Iako predloženi Akt o kiberotpornosti obuhvaća proizvode s digitalnim elementima koji se stavljaju na tržište, Direktivom [Direktiva XXX/XXX (NIS2)] nastoji se postići visoka razina kibersigurnosti usluga koje pružaju ključni i važni subjekti. Direktivom [Direktiva XXX/XXXX (NIS2)] od država članica zahtijeva se da osiguraju da ključni i važni subjekti obuhvaćeni područjem primjene, kao što su pružatelji zdravstvene zaštite ili usluga u oblaku i tijela javne uprave, poduzmu odgovarajuće i proporcionalne tehničke, operativne i organizacijske kibersigurnosne mjere. To uključuje, među ostalim, zahtjev u pogledu sigurnosti u nabavi, razvoju i održavanju mrežnih i informacijskih sustava, uključujući upravljanje ranjivostima i njihovo otkrivanje. Prema Direktivi [Direktiva XXX/XXXX (NIS2)] Komisija je dužna, u roku od 21 mjeseca nakon datuma stupanja te direktive na snagu, donijeti provedbene akte kojima se utvrđuju tehnički i metodološki zahtjevi u pogledu tih mjera za određene vrste subjekata, kao što su pružatelji usluga računalstva u oblaku. Za sve ostale subjekte Komisija može donijeti provedbeni akt kojim se utvrđuju tehnički i metodološki zahtjevi te sektorski zahtjevi. Tim će se okvirom postići da se tehničke specifikacije i mjere slične bitnim kibersigurnosnim zahtjevima iz Akta o kiberotpornosti provode i za projektiranje, razvoj i upravljanje ranjivostima softvera koji se pruža kao usluga (softver kao usluga). Na primjer, to bi moglo biti sredstvo za postizanje visoke razine kibersigurnosti u sustavima elektroničkih zdravstvenih zapisa, uključujući slučajeve kad se isporučuju u obliku softvera kao usluge (SaaS) i kad se razvijaju unutar zdravstvenih ustanova (interno), u skladu s predloženom [Uredbom o europskom prostoru za zdravstvene podatke].

Zbog izrazite prekogranične prirode kibersigurnosti i sve češćih incidenata čiji se učinci prelijevaju preko granica te na druge sektore i proizvode države članice ne mogu same učinkovito postići te ciljeve. Zbog globalne prirode tržišta proizvoda s digitalnim elementima isti proizvod s digitalnim elementima ima iste sigurnosne rizike na državnim područjima različitih država članica. Rascjepkan okvir od potencijalno različitih nacionalnih pravila kakav se počeo pojavljivati mogao bi ugroziti otvoreno i konkurentno jedinstveno tržište proizvoda s digitalnim elementima. Dakle, zajedničko djelovanje na razini EU-a potrebno je radi povećanja povjerenja korisnika i privlačnosti proizvoda s digitalnim elementima iz EU-a. To bi pogodovalo i unutarnjem tržištu zbog stvaranja pravne sigurnosti i jednakih uvjeta za dobavljače proizvoda s digitalnim elementima, kako je istaknuto i u završnom izvješću Konferencije o budućnosti Europe, u kojem građani pozivaju na veću ulogu EU-a u borbi protiv prijetnji kibersigurnosti.

Hardverski i softverski proizvodi sve su izloženiji uspješnim kibernapadima te se procjenjuje da je do 2021. godišnja šteta od kiberkriminaliteta bila 5,5 bilijuna EUR. Dva su glavna problema zbog kojih ti proizvodi stvaraju troškove korisnicima i društvu: 1. imaju nisku razinu kibersigurnosti, čemu su dokaz raširene ranjivosti te nedovoljna i neredovita sigurnosna ažuriranja za njihovo otklanjanje, i 2. korisnici nemaju dovoljno znanja ni informacija, pa ne mogu odabrati proizvode s odgovarajućim kibersigurnosnim svojstvima ili ih rabiti na siguran način. U povezanom okruženju kiberincident u jednom proizvodu može utjecati na cijelu organizaciju ili cjelokupni lanac opskrbe jer se često vrlo brzo proširi preko granica unutarnjeg tržišta. To može uzrokovati ozbiljan poremećaj gospodarskih i društvenih aktivnosti ili čak ugroziti ljudske živote.

3.REZULTATI EX POST EVALUACIJA, SAVJETOVANJA S DIONICIMA I PROCJENA UČINKA

Regulatorna intervencija podrazumijevala bi donošenje uredbe, a ne direktive. To je zato što bi se, za ovu vrstu zakonodavstva o proizvodima, uredbom djelotvornije riješili utvrđeni problemi i ispunili definirani ciljevi jer je riječ o intervenciji kojom se uvjetuje stavljanje na unutarnje tržište vrlo široke kategorije proizvoda. Postupak prijenosa u slučaju donošenja direktive za takvu intervenciju mogao bi ostaviti previše prostora za diskrecijske odluke na nacionalnoj razini, što bi moglo uzrokovati neujednačenost određenih bitnih kibersigurnosnih zahtjeva, pravnu nesigurnost, dodatnu rascjepkanost ili čak diskriminatorne prekogranične situacije, tim više ako se uzme u obzir to da obuhvaćeni proizvodi mogu imati višestruku namjenu ili uporabu te da proizvođači mogu proizvesti više kategorija takvih proizvoda.

Bitni kibersigurnosni zahtjevi u Prijedlogu temelje se na normama koje se uobičajeno primjenjuju, a u naknadnom postupku normizacije uzele bi se u obzir tehničke specifičnosti proizvoda. To znači da bi se sigurnosne kontrole prema potrebi prilagodile ovisno o razini rizika. Nadalje, predviđenim horizontalnim pravilima ocjenjivanje koje provodi treća strana propisalo bi se samo za rizične proizvode. To bi uključivalo samo mali udio tržišta za proizvode s digitalnim elementima. Učinak na MSP-ove ovisio bi o njihovoj prisutnosti na tržištu unutar tih specifičnih kategorija proizvoda.

Naposljetku, u Zaključcima Vijeća od 23. svibnja 2022. o razvoju položaja Europske unije u pogledu kiberprostora Komisiju se poziva da do kraja 2022. predloži zajedničke kibersigurnosne zahtjeve za povezane uređaje.

Dakle, zajedničko djelovanje na razini EU-a potrebno je kako bi se postiglo veliko povjerenje korisnika i povećala privlačnost proizvoda s digitalnim elementima iz EU-a. To bi pogodovalo i jedinstvenom digitalnom tržištu te unutarnjem tržištu općenito zbog stvaranja pravne sigurnosti i jednakih uvjeta za proizvođače proizvoda s digitalnim elementima.

Zbog općenito izrazito prekogranične prirode kibersigurnosti te sve učestalijih rizika i incidenata čiji se učinci prelijevaju preko granica te na druge sektore i proizvode države članice ne mogu same učinkovito postići ciljeve ove intervencije. Nacionalni pristupi rješavanju tih problema, posebice pristupi kojima se uvode obvezni zahtjevi, prouzročit će dodatnu pravnu nesigurnost i pravne zapreke. Poduzećima bi moglo biti onemogućeno neometano širenje u druge države članice, pa bi korisnici bili uskraćeni za pogodnosti njihovih proizvoda.

Upitani da ocijene djelotvornost intervencija politike, sudionici javnog savjetovanja složili su se da bi četvrta opcija bila najdjelotvornija mjera (4,08 na ljestvici od 1 do 5). Među njima su organizacije potrošača (5,00), sudionici koji su se identificirali kao korisnici (4,22), prijavljena tijela (4,17), tijela za nadzor tržišta (5,00) i proizvođači proizvoda s digitalnim elementima (3,85), uključujući male i srednje proizvođače (4,05).

Najpoželjnija opcija donijela bi znatne koristi različitim dionicima. Kad je riječ o poduzećima, spriječila bi pojavu različitih sigurnosnih pravila za proizvode s digitalnim elementima i smanjila troškove usklađivanja s povezanim zakonodavstvom o kibersigurnosti. Smanjila bi broj kiberincidenata, troškove rješavanja incidenata i štetu za ugled. Procjenjuje se da bi inicijativa cijelom EU-u mogla smanjiti troškove od incidenata koji pogađaju poduzeća za otprilike 180 do 290 milijardi EUR godišnje. Dovela bi do povećanja prometa zbog veće prihvaćenosti proizvoda s digitalnim elementima. Poduzećima bi povećala globalni ugled, pa bi potražnja porasla i izvan EU-a. Korisnicima bi najpoželjnija opcija povećala transparentnost sigurnosnih svojstava i olakšala uporabu proizvoda s digitalnim elementima. Potrošači i građani koristi bi imali i od bolje zaštite temeljnih prava kao što su pravo na privatnost i zaštitu podataka.

Komisija ima i ovlast za donošenje delegiranih akata za dopunu ove Uredbe određivanjem kategorija visokorizičnih proizvoda s digitalnim elementima za koje će proizvođači biti dužni ishoditi europski kibersigurnosni certifikat u okviru europskog programa kibersigurnosne certifikacije kako bi dokazali sukladnost s bitnim zahtjevima iz Priloga I. ili njihovim dijelovima. Pri određivanju takvih kategorija visokorizičnih proizvoda s digitalnim elementima Komisija će u obzir uzimati razinu kibersigurnosnog rizika povezanog s kategorijom proizvoda s digitalnim elementima prema jednom ili više kriterija za uvrštavanje rizičnih proizvoda s digitalnim elementima na popis u Prilogu III. te na temelju procjene je li to kategorija proizvoda koju rabe ili o kojoj ovise ključni subjekti koji pripadaju vrsti iz Priloga [Prilog I.] Direktivi [Direktiva XXX/XXXX (NIS2)] ili koja bi mogla biti važna za aktivnosti tih subjekata u budućnosti; ili je li ta kategorija proizvoda relevantna za otpornost cjelokupnog lanca opskrbe proizvoda s digitalnim elementima na remetilačke događaje.

Predložena uredba neće se primjenjivati na proizvode s digitalnim elementima obuhvaćene područjem primjene Uredbe (EU) 2017/745 [medicinski proizvodi za ljudsku uporabu te pribor za takve proizvode] i Uredbe (EU) 2017/746 [in vitro dijagnostički medicinski proizvodi za ljudsku uporabu i pribor za takve proizvode] jer obje te uredbe sadržavaju zahtjeve za proizvode, uključujući softver i opće obveze proizvođača, koji se odnose na cijeli životni ciklus proizvoda te postupke ocjenjivanja sukladnosti. Ova se Uredba neće primjenjivati na proizvode s digitalnim elementima koji su certificirani u skladu s Uredbom 2018/1139 [visoka i ujednačena razina sigurnosti civilnog zrakoplovstva] ni na proizvode na koje se primjenjuje Uredba (EU) 2019/2144 [o zahtjevima za homologaciju tipa za motorna vozila i njihove prikolice te za sustave, sastavne dijelove i zasebne tehničke jedinice namijenjene za takva vozila].

Predloženom uredbom utvrđuju se (a) pravila za stavljanje na tržište proizvoda s digitalnim elementima kako bi se zajamčila kibersigurnost takvih proizvoda; (b) bitni zahtjevi za projektiranje, razvoj i proizvodnju proizvoda s digitalnim elementima te obveze gospodarskih subjekata u vezi s tim proizvodima koje se odnose na kibersigurnost; (c) bitni zahtjevi za postupke upravljanje ranjivostima koje proizvođači uspostave kako bi zajamčili kibersigurnost proizvoda s digitalnim elementima tijekom cijelog životnog ciklusa i obveze gospodarskih subjekata u pogledu tih postupaka; (d) pravila o nadzoru tržišta i provedbi prethodno navedenih pravila i zahtjeva.

Nadalje, kako bi se izbjeglo neopravdano administrativno opterećenje proizvođača kad je to moguće, Komisija bi trebala odrediti oslobađa li kibersigurnosni certifikat izdan u okviru takvog europskog programa kibersigurnosne certifikacije proizvođače obveze ocjenjivanja sukladnosti koje provodi treća strana kako je propisano ovom Uredbom za odgovarajuće zahtjeve.

Utvrdile bi se obveze gospodarskih subjekata, od proizvođača do distributera i uvoznika, povezane sa stavljanjem na tržište proizvoda s digitalnim elementima, primjereno njihovoj ulozi i odgovornostima u lancu opskrbe.

(7)Pod određenim uvjetima svi proizvodi s digitalnim elementima koji su integrirani u veći elektronički informacijski sustav ili povezani s njim mogu poslužiti kao vektor napada za zlonamjerne aktere. Zbog toga čak i hardver i softver koji se smatraju manje rizičnima mogu olakšati početno ugrožavanje uređaja ili mreže i zlonamjernim akterima omogućiti povlašteni pristup sustavu ili lateralno kretanje sustavima. Stoga bi proizvođači trebali osigurati da su svi povezivi proizvodi s digitalnim elementima projektirani i razvijeni u skladu s bitnim zahtjevima iz ove Uredbe. To uključuje i proizvode koji se mogu fizički povezati hardverskim sučeljima i proizvode koji su logički povezani, na primjer mrežnim utičnicama, cjevovodima, datotekama, aplikacijskim programskim sučeljima ili bilo kojom drugom vrstom softverskog sučelja. Budući da se kibersigurnosne prijetnje mogu širiti preko raznih proizvoda s digitalnim elementima prije nego što ispune određeni cilj, primjerice ulančavanjem više kodova za iskorištavanje ranjivosti, proizvođači bi također trebali osigurati kibersigurnost proizvoda koji su samo neizravno povezani s drugim uređajima ili mrežama.

(4)Iako se postojeće zakonodavstvo Unije primjenjuje na određene proizvode s digitalnim elementima, ne postoji horizontalni regulatorni okvir Unije kojim bi bili utvrđeni sveobuhvatni kibersigurnosni zahtjevi za sve proizvode s digitalnim elementima. Raznim dosad donesenim aktima i inicijativama na razini EU-a i na nacionalnoj razini samo se djelomično rješavaju utvrđeni problemi i rizici povezani s kibersigurnošću, pa na unutarnjem tržištu nastaje pravna neujednačenost, dobavljačima i korisnicima tih proizvoda povećava se pravna nesigurnost a poduzećima se nameće nepotrebno opterećenje jer moraju ispunjavati niz zahtjeva za slične vrste proizvoda.. Kibersigurnost tih proizvoda ima izrazitu prekograničnu dimenziju jer proizvode proizvedene u jednoj zemlji često rabe organizacije i potrošači na cjelokupnom unutarnjem tržištu. Stoga je to područje potrebno urediti na razini Unije. Regulatorni okvir Unije trebalo bi uskladiti uvođenjem kibersigurnosnih zahtjeva za proizvode s digitalnim elementima. Usto, trebalo bi stvoriti pravnu sigurnost za subjekte i korisnike u cijeloj Uniji te bolje uskladiti jedinstveno tržište, čime bi se stvorili održiviji uvjeti za subjekte koji žele ući na tržište Unije.

(1)Potrebno je poboljšati funkcioniranje unutarnjeg tržišta utvrđivanjem jedinstvenog pravnog okvira za bitne kibersigurnosne zahtjeve za stavljanje na tržište Unije proizvoda s digitalnim elementima. Trebalo bi riješiti dva glavna problema koji povećavaju troškove korisnicima i društvu: nisku razinu kibersigurnosti proizvoda s digitalnim elementima, čemu su dokaz raširene ranjivosti te nedovoljna i neredovita sigurnosna ažuriranja za njihovo otklanjanje, te to što korisnici nemaju dovoljno znanja ni informacija, pa ne mogu odabrati proizvode s odgovarajućim kibersigurnosnim obilježjima ili ih rabiti na siguran način.

(27)Kategorije rizičnih proizvoda s digitalnim elementima iz Priloga III. ovoj Uredbi treba smatrati proizvodima čija osnovna funkcionalnost pripada vrsti navedenoj u Prilogu III. ovoj Uredbi. Na primjer, u Prilogu III. ovoj Uredbi navedeni su proizvodi koji su prema osnovnoj funkcionalnosti definirani kao općenamjenski mikroprocesori II. razreda. Zato općenamjenski mikroprocesori podliježu obveznom ocjenjivanju sukladnosti koje provodi treća strana. To se ne odnosi na druge proizvode koji nisu izričito navedeni u Prilogu III. ovoj Uredbi koji bi mogli imati integriran općenamjenski mikroprocesor. Komisija bi trebala donijeti delegirane akte [u roku od 12 mjeseci od stupanja na snagu ove Uredbe] radi određivanja definicija kategorija proizvoda obuhvaćenih I. i II. razredom kako je utvrđeno u Prilogu III.

(23)U skladu s uvriježenim pojmom bitne izmjene za proizvode uređene zakonodavstvom Unije o usklađivanju primjereno je da se za proizvod s digitalnim elementima provede provjera sukladnosti i, prema potrebi, novi postupak ocjenjivanja sukladnosti kad god nastupi bitna izmjena koja može utjecati na sukladnost tog proizvoda s ovom Uredbom ili kad se promijeni njegova namjena. Kad je to primjenjivo, ako proizvođač provodi ocjenjivanje sukladnosti koje uključuje treću stranu, treću stranu trebalo bi obavijestiti o promjenama koje bi mogle dovesti do bitnih izmjena.

(22)Kako proizvodi s digitalnim elementima koji su stavljeni na tržište ne bi predstavljali kibersigurnosne rizike za osobe i organizacije, trebalo bi utvrditi bitne zahtjeve za takve proizvode. Kad se takvi proizvodi naknadno mijenjaju, fizičkim ili digitalnim sredstvima, na način koji proizvođač nije predvidio i koji može ukazivati na to da više ne ispunjavaju relevantne bitne zahtjeve, takva izmjena trebala bi se smatrati bitnom. Na primjer, ažuriranja ili popravci softvera mogu se izjednačiti s održavanjem pod uvjetom da se njima proizvod koji je već stavljen na tržište ne preinačuje na takav način da to može utjecati na sukladnost s primjenjivim zahtjevima ili promijeniti namjenu za koju je proizvod ocijenjen. Kao i u slučaju fizičkih popravaka ili preinaka, proizvod s digitalnim elementima trebao bi se smatrati bitno izmijenjenim softverskom promjenom ako se ažuriranjem softvera izmijene izvorne predviđene funkcije, vrsta ili radne karakteristike proizvoda, a te promjene nisu bile predviđene u prvotnoj procjeni rizika ili ako se zbog ažuriranja softvera promijenila vrsta rizika ili povećala razina rizika.

(18)U mjeri u kojoj su njihovi proizvodi obuhvaćeni područjem primjene ove Uredbe, izdavatelji europske lisnice za digitalni identitet iz članka [članak 6.a stavak 2. Uredbe (EU) br. 910/2014, kako je izmijenjena Prijedlogom uredbe o izmjeni Uredbe (EU) br. 910/2014 u pogledu uspostavljanja europskog okvira za digitalni identitet] trebali bi poštovati horizontalne bitne zahtjeve iz ove Uredbe i posebne sigurnosne zahtjeve iz članka [članak 6.a Uredbe (EU) br. 910/2014., kako je izmijenjena Prijedlogom uredbe o izmjeni Uredbe (EU) br. 910/2014 u pogledu uspostavljanja europskog okvira za digitalni identitet]. Kako bi se to olakšalo, izdavatelji lisnica trebali bi moći certificiranjem svojih proizvoda u okviru europskog programa kibersigurnosne certifikacije koji je uspostavljen na temelju Uredbe (EU) 2019/881 i za koji je Komisija provedbenim aktom utvrdila da stvara pretpostavku sukladnosti s ovom Uredbom dokazati sukladnost europskih lisnica za digitalni identitet s odgovarajućim zahtjevima iz oba ta akta u mjeri u kojoj certifikat, ili njegovi dijelovi, obuhvaća te zahtjeve.

(16)Direktiva 85/374/EEZ dopunjava ovu Uredbu. Tom direktivom utvrđena su pravila o odgovornosti za neispravne proizvode kako bi oštećene osobe mogle zatražiti naknadu ako su štetu prouzročili neispravni proizvodi. Njome je uspostavljeno načelo da je proizvođač proizvoda odgovoran za štetu prouzročenu pomanjkanjem sigurnosti njegova proizvoda neovisno o krivnji („objektivna odgovornost”). Ako takvo pomanjkanje sigurnosti čini nedostatak sigurnosnih ažuriranja nakon stavljanja proizvoda na tržište i to prouzroči štetu, proizvođač može snositi odgovornost. Obveze proizvođača koje se odnose na pružanje takvih sigurnosnih ažuriranja trebalo bi utvrditi ovom Uredbom.

(12)Uredbom (EU) 2017/745 Europskog parlamenta i Vijeća utvrđuju se pravila za medicinske proizvode, a Uredbom (EU) 2017/746 Europskog parlamenta i Vijeća za in vitro dijagnostičke medicinske proizvode. U obje se uređuje pitanje kibersigurnosnih rizika i temelje se na posebnim pristupima kao i ova Uredba. Točnije, uredbama (EU) 2017/745 i (EU) 2017/746 utvrđuju se bitni zahtjevi za medicinske proizvode koji funkcioniraju putem elektroničkog sustava ili koji su sami softver. Njima su obuhvaćeni i određeni neugrađeni softver te pristup koji se temelji na cijelom životnom ciklusu. Prema tim zahtjevima proizvođači su dužni primjenjivati načelâ upravljanja rizikom pri razvoju i izradi proizvoda te utvrditi zahtjeve koji se odnose na mjere IT sigurnosti te odgovarajuće postupke ocjenjivanja sukladnosti. Nadalje, od prosinca 2019. na snazi su posebne smjernice za kibersigurnost medicinskih proizvoda kojima se proizvođačima medicinskih proizvoda, što uključuje in vitro dijagnostičke proizvode, razjašnjava kako ispuniti sve relevantne bitne zahtjeve iz Priloga I. tim uredbama u pogledu kibersigurnosti. Stoga se ova Uredba ne bi trebala primjenjivati na proizvode s digitalnim elementima na koje se primjenjuje bilo koja od tih uredbi.

(10)Kako se ne bi ometale inovacije ili istraživanja, besplatni softver otvorenog koda razvijen ili isporučen izvan komercijalne djelatnosti ne bi trebao biti obuhvaćen ovom Uredbom. To se posebice odnosi na softver, uključujući njegov izvorni kod i izmijenjene verzije, koji se otvoreno dijeli i besplatno je dostupan te se besplatno može rabiti, mijenjati i dalje distribuirati. U kontekstu softvera komercijalna djelatnost ne mora podrazumijevati samo naplaćivanje proizvoda nego i naplaćivanje usluga tehničke podrške, pružanje softverske platforme putem koje proizvođač unovčuje druge usluge ili uporaba osobnih podataka u svrhe koje nisu isključivo povećanje sigurnosti, kompatibilnosti ili interoperabilnosti softvera.

(8)Utvrđivanjem kibersigurnosnih zahtjeva za stavljanje na tržište proizvoda s digitalnim elementima povećat će se kibersigurnost tih proizvoda i za potrošače i za poduzeća. To uključuje i zahtjeve za stavljanje na tržište potrošačkih proizvoda s digitalnim elementima namijenjenih za ranjive potrošače, kao što su igračke i uređaji za nadzor male djece.

(45)Kao opće pravilo, ocjenjivanje sukladnosti proizvoda s digitalnim elementima trebao bi provoditi proizvođač na vlastitu odgovornost primjenom postupka koji se temelji na modulu A iz Odluke br. 768/2008/EZ. Proizvođač bi i dalje trebao imati mogućnost odabira strožeg postupka ocjenjivanja sukladnosti koji uključuje treću stranu. Ako je proizvod svrstan u rizične proizvode I. razreda, potrebno je dodatno jamstvo za dokazivanje sukladnosti s bitnim zahtjevima utvrđenima ovom Uredbom. Ako proizvođač želi provesti ocjenjivanje sukladnosti na vlastitu odgovornost (modul A), trebao bi primjenjivati usklađene norme, zajedničke specifikacije ili programe kibersigurnosne certifikacije na temelju Uredbe (EU) 2019/881 koje je potvrdila Komisija u provedbenom aktu. Ako proizvođač ne primjenjuje takve usklađene norme, zajedničke specifikacije ili programe kibersigurnosne certifikacije, trebao bi se podvrgnuti ocjenjivanju sukladnosti koje uključuje treću stranu. Uzimajući u obzir administrativno opterećenje proizvođača i to da kibersigurnost ima važnu ulogu u fazi projektiranja i razvoja materijalnih i nematerijalnih proizvoda s digitalnim elementima, postupci ocjenjivanja sukladnosti koji se temelje na modulima B+C ili modulu H iz Odluke br. 768/2008/EZ odabrani su kao najprikladniji za ocjenjivanje sukladnosti rizičnih proizvoda s digitalnim elementima na proporcionalan i učinkovit način. Proizvođač koji provodi ocjenjivanje sukladnosti kao treća strana može odabrati postupak koji najbolje odgovara njegovu procesu projektiranja i proizvodnje. S obzirom na još veći kibersigurnosni rizik povezan s uporabom proizvoda svrstanih u rizične proizvode II. razreda, ocjenjivanje sukladnosti uvijek bi trebalo uključivati treću stranu.

(39)Uredbom (EU) 2019/881 uspostavljen je dobrovoljni europski okvir za kibersigurnosnu certifikaciju IKT proizvoda, procesa i usluga. Europski programi kibersigurnosne certifikacije mogu obuhvaćati proizvode s digitalnim elementima obuhvaćene ovom Uredbom. Ovom bi se Uredbom trebale stvoriti sinergije s Uredbom (EU) 2019/881. Kako bi se olakšalo ocjenjivanje sukladnosti sa zahtjevima utvrđenima ovom Uredbom, proizvodi s digitalnim elementima koji su certificirani ili za koje je izdana izjava o sukladnosti u okviru programa kibersigurnosti u skladu s Uredbom (EU) 2019/881 i koji je Komisija odredila provedbenim aktom smatraju se sukladnima s bitnim zahtjevima ove Uredbe u mjeri u kojoj kibersigurnosni certifikat ili izjava o sukladnosti, ili njihovi dijelovi, obuhvaćaju te zahtjeve. U kontekstu ove Uredbe trebalo bi procijeniti postoji li potreba za novim europskim programima kibersigurnosne certifikacije za proizvode s digitalnim elementima. U okviru takvih budućih europskih programa kibersigurnosne certifikacije koji bi obuhvaćali proizvode s digitalnim elementima trebalo bi uzeti u obzir bitne zahtjeve iz ove Uredbe i olakšati sukladnost s ovom Uredbom. Komisiju bi trebalo ovlastiti da provedbenim aktima odredi europske programe kibersigurnosne certifikacije koji se mogu primijeniti za dokazivanje sukladnosti s bitnim zahtjevima iz ove Uredbe. Nadalje, kako bi se izbjeglo neopravdano administrativno opterećenje proizvođača kad je to moguće, Komisija bi trebala odrediti oslobađa li kibersigurnosni certifikat izdan u okviru takvog europskog programa kibersigurnosne certifikacije proizvođače obveze ocjenjivanja sukladnosti koje provodi treća strana kako je propisano ovom Uredbom za odgovarajuće zahtjeve.

(35)Proizvođači ujedno trebaju prijaviti ENISA-i svaki incident koji utječe na sigurnost proizvoda s digitalnim elementima. Neovisno o obvezama izvješćivanja o incidentima na temelju Direktive [Direktiva XXX/XXXX (NIS2)] za ključne i važne subjekte, presudno je da ENISA, jedinstvene kontaktne točke koje su države članice imenovale u skladu s člankom [članak X.] Direktive [Direktiva XXX/XXXX (NIS2)] i tijela za nadzor tržišta od proizvođača proizvoda s digitalnim elementima primaju informacije koje im omogućuju ocjenu sigurnosti tih proizvoda. Kako bi korisnici mogli brzo reagirati na incidente koji utječu na sigurnost njihovih proizvoda s digitalnim elementima, proizvođači bi i njih trebali obavijestiti o svakom takvom incidentu i, prema potrebi, o svim korektivnim mjerama koje oni mogu poduzeti za ublažavanje posljedica incidenta, primjerice objavljivanjem relevantnih informacija na svojim internetskim stranicama ili, ako proizvođač može stupiti u kontakt s njima i rizici to opravdavaju, izravnim obraćanjem korisnicima.

(33)Kako bi se povećala sigurnost proizvoda s digitalnim elementima koji se stavljaju na unutarnje tržište, potrebno je utvrditi bitne zahtjeve. Tim bitnim zahtjevima ne bi se trebale dovesti u pitanje koordinirane procjene rizika ključnih lanaca opskrbe u EU-u utvrđene [člankom X.] Direktive [Direktiva XXX/XXXX (NIS2)] u kojima se uzimaju u obzir tehnički i, prema potrebi, netehnički čimbenici rizika, kao što je nedopušteni utjecaj treće zemlje na dobavljače. Nadalje, ne bi se trebale dovesti u pitanje ovlasti država članica za utvrđivanje dodatnih zahtjeva kojima se uzimaju u obzir netehnički čimbenici za potrebe osiguravanja visoke razine otpornosti, uključujući one definirane u Preporuci (EU) 2019/534, koordiniranoj procjeni rizika za sigurnost 5G mreža u Uniji i paketu instrumenata EU-a za kibersigurnost 5G mreža koji je dogovorila skupina za suradnju u području sigurnosti mrežnih i informacijskih sustava iz [Direktive XXX/XXXX (NIS2)].

(29)Proizvodi s digitalnim elementima koji su klasificirani u visokorizične UI sustave u skladu s člankom 6. Uredbe [Uredba o umjetnoj inteligenciji] i obuhvaćeni su područjem primjene ove Uredbe trebali bi biti sukladni s bitnim zahtjevima iz ove Uredbe. Ako ti visokorizični UI sustavi ispunjavaju bitne zahtjeve iz ove Uredbe, trebali bi se smatrati sukladnima sa zahtjevima za kibersigurnost iz članka [članak 15.] Uredbe [Uredba o umjetnoj inteligenciji] u mjeri u kojoj su ti zahtjevi obuhvaćeni EU izjavom o sukladnosti, ili njezinim dijelovima, izdanom na temelju ove Uredbe. Kad je riječ o postupcima ocjenjivanja sukladnosti koji se odnose na bitne kibersigurnosne zahtjeve za proizvode s digitalnim elementima koji su obuhvaćeni ovom Uredbom i klasificirani su u visokorizične UI sustave, umjesto odgovarajućih odredbi ove Uredbe u pravilu bi se trebale primjenjivati relevantne odredbe članka 43. Uredbe [Uredba o umjetnoj inteligenciji]. Međutim, to pravilo ne bi trebalo dovesti do smanjenja potrebne razine jamstva za rizične proizvode s digitalnim elementima obuhvaćene ovom Uredbom. Stoga bi se, odstupajući od tog pravila, na visokorizične UI sustave koji su obuhvaćeni područjem primjene Uredbe [Uredba o umjetnoj inteligenciji] i pripadaju rizičnim proizvodima s digitalnim elementima na temelju ove Uredbe te na koje se primjenjuje postupak ocjenjivanja sukladnosti na temelju unutarnje kontrole iz Priloga VI. Uredbi [Uredba o umjetnoj inteligenciji] trebale primjenjivati odredbe ove Uredbe o ocjenjivanju sukladnosti u mjeri u kojoj se na njih odnose bitni zahtjevi iz ove Uredbe. U tom bi se slučaju za sve ostale aspekte obuhvaćene Uredbom [Uredba o umjetnoj inteligenciji] trebale primjenjivati odgovarajuće odredbe o ocjenjivanju sukladnosti na temelju unutarnje kontrole iz Priloga VI. Uredbi [Uredba o umjetnoj inteligenciji].

(28)Ovom se Uredbom ciljano uređuju kibersigurnosni rizici. Međutim, proizvodi s digitalnim elementima mogu predstavljati druge sigurnosne rizike koji nisu povezani s kibersigurnošću. Takvi bi rizici i dalje trebali biti uređeni drugim relevantnim zakonodavstvom Unije o proizvodima. Ako drugo zakonodavstvo Unije o usklađivanju nije primjenjivo, na njih bi se trebala primjenjivati Uredba [Uredba o općoj sigurnosti proizvoda]. Dakle, s obzirom na ciljanu prirodu ove Uredbe i odstupajući od članka 2. stavka 1. trećeg podstavka točke (b) Uredbe [Uredba o općoj sigurnosti proizvoda], kad je riječ o sigurnosnim rizicima koji nisu obuhvaćeni ovom Uredbom, na proizvode s digitalnim elementima trebali bi se primjenjivati zahtjevi iz poglavlja III. odjeljka 1., poglavlja V. i VII. i poglavlja od IX. do XI. Uredbe [Uredba o općoj sigurnosti proizvoda] osim ako se na njih primjenjuju posebni zahtjevi iz drugog zakonodavstva Unije o usklađivanju u smislu [članka 3. točke 25. Uredbe o općoj sigurnosti proizvoda].

(48)Kako bi se osigurala dosljedna razina kvalitete u ocjenjivanju sukladnosti proizvoda s digitalnim elementima, potrebno je utvrditi i zahtjeve za tijela koja provode prijavljivanje i druga tijela uključena u ocjenjivanje, prijavljivanje i praćenje prijavljenih tijela. Sustav utvrđen ovom Uredbom trebalo bi dopuniti akreditacijskim sustavom utvrđenim u Uredbi (EZ) br. 765/2008. Budući da je akreditacija bitno sredstvo za provjeru stručnosti tijela za ocjenjivanje sukladnosti, trebala bi se upotrebljavati i u svrhu prijavljivanja.

(49)Nacionalna javna tijela u Uniji trebala bi transparentnu akreditaciju propisanu Uredbom (EZ) br. 765/2008, kojom se osigurava potrebna razina povjerenja u certifikate o sukladnosti, smatrati prefereriranim sredstvom dokazivanja tehničke stručnosti tijela za ocjenjivanje sukladnosti. Međutim, nacionalna tijela mogu smatrati da raspolažu primjerenim sredstvima kojima samostalno mogu obaviti tu evaluaciju. U takvim slučajevima, kako bi se osigurala odgovarajuća razina vjerodostojnosti evaluacija koje provode druga nacionalna tijela, ona bi Komisiji i drugim državama članicama trebala dostaviti potrebnu dokumentaciju kojom potvrđuju da evaluirana tijela za ocjenjivanje sukladnosti ispunjavaju relevantne regulatorne zahtjeve.

(50)Tijela za ocjenjivanje sukladnosti često podugovaraju dio svojih poslova povezanih s ocjenjivanjem sukladnosti ili ih prenose na društvo kćer. Kako bi se osigurala propisana razina zaštite za proizvod s digitalnim elementima koji se stavlja na tržište, bitno je da podugovaratelji i društva kćeri koji ocjenjuju sukladnost ispunjavaju jednake zahtjeve kao prijavljena tijela u pogledu ocjenjivanja sukladnosti.

(51)Tijelo koje provodi prijavljivanje trebalo bi Komisiji i drugim državama članicama dostaviti prijavu tijela za ocjenjivanje sukladnosti putem informacijskog sustava prijavljenih i imenovanih tijela prema novom pristupu (NANDO). NANDO je elektronički alat za prijavljivanje koji je razvila i vodi Komisija u kojem se može pronaći popis svih prijavljenih tijela.

(52)Budući da prijavljena tijela mogu nuditi svoje usluge u cijeloj Uniji, primjereno je drugim državama članicama i Komisiji omogućiti da iznesu prigovore u pogledu pojedinog prijavljenog tijela. Stoga je važno utvrditi razdoblje u kojem se sve sumnje ili pitanja koja se odnose na stručnost tijela za ocjenjivanje sukladnosti mogu razjasniti prije nego što to tijelo počne raditi kao prijavljeno tijelo.

(53)U interesu tržišnog natjecanja ključno je da prijavljena tijela primjenjuju postupke ocjenjivanja sukladnosti bez nepotrebnog opterećivanja gospodarskih subjekata. Iz istog razloga i radi jednakog postupanja prema gospodarskim subjektima treba se pobrinuti da tehnička primjena postupaka ocjenjivanja sukladnosti bude dosljedna. Primjerena koordinacija i suradnja prijavljenih tijela trebali bi biti najbolji načini da se to postigne.

(54)Nadzor tržišta ključan je instrument za osiguravanje odgovarajuće i ujednačene primjene zakonodavstva Unije. Stoga je primjereno uspostaviti pravni okvir na temelju kojeg se nadzor tržišta može provoditi na odgovarajući način. Na proizvode s digitalnim elementima obuhvaćene ovom Uredbom primjenjuju se pravila o nadzoru tržišta Unije i kontroli proizvoda koji ulaze na tržište Unije propisana Uredbom (EU) 2019/1020 Europskog parlamenta i Vijeća.

(55)U skladu s Uredbom (EU) 2019/1020 tijela za nadzor tržišta provode nadzor tržišta na državnom području određene države članice. Ova Uredba ne bi trebala onemogućiti države članice da odaberu nadležna tijela za obavljanje tih zadaća. Svaka država članica trebala bi odrediti jedno ili više tijela za nadzor tržišta na svojem državnom području. Države članice mogu kao tijelo za nadzor tržišta imenovati bilo koje postojeće ili novo tijelo, uključujući nacionalna nadležna tijela iz članka [članak X.] Direktive [Direktiva XXX/XXXX (NIS2)] ili imenovana nacionalna tijela za kibersigurnosnu certifikaciju iz članka 58. Uredbe (EU) 2019/881. Gospodarski subjekti trebali bi u potpunosti surađivati s tijelima za nadzor tržišta i drugim nadležnim tijelima. Svaka država članica trebala bi obavijestiti Komisiju i druge države članice o svojim tijelima za nadzor tržišta i područjima nadležnosti svakog od tih tijela te osigurati potrebne resurse i vještine za obavljanje nadzornih zadaća koje se odnose na ovu Uredbu. U skladu s člankom 10. stavcima 2. i 3. Uredbe (EU) 2019/1020 svaka država članica trebala bi imenovati jedinstveni ured za vezu koji bi trebao biti odgovoran, među ostalim, za zastupanje koordiniranog stajališta tijela za nadzor tržišta i pružanje pomoći u suradnji tijela za nadzor tržišta iz različitih država članica.

(56)Radi ujednačene primjene ove Uredbe, trebalo bi uspostaviti posebnu administrativnu skupinu za koordinaciju (skupina za ADCO) u skladu s člankom 30. stavkom 2. Uredbe (EU) 2019/1020. Ta skupina za ADCO trebala bi se sastojati od predstavnika imenovanih tijela za nadzor tržišta i, prema potrebi, predstavnika jedinstvenih ureda za vezu. Komisija bi trebala podupirati i poticati suradnju tijelâ za nadzor tržišta u okviru Mreže Unije za sukladnost proizvoda, koja je uspostavljena na temelju članka 29. Uredbe (EU) 2019/1020 i sastoji se od predstavnika svake države članice, uključujući predstavnika svakog jedinstvenog ureda za vezu iz članka 10. Uredbe (EU) 2019/1020 i, prema potrebi, nacionalnog stručnjaka, predsjednikâ skupina za ADCO i predstavnikâ Komisije. Komisija bi trebala sudjelovati na sastancima Mreže, njezinih podskupina i posebne skupine za ADCO. Ona bi trebala i pomagati toj skupini za ADCO preko izvršnog tajništva koje pruža tehničku i logističku potporu.

(57)Kako bi se poduzimale pravodobne, proporcionalne i učinkovite mjere povezane s proizvodima s digitalnim elementima koji predstavljaju znatan kibersigurnosni rizik, trebalo bi predvidjeti zaštitni postupak Unije u okviru kojeg bi se zainteresirane strane obavješćivalo o mjerama koje se namjeravaju poduzeti u vezi s takvim proizvodima. Time bi se ujedno tijelima za nadzor tržišta omogućilo da, u suradnji s relevantnim gospodarskim subjektima, prema potrebi djeluju u ranijoj fazi. Ako se države članice i Komisija slažu da je mjera koju je poduzela država članica opravdana, daljnje sudjelovanje Komisije ne bi trebalo biti potrebno, osim ako se nesukladnost može pripisati nedostacima usklađene norme.

(58)U određenim slučajevima proizvod s digitalnim elementima koji je sukladan s ovom Uredbom može ipak predstavljati znatan kibersigurnosni rizik, rizik za zdravlje ili sigurnost osoba, rizik za ispunjavanje obveza na temelju prava Unije ili nacionalnog prava za zaštitu temeljnih prava, rizik za dostupnost, autentičnost, cjelovitost ili povjerljivost usluga koje pomoću elektroničkog informacijskog sustava nude ključni subjekti koji pripadaju vrsti iz [Priloga I. Direktivi XXX/XXXX (NIS2)] ili rizik za druge aspekte zaštite javnog interesa. Stoga je potrebno uspostaviti pravila za ublažavanje tih rizika. Tijela za nadzor tržišta zato bi trebala poduzeti mjere kojima će od gospodarskog subjekta zahtijevati da se pobrine da proizvod više ne predstavlja taj rizik ili da ga opozove ili povuče, ovisno o riziku. Čim tijelo za nadzor tržišta ograniči ili zabrani slobodno kretanje proizvoda na takav način, država članica trebala bi bez odgode obavijestiti Komisiju i druge države članice o privremenim mjerama te pritom obrazložiti tu odluku. Ako tijelo za nadzor tržišta donese takve mjere za proizvode koji predstavljaju rizik, Komisija bi se trebala bez odgode savjetovati s državama članicama i relevantnim gospodarskim subjektima te evaluirati nacionalnu mjeru. Na temelju rezultata te evaluacije Komisija bi trebala odlučiti je li nacionalna mjera opravdana. Komisija bi svoju odluku trebala dostaviti svim državama članicama te o njoj odmah obavijestiti sve države članice i relevantne gospodarske subjekte. Ako se mjera smatra opravdanom, Komisija može razmotriti i donošenje prijedloga za reviziju odgovarajućeg zakonodavstva Unije.

(59)Za proizvode s digitalnim elementima koji predstavljaju znatan kibersigurnosni rizik i ako postoji razlog za sumnju da nisu sukladni s ovom Uredbom ili za proizvode koji su sukladni s ovom Uredbom, ali predstavljaju druge važne rizike, kao što su rizici za zdravlje ili sigurnost osoba, temeljna prava ili pružanje usluga ključnih subjekata koji pripadaju vrsti iz [Priloga I. Direktivi XXX/XXXX (NIS2)], Komisija može zatražiti od ENISA-e da provede evaluaciju. Na temelju te evaluacije Komisija može provedbenim aktima donijeti korektivne ili restriktivne mjere na razini Unije, uključujući nalaganje povlačenja s tržišta ili opoziva odgovarajućih proizvoda u razumnom roku, razmjerno vrsti rizika. Komisija može pribjeći takvoj intervenciji samo u iznimnim okolnostima u kojima je brza intervencija opravdana radi očuvanja dobrog funkcioniranja unutarnjeg tržišta i samo ako nadzorna tijela nisu poduzela djelotvorne mjere za ispravljanje situacije. Takve iznimne okolnosti mogu biti izvanredne situacije kao, na primjer, kad nesukladan proizvod koji je proizvođač stavio na raspolaganje u velikim kolilčinama u nekoliko država članica, koji usto u ključnim sektorima rabe subjekti obuhvaćeni područjem primjene [Direktive XXX/XXXX (NIS2)], sadržava poznate ranjivosti koje zlonamjerni akteri iskorištavaju i za koje proizvođač ne pruža zakrpe. Komisija može intervenirati u takvim izvanrednim situacijama samo dok traju iznimne okolnosti i ako nesukladnost s ovom Uredbom ili važni rizici koje proizvod predstavlja potraju.

(60)Ako postoje naznake nesukladnosti s ovom Uredbom u nekoliko država članica, tijela za nadzor tržišta trebala bi moći provoditi zajedničke aktivnosti s drugim tijelima radi provjere sukladnosti i utvrđivanja kibersigurnosnih rizika proizvoda s digitalnim elementima.

(61)Istodobne koordinirane kontrolne mjere („opsežne provjere”) posebne su provedbene mjere tijela za nadzor tržišta kojima se može dodatno povećati sigurnost proizvoda. Opsežne provjere trebalo bi ponajprije provoditi kad tržišni trendovi, pritužbe potrošača ili druge naznake upućuju na to da određene kategorije proizvoda često predstavljaju kibersigurnosne rizike. ENISA bi tijelima za nadzor tržišta trebala dostavljati prijedloge kategorija proizvoda za koje bi se mogle organizirati opsežne provjere, na temelju, među ostalim, obavijesti o ranjivostima proizvoda i incidentima koje primi.

(62)Kako bi se regulatorni okvir mogao prema potrebi prilagođavati, Komisiji bi trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. Ugovora radi ažuriranja popisa rizičnih proizvoda iz Priloga III. i određivanja definicija tih kategorija proizvoda. Ovlast za donošenje akata u skladu s tim člankom Komisiji bi trebalo delegirati radi utvrđivanja proizvoda s digitalnim elementima koji su obuhvaćeni drugim pravilima Unije kojima se postiže jednaka razina zaštite kao i ovom Uredbom, pri čemu, prema potrebi, treba odrediti je li potrebno ograničenje ili izuzeće iz područja primjene ove Uredbe te opseg tog ograničenja. Ovlast za donošenje akata u skladu s tim člankom Komisiji bi trebalo delegirati i u pogledu potencijalnog uvođenje obveze certifikacije određenih visokorizičnih proizvoda s digitalnim elementima na temelju kriterija rizičnosti utvrđenih u ovoj Uredbi te radi određivanja minimalnog sadržaja EU izjave o sukladnosti i dodatnih elemenata koje treba uključiti u tehničku dokumentaciju. Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući ona na razini stručnjaka, te da se ta savjetovanja provedu u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016. Osobito, s ciljem osiguravanja ravnopravnog sudjelovanja u pripremi delegiranih akata, Europski parlament i Vijeće primaju sve dokumente istodobno kada i stručnjaci iz država članica te njihovi stručnjaci sustavno imaju pristup sastancima stručnih skupina Komisije koji se odnose na pripremu delegiranih akata.

(63)Radi osiguranja jedinstvenih uvjeta za provedbu ove Uredbe, Komisiji bi trebalo dodijeliti provedbene ovlasti za: određivanje formata i elemenata popisa softverskog materijala, pobliže određivanje vrste informacija, formata i postupka podnošenja obavijesti o iskorištenim ranjivostima i incidentima koje proizvođači dostavljaju ENISA-i, određivanje europskih programa kibersigurnosne certifikacije donesenih na temelju Uredbe (EU) 2019/881 koji se mogu primijeniti za dokazivanje sukladnosti s bitnim zahtjevima ili njihovim dijelovima iz Priloga I. ovoj Uredbi, donošenje zajedničkih specifikacija povezanih s bitnim zahtjevima iz Priloga I., utvrđivanje tehničkih specifikacija za piktograme i sve druge oznake povezane sa sigurnošću proizvoda s digitalnim elementima te mehanizama za promicanje njihove uporabe te odlučivanje o korektivnim ili restriktivnim mjerama na razini Unije u iznimnim okolnostima koje opravdavaju brzu intervenciju radi očuvanja dobrog funkcioniranja unutarnjeg tržišta. Te bi ovlasti trebalo izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća.

(64)Kako bi se osigurala pouzdana i konstruktivna suradnja tijela za nadzor tržišta na razini Unije i na nacionalnoj razini, sve strane uključene u primjenu ove Uredbe trebale bi poštovati povjerljivost informacija i podataka prikupljenih pri obavljanju svojih zadaća.

(65)Kako bi se osiguralo učinkovito izvršavanje obveza utvrđenih u ovoj Uredbi, svako tijelo za nadzor tržišta trebalo bi imati ovlast izricati ili zahtijevati izricanje upravnih novčanih kazni. Stoga bi u nacionalnim propisima trebalo utvrditi najviše upravne novčane kazne za nepoštovanje obveza utvrđenih ovom Uredbom. Pri odlučivanju o iznosu upravne novčane kazne u svakom pojedinačnom slučaju u obzir bi trebalo uzeti sve relevantne okolnosti konkretne situacije, a minimalno one izričito utvrđene ovom Uredbom, među ostalim i to jesu li druga tijela za nadzor tržišta već izrekla upravne novčane kazne istom subjektu za slične povrede. Takve okolnosti mogu biti otegotne, u situacijama kad isti subjekt nastavlja s povredom na državnim područjima drugih država članica osim one u kojoj mu je upravna novčana kazna već izrečena, ili olakotne, jer bi trebale osigurati da druga tijela za nadzor tržišta pri razmatranju bilo koje druge upravne novčane kazne za isti gospodarski subjekt ili istu vrstu povrede uzmu u obzir, zajedno s drugim relevantnim posebnim okolnostima, vrstu i visinu sankcije izrečene u drugim državama članicama. U svim takvim slučajevima kumulativna upravna novčana kazna koju bi tijela za nadzor tržišta nekoliko država članica mogla izreći istom gospodarskom subjektu za istu vrstu povrede trebala bi biti u skladu s načelom proporcionalnosti.

(66)Ako su upravne novčane kazne izrečene osobama koje nisu poduzeće, pri razmatranju odgovarajućeg iznosa novčane kazne nadležno tijelo trebalo bi uzeti u obzir opću razinu dohotka u državi članici te ekonomsko stanje osobe. Države članice trebale bi utvrditi i trebaju li i do koje mjere primjenjivati upravne novčane kazne za državna tijela.

(67)U svojim odnosima s trećim zemljama EU nastoji promicati međunarodnu trgovinu reguliranim proizvodima. Za olakšavanje trgovine može se primijeniti širok raspon mjera, uključujući nekoliko pravnih instrumenata kao što su bilateralni (međuvladini) sporazumi o uzajamnom priznavanju ocjenjivanja sukladnosti i označivanja reguliranih proizvoda. Sporazumi o uzajamnom priznavanju sklapaju se između Unije i trećih zemalja koje su na usporedivoj razini tehničkog razvoja i imaju kompatibilan pristup ocjenjivanju sukladnosti. Ti se sporazumi temelje na uzajamnom priznavanju potvrda, oznaka sukladnosti i rezultata ispitivanja koje izdaju tijela za ocjenjivanje sukladnosti bilo koje stranke u skladu sa zakonodavstvom druge stranke. Trenutačno ti sporazumi postoje s nekoliko zemalja. Sklapaju se u više raznih sektora koji se mogu razlikovati od države do države. Kako bi se dodatno olakšala trgovina i s obzirom na to da su lanci opskrbe proizvoda s digitalnim elementima globalni, sporazumi o uzajamnom priznavanju ocjenjivanja sukladnosti mogu se sklopiti za proizvode koje Unija regulira ovom Uredbom u skladu s člankom 218. UFEU-a. Važna je i suradnja s partnerskim zemljama radi povećanja kiberotpornosti na globalnoj razini jer će to dugoročno doprinijeti učvršćivanju okvira kibersigurnosti unutar i izvan EU-a.