetaan digitaalisia elementtejä sisältävien tuotteiden kyberturvallisuuden korkea taso. Sillä ei säännellä palveluja, kuten ohjelmistopalveluja (Software-as-a-Service, SaaS), lukuun ottamatta digitaalisia elementtejä sisältävään tuotteeseen liittyvää datan etäkäsittelyä, jolla tarkoitetaan kaikkea etäkäsittelyä, jota varten kyseinen ohjelmisto on suunniteltu ja kehitetty kyseisen tuotteen valmistajan toimesta tai kyseisen valmistajan vastuulla ja jonka puuttuminen estäisi digitaalisia elementtejä sisältävää tuotetta suorittamasta jotakin toimintoaan. Direktiivillä [XXX/XXXX (NIS2)] asetetaan kyberturvallisuutta ja poikkeamien raportointia koskevia vaatimuksia olennaisille ja tärkeille toimijoille, kuten kriittisen infrastruktuurin ylläpitäjille, jotta voidaan parantaa niiden tarjoamien palvelujen häiriönsietokykyä. [Direktiiviä XXX/XXXX (NIS2)] sovelletaan pilvipalveluihin ja pilvipalvelumalleihin, kuten SaaS-palveluihin. Kaikki pilvipalveluja unionissa tarjoavat toimijat, jotka täyttävät tai ylittävät keskisuuria yrityksiä koskevan kynnysarvon, kuuluvat kyseisen direktiivin soveltamisalaan. (10)Jotta ei haitattaisi innovointia tai tutkimusta, tämän asetuksen ei pitäisi kattaa vapaasti käytettävissä olevia ja avoimen lähdekoodin ohjelmistoja, jotka on luotu tai asetettu käytettäviksi kaupallisen toiminnan ulkopuolella. Tämä koskee erityisesti ohjelmistoja, mukaan lukien niiden lähdekoodi ja muunnellut versiot, jotka ovat avoimesti jaettuja ja vapaasti saatavilla, käytettävissä, muunneltavissa ja uudelleen jaeltavissa. Ohjelmistojen yhteydessä toiminnan kaupallisuudesta voi olla merkkinä paitsi tuotteen käytöstä laskuttaminen myös hinnan periminen teknisistä tukipalveluista, muita vastikkeellisia palveluja edellyttävän ohjelmistoalustan tarjoaminen tai henkilötietojen vaatiminen muista syistä kuin yksinomaan ohjelmiston tietoturvan, yhteensopivuuden tai yhteentoimivuuden parantamiseksi. (11)Internetin tietoturvallisuus on välttämätön edellytys kriittisten infrastruktuurien toiminnalle ja koko yhteiskunnalle. [Direktiivin XXX/XXXX (NIS2)] tavoitteena on varmistaa keskeisten ja tärkeiden toimijoiden tarjoamien palvelujen korkea kyberturvataso, mukaan lukien digitaalisen infrastruktuurin tarjoajat, jotka tukevat avoimen internetin ydintoimintoja ja varmistavat pääsyn internetiin ja sen palveluihin. Sen vuoksi on tärkeää, että digitaalisen infrastruktuurin tarjoajien tarvitsemat digitaalisia elementtejä sisältävät tuotteet on kehitetty tietoturvallisiksi ja että ne ovat vakiintuneiden internetin tietoturvastandardien mukaisia. Tämän asetuksen, jota sovelletaan kaikkiin liitettävissä oleviin laitteisto- ja ohjelmistotuotteisiin, tavoitteena on myös auttaa digitaalisen infrastruktuurin tarjoajia noudattamaan [direktiivin XXX/XXXX (NIS2)] mukaisia toimitusketjua koskevia vaatimuksia varmistamalla, että digitaalisia elementtejä sisältävät tuotteet, joita ne käyttävät palvelujensa tarjoamiseen, kehitetään tietoturvallisiksi ja että infrastruktuurin tarjoajien saatavilla on oikea-aikaisesti tällaisten tuotteiden tietoturvapäivityksiä. (12)Euroopan parlamentin ja neuvoston asetuksessa (EU) 2017/745 vahvistetaan lääkinnällisiä laitteita koskevat säännöt ja Euroopan parlamentin ja neuvoston asetuksessa (EU) 2017/746 in vitro -diagnostiikkaan tarkoitettuja lääkinnällisiä laitteita koskevat säännöt. Molemmissa asetuksissa käsitellään kyberturvallisuusriskejä ja noudatetaan tiettyjä lähestymistapoja, jotka sisältyvät myös tähän asetukseen. Asetuksissa (EU) 2017/745 ja (EU) 2017/746 vahvistetaan olennaiset vaatimukset lääkinnällisille laitteille, jotka toimivat sähköisen järjestelmän kautta tai jotka ovat itsessään ohjelmistoja. Asetukset kattavat myös tietyt sulauttamattomat ohjelmistot ja niissä noudatetaan koko elinkaareen perustuvaa lähestymistapaa. Näissä vaatimuksissa edellytetään, että valmistajat kehittävät ja toteuttavat tuotteensa soveltaen riskinhallintaperiaatteita ja täyttäen tietoturvatoimenpiteitä koskevat vaatimukset sekä käyden läpi vastaavat vaatimustenmukaisuuden arviointimenettelyt. Lisäksi lääkinnällisten laitteiden kyberturvallisuudesta on annettu joulukuussa 2019 erityisohjeistusta, jossa lääkinnällisten laitteiden, myös in vitro -diagnostiikkaan tarkoitettujen laitteiden, valmistajille annetaan ohjeita siitä, miten täyttää kaikki kyseisten asetusten liitteissä I vahvistetut kyberturvallisuutta koskevat olennaiset vaatimukset. Sen vuoksi tätä asetusta ei pitäisi soveltaa digitaalisia elementtejä sisältäviin tuotteisiin, jotka kuuluvat jommankumman edellä mainitun asetuksen soveltamisalaan. (13)Euroopan parlamentin ja neuvoston asetuksessa (EU) 2019/2144 vahvistetaan ajoneuvojen sekä niiden järjestelmien ja komponenttien tyyppihyväksyntää koskevat vaatimukset, joihin kuuluu myös tiettyjä kyberturvavaatimuksia, mukaan lukien sertifioidun kyberturvahallintajärjestelmän toiminta ja ohjelmistopäivitykset, jotka kattavat ajoneuvojen, laitteiden ja palvelujen koko elinkaareen liittyviä kyberriskejä koskevat toimintaperiaatteet ja prosessit sovellettavien teknisiä eritelmiä ja kyberturvallisuutta koskevien Yhdistyneiden kansakuntien sääntöjen mukaisesti. Kyseisessä asetuksessa säädetään myös erityisistä vaatimustenmukaisuuden arviointimenettelyistä. Euroopan parlamentin ja neuvoston asetuksessa (EU) 2018/1139 on päätavoitteena siviili-ilmailun yhtenäisen ja korkean turvallisuustason luominen ja ylläpitäminen unionissa. Sillä luodaan puitteet ilmailualan tuotteiden, osien ja varusteiden, ohjelmistot mukaan lukien, olennaisille lentokelpoisuusvaatimuksille, joissa otetaan huomioon tietoturvauhkilta suojautumista koskevat velvoitteet. Digitaalisia elementtejä sisältäviin tuotteisiin, joihin sovelletaan asetusta (EU) 2019/2144, ja kyseisiin tuotteisiin, jotka on sertifioitu asetuksen (EU) 2018/1139 mukaisesti, ei sen vuoksi sovelleta tässä asetuksessa säädettyjä olennaisia vaatimuksia ja vaatimustenmukaisuuden arviointimenettelyjä. Asetuksen (EU) 2018/1139 mukaisella sertifiointimenettelyllä varmistetaan tässä asetuksessa tavoiteltu varmuustaso. (14)Tässä asetuksessa vahvistetaan horisontaalisia kyberturvasääntöjä, jotka eivät koske pelkästään tiettyjä toimialoja tai tiettyjä digitaalisia elementtejä sisältäviä tuotteita. On kuitenkin mahdollista, että vahvistetaan alakohtaisia tai tuotekohtaisia unionin sääntöjä, joilla puututaan kaikkiin tai joihinkin tässä asetuksessa säädettyjen olennaisten vaatimusten kattamiin riskeihin. Tällaisissa tapauksissa tämän asetuksen soveltamista digitaalisia elementtejä sisältäviin tuotteisiin, joihin sovelletaan muita unionin sääntöjä ja niissä vahvistettuja vaatimuksia, jotka koskevat kaikkia tai joitakin tämän asetuksen liitteen I olennaisten vaatimusten kattamista riskeistä, voidaan rajoittaa tai se voidaan sulkea pois, jos tällainen rajoittaminen tai poissulkeminen on johdonmukaista kyseisiin tuotteisiin sovellettavan yleisen sääntelykehyksen kanssa ja jos alakohtaisilla säännöillä saavutetaan sama suojelun taso kuin tässä asetuksessa säädetään. Komissiolle olisi siirrettävä valta antaa delegoituja säädöksiä tämän asetuksen muuttamiseksi yksilöimällä tällaiset tuotteet ja säännöt. Sellaisen voimassa olevan unionin lainsäädännön osalta, jonka suhteen tällaisia rajoituksia tai poissulkemisia olisi sovellettava, tämä asetus sisältää säännöksiä, joilla selvennetään sen suhdetta kyseiseen unionin lainsäädäntöön. (15)Delegoidussa asetuksessa (EU) 2022/30 todetaan, että tiettyihin radiolaitteisiin sovelletaan olennaisia vaatimuksia, joista säädetään direktiivin 2014/53/EU 3 artiklan 3 kohdan d alakohdassa (verkon vahingoittaminen ja verkkoresurssien väärinkäyttö), e alakohdassa (henkilötiedot ja yksityisyys) ja f alakohdassa (petokset). [Euroopan standardointijärjestöille esitetystä standardointipyynnöstä tehdyssä komission täytäntöönpanopäätöksessä XXX/2022] vahvistetaan vaatimukset, joiden mukaisesti on laadittava tietyt standardit sen täsmentämiseksi, miten nämä kolme olennaista vaatimusta olisi täytettävä. Tässä asetuksessa säädetyt vaatimukset kattavat kaikki direktiivin 2014/53/EU 3 artiklan 3 kohdan d, e ja f alakohdassa tarkoitettujen olennaisten vaatimusten osatekijät. Lisäksi tässä asetuksessa säädetyt olennaiset vaatimukset ovat linjassa kyseiseen standardointipyyntöön sisältyvien tiettyjä standardeja koskevien vaatimusten tavoitteiden kanssa. Näin ollen jos komissio kumoaa delegoidun asetuksen (EU) 2022/30 tai muuttaa sitä niin, että sitä ei enää sovelleta tiettyihin tämän asetuksen soveltamisalaan kuuluviin tuotteisiin, komission ja eurooppalaisten standardointijärjestöjen olisi otettava huomioon standardointityö, joka on tehty radiolaitedirektiivin mukaista delegoitua asetusta 2022/30 koskevasta standardointipyynnöstä annetun komission täytäntöönpanopäätöksen C(2022) 5637 yhteydessä, kun yhdenmukaistettuja standardeja valmistellaan ja kehitetään tämän asetuksen täytäntöönpanon helpottamiseksi. (16)Direktiivi 85/374/ETY täydentää tätä asetusta. Kyseisessä direktiivissä vahvistetaan tuotevastuusäännöt, joiden mukaisesti vahinkoa kärsineet voivat vaatia korvausta, jos vahinko on aiheutunut tuoteviasta. Siinä vahvistetaan periaate, jonka mukaan tuotteen valmistaja on tuottamuksellisuudesta riippumatta vastuussa tuotteen puutteellisesta turvallisuudesta johtuvista vahingoista (ns. ankara vastuu). Jos tällainen turvallisuuspuute johtuu siitä, että tuotteen markkinoille saattamisen jälkeen ei ole tehty tietoturvapäivityksiä ja tämä aiheuttaa vahinkoa, valmistaja voi joutua vastuuseen. Valmistajien velvollisuudet, jotka koskevat tällaisten tietoturvapäivitysten tarjoamista, olisi vahvistettava tässä asetuksessa. (17)Tämä asetus ei saisi vaikuttaa Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 soveltamiseen, mukaan lukien säännökset, jotka koskevat tietosuojaa koskevien sertifiointimekanismien ja tietosuojasinettien ja -merkkien käyttöönottoa sen osoittamiseksi, että rekisterinpitäjät ja henkilötietojen käsittelijät noudattavat tietojenkäsittelytoimissaan kyseistä asetusta. Digitaalisia elementtejä sisältävässä tuotteessa voi olla sulautettuna tällaisia tietojenkäsittelytoimia. Sisäänrakennettu ja oletusarvoinen tietosuoja sekä kyberturvallisuus yleensä ovat asetuksen (EU) 2016/679 keskeisiä osatekijöitä. Tässä asetuksessa säädetyillä olennaisilla kyberturvavaatimuksilla suojataan kuluttajia ja organisaatioita kyberturvariskeiltä, joten niillä pyritään myös osaltaan parantamaan henkilötietojen ja yksityisyyden suojaa. Kyberturvanäkökohtien standardoinnin ja sertifioinnin synergioihin olisi pyrittävä yhteistyössä komission, eurooppalaisten standardointiorganisaatioiden, Euroopan unionin kyberturvallisuusviraston (ENISA), asetuksella (EU) 2016/679 perustetun Euroopan tietosuojaneuvoston (EDPB) ja kansallisten tietosuojaviranomaisten välillä. Tämän asetuksen ja unionin tietosuojalainsäädännön välisiä synergioita olisi luotava myös markkinavalvonnan ja täytäntöönpanon alalla. Tätä varten tämän asetuksen nojalla nimettyjen kansallisten markkinavalvontaviranomaisten olisi tehtävä yhteistyötä unionin tietosuojalainsäädännön noudattamista valvovien viranomaisten kanssa. Viimeksi mainituilla olisi myös oltava pääsy tehtäviensä suorittamisen kannalta merkityksellisiin tietoihin. (18)Siltä osin kuin niiden tuotteet kuuluvat tämän asetuksen soveltamisalaan, [asetuksen (EU) N:o 910/2014, sellaisena kuin se on muutettuna ehdotuksella asetukseksi asetuksen (EU) N:o 910/2014 muuttamisesta eurooppalaisen digitaalisen identiteetin kehyksen osalta] 6 a artiklan 2 kohdassa tarkoitettujen eurooppalaisten digitaalisen identiteetin lompakoiden liikkeeseenlaskijoiden olisi noudatettava sekä tässä asetuksessa vahvistettuja horisontaalisia olennaisia vaatimuksia että [asetuksen (EU) N:o 910/2014 6 a artiklassa, sellaisena kuin se on muutettuna ehdotuksella asetukseksi asetuksen (EU) N:o 910/2014 muuttamisesta eurooppalaisen digitaalisen identiteetin kehyksen osalta] vahvistettuja tietoturvavaatimuksia. Vaatimusten noudattamisen helpottamiseksi lompakkojen liikkeeseenlaskijoiden olisi voitava osoittaa, että eurooppalaiset digitaalisen identiteetin lompakot ovat molempien säädösten vaatimusten mukaisia, sertifioimalla tuotteensa sellaisen asetuksella (EU) 2019/881 perustetun eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesti, jonka osalta komissio on täytäntöönpanosäädöksellä määrittänyt vaatimustenmukaisuusolettaman tämän asetuksen suhteen, siltä osin kuin sertifikaatti tai sen osat kattavat kyseiset vaatimukset. (19)Tietyt tässä asetuksessa säädetyt tehtävät olisi asetuksen (EU) 2019/881 3 artiklan 2 kohdan mukaisesti annettava ENISAlle. ENISAn olisi erityisesti saatava valmistajilta ilmoitukset aktiivisesti hyödynnetyistä digitaalisia elementtejä sisältäviin tuotteisiin sisältyvistä haavoittuvuuksista sekä poikkeamista, jotka vaikuttavat kyseisten tuotteiden tietoturvaan. ENISAn olisi myös toimitettava nämä ilmoitukset edelleen asiaan liittyville tietoturvaloukkauksiin reagoiville ryhmille (CSIRT-toimijat) tai direktiivin [direktiivin XXX/XXXX (NIS2)] [X artiklan] mukaisesti nimetyille jäsenvaltioiden keskitetyille yhteyspisteille ja ilmoitettava haavoittuvuudesta asianomaisille markkinavalvontaviranomaisille. ENISAn olisi keräämiensä tietojen perusteella laadittava joka toinen vuosi tekninen raportti digitaalisia elementtejä sisältävien tuotteiden kyberriskien uusista suuntauksista ja toimitettava se direktiivissä [direktiivi XXX/XXXX (NIS2)] tarkoitetulle yhteistyöryhmälle]. Lisäksi ENISAn olisi asiantuntemuksensa ja toimeksiantonsa vuoksi voitava tukea tämän asetuksen täytäntöönpanoprosessia. Sen olisi erityisesti voitava ehdottaa markkinavalvontaviranomaisten yhteisiä toimia saatuaan tietoa digitaalisia elementtejä sisältävien tuotteiden mahdollisista tämän asetuksen vastaisuuksista, joita ilmenee useissa jäsenvaltioissa, tai määrittää tuoteluokkia, joiden osalta olisi järjestettävä samanaikaisia koordinoituja valvontatoimia. Poikkeuksellisissa olosuhteissa ENISAn olisi komission pyynnöstä voitava tehdä arviointeja tietyistä digitaalisia elementtejä sisältävistä tuotteista, jotka aiheuttavat merkittävän kyberturvariskin, jos sisämarkkinoiden moitteettoman toiminnan säilyttämiseksi tarvitaan välittömiä toimia. (20)Digitaalisia elementtejä sisältävissä tuotteissa olisi oltava CE-merkintä, joka osoittaa niiden olevan tämän asetuksen mukaisia, jotta ne voivat liikkua vapaasti sisämarkkinoilla. Jäsenvaltiot eivät saisi perusteettomasti asettaa esteitä sellaisten digitaalisia elementtejä sisältävien tuotteiden markkinoille saattamiselle, jotka ovat tässä asetuksessa vahvistettujen vaatimusten mukaisia ja joissa on CE-merkintä. (21)Sen varmistamiseksi, että valmistajat voivat julkaista ohjelmistoja testaustarkoituksiin ennen tuotteidensa vaatimustenmukaisuuden arviointia, jäsenvaltioiden ei pitäisi estää keskeneräisten ohjelmistojen, kuten alfaversioiden, beetaversioiden tai julkaisuehdokkaiden, asettamista saataville edellyttäen, että versio on saatavilla vain niin kauan kuin on tarpeen sen testaamiseksi ja palautteen keräämiseksi. Valmistajien olisi varmistettava, että näiden edellytysten mukaisesti saataville asetettavat ohjelmistot julkaistaan vasta riskinarvioinnin jälkeen ja että ne täyttävät mahdollisimman suuressa määrin tässä asetuksessa säädetyt digitaalisia elementtejä sisältävien tuotteiden ominaisuuksiin liittyvät tietoturvavaatimukset. Valmistajien olisi mahdollisimman suuressa määrin täytettävä myös haavoittuvuuksien käsittelyä koskevat vaatimukset. Valmistajien ei pitäisi pakottaa käyttäjiä päivittämään ohjelmistojaan versioihin, jotka on julkaistu ainoastaan testaustarkoituksiin. (22)Sen varmistamiseksi, että digitaalisia elementtejä sisältävät tuotteet eivät markkinoille saatettaessa aiheuta kyberturvariskejä yksityishenkilöille ja organisaatioille, tällaisille tuotteille olisi vahvistettava olennaiset vaatimukset. Jos tuotteita myöhemmin muutetaan joko fyysisesti tai digitaalisesti tavalla, jota valmistaja ei ole ennakoinut ja jonka johdosta ne eivät mahdollisesti enää täytä niitä koskevia olennaisia vaatimuksia, muutos olisi katsottava merkittäväksi. Esimerkiksi ohjelmistopäivitykset tai -korjaukset voitaisiin rinnastaa ylläpitotoimiin edellyttäen, että niillä ei muuteta jo markkinoille saatettua tuotetta siten, että se voi vaikuttaa sovellettavien vaatimusten täyttymiseen tai muuttaa käyttötarkoitusta, jota varten tuote on arvioitu. Kuten fyysisten korjausten tai muutosten tapauksessa, digitaalisia elementtejä sisältävän tuotteen olisi katsottava olevan merkittävästi muutettu ohjelmistomuokkauksella, jos ohjelmistopäivitys muuttaa tuotteen alkuperäisiä tarkoitettuja toimintoja, tuotteen tyyppiä tai tuotteen suorituskykyä eikä näitä muutoksia ole otettu huomioon alkuperäisessä riskinarvioinnissa tai vaaran luonne on muuttunut tai riskitaso noussut ohjelmistopäivityksen vuoksi. (23)Unionin yhdenmukaistamislainsäädännön soveltamisalaan kuuluvien tuotteiden osalta yleisesti vahvistetun merkittävän muutoksen käsitteen mukaisesti aina, kun tapahtuu merkittävä muutos, joka voi vaikuttaa siihen, onko tuote tämän asetuksen mukainen, tai kun tuotteen käyttötarkoitus muuttuu, on asianmukaista, että digitaalisia elementtejä sisältävän tuotteen vaatimustenmukaisuus todennetaan ja että sille tehdään tarvittaessa uusi vaatimustenmukaisuuden arviointi. Jos valmistaja suorittaa vaatimustenmukaisuuden arvioinnin, johon osallistuu kolmas osapuoli, muutoksista, jotka voivat johtaa merkittävään muutokseen, olisi ilmoitettava kolmannelle osapuolelle. (24)Digitaalisia elementtejä sisältävän tuotteen asetuksessa [ekologista suunnittelua koskeva asetus] määritelty kunnostaminen, ylläpito ja korjaaminen ei välttämättä johda tuotteen merkittävään muutokseen esimerkiksi kun aiottu käyttötarkoitus ja toiminnallisuus ei muutu eikä riskitasoon kohdistu vaikutusta. Valmistajan suorittama tuoteparannus voi kuitenkin johtaa muutoksiin tuotteen rakenteessa ja toteuttamistavassa ja siten vaikuttaa aiottuun käyttötarkoitukseen ja siihen, onko tuote tässä asetuksessa säädettyjen vaatimusten mukainen. (25)Digitaalisia elementtejä sisältävää tuotetta olisi pidettävä kriittisenä, jos tuotteen mahdollisten kyberturvahaavoittuvuuksien hyödyntämisen kielteinen vaikutus voi olla vakava esimerkiksi kyberturvallisuuteen liittyvän toiminnon tai aiotun käyttötarkoituksen perusteella. Erityisesti sellaisten digitaalisia elementtejä sisältävien tuotteiden haavoittuvuudet, joissa on kyberturvallisuuteen liittyviä toimintoja, kuten suojattuja elementtejä, voivat johtaa tietoturvaongelmien leviämiseen koko toimitusketjussa. Kyberturvapoikkeaman vaikutusten vakavuus voi lisääntyä myös, kun otetaan huomioon tuotteen aiottu käyttötarkoitus, kuten käyttö teollisessa ympäristössä tai [direktiivin XXX/XXXX (NIS2)] liitteessä [liite I] tarkoitetun keskeisen toimijan toiminnassa, tai kun on kyse kriittisten tai arkaluonteisten toimintojen, kuten henkilötietojen käsittelyn, suorittamisesta. (26)Digitaalisia elementtejä sisältäviin kriittisiin tuotteisiin olisi sovellettava tiukempia vaatimustenmukaisuuden arviointimenettelyjä, mutta kuitenkin oikeasuhteisesti. Tätä varten digitaalisia elementtejä sisältävät kriittiset tuotteet olisi jaettava kahteen luokkaan, jotka kuvastavat näihin tuoteluokkiin liittyvän kyberturvariskin tasoa. Luokan II tuotteisiin liittyvä mahdollinen kyberturvapoikkeama voisi johtaa suurempiin kielteisiin vaikutuksiin kuin luokan I tuotteisiin liittyvä poikkeama esimerkiksi niiden kyberturvallisuuteen liittyvän toiminnan luonteen tai arkaluontoisissa ympäristöissä suunnitellun käytön vuoksi, ja siksi ne olisi alistettava tiukempaan vaatimustenmukaisuuden arviointimenettelyyn. (27)Tämän asetuksen liitteessä III tarkoitetut digitaalisia elementtejä sisältävien kriittisten tuotteiden luokat olisi ymmärrettävä sellaisten tuotteiden luokiksi, joilla on jokin tämän asetuksen liitteessä III luetellun tyyppinen ydintoiminto. Tämän asetuksen liitteessä III luetellaan esimerkiksi tuotteet, jotka määritellään ydintoiminnoillaan luokkaan II kuuluviksi yleiskäyttöön tarkoitetuiksi mikroprosessoreiksi. Tästä seuraa, että yleiskäyttöisille mikroprosessoreille on tehtävä pakollinen kolmannen osapuolen suorittama vaatimustenmukaisuuden arviointi. Tämä ei koske muita tuotteita, joita ei nimenomaisesti mainita tämän asetuksen liitteessä III, mutta joihin voi sisältyä yleiskäyttöön tarkoitettu mikroprosessori. Komission olisi annettava [12 kuukauden kuluessa tämän asetuksen voimaantulosta] delegoituja säädöksiä, joissa täsmennetään liitteessä III esitetyt I ja II luokkaan kuuluvien tuoteryhmien määritelmät.

(28)Tällä asetuksella puututaan kohdennetusti kyberturvallisuusriskeihin. Digitaalisia elementtejä sisältävät tuotteet voivat kuitenkin aiheuttaa muita turvallisuusriskejä, jotka eivät liity kyberturvallisuuteen. Näitä riskejä olisi edelleen säänneltävä muulla asiaa koskevalla unionin tuotelainsäädännöllä. Jos muuta unionin yhdenmukaistamislainsäädäntöä ei voida soveltaa, niihin olisi sovellettava asetusta [yleinen tuoteturvallisuusasetus]. Kun otetaan huomioon tämän asetuksen kohdennettu luonne, poiketen siitä, mitä asetuksen [yleinen tuoteturvallisuusasetus] 2 artiklan 1 kohdan kolmannen alakohdan b alakohdassa säädetään, asetuksen [yleinen tuoteturvallisuusasetus] III luvun 1 jakson V ja VII lukua sekä IX-XI lukua olisi sen vuoksi sovellettava digitaalisia elementtejä sisältäviin tuotteisiin tämän asetuksen soveltamisalaan kuulumattomien turvallisuusriskien osalta, jos kyseisiin tuotteisiin ei sovelleta [yleisen tuoteturvallisuusasetuksen 3 artiklan 25 kohdassa] tarkoitettuja unionin muussa yhdenmukaistamislainsäädännössä asetettuja erityisvaatimuksia. (29)Asetuksen XXX [tekoälyasetus] 6 artiklan mukaisesti suuririskisiksi tekoälyjärjestelmiksi luokiteltujen digitaalisia elementtejä sisältävien tuotteiden, jotka kuuluvat tämän asetuksen soveltamisalaan, olisi täytettävä tässä asetuksessa vahvistetut olennaiset vaatimukset. Kun kyseiset suuririskiset tekoälyjärjestelmät täyttävät tämän asetuksen olennaiset vaatimukset, niiden olisi katsottava olevan asetuksen [tekoälyasetus] [15 artiklassa] vahvistettujen kyberturvavaatimusten mukaisia siltä osin kuin kyseiset vaatimukset kuuluvat tämän asetuksen nojalla annetun EU-vaatimustenmukaisuusvakuutuksen tai sen osien piiriin. Tämän asetuksen soveltamisalaan kuuluvan digitaalisia elementtejä sisältävän ja suuririskiseksi tekoälyjärjestelmäksi luokitellun tuotteen olennaisiin kyberturvavaatimuksiin liittyvien vaatimustenmukaisuuden arviointimenettelyjen osalta olisi sovellettava pääsääntöisesti asetuksen [tekoälyasetus] 43 artiklan asiaankuuluvia säännöksiä tämän asetuksen vastaavien säännösten sijasta. Tämä pääsääntö ei kuitenkaan saisi johtaa tämän asetuksen soveltamisalaan kuuluvien digitaalisia elementtejä sisältävien kriittisten tuotteiden tarvittavan varmuustason alenemiseen. Sen vuoksi tästä pääsäännöstä poiketen suuririskisiin tekoälyjärjestelmiin, jotka kuuluvat asetuksen [tekoälyasetus] soveltamisalaan ja jotka luokitellaan myös tämän asetuksen mukaisiksi digitaalisia elementtejä sisältäviksi kriittisiksi tuotteiksi ja joihin sovelletaan asetuksen [tekoälyasetus] liitteessä VI tarkoitettua sisäiseen valvontaan perustuvaa vaatimustenmukaisuuden arviointimenettelyä, olisi sovellettava tämän asetuksen vaatimustenmukaisuuden arviointia koskevia säännöksiä siltä osin kuin kyse on tämän asetuksen olennaisista vaatimuksista. Tässä tapauksessa kaikkiin muihin asetuksen [tekoälyasetus] kattamiin näkökohtiin olisi sovellettava asetuksen [tekoälyasetus] liitteessä VI vahvistettuja sisäiseen valvontaan perustuvaa vaatimustenmukaisuuden arviointia koskevia säännöksiä. (30)Asetuksen [koneasetusehdotus] soveltamisalaan kuuluvien konetuotteiden, jotka ovat tässä asetuksessa tarkoitettuja digitaalisia elementtejä sisältäviä tuotteita ja joille on annettu vaatimustenmukaisuusvakuutus tämän asetuksen pohjalta, olisi katsottava olevan asetuksen [koneasetusehdotus] [liitteessä III olevassa 1.1.9 ja 1.2.1 kohdassa] vahvistettujen olennaisten terveys- ja turvallisuusvaatimusten mukaisia korruptoitumiselta suojautumisen sekä ohjausjärjestelmien turvallisuuden ja luotettavuuden osalta, jos näiden vaatimusten täyttyminen osoitetaan tämän asetuksen nojalla annetulla EU-vaatimustenmukaisuusvakuutuksella. (31)Asetus [ehdotus eurooppalaista terveysdata-avaruutta koskevaksi asetukseksi] täydentää tässä asetuksessa säädettyjä olennaisia vaatimuksia. Asetuksen [eurooppalaista terveysdata-avaruutta koskeva asetusehdotus] soveltamisalaan kuuluvien sähköisten potilaskertomusjärjestelmien, jäljempänä ’sähköiset potilastietojärjestelmät’, jotka ovat tässä asetuksessa tarkoitettuja digitaalisia elementtejä sisältäviä tuotteita, olisi sen vuoksi täytettävä myös tässä asetuksessa säädetyt olennaiset vaatimukset. Niiden valmistajien olisi osoitettava vaatimustenmukaisuus asetuksen [ehdotus eurooppalaisesta terveysdata-avaruudesta] mukaisesti. Vaatimusten noudattamisen helpottamiseksi valmistajat voivat laatia yksittäisen teknisen dokumentaation, joka sisältää molemmissa säädöksissä vaaditut tiedot. Koska tämä asetus ei kata palveluna tarjottavia ohjelmistoja (SaaS) sellaisenaan, SaaS-lisenssillä tarjottavat sähköiset potilastietojärjestelmät eivät kuulu tämän asetuksen soveltamisalaan. Vastaavasti organisaation sisäisesti kehitetyt ja käytettävät sähköiset potilastietojärjestelmät eivät kuulu tämän asetuksen soveltamisalaan, koska niitä ei saateta markkinoille. (32)Sen varmistamiseksi, että digitaalisia elementtejä sisältävät tuotteet ovat tietoturvallisia sekä niiden markkinoille saattamisen ajankohtana että koko niiden elinkaaren ajan, on tarpeen vahvistaa haavoittuvuuksien käsittelyä koskevat olennaiset vaatimukset ja digitaalisia elementtejä sisältävien tuotteiden ominaisuuksiin liittyvät olennaiset kyberturvavaatimukset. Valmistajien olisi täytettävä kaikki haavoittuvuuksien käsittelyn olennaiset vaatimukset ja varmistettava, että kaikki niiden tuotteet toimitetaan ilman tiedossa olevia hyödynnettävissä olevia haavoittuvuuksia, mutta niiden olisi myös määritettävä, mitkä muut tuotteen ominaisuuksiin liittyvät olennaiset vaatimukset ovat merkityksellisiä kyseisen tuotetyypin kannalta. Tätä varten valmistajien olisi suoritettava digitaalisia elementtejä sisältävään tuotteeseen liittyvien kyberturvariskien arviointi kyseeseen tulevien riskien ja olennaisten vaatimusten tunnistamiseksi, jotta ne voisivat käyttää asianmukaisia yhdenmukaistettuja standardeja tai yhteisiä eritelmiä. (33)Sisämarkkinoille saatettavien digitaalisia elementtejä sisältävien tuotteiden tietoturvan parantamiseksi on tarpeen vahvistaa olennaiset vaatimukset. Nämä olennaiset vaatimukset eivät saisi vaikuttaa [direktiivin XXX/XXXX(NIS2)] [XX artiklalla] perustettuihin kriittisiä toimitusketjuja koskeviin koordinoituihin EU:n riskinarviointeihin, joissa otetaan huomioon sekä tekniset että tarvittaessa muut kuin tekniset riskitekijät, kuten kolmannen maan asiaton vaikuttaminen laitteisto- ja ohjelmistotoimittajiin. Lisäksi se ei saisi rajoittaa jäsenvaltioiden oikeuksia asettaa lisävaatimuksia, joissa otetaan häiriönsietokyvyn parantamiseksi huomioon muita kuin teknisiä tekijöitä, mukaan lukien suosituksessa (EU) 2019/534, 5G-verkkojen tietoturvaa koskevassa unionin laajuisessa koordinoidussa riskinarvioinnissa ja [direktiivissä XXX/XXXX (NIS2)] tarkoitetun verkko- ja tietoturva-alan yhteistyöryhmän hyväksymässä 5G-kyberturvallisuutta koskevassa EU:n välineistössä määritellyt tekijät. (34)Jotta kansalliset CSIRT-yksiköt ja direktiivin [direktiivin XX/XXXX (NIS2) [X artiklan] mukaisesti nimetyt keskitetyt yhteyspisteet saavat tehtäviensä suorittamiseksi ja keskeisten ja tärkeiden toimijoiden kyberturvan yleisen tason nostamiseksi tarvitsemansa tiedot ja jotta varmistettaisiin markkinavalvontaviranomaisten toiminnan tuloksellisuus, digitaalisia elementtejä sisältävien tuotteiden valmistajien olisi ilmoitettava ENISAlle aktiivisesti hyödynnetyistä haavoittuvuuksista. Koska useimpia digitaalisia elementtejä sisältäviä tuotteita markkinoidaan koko sisämarkkinoilla, jokainen digitaalisia elementtejä sisältävien tuotteiden hyväksikäytetty haavoittuvuus olisi katsottava uhkaksi sisämarkkinoiden toiminnalle. Valmistajien olisi myös harkittava korjattujen haavoittuvuuksien ilmoittamista direktiivin [direktiivi XX/XXXX (NIS2)] nojalla perustettuun Euroopan haavoittuvuustietokantaan, jota hallinnoi ENISA, tai johonkin muuhun yleisesti saatavilla olevaan haavoittuvuustietokantaan. (35)Valmistajien olisi myös ilmoitettava ENISAlle kaikista poikkeamista, jotka vaikuttavat digitaalisia elementtejä sisältävän tuotteen tietoturvaan. Sen estämättä, mitä direktiivissä [direktiivissä XXX/XXXX (NIS2)] säädetään poikkeamien raportointivelvoitteista keskeisten ja tärkeiden toimijoiden osalta, on ratkaisevan tärkeää, että ENISA, jäsenvaltioiden direktiivin XXX/XXXX (NIS2) [X artiklan] mukaisesti nimeämät keskitetyt yhteyspisteet ja markkinavalvontaviranomaiset saavat digitaalisia elementtejä sisältävien tuotteiden valmistajilta tiedot, joiden avulla ne voivat arvioida näiden tuotteiden tietoturvallisuuden. Jotta käyttäjät voisivat reagoida nopeasti digitaalisia elementtejä sisältävien tuotteiden tietoturvaan vaikuttaviin poikkeamiin, valmistajien olisi ilmoitettava poikkeamista ja tarvittaessa mahdollisista korjaavista toimenpiteistä, joita käyttäjät voivat toteuttaa poikkeaman vaikutusten lieventämiseksi, myös käyttäjilleen, esimerkiksi julkaisemalla asiaankuuluvat tiedot verkkosivustoillaan tai, jos valmistajalla on yhteys käyttäjiin ja jos se on riskien vuoksi perusteltua, ottamalla käyttäjiin suoraan yhteyttä. (36)Digitaalisia elementtejä sisältävien tuotteiden valmistajien olisi otettava käyttöön koordinoidut haavoittuvuuksien ilmoittamisperiaatteet, jotka auttaisivat yksityishenkilöitä ja eri toimijoita raportoimaan haavoittuvuuksista. Koordinoiduissa haavoittuvuuksien ilmoittamisperiaatteissa määritellään jäsennelty prosessi, jonka avulla haavoittuvuuksista ilmoitetaan valmistajalle siten, että se voi diagnosoida haavoittuvuuden ja korjata sen ennen kuin yksityiskohtaisia tietoja haavoittuvuudesta paljastetaan kolmansille osapuolille tai yleisölle. Kun otetaan huomioon, että tietoa laajalti käytettyjen digitaalisia elementtejä sisältävien tuotteiden hyväksikäytettävissä olevista haavoittuvuuksista saatetaan myydä korkean hintaan pimeillä markkinoilla, tällaisten tuotteiden valmistajien olisi voitava käyttää osana koordinoituja haavoittuvuuksien ilmoittamisperiaatteitaan erityisiä ohjelmia, joilla luodaan kannustimia haavoittuvuuksista ilmoittamiseen varmistamalla, että yksityishenkilöt ja eri toimijat saavat tunnustusta ja korvauksen ilmoituksistaan (ns. bug bounty -ohjelmat). (37)Haavoittuvuusanalyysin helpottamiseksi valmistajien olisi yksilöitävä ja dokumentoitava digitaalisia elementtejä sisältävien tuotteidensa komponentit muun muassa laatimalla ohjelmistosisältöluettelo. Ohjelmistosisältöluettelosta ohjelmistojen valmistajat, ostajat ja käyttäjät voivat saada tietoja, jotka parantavat heidän ymmärrystään toimitusketjusta, mistä koituu monia hyötyjä, varsinkin kun se auttaa valmistajia ja käyttäjiä jäljittämään ilmaantuneita uusia haavoittuvuuksia ja riskejä. Valmistajille on erityisen tärkeää varmistaa, että niiden tuotteet eivät sisällä kolmansien osapuolten kehittämiä haavoittuvia komponentteja. (38)Jotta tässä asetuksessa säädettyjen vaatimusten täyttymisen arviointi olisi helpompaa, olisi oltava olemassa vaatimustenmukaisuusolettama niiden digitaalisten elementtien osalta, jotka ovat sellaisten yhdenmukaistettujen standardien mukaisia, jotka muuntavat tämän asetuksen olennaiset vaatimukset yksityiskohtaisiksi teknisiksi eritelmiksi ja jotka on hyväksytty Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1025/2012 mukaisesti. Asetuksessa (EU) N:o 1025/2012 säädetään yhdenmukaistetuista standardeista esitettäviä vastalauseita koskevasta menettelystä tapauksissa, joissa kyseiset standardit eivät kokonaan täytä tämän asetuksen vaatimuksia. (39)Asetuksella (EU) 2019/881 perustetaan vapaaehtoinen eurooppalainen kyberturvallisuuden sertifiointikehys tieto- ja viestintäteknisille tuotteille, prosesseille ja palveluille. Eurooppalaiset kyberturvallisuuden sertifiointijärjestelmät voivat kattaa tämän asetuksen soveltamisalaan kuuluvia, digitaalisia elementtejä sisältäviä tuotteita. Tällä asetuksella olisi luotava synergioita asetuksen (EU) 2019/881 kanssa. Jotta tässä asetuksessa säädettyjen vaatimusten täyttymisen arviointi olisi helpompaa, digitaalisia elementtejä sisältävien tuotteiden, jotka on sertifioitu tai joista on annettu vaatimustenmukaisuusvakuutus asetuksen (EU) 2019/881 mukaisessa ja komission täytäntöönpanosäädöksellä yksilöimässä kyberturvajärjestelmässä, katsotaan olevan tämän asetuksen olennaisten vaatimusten mukaisia siltä osin kuin kyberturvasertifikaatti tai vaatimustenmukaisuusvakuutus tai niiden osat kattavat kyseiset vaatimukset. Digitaalisia elementtejä sisältävien tuotteiden uusien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tarvetta olisi arvioitava tämän asetuksen valossa. Mahdollisissa tulevissa eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä, jotka kattavat digitaalisia elementtejä sisältäviä tuotteita, olisi otettava huomioon tässä asetuksessa vahvistetut olennaiset vaatimukset ja helpotettava tämän asetuksen noudattamista. Komissiolle olisi siirrettävä valta määritellä täytäntöönpanosäädöksillä eurooppalaiset kyberturvallisuuden sertifiointijärjestelmät, joita voidaan käyttää osoittamaan tässä asetuksessa säädettyjen olennaisten vaatimusten täyttyminen. Lisäksi valmistajien tarpeettoman hallinnollisen taakan välttämiseksi komission olisi tarvittaessa täsmennettävä, poistaako tällaisen eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesti myönnetty sertifikaatti valmistajilta velvoitteen teettää vastaavien vaatimusten osalta tässä asetuksessa säädetty vaatimustenmukaisuuden arviointi kolmansilla osapuolilla. (40)Kun [yhteisiin kriteereihin perustuvasta eurooppalaisesta kyberturvallisuuden sertifiointijärjestelmästä annettu komission täytäntöönpanoasetus XXX (EU) N:o.../...] (EUCC), joka koskee tämän asetuksen soveltamisalaan kuuluvia laitteistotuotteita, kuten laiteteknisiä turvamoduuleja ja mikroprosessoreja, tulee voimaan, komissio voi täytäntöönpanosäädöksellä täsmentää, miten EUCC luo olettaman tämän asetuksen liitteessä I tarkoitettujen olennaisten vaatimusten tai niiden osien täyttymisestä. Lisäksi tällaisessa täytäntöönpanosäädöksessä voidaan täsmentää, miten EUCC:n mukainen sertifiointi poistaa valmistajilta velvoitteen teettää vastaavien vaatimusten osalta tässä asetuksessa säädetty vaatimustenmukaisuuden arviointi kolmansilla osapuolilla. (41)Jos yhdenmukaistettuja standardeja ei ole tai jos niissä ei oteta riittävästi huomioon tämän asetuksen olennaisia vaatimuksia, komission olisi voitava hyväksyä täytäntöönpanosäädöksillä yhteisiä eritelmiä. Syitä tällaisten yhteisten eritelmien laatimiseen yhdenmukaistettujen standardien sijaan voisivat olla eurooppalaisten standardointiorganisaatioiden kieltäytyminen standardointipyynnöstä, aiheettomat viivästykset asianmukaisten yhdenmukaistettujen standardien laatimisessa tai se, että kehitetyt standardit eivät ole tämän asetuksen vaatimusten tai komission pyynnön mukaisia. Tässä asetuksessa säädettyjen olennaisten vaatimusten täyttymisen arvioinnin helpottamiseksi olisi voitava olettaa, että digitaalisia elementtejä sisältävät tuotteet, jotka ovat sellaisten yhteisten eritelmien mukaisia, jotka komissio on tämän asetuksen mukaisesti hyväksynyt kyseisten vaatimusten yksityiskohtaisten teknisten eritelmien ilmaisemiseksi, täyttävät tässä asetuksessa säädetyt olennaiset vaatimukset. (42)Valmistajien olisi laadittava EU-vaatimustenmukaisuusvakuutus, jossa annetaan tässä asetuksessa edellytetyt tiedot siitä, että digitaalisia elementtejä sisältävä tuote on tämän asetuksen olennaisten vaatimusten sekä soveltuvin osin unionin muun asiaankuuluvan yhdenmukaistamislainsäädännön, jonka piiriin tuote kuuluu, mukainen. Valmistajilta saatetaan edellyttää EU-vaatimustenmukaisuusvakuutuksen laatimista myös muun unionin lainsäädännön nojalla. Jotta voidaan varmistaa tosiasiallinen tiedonsaanti markkinavalvontaa varten, kaikkien asiaan kuuluvien unionin säädösten vaatimusten täyttymisen osalta olisi laadittava yksi ainoa EU-vaatimustenmukaisuusvakuutus. Talouden toimijoiden hallinnollisen rasitteen vähentämiseksi tällaisen kattavan EU-vaatimustenmukaisuusvakuutuksen olisi voitava olla kooste, joka koostuu tuotetta koskevista erillisistä vaatimustenmukaisuusvakuutuksista. (43)CE-merkintä osoittaa tuotteen vaatimustenmukaisuuden ja on näkyvä osoitus vaatimustenmukaisuuden arvioinnin koko prosessista sen laajassa merkityksessä. CE-merkinnän yleisistä periaatteista säädetään Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 765/2008. CE-merkinnän kiinnittämistä digitaalisia elementtejä sisältäviin tuotteisiin koskevat säännöt olisi annettava tässä asetuksessa. CE-merkinnän olisi oltava ainoa merkintä, joka takaa, että digitaalisia elementtejä sisältävät tuotteet ovat tämän asetuksen vaatimusten mukaisia. (44)Jotta talouden toimijat voivat osoittaa tässä asetuksessa säädettyjen olennaisten vaatimusten täyttymisen ja jotta markkinavalvontaviranomaiset voivat varmistaa, että markkinoilla saataville asetetut digitaalisia elementtejä sisältävät tuotteet ovat näiden vaatimusten mukaisia, on tarpeen säätää vaatimustenmukaisuuden arviointimenettelyistä. Euroopan parlamentin ja neuvoston päätöksessä N:o 768/2008/EY vahvistetaan vaatimustenmukaisuuden arviointimenettelyjen moduulit suhteessa riskitasoon ja vaadittuun turvallisuustasoon. Eri toimialojen välisen johdonmukaisuuden varmistamiseksi ja tapauskohtaisten muunnosten välttämiseksi vaatimustenmukaisuuden arviointimenettelyjen, jotka riittävät sen todentamiseen, että digitaalisia elementtejä sisältävät tuotteet täyttävät tässä asetuksessa vahvistetut olennaiset vaatimukset, olisi perustuttava kyseisiin moduuleihin. Vaatimustenmukaisuuden arviointimenettelyissä olisi tutkittava ja todennettava sekä tuotteisiin että prosesseihin liittyvät ominaisuudet digitaalisia elementtejä sisältävien tuotteiden koko elinkaaren pituudelta, mukaan lukien tuotteen suunnittelu, rakenne, kehittäminen/tuotanto, testaus ja ylläpito. (45)Pääsääntöisesti valmistajan olisi suoritettava digitaalisia elementtejä sisältävien tuotteiden vaatimustenmukaisuuden arviointi omalla vastuullaan noudattaen päätöksen 768/2008/EY moduuliin A perustuvaa menettelyä. Valmistajan olisi joustavasti voitava valita tiukempi vaatimustenmukaisuuden arviointimenettely, johon osallistuu kolmas osapuoli. Jos tuote on luokiteltu luokan I kriittiseksi tuotteeksi, tarvitaan lisätakeita sen osoittamiseksi, että tuote täyttää tässä asetuksessa säädetyt olennaiset vaatimukset. Jos valmistaja haluaa suorittaa vaatimustenmukaisuuden arvioinnin omalla vastuullaan (moduuli A), sen olisi sovellettava asetuksen (EU) 2019/881 mukaisia yhdenmukaistettuja standardeja, yhteisiä eritelmiä tai kyberturvallisuuden sertifiointijärjestelmiä, jotka komissio on yksilöinyt täytäntöönpanosäädöksessä. Jos valmistaja ei sovella tällaisia yhdenmukaistettuja standardeja, yhteisiä eritelmiä tai kyberturvallisuuden sertifiointijärjestelmiä, valmistajan olisi tehtävä vaatimustenmukaisuuden arviointi, johon osallistuu kolmas osapuoli. Kun otetaan huomioon valmistajille aiheutuva hallinnollinen rasite ja se, että kyberturvallisuudella on tärkeä rooli digitaalisia elementtejä sisältävien aineellisten ja aineettomien tuotteiden suunnittelu- ja kehitysvaiheessa, päätöksen 768/2008/EY moduuliin B+C tai moduuliin H perustuvat vaatimustenmukaisuuden arviointimenettelyt on valittu oikeasuhteisuuden ja tuloksellisuuden näkökulmasta sopivimmiksi tavoiksi arvioida digitaalisia elementtejä sisältävien kriittisten tuotteiden vaatimustenmukaisuus. Valmistaja, joka käyttää kolmannen osapuolen suorittamaa vaatimustenmukaisuuden arviointia, voi valita suunnittelu- ja tuotantoprosessiinsa parhaiten soveltuvan menettelyn. Koska luokan II kriittisiksi tuotteiksi luokiteltujen tuotteiden käyttöön liittyy vieläkin suurempi kyberturvariski, vaatimustenmukaisuuden arvioinnissa olisi aina oltava mukana kolmas osapuoli. (46)Digitaalisia elementtejä sisältävien aineellisten tuotteiden luominen edellyttää yleensä valmistajilta huomattavia panostuksia koko suunnittelu-, kehitys- ja tuotantovaiheen ajan, kun taas ohjelmistomuotoisten digitaalisia elementtejä sisältävien tuotteiden luominen painottuu lähes yksinomaan suunnitteluun ja kehittämiseen, ja tuotantovaiheella on vähäisempi merkitys. Monissa tapauksissa ohjelmistotuotteet on kuitenkin vielä koottava, koostettava, pakattava, asetettava saataville ladattavaksi tai kopioitava fyysiselle tallennusvälineelle ennen markkinoille saattamista. Nämä toimet olisi katsottava tuotantoa vastaaviksi toimiksi, kun sovelletaan asiaankuuluvia vaatimustenmukaisuuden arviointimoduuleja sen todentamiseksi, että tuote on tämän asetuksen olennaisten vaatimusten mukainen kaikissa suunnittelu-, kehitys- ja tuotantovaiheissa. (47)Jotta voidaan käyttää kolmannen osapuolen suorittamia, digitaalisia elementtejä sisältävien tuotteiden vaatimustenmukaisuuden arviointeja, kansallisten ilmoittavien viranomaisten olisi ilmoitettava vaatimustenmukaisuuden arviointilaitokset komissiolle ja muille jäsenvaltioille edellyttäen, että laitokset täyttävät tietyt vaatimukset erityisesti riippumattomuuden, pätevyyden ja eturistiriitojen suhteen.

(48)Jotta varmistetaan yhtenäinen laatutaso digitaalisia elementtejä sisältävien tuotteiden vaatimustenmukaisuuden arvioinnissa, on tarpeen vahvistaa myös ilmoittavia viranomaisia sekä muita ilmoitettujen laitosten arvioinnissa, ilmoittamisessa ja valvonnassa mukana olevia elimiä koskevat vaatimukset. Tässä asetuksessa käyttöön otettua järjestelmää olisi täydennettävä akkreditointijärjestelmällä, josta säädetään asetuksessa (EY) N:o 765/2008. Koska akkreditointi on olennainen keino tarkastaa vaatimustenmukaisuuden arviointilaitosten pätevyys, sitä olisi käytettävä myös ilmoittamistarkoituksia varten. (49)Kansallisten viranomaisten olisi kaikkialla unionissa pidettävä asetuksen (EY) N:o 765/2008 mukaista avointa akkreditointia, jolla varmistetaan tarvittava luottamuksen taso vaatimustenmukaisuustodistuksissa, ensisijaisena keinona osoittaa vaatimustenmukaisuuden arviointilaitosten tekninen pätevyys. Kansalliset viranomaiset voivat kuitenkin katsoa, että niillä on käytettävissään asianmukaiset keinot suorittaa tämä arviointi itse. Tällaisessa tapauksessa, jotta voidaan varmistaa muiden kansallisten viranomaisten tekemän arvioinnin uskottavuuden asianmukainen taso, niiden olisi toimitettava komissiolle ja muille jäsenvaltioille tarvittava asiakirja-aineisto, jolla osoitetaan, että arvioidut vaatimustenmukaisuuden arviointilaitokset täyttävät asian kannalta merkitykselliset lainsäädännölliset vaatimukset. (50)Vaatimustenmukaisuuden arviointilaitokset teettävät usein osia vaatimustenmukaisuuden arviointiin liittyvistä toimistaan alihankintana tai käyttävät tytäryhtiötä. Digitaalisia elementtejä sisältävän tuotteen saattaminen markkinoille edellyttää suojauksen tasoa, jonka turvaamiseksi on olennaista, että vaatimustenmukaisuuden arviointitehtävien suorittamista varten alihankkijat ja tytäryhtiöt täyttävät samat vaatimukset kuin ilmoitetut laitokset. (51)Ilmoittavan viranomaisen olisi lähetettävä vaatimustenmukaisuuden arviointilaitosta koskeva ilmoitus komissiolle ja muille jäsenvaltioille uuden lähestymistavan mukaisen ilmoitettujen ja nimettyjen organisaatioiden tietojärjestelmän (NANDO) kautta. NANDO on komission kehittämä ja hallinnoima sähköinen ilmoitusväline, joka sisältää luettelon kaikista ilmoitetuista laitoksista. (52)Koska ilmoitetut laitokset voivat tarjota palvelujaan koko unionin alueella, on tarkoituksenmukaista antaa muille jäsenvaltioille ja komissiolle mahdollisuus esittää vastalauseita ilmoitetun laitoksen osalta. Sen vuoksi on tärkeää säätää ajanjaksosta, jonka aikana voidaan selvittää mahdolliset epäilykset tai huolenaiheet vaatimustenmukaisuuden arviointilaitosten pätevyyden suhteen, ennen kuin ne alkavat toimia ilmoitettuina laitoksina. (53)Kilpailukyvyn vuoksi on oleellista, että ilmoitetut laitokset soveltavat vaatimustenmukaisuuden arviointimenettelyjä aiheuttamatta kohtuutonta rasitetta talouden toimijoille. Samasta syystä ja talouden toimijoiden yhdenvertaisen kohtelun takaamiseksi olisi varmistettava vaatimustenmukaisuuden arviointimenettelyiden tekninen johdonmukaisuus. Tämä voitaisiin saavuttaa parhaiten asianmukaisella koordinoinnilla ja yhteistyöllä ilmoitettujen laitosten välillä. (54)Markkinavalvonta on keskeinen keino unionin lainsäädännön asianmukaisen ja yhdenmukaisen soveltamisen varmistamiseksi. Sen vuoksi on aiheellista luoda oikeudelliset puitteet, joita noudattamalla markkinavalvontaa voidaan toteuttaa tarkoituksenmukaisesti. Tämän asetuksen soveltamisalaan kuuluviin digitaalisia elementtejä sisältäviin tuotteisiin sovelletaan Euroopan parlamentin ja neuvoston asetuksessa (EU) 2019/1020 säädettyjä unionin markkinavalvontaa ja unionin markkinoille tuleville tuotteille tehtäviä tarkastuksia koskevia sääntöjä. (55)Asetuksen (EU) 2019/1020 mukaisesti markkinavalvontaviranomaiset toteuttavat markkinavalvontaa kyseisen jäsenvaltion alueella. Tämä asetus ei saisi estää jäsenvaltioita valitsemasta toimivaltaisia viranomaisia, jotka suorittavat kyseiset tehtävät. Jokaisen jäsenvaltion olisi nimettävä alueelleen yksi tai useampi markkinavalvontaviranomainen. Jäsenvaltiot voivat nimetä minkä tahansa olemassa olevan tai uuden viranomaisen, mukaan lukien [direktiivin XXX/XXXX (NIS2) X artiklassa] tarkoitetut kansalliset toimivaltaiset viranomaiset tai asetuksen (EU) 2019/881 58 artiklassa tarkoitetut nimetyt kansalliset kyberturvasertifiointiviranomaiset, toimimaan markkinavalvontaviranomaisena. Talouden toimijoiden olisi tehtävä täysimääräistä yhteistyötä markkinavalvontaviranomaisten ja muiden toimivaltaisten viranomaisten kanssa. Kunkin jäsenvaltion olisi ilmoitettava komissiolle ja muille jäsenvaltioille markkinavalvontaviranomaisensa ja kunkin viranomaisen toimivaltaan kuuluvat alat sekä varmistettava, että käytössä on tarvittavat resurssit ja tarvittava asiantuntemus tähän asetukseen liittyvien valvontatehtävien suorittamiseksi. Asetuksen (EU) 2019/1020 10 artiklan 2 ja 3 kohdan mukaisesti kunkin jäsenvaltion olisi nimettävä yhteysvirasto, jonka olisi vastattava muun muassa markkinavalvontaviranomaisten koordinoidun kannan edustamisesta ja eri jäsenvaltioiden markkinavalvontaviranomaisten välisen yhteistyön sujuvoittamisesta. (56)Tämän asetuksen yhdenmukaista soveltamista varten olisi perustettava erityinen hallinnollisen yhteistyön ryhmä asetuksen (EU) 2019/1020 30 artiklan 2 kohdan mukaisesti. Hallinnollisen yhteistyön ryhmän olisi koostuttava nimettyjen markkinavalvontaviranomaisten edustajista ja tarvittaessa yhteysvirastojen edustajista. Komission olisi tuettava ja edistettävä markkinavalvontaviranomaisten välistä yhteistyötä asetuksen (EU) 2019/1020 29 artiklan nojalla perustetussa tuotteiden vaatimustenmukaisuutta käsittelevässä unionin verkostossa, joka koostuu kunkin jäsenvaltion edustajista, mukaan lukien kunkin asetuksen (EU) 2019/1020 10 artiklassa tarkoitetun yhteysviraston edustaja ja valinnainen kansallinen asiantuntija, hallinnollisen yhteistyön ryhmien puheenjohtajat ja komission edustajat. Komission olisi osallistuttava verkoston, sen alaryhmien ja tämän asetuksen mukaisen hallinnollisen yhteistyön ryhmän kokouksiin. Sen olisi myös avustettava tämän asetuksen mukaista hallinnollisen yhteistyön ryhmää sihteeristöllä, joka tarjoaa teknistä ja logistista tukea. (57)Jotta voidaan varmistaa oikea-aikaiset, oikeasuhteiset ja tulokselliset toimenpiteet sellaisten tuotteiden osalta, joihin liittyy merkittävä kyberturvariski, olisi säädettävä unionin suojamenettelystä, jonka mukaisesti asianomaisille osapuolille ilmoitetaan toimenpiteistä, joita aiotaan toteuttaa tällaisten tuotteiden suhteen. Tämän olisi myös annettava markkinavalvontaviranomaisille mahdollisuus toimia tarvittaessa varhaisemmassa vaiheessa yhteistyössä asianomaisten talouden toimijoiden kanssa. Silloin kun jäsenvaltiot ja komissio ovat yhtä mieltä jäsenvaltion toteuttaman toimenpiteen oikeutuksesta, komissiolta ei pitäisi edellyttää jatkotoimia, paitsi jos vaatimustenvastaisuuden voidaan katsoa johtuvan yhdenmukaistetun standardin puutteista. (58)Tietyissä tapauksissa tämän asetuksen mukainen digitaalisia elementtejä sisältävä tuote voi kuitenkin aiheuttaa merkittävän kyberturvariskin tai riskin ihmisten terveydelle tai turvallisuudelle, unionin oikeuteen tai kansalliseen oikeuteen pohjautuvien perusoikeuksien suojaamiseen tähtäävien velvoitteiden täyttymiselle, [direktiivin XXX/XXXX (NIS2) liitteessä I] tarkoitettujen keskeisten toimijoiden sähköisen tietojärjestelmän avulla tarjoamien palvelujen saatavuudelle, aitoudelle, eheydelle tai luottamuksellisuudelle tai muille yleisen edun suojeluun liittyville näkökohdille. Sen vuoksi on tarpeen vahvistaa säännöt, joilla torjutaan näitä riskejä. Tämän vuoksi markkinavalvontaviranomaisten olisi toteutettava toimenpiteitä, joilla talouden toimijaa vaaditaan varmistamaan, että tuote ei enää aiheuta kyseistä riskiä, tai järjestämään sitä koskeva palautusmenettely tai poistamaan se markkinoilta, riskistä riippuen. Heti kun markkinavalvontaviranomainen rajoittaa tuotteen vapaata liikkuvuutta tai kieltää sen tällä tavalla, jäsenvaltion on ilmoitettava väliaikaisista toimenpiteistä viipymättä komissiolle ja muille jäsenvaltioille ja esitettävä päätöksen syyt ja perustelut. Jos markkinavalvontaviranomainen toteuttaa tällaisia toimenpiteitä riskin aiheuttavia tuotteita vastaan, komission olisi viipymättä kuultava jäsenvaltioita ja asianomaisia talouden toimijoita ja arvioitava kansallinen toimenpide. Komission tulisi päättää tämän arvioinnin tulosten perusteella, onko kansallinen toimenpide oikeutettu vai ei. Komission olisi osoitettava päätöksensä kaikille jäsenvaltioille ja annettava se välittömästi tiedoksi niille ja asianomaisille talouden toimijoille. Jos toimenpide katsotaan perustelluksi, komissio voi myös harkita ehdotusten esittämistä vastaavan unionilainsäädännön tarkistamiseksi. (59)Merkittävän kyberturvariskin aiheuttavien digitaalisia elementtejä sisältävien tuotteiden osalta ja kun on syytä epäillä, että ne eivät ole tämän asetuksen mukaisia, tai sellaisten tuotteiden osalta, jotka ovat tämän asetuksen mukaisia, mutta joihin liittyy muita merkittäviä riskejä, kuten riskejä ihmisten terveydelle tai turvallisuudelle, perusoikeuksille tai [direktiivin XXX/XXXX (NIS2) liitteessä I] tarkoitettujen keskeisten toimijoiden tarjoamille palveluille, komissio voi pyytää ENISAa suorittamaan arvioinnin. Tämän arvioinnin perusteella komissio voi hyväksyä täytäntöönpanosäädöksillä korjaavia tai rajoittavia toimenpiteitä unionin tasolla, mukaan lukien asianomaisten tuotteiden markkinoiltaveto tai palautusmenettel