EURÓPAI BIZOTTSÁG Brüsszel, 2022.9.15. COM(2022) 454 final 2022/0272(COD) Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE a digitális elemeket tartalmazó termékekre vonatkozó horizontális kiberbiztonsági követelményekről és az (EU) 2019/1020 rendelet módosításáról (EGT-vonatkozású szöveg) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



INDOKOLÁS 1.A JAVASLAT HÁTTERE •A javaslat indokai és céljai A hardver- és szoftvertermékek egyre gyakrabban sikeres kibertámadások áldozatai, ami a kiberbűnözés becsült éves költségét 2021-re 5,5 billió EUR-ra növelte. Az ilyen termékek két fő problémával küzdenek, amelyek növelik a felhasználók és a társadalom költségeit: 1. a kiberbiztonság szintje alacsony, ami a széles körben elterjedt sebezhetőségekben, valamint az ezek kezelését célzó biztonsági frissítések elégtelen és következetlen biztosításában nyilvánul meg, valamint 2. a felhasználók nem értik eléggé a problémát és nem férnek hozzá az információkhoz, ami megakadályozza őket abban, hogy megfelelő kiberbiztonsági tulajdonságokkal rendelkező termékeket válasszanak vagy azokat biztonságosan használják. Összekapcsolt környezetben egy termékkel kapcsolatos kiberbiztonsági esemény hatással lehet egy egész szervezetre vagy egy teljes ellátási láncra, és gyakran percek alatt átterjed a belső piac határain. Ez a gazdasági és társadalmi tevékenységek súlyos zavaraihoz vezethet, vagy akár életveszélyessé is válhat. A digitális elemeket tartalmazó termékek kiberbiztonságának határokon átnyúló jellege erőteljes, mivel az egyik országban előállított termékeket gyakran az egész belső piacon használják. Emellett az eredetileg egyetlen szervezetet vagy egyetlen tagállamot érintő események gyakran perceken belül elterjednek a teljes belső piacon. Bár a meglévő belső piaci jogszabályok lefednek bizonyos, digitális elemeket tartalmazó termékeket, a hardver- és szoftvertermékek többsége jelenleg nem tartozik a kiberbiztonságukat kezelő egyetlen uniós jogszabály hatálya alá sem. A jelenlegi uniós jogi keret különösen nem foglalkozik a nem beágyazott szoftverek kiberbiztonságával, annak ellenére, hogy a kiberbiztonsági támadások egyre inkább e termékek sebezhetőségeit célozzák, ami jelentős társadalmi és gazdasági költségekkel jár. Számos példa van az optimálistól elmaradó termékbiztonságból eredő, figyelemre méltó kibertámadásokra, például a Windows egyik sebezhetőségét kihasználó WannaCry zsarolóvírus féreg, amely 2017-ben 150 országban 200 000 számítógépet érintett, és több milliárd USD összegű kárt okozott; a Kaseya VSA-n keresztül ellátási láncok ellen elkövetett támadás, amely a Kaseya hálózati adminisztrációs szoftverét használta több mint 1 000 vállalat megtámadására, és arra kényszerített egy áruházláncot, hogy Svédország-szerte bezárja mind az 500 üzletét; vagy számos olyan biztonsági esemény, amikor banki alkalmazásokat törnek fel, hogy pénzt lopjanak gyanútlan fogyasztóktól. A belső piac megfelelő működésének biztosítása érdekében két fő célkitűzést határoztak meg: 1. megteremteni a digitális elemeket tartalmazó biztonságos termékek fejlesztésének feltételeit annak biztosításával, hogy a hardver- és szoftvertermékeket kevesebb sebezhetőséggel hozzák forgalomba, és biztosítani, hogy a gyártók komolyan vegyék a biztonságot a termék teljes életciklusa során, és 2. olyan feltételeket teremteni, amelyek lehetővé teszik a felhasználók számára, hogy a digitális elemeket tartalmazó termékek kiválasztásakor és használatakor figyelembe vehessék a kiberbiztonságot. Négy konkrét célkitűzést határoztak meg: i. annak biztosítása, hogy a gyártók a tervezési és fejlesztési szakasztól kezdve, valamint a teljes életciklus során javítsák a digitális elemeket tartalmazó termékek biztonságát, ii. koherens kiberbiztonsági keret biztosítása, amely megkönnyíti a megfelelést a hardver- és szoftvergyártók számára, iii. a digitális elemeket tartalmazó termékek biztonsági tulajdonságai átláthatóságának fokozása, valamint iv. annak lehetővé tétele, hogy a vállalkozások és a fogyasztók biztonságosan használhassák a digitális elemeket tartalmazó termékeket. A kiberbiztonság erős határokon átnyúló jellege és a határokon, ágazatokon és termékeken keresztül továbbgyűrűző hatásokkal járó, egyre növekvő számú kiberbiztonsági események miatt a célkitűzéseket a tagállamok önmagukban nem tudják hatékonyan megvalósítani. Tekintettel a digitális elemeket tartalmazó termékek piacának globális jellegére, a tagállamok a digitális elemeket tartalmazó ugyanazon termék tekintetében ugyanazokkal a kockázatokkal szembesülnek a területükön. A kialakulóban lévő, potenciálisan eltérő nemzeti szabályokból álló, széttagolt keret azzal a veszéllyel jár, hogy akadályozza a digitális elemeket tartalmazó termékek nyitott és versenyképes egységes piacát. Ezért uniós szintű együttes fellépésre van szükség a felhasználók körében a bizalom és a digitális elemeket tartalmazó uniós termékek vonzerejének növelése érdekében. Ez a belső piac számára is előnyös lenne azáltal, hogy jogbiztonságot nyújtana és egyenlő versenyfeltételeket teremtene a digitális elemeket tartalmazó termékek értékesítői számára, amint azt az Európa jövőjéről szóló konferencia zárójelentése is kiemeli, amelyben a polgárok azt kérik, hogy az EU kapjon nagyobb szerepet a kiberbiztonsági fenyegetések elleni küzdelemben. •Kölcsönhatás a szabályozási terület jelenlegi rendelkezéseivel Az uniós keret több, a kiberbiztonsághoz kapcsolódó egyes szempontokat különböző szemszögből (termékek, szolgáltatások, válságkezelés és bűncselekmények) lefedő horizontális jogszabályból áll. 2013-ban hatályba lépett az információs rendszerek elleni támadásokról szóló irányelv, amely az információs rendszerek ellen elkövetett számos bűncselekmény esetében harmonizálja a bűncselekménnyé nyilvánítást és a büntetéseket. 2016 augusztusában első uniós szintű kiberbiztonsági jogszabályként hatályba lépett a hálózati és információs rendszerek biztonságáról szóló (EU) 2016/1148 irányelv (kiberbiztonsági irányelv). Az irányelv felülvizsgálata, amely a(z) [XXX/XXXX irányelv (NIS2)] irányelvhez vezetett, növeli a közös uniós ambíciószintet. 2019-ben hatályba lépett az uniós kiberbiztonsági jogszabály, amelynek célja az IKT-termékek, az IKT-szolgáltatások és az IKT-folyamatok biztonságának növelése egy önkéntes európai kiberbiztonsági tanúsítási keretrendszer bevezetésével. A teljes ellátási lánc kiberbiztonsága csak akkor biztosított, ha annak minden összetevője kiberbiztonságot nyújt. A fent említett uniós jogszabály azonban jelentős hiányosságokat mutat e tekintetben, mivel nem terjed ki a digitális elemeket tartalmazó termékek biztonságára vonatkozó kötelező követelményekre. Míg a kiberrezilienciáról szóló jogszabályjavaslat a forgalomba hozott, digitális elemeket tartalmazó termékekre vonatkozik, a(z) [XXX/XXX irányelv (NIS2)] irányelv célja az alapvető és fontos szervezetek által nyújtott szolgáltatások magas szintű kiberbiztonságának biztosítása. A(z) [XXX/XXXX irányelv (NIS2)] irányelv előírja a tagállamok számára annak biztosítását, hogy a hatálya alá tartozó alapvető és fontos szervezetek, például az egészségügyi szolgáltatók, a felhőszolgáltatók és a közigazgatási szervek megfelelő és arányos technikai, operatív és szervezeti kiberbiztonsági intézkedéseket hozzanak. Ez magában foglalja többek között a hálózati és információs rendszerek beszerzése, fejlesztése és karbantartása során a biztonság garantálására vonatkozó követelményt, beleértve a sebezhetőségek kezelését és a nyilvánosságra hozatalt is. A(z) [XXX/XXXX irányelv (NIS2)] irányelv előírja a Bizottság számára, hogy az ezen irányelv hatálybalépését követő 21 hónapon belül bizonyos típusú szervezetek, például a felhőszolgáltatók tekintetében az említett intézkedésekre vonatkozó technikai és módszertani követelményeket meghatározó végrehajtási jogi aktusokat fogadjon el. Minden más szervezet esetében a Bizottságnak lehetősége van a technikai és módszertani követelményeket, valamint az ágazati követelményeket meghatározó végrehajtási jogi aktust elfogadni. Ez a keret biztosítani fogja, hogy a kiberrezilienciáról szóló jogszabály alapvető kiberbiztonsági követelményeihez hasonló műszaki előírásokat és intézkedéseket a szoftverszolgáltatások (Software-as-a-Service) tervezése, fejlesztése és sebezhetőségeinek kezelése tekintetében is végrehajtsák. Ez például a magas szintű kiberbiztonság biztosításának eszköze lehet olyan esetekben, mint az elektronikus egészségügyi nyilvántartó (EHR) rendszerek, ideértve a szoftverszolgáltatásként (SaaS) nyújtott vagy az egészségügyi intézményeken belül (házon belül) kifejlesztett rendszereket is, a javasolt [európai egészségügyi adattérről szóló rendelettel] összhangban. •Kölcsönhatás az Unió egyéb szakpolitikáival Az „Európa digitális jövőjének megtervezése” című közleményben foglaltaknak megfelelően az EU számára kulcsfontosságú, hogy kiaknázza a digitális kor minden előnyét, és megerősítse ipari és innovációs kapacitását – biztonságos és etikus határokon belül. Az európai adatstratégia négy pillért – adatvédelem, alapvető jogok, biztonság és kiberbiztonság – határoz meg annak szükséges előfeltételeként, hogy az adatok felhasználása a társadalmi önrendelkezést szolgálja. Az esetleg digitális elemeket is tartalmazó termékekre alkalmazandó jelenlegi uniós keret több jogszabályból áll, köztük a biztonsággal kapcsolatos szempontokat lefedő, konkrét termékekre vonatkozó uniós jogszabályokból és a termékfelelősségre vonatkozó általános jogszabályokból. A javaslat összhangban van a termékekkel kapcsolatos jelenlegi uniós szabályozási kerettel, valamint az olyan közelmúltbeli jogalkotási javaslatokkal, mint a Bizottság [a mesterséges intelligenciáról (MI) szóló rendelet] rendeletjavaslata. A javasolt rendelet az (EU) 2022/30 felhatalmazáson alapuló bizottsági rendelet hatálya alá tartozó valamennyi rádióberendezésre alkalmazandó lenne. Ezenkívül az e rendeletben meghatározott követelmények magukban foglalják a 2014/53/EU irányelv 3. cikke (3) bekezdésének d), e) és f) pontjában említett alapvető követelmények valamennyi elemét, beleértve az említett felhatalmazáson alapuló rendelet alapján kiadott [az európai szabványügyi szervezetekhez intézett szabványosítási kérelemről szóló XXX/2022 bizottsági végrehajtási határozatban] meghatározott főbb elemeket is. A szabályozási átfedések elkerülése érdekében a tervek szerint a Bizottság hatályon kívül helyezi vagy módosítja a felhatalmazáson alapuló rendeletet a javasolt rendelet hatálya alá tartozó rádióberendezések tekintetében, hogy azokra csak az utóbbi legyen alkalmazandó annak hatálybalépését követően. Ezenkívül a párhuzamos munkavégzés elkerülése érdekében a tervek szerint a Bizottság és az európai szabványügyi szervezetek a rendelet végrehajtásának megkönnyítése érdekében a harmonizált szabványok előkészítése és kidolgozása során figyelembe veszik a rádióberendezésekről szóló irányelvet kiegészítő (EU) 2022/30 felhatalmazáson alapuló rendelethez kapcsolódó szabványosítási kérelemről szóló C(2022)5637 bizottsági végrehajtási határozat keretében végzett szabványosítási munkát. 2.JOGALAP, SZUBSZIDIARITÁS ÉS ARÁNYOSSÁG •Jogalap

E javaslat jogalapja az Európai Unió működéséről szóló szerződés (EUMSZ) 114. cikke, amely rendelkezik a belső piac létrehozását és működését biztosító intézkedések elfogadásáról. A javaslat célja, hogy valamennyi tagállamban harmonizálja a digitális elemeket tartalmazó termékekre vonatkozó kiberbiztonsági követelményeket, és elhárítsa az áruk szabad mozgását gátló akadályokat. Az EUMSZ 114. cikke jogalapként használható a meglévő jogi keretekben fennálló jogi bizonytalanságok és hiányosságok kezelésére vonatkozó eltérő nemzeti jogszabályokból és megközelítésekből eredő ilyen akadályok felmerülésének megelőzésére. A Bíróság továbbá elismerte, hogy a heterogén műszaki követelmények alkalmazása érvényes indok lehet az EUMSZ 114. cikkének alkalmazására. A digitális elemeket tartalmazó termékekre alkalmazandó jelenlegi uniós jogi keret az EUMSZ 114. cikkén alapul, és több jogszabályból áll, köztük a konkrét termékekre és biztonsággal kapcsolatos szempontokra vonatkozó jogszabályokból, illetve a termékfelelősségre vonatkozó általános jogszabályokból. Azonban csak a kézzelfogható digitális termékek és adott esetben az e termékekbe beágyazott szoftverek kiberbiztonságához kapcsolódó bizonyos szempontokra terjed ki. Nemzeti szinten a tagállamok olyan nemzeti intézkedéseket hoznak, amelyek előírják a digitális termékeket értékesítők számára a kiberbiztonságuk fokozását. Ugyanakkor a digitális termékek kiberbiztonságának határokon átnyúló jellege különösen erőteljes, mivel az egyik országban előállított termékeket gyakran az egész belső piacon használják szervezetek és fogyasztók. Az eleinte egyetlen szervezetet vagy tagállamot érintő biztonsági események gyakran perceken belül átterjednek más szervezetekre, ágazatokra és számos tagállamra. Az eddig uniós és nemzeti szinten hozott különböző jogi aktusok és kezdeményezések csak részben oldják meg a felismert problémákat, és fennáll annak a kockázata, hogy a jogszabályok sokfélesége alakul ki a belső piacon, ami fokozza a jogbizonytalanságot e termékek forgalmazói és felhasználói számára egyaránt, és szükségtelen terheket ró a vállalatokra a hasonló típusú termékekre vonatkozó számos követelménynek való megfelelés tekintetében. A javasolt rendelet harmonizálná és észszerűsítené az uniós szabályozási környezetet azáltal, hogy kiberbiztonsági követelményeket vezetne be a digitális elemeket tartalmazó termékekre vonatkozóan, és elkerülné a különböző jogszabályokból eredő, egymást átfedő követelményeket. Ez Unió-szerte nagyobb jogbiztonságot teremtene a gazdasági szereplők és a felhasználók számára, valamint javítaná a belső piac harmonizációját, életképesebb feltételeket teremtve az uniós piacra belépni kívánó gazdasági szereplők számára. •Szubszidiaritás (nem kizárólagos hatáskör esetén) A kiberbiztonság általában véve erős határokon átnyúló jellege és a határokon, ágazatokon és termékeken keresztül továbbgyűrűző hatásokkal járó, egyre növekvő számú kockázatok és kiberbiztonsági események miatt a jelen beavatkozás célkitűzéseit a tagállamok önmagukban nem tudják hatékonyan megvalósítani. A problémák kezelésére irányuló nemzeti megközelítések, és különösen a kötelező követelményeket bevezető megközelítések további jogbizonytalansághoz és akadályokhoz vezetnek. Megakadályozhatják, hogy a vállalatok zökkenőmentesen terjeszkedjenek más tagállamokba, megfosztva a felhasználókat a termékeik előnyeitől. Ezért uniós szintű együttes fellépésre van szükség a felhasználók körében a magas szintű bizalom megteremtése és a digitális elemeket tartalmazó uniós termékek vonzerejének növelése érdekében. Ez általában a digitális egységes piac és a belső piac számára is előnyös lenne, mivel jogbiztonságot nyújtana és egyenlő versenyfeltételeket teremtene a digitális elemeket tartalmazó termékek gyártói számára. Végezetül az Európai Unió kiberbiztonsági helyzetének javításáról szóló, 2022. május 23-i tanácsi következtetésekben a Tanács felszólítja a Bizottságot, hogy 2022 végéig tegyen javaslatot a csatlakoztatott eszközökre vonatkozó közös kiberbiztonsági követelményekre. •Arányosság Ami a javasolt rendelet arányosságát illeti, a vizsgált szakpolitikai alternatívákban szereplő intézkedések nem lépnék túl az általános és konkrét célkitűzések eléréséhez szükséges mértéket, és nem jelentenének aránytalan költségeket. Konkrétabban, a mérlegelt beavatkozás továbbra is észszerű és általában az érintett szervezetek érdekeinek megfelelő objektív és technológiasemleges követelmények révén biztosítaná, hogy a digitális elemeket tartalmazó termékek teljes életciklusuk alatt és a felmerülő kockázatokkal arányosan biztosítva legyenek. A javaslatban szereplő alapvető kiberbiztonsági követelmények széles körben használt szabványokra épülnek, és az ezt követő szabványosítási folyamat figyelembe venné a termékek műszaki sajátosságait. Ez azt jelenti, hogy amennyiben egy adott kockázati szint miatt szükséges, a biztonsági ellenőrzéseket ki kell igazítani. Ezenkívül a tervezett horizontális szabályok csak a kritikus termékek harmadik fél általi értékelését irányoznák elő. Ez a digitális elemeket tartalmazó termékek piacának csak egy szűk részét foglalná magában. A kkv-kra gyakorolt hatás attól függene, hogy mennyire vannak jelen e konkrét termékkategóriák piacán. Ami a megfelelőségértékelési eljárás költségeinek arányosságát illeti, a harmadik fél által végzett értékeléseket végző bejelentett szervezetek a díjak megállapításakor figyelembe vennék a vállalkozás méretét. A végrehajtás előkészítésére 24 hónapos észszerű átmeneti időszak állna rendelkezésre, időt hagyva az érintett piacoknak a felkészülésre, ugyanakkor egyértelmű irányt adva a K+F beruházásoknak. A vállalkozások megfelelési költségeit ellensúlyoznák a digitális elemeket tartalmazó termékek magasabb szintű biztonságával és végső soron a felhasználók e termékekbe vetett bizalmának növekedésével járó előnyök. •A jogi aktus típusának megválasztása A szabályozási beavatkozás rendelet, nem pedig irányelv elfogadását vonná maga után. Ennek az az oka, hogy a termékekre vonatkozó ilyen típusú jogszabályok esetében egy rendelet hatékonyabban kezelné a felismert problémákat és felelne meg a megfogalmazott célkitűzéseknek, mivel olyan beavatkozásról van szó, amely egy nagyon széles termékkategória belső piacon történő forgalomba hozatalát szabályozza. Egy ilyen beavatkozásra vonatkozó irányelv esetében a nemzeti jogba való átültetés folyamata túl sok mozgásteret hagyhat nemzeti szinten, ami egyes alapvető kiberbiztonsági követelmények egységességének hiányához, jogbizonytalansághoz, további széttagoltsághoz vagy akár határokon átnyúló diszkriminatív helyzetekhez vezethet, főképpen azt a tényt figyelembe véve, hogy az irányelv hatálya alá tartozó termékek többféle célra is használhatók lehetnek, és hogy a gyártók az ilyen termékekből több kategóriát is gyárthatnak. 3.AZ UTÓLAGOS ÉRTÉKELÉSEK, AZ ÉRDEKELT FELEKKEL FOLYTATOTT KONZULTÁCIÓK ÉS A HATÁSVIZSGÁLATOK EREDMÉNYEI •Konzultációk az érdekelt felekkel A Bizottság az érdekelt felek széles körével konzultált. A Bizottság felkérte a tagállamokat és az érdekelt feleket, hogy vegyenek részt a nyilvános konzultációban, valamint a Bizottság hatásvizsgálattal kapcsolatos előkészítő munkáját támogató konzorcium által készített tanulmány keretében szervezett felmérésekben és műhelytalálkozókon: Wavestone, Európai Politikai Tanulmányok Központja (CEPS) és ICF. A konzultációba bevont érdekelt felek közé tartoztak a nemzeti piacfelügyeleti hatóságok, a kiberbiztonsággal foglalkozó uniós szervek, a hardver- és szoftvergyártók, a hardver- és szoftverimportőrök és -forgalmazók, a szakmai szövetségek, a fogyasztói szervezetek és a digitális elemeket tartalmazó termékek felhasználói, a polgárok, a kutatók és a tudományos körök, a bejelentett szervezetek és az akkreditáló testületek, valamint a kiberbiztonsági ágazat szakemberei. A következő konzultációs tevékenységekre került sor: ·Az ICF, a Wavestone, a Carsa és a CEPS konzorciuma által készített első tanulmány, amelyet 2021 decemberében tettek közzé. A tanulmány számos piaci hiányosságot tárt fel, és értékelte a lehetséges szabályozói beavatkozásokat.

·Nyilvános konzultáció, amely a polgárokat, az érdekelt feleket és a kiberbiztonsági szakértőket célozta meg. 176 választ küldtek be. A válaszok hozzájárultak ahhoz, hogy az érdekelt felek valamennyi csoportjától különböző véleményeket és tapasztalatokat gyűjtsenek. ·A Bizottság kiberrezilienciáról szóló jogszabályra irányuló előkészítő munkáját támogató tanulmány keretében szervezett műhelytalálkozókon a 27 tagállam mintegy 100 képviselője vett részt különböző érdekelt felek képviseletében. ·Szakértői interjúkra került sor annak érdekében, hogy jobban megértsék a digitális elemeket tartalmazó termékekhez kötődő jelenlegi, kiberbiztonsággal kapcsolatos kihívásokat, valamint hogy megvitassák a lehetséges szabályozói beavatkozás szakpolitikai alternatíváit. ·Kétoldalú megbeszélésekre került sor a nemzeti kiberbiztonsági hatóságokkal, a magánszektorral és a fogyasztói szervezetekkel. ·A kkv-k körében célzott tájékoztatásra került sor a legfontosabb érdekelt feleket illetően. •Szakértői vélemények beszerzése és felhasználása A konzultációs tevékenységek célja az volt, hogy információkat gyűjtsenek a minőségi jogalkotásra vonatkozó uniós iránymutatásokon alapuló öt fő értékelési kritériumról (eredményesség, hatékonyság, relevancia, koherencia, uniós hozzáadott érték), valamint a lehetséges alternatívák jövőbeli lehetséges hatásairól. A szerződő fél nemcsak azokat az érdekelt feleket kereste meg, amelyeket a javasolt rendelet közvetlenül érintene, hanem a kiberbiztonság területén jártas szakértők széles körével is konzultált. •Hatásvizsgálat A Bizottság elvégezte a javaslat hatásvizsgálatát, amelyet a Bizottság Szabályozói Ellenőrzési Testülete megvizsgált. 2022. július 6-án találkozóra került sor a Szabályozói Ellenőrzési Testülettel, amelyet pozitív vélemény követett. A hatásvizsgálatot a Szabályozói Ellenőrzési Testület ajánlásainak és észrevételeinek figyelembevételével kiigazították. A Bizottság a javaslat általános célkitűzésének eléréséhez különböző szakpolitikai alternatívákat vizsgált meg: ·„Puha” jogi megközelítés és önkéntes intézkedések (1. alternatíva): ebben az alternatívában nem lenne kötelező szabályozói beavatkozás. Ehelyett a Bizottság közleményeket, iránymutatásokat, ajánlásokat és esetlegesen magatartási kódexeket bocsátana ki az önkéntes intézkedések ösztönzése érdekében. A horizontális uniós szabályok hiányának ellensúlyozására továbbra is dolgoznának ki önkéntes vagy kötelező nemzeti rendszereket. ·A digitális elemeket tartalmazó materiális javak és a hozzájuk tartozó beágyazott szoftverek kiberbiztonságára irányuló eseti szabályozói beavatkozás (2. alternatíva): ez az alternatíva olyan eseti termékspecifikus szabályozói beavatkozást vonna maga után, amely a már meglévő jogszabályokban szereplő kiberbiztonsági követelmények kiegészítésére és/vagy módosítására, illetve új jogszabályok bevezetésére korlátozódna, amint új kockázatok merülnek fel, beleértve a nem beágyazott szoftvereket érintőeket is. A 3. és 4. alternatíva hatályában változó horizontális szabályozói beavatkozást foglal magában, nagyrészt az új jogszabályi keretet követve. Ez a keret alapvető követelményeket határoz meg bizonyos termékek belső piacon történő forgalomba hozatalának feltételeként. Az új jogszabályi keret jellemzően a megfelelőségértékelési eljárásról is rendelkezik, amelyet a gyártó végez annak igazolására, hogy a termékre vonatkozó meghatározott követelmények teljesültek-e. ·Vegyes megközelítés, amely a digitális elemeket tartalmazó materiális javak és a hozzájuk tartozó beágyazott szoftverek kiberbiztonságára vonatkozó horizontális kógens szabályokat, valamint a nem beágyazott szoftverekre vonatkozó lépcsőzetes megközelítést tartalmaz (3. alternatíva): ez a lehetőség olyan rendeletet vonna maga után, amely a forgalomba hozatal feltételeként horizontális kiberbiztonsági követelményeket vezetne be a digitális elemeket tartalmazó valamennyi materiális termékre és az ezekbe beágyazott szoftverekre vonatkozóan, és két részalternatívát foglalna magában, kötelező harmadik fél általi értékeléssel vagy anélkül (3i. és 3ii. alternatíva). A nem beágyazott szoftvereket nem szabályoznák. ·Horizontális szabályozói beavatkozás, amely kiberbiztonsági követelményeket vezet be a digitális elemeket tartalmazó materiális és immateriális termékek széles körére vonatkozóan, beleértve a nem beágyazott szoftvereket is (4. alternatíva): ez a lehetőség a hatály kivételével a 3. alternatívához hasonlít. A 4. alternatívában az esetleges rendelet hatálya kiterjedne a nem beágyazott szoftverekre (két részalternatívával, csak a kritikus (4a) vagy az összes (4b) szoftvert beleértve). Mindkét részalternatíva esetében ugyanazokat a megfelelőségértékeléssel kapcsolatos részalternatívákat vennék figyelembe, mint a 3. alternatíva esetében. A konkrét célkitűzésekhez viszonyított eredményesség és a hasznokhoz viszonyított költséghatékonyság alapján a 4. alternatíva (az összes szoftverre kiterjedő és a kritikus termékek harmadik fél általi kötelező értékelését magában foglaló részalternatívákkal) lett az előnyben részesített alternatíva. Ez az alternatíva biztosítaná, hogy a belső piacon forgalomba hozott vagy forgalmazott, digitális elemeket tartalmazó valamennyi termékre vonatkozóan egyedi horizontális kiberbiztonsági követelményeket határozzanak meg, és ez lenne az egyetlen alternatíva, amely a teljes digitális ellátási láncra kiterjedne. Az ilyen szabályozói beavatkozás a sebezhetőségeknek gyakran kitett nem beágyazott szoftverekre is kiterjedne, így biztosítaná a digitális elemeket tartalmazó valamennyi termékkel kapcsolatos koherens megközelítést, egyértelmű feladatmegosztással a különböző gazdasági szereplők között. Ez a szakpolitikai alternatíva hozzáadott értéket is teremt azáltal, hogy kiterjed a gondossági kötelezettségre és a digitális elemeket tartalmazó termékek forgalomba hozatalát követő teljes életciklusra vonatkozó szempontokra, többek között a biztonsági támogatásra és a biztonsági frissítésekre vonatkozó megfelelő információk biztosítása érdekében. Ez a szakpolitikai alternatíva egészítené ki a leghatékonyabban a hálózat- és információbiztonsági keret közelmúltbeli felülvizsgálatát azáltal, hogy biztosítaná az ellátási lánc fokozott biztonságának előfeltételeit. Az előnyben részesített alternatíva jelentős előnyökkel járna a különböző érdekelt felek számára. A vállalkozások számára megakadályozná a digitális elemeket tartalmazó termékekre vonatkozó eltérő biztonsági szabályokat, és csökkentené a kapcsolódó kiberbiztonsági jogszabályoknak való megfelelés költségeit. Csökkentené a kiberbiztonsági események számát, a biztonsági események kezelésének költségeit és a hírnév romlásával járó károkat. A becslések szerint a kezdeményezés az EU egészére nézve évente mintegy 180–290 milliárd EUR-val csökkentheti a vállalkozásokat érintő kiberbiztonsági eseményekből eredő költségeket. A digitális elemeket tartalmazó termékek iránti növekvő kereslet miatt a forgalom növekedéséhez vezetne. Javítaná a vállalatok globális hírnevét, ami az EU-n kívülről érkező kereslet növekedéséhez is vezetne. A felhasználók számára az előnyben részesített alternatíva növelné a biztonsági tulajdonságok átláthatóságát, és megkönnyítené a digitális elemeket tartalmazó termékek használatát. A fogyasztók és a polgárok emellett nagyobb védelmet élvezhetnének az alapvető jogaik, például a magánélethez és az adatvédelemhez való joguk tekintetében. Amikor azt kérték, hogy értékeljék a szakpolitikai beavatkozások hatékonyságát, a nyilvános konzultáció válaszadói egyetértettek abban, hogy a 4. alternatíva lenne a leghatékonyabb intézkedés (4,08 az 1-től 5-ig terjedő skálán). Ez magában foglalja a fogyasztói szervezeteket (5,00), a magukat felhasználóként azonosító válaszadókat (4,22), a bejelentett szervezeteket (4,17), a piacfelügyeleti hatóságokat (5,00) és a digitális elemeket tartalmazó termékek gyártóit (3,85), a kis- és közepes méretűeket is ideértve (4,05). •Célravezető szabályozás és egyszerűsítés

Ez a javaslat a szoftver- és hardvergyártásra vonatkozó követelményeket határozza meg. Igény van arra, hogy a belső piacon biztosítva legyen a jogbiztonság, és elkerülhető legyen a termékekkel kapcsolatos kiberbiztonsági követelmények további széttagoltsága, amit a horizontális beavatkozás különböző érdekelt felek általi széles körű támogatottsága is bizonyít. A javaslat számos termékbiztonsági jogi aktus segítségével minimálisra csökkenti a gyártók szabályozásból eredő terheit. Az új jogszabályi kerettel való összehangolás révén a beavatkozás és annak végrehajtása jobban működik. A javaslat egyszerűsíti a védintézkedési eljárások folyamatát azáltal, hogy a Bizottság értesítése előtt bevonja a gyártókat és a tagállamokat. A javaslat hatálya alá tartozó gyártók nagy része már ismeri az új jogszabályi keret működését, ami hozzá fog járulni annak megértéséhez és végrehajtásához. A fogyasztók és a vállalkozások számára a javaslat növelni fogja a digitális elemeket tartalmazó termékekbe vetett bizalmat. •Alapjogok Valamennyi szakpolitikai alternatíva várhatóan bizonyos mértékben erősíti az olyan alapjogok és szabadságok védelmét, mint a magánélet, a személyes adatok védelme, a vállalkozás szabadsága, valamint a tulajdon vagy a személyi méltóság és sérthetetlenség védelme. E tekintetben különösen a horizontális szabályozói beavatkozásokból álló és széles körű szakpolitikai hatállyal rendelkező, előnyben részesített 4. szakpolitikai alternatíva lenne a legeredményesebb, mivel nagyobb valószínűséggel segít csökkenteni a biztonsági események, többek között az adatvédelmi incidensek számát és súlyosságát. Emellett növelné a jogbiztonságot és egyenlő versenyfeltételeket teremtene a gazdasági szereplők számára, növelné a bizalmat a felhasználók körében és általában növelné a digitális elemeket tartalmazó uniós termékek vonzerejét, ezáltal védve a tulajdont és javítva a gazdasági szereplők vállalkozási feltételeit. A horizontális kiberbiztonsági követelmények a digitális elemeket tartalmazó termékekben található információk bizalmas jellegének, sértetlenségének és rendelkezésre állásának védelme révén hozzájárulnának a személyes adatok biztonságához. Az említett követelményeknek való megfelelés megkönnyíti a személyes adatok kezelésének biztonságára vonatkozó, (EU) 2016/679 rendelet (általános adatvédelmi rendelet) szerinti követelménynek való megfelelést. A javaslat növelné az átláthatóságot és a felhasználók tájékoztatását, beleértve a kiberbiztonsági készségekkel kevésbé rendelkező felhasználókat is. A felhasználók jobb tájékoztatást kapnának a digitális elemeket tartalmazó termékek kockázatairól, képességeiről és korlátairól is, ami jobb helyzetbe hozná őket a fennmaradó kockázatok csökkentéséhez szükséges megelőző és enyhítő intézkedések meghozatalához. 4.KÖLTSÉGVETÉSI VONZATOK Az e rendelet értelmében az Európai Uniós Kiberbiztonsági Ügynökségre (ENISA) ruházott feladatok teljesítése érdekében az ENISA-nak mintegy 4,5 teljes munkaidős egyenértéknek megfelelő erőforrást kell átcsoportosítania. A Bizottságnak 7 teljes munkaidős egyenértéket kell elosztania az e rendelet szerinti, végrehajtással kapcsolatos feladatainak teljesítése érdekében. A költségek részletes áttekintése az ehhez a javaslathoz tartozó „pénzügyi kimutatásban” található. 5.EGYÉB ELEMEK •Végrehajtási tervek, valamint a nyomon követés, az értékelés és a jelentéstétel szabályai A Bizottság nyomon fogja követni ezen új rendelkezések végrehajtását, alkalmazását és az azoknak való megfelelést azzal a céllal, hogy értékelje eredményességüket. A rendelet értelmében a Bizottságnak értékelést és felülvizsgálatot kell végeznie, és erről nyilvános jelentést kell benyújtania az Európai Parlamentnek és a Tanácsnak az alkalmazás kezdőnapját követő 36 hónappal később, majd azt követően négyévente. •A javaslat egyes rendelkezéseinek részletes magyarázata Általános rendelkezések (I. fejezet) A javasolt rendelet meghatározza a) a digitális elemeket tartalmazó termékek forgalomba hozatalára vonatkozó szabályokat az ilyen termékek kiberbiztonságának biztosítása érdekében, b) a digitális elemeket tartalmazó termékek tervezésére, fejlesztésére és gyártására vonatkozó alapvető követelményeket, valamint a gazdasági szereplők e termékekkel kapcsolatos kötelezettségeit a kiberbiztonságot illetően, c) a gyártók által a digitális elemeket tartalmazó termékek teljes életciklus alatti kiberbiztonságának biztosítása érdekében bevezetett sebezhetőségkezelési eljárásokra vonatkozó alapvető követelményeket, valamint a gazdasági szereplők e folyamatokkal kapcsolatos kötelezettségeit, d) a piacfelügyeletre és a fent említett szabályok és követelmények végrehajtására vonatkozó szabályokat. A javasolt rendelet azokra a digitális elemeket tartalmazó termékekre alkalmazandó, amelyek rendeltetésszerű és észszerűen előrelátható használata magában foglal egy eszközhöz vagy hálózathoz való közvetlen vagy közvetett logikai vagy fizikai adatkapcsolatot. A javasolt rendelet nem alkalmazandó az (EU) 2017/745 rendelet [emberi felhasználásra szánt orvostechnikai eszközök és tartozékaik] és az (EU) 2017/746 rendelet [emberi felhasználásra szánt in vitro diagnosztikai orvostechnikai eszközök és tartozékaik] hatálya alá tartozó, digitális elemeket tartalmazó termékekre, mivel mindkét rendelet az eszközökre vonatkozó követelményeket tartalmaz, beleértve a szoftverekre és a gyártók általános kötelezettségeire vonatkozó, a termékek teljes életciklusára kiterjedő követelményeket, valamint a megfelelőségértékelési eljárásokra vonatkozó követelményeket. Ez a rendelet nem alkalmazandó azokra a digitális elemeket tartalmazó termékekre, amelyeket az (EU) 2018/1139 rendeletnek [a polgárirepülés-biztonság egységesen magas szintje] megfelelően tanúsítottak, sem pedig azokra a termékekre, amelyekre az (EU) 2019/2144 rendelet [a gépjárműveknek és pótkocsijaiknak, valamint az ilyen járművek rendszereinek, alkotóelemeinek és önálló műszaki egységeinek típusjóváhagyásáról szóló rendelet] alkalmazandó. A digitális elemeket tartalmazó kritikus termékeket egyedi megfelelőségértékelési eljárásoknak kell alávetni, és kiberbiztonsági kockázati szintjük alapján a III. mellékletben meghatározott I. és II. osztályba kell sorolni oly módon, hogy a II. osztály nagyobb kockázatot jelent. A digitális elemeket tartalmazó termék a termékben rejlő potenciális kiberbiztonsági sebezhetőségek hatását figyelembe véve minősül kritikusnak és szerepel ezért a III. mellékletben. A kiberbiztonsági kockázat meghatározása során figyelembe veszik a digitális elemeket tartalmazó termék kiberbiztonsággal kapcsolatos funkcióját és az érzékeny környezetekben, többek között például ipari környezetben történő tervezett felhasználását. A Bizottság továbbá felhatalmazást kap arra, hogy felhatalmazáson alapuló jogi aktusokat fogadjon el e rendelet kiegészítése céljából, amelyekben meghatározza a digitális elemeket tartalmazó, kiemelten kritikus termékek azon kategóriáit, amelyekre vonatkozóan a gyártóknak az európai kiberbiztonsági tanúsítási rendszer keretében európai kiberbiztonsági tanúsítványt kell beszerezniük, hogy igazolják az I. mellékletben meghatározott alapvető követelményeknek vagy azok egy részének való megfelelést. A digitális elemeket tartalmazó, kiemelten kritikus termékek ezen kategóriáinak meghatározásakor a Bizottság figyelembe veszi a digitális elemeket tartalmazó termékek kategóriáihoz kapcsolódó kiberbiztonsági kockázat szintjét a digitális elemeket tartalmazó kritikus termékek III. mellékletben szereplő jegyzékbe való felvételekor figyelembe vett egy vagy több kritérium, valamint azon értékelés fényében, hogy a szóban forgó termékkategóriára teljesül-e, hogy a(z) [XXX/XXXX irányelv (NIS2)] irányelv [I. melléklete] mellékletében említett típusú alapvető fontosságú szervezetek használják vagy támaszkodnak rá, vagy a jövőben jelentőséggel bírhat ezen szervezetek tevékenységei szempontjából; vagy a digitális elemeket tartalmazó termékek teljes ellátási láncának a zavart okozó eseményekkel szembeni rezilienciája szempontjából releváns. A gazdasági szereplők kötelezettségei (II. fejezet) A javaslat a 768/2008/EK határozatban előírt referenciarendelkezéseken alapuló kötelezettségeket tartalmaz a gyártók, az importőrök és a forgalmazók számára. Az alapvető kiberbiztonsági követelmények és kötelezettségek előírják, hogy digitális elemet tartalmazó termék csak akkor forgalmazható, ha a szabályoknak megfelelő rendelkezésre bocsátása, megfelelő telepítése, karbantartása és rendeltetésének megfelelő vagy észszerűen előrelátható feltételek mellett történő használata során megfelel az e rendeletben meghatározott alapvető kiberbiztonsági követelményeknek.

Az alapvető követelmények és kötelezettségek arra köteleznék a gyártókat, hogy vegyék számításba a kiberbiztonságot a digitális elemeket tartalmazó termékek tervezése, fejlesztése és gyártása során, kellő gondossággal járjanak el a biztonsági szempontok tekintetében a termékeik tervezése és fejlesztése során, legyenek átláthatók a fogyasztók tudomására hozandó kiberbiztonsági szempontok tekintetében, arányos módon biztosítsák a biztonsági támogatást (frissítéseket), és feleljenek meg a sebezhetőségek kezelésére vonatkozó követelményeknek. A digitális elemeket tartalmazó termékek forgalomba hozatalával kapcsolatban kötelezettségeket állapítana meg a gazdasági szereplők számára, a gyártóktól a forgalmazókig és az importőrökig, az ellátási láncban betöltött szerepüknek és felelősségi körüknek megfelelően. A digitális elemeket tartalmazó termékek megfelelősége (III. fejezet) Arról a digitális elemeket tartalmazó termékről, amely megfelel az Európai Unió Hivatalos Lapjában hivatkozással közzétett harmonizált szabványoknak, illetve azok egyes részeinek, vélelmezni kell, hogy megfelel az e javasolt rendelet alapvető követelményeinek. Amennyiben nem léteznek harmonizált szabványok vagy azok nem elegendőek, ha a szabványosítási eljárás indokolatlan késedelmet szenved, vagy ha az európai szabványügyi szervezetek nem fogadták el a Bizottság kérelmét, a Bizottság végrehajtási jogi aktusok révén egységes előírásokat fogadhat el. Emellett azokról a digitális elemeket tartalmazó termékekről, amelyeket az (EU) 2019/881 rendelet szerinti európai kiberbiztonsági tanúsítási rendszer keretében tanúsítottak vagy amelyekre vonatkozóan ilyen rendszer keretében EU-megfelelőségi nyilatkozatot vagy tanúsítványt állítottak ki, és amelyekre vonatkozóan a Bizottság végrehajtási jogi aktusban meghatározta, hogy az e rendeletnek való megfelelés vélelmezhető, vélelmezni kell, hogy teljesítik az e rendeletben meghatározott alapvető követelményeket vagy annak részeit, amennyiben az EU-megfelelőségi nyilatkozat vagy kiberbiztonsági tanúsítvány vagy annak részei kiterjednek az említett követelményekre. Továbbá a gyártókra háruló indokolatlan adminisztratív terhek elkerülése érdekében a Bizottságnak adott esetben meg kell határoznia, hogy az ilyen európai kiberbiztonsági tanúsítási rendszerek keretében kiadott kiberbiztonsági tanúsítvány megszünteti-e a gyártók azon kötelezettségét, hogy az e rendeletben meghatározottak szerinti, harmadik fél által végzett megfelelőségértékelési eljárást folytassanak le a vonatkozó követelmények tekintetében. A gyártó a VI. mellékletben meghatározott eljárások egyikét alkalmazva elvégzi a digitális elemeket tartalmazó termék és a gyártó által bevezetett sebezhetőségkezelési eljárások megfelelőségértékelését annak igazolása érdekében, hogy teljesülnek az I. mellékletben meghatározott alapvető követelmények. Az I. és II. osztályba tartozó kritikus termékek gyártóinak a megfeleléshez szükséges megfelelő modulokat kell használniuk. A II. osztályba tartozó kritikus termékek gyártóinak be kell vonniuk egy harmadik felet a megfelelőségértékelési eljárásukba. A megfelelőségértékelő szervezetek bejelentése (IV. fejezet) A bejelentett szervezetek megfelelő működése elengedhetetlen a magas szintű kiberbiztonság szavatolásához, valamint ahhoz, hogy elnyerjük az érintett felek bizalmát az új megközelítési rendszer iránt. Ennélfogva a javaslat a 768/2008/EK határozattal összhangban megerősíti a megfelelőségértékelő szervezetekért (bejelentett szervezetek) felelős nemzeti hatóságokra vonatkozó követelményeket. A bejelentett szervezetek kijelöléséért és ellenőrzéséért elsősorban továbbra is a tagállamok felelnek. A tagállamok kijelölnek egy bejelentő hatóságot, amely felelősséget vállal a megfelelőségértékelő szervezetek értékeléséhez és bejelentéséhez szükséges eljárások kialakításáért és végrehajtásáért, valamint a bejelentett szervezetek ellenőrzéséért. Piacfelügyelet és végrehajtás (V. fejezet) Az (EU) 2019/1020 rendelettel összhangban nemzeti piacfelügyeleti hatóságok piacfelügyeletet végeznek az adott tagállam területén. A tagállamok meglévő és új hatóságot is kijelölhetnek piacfelügyeleti hatóságként eljáró hatóságnak, beleértve a(z) [XXX/XXXX irányelv (NIS2)] [X. cikk] cikkében említett nemzeti illetékes hatóságokat vagy az (EU) 2019/881 rendelet 58. cikkében említett kijelölt nemzeti kiberbiztonsági tanúsító hatóságokat. A Bizottság felkéri a gazdasági szereplőket, hogy teljes mértékben működjenek együtt a piacfelügyeleti hatóságokkal és más illetékes hatóságokkal. Felhatalmazás és bizottsági eljárások (VI. fejezet) Annak biztosítása érdekében, hogy a szabályozási keret szükség esetén kiigazítható legyen, a Bizottság felhatalmazást kap arra, hogy az EUMSZ 290. cikkének megfelelően jogi aktusokat fogadjon el az I. és II. osztályba tartozó kritikus termékek jegyzékének aktualizálására és e termékek fogalmának meghatározására vonatkozóan; annak meghatározására vonatkozóan, hogy szükség van-e korlátozásra vagy kizárásra az e rendelettel azonos szintű védelmet biztosító követelményeket megállapító egyéb uniós szabályok hatálya alá tartozó, digitális elemeket tartalmazó termékek esetében; egyes digitális elemeket tartalmazó, kiemelten kritikus termékek e rendeletben meghatározott kritériumok alapján történő tanúsításának előírására vonatkozóan; az EU-megfelelőségi nyilatkozat minimális tartalmának meghatározására és a műszaki dokumentációban feltüntetendő elemek kiegészítésére vonatkozóan. A Bizottság továbbá felhatalmazást kap arra, hogy végrehajtási jogi aktusokat fogadjon el az alábbiak érdekében: a jelentéstételi kötelezettségek és a szoftveranyagjegyzék formátumának vagy elemeinek meghatározása; azon európai kiberbiztonsági tanúsítási rendszerek meghatározása, amelyek felhasználhatók az e rendeletben meghatározott alapvető követelményeknek vagy azok részeinek való megfelelés igazolására; egységes előírások elfogadása; a CE-jelölés elhelyezésére vonatkozó műszaki előírások meghatározása; a belső piac megfelelő működésének megőrzése érdekében azonnali beavatkozást indokoló kivételes körülmények fennállása esetén uniós szintű korrekciós vagy korlátozó intézkedések elfogadása. Titoktartás és szankciók (VII. fejezet) Az e rendeletet alkalmazó valamennyi fél tiszteletben tartja a feladatai és tevékenységei végzése során szerzett információk és adatok bizalmas jellegét. Az e rendeletben megállapított kötelezettségek hatékony végrehajtásának biztosítása érdekében minden piacfelügyeleti hatóságnak rendelkeznie kell hatáskörrel adminisztratív bírság kiszabására vagy kiszabásának kérésére. Hasonlóképpen, a rendelet meghatározza a közigazgatási bírságok legmagasabb szintjét, amelyeket a nemzeti jogban elő kell írni az e rendeletben meghatározott kötelezettségeknek való meg nem felelés esetére. Átmeneti és záró rendelkezések (VIII. fejezet) Annak érdekében, hogy a gyártóknak, a bejelentett szervezeteknek és a tagállamoknak legyen idejük alkalmazkodni az új követelményekhez, a javasolt rendelet [24 hónappal] a hatálybalépését követően válik alkalmazandóvá, kivéve a gyártók jelentéstételi kötelezettségét, amely a hatálybalépés napját követő [12 hónap] elteltével alkalmazandó.





2022/0272 (COD) Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS RENDELETE a digitális elemeket tartalmazó termékekre vonatkozó horizontális kiberbiztonsági követelményekről és az (EU) 2019/1020 rendelet módosításáról (EGT-vonatkozású szöveg) AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA, tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 114. cikkére, tekintettel az Európai Bizottság javaslatára, a jogalkotási aktus tervezete nemzeti parlamenteknek való megküldését követően, tekintettel az Európai Gazdasági és Szociális Bizottság véleményére, tekintettel a Régiók Bizottságának véleményére, rendes jogalkotási eljárás keretében, mivel: (1)A digitális elemeket tartalmazó termékek uniós piacon történő forgalomba hozatalára vonatkozó alapvető kiberbiztonsági követelmények egységes jogi keretének meghatározása révén javítani kell a belső piac működését. Két olyan fő problémával kell foglalkozni, amelyek a felhasználók és a társadalom költségeit növelik: a digitális elemeket tartalmazó termékek kiberbiztonságának szintje alacsony, ami a széles körben elterjedt sebezhetőségekben, valamint az ezek kezelését célzó biztonsági frissítések elégtelen és következetlen biztosításában nyilvánul meg, valamint a felhasználók nem értik eléggé a problémát és nem férnek hozzá az információkhoz, ami megakadályozza őket abban, hogy megfelelő kiberbiztonsági tulajdonságokkal rendelkező termékeket válasszanak vagy azokat biztonságosan használják. (2)E rendelet célja megteremteni a digitális elemeket tartalmazó biztonságos termékek fejlesztésének peremfeltételeit annak biztosításával, hogy a hardver- és szoftvertermékeket kevesebb sebezhetőséggel hozzák forgalomba, és hogy a gyártók komolyan vegyék a biztonságot a termék teljes életciklusa során. Célja továbbá olyan feltételeket teremteni, amelyek lehetővé teszik a felhasználók számára, hogy a digitális elemeket tartalmazó termékek kiválasztásakor és használatakor figyelembe vehessék a kiberbiztonságot. (3)A jelenleg hatályos vonatkozó uniós jogszabályok számos, a kiberbiztonsághoz kapcsolódó egyes szempontokat különböző szemszögből kezelő horizontális szabályrendszert tartalmaznak, ideértve a digitális ellátási lánc biztonságának javítását célzó intézkedéseket is. A kiberbiztonsághoz kapcsolódó meglévő uniós jogszabályok, többek között az [XXX/XXXX irányelv (NIS2)] és az (EU) 2019/881 európai parlamenti és tanácsi rendelet, azonban nem terjednek ki közvetlenül a digitális elemeket tartalmazó termékek biztonságára vonatkozó kötelező követelményekre. (4)Bár a meglévő uniós jogszabályok lefednek bizonyos, digitális elemeket tartalmazó termékeket, nincs olyan horizontális uniós szabályozási keret, amely a digitális elemeket tartalmazó valamennyi termékre vonatkozóan átfogó kiberbiztonsági követelményeket állapítana meg. Az eddig uniós és nemzeti szinten hozott különböző jogi aktusok és kezdeményezések csak részben oldják meg a kiberbiztonsággal kapcsolatos felismert problémákat és kockázatokat, ami jogszabályi széttagoltságot okoz a belső piacon, fokozza a jogbizonytalanságot e termékek gyártói és felhasználói számára egyaránt, és szükségtelen terheket ró a vállalatokra a hasonló típusú termékekre vonatkozó számos követelménynek való megfelelés tekintetében. E termékek kiberbiztonságának határokon átnyúló jellege különösen erőteljes, mivel az egyik országban előállított termékeket gyakran az egész belső piacon használják szervezetek és fogyasztók. Ez a terület uniós szintű szabályozását teszi szükségessé. Az uniós szabályozási környezetet a digitális elemeket tartalmazó termékekre vonatkozó kiberbiztonsági követelmények bevezetésével kell harmonizálni. Emellett Unió-szerte biztosítani kell a jogbiztonságot a szereplők és a felhasználók számára, valamint javítani kell a belső piac harmonizációját, életképesebb feltételeket teremtve az uniós piacra belépni kívánó gazdasági szereplők számára. (5)Uniós szinten különböző program- és politikai dokumentumok – például a digitális évtizedre vonatkozó uniós kiberbiztonsági stratégia, a 2020. december 2-i és a 2022. május 23-i tanácsi következtetések vagy az Európai Parlament 2021. június 10-i állásfoglalása – konkrét uniós kiberbiztonsági követelményeket sürgettek a digitális vagy összekapcsolt termékekre vonatkozóan, és világszerte számos ország vezetett be intézkedéseket saját kezdeményezésére e kérdés kezelésére. Az Európa jövőjéről szóló konferencia zárójelentése szerint a polgárok azt kérték, hogy az EU kapjon nagyobb szerepet a kiberbiztonsági fenyegetések elleni küzdelemben. (6)A belső piacon forgalomba hozott, digitális elemeket tartalmazó valamennyi termék általános kiberbiztonsági szintjének növelése érdekében e termékekre vonatkozóan objektív és technológiasemleges, horizontálisan alkalmazandó alapvető kiberbiztonsági követelményeket kell bevezetni. (7)Bizonyos feltételek mellett minden olyan digitális elemeket tartalmazó termék, amely egy nagyobb elektronikus információs rendszerbe van beépítve vagy ahhoz kapcsolódik, támadási vektorként szolgálhat rosszindulatú szereplők számára. Ennek eredményeként még a kevésbé kritikusnak tekintett hardverek és szoftverek is megkönnyíthetik egy eszköz vagy hálózat biztonságának kezdeti sérülését, lehetővé téve a rosszindulatú szereplők számára, hogy emelt szintű hozzáférést szerezzenek egy rendszerhez, vagy oldalirányú mozgást végezzenek a rendszerek között. A gyártóknak ezért biztosítaniuk kell, hogy minden digitális elemeket tartalmazó, összekapcsolható terméket az e rendeletben meghatározott alapvető követelményekkel összhangban tervezzenek és fejlesszenek. Ez magában foglalja mind a hardverinterfészeken keresztül fizikailag összekapcsolható termékeket, mind a logikailag, például hálózati csatlakozókon, csöveken, fájlokon, alkalmazásprogramozási felületeken vagy bármely más típusú szoftverinterfészen keresztül összekapcsolt termékeket. Mivel a kiberbiztonsági fenyegetések egy bizonyos cél elérése előtt digitális elemeket tartalmazó különböző termékeken keresztül terjedhetnek tovább, például több sebezhetőség kihasználásának láncolata révén, a gyártóknak biztosítaniuk kell azon termékek kiberbiztonságát is, amelyek csak közvetetten kapcsolódnak más eszközökhöz vagy hálózatokhoz.

(8)A digitális elemeket tartalmazó termékek forgalomba hozatalára vonatkozó kiberbiztonsági követelmények meghatározásával e termékek kiberbiztonsága mind a fogyasztók, mind a vállalkozások számára javulni fog. Ez magában foglalja a kiszolgáltatott fogyasztóknak szánt, digitális elemeket tartalmazó fogyasztási cikkek, például játékok és babamonitorok forgalomba hozatalára vonatkozó követelményeket is. (9)Ez a rendelet biztosítja a digitális elemeket tartalmazó termékek magas szintű kiberbiztonságát. Nem szabályozza a szolgáltatásokat, például a szoftverszolgáltatásokat (SaaS), a digitális elemeket tartalmazó termékkel kapcsolatos távoli adatfeldolgozási megoldások kivételével, amelyeket úgy határoz meg, mint olyan távolról történő adatfeldolgozás, amelyhez a szoftvert a termék gyártója tervezte és fejlesztette ki, vagy ez a tevékenység a gyártó felelőssége mellett történik, és amelynek hiánya megakadályozná a digitális elemeket tartalmazó ilyen terméket valamely funkciójának ellátásában. A(z) [XXX/XXXX irányelv (NIS2)] kiberbiztonsági és a biztonsági események bejelentésére vonatkozó követelményeket vezet be az alapvető és fontos szervezetek, például a kritikus infrastruktúra tekintetében, az általuk nyújtott szolgáltatások rezilienciájának növelése érdekében. A felhőszolgáltatásokra és a felhőszolgáltatási modellekre, például az SaaS-re a(z) [XXX/XXXX irányelv (NIS2)] alkalmazandó. Az Unióban felhőszolgáltatásokat nyújtó valamennyi olyan szervezet, amely eléri vagy meghaladja a középvállalkozásokra vonatkozó küszöbértéket, az említett irányelv hatálya alá tartozik. (10)Az innováció és a kutatás akadályozásának elkerülése érdekében a nem kereskedelmi tevékenység keretében fejlesztett vagy biztosított szabad és nyílt forráskódú szoftverek nem tartoznak e rendelet hatálya alá. Ez különösen igaz a nyíltan megosztott és szabadon hozzáférhető, használható, módosítható és terjeszthető szoftverekre, beleértve azok forráskódját és módosított változatait is. A szoftverekkel összefüggésben a kereskedelmi tevékenységet nemcsak az jellemezheti, hogy pénzt kérnek a termékért, hanem az is, hogy díjat számítanak fel a műszaki támogatási szolgáltatásokért, olyan szoftverplatformot biztosítanak, amelyen keresztül a gyártó pénzzé tesz más szolgáltatásokat, vagy a személyes adatoknak nem kizárólag a szoftver biztonságának, kompatibilitásának vagy interoperabilitásának javítása céljából történő felhasználása. (11)A biztonságos internet elengedhetetlen a kritikus infrastruktúrák működéséhez és a társadalom egésze számára. A(z) [XXX/XXXX irányelv (NIS2)] célja az alapvető és fontos szervezetek – köztük a nyílt internet alapvető funkcióit támogató, az internet-hozzáférést és az internetszolgáltatásokat biztosító digitálisinfrastruktúra-szolgáltatók – által nyújtott szolgáltatások magas szintű kiberbiztonságának biztosítása. Ezért fontos, hogy a digitálisinfrastruktúra-szolgáltatók számára az internet működésének biztosításához szükséges, digitális elemeket tartalmazó termékeket biztonságos módon fejlesszék, és hogy e termékek megfeleljenek a jól bevált internetbiztonsági szabványoknak. A valamennyi összekapcsolható hardver- és szoftvertermékre alkalmazandó jelen rendelet célja továbbá annak elősegítése, hogy a digitálisinfrastruktúra-szolgáltatók megfeleljenek a(z) [XXX/XXXX irányelv (NIS2)] szerinti, ellátási láncra vonatkozó követelményeknek azáltal, hogy biztosítja, hogy a szolgáltatásaik nyújtásához használt, digitális elemeket tartalmazó termékeket biztonságos módon fejlesszék, és hogy hozzáférjenek az ilyen termékek naprakész biztonsági frissítéseihez. (12)Az (EU) 2017/745 európai parlamenti és tanácsi rendelet az orvostechnikai eszközökre vonatkozó szabályokat, az (EU) 2017/746 európai parlamenti és tanácsi rendelet pedig az in vitro diagnosztikai orvostechnikai eszközökre vonatkozó szabályokat állapítja meg. Mindkét rendelet foglalkozik a kiberbiztonsági kockázatokkal, és olyan konkrét megközelítéseket követ, amelyekkel e rendelet is foglalkozik. Konkrétabban, az (EU) 2017/745 és az (EU) 2017/746 rendelet alapvető követelményeket állapít meg az olyan orvostechnikai eszközökre vonatkozóan, amelyek elektronikus rendszeren keresztül működnek, vagy amelyek maguk is szoftvernek minősülnek. Ezek a rendeletek bizonyos nem beágyazott szoftverekre és a teljes életcikluson alapuló szemléletre is kiterjednek. Ezek a követelmények arra kötelezik a gyártókat, hogy kockázatkezelési elvek alkalmazásával és az informatikai biztonsági intézkedésekre vonatkozó követelmények, valamint a kapcsolódó megfelelőségértékelési eljárások meghatározásával fejlesszék és gyártsák termékeiket. Emellett 2019 decembere óta létezik az orvostechnikai eszközök kiberbiztonságára vonatkozó konkrét iránymutatás, amely iránymutatást nyújt az orvostechnikai eszközök, köztük az in vitro diagnosztikai eszközök gyártóinak arra vonatkozóan, hogy miként teljesíthetik az említett rendeletek I. mellékletében foglalt valamennyi vonatkozó alapvető követelményt a kiberbiztonság tekintetében. Ezért azok a digitális elemeket tartalmazó termékek, amelyekre az említett rendeletek valamelyike vonatkozik, nem tartoznak e rendelet hatálya alá. (13)Az (EU) 2019/2144 európai parlamenti és tanácsi rendelet követelményeket állapít meg a járművek, valamint rendszereik és alkotóelemeik típusjóváhagyására vonatkozóan, és bizonyos kiberbiztonsági követelményeket vezet be, többek között a tanúsított kiberbiztonsági irányítási rendszer működésére és a szoftverfrissítésekre vonatkozóan, lefedve a járművek, berendezések és szolgáltatások teljes életciklusához kapcsolódó kiberkockázatokra vonatkozó szervezeti szabályzatokat és folyamatokat, összhangban a műszaki előírásokra és a kiberbiztonságra vonatkozó alkalmazandó ENSZ-előírásokkal, és konkrét megfelelőségértékelési eljárásokat előírva. A légi közlekedés terén az (EU) 2018/1139 európai parlamenti és tanácsi rendelet elsődleges célja a polgári légi közlekedés biztonsága egységesen magas szintjének kialakítása és fenntartása az Unióban. Keretet hoz létre a repüléstechnikai termékek, alkatrészek és berendezések – beleértve a szoftvereket is – légialkalmasságára vonatkozó alapvető követelményekhez, amely figyelembe veszi az információbiztonsági fenyegetésekkel szembeni védelemre vonatkozó kötelezettségeket. Az (EU) 2019/2144 rendelet hatálya alá tartozó, digitális elemeket tartalmazó termékekre és az (EU) 2018/1139 rendelettel összhangban tanúsított termékekre ezért nem vonatkoznak az e rendeletben meghatározott alapvető követelmények és megfelelőségértékelési eljárások. Az (EU) 2018/1139 rendelet szerinti tanúsítási eljárás biztosítja az e rendelet által elérni kívánt megbízhatósági szintet. (14)Ez a rendelet olyan horizontális kiberbiztonsági szabályokat állapít meg, amelyek nem konkrét ágazatokra vagy digitális elemeket tartalmazó termékekre vonatkoznak. Mindazonáltal ágazati vagy termékspecifikus uniós szabályokat is be lehet vezetni, amelyek az e rendeletben meghatározott alapvető követelmények hatálya alá tartozó összes kockázatra vagy azok egy részére vonatkozó követelményeket állapítanak meg. Ilyen esetekben korlátozható vagy kizárható e rendeletnek az e rendelet I. mellékletében meghatározott alapvető követelmények hatálya alá tartozó összes kockázatra vagy azok egy részére vonatkozó követelményeket megállapító egyéb uniós szabályok hatálya alá tartozó, digitális elemeket tartalmazó termékekre történő alkalmazása, amennyiben ez a korlátozás vagy kizárás összhangban van az adott termékekre alkalmazandó általános szabályozási kerettel, és amennyiben az ágazati szabályok ugyanolyan szintű védelmet biztosítanak, mint az e rendeletben előírt védelem. A Bizottság felhatalmazást kap arra, hogy felhatalmazáson alapuló jogi aktusokat fogadjon el e rendeletnek az ilyen termékek és szabályok meghatározása révén történő módosítása céljából. Azon meglévő uniós jogszabályoknál, amelyek esetében ilyen korlátozásokat vagy kizárásokat kell alkalmazni, e rendelet konkrét rendelkezéseket tartalmaz az említett uniós jogszabályokkal való kapcsolatának tisztázása érdekében. (15)Az (EU) 2022/30 felhatalmazáson alapuló rendelet kimondja, hogy a 2014/53/EU irányelv 3. cikke (3) bekezdésének d) pontjában (hálózati kár és a hálózati forrásokkal való visszaélés), e) pontjában (személyes adatok és magánélet) és f) pontjában (csalás) meghatározott alapvető követelmények bizonyos rádióberendezésekre alkalmazandók. [Az európai szabványügyi szervezetekhez intézett szabványosítási kérelemről szóló XXX/2022 bizottsági végrehajtási határozat] konkrét szabványok kidolgozására vonatkozó követelményeket állapít meg, amelyek részletesebben meghatározzák, hogy e három alapvető követelményt hogyan kell kezelni. Az e rendeletben meghatározott követelmények magukban foglalják a 2014/53/EU irányelv 3. cikke (3) bekezdésének d), e) és f) pontjában említett alapvető követelmények valamennyi elemét. Továbbá az e rendeletben meghatározott alapvető követelmények összhangban vannak az adott szabványosítási kérelemben szereplő konkrét szabványokra vonatkozó követelmények célkitűzéseivel. Ezért, amennyiben a Bizottság hatályon kívül helyezi vagy módosítja az (EU) 2022/30 felhatalmazáson alapuló rendeletet, aminek következtében nem lesz alkalmazandó az e rendelet hatálya alá tartozó egyes termékekre, a Bizottságnak és az európai szabványügyi szervezeteknek e rendelet végrehajtásának megkönnyítése érdekében a harmonizált szabványok előkészítése és kidolgozása során figyelembe kell venniük a rádióberendezésekről szóló irányelvet kiegészítő (EU) 2022/30 felhatalmazáson alapuló rendelethez kapcsolódó szabványosítási kérelemről szóló C(2022)5637 bizottsági végrehajtási határozat keretében végzett szabványosítási munkát. (16)A 85/374/EGK irányelv kiegészíti ezt a rendeletet. Az említett irányelv termékfelelősségi szabályokat állapít meg annak érdekében, hogy a károsultak kártérítést követelhessenek abban az esetben, ha a kárt hibás termékek okozták. Megállapítja azt az elvet, amely szerint a termék gyártója vétkességtől függetlenül felelős a termék biztonságának hiányából eredő károkért („objektív felelősség”). Amennyiben a biztonság ilyen hiánya a termék forgalomba hozatalát követő biztonsági frissítések hiányából áll, és ez kárt okoz, a gyártó felelőssé válhat. E rendeletben meg kell határozni a gyártóknak az ilyen biztonsági frissítésekkel kapcsolatos kötelezettségeit. (17)Ez a rendelet nem érinti az (EU) 2016/679 európai parlamenti és tanácsi rendeletet, így többek között az adatvédelmi tanúsítási mechanizmusok, valamint azon adatvédelmi bélyegzők, illetve jelölések létrehozására vonatkozó rendelkezéseket sem, amelyek célja annak bizonyítása, hogy az adatkezelők és -feldolgozók adatkezelési műveletei megfelelnek az említett rendeletnek. Az ilyen műveletek beágyazhatók egy digitális elemeket tartalmazó termékbe. A beépített és alapértelmezett adatvédelem, valamint általában a kiberbiztonság az (EU) 2016/679 rendelet kulcsfontosságú elemei. A fogyasztóknak és a szervezeteknek a kiberbiztonsági kockázatokkal szembeni védelme révén az e rendeletben meghatározott alapvető kiberbiztonsági követelmények fokozzák az egyének személyes adatainak védelmét és a magánélet sérthetetlenségét is. A Bizottság, az európai szabványügyi szervezetek, az Európai Uniós Kiberbiztonsági Ügynökség (a továbbiakban: ENISA), az (EU) 2016/679 rendelettel létrehozott Európai Adatvédelmi Testület és a nemzeti adatvédelmi felügyeleti hatóságok közötti együttműködés révén figyelembe kell venni a kiberbiztonsági szempontokkal kapcsolatos szabványosítás és tanúsítás közötti szinergiákat. Szinergiákat kell teremteni továbbá e rendelet és az uniós adatvédelmi jog között a piacfelügyelet és a végrehajtás területén. E célból az e rendelet alapján kijelölt nemzeti piacfelügyeleti hatóságoknak együtt kell működniük az uniós adatvédelmi jogot felügyelő hatóságokkal. Ez utóbbiak számára is hozzáférést kell biztosítani a feladataik ellátásához szükséges információkhoz. (18)Amennyiben termékeik e rendelet hatálya alá tartoznak, a [910/2014/EU rendeletnek az európai digitális személyazonosság keretének létrehozása tekintetében történő módosításáról szóló rendeletjavaslattal módosított 910/2014/EU rendelet 6a. cikkének (2) bekezdése]. cikkében említett európai digitális irattárcák kibocsátóinak meg kell felelniük mind az e rendeletben megállapított horizontális alapvető követelményeknek, mind a [910/2014/EU rendeletnek az európai digitális személyazonosság keretének létrehozása tekintetében történő módosításáról szóló rendeletjavaslattal módosított 910/2014/EU rendelet 6a. cikke]. cikkében meghatározott egyedi biztonsági követelményeknek. A megfelelés megkönnyítése érdekében a tárcakibocsátóknak képesnek kell lenniük arra, hogy igazolják az európai digitális irattárcák mindkét jogi aktusban meghatározott követelményeknek való megfelelését azáltal, hogy termékeiket az (EU) 2019/881 rendelet alapján létrehozott európai kiberbiztonsági tanúsítási rendszer keretében tanúsítják, amelyek tekintetében a Bizottság végrehajtási jogi aktus útján meghatározta, hogy az e rendeletnek való megfelelés vélelmezhető, amennyiben a tanúsítvány vagy annak részei kiterjednek az említett követelményekre. (19)Az e rendeletben előírt egyes feladatokat az ENISA-nak kell ellátnia az (EU) 2019/881 rendelet 3. cikkének (2) bekezdésével összhangban. Az ENISA-nak különösen a digitális elemeket tartalmazó termékek aktívan kihasznált sebezhetőségeiről, valamint az ilyen termékek biztonságára hatást gyakorló eseményekről kell értesítést kapnia a gyártóktól. Az ENISA-nak ezeket az értesítéseket továbbítania kell az érintett számítógép-biztonsági eseményekre reagáló csoportoknak (CSIRT-ek), illetve a tagállamok [XXX/XXXX irányelv (NIS2)] irányelv [X. cikke]. cikkével összhangban kijelölt illetékes egyedüli kapcsolattartó pontjainak is, és tájékoztatnia kell az érintett piacfelügyeleti hatóságokat a bejelentett sebezhetőségről. Az összegyűjtött információk alapján az ENISA-nak kétévente technikai jelentést kell készítenie a digitális elemeket tartalmazó termékek kiberbiztonsági kockázataival kapcsolatban felmerülő tendenciákról, és be kell nyújtania azt a(z) [XXX/XXXX irányelv (NIS2)] irányelvben említett együttműködési csoportnak. Ezen túlmenően, figyelembe véve szakértelmét és megbízatását, az ENISA-nak képesnek kell lennie arra, hogy támogassa az e rendelet végrehajtására irányuló folyamatot. Különösen arra kell képesnek lennie, hogy a digitális elemeket tartalmazó termékek több tagállamra kiterjedő esetleges meg nem felelésére vonatkozó jelzések vagy információk alapján javaslatot tegyen a piacfelügyeleti hatóságok által végrehajtandó közös tevékenységekre, vagy azonosítsa azokat a termékkategóriákat, amelyek tekintetében egyidejű, összehangolt ellenőrzési intézkedéseket kell szervezni. Kivételes körülmények között, a Bizottság kérésére az ENISA-nak képesnek kell lennie értékeléseket végezni a jelentős kiberbiztonsági kockázatot jelentő, digitális elemeket tartalmazó konkrét termékek tekintetében, amennyiben a belső piac megfelelő működésének megőrzéséhez azonnali beavatkozásra van szükség. (20)A digitális elemeket tartalmazó termékeket CE-jelöléssel kell ellátni, amely jelzi az e rendeletnek való megfelelésüket, annak érdekében, hogy szabadon mozoghassanak a belső piacon. A tagállamok nem akadályozhatják indokolatlanul az olyan, digitális elemeket tartalmazó termékek forgalomba hozatalát, amelyek megfelelnek az e rendeletben meghatározott követelményeknek és CE-jelöléssel vannak ellátva. (21)Annak biztosítása érdekében, hogy a gyártók tesztelési célú szoftvert bocsáthassanak ki, mielőtt termékeiket megfelelőségértékelésnek vetnék alá, a tagállamok nem akadályozhatják a befejezetlen szoftverek, például az alfa verziójú, béta verziójú vagy a kiadásra jelölt szoftverek rendelkezésre bocsátását, amennyiben a verziót csak a teszteléshez és a visszajelzések gyűjtéséhez szükséges ideig bocsátják rendelkezésre. A gyártóknak biztosítaniuk kell, hogy az ilyen feltételek mellett rendelkezésre bocsátott szoftvereket csak kockázatértékelést követően adják ki, és hogy azok a lehető legnagyobb mértékben megfeleljenek az e rendeletben előírt, a digitális elemeket tartalmazó termékek tulajdonságaira vonatkozó biztonsági követelményeknek. A gyártóknak a lehető legteljesebb mértékben végre kell hajtaniuk a sebezhetőségek kezelésére vonatkozó követelményeket is. A gyártók nem kényszeríthetik a felhasználókat arra, hogy azokra a verziókra frissítsenek, amelyeket csak tesztelési célból bocsátanak ki. (22)Annak biztosítása érdekében, hogy a digitális elemeket tartalmazó termékek a forgalomba hozatalukkor ne jelentsenek kiberbiztonsági kockázatot a személyek és szervezetek számára, alapvető követelményeket kell meghatározni az ilyen termékekre vonatkozóan. Ha a termékeket később fizikai vagy digitális eszközökkel, a gyártó által előre nem látható módon módosítják, és ez azt jelentheti, hogy már nem felelnek meg a vonatkozó alapvető követelményeknek, a módosítást jelentősnek kell tekinteni. Például a szoftverfrissítések vagy -javítások karbantartási műveleteknek tekinthetők, feltéve, hogy nem módosítják a már forgalomba hozott terméket oly módon, hogy az befolyásolja az alkalmazandó követelményeknek való megfelelést, vagy megváltoztatja azt a rendeltetést, amelyre vonatkozóan a terméket értékelték. A fizikai javításokhoz vagy módosításokhoz hasonlóan a digitális elemeket tartalmazó terméket is jelentősen módosítottnak kell tekinteni a szoftver olyan változása esetén, ahol a szoftverfrissítés módosítja a termék eredeti rendeltetését, típusát vagy teljesítményét, és ezeket a változtatásokat a kezdeti kockázatértékelés nem irányozta elő, vagy a szoftverfrissítés miatt a veszély jellege megváltozott vagy a kockázat szintje nőtt. (23)Az uniós harmonizációs jogszabályok által szabályozott termékek jelentős módosításának általánosan elfogadott fogalmával összhangban valahányszor olyan jelentős módosítás történik, amely befolyásolhatja a termék e rendeletnek való megfelelését, vagy amikor a termék rendeltetése megváltozik, helyénvaló a digitális elemeket tartalmazó termék megfelelőségét ellenőrizni, és adott esetben új megfelelőségértékelési eljárásnak alávetni. Adott esetben, ha a gyártó harmadik fél bevonásával végzi el a megfelelőségértékelést, azokról a változásokról, amelyek jelentős módosításokat eredményezhetnek, értesíteni kell a harmadik felet. (24)A [környezetbarát tervezésről szóló rendelet] rendeletben meghatározott, digitális elemeket tartalmazó termék felújítása, karbantartása és javítása nem feltétlenül vezet a termék jelentős módosításához, ha például a rendeltetés és a funkciók nem változnak, és a kockázat szintje változatlan marad. A termék gyártó általi korszerűsítése azonban a termék tervezésének és fejlesztésének megváltozásához vezethet, ezért befolyásolhatja a termék rendeltetését és az e rendeletben meghatározott követelményeknek való megfelelését. (25)A digitális elemeket tartalmazó termékeket kritikusnak kell tekinteni, ha a termék potenciális kiberbiztonsági sebezhetőségei kiaknázásának negatív hatása súlyos lehet, többek között a kiberbiztonsággal kapcsolatos funkciója vagy a rendeltetése miatt. Különösen a kiberbiztonsággal kapcsolatos funkcióval rendelkező digitális elemeket – például biztonsági csipeket – tartalmazó termékek sebezhetőségei vezethetnek a biztonsági problémák terjedéséhez az ellátási lánc egészében. A kiberbiztonsági esemény hatásának súlyossága akkor is fokozódhat, ha figyelembe vesszük a termék rendeltetését, például ipari környezetben történő, a(z) [XXX/XXXX irányelv (NIS2)] irányelv [I. melléklete] mellékletében említett típusú alapvető fontosságú szervezetek általi, illetve kritikus vagy érzékeny funkciók ellátására, például személyes adatok kezelésére történő felhasználást. (26)A digitális elemeket tartalmazó kritikus termékeket szigorúbb megfelelőségértékelési eljárásoknak kell alávetni, az arányos megközelítés fenntartása mellett. E célból a digitális elemeket tartalmazó kritikus termékeket két osztályba kell sorolni, amelyek tükrözik az e termékkategóriákhoz kapcsolódó kiberbiztonsági kockázat szintjét. A II. osztályba tartozó termékeket érintő potenciális kiberbiztonsági események nagyobb negatív hatásokkal járhatnak, mint az I. osztályba tartozó termékeket érintő események, például a kiberbiztonsági funkciójuk jellege vagy az érzékeny környezetben való tervezett felhasználásuk miatt, ezért szigorúbb megfelelőségértékelési eljárásnak kell alávetni őket. (27)Az e rendelet III. mellékletében említett, digitális elemeket tartalmazó kritikus termékek kategóriái alatt azokat a termékeket kell érteni, amelyek az e rendelet III. mellékletében felsorolt típusú alapvető funkciókkal rendelkeznek. Például a rendelet III. melléklete a II. osztályba tartozóként sorolja fel azokat a termékeket, amelyeket alapvető funkciójuk alapján általános célú mikroprocesszorként határoznak meg. Ennek eredményeként az általános célú mikroprocesszorokat harmadik fél által végzett kötelező megfelelőségértékelési eljárásnak kell alávetni. Nem ez a helyzet az e rendelet III. mellékletében kifejezetten nem említett egyéb olyan termékek esetében, amelyek általános célú mikroprocesszort tartalmazhatnak. A Bizottságnak [e rendelet hatálybalépésétől számított 12 hónapon belül] felhatalmazáson alapuló jogi aktusokat kell elfogadnia a III. mellékletben meghatározott I. és II. osztályba tartozó termékkategóriák meghatározása céljából.

(28)Ez a rendelet célzottan kezeli a kiberbiztonsági kockázatokat. A digitális elemeket tartalmazó termékek azonban egyéb, a kiberbiztonsághoz nem kapcsolódó biztonsági kockázatokat is jelenthetnek. Ezeket a kockázatokat továbbra is a termékekre vonatkozó egyéb uniós jogszabályoknak kell szabályozniuk. Amennyiben más uniós harmonizációs jogszabály nem alkalmazandó, az [általános termékbiztonsági rendelet] rendelet hatálya alá kell tartozniuk. Ezért e rendelet célzott jellegére tekintettel, az [általános termékbiztonsági rendelet] rendelet 2. cikke (1) bekezdése harmadik albekezdésének b) pontjától eltérve, a digitális elemeket tartalmazó termékekre az [általános termékbiztonsági rendelet] rendelet III. fejezetének 1. szakasza, V. és VII. fejezete, valamint IX–XI. fejezete alkalmazandó az e rendelet hatálya alá nem tartozó biztonsági kockázatok tekintetében, amennyiben ezekre a termékekre [az általános termékbiztonsági rendelet 3. cikkének 25. pontja] értelmében nem vonatkoznak más uniós harmonizációs jogszabályok által előírt egyedi követelmények. (29)A(z) [MI-rendelet] rendelet [6. cikk] cikkével összhangban nagy kockázatú MI-rendszerként besorolt, digitális elemeket tartalmazó azon termékeket, amelyek e rendelet hatálya alá tartoznak, meg kell felelniük az e rendeletben meghatározott alapvető követelményeknek. Amennyiben ezek a nagy kockázatú MI-rendszerek teljesítik e rendelet alapvető követelményeit, úgy kell tekinteni, hogy megfelelnek az [MI-rendelet] rendelet [15. cikk] cikkében meghatározott kiberbiztonsági követelményeknek, amennyiben ezekre a követelményekre kiterjed az e rendelet alapján kiadott EU-megfelelőségi nyilatkozat vagy annak részei. Az e rendelet hatálya alá tartozó és nagy kockázatú MI-rendszerként besorolt, digitális elemeket tartalmazó termékekre vonatkozó alapvető kiberbiztonsági követelményekkel kapcsolatos megfelelőségértékelési eljárások tekintetében e rendelet vonatkozó rendelkezései helyett főszabályként a(z) [MI-rendelet] rendelet 43. cikkének vonatkozó rendelkezéseit kell alkalmazni. Ez a szabály azonban nem csökkentheti az e rendelet hatálya alá tartozó, digitális elemeket tartalmazó kritikus termékek szükséges megbízhatósági szintjét. Ezért e szabálytól eltérve, a(z) [MI-rendelet] rendelet hatálya alá tartozó és az e rendelet értelmében digitális elemeket tartalmazó kritikus terméknek minősülő olyan nagy kockázatú MI-rendszerekre, amelyekre a(z) [MI-rendelet] rendelet VI. mellékletében említett, belső ellenőrzésen alapuló megfelelőségértékelési eljárás alkalmazandó, e rendelet megfelelőségértékelésre vonatkozó rendelkezései alkalmazandók az e rendelet alapvető követelményeinek tekintetében. Ebben az esetben a(z) [MI-rendelet] rendelet hatálya alá tartozó minden egyéb szempont tekintetében a(z) [MI-rendelet] rendelet VI. mellékletében meghatározott, a belső ellenőrzésen alapuló megfelelőségértékelési eljárásra vonatkozó rendelkezéseket kell alkalmazni. (30)Azokat a [gépekről szóló rendeletre irányuló javaslat] rendelet hatálya alá tartozó gépipari termékeket, amelyek e rendelet értelmében digitális elemeket tartalmazó termékeknek minősülnek, és amelyekre vonatkozóan e rendelet alapján megfelelőségi nyilatkozatot adtak ki, úgy kell tekinteni, hogy a korrupció elleni védelem, valamint az ellenőrző rendszerek biztonsága és megbízhatósága tekintetében megfelelnek a [gépekről szóló rendeletre irányuló javaslat] rendelet [III. mellékletének 1.1.9. és 1.2.1. szakaszában] meghatározott alapvető egészségvédelmi és biztonsági követelményeknek, amennyiben az említett követelményeknek való megfelelést az e rendelet alapján kiadott EU-megfelelőségi nyilatkozat igazolja. (31)Az [európai egészségügyi adattérről szóló rendeletjavaslat] rendelet kiegészíti az e rendeletben meghatározott alapvető követelményeket. Az [európai egészségügyi adattérről szóló rendeletjavaslat] hatálya alá tartozó, e rendelet értelmében digitális elemeket tartalmazó termékeknek minősülő elektronikus egészségügyi nyilvántartó rendszereknek meg kell felelniük az e rendeletben meghatározott alapvető követelményeknek is. Gyártóiknak igazolniuk kell az [európai egészségügyi adattérről szóló rendeletjavaslat] rendeletben előírt megfelelőséget. A megfelelés megkönnyítése érdekében a gyártók egyetlen, a mindkét jogi aktusban előírt elemeket tartalmazó egységes műszaki dokumentációt készíthetnek. Mivel ez a rendelet nem terjed ki az SaaS-re, az SaaS engedélyezési és szállítási modelljén keresztül kínált elektronikus egészségügyi nyilvántartó rendszerek nem tartoznak e rendelet hatálya alá. Hasonlóképpen, a házon belül kifejlesztett és használt elektronikus egészségügyi nyilvántartó rendszerek sem tartoznak e rendelet hatálya alá, mivel azokat nem hozzák forgalomba. (32)Annak biztosítása érdekében, hogy a digitális elemeket tartalmazó termékek mind forgalomba hozatalukkor, mind életciklusuk során biztonságosak legyenek, meg kell határozni a sebezhetőség kezelésére vonatkozó alapvető követelményeket, valamint a digitális elemeket tartalmazó termékek tulajdonságaival kapcsolatos alapvető kiberbiztonsági követelményeket. Míg a gyártóknak meg kell felelniük a sebezhetőség kezelésére vonatkozó valamennyi alapvető követelménynek, és biztosítaniuk kell, hogy valamennyi terméküket ismert kihasználható sebezhetőségek nélkül szállítsák, meg kell határozniuk, hogy a termék tulajdonságaival kapcsolatos mely egyéb alapvető követelmények relevánsak az érintett terméktípus tekintetében. E célból a gyártóknak értékelniük kell a digitális elemeket tartalmazó termékkel kapcsolatos kiberbiztonsági kockázatokat a releváns kockázatok és a vonatkozó alapvető követelmények azonosítása, valamint a megfelelő harmonizált szabványok vagy egységes előírások megfelelő alkalmazása érdekében. (33)A belső piacon forgalomba hozott, digitális elemeket tartalmazó termékek biztonságának javítása érdekében alapvető követelményeket kell megállapítani. Ezek az alapvető követelmények nem sérthetik a(z) [XXX/XXXX irányelv (NIS2)] irányelv [X. cikkében] létrehozott, a kritikus ellátási láncokra vonatkozó összehangolt uniós kockázatértékeléseket, amelyek figyelembe veszik mind a technikai, mind adott esetben a nem technikai kockázati tényezőket, például egy harmadik ország által a beszállítókra gyakorolt jogtalan befolyásolást. Továbbá nem sértheti a tagállamok azon előjogait, hogy a magas szintű reziliencia biztosítása érdekében olyan további követelményeket határozzanak meg, amelyek figyelembe veszik a nem technikai jellegű tényezőket, beleértve az (EU) 2019/534 ajánlásban, az 5G hálózatok biztonságának uniós szintű összehangolt kockázatértékelésében és a(z) [XXX/XXXX irányelvben (NIS2)] említett Kiberbiztonsági Együttműködési Csoport által elfogadott, az 5G kiberbiztonságra vonatkozó közös uniós eszköztárban meghatározottakat. (34)Annak biztosítása érdekében, hogy a nemzeti CSIRT-ek és a(z) [XX/XXXX irányelv (NIS2)] irányelv [X. cikke] cikkével összhangban kijelölt egyedüli kapcsolattartó pontok megkapják a feladataik ellátásához és az alapvető és fontos szervezetek általános kiberbiztonsági szintjének növeléséhez szükséges információkat, valamint a piacfelügyeleti hatóságok hatékony működésének biztosítása érdekében a digitális elemeket tartalmazó termékek gyártóinak be kell jelenteniük az ENISA-nak az aktívan kihasznált sebezhetőségeket. Mivel a digitális elemeket tartalmazó legtöbb terméket a teljes belső piacon forgalmazzák, a digitális elemeket tartalmazó termékek bármilyen kihasznált sebezhetőségét a belső piac működését fenyegető veszélynek kell tekinteni. A gyártóknak azt is mérlegelniük kell, hogy a kijavított sebezhetőségeket közzétegyék a(z) [XX/XXXX irányelv (NIS2)] irányelvvel létrehozott és az ENISA által kezelt európai sebezhetőségi adatbázisban vagy bármely más nyilvánosan hozzáférhető sebezhetőségi adatbázisban. (35)A gyártóknak továbbá be kell jelenteniük az ENISA-nak a digitális elemeket tartalmazó termék biztonságát érintő bármely biztonsági eseményt. A(z) [XXX/XXXX irányelv (NIS2)] irányelvben foglalt, az alapvető és fontos szervezetekre vonatkozó eseménybejelentési kötelezettségek ellenére alapvető fontosságú, hogy az ENISA, a tagállamok által a(z) [XXX/XXXX irányelv (NIS2)] irányelv [X. cikke] cikkével összhangban kijelölt egyedüli kapcsolattartó pontok és a piacfelügyeleti hatóságok megkapják azokat az információkat a digitális elemeket tartalmazó termékek gyártóitól, amelyek lehetővé teszik számukra e termékek biztonságának értékelését. Annak biztosítása érdekében, hogy a felhasználók gyorsan tudjanak reagálni a digitális elemeket tartalmazó termékeik biztonságára hatást gyakorló kiberbiztonsági eseményekre, a gyártóknak a felhasználóikat is tájékoztatniuk kell minden ilyen biztonsági eseményről, és adott esetben azokról a korrekciós intézkedésekről is, amelyeket a felhasználók a biztonsági esemény hatásának enyhítése érdekében alkalmazhatnak, például a vonatkozó információknak a weboldalaikon való közzététele révén, vagy amennyiben a gyártó kapcsolatba tud lépni a felhasználókkal, és amennyiben a kockázatok ezt indokolják, közvetlenül a felhasználókkal való kapcsolatfelvétel révén. (36)A digitális elemeket tartalmazó termékek gyártóinak összehangolt sebezhetőségfeltárási szabályzatokat kell bevezetniük, hogy megkönnyítsék a sebezhetőségek egyének vagy szervezetek általi bejelentését. Az összehangolt sebezhetőségfeltárási szabályzatnak olyan strukturált folyamatot kell meghatároznia, amelyen keresztül a sebezhetőségeket oly módon jelentik a gyártók számára, hogy a gyártó diagnosztizálni és orvosolni tudja a sebezhetőségeket, mielőtt a sebezhetőségre vonatkozó részletes információkat harmadik felekkel vagy a nyilvánossággal közölné. Tekintettel arra, hogy a széles körben használt, digitális elemeket tartalmazó termékek kihasználható sebezhetőségeire vonatkozó információk magas áron értékesíthetők a feketepiacon, az ilyen termékek gyártói számára lehetővé kell tenni, hogy összehangolt sebezhetőségfeltárási szabályzataik részeként olyan programokkal ösztönözzék a sebezhetőségek bejelentését, amelyben biztosítják, hogy az egyének vagy szervezetek elismerésben és díjazásban részesüljenek erőfeszítéseikért (ún. „bug bounty” programok). (37)A sebezhetőségi elemzés megkönnyítése érdekében a gyártóknak azonosítaniuk és dokumentálniuk kell a digitális elemeket tartalmazó termékek alkotóelemeit, többek között szoftveranyagjegyzék elkészítésével. A szoftveranyagjegyzék a szoftvereket gyártók, vásárlók és üzemeltetők számára olyan információkat biztosíthat, amelyek elősegítik az ellátási lánc jobb megértését, ami számos előnnyel jár, különösen azzal, hogy segíti a gyártókat és a felhasználókat az ismert, újonnan felmerülő sebezhetőségek és kockázatok nyomon követésében. A gyártók számára különösen fontos annak biztosítása, hogy termékeik ne tartalmazzanak harmadik felek által kifejlesztett sebezhető alkotóelemeket. (38)Az e rendeletben meghatározott követelményeknek való megfelelés értékelésének megkönnyítése érdekében vélelmezni kell az olyan digitális elemeket tartalmazó termékek megfelelőségét, amelyek megfelelnek az e rendelet alapvető követelményeit részletes műszaki előírásokká átültető és az 1025/2012/EU európai parlamenti és tanácsi rendelettel összhangban elfogadott harmonizált szabványoknak. Az 1025/2012/EU rendelet meghatározza azt az eljárást, amelyet az e rendelet követelményeit nem teljes mértékben teljesítő harmonizált szabványokkal szemben emelt kifogások esetén kell alkalmazni. (39)Az (EU) 2019/881 rendelet önkéntes európai kiberbiztonsági tanúsítási keretrendszert hoz létre az IKT-termékekre, -folyamatokra és -szolgáltatásokra vonatkozóan. Az európai kiberbiztonsági tanúsítási rendszerek kiterjedhetnek az e rendelet hatálya alá tartozó, digitális elemeket tartalmazó termékekre. E rendeletnek szinergiákat kell teremtenie az (EU) 2019/881 rendelettel. Az e rendeletben meghatározott követelményeknek való megfelelés értékelésének megkönnyítése érdekében azokról a digitális elemeket tartalmazó termékekről, amelyeket az (EU) 2019/881 rendelet szerinti kiberbiztonsági rendszer keretében tanúsítottak vagy amelyekre vonatkozóan ilyen rendszer keretében megfelelőségi nyilatkozatot állítottak ki, és amelyeket a Bizottság végrehajtási jogi aktusban meghatározott, vélelmezni kell, hogy teljesítik az e rendeletben meghatározott alapvető követelményeket, amennyiben a kiberbiztonsági tanúsítvány vagy a megfelelőségi nyilatkozat vagy annak részei kiterjednek az említett követelményekre. A digitális elemeket tartalmazó termékekre vonatkozó új európai kiberbiztonsági tanúsítási rendszerek szükségességét e rendelet fényében kell értékelni. A digitális elemeket tartalmazó termékekre vonatkozó jövőbeli európai kiberbiztonsági tanúsítási rendszereknek figyelembe kell venniük az e rendeletben meghatározott alapvető követelményeket, és elő kell segíteniük az e rendeletnek való megfelelést. A Bizottságot fel kell hatalmazni arra, hogy végrehajtási jogi aktusok révén megállapítsa az e rendeletben meghatározott alapvető követelményeknek való megfelelés igazolására használható európai kiberbiztonsági tanúsítási rendszereket. Továbbá a gyártókra háruló indokolatlan adminisztratív terhek elkerülése érdekében a Bizottságnak adott esetben meg kell határoznia, hogy az ilyen európai kiberbiztonsági tanúsítási rendszerek keretében kiadott kiberbiztonsági tanúsítvány megszünteti-e a gyártók azon kötelezettségét, hogy az e rendeletben meghatározottak szerinti, harmadik fél által végzett megfelelőségértékelési eljárást folytassanak le a vonatkozó követelmények tekintetében. (40)Az e rendelet hatálya alá tartozó hardvertermékekre, például biztonsági hardvermodulokra és mikroprocesszorokra vonatkozó, [a közös kritériumokon alapuló európai kiberbiztonsági tanúsítási rendszerről szóló, XXX-i (EU) …/… bizottsági végrehajtási rendeletet] (EUCC) megállapító végrehajtási jogi aktus hatálybalépésekor a Bizottság végrehajtási jogi aktus útján meghatározhatja, hogy az EUCC hogyan vélelmezi az e rendelet I. mellékletében említett alapvető követelményeknek vagy azok részeinek való megfelelést. Az ilyen végrehajtási jogi aktus meghatározhatja továbbá, hogy az EUCC alapján kiállított tanúsítvány hogyan szünteti meg a gyártók azon kötelezettségét, hogy az e rendeletben a megfelelő követelmények tekintetében előírt, harmadik fél által végzett értékelést lefolytassák. (41)Amennyiben nincsenek elfogadott harmonizált szabványok, vagy ha a harmonizált szabványok nem kezelik kielégítő mértékben e rendelet alapvető követelményeit, a Bizottság számára lehetővé kell tenni, hogy végrehajtási jogi aktusok révén egységes előírásokat fogadjon el. A harmonizált szabványokra történő támaszkodás helyett ilyen egységes előírások kidolgozását indokolhatja a szabványosítási kérelem bármely európai szabványügyi szervezet általi elutasítása, a megfelelő harmonizált szabványok kidolgozásának indokolatlan késedelme, vagy a kidolgozott szabványok meg nem felelése e rendelet követelményeinek vagy a Bizottság kérelmének. Az e rendeletben meghatározott alapvető követelményeknek való megfelelés értékelésének megkönnyítése érdekében vélelmezni kell az olyan digitális elemeket tartalmazó termékek megfelelőségét, amelyek megfelelnek a Bizottság által az e rendeletnek megfelelően az említett követelmények részletes műszaki leírása céljából elfogadott egységes előírásoknak. (42)A gyártóknak EU-megfelelőségi nyilatkozatot kell készíteniük, amelyben megadják az e rendeletben előírt információt arról, hogy a digitális elemeket tartalmazó termék megfelel e rendelet alapvető követelményeinek és adott esetben a termékre kiterjedő egyéb vonatkozó uniós harmonizációs jogszabályoknak. A gyártókat más uniós jogszabályok is kötelezhetik EU-megfelelőségi nyilatkozat készítésére. A piacfelügyeleti célú információkhoz való hatékony hozzáférés biztosítása érdekében egyetlen EU-megfelelőségi nyilatkozatot kell készíteni valamennyi vonatkozó uniós jogi aktusnak való megfelelés tekintetében. A gazdasági szereplőkre nehezedő adminisztratív teher csökkentése érdekében lehetővé kell tenni, hogy ez az egyetlen EU-megfelelőségi nyilatkozat az egyes vonatkozó megfelelőségi nyilatkozatokból összeállított dokumentáció legyen. (43)A termék megfelelőségét igazoló CE-jelölés a szélesebb értelemben vett megfelelőségértékelésből álló eljárás egészének látható végeredménye. A CE-jelölésre irányadó általános elveket a 765/2008/EK európai parlamenti és tanácsi rendelet határozza meg. A CE-jelölés digitális elemeket tartalmazó termékeken történő feltüntetésére vonatkozó szabályokat ebben a rendeletben célszerű megállapítani. A CE-jelölés az egyetlen olyan jelölés, amely garantálja, hogy a digitális elemeket tartalmazó termékek megfelelnek e rendelet követelményeinek. (44)Annak érdekében, hogy a gazdasági szereplők igazolni tudják az e rendeletben meghatározott alapvető követelményeknek való megfelelést, és a piacfelügyeleti hatóságok biztosíthassák, hogy a forgalmazott, digitális elemeket tartalmazó termékek megfelelnek ezeknek a követelményeknek, megfelelőségértékelési eljárásokat kell előírni. Az Európai Parlament és a Tanács 768/2008/EK határozata a megfelelőségértékelési eljárásokhoz különböző modulokat határoz meg a felmerülő kockázatokkal és a szükséges biztonsági szintekkel arányosan. Az ágazatok közötti koherencia biztosítása és az eseti változatok elkerülése érdekében a digitális elemeket tartalmazó termékek e rendeletben meghatározott alapvető követelményeknek való megfelelőségének ellenőrzésére alkalmas megfelelőségértékelési eljárások ezeken a modulokon alapulnak. A megfelelőségértékelési eljárásoknak vizsgálniuk és ellenőrizniük kell mind a termékkel, mind a folyamattal kapcsolatos követelményeket a digitális elemeket tartalmazó termékek teljes életciklusára kiterjedően, beleértve a termék tervezését, kialakítását, fejlesztését vagy gyártását, tesztelését és karbantartását. (45)Főszabályként a digitális elemeket tartalmazó termékek megfelelőségértékelését a gyártónak kell elvégeznie saját felelősségére, a 768/2008/EK határozat A modulján alapuló eljárás szerint. A gyártó számára biztosítani kell a rugalmasságot, hogy harmadik fél bevonásával szigorúbb megfelelőségértékelési eljárást válasszon. Ha a termék az I. osztályba tartozó kritikus termékként van besorolva, további biztosítékra van szükség az e rendeletben meghatározott alapvető követelményeknek való megfelelés igazolásához. A gyártónak az (EU) 2019/881 rendelet szerinti, a Bizottság által végrehajtási jogi aktusban meghatározott harmonizált szabványokat, egységes előírásokat vagy kiberbiztonsági tanúsítási rendszereket kell alkalmaznia, ha a megfelelőségértékelést saját felelősségére kívánja elvégezni (A modul). Ha a gyártó nem alkalmaz ilyen harmonizált szabványokat, egységes előírásokat vagy kiberbiztonsági tanúsítási rendszereket, akkor a megfelelőségértékelést harmadik fél bevonásával kell elvégeznie. Figyelembe véve a gyártókra háruló adminisztratív terheket, valamint azt, hogy a kiberbiztonság fontos szerepet játszik a digitális elemeket tartalmazó materiális és immateriális termékek tervezési és fejlesztési szakaszában, a 768/2008/EK határozat B+C, illetve H modulján alapuló megfelelőségértékelési eljárások tekinthetők a legmegfelelőbbnek a digitális elemeket tartalmazó kritikus termékek megfelelőségének arányos és hatékony értékelésére. A harmadik fél által végzett megfelelőségértékelést lefolytató gyártó a tervezési és gyártási folyamatának leginkább megfelelő eljárást választhatja. Tekintettel a II. osztályba sorolt kritikus termékek használatához kapcsolódó még nagyobb kiberbiztonsági kockázatra, a megfelelőségértékelést mindig harmadik fél bevonásával kell lefolytatni. (46)Míg a digitális elemeket tartalmazó materiális termékek létrehozásához a gyártóknak általában jelentős erőfeszítéseket kell tenniük a tervezési, fejlesztési és gyártási szakaszban, addig a digitális elemeket tartalmazó termékek szoftver formájában történő létrehozása szinte kizárólag a tervezésre és a fejlesztésre összpontosít, a gyártási szakasz pedig csekély szerepet játszik. Mindazonáltal sok esetben a szoftvertermékeket össze kell állítani, le kell fordítani, csomagolni kell, és elérhetővé kell tenni letölthető formában vagy fizikai adathordozóra kell másolni a forgalomba hozatal előtt. Ezeket a tevékenységeket gyártásnak minősülő tevékenységnek kell tekinteni, amikor a vonatkozó megfelelőségértékelési modulok segítségével ellenőrzik, hogy a termék a tervezési, fejlesztési és gyártási szakaszban megfelel-e e rendelet alapvető követelményeinek. (47)A digitális elemeket tartalmazó termékek harmadik fél általi megfelelőségértékelésének elvégzése érdekében a nemzeti bejelentő hatóságoknak be kell jelenteniük a Bizottságnak és a többi tagállamnak a megfelelőségértékelő szervezeteket, feltéve, hogy azok megfelelnek bizonyos követelményeknek, nevezetesen a függetlenségre, a szakértelemre és az összeférhetetlenség hiányára vonatkozó követelményeknek.

(48)A digitális elemeket tartalmazó termékek megfelelőségértékelése egységes minőségének biztosítása érdekében követelményeket kell lefektetni a bejelentő hatóságokra, valamint a bejelentett szervezetek értékelésében, bejelentésében és felügyeletében részt vevő egyéb szervezetekre vonatkozóan is. Az e rendeletben megállapított rendszert a 765/2008/EK rendeletben meghatározott akkreditálási rendszerrel kell kiegészíteni. Mivel az akkreditálás a megfelelőségértékelő szervezetek alkalmassága ellenőrzésének egyik alapvető eszköze, azt bejelentés céljából is alkalmazni kell. (49)A nemzeti hatóságoknak előnyben kell részesíteniük a 765/2008/EK rendelet szerinti – a megfelelőségi tanúsítványokba vetett bizalom szükséges szintjét biztosító – átlátható akkreditálást, amellyel bizonyítják a megfelelőségértékelő szervezetek műszaki alkalmasságát az egész Unióban. A nemzeti hatóságok ugyanakkor úgy ítélhetik meg, hogy rendelkeznek a megfelelő eszközökkel ahhoz, hogy maguk végezzék el az említett értékelést. Ebben az esetben a más nemzeti hatóságok által elvégzett értékelések megfelelő szintű hitelességének biztosítása érdekében a Bizottság és a többi tagállam számára be kell nyújtaniuk a szükséges igazoló dokumentumot, amely bizonyítja az adott szabályozási követelmények alapján értékelt megfelelőségértékelő szervezetek megfelelését. (50)A megfelelőségértékelő szervezetek gyakran alvállalkozásba adják a megfelelőségértékeléshez kapcsolódó tevékenységeik bizonyos részeit, vagy e célból leányvállalatot vesznek igénybe. A piacon forgalomba hozandó, digitális elemeket tartalmazó termékekre előírt védelmi szint megóvása érdekében alapvető fontosságú, hogy a megfelelőségértékelési feladatok ellátását illetően az alvállalkozók és leányvállalatok megfeleljenek ugyanazoknak a követelményeknek, mint a bejelentett szervezetek. (51)A megfelelőségértékelő szervezet bejelentését a bejelentő hatóságnak az „Új megközelítés alapján bejelentett és kijelölt szervezetek” (a továbbiakban: NANDO) információs rendszerén keresztül kell megküldenie a Bizottságnak és a többi tagállamnak. A NANDO a Bizottság által kifejlesztett és kezelt elektronikus bejelentési eszköz, amelyben megtalálható az összes bejelentett szervezet jegyzéke. (52)Mivel a bejelentett szervezetek az Unió egészében kínálhatják szolgáltatásaikat, helyénvaló lehetőséget biztosítani a többi tagállamnak és a Bizottságnak arra, hogy egy adott bejelentett szervezettel szemben kifogást emelhessenek. Ezért fontos rendelkezni egy olyan időtartamról, amely alatt tisztázhatók a megfelelőségértékelő szervezet alkalmasságával kapcsolatos kétségek vagy aggályok, még mielőtt az megkezdi bejelentett szervezetként való működését. (53)A versenyképesség érdekében döntő jelentőségű, hogy a bejelentett szervezetek úgy alkalmazzák a megfelelőségértékelési eljárásokat, hogy közben ne hárítsanak szükségtelen terhet a gazdasági szereplőkre. Ugyanebből az okból és a gazdasági szereplők közötti egyenlő bánásmód biztosítása érdekében a megfelelőségértékelési eljárások technikai alkalmazásában biztosítani kell a következetességet. Ez legjobban a bejelentett szervezetek közötti megfelelő koordinációval és együttműködéssel érhető el. (54)A piacfelügyelet alapvető eszköz az uniós jogszabályok megfelelő és egységes alkalmazásának biztosítására. Ezért helyénvaló létrehozni egy olyan jogi keretet, amelyen belül a piacfelügyelet megfelelő módon elvégezhető. Az Európai Parlament és a Tanács (EU) 2019/1020 rendeletében meghatározott, az uniós piacfelügyeletre és az uniós piacra belépő termékek ellenőrzésére vonatkozó szabályok alkalmazandók az e rendelet hatálya alá tartozó, digitális elemeket tartalmazó termékekre. (55)Az (EU) 2019/1020 rendelettel összhangban piacfelügyeleti hatóságok piacfelügyeletet végeznek az adott tagállam területén. Ez a rendelet nem akadályozhatja meg a tagállamokat abban, hogy eldöntsék, melyik illetékes hatóságot bízzák meg ezen feladatok ellátásával. Minden egyes tagállamnak ki kell jelölnie a területén egy vagy több piacfelügyeleti hatóságot. A tagállamok meglévő és új hatóságot is kijelölhetnek piacfelügyeleti hatóságként eljáró hatóságnak, beleértve a(z) [XXX/XXXX irányelv (NIS2)] [X. cikk] cikkében említett nemzeti illetékes hatóságokat vagy az (EU) 2019/881 rendelet 58. cikkében említett kijelölt nemzeti kiberbiztonsági tanúsító hatóságokat. A gazdasági szereplőknek teljes mértékben együtt kell működniük a piacfelügyeleti hatóságokkal és más illetékes hatóságokkal. Minden tagállamnak tájékoztatnia kell a Bizottságot és a többi tagállamot a piacfelügyeleti hatóságairól és az egyes hatóságok illetékességi területeiről, és biztosítania kell az e rendelettel kapcsolatos felügyeleti feladatok elvégzéséhez szükséges erőforrásokat és készségeket. Az (EU) 2019/1020 rendelet 10. cikkének (2) és (3) bekezdése értelmében minden tagállamnak ki kell jelölnie egy összekötő hivatalt, amelynek feladata többek között a piacfelügyeleti hatóságok összehangolt álláspontjának képviselete és a különböző tagállamok piacfelügyeleti hatóságai közötti együttműködés támogatása. (56)E rendelet egységes alkalmazása érdekében az (EU) 2019/1020 rendelet 30. cikkének (2) bekezdésével összhangban külön igazgatási együttműködési csoportot kell létrehozni. Az igazgatási együttműködési csoportnak a kijelölt piacfelügyeleti hatóságok és adott esetben az összekötő hivatalok képviselőiből kell állnia. A Bizottságnak támogatnia és ösztönöznie kell a piacfelügyeleti hatóságok közötti együttműködést az (EU) 2019/1020 rendelet 29. cikke alapján létrehozott európai uniós termékmegfelelőségi hálózaton keresztül, amely az egyes tagállamok képviselőiből áll, beleértve az (EU) 2019/1020 rendelet 10. cikkében említett minden egyes összekötő hivatal képviselőjét és egy választható nemzeti szakértőt, az igazgatási együttműködési csoportok elnökeit és a Bizottság képviselőit. A Bizottságnak részt kell vennie a hálózat, annak alcsoportjai és az érintett igazgatási együttműködési csoport ülésein. Emellett egy technikai és logisztikai támogatást nyújtó végrehajtó titkárság révén is segítenie kell ezt az igazgatási együttműködési csoportot. (57)A jelentős kiberbiztonsági kockázatot jelentő, digitális elemeket tartalmazó termékekkel kapcsolatos időszerű, arányos és hatékony intézkedések biztosítása érdekében uniós védintézkedési eljárást kell előírni, amelynek keretében az érdekelt felek tájékoztatást kapnak az ilyen termékekkel kapcsolatban tervezett intézkedésekről. Ennek azt is lehetővé kell tennie, hogy a piacfelügyeleti hatóságok a megfelelő gazdasági szereplőkkel együttműködve szükség esetén korábbi szakaszban járhassanak el. Amennyiben a tagállamok és a Bizottság egyetértenek valamely tagállam által hozott intézkedés megalapozottságát illetően, nincs szükség a Bizottság további közreműködésére, kivéve az olyan eseteket, ahol a megfelelés hiánya a harmonizált szabvány hiányosságainak tulajdonítható. (58)Bizonyos esetekben azonban az e rendeletnek megfelelő, digitális elemeket tartalmazó termék jelentős kiberbiztonsági kockázatot jelenthet, vagy kockázatot jelenthet a személyek egészségére vagy biztonságára, az alapjogok védelmét célzó uniós vagy nemzeti jog szerinti kötelezettségeknek való megfelelésre, a(z) [XXX/XXXX irányelv (NIS2) I. mellékletében] említett típusú, alapvető fontosságú szervezetek által elektronikus információs rendszer használatával kínált szolgáltatások hozzáférhetőségére, hitelességére, integritására vagy bizalmas jellegére, vagy a közérdek védelmének egyéb szempontjaira. Ezért olyan szabályokat kell megállapítani, amelyek biztosítják e kockázatok csökkentését. Ennek eredményeként a piacfelügyeleti hatóságoknak intézkedéseket kell hozniuk annak érdekében, hogy a kockázattól függően kötelezzék a gazdasági szereplőt annak biztosítására, hogy a termék többé ne jelentsen kockázatot, vagy arra, hogy visszahívja vagy kivonja a terméket a forgalomból. Amennyiben a piacfelügyeleti hatóság ily módon korlátozza vagy tiltja meg egy termék szabad mozgását, a tagállamnak haladéktalanul értesítenie kell a Bizottságot és a többi tagállamot az átmeneti intézkedésekről, pontosítva a döntés okát és indokát. Amennyiben egy p