EUROPOS KOMISIJA Briuselis, 2022 09 15 COM(2022) 454 final 2022/0272(COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl horizontaliųjų kibernetinio saugumo reikalavimų, keliamų skaitmeninių elementų turintiems produktams, kuriuo iš dalies keičiamas Reglamentas (ES) 2019/1020 (Tekstas svarbus EEE) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



AIŠKINAMASIS MEMORANDUMAS 1.PASIŪLYMO APLINKYBĖS •Pasiūlymo pagrindimas ir tikslai Aparatinės ir programinės įrangos produktai vis dažniau nukenčia nuo sėkmingų kibernetinių atakų – apskaičiuota, kad 2021 m. metinė kibernetinių nusikaltimų žala pasaulyje siekė 5,5 trln. EUR. Šiems produktams būdingos dvi pagrindinės problemos, dėl kurių naudotojai ir visuomenė patiria papildomų sąnaudų: 1) mažas kibernetinio saugumo lygis, kurį atspindi plačiai paplitę pažeidžiamumai ir nepakankamas bei nenuoseklus saugumo naujinių teikimas jiems spręsti, ir 2) nepakankamas naudotojų supratimas ir prieiga prie informacijos – todėl jie negali pasirinkti tinkamomis kibernetinio saugumo savybėmis pasižyminčių produktų ar saugiai juos naudoti. Susietoje aplinkoje kibernetinio saugumo incidentas viename produkte gali paveikti visą organizaciją ar visą tiekimo grandinę, dažnai išplisdamas per vidaus rinkos sienas vos per kelias minutes. Dėl to gali būti labai sutrikdyta ekonominė ir socialinė veikla ar netgi gali kilti grėsmė gyvybei. Produktų su skaitmeniniais elementais kibernetiniam saugumui būdingas stiprus tarpvalstybinis aspektas, nes vienoje šalyje pagaminti produktai dažnai naudojami visoje vidaus rinkoje. Be to, incidentai, kurie iš pradžių paveikė vieną subjektą arba vieną valstybę narę, dažnai per kelias minutes išplinta visoje vidaus rinkoje. Nors esami vidaus rinkos teisės aktai taikomi tam tikriems produktams su skaitmeniniais elementais, daugumai aparatinės ir programinės įrangos produktų šiuo metu netaikomi jokie ES teisės aktai, kuriais būtų sprendžiamas jų kibernetinis saugumas. Visų pirma, dabartinėje ES teisinėje sistemoje nesprendžiamas neįtaisytosios programinės įrangos kibernetinis saugumas, nors kibernetinėse atakose vis dažniau siekiama pasinaudoti šių produktų pažeidžiamumais ir dėl to patiriama didelė socialinė ir ekonominė žala. Yra daug pavyzdžių, kai dėmesio verta kibernetinė ataka kilo dėl nepakankamo produktų saugumo, pvz., išpirkos reikalaujanti programa „WannaCry“ išnaudojo „Windows“ pažeidžiamumą, dėl to 2017 m. buvo paveikta 200 000 kompiuterių 150 šalių ir padaryta daugelio milijardų JAV dolerių žala; „Kaseya VSA“ tiekimo grandinės ataka, per kurią pasinaudojus „Kaseya“ tinklo administravimo programine įranga buvo atakuota daugiau kaip 1 000 įmonių, o prekybos centrų tinklas buvo priverstas uždaryti visas savo 500 parduotuvių Švedijoje; arba daugybė incidentų, per kuriuos įsilaužta į bankų programas siekiant pavogti pinigus iš nieko neįtariančių vartotojų. Nustatyti du pagrindiniai tikslai, kuriais siekiama užtikrinti tinkamą vidaus rinkos veikimą: 1) sudaryti sąlygas kurti saugius produktus su skaitmeniniais elementais užtikrinant, kad aparatinės ir programinės įrangos produktai būtų pateikiami rinkai su mažiau pažeidžiamumų ir kad gamintojai rimtai atsižvelgtų į saugumą viso produkto gyvavimo ciklo metu; ir 2) sudaryti sąlygas, kad rinkdamiesi ir naudodami produktus su skaitmeniniais elementais naudotojai galėtų atsižvelgti į kibernetinį saugumą. Nustatyti keturi konkretūs tikslai: i) užtikrinti, kad gamintojai padidintų produktų su skaitmeniniais elementais saugumą nuo projektavimo ir kūrimo etapo ir per visą gyvavimo ciklą; ii) užtikrinti nuoseklią kibernetinio saugumo sistemą, palengvinančią aparatinės ir programinės įrangos gamintojų reikalavimų laikymąsi; iii) padidinti produktų su skaitmeniniais elementais saugumo savybių skaidrumą ir iv) sudaryti sąlygas įmonėms ir vartotojams saugiai naudoti produktus su skaitmeniniais elementais. Dėl kibernetinio saugumo stipraus tarpvalstybinio pobūdžio ir daugėjančių incidentų, persiduodančių tarp skirtingų valstybių narių, sektorių bei produktų, pavienės valstybės narės negali veiksmingai pasiekti šių tikslų. Atsižvelgiant į pasaulinį produktų su skaitmeniniais elementais rinkų pobūdį, valstybės narės savo teritorijoje susiduria su ta pačia rizika dėl to paties produkto su skaitmeniniais elementais. Besiformuojanti fragmentuota galimai skirtingų nacionalinių taisyklių sistema gali trukdyti atvirai ir konkurencingai bendrai produktų su skaitmeniniais elementais rinkai. Todėl reikia imtis bendrų veiksmų ES lygmeniu siekiant padidinti naudotojų pasitikėjimą ES produktais su skaitmeniniais elementais bei šių produktų patrauklumą. Tai taip pat būtų naudinga vidaus rinkai, nes suteiktų teisinio tikrumo ir sudarytų vienodas sąlygas produktų su skaitmeniniais elementais pardavėjams, kaip pabrėžta ir galutinėje Konferencijos dėl Europos ateities ataskaitoje, kurioje piliečiai ragina ES aktyviau kovoti su kibernetinio saugumo grėsmėmis. •Sąveika su toje pačioje politikos srityje galiojančiomis nuostatomis ES sistemą sudaro keletas horizontaliųjų teisės aktų, kurie apima skirtingus aspektus, susijusius su kibernetiniu saugumu (produktus, paslaugas, krizių valdymą ir nusikaltimus). 2013 m. įsigaliojo direktyva dėl atakų prieš informacines sistemas, kuria buvo suderintas kriminalizavimas ir sankcijos už įvairius nusikaltimus, nukreiptus prieš informacines sistemas. 2016 m. rugpjūčio mėn. įsigaliojo Direktyva (ES) 2016/1148 dėl tinklų ir informacinių sistemų saugumo (TIS direktyva) kaip pirmasis visos ES teisės aktas dėl kibernetinio saugumo. Ją peržiūrėjus, parengta Direktyva [Direktyva XXX/XXXX (TIS2)], kuria padidinamas bendras ES užmojis. 2019 m. įsigaliojo ES Kibernetinio saugumo aktas, kuriuo siekiama padidinti IRT produktų, IRT paslaugų ir IRT procesų saugumą įvedant savanorišką Europos kibernetinio saugumo sertifikavimo sistemą. Visos tiekimo grandinės kibernetinis saugumas užtikrinamas tik tuo atveju, jei visi jos komponentai yra kibernetiniu požiūriu saugūs. Tačiau minėtuose ES teisės aktuose šiuo atžvilgiu yra didelių spragų, nes jie neapima privalomų produktų su skaitmeniniais elementais saugumo reikalavimų. Nors siūlomas Kibernetinio atsparumo aktas apima rinkai pateikiamus produktus su skaitmeniniais elementais, Direktyva [Direktyva XXX/XXX (TIS2)] siekiama užtikrinti aukštą esminių ir svarbių subjektų teikiamų paslaugų kibernetinio saugumo lygį. Direktyvoje [Direktyva XXX/XXXX (TIS2)] reikalaujama, kad valstybės narės užtikrintų, kad į taikymo sritį įtraukti esminiai ir svarbūs subjektai, pvz., sveikatos priežiūros arba debesijos kompiuterijos paslaugų teikėjai ir viešojo administravimo subjektai, imtųsi tinkamų ir proporcingų techninių, operacinių ir organizacinių kibernetinio saugumo priemonių. Tai, be kita ko, apima reikalavimą užtikrinti tinklų ir informacinių sistemų įsigijimo, kūrimo ir priežiūros saugumą, apimantį pažeidžiamumų valdymą ir atskleidimą. Direktyvoje [Direktyva XXX/XXXX (TIS2)] reikalaujama, kad Komisija per 21 mėnesį nuo tos direktyvos įsigaliojimo dienos priimtų įgyvendinimo aktus, kuriuose būtų nustatyti šių priemonių techniniai ir metodiniai reikalavimai tam tikrų tipų subjektams, pavyzdžiui, debesijos kompiuterijos paslaugų teikėjams. Visiems kitiems subjektams Komisija gali priimti įgyvendinimo aktą, kuriame būtų nustatyti techniniai ir metodiniai reikalavimai, taip pat sektorių reikalavimai. Ši sistema užtikrins, kad techninės specifikacijos ir priemonės, panašios į esminius Kibernetinio atsparumo akto kibernetinio saugumo reikalavimus, taip pat būtų įgyvendintos programinės įrangos, kuri teikiama kaip paslauga (paslauginės programinės įrangos), projektavimui, kūrimui ir pažeidžiamumų valdymui. Pavyzdžiui, tai galėtų būti būdas užtikrinti aukštą kibernetinio saugumo lygį elektroninių sveikatos įrašų sistemų atveju, taip pat tuomet, kai jie teikiami kaip paslauginė programinė įranga (SaaS) arba kuriami pačiose sveikatos priežiūros įstaigose (vietoje) pagal siūlomą [Europos sveikatos duomenų erdvės reglamentą]. •Sąveika su kitomis Sąjungos politikos sritimis Komunikate „Europos skaitmeninės ateities formavimas“ pažymima, kad ES labai svarbu pasinaudoti visais skaitmeninio amžiaus privalumais ir sustiprinti savo pramonės bei inovacijų pajėgumą neperžengiant saugumo ir etikos ribų. Europos duomenų strategijoje nustatyti keturi ramsčiai – duomenų apsauga, pagrindinės teisės, sauga ir kibernetinis saugumas – yra būtinos sąlygos duomenų teikiamomis galimybėmis besinaudojančiai visuomenei. Dabartinę produktams, kurie gali turėti ir skaitmeninių elementų, taikomą ES sistemą sudaro keletas teisės aktų, įskaitant ES teisės aktus dėl konkrečių produktų, kuriais reglamentuojami su sauga susiję aspektai, ir bendruosius teisės aktus dėl atsakomybės už produktus. Pasiūlymas yra suderinamas su dabartine su produktais susijusia ES reglamentavimo sistema, taip pat su naujausiais teisės aktų pasiūlymais, tokiais kaip Komisijos pasiūlymas dėl Reglamento [Dirbtinio intelekto (DI) reglamentas]. Siūlomas reglamentas būtų taikomas visiems radijo įrenginiams, kuriems taikomas Komisijos deleguotasis reglamentas (ES) 2022/30. Be to, šiame reglamente nustatyti reikalavimai apima visus Direktyvos 2014/53/ES 3 straipsnio 3 dalies d, e ir f punktuose nurodytus esminius reikalavimus, įskaitant pagrindinius elementus, išdėstytus [Komisijos įgyvendinimo sprendime XXX/2022 dėl standartizacijos prašymo Europos standartizacijos organizacijoms], paskelbtame remiantis tuo deleguotuoju reglamentu. Siekiant išvengti reguliavimo dubliavimosi, numatoma, kad Komisija panaikins arba iš dalies pakeis deleguotąjį reglamentą dėl radijo įrenginių, kuriuos apima siūlomas reglamentas, kad jiems būtų taikomas pastarasis, kai jis bus taikytinas. Be to, siekiant išvengti darbo dubliavimosi, numatoma, kad rengdamos ir plėtodamos darniuosius standartus, padėsiančius įgyvendinti reglamentą, Komisija ir Europos standartizacijos organizacijos atsižvelgs į standartizavimo darbą, atliekamą pagal Komisijos įgyvendinimo sprendimą C(2022)5637 dėl RED deleguotojo reglamento 2022/30 standartizacijos prašymo. 2.TEISINIS PAGRINDAS, SUBSIDIARUMO IR PROPORCINGUMO PRINCIPAI •Teisinis pagrindas

Šio pasiūlymo teisinis pagrindas yra Sutarties dėl Europos Sąjungos veikimo (toliau – SESV) 114 straipsnis, kuriame numatyta galimybė priimti priemones, siekiant užtikrinti vidaus rinkos sukūrimą ir veikimą. Pasiūlymo tikslas – suderinti produktų su skaitmeniniais elementais kibernetinio saugumo reikalavimus visose valstybėse narėse ir pašalinti kliūtis laisvam prekių judėjimui. SESV 114 straipsnis gali būti naudojamas kaip teisinis pagrindas siekiant išvengti tokių kliūčių atsiradimo dėl skirtingų nacionalinių teisės aktų ir teisinio netikrumo bei spragų esamose teisinėse sistemose sprendimo metodų. Be to, Teisingumo Teismas pripažino, kad skirtingų techninių reikalavimų taikymas galėtų būti svarus pagrindas pradėti taikyti SESV 114 straipsnį. Dabartinė produktams su skaitmeniniais elementais taikoma ES teisės aktų sistema pagrįsta SESV 114 straipsniu ir ją sudaro keletas teisės aktų, įskaitant teisės aktus dėl konkrečių produktų ir su sauga susijusių aspektų arba bendruosius teisės aktus dėl atsakomybės už produktus. Tačiau ji apima tik tam tikrus aspektus, susijusius su materialių skaitmeninių produktų ir, jei taikytina, į šiuos produktus įtaisytos programinės įrangos kibernetiniu saugumu. Nacionaliniu lygmeniu valstybės narės pradeda imtis nacionalinių priemonių, kuriomis reikalaujama, kad skaitmeninių produktų pardavėjai padidintų kibernetinį saugumą. Be to, skaitmeninių produktų kibernetiniam saugumui būdingas itin stiprus tarpvalstybinis aspektas, nes vienoje šalyje pagamintus produktus dažnai naudoja organizacijos ir vartotojai visoje vidaus rinkoje. Incidentai, kurie iš pradžių apima vieną subjektą arba valstybę narę, dažnai per kelias minutes išplinta į kitas organizacijas, sektorius ir valstybes nares. Įvairiais aktais ir iniciatyvomis, kurių iki šiol imtasi ES ir nacionaliniu lygmenimis, tik iš dalies sprendžiamos nustatytos problemos, tačiau kyla pavojus, kad vidaus rinkoje atsiras padrikas teisės aktų darinys, dėl kurio padidės teisinis netikrumas tiek šių produktų tiekėjams, tiek jų vartotojams, o įmonėms bus užkrauta nereikalinga našta, nes jos turės laikytis skirtingų tos pačios rūšies produktams taikomų reikalavimų. Siūlomu reglamentu būtų suderinta ir supaprastinta ES reguliavimo aplinka įvedant produktų su skaitmeniniais elementais kibernetinio saugumo reikalavimus ir išvengiant iš skirtingų teisės aktų kylančių reikalavimų dubliavimosi. Tai užtikrintų didesnį teisinį tikrumą veiklos vykdytojams ir naudotojams visoje Sąjungoje, geriau suderintų Europos bendrąją rinką ir sudarytų palankesnes sąlygas veiklos vykdytojams, siekiantiems patekti į ES rinką. •Subsidiarumo principas (neišimtinės kompetencijos atveju) Dėl kibernetinio saugumo stipraus tarpvalstybinio pobūdžio bendrąja prasme bei augančio skaičiaus pavojų ir incidentų, persiduodančių tarp skirtingų valstybių narių, sektorių ir produktų, pavienės valstybės narės negali veiksmingai pasiekti šios intervencijos tikslų. Nacionaliniai problemų sprendimo metodai, visų pirma metodai, kuriais nustatomi privalomi reikalavimai, sukurs papildomą teisinį netikrumą ir teisines kliūtis. Tai galėtų neleisti įmonėms sklandžiai plėstis į kitas valstybes nares, o naudotojai negautų šių įmonių produktų naudos. Todėl reikia imtis bendrų veiksmų ES lygmeniu siekiant aukšto naudotojų pasitikėjimo ir didinant ES produktų su skaitmeniniais elementais patrauklumą. Tai taip pat būtų naudinga bendrai skaitmeninių produktų rinkai ir vidaus rinkai bendrąja prasme, nes suteiktų teisinio tikrumo ir sudarytų vienodas sąlygas produktų su skaitmeniniais elementais gamintojams. Galiausiai 2022 m. gegužės 23 d. Tarybos išvadose dėl Europos Sąjungos kibernetinės pozicijos kūrimo Komisija raginama iki 2022 m. pabaigos pasiūlyti bendrus kibernetinio saugumo reikalavimus prijungtiesiems įrenginiams. •Proporcingumo principas Siūlomo reglamento proporcingumo požiūriu, svarstomų politikos galimybių priemonės neviršytų to, kas būtina bendriems ir konkretiems tikslams pasiekti, ir nesukeltų neproporcingų sąnaudų. Kalbant konkrečiau, nagrinėjama intervencija užtikrintų, kad produktai su skaitmeniniais elementais būtų apsaugoti per visą jų gyvavimo ciklą, proporcingai rizikai, su kuria susiduriama taikant į objektyvumą orientuotus ir technologiškai neutralius reikalavimus, kurie išliktų pagrįsti ir apskritai atitiktų susijusių subjektų interesus. Esminiai pasiūlyme pateikti kibernetinio saugumo reikalavimai grindžiami plačiai taikomais standartais, o vėliau vyksiančiame standartizacijos procese būtų atsižvelgiama į techninius produktų ypatumus. Tai reiškia, kad prireikus saugumo kontrolės priemonės būtų pritaikomos konkrečiam rizikos lygiui. Be to, pagal numatytas horizontaliąsias taisykles trečiųjų šalių vertinimas numatomas tik ypatingos svarbos produktams. Tai apimtų tik nedidelę produktų su skaitmeniniais elementais rinkos dalį. Poveikis MVĮ priklausytų nuo jų dalyvavimo šių konkrečių kategorijų produktų rinkoje. Kalbant apie atitikties vertinimo sąnaudų proporcingumą, trečiųjų šalių vertinimus atliekančios notifikuotosios įstaigos, nustatydamos mokesčius, atsižvelgtų į įmonės dydį. Taip pat būtų numatytas pagrįstas pereinamasis 24 mėnesių laikotarpis įgyvendinimui parengti – tai suteiktų laiko atitinkamoms rinkoms pasiruošti ir kartu nustatytų aiškią kryptį MTTP investicijoms. Įmonėms tenkančias reikalavimų laikymosi išlaidas atsvertų nauda, kurią atneštų didesnis produktų su skaitmeniniais elementais saugumo lygis, o galiausiai ir didesnis naudotojų pasitikėjimas šiais produktais. •Priemonės pasirinkimas Reglamentavimo intervencija reikštų, kad reikia priimti reglamentą, o ne direktyvą. Taip yra todėl, kad šios rūšies produktų teisės akto atveju reglamentu būtų veiksmingiau sprendžiamos nustatytos problemos ir siekiama suformuluotų tikslų, nes tai yra intervencija, kuria nustatomos sąlygos labai plačios kategorijos produktų pateikimui vidaus rinkai. Direktyvos atveju tokios intervencijos perkėlimo į nacionalinę teisę procesas galėtų palikti pernelyg daug veiksmų laisvės nacionaliniu lygmeniu, o tai galėtų lemti tam tikrų esminių kibernetinio saugumo reikalavimų nevienodumą, teisinį netikrumą, dar didesnę fragmentaciją ar net diskriminacines situacijas tarp skirtingų valstybių, ypač atsižvelgiant į tai, kad apimami produktai galėtų turėti ne vieną funkciją ar paskirtį, o gamintojai gali gaminti įvairių kategorijų tokius produktus. 3.EX POST VERTINIMO, KONSULTACIJŲ SU SUINTERESUOTOSIOMIS ŠALIMIS IR POVEIKIO VERTINIMO REZULTATAI •Konsultacijos su suinteresuotosiomis šalimis Komisija konsultavosi su įvairiomis suinteresuotosiomis šalimis. Valstybės narės ir suinteresuotosios šalys buvo pakviestos dalyvauti atvirose viešose konsultacijose ir apklausose bei praktiniuose seminaruose, surengtuose atsižvelgiant į tyrimą, kurį atliko Komisijos parengiamąjį darbą atliekant poveikio vertinimą remiantis konsorciumas: „Wavestone“, Europos politikos studijų centras (CEPS) ir ICF. Suinteresuotieji subjektai, su kuriais konsultuotasi, buvo nacionalinės rinkos priežiūros institucijos, kibernetinio saugumo klausimus sprendžiančios Sąjungos įstaigos, aparatinės ir programinės įrangos gamintojai, aparatinės ir programinės įrangos importuotojai ir platintojai, prekybos asociacijos, vartotojų organizacijos, produktų su skaitmeniniais elementais naudotojai, piliečiai, tyrėjai ir akademinė bendruomenė, notifikuotosios įstaigos ir akreditacijos įstaigos bei kibernetinio saugumo sektoriaus specialistai. Konsultuojantis vykdyta ši veikla: ·Pirmasis tyrimas, kurį atliko konsorciumas, sudarytas iš ICF, „Wavestone“, „Carsa“ ir CEPS, paskelbtas 2021 m. gruodžio mėn. Tyrime nustatyti keli rinkos trūkumai ir įvertintos galimos reglamentavimo intervencijos.

·Atviros viešos konsultacijos, skirtos piliečiams, suinteresuotiesiems subjektams ir kibernetinio saugumo ekspertams. Buvo pateikti 176 atsakymai. Tai padėjo surinkti įvairias nuomones ir patirtį iš visų suinteresuotųjų subjektų grupių. ·Praktiniuose seminaruose, surengtuose atliekant tyrimą, kuriuo buvo pagrįstas Komisijos parengiamasis darbas rengiant Kibernetinio atsparumo aktą, dalyvavo apie 100 atstovų iš visų 27 valstybių narių, atstovaujančių įvairiems suinteresuotiesiems subjektams. ·Surengtos ekspertų apklausos siekiant geriau suprasti kibernetinio saugumo problemas, susijusias su produktais su skaitmeniniais elementais, ir aptarti galimos reglamentavimo intervencijos politikos galimybes. ·Vyko dvišalės diskusijos su nacionalinėmis kibernetinio saugumo institucijomis, privačiuoju sektoriumi ir vartotojų organizacijomis. ·Buvo tikslingai susisiekta su pagrindiniais MVĮ suinteresuotaisiais subjektais. •Tiriamųjų duomenų rinkimas ir naudojimas Konsultacijų metu buvo siekiama gauti informacijos pagal penkis pagrindinius vertinimo kriterijus, pagrįstus ES Geresnio reglamentavimo gairėmis (veiksmingumas, efektyvumas, aktualumas, darna, ES pridėtinė vertė), taip pat apie potencialų galimų galimybių poveikį ateityje. Rangovas ne tik susisiekė su suinteresuotaisiais subjektais, kuriems pasiūlytas reglamentas turėtų tiesioginį poveikį, bet ir konsultavosi su įvairiais kibernetinio saugumo srities ekspertais. •Poveikio vertinimas Komisija atliko šio pasiūlymo poveikio vertinimą, kurį išnagrinėjo Komisijos reglamentavimo patikros valdyba. 2022 m. liepos 6 d. įvyko susitikimas su reglamentavimo patikros valdyba, po jo buvo pateikta teigiama nuomonė. Poveikio vertinimas pakoreguotas atsižvelgiant į reglamentavimo patikros valdybos rekomendacijas ir pastabas. Komisija išnagrinėjo skirtingas politikos galimybes, kad būtų pasiektas bendras pasiūlymo tikslas: ·Neprivalomų teisės aktų metodas ir savanoriškos priemonės (1 galimybė). Pasirinkus šią galimybę, nebūtų jokios privalomos reglamentavimo intervencijos. Vietoje to Komisija skelbtų pranešimus, gaires, rekomendacijas ir galimai elgesio kodeksus, kuriais būtų skatinamos savanoriškos priemonės. Siekiant kompensuoti ES horizontaliųjų taisyklių trūkumą ir toliau būtų kuriamos savanoriškos arba privalomos nacionalinės schemos. ·Ad hoc reglamentavimo intervencija, skirta materialių produktų su skaitmeniniais elementais ir atitinkama įtaisytąja programine įranga kibernetiniam saugumui užtikrinti (2 galimybė). Pagal šią galimybę reikėtų ad hoc konkrečiam produktui skirtos reglamentavimo intervencijos, kuri apsiribotų kibernetinio saugumo reikalavimų pridėjimu ir (arba) pakeitimais jau galiojančiuose teisės aktuose arba naujų teisės aktų priėmimu atsiradus naujoms rizikoms, tai galimai apimtų ir neįtaisytąją programinę įrangą. Pagal 3 ir 4 galimybes reikėtų horizontaliojo reglamentavimo intervencijos, kuri skirtųsi savo taikymo sritimi ir daugiausia būtų pagrįsta naująja teisės aktų sistema (NTAS). Šia sistema būtų nustatomi esminiai reikalavimai kaip tam tikrų produktų pateikimo vidaus rinkai sąlyga. NTAS taip pat paprastai numatomas atitikties vertinimas, gamintojo atliekamas procesas, kuriuo siekiama įrodyti, kad įvykdyti konkretūs su produktu susiję reikalavimai. ·Mišrus metodas, apimantis horizontaliąsias privalomas materialių produktų su skaitmeniniais elementais ir atitinkama įtaisytąja programine įranga kibernetinio saugumo taisykles ir paskirstytąjį metodą neįtaisytajai programinei įrangai (3 galimybė). Pasirinkus šią galimybę reikėtų reglamento, kuriuo būtų priimti horizontalieji kibernetinio saugumo reikalavimai visiems materialiems produktams su skaitmeniniais elementais ir juose įtaisyta programine įranga kaip pateikimo rinkai sąlyga, ir ji apimtų dvi antrines galimybes su privalomu trečiųjų šalių vertinimu ir be jo (3i ir 3ii). Neįtaisytoji programinė įranga nebūtų reglamentuojama. ·Horizontalioji reguliavimo intervencija nustatant kibernetinio saugumo reikalavimus, taikomus įvairiems materialiems ir nematerialiesiems produktams su skaitmeniniais elementais, įskaitant neįtaisytąją programinę įrangą (4 galimybė). Ši galimybė panaši į 3 galimybę, išskyrus taikymo sritį. Galimo reglamento pagal 4 galimybę taikymo sritis apimtų neįtaisytąją programinę įrangą (su dviem antrinėmis galimybėmis, įskaitant tik ypatingos svarbos (4a) arba visą programinę įrangą (4b)). Kiekvienos antrinės galimybės atveju būtų svarstomos tos pačios antrinės galimybės, susijusios su atitikties vertinimu, kaip ir 3 galimybės atveju. Remiantis veiksmingumo vertinimu pagal konkrečius tikslus ir sąnaudų bei naudos efektyvumu, 4 galimybė (su antrinėmis galimybėmis, apimančiomis visą programinę įrangą ir privalomą trečiųjų šalių atliekamą ypatingos svarbos produktų vertinimą) pasirodė tinkamiausia. Pasirinkus šią galimybę būtų užtikrintas konkrečių horizontaliųjų kibernetinio saugumo reikalavimų taikymas visiems produktams su skaitmeniniais elementais, pateikiamiems vidaus rinkai ar joje tiekiamiems, ir tai būtų vienintelė galimybė, apimanti visą skaitmeninę tiekimo grandinę. Tokia reglamentavimo intervencija būtų taikoma ir neįtaisytajai programinei įrangai, dažnai turinčiai pažeidžiamumų, taip užtikrinant nuoseklų visų produktų su skaitmeniniais elementais traktavimą ir aiškią įvairių ekonominės veiklos vykdytojų atsakomybės dalį. Ši politikos galimybė kuria pridėtinę vertę ir dėl to, kad apima pareigą rūpintis ir viso gyvavimo ciklo aspektais po produktų su skaitmeniniais elementais pateikimo rinkai – be kita ko, tuo siekiama užtikrinti tinkamą informaciją apie saugumo palaikymą ir saugumo naujinių teikimą. Ši politikos galimybė taip pat veiksmingiausiai papildytų neseniai atliktą TIS sistemos peržiūrą užtikrindama sustiprinto tiekimo grandinės saugumo sąlygų įgyvendinimą. Tinkamiausia galimybė suteiktų daug naudos įvairiems suinteresuotiesiems subjektams. Įmonės išvengtų skirtingų produktams su skaitmeniniais elementais taikomų saugumo taisyklių ir tai sumažintų susijusių kibernetinio saugumo teisės aktų reikalavimų laikymosi išlaidas. Tai sumažintų kibernetinių incidentų skaičių, incidentų valdymo išlaidas ir žalą reputacijai. Apskaičiuota, kad visoje ES dėl šios iniciatyvos gali sumažėti įmonių išlaidos dėl patiriamų incidentų maždaug 180–290 mlrd. EUR per metus. Dėl išaugusios produktų su skaitmeniniais elementais paklausos padidėtų apyvarta. Tai gerintų įmonių reputaciją pasaulyje, dėl to išaugtų paklausa ir ES nepriklausančiose šalyse. Naudotojams tinkamiausia galimybė padidintų saugumo savybių skaidrumą ir palengvintų produktų su skaitmeniniais elementais naudojimą. Be to, vartotojams ir piliečiams būtų naudinga geresnė jų pagrindinių teisių apsauga, pavyzdžiui, teisės į privatumą ir duomenų apsaugą. Paprašyti įvertinti politinių intervencijų veiksmingumą, viešų konsultacijų respondentai sutiko, kad 4 galimybė būtų veiksmingiausia priemonė (4,08 balo skalėje nuo 1 iki 5). Tai apima vartotojų organizacijas (5,00), vartotojais prisistatančius respondentus (4,22), notifikuotąsias įstaigas (4,17), rinkos priežiūros institucijas (5,00) ir produktų su skaitmeniniais elementais gamintojams (3,85), įskaitant mažąsias ir vidutinio dydžio įmones (4,05). •Reglamentavimo tinkamumas ir supaprastinimas

Šiame pasiūlyme nustatyti reikalavimai, kurie bus taikomi programinės ir aparatinės įrangos gamintojams. Kyla poreikis užtikrinti teisinį tikrumą ir išvengti tolesnės su kibernetiniu saugumu susijusių produktų vidaus rinkos fragmentacijos – tą rodo plati įvairių suinteresuotųjų subjektų parama horizontaliajai intervencijai. Pasiūlymu bus sumažinta reglamentavimo našta, kurią gamintojams užkrauna keli produktų saugos aktai. Suderinimas su NTAS reiškia geresnį intervencijos veikimą ir jos vykdymo užtikrinimą. Pasiūlymu supaprastinamas apsaugos procedūrų procesas įtraukiant gamintojus ir valstybes nares prieš pranešant Komisijai. Didelė dalis gamintojų, kuriuos apima pasiūlymo taikymo sritis, jau yra susipažinę su NTAS veikla – tai prisidės prie jos supratimo ir įgyvendinimo. Pasiūlymu bus skatinamas vartotojų ir įmonių pasitikėjimas produktais su skaitmeniniais elementais. •Pagrindinės teisės Tikimasi, kad visos politikos galimybės tam tikru mastu geriau apsaugos pagrindines teises ir laisves, tokias kaip privatumas, asmens duomenų apsauga, laisvė užsiimti verslu, nuosavybės ar asmens orumo ir neliečiamumo apsauga. Tinkamiausia 4 politikos galimybė, kurią sudaro horizontaliosios reglamentavimo intervencijos ir plati politikos taikymo sritis, šiuo atžvilgiu būtų veiksmingiausia, nes tikėtina, kad ji labiau padės sumažinti incidentų, įskaitant asmens duomenų saugumo pažeidimus, skaičių ir rimtumą. Be to, ji padidintų teisinį tikrumą ir sudarytų vienodas sąlygas ekonominės veiklos vykdytojams, padidintų bendrą naudotojų pasitikėjimą ES produktais su skaitmeniniais elementais bei šių produktų patrauklumą – taip būtų saugoma nuosavybė ir pagerintos sąlygos ekonominės veiklos vykdytojams užsiimti verslu. Horizontalieji kibernetinio saugumo reikalavimai prisidėtų prie asmens duomenų saugumo, nes būtų apsaugotas produktuose su skaitmeniniais elementais esančios informacijos konfidencialumas, vientisumas ir prieinamumas. Šių reikalavimų laikymasis palengvins reikalavimo dėl asmens duomenų tvarkymo saugumo laikymąsi pagal Reglamentą (ES) 2016/679 dėl Bendrojo duomenų apsaugos reglamento (BDAR). Pasiūlymu būtų padidintas skaidrumas ir naudotojams teikiama informacija, įskaitant naudotojus, kurie neturi labai gerų kibernetinio saugumo įgūdžių. Naudotojai taip pat būtų geriau informuoti apie produktų su skaitmeniniais elementais riziką, galimybes ir apribojimus, todėl galėtų tinkamiau imtis būtinų prevencinių ir švelninančių priemonių likutinei rizikai sumažinti. 4.POVEIKIS BIUDŽETUI Siekdama įvykdyti pagal šį reglamentą Europos Sąjungos kibernetinio saugumo agentūrai (ENISA) skirtas užduotis, ENISA turės perskirstyti maždaug 4,5 etato ekvivalento išteklius. Komisija turėtų skirti 7 etato ekvivalentus, kad įvykdytų savo įsipareigojimus, susijusius su vykdymo užtikrinimu pagal šį reglamentą. Išsami susijusių išlaidų apžvalga pateikta su šiuo pasiūlymu susijusioje finansinėje pažymoje. 5.KITI ELEMENTAI •Įgyvendinimo planai ir stebėsena, vertinimas ir ataskaitų teikimo tvarka Komisija stebės naujų nuostatų įgyvendinimą, taikymą ir atitiktį joms, kad galėtų įvertinti jų efektyvumą. Pagal reglamentą Komisijos bus prašoma atlikti vertinimą ir peržiūrą, taip pat Europos Parlamentui ir Tarybai šiuo klausimu pateikti viešą ataskaitą per 36 mėnesius nuo taikymo pradžios dienos, o po to – kas ketverius metus. •Išsamus konkrečių pasiūlymo nuostatų paaiškinimas Bendrosios nuostatos (I skyrius) Šiame siūlomame reglamente a) nustatytos produktų su skaitmeniniais elementais pateikimo rinkai taisyklės siekiant užtikrinti tokių produktų kibernetinį saugumą; b) nustatyti esminiai produktų su skaitmeniniais elementais projektavimo, kūrimo ir gamybos reikalavimai ir ekonominės veiklos vykdytojų pareigos, susijusios su šių produktų kibernetiniu saugumu; c) nustatyti esminiai pažeidžiamumų valdymo procesų, kuriuos turi taikyti gamintojai, kad užtikrintų produktų su skaitmeniniais elementais kibernetinį saugumą per visą gyvavimo ciklą, reikalavimai ir ekonominės veiklos vykdytojų pareigos, susijusios su šiais procesais; d) nustatytos taisyklės dėl rinkos priežiūros ir minėtų taisyklių bei reikalavimų vykdymo užtikrinimo. Siūlomas reglamentas bus taikomas visiems produktams su skaitmeniniais elementais, kurių paskirtis ir pagrįstai numatomas naudojimas apima tiesioginę arba netiesioginę loginę arba fizinę duomenų jungtį su įrenginiu arba tinklu. Siūlomas reglamentas nebus taikomas produktams su skaitmeniniais elementais, kuriems taikomas Reglamentas (ES) 2017/745 [žmonėms skirtos medicinos priemonės ir tokių priemonių priedai] ir Reglamentas (ES) 2017/746 [žmonėms skirtos in vitro diagnostikos medicinos priemonės ir tokių priemonių priedai], nes abiejuose reglamentuose priemonėms nustatyti reikalavimai, įskaitant programinę įrangą ir bendrąsias gamintojų pareigas, apimantys visą produktų gyvavimo ciklą bei atitikties vertinimo procedūras. Šis reglamentas netaikomas produktams su skaitmeniniais elementais, kurie buvo sertifikuoti pagal Reglamentą 2018/1139 [vienodas aukštas civilinės aviacijos saugos lygis], ir produktams, kuriems taikomas Reglamentas (ES) 2019/2144 [dėl variklinių transporto priemonių, jų priekabų ir joms skirtų sistemų, sudėtinių dalių bei atskirų techninių mazgų tipo patvirtinimo reikalavimų]. Ypatingos svarbos produktams su skaitmeniniais elementais taikomos specialios atitikties vertinimo procedūros ir jie skirstomi į III priede nustatytas I ir II klases, atspindinčias jų kibernetinio saugumo rizikos lygį (II klasė reiškia didesnę riziką). Produktas su skaitmeniniais elementais laikomas ypatingos svarbos, todėl įtraukiamas į III priedą, atsižvelgiant į galimų produkto su skaitmeniniais elementais kibernetinio saugumo pažeidžiamumų poveikį. Nustatant kibernetinio saugumo riziką atsižvelgiama į produkto su skaitmeniniais elementais funkcijas ir numatomą paskirtį jautrioje aplinkoje, pvz., pramoninėje aplinkoje. Komisija taip pat įgaliojama priimti deleguotuosius aktus, papildančius šį reglamentą nurodant didžiausios svarbos produktų su skaitmeniniais elementais kategorijas, kurioms gamintojai privalo gauti Europos kibernetinio saugumo sertifikatą pagal Europos kibernetinio saugumo sertifikavimo schemą, kad įrodytų atitiktį I priede ar jo dalyse nurodytiems esminiams reikalavimams. Nustatydama tokias didžiausios svarbos produktų su skaitmeniniais elementais kategorijas Komisija atsižvelgia į su produktų su skaitmeniniais elementais kategorija susijusios kibernetinio saugumo rizikos lygį pagal vieną ar kelis kriterijus, į kuriuos atsižvelgiama įtraukiant ypatingos svarbos produktus su skaitmeniniais elementais į III priedą, taip pat įvertindama, ar tos kategorijos produktus naudoja arba jais remiasi Direktyvos [Direktyva XXX/XXXX (TIS2) [I] priede nurodytos rūšies pagrindiniai subjektai; ar šie produktai gali būti reikšmingi šių subjektų veiklai ateityje; ir ar šie produktai aktualūs visos produktų su skaitmeniniais elementais tiekimo grandinės atsparumui destruktyviems įvykiams. Ekonominės veiklos vykdytojų pareigos (II skyrius) Į pasiūlymą įtrauktos gamintojų, importuotojų ir platintojų pareigos pagal Sprendime 768/2008/EB numatytas pamatines nuostatas. Pagal esminius kibernetinio saugumo reikalavimus ir pareigas numatoma, kad visi produktai su skaitmeniniais elementais pateikiami rinkai tik jei jie tinkamai tiekiami, tinkamai įrengiami, prižiūrimi ir naudojami pagal numatytąją paskirtį arba tokiomis sąlygomis, kurias galima pagrįstai numatyti, ir atitinka šiame reglamente nustatytus esminius kibernetinio saugumo reikalavimus.

Esminiai reikalavimai ir pareigos įpareigotų gamintojus atsižvelgti į kibernetinio saugumo aspektą projektuojant, kuriant ir gaminant produktus su skaitmeniniais elementais, vykdyti deramą saugumo aspektų patikrinimą projektuojant ir kuriant produktus, skaidriai nurodyti kibernetinio saugumo aspektus, apie kuriuos turi būti pranešta klientams, proporcingai užtikrinti saugumo palaikymą (naujinius) ir laikytis pažeidžiamumų valdymo reikalavimų. Ekonominės veiklos vykdytojams, pradedant gamintojais, baigiant platintojais ir importuotojais, pagal jų vaidmenį ir atsakomybę tiekimo grandinėje būtų nustatytos pareigos, susijusios su produktų su skaitmeniniais elementais pateikimu rinkai. Produktų su skaitmeniniais elementais atitiktis (III skyrius) Jeigu produktas su skaitmeniniais elementais atitinka darniuosius standartus arba tam tikras jų dalis, kurių nuorodos buvo paskelbtos Europos Sąjungos oficialiajame leidinyje, laikoma, kad jis atitinka šio siūlomo reglamento esminius reikalavimus. Tais atvejais, kai darniųjų standartų nėra arba jų nepakanka, arba kai standartizacijos procedūra pernelyg vėluoja, arba kai Europos standartizacijos organizacijos nepriima Komisijos prašymo, Komisija gali įgyvendinimo aktais priimti bendrąsias specifikacijas. Be to, jeigu produktai su skaitmeniniais elementais yra sertifikuoti arba yra išduotas jų ES atitikties pareiškimas arba sertifikatas pagal Europos kibernetinio saugumo sertifikavimo schemą, kaip numatyta Reglamente (ES) 2019/881, ir Komisija įgyvendinimo aktu nurodė, kad šiems produktams gali suteikti šio reglamento atitikties prielaidą, daroma prielaida, kad šie produktai atitinka esminius šio reglamento ar jo dalių reikalavimus tiek, kiek tuos reikalavimus apima ES atitikties pareiškimas arba kibernetinio saugumo sertifikatas, arba jų dalys. Be to, siekdama išvengti pernelyg didelės administracinės naštos gamintojams, jei taikytina, Komisija turėtų nurodyti, ar pagal tokią Europos kibernetinio saugumo sertifikavimo schemą išduotas kibernetinio saugumo sertifikatas panaikina gamintojų pareigą atlikti trečiųjų šalių atitikties atitinkamiems reikalavimams vertinimą, kaip numatyta šiame reglamente. Gamintojas atlieka produkto su skaitmeniniais elementais ir jo įdiegtų pažeidžiamumų valdymo procesų atitikties vertinimą, kad įrodytų atitiktį I priede nurodytiems esminiams reikalavimams, vadovaudamasis viena iš VI priede nurodytų procedūrų. I ir II klasių ypatingos svarbos produktų gamintojai naudoja atitinkamus modulius, būtinus reikalavimų laikymuisi užtikrinti. II klasės ypatingos svarbos produkto gamintojai į atitikties vertinimą turi įtraukti trečiąją šalį. Atitikties vertinimo įstaigų notifikavimas (IV skyrius) Tinkamas notifikuotųjų įstaigų veikimas yra labai svarbus siekiant užtikrinti aukštą kibernetinio saugumo lygį bei visų suinteresuotųjų subjektų pasitikėjimą naujojo metodo sistema. Todėl, vadovaujantis Sprendimu Nr. 768/2008/EB, pasiūlyme nustatyti reikalavimai, taikomi už atitikties vertinimo įstaigas (notifikuotąsias įstaigas) atsakingoms nacionalinėms institucijoms. Galutinė atsakomybė už notifikuotųjų įstaigų skyrimą ir priežiūrą paliekama valstybėms narėms. Valstybės narės paskiria notifikuojančiąją instituciją, atsakingą už procedūrų, reikalingų atitikties vertinimo įstaigoms įvertinti ir notifikuoti bei notifikuotųjų įstaigų stebėsenai atlikti, nustatymą ir taikymą. Rinkos priežiūra ir vykdymo užtikrinimas (V skyrius) Pagal Reglamentą (ES) 2019/1020 nacionalinės rinkos priežiūros institucijos vykdo rinkos priežiūrą tos valstybės narės teritorijoje. Valstybės narės gali nuspręsti paskirti bet kurią esamą arba naują instituciją, kuri veiktų kaip rinkos priežiūros institucija, įskaitant nacionalines kompetentingas institucijas, nustatytas Direktyvos [Direktyva XXX/XXXX (TIS2)] [X] straipsnyje, arba paskirtas nacionalines kibernetinio saugumo sertifikavimo institucijas, nurodytas Reglamento (ES) 2019/881 58 straipsnyje. Ekonominės veiklos vykdytojų prašoma visapusiškai bendradarbiauti su rinkos priežiūros institucijomis ir kitomis kompetentingomis institucijomis. Deleguotieji įgaliojimai ir komiteto procedūra (VI skyrius) Siekiant užtikrinti, kad prireikus būtų galima pritaikyti reglamentavimo sistemą, Komisijai deleguojama teisė pagal SESV 290 straipsnį priimti aktus, kuriais būtų galima atnaujinti I ir II klasių ypatingos svarbos produktų sąrašą ir nurodyti šių produktų apibrėžtis; nurodyti, ar produktams su skaitmeniniais elementais, kuriems taikomos kitos Sąjungos taisyklės, nustatančios reikalavimus, kuriais užtikrinamas toks pat apsaugos lygis kaip ir šiuo reglamentu, reikalingas apribojimas arba išimtis; įpareigoti sertifikuoti tam tikrus didžiausios svarbos produktus su skaitmeniniais elementais remiantis šiame reglamente nustatytais kriterijais; nurodyti minimalų ES atitikties deklaracijos turinį ir papildyti elementus, kurie turi būti įtraukti į techninius dokumentus. Komisija taip pat įgaliojama priimti įgyvendinimo aktus, kuriais būtų galima: nurodyti pareigos pranešti ir programinės įrangos medžiagų žiniaraščio formatą arba elementus; nurodyti Europos kibernetinio saugumo sertifikavimo schemas, kurios gali būti naudojamos siekiant įrodyti atitiktį šiame reglamente nurodytiems esminiams reikalavimams ar jų dalims; priimti bendrąsias specifikacijas; nustatyti technines ženklinimo CE ženklu specifikacijas; Sąjungos lygmeniu priimti taisomąsias arba ribojamąsias priemones išskirtinėmis aplinkybėmis, dėl kurių būtų pagrįsta nedelsiant atlikti intervenciją, kad būtų išsaugotas tinkamas vidaus rinkos veikimas. Konfidencialumas ir sankcijos (VII skyrius) Visos šį reglamentą taikančios šalys laikosi informacijos ir duomenų, gautų vykdant jų užduotis ir veiklą, konfidencialumo. Siekiant užtikrinti veiksmingą šiame reglamente nustatytų pareigų vykdymą, kiekvienai rinkos priežiūros institucijai turėtų būti suteikti įgaliojimai skirti administracines baudas arba prašyti jas skirti. Be to, šiuo reglamentu nustatomi didžiausi administracinių baudų dydžiai, kurie turėtų būti numatyti nacionalinės teisės aktuose už šiame reglamente nustatytų pareigų nevykdymą. Pereinamojo laikotarpio ir baigiamosios nuostatos (VIII skyrius) Siekiant gamintojams, notifikuotosioms įstaigoms ir valstybėms narėms skirti laiko prisitaikyti prie naujų reikalavimų, siūlomas reglamentas įsigalios praėjus [24 mėnesiams] nuo jo įsigaliojimo dienos, išskyrus gamintojams taikomą pareigą pranešti, kuri bus taikoma praėjus [12 mėnesių] nuo įsigaliojimo dienos.





2022/0272 (COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl horizontaliųjų kibernetinio saugumo reikalavimų, keliamų skaitmeninių elementų turintiems produktams, kuriuo iš dalies keičiamas Reglamentas (ES) 2019/1020 (Tekstas svarbus EEE) EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA, atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 114 straipsnį, atsižvelgdami į Europos Komisijos pasiūlymą, perdavus įstatymo galią turinčio teisės akto projektą nacionaliniams parlamentams, atsižvelgdami į Europos ekonomikos ir socialinių reikalų komiteto nuomonę, atsižvelgdami į Regionų komiteto nuomonę, laikydamiesi įprastos teisėkūros procedūros, kadangi: (1)būtina gerinti vidaus rinkos veikimą nustatant vienodą teisinę esminių kibernetinio saugumo reikalavimų, susijusių su produktų su skaitmeniniais elementais pateikimu Sąjungos rinkai, sistemą. Reikėtų spręsti dvi pagrindines problemas, dėl kurių naudotojai ir visuomenė patiria papildomų sąnaudų: mažas kibernetinio produktų su skaitmeniniais elementais saugumo lygis, kurį atspindi plačiai paplitę pažeidžiamumai ir nepakankamas bei nenuoseklus saugumo naujinių teikimas jiems spręsti, ir nepakankamas naudotojų supratimas ir prieiga prie informacijos – todėl jie negali pasirinkti tinkamomis kibernetinio saugumo savybėmis pasižyminčių produktų ar saugiai juos naudoti; (2)šiuo reglamentu siekiama nustatyti ribines sąlygas kurti saugius produktus su skaitmeniniais elementais užtikrinant, kad aparatinės ir programinės įrangos produktai būtų pateikiami rinkai su mažiau pažeidžiamumų ir kad gamintojai rimtai atsižvelgtų į saugumą per visą produkto gyvavimo ciklą. Juo taip pat siekiama sudaryti tokias sąlygas, kad rinkdamiesi ir naudodami produktus su skaitmeniniais elementais naudotojai galėtų atsižvelgti į kibernetinį saugumą; (3)šiuo metu galiojančius aktualius Sąjungos teisės aktus sudaro keli horizontaliųjų taisyklių rinkiniai, kuriais įvairiai sprendžiami tam tikri su kibernetiniu saugumu susiję aspektai, įskaitant priemones, skirtas skaitmeninės tiekimo grandinės saugumui gerinti. Tačiau galiojantys su kibernetiniu saugumu susiję Sąjungos teisės aktai, įskaitant Europos Parlamento ir Tarybos [Direktyvą XXX/XXXX (TIS2)] ir Reglamentą (ES) 2019/881, tiesiogiai neapima privalomų reikalavimų dėl produktų su skaitmeniniais elementais saugumo; (4)nors galiojantys Sąjungos teisės aktai taikomi tam tikriems produktams su skaitmeniniais elementais, nėra horizontaliojo Sąjungos reglamentavimo sistemos, kuria būtų nustatyti išsamūs kibernetinio saugumo reikalavimai visiems produktams su skaitmeniniais elementais. Įvairiais aktais ir iniciatyvomis, kurių iki šiol imtasi Sąjungos ir nacionaliniu lygmenimis, tik iš dalies sprendžiamos nustatytos su kibernetiniu saugumu susijusios problemos ir rizikos, todėl vidaus rinkoje kuriama nevientisa teisės aktų sistema, didėja teisinis netikrumas tiek šių produktų gamintojams, tiek jų naudotojams, o įmonėms užkraunama nereikalinga našta, nes jos turi laikytis skirtingų tos pačios rūšies produktams taikomų reikalavimų. Šių produktų kibernetiniam saugumui būdingas itin stiprus tarpvalstybinis aspektas, nes vienoje šalyje pagamintus produktus dažnai naudoja organizacijos ir vartotojai visoje vidaus rinkoje. Todėl šią sritį būtina reglamentuoti Sąjungos lygmeniu. Sąjungos reglamentavimo aplinka turėtų būti suderinta nustatant produktų su skaitmeniniais elementais kibernetinio saugumo reikalavimus. Be to, turėtų būti užtikrintas teisinis tikrumas veiklos vykdytojams ir naudotojams visoje Sąjungoje, geriau suderinta bendroji rinka ir sudarytos palankesnės sąlygos veiklos vykdytojams, siekiantiems patekti į Sąjungos rinką; (5)Sąjungos lygmeniu įvairiuose programiniuose ir politiniuose dokumentuose, pavyzdžiui, ES skaitmeninio dešimtmečio kibernetinio saugumo strategijoje, 2020 m. gruodžio 2 d. ir 2022 m. gegužės 23 d. Tarybos išvadose arba 2021 m. birželio 10 d. Europos Parlamento rezoliucijoje, raginama nustatyti konkrečius Sąjungos kibernetinio saugumo reikalavimus skaitmeniniams arba prijungtiesiems produktams, o kelios pasaulio šalys ėmėsi priemonių šiam klausimui spręsti savo iniciatyva. Galutinėje Konferencijos dėl Europos ateities ataskaitoje piliečiai ragino „stiprinti ES vaidmenį kovoje su kibernetinėmis grėsmėmis“; (6)siekiant padidinti bendrą visų produktų su skaitmeniniais elementais, pateikiamų vidaus rinkai, kibernetinio saugumo lygį, būtina nustatyti objektyvius ir technologiškai neutralius esminius šių produktų kibernetinio saugumo reikalavimus, kurie būtų taikomi horizontaliai; (7)tam tikromis sąlygomis visus produktus su skaitmeniniais elementais, integruotus į didesnę elektroninę informacinę sistemą arba prie jos prijungtus, piktavaliai subjektai gali panaudoti atakai. Todėl net aparatinė ir programinė įranga, kuri laikoma mažiau svarbia, gali palengvinti pradinį įrenginio ar tinklo pažeidimą ir sudaryti sąlygas piktavaliams subjektams įgyti privilegijuotąją prieigą prie sistemos arba pereiti nuo vienos sistemos prie kitos. Todėl gamintojai turėtų užtikrinti, kad visi prijungiamieji produktai su skaitmeniniais elementais būtų suprojektuoti ir sukurti laikantis šiame reglamente nustatytų esminių reikalavimų. Tai apima ir produktus, kuriuos galima prijungti fiziškai per aparatinės įrangos sąsajas, ir produktus, kurie prijungiami loginiu būdu, pvz., per tinklo lizdus, kanalus, failus, programų sąsajas arba bet kokio kito tipo programinės įrangos sąsają. Kadangi kibernetinio saugumo grėsmės gali plisti per įvairius produktus su skaitmeniniais elementais prieš pasiekdamos tam tikrą tikslą, pavyzdžiui, pasinaudodamos kelių pažeidžiamumų grandine, gamintojai turėtų užtikrinti ir tų produktų, kurie su kitais įrenginiais ar tinklais yra sujungti tik netiesiogiai, kibernetinį saugumą;

(8)nustačius kibernetinio saugumo reikalavimus dėl produktų su skaitmeniniais elementais pateikimo rinkai, padidės šių produktų kibernetinis saugumas tiek vartotojams, tiek įmonėms. Tai taip pat apima reikalavimus dėl produktų su skaitmeniniais elementais, skirtų pažeidžiamiems vartotojams, pvz., žaislų ir kūdikio monitorių, pateikimo rinkai; (9)šiuo reglamentu užtikrinamas aukštas produktų su skaitmeniniais elementais kibernetinis saugumas. Juo nereglamentuojamos paslaugos, tokios kaip paslauginė programinė įranga (SaaS), išskyrus nuotolinius su produktu su skaitmeniniais elementais susijusius duomenų tvarkymo sprendimus, kurie suprantami kaip bet koks duomenų tvarkymas per atstumą ir kuriems programinę įrangą projektuoja ir kuria atitinkamo produkto gamintojas arba tas gamintojas yra už tai atsakingas, ir be kurių toks produktas su skaitmeniniais elementais negalėtų atlikti vienos iš savo funkcijų. [Direktyva XXX/XXXX (TIS2)] nustatomi kibernetinio saugumo ir ataskaitų apie incidentus teikimo reikalavimai pagrindiniams ir svarbiems subjektams, pvz., ypatingos svarbos infrastruktūrai, siekiant padidinti jų teikiamų paslaugų atsparumą. [Direktyva XXX/XXXX (TIS2)] taikoma debesijos kompiuterijos paslaugoms ir debesijos paslaugų modeliams, pvz., SaaS. Ši direktyva taikoma visiems Sąjungoje debesijos kompiuterijos paslaugas teikiantiems subjektams, kurie atitinka arba viršija nustatytą vidutinio dydžio įmonės ribą; (10)siekiant netrukdyti inovacijoms ar moksliniams tyrimams, šis reglamentas neturėtų apimti nemokamos ir atvirojo kodo programinės įrangos, kuriamos ar tiekiamos nekomerciniais sumetimais. Tai visų pirma taikytina programinei įrangai, įskaitant jos šaltinio kodą ir modifikuotas versijas, kuri yra atvirai bendrinama ir laisvai prieinama, naudojama, modifikuojama ir perskirstoma. Kalbant apie programinę įrangą, komercinė veikla gali būti apibūdinama ne tik kaip užmokesčio už produktą taikymas, bet ir kaip užmokesčio už techninės pagalbos paslaugas taikymas, programinės įrangos platformos, per kurią gamintojas gauna pajamų iš kitų paslaugų, teikimas arba asmens duomenų naudojimas kitais nei vien programinės įrangos saugumo, suderinamumo ar sąveikos gerinimo tikslais; (11)saugus internetas yra būtinas ypatingos svarbos infrastruktūros objektų veikimui ir visai visuomenei. [Direktyva XXX/XXXX (TIS2)] siekiama užtikrinti aukštą paslaugų, kurias teikia pagrindiniai ir svarbūs subjektai, įskaitant skaitmeninės infrastruktūros teikėjus, kurie palaiko pagrindines atvirojo interneto funkcijas, užtikrina interneto prieigą ir interneto paslaugas, kibernetinio saugumo lygį. Todėl svarbu, kad produktai su skaitmeniniais elementais, būtini skaitmeninės infrastruktūros teikėjams, kad užtikrintų interneto veikimą, būtų kuriami saugiai ir atitiktų nusistovėjusius interneto saugumo standartus. Šiuo reglamentu, taikomu visiems prijungiamiesiems aparatinės ir programinės įrangos produktams, taip pat siekiama palengvinti skaitmeninės infrastruktūros teikėjų atitiktį tiekimo grandinės reikalavimams pagal [Direktyvą XXX/XXXX (TIS2)] užtikrinant, kad produktai su skaitmeniniais elementais, kuriuos jie naudoja savo paslaugoms teikti, būtų kuriami saugiai ir kad jie turėtų prieigą prie savalaikių tokių produktų saugumo naujinių; (12)Europos Parlamento ir Tarybos reglamente (ES) 2017/745 nustatomos medicinos priemonių taisyklės, o Europos Parlamento ir Tarybos reglamente (ES) 2017/746 nustatomos in vitro diagnostikos medicinos priemonių taisyklės. Abiem reglamentais sprendžiama kibernetinio saugumo rizika ir laikomasi tam tikrų metodų, kurie taip pat aptariami šiame reglamente. Konkrečiau, reglamentuose (ES) 2017/745 ir (ES) 2017/746 nustatyti esminiai reikalavimai medicinos priemonėms, kurios veikia per elektroninę sistemą arba pačios yra programinė įranga. Šie reglamentai taip pat apima tam tikrą neįtaisytąją programinę įrangą ir viso gyvavimo ciklo metodą. Šie reikalavimai įpareigoja gamintojus kurti ir gaminti savo produktus taikant rizikos valdymo principus ir nustatant reikalavimus, susijusius su IT saugumo priemonėmis, taip pat atitinkamas atitikties vertinimo procedūras. Be to, nuo 2019 m. gruodžio mėn. medicinos priemonėms taikomos specialios kibernetinio saugumo gairės, kuriose medicinos priemonių, įskaitant in vitro diagnostikos priemones, gamintojams patariama, kaip įvykdyti visus esminius tų reglamentų I priedo reikalavimus, susijusius su kibernetiniu saugumu. Todėl produktams su skaitmeniniais elementais, kuriems taikomas vienas iš tų reglamentų, šis reglamentas neturėtų būti taikomas; (13)Europos Parlamento ir Tarybos Reglamentu (ES) 2019/2144 nustatomi transporto priemonių, jų sistemų ir komponentų tipo patvirtinimo reikalavimai, pradedami taikyti tam tikri kibernetinio saugumo reikalavimai, įskaitant reikalavimus dėl sertifikuotos kibernetinio saugumo valdymo sistemos veikimo, programinės įrangos naujinių, jis apima organizacijų politiką ir kibernetinės rizikos procesus, susijusius su visu transporto priemonių, įrangos ir paslaugų gyvavimo ciklu, laikantis galiojančių Jungtinių Tautų techninių specifikacijų ir kibernetinio saugumo taisyklių, ir jame nustatomos konkrečios atitikties vertinimo procedūros. Aviacijos srityje pagrindinis Europos Parlamento ir Tarybos Reglamento (ES) 2018/1139 tikslas – nustatyti ir palaikyti aukštą vienodą civilinės aviacijos saugos lygį Sąjungoje. Juo sukuriama esminių tinkamumo skraidyti reikalavimų, taikomų aeronautikos produktams, dalims ir įrangai, įskaitant programinę įrangą, sistema, kurioje atsižvelgiama į pareigą apsisaugoti nuo informacijos saugumo grėsmių. Todėl produktams su skaitmeniniais elementais, kuriems taikomas Reglamentas (ES) 2019/2144, ir produktams, sertifikuotiems pagal Reglamentą (ES) 2018/1139, šiame reglamente nustatyti esminiai reikalavimai ir atitikties vertinimo procedūros netaikomi. Sertifikavimo procesas pagal Reglamentą (ES) 2018/1139 užtikrina šiuo reglamentu siekiamą užtikrinimo lygį; (14)šiuo reglamentu nustatomos horizontaliosios kibernetinio saugumo taisyklės, kurios nėra skirtos konkretiems sektoriams ar tam tikriems produktams su skaitmeniniais elementais. Nepaisant to, galėtų būti priimtos sektorinės arba konkretiems produktams skirtos Sąjungos taisyklės, kuriose būtų nustatyti reikalavimai visai arba daliai rizikos, kuriai taikomi šiame reglamente nustatyti esminiai reikalavimai. Tokiais atvejais šio reglamento taikymas produktams su skaitmeniniais elementais, kuriems taikomos kitos Sąjungos taisyklės, kuriose nustatomi reikalavimai visai arba daliai rizikos, kuriai taikomi šio reglamento I priede nustatyti esminiai reikalavimai, gali būti apribotas arba daroma taikymo išimtis, jei toks apribojimas arba išimtis atitinka bendrą šiems produktams taikomą reguliavimo sistemą ir kai sektorių taisyklėmis užtikrinamas toks pat apsaugos lygis kaip ir šiuo reglamentu. Komisija įgaliojama priimti deleguotuosius aktus, kad galėtų iš dalies keisti šį reglamentą nustatydama tokius produktus ir taisykles. Šiame reglamente yra konkrečių nuostatų dėl galiojančių Sąjungos teisės aktų, kada turėtų būti taikomi tokie apribojimai arba išimtys, ir paaiškinamas jo ryšys su tais Sąjungos teisės aktais; (15)Deleguotajame reglamente (ES) 2022/30 nurodyta, kad Direktyvos 2014/53/ES 3 straipsnio 3 dalies d punkte (žala tinklui ir netinkamas tinklo išteklių naudojimas), e punkte (asmens duomenys ir privatumas) ir f punkte (sukčiavimas) nustatyti esminiai reikalavimai taikomi tam tikriems radijo įrenginiams. [Komisijos įgyvendinimo sprendime XXX/2022 dėl standartizacijos prašymo Europos standartizacijos organizacijoms] nustatyti reikalavimai konkretiems standartams parengti ir papildomai nurodoma, kaip šie trys esminiai reikalavimai turėtų būti sprendžiami. Šiuo reglamentu nustatyti esminiai reikalavimai apima visus Direktyvos 2014/53/ES 3 straipsnio 3 dalies d, e ir f punktuose nurodytus esminius reikalavimus. Be to, šiame reglamente nustatyti esminiai reikalavimai yra suderinti su konkretiems standartams, įtrauktiems į tą standartizacijos prašymą, skirtų reikalavimų tikslais. Todėl, Komisijai atmetus ar iš dalies pakeitus Deleguotąjį reglamentą (ES) 2022/30 taip, kad jis nebebūtų taikomas tam tikriems produktams, kuriems taikomas šis reglamentas, rengdamos ir plėtodamos darniuosius standartus, padėsiančius įgyvendinti šį reglamentą, Komisija ir Europos standartizacijos organizacijos atsižvelgs į standartizavimo darbą, atliekamą pagal Komisijos įgyvendinimo sprendimą C(2022)5637 dėl RED deleguotojo reglamento 2022/30 standartizacijos prašymo; (16)Direktyva 85/374/EEB papildo šį reglamentą. Toje direktyvoje nustatytos taisyklės dėl atsakomybės už produktus su trūkumais, kad nukentėję asmenys galėtų reikalauti kompensacijos, kai žala padaryta dėl produktų su trūkumais. Joje nustatytas principas, pagal kurį produkto gamintojas atsako už žalą, padarytą dėl saugumo stokos jo produkte, nepriklausomai nuo kaltės („griežta atsakomybė“). Jei toks saugumo trūkumas kyla dėl saugumo naujinių neteikimo po produkto pateikimo rinkai ir dėl to padaroma žala, gamintojas gali būti priverstas prisiimti atsakomybę. Šiame reglamente turėtų būti nustatytos gamintojų pareigos, susijusios su tokių saugumo naujinių teikimu; (17)šis reglamentas neturėtų pažeisti Europos Parlamento ir Tarybos reglamento (ES) 2016/679, įskaitant nuostatas dėl duomenų apsaugos sertifikavimo mechanizmų ir duomenų apsaugos ženklų bei žymenų sukūrimo, kad būtų galima įrodyti, jog duomenų valdytojų ir tvarkytojų atliekamos tvarkymo operacijos atitinka šio reglamento reikalavimus. Tokios operacijos galėtų būti integruotos į produktą su skaitmeniniais elementais. Pagrindiniai Reglamento (ES) 2016/679 elementai yra integruotoji ir standartizuotoji duomenų apsauga bei bendras kibernetinis saugumas. Apsaugant vartotojus ir organizacijas nuo kibernetinio saugumo rizikos, esminiai šiame reglamente nustatyti kibernetinio saugumo reikalavimai taip pat yra padėti stiprinti asmens duomenų apsaugą ir asmenų privatumą. Kibernetinio saugumo aspektų standartizavimo ir sertifikavimo sinergija turėtų būti vertinama bendradarbiaujant Komisijai, Europos standartizacijos organizacijoms, Europos Sąjungos kibernetinio saugumo agentūrai (ENISA), Reglamentu (ES) 2016/679 įsteigtai Europos duomenų apsaugos valdybai ir nacionalinėms duomenų apsaugos priežiūros institucijoms. Sinergija tarp šio reglamento ir Sąjungos duomenų apsaugos teisės turėtų būti sukurta ir rinkos priežiūros bei vykdymo užtikrinimo srityje. Šiuo tikslu pagal šį reglamentą paskirtos nacionalinės rinkos priežiūros institucijos turėtų bendradarbiauti su institucijomis, prižiūrinčiomis Sąjungos duomenų apsaugos teisę. Pastarosios taip pat turėtų turėti prieigą prie informacijos, susijusios su jų užduočių vykdymu; (18)tiek, kiek jų produktams taikomas šis reglamentas, [Reglamento (ES) Nr. 910/2014 6a straipsnio 2 dalis, iš dalies pakeista pasiūlymu dėl reglamento, kuriuo iš dalies keičiamas Reglamentas (ES) Nr. 910/2014 dėl Europos skaitmeninės tapatybės sistemos nustatymo] straipsnyje nurodytos Europos skaitmeninės tapatybės piniginės leidėjai turėtų laikytis ir šiame reglamente nustatytų horizontaliųjų esminių reikalavimų, ir konkrečių saugumo reikalavimų, nustatytų [Reglamento (ES) Nr. 910/2014 6a straipsnis, iš dalies pakeistas pasiūlymu dėl reglamento, kuriuo iš dalies keičiamas Reglamentas (ES) Nr. 910/2014 dėl Europos skaitmeninės tapatybės sistemos nustatymo] straipsnyje. Kad būtų lengviau laikytis reikalavimų, piniginės leidėjai turėtų galėti įrodyti, kad Europos skaitmeninės tapatybės piniginės atitinka abiejuose teisės aktuose nustatytus reikalavimus, sertifikuodami savo produktus pagal Europos kibernetinio saugumo sertifikavimo schemą, nustatytą pagal Reglamentą (ES) 2019/881, ir Komisija įgyvendinimo aktu turi nurodyti prielaidą, kad šie produktai atitinka šį reglamentą tiek, kiek sertifikatas arba jo dalys apima šiuos reikalavimus; (19)tam tikras šiame reglamente numatytas užduotis turėtų vykdyti ENISA pagal Reglamento (ES) 2019/881 3 straipsnio 2 dalį. Visų pirma ENISA turėtų gauti gamintojų pranešimus apie aktyviai išnaudojamus pažeidžiamumus, esančius produktuose su skaitmeniniais elementais, taip pat apie incidentus, darančius poveikį tų produktų saugumui. ENISA taip pat turėtų perduoti šiuos pranešimus atitinkamoms reagavimo į kompiuterių saugumo incidentus tarnyboms (CSIRT) arba atitinkamiems valstybių narių bendriems kontaktiniams punktams, paskirtiems pagal Direktyvos [Direktyva XXX/XXXX (TIS2)] [X straipsnis] straipsnį, ir informuoti atitinkamas rinkos priežiūros institucijas apie praneštą pažeidžiamumą. Remdamasi surinkta informacija ENISA turėtų kas dvejus metus parengti techninę ataskaitą apie besiformuojančias produktų su skaitmeniniais elementais kibernetinio saugumo rizikos tendencijas ir pateikti ją Direktyvoje [Direktyva XXX/XXXX (TIS2)] nurodytai bendradarbiavimo grupei. Be to, atsižvelgiant į jos patirtį ir įgaliojimus, ENISA turėtų galėti remti šio reglamento įgyvendinimo procesą. Visų pirma ji turėtų galėti pasiūlyti bendrą veiklą, kurią vykdys rinkos priežiūros institucijos remdamosi įrodymais arba informacija apie galimą produktų su skaitmeniniais elementais neatitikimą reglamento reikalavimams keliose valstybėse narėse, arba nustatyti produktų kategorijas, kurioms turėtų būti vienu metu organizuojami koordinuoti kontrolės veiksmai. Išskirtinėmis aplinkybėmis, Komisijos prašymu ENISA turėtų galėti atlikti konkrečių produktų su skaitmeniniais elementais vertinimus, kai šiems produktams būdinga reikšminga kibernetinio saugumo rizika ir kai reikia nedelsiant įsikišti, kad būtų išsaugotas tinkamas vidaus rinkos veikimas; (20)kad produktai su skaitmeniniais elementais galėtų laisvai judėti vidaus rinkoje, jie turėtų būti ženklinami CE ženklu, iš kurio būtų matyti, kad jie atitinka šį reglamentą. Valstybės narės neturėtų sudaryti nepagrįstų kliūčių pateikti rinkai produktus su skaitmeniniais elementais, kurie atitinka šiame reglamente nustatytus reikalavimus ir yra paženklinti CE ženklu; (21)siekdamos užtikrinti, kad prieš atlikdami savo produktų atitikties vertinimą gamintojai galėtų išleisti programinę įrangą bandymo tikslais, valstybės narės neturėtų neleisti pateikti nebaigtos programinės įrangos, pvz., alfa versijos, beta versijos ar kandidatinės versijos, jeigu tokia versija pateikiama ne ilgesniam laikui nei būtina jai patikrinti ir grįžtamajai informacijai gauti. Gamintojai turėtų užtikrinti, kad tokiomis sąlygomis pateikta programinė įranga būtų išleista tik atlikus rizikos vertinimą ir kad ji kiek įmanoma atitiktų saugumo reikalavimus, susijusius su šiame reglamente nustatytomis produktų su skaitmeniniais elementais savybėmis. Gamintojai taip pat turėtų kiek įmanoma įgyvendinti pažeidžiamumų valdymo reikalavimus. Gamintojai neturėtų versti naudotojų atnaujinti versijų, išleistų tik bandymo tikslais; (22)siekiant užtikrinti, kad rinkai pateikti produktai su skaitmeniniais elementais nekeltų kibernetinio saugumo rizikos asmenims ir organizacijoms, tokiems produktams turėtų būti nustatyti esminiai reikalavimai. Jei vėliau daromi produktų pakeitimai fizinėmis ar skaitmeninėmis priemonėmis gamintojo nenumatytu būdu ir tai galėtų reikšti, kad produktai nebeatitinka susijusių esminių reikalavimų, pakeitimas turėtų būti laikomas esminiu. Pavyzdžiui, programinės įrangos naujiniai arba taisymai galėtų būti prilyginti priežiūros operacijoms, jei jais nekeičiamas rinkai jau pateiktas produktas taip, kad galėtų būti paveiktas taikytinų reikalavimų laikymasis arba kad galėtų būti pakeista numatytoji paskirtis, dėl kurios produktas buvo įvertintas. Kaip ir fizinio taisymo ar pakeitimų atveju, produktas su skaitmeniniais elementais turėtų būti laikomas iš esmės pakeistu pakeitus programinę įrangą, kai programinės įrangos naujinys pakeičia pradines numatytas produkto funkcijas, tipą ar našumą, ir šie pakeitimai nebuvo numatyti pradiniame rizikos vertinime arba dėl programinės įrangos naujinio pasikeitė pavojaus pobūdis arba padidėjo rizikos lygis; (23)atsižvelgiant į visuotinai nusistovėjusį esminio Sąjungos derinamaisiais teisės aktais reglamentuojamų produktų pakeitimo supratimą, kiekvieną kartą, kai įvyksta esminis pakeitimas, galintis turėti įtakos produkto atitikčiai šio reglamento reikalavimams arba kai pasikeičia produkto numatytoji paskirtis, tikslinga patikrinti produkto su skaitmeniniais elementais atitiktį reikalavimams ir, jei taikytina, atlikti naują atitikties vertinimą. Kai taikytina, jei gamintojas atlieka atitikties vertinimą, kuriame dalyvauja trečioji šalis, šiai trečiajai šaliai turėtų būti pranešta apie pakeitimus, kurie gali būti esminiai; (24)produkto su skaitmeniniais elementais atnaujinimas, priežiūra ir taisymas, kaip apibrėžta reglamente [Ekologinio projektavimo reglamentas], nebūtinai reiškia esminį produkto pakeitimą, pavyzdžiui, jei numatytoji paskirtis nepasikeičia ir funkcijos bei rizikos lygis lieka nepakitę. Tačiau gamintojo atliekamas produkto atnaujinimas gali reikšti produkto projektavimo ir kūrimo pokyčius, todėl gali turėti įtakos produkto numatytajai paskirčiai ir atitikčiai šiame reglamente nustatytiems reikalavimams; (25)produktai su skaitmeniniais elementais turėtų būti laikomi ypatingos svarbos, jei neigiamas potencialių produkto kibernetinio saugumo pažeidžiamumų išnaudojimo poveikis gali būti sunkus taip pat dėl su kibernetiniu saugumu susijusių funkcijų arba numatytosios paskirties. Visų pirma produktų su skaitmeniniais elementais, kurie turi su kibernetiniu saugumu susijusių funkcijų, pvz., saugių elementų, pažeidžiamumai gali sukelti saugumo problemų išplitimą visoje tiekimo grandinėje. Kibernetinio saugumo incidento poveikio sunkumas taip pat gali padidėti atsižvelgiant į numatytąją produkto paskirtį, pvz., pramoninėje aplinkoje arba Direktyvos [Direktyva XXX/XXXX (TIS2)] [I] priede nurodyto tipo pagrindinio subjekto kontekste arba atliekant ypatingos svarbos arba jautrias funkcijas, pvz., tvarkant asmens duomenis; (26)ypatingos svarbos produktams su skaitmeniniais elementais turėtų būti taikomos griežtesnės atitikties vertinimo procedūros, tačiau išlaikomas proporcingumo principas. Šiuo tikslu ypatingos svarbos produktai su skaitmeniniais elementais turėtų būti suskirstyti į dvi klases, atspindinčias kibernetinio saugumo rizikos lygį, susijusį su šių kategorijų produktais. Galimas kibernetinis incidentas su II klasės produktais gali sukelti didesnį neigiamą poveikį nei incidentas su I klasės produktais, pavyzdžiui, dėl jų su kibernetiniu saugumu susijusios funkcijos pobūdžio arba numatytosios paskirties naudoti jautrioje aplinkoje, todėl jam turėtų būti taikoma griežtesnė atitikties vertinimo procedūra; (27)šio reglamento III priede nurodytos ypatingos svarbos produktų su skaitmeniniais elementais kategorijos turėtų būti suprantamos kaip produktai, turintys pagrindines šio reglamento III priede nurodytų tipų funkcijas. Pavyzdžiui, šio reglamento III priede išvardyti produktai, kurie pagal savo pagrindines funkcijas apibrėžiami kaip II klasės bendrosios paskirties mikroprocesoriai. Todėl turi būti privalomai atliekamas bendrosios paskirties mikroprocesorių atitikties trečiosios šalies vertinimas. Tai netaikoma kitiems produktams, kurie nėra aiškiai nurodyti šio reglamento III priede ir kuriuose gali būti integruotas bendrosios paskirties mikroprocesorius. Komisija turėtų priimti deleguotuosius aktus [per 12 mėnesių nuo šio reglamento įsigaliojimo], kad patikslintų III priede pateiktas I ir II klasei priskiriamų produktų kategorijų apibrėžtis;

(28)šiuo reglamentu tikslingai siekiama spręsti kibernetinio saugumo riziką. Tačiau produktai su skaitmeniniais elementais gali kelti ir kitą saugumo riziką, nesusijusią su kibernetiniu saugumu. Ši rizika turėtų ir toliau būti reglamentuojama kitais atitinkamais Sąjungos produktų teisės aktais. Jei jokie kiti Sąjungos derinamieji teisės aktai netaikomi, turėtų būti taikomas Reglamentas [reglamentas dėl bendros gaminių saugos]. Todėl, atsižvelgiant į tikslinį šio reglamento pobūdį, kaip nukrypti nuo Reglamento [reglamentas dėl bendros gaminių saugos] 2 straipsnio 1 dalies trečios pastraipos b punkto leidžianti nuostata turėtų būti taikomi Reglamento [reglamentas dėl bendros gaminių saugos] III skyrius, 1 skirsnis, V ir VII skyriai ir IX–XI skyriai produktams su skaitmeniniais elementais, susijusiems su saugumo rizikomis, kurių šis reglamentas neapima, jei šiems produktams netaikomi konkretūs reikalavimai, nustatyti kituose Sąjungos derinamuosiuose teisės aktuose, kaip apibrėžta [reglamento dėl bendros gaminių saugos 3 straipsnio 25 punkte]; (29)produktai su skaitmeniniais elementais, pagal Reglamento [DI reglamentas] 6 straipsnį priskirti didelės rizikos DI sistemoms, kurios patenka į šio reglamento taikymo sritį, turėtų atitikti šiame reglamente nustatytus esminius reikalavimus. Kai tos didelės rizikos DI sistemos atitinka esminius šio reglamento reikalavimus, jos turėtų būti laikomos atitinkančiomis Reglamento [DI reglamentas] [15] straipsnyje nustatytus kibernetinio saugumo reikalavimus tiek, kiek šiuos reikalavimus apima pagal šį reglamentą parengiama ES atitikties deklaracija arba jos dalys. Kalbant apie atitikties vertinimo procedūras, susijusias su esminiais kibernetinio saugumo reikalavimais produktui su skaitmeniniais elementais, kuriam taikomas šis reglamentas ir kuris priskiriamas prie didelės rizikos DI sistemų, kaip taisyklė turėtų būti taikomos atitinkamos Reglamento [DI reglamentas] 43 straipsnio nuostatos vietoje atitinkamų šio reglamento nuostatų. Tačiau ši taisyklė neturėtų sumažinti būtino ypatingos svarbos produktų su skaitmeniniais elementais, kuriems taikomas šis reglamentas, užtikrinimo lygio. Todėl, nukrypstant nuo šios taisyklės, didelės rizikos DI sistemoms, kurios patenka į Reglamento [DI reglamentas] taikymo sritį ir kurios pagal šį reglamentą laikomos ypatingos svarbos produktais su skaitmeniniais elementais, ir kurioms taikoma Reglamento [DI reglamentas] VI priede nurodyta vidaus kontrole pagrįsto atitikties vertinimo procedūra, turėtų būti taikomos šio reglamento atitikties vertinimo nuostatos tiek, kiek tai susiję su esminiais šio reglamento reikalavimais. Šiuo atveju visais kitais aspektais, kuriuos apima Reglamentas [DI reglamentas], turėtų būti taikomos atitinkamos Reglamento [DI reglamentas] VI priede nustatytos vidaus kontrole pagrįsto atitikties vertinimo nuostatos; (30)mašinų gaminiai, kuriems taikomas Reglamentas [pasiūlymas dėl mašinų reglamento] ir kurie yra produktai su skaitmeniniais elementais, apibrėžti šiame reglamente, ir kuriems pagal šį reglamentą yra parengta atitikties deklaracija, turėtų būti laikomi atitinkančiais esminius sveikatos ir saugos reikalavimus, nustatytus Reglamento [pasiūlymas dėl mašinų reglamento] [III priedo 1.1.9 ir 1.2.1 skirsniuose], kiek tai susiję su apsauga nuo duomenų vientisumo pažeidimo ir valdymo sistemų saugumu bei patikimumu ir tiek, kiek šių reikalavimų laikymąsi įrodo pagal šį reglamentą parengta ES atitikties deklaracija; (31)Reglamentu [pasiūlymas dėl Europos sveikatos duomenų erdvės reglamento] papildomi šiame reglamente nustatyti esminiai reikalavimai. Todėl elektroninių sveikatos įrašų sistemos (toliau – ESĮ sistemos), kurios patenka į Reglamento [pasiūlymas dėl Europos sveikatos duomenų erdvės reglamento] taikymo sritį ir kurios yra produktai su skaitmeniniais elementais, apibrėžti šiame reglamente, taip pat turėtų atitikti šiame reglamente nustatytus esminius reikalavimus. Jų gamintojai turėtų įrodyti atitiktį, kaip reikalaujama Reglamente [pasiūlymas dėl Europos sveikatos duomenų erdvės reglamento]. Kad būtų lengviau laikytis reikalavimų, gamintojai gali parengti vieną techninį dokumentą, kuriame būtų nurodyti elementai, privalomi pagal abu teisės aktus. Kadangi šis reglamentas netaikomas SaaS, pagal SaaS licencijavimo ir pristatymo modelį siūlomos ESĮ sistemos nepatenka į šio reglamento taikymo sritį. Panašiai į šio reglamento taikymo sritį nepatenka ir ESĮ sistemos, sukurtos ir naudojamos organizacijos viduje, nes jos nėra pateikiamos rinkai; (32)siekiant užtikrinti, kad produktai su skaitmeniniais elementais būtų saugūs tiek jų pateikimo rinkai metu, tiek per visą jų gyvavimo ciklą, būtina nustatyti esminius pažeidžiamumų valdymo reikalavimus ir esminius kibernetinio saugumo reikalavimus, susijusius su produktų su skaitmeniniais elementais savybėmis. Nors gamintojai turėtų laikytis visų esminių reikalavimų, susijusių su pažeidžiamumų valdymu, ir užtikrinti, kad visi jų produktai būtų pristatomi be jokių žinomų pažeidžiamumų, kuriuos būtų galima išnaudoti, jie turėtų nustatyti, kurie kiti su produkto savybėmis susiję esminiai reikalavimai yra aktualūs atitinkamam produkto tipui. Šiuo tikslu gamintojai turėtų atlikti kibernetinio saugumo rizikos, susijusios su produktu su skaitmeniniais elementais, vertinimą, kad nustatytų atitinkamą riziką ir atitinkamus esminius reikalavimus ir kad būtų deramai taikomi tinkami darnieji standartai arba bendrosios specifikacijos; (33)siekiant pagerinti vidaus rinkai pateikiamų produktų su skaitmeniniais elementais saugumą, būtina nustatyti esminius reikalavimus. Šie esminiai reikalavimai turėtų nedaryti poveikio ES koordinuotiems ypatingos svarbos tiekimo grandinių rizikos vertinimams, nustatytiems Direktyvos [Direktyva XXX/XXXX (TIS2)] [X straipsnyje], per kuriuos atsižvelgiama į techninius ir, jei taikytina, į netechninius rizikos veiksnius, tokius kaip nederama trečiosios šalies įtaka tiekėjams. Be to, neturėtų būti pažeidžiamos valstybių narių prerogatyvos nustatyti papildomus reikalavimus, kuriais būtų atsižvelgiama į netechninius veiksnius, įskaitant apibrėžtus Rekomendacijoje (ES) 2019/534, siekiant užtikrinti aukštą atsparumo lygį Sąjungos mastu koordinuojamame 5G tinklų saugumo rizikos vertinime ir ES priemonių rinkinyje dėl 5G kibernetinio saugumo, dėl kurio susitarė TIS bendradarbiavimo grupė, kaip nurodyta [Direktyvoje XXX/XXXX (TIS2)]; (34)siekdami užtikrinti, kad nacionalinėms CSIRT ir bendram kontaktiniam punktui, paskirtam pagal Direktyvos [Direktyva XX/XXXX (TIS2) [X] straipsnį, būtų suteikta informacija, būtina jų užduotims atlikti, bendram pagrindinių ir svarbių subjektų kibernetinio saugumo lygiui padidinti ir veiksmingam rinkos priežiūros institucijų veikimui užtikrinti, produktų su skaitmeniniais elementais gamintojai turėtų pranešti ENISA apie pažeidžiamumus, kurie yra aktyviai išnaudojami. Kadangi dauguma produktų su skaitmeniniais elementais parduodami visoje vidaus rinkoje, bet koks išnaudojamas produkto su skaitmeniniais elementais pažeidžiamumas turėtų būti laikomas grėsme vidaus rinkos veikimui. Gamintojai taip pat turėtų apsvarstyti galimybę nurodyti ištaisytus pažeidžiamumus Europos pažeidžiamumų duomenų bazėje, kuri sukurta pagal Direktyvą [Direktyva XX/XXXX (TIS2)] ir kurią valdo ENISA, arba bet kurioje kitoje viešai prieinamoje pažeidžiamumų duomenų bazėje; (35)gamintojai taip pat turėtų pranešti ENISA apie bet kokį incidentą, darantį poveikį produkto su skaitmeniniais elementais saugumui. Nepaisant direktyvoje [Direktyva XXX/XXXX (TIS2)] pagrindiniams ir svarbiems subjektams nustatytos pareigos pranešti apie incidentus, labai svarbu, kad ENISA, pagal Direktyvos [Direktyva XXX/XXXX (TIS2)] [X] straipsnį valstybių narių paskirti bendri kontaktiniai punktai ir rinkos priežiūros institucijos iš produktų su skaitmeniniais elementais gamintojų gautų informaciją, kuri leistų jiems įvertinti šių produktų saugumą. Siekdami užtikrinti, kad naudotojai galėtų greitai reaguoti į incidentus, darančius poveikį jų produktų su skaitmeniniais elementais saugumui, gamintojai taip pat turėtų informuoti savo naudotojus apie tokius incidentus ir, jei taikytina, apie visas taisomąsias priemones, kurių naudotojai gali imtis incidento poveikiui sumažinti, pavyzdžiui, skelbdami atitinkamą informaciją savo interneto svetainėje arba, jei gamintojas gali susisiekti su naudotojais ir jei tai pateisinama dėl kylančios rizikos, susisiekdami su naudotojais tiesiogiai; (36)produktų su skaitmeniniais elementais gamintojai turėtų įdiegti suderinto pažeidžiamumų atskleidimo politiką, kad asmenys arba subjektai galėtų lengviau pranešti apie pažeidžiamumus. Suderinto pažeidžiamumų atskleidimo politikoje turėtų būti nurodytas susistemintas procesas, kuriuo gamintojui pranešama apie pažeidžiamumus taip, kad gamintojas galėtų nustatyti ir ištaisyti tokius pažeidžiamumus prieš atskleidžiant išsamią informaciją apie pažeidžiamumus trečiosioms šalims arba visuomenei. Atsižvelgiant į tai, kad informacija apie plačiai naudojamų produktų su skaitmeniniais elementais pažeidžiamumus, kuriuos galima išnaudoti, gali būti didelėmis kainomis parduodama juodojoje rinkoje, tokių produktų gamintojai, vykdydami suderinto pažeidžiamumų atskleidimo politiką, turėtų galėti naudoti programas, kuriomis skatinama pranešti apie pažeidžiamumus užtikrinant, kad asmenys arba subjektai už savo pastangas sulauktų pripažinimo ir kompensacijos (vadinamoji atlygio už surastus riktus programa); (37)kad būtų lengviau atlikti pažeidžiamumų analizę, gamintojai turėtų nustatyti ir dokumentuoti produktuose su skaitmeniniais elementais esančius komponentus, taip pat parengdami programinės įrangos medžiagų žiniaraštį. Programinės įrangos medžiagų žiniaraštis tiems, kurie gamina, perka ir valdo programinę įrangą, gali suteikti informacijos, kuri didina supratimą apie tiekimo grandinę, o tai turi daug privalumų – visų pirma tai padeda gamintojams ir naudotojams sekti žinomus naujus atskleistus pažeidžiamumus ir riziką. Gamintojams ypač svarbu užtikrinti, kad jų produktuose nebūtų pažeidžiamų komponentų, kuriuos sukuria trečiosios šalys; (38)siekiant palengvinti atitikties šiame reglamente nustatytiems reikalavimams vertinimą, turėtų būti daroma prielaida, kad produktai su skaitmeniniais elementais atitinka šiuos reikalavimus, kai jie atitinka darniuosius standartus, kurie esminius šio reglamento reikalavimus paverčia išsamiomis techninėmis specifikacijomis ir kurie priimami pagal Europos Parlamento ir Tarybos reglamentą (ES) Nr. 1025/2012. Reglamente (ES) Nr. 1025/2012 numatyta prieštaravimo darniesiems standartams procedūra, taikoma, kai tie standartai nevisiškai atitinka šio reglamento reikalavimus; (39)Reglamentu (ES) 2019/881 sukuriama savanoriška IRT produktų, procesų ir paslaugų Europos kibernetinio saugumo sertifikavimo sistema. Europos kibernetinio saugumo sertifikavimo schemos gali apimti produktus su skaitmeniniais elementais, kuriems taikomas šis reglamentas. Šiuo reglamentu turėtų būti sukuriama sinergija su Reglamentu (ES) 2019/881. Siekiant palengvinti atitikties šiame reglamente nustatytiems reikalavimams vertinimą, daroma prielaida, kad produktai su skaitmeniniais elementais, kurie yra sertifikuoti arba kuriems išduotas atitikties pareiškimas pagal kibernetinio saugumo schemą pagal Reglamentą (ES) 2019/881 ir kuriuos Komisija nustatė įgyvendinimo akte, atitinka esminius šio reglamento reikalavimus tiek, kiek kibernetinio saugumo sertifikatas arba atitikties pareiškimas, arba jų dalys apima tuos reikalavimus. Atsižvelgiant į šį reglamentą, turėtų būti įvertintas naujų Europos kibernetinio saugumo sertifikavimo schemų, skirtų produktams su skaitmeniniais elementais, poreikis. Tokiose būsimose Europos kibernetinio saugumo sertifikavimo schemose, apimančiose produktus su skaitmeniniais elementais, turėtų būti atsižvelgiama į šiame reglamente nustatytus esminius reikalavimus ir palengvinamas šio reglamento reikalavimų laikymasis. Komisijai turėtų būti suteikti įgaliojimai įgyvendinimo aktais nurodyti Europos kibernetinio saugumo sertifikavimo schemas, kurios gali būti naudojamos siekiant įrodyti atitiktį šiame reglamente nurodytiems esminiams reikalavimams. Be to, siekdama išvengti pernelyg didelės administracinės naštos gamintojams, jei taikytina, Komisija turėtų nurodyti, ar pagal tokias Europos kibernetinio saugumo sertifikavimo schemas išduotas kibernetinio saugumo sertifikatas panaikina gamintojų pareigą atlikti trečiųjų šalių atitikties atitinkamiems reikalavimams vertinimą, kaip numatyta šiame reglamente; (40)įsigaliojus įgyvendinimo aktui, kuriuo nustatomas [XXX Komisijos įgyvendinimo reglamentas (ES) Nr. …/... dėl Europos bendraisiais kriterijais grindžiamos kibernetinio saugumo sertifikavimo schemos] (EUCC), susijęs su šiuo reglamentu reglamentuojamais aparatinės įrangos produktais, pvz., aparatinės įrangos saugumo moduliais ir mikroprocesoriais, Komisija įgyvendinimo aktu gali nurodyti, kaip EUCC suteikia prielaidą dėl atitikties šio reglamento I priede ar jo dalyse nurodytiems esminiams reikalavimams. Be to, tokiame įgyvendinimo akte gali būti nurodyta, kaip pagal EUCC išduotas sertifikatas panaikina gamintojų pareigą atlikti trečiųjų šalių vykdomą atitinkamų reikalavimų atitikties vertinimą, reikalaujamą šiame reglamente; (41)tais atvejais, kai nėra priimtų darniųjų standartų arba kai darnieji standartai nepakankamai atitinka esminius šio reglamento reikalavimus, Komisija turi galėti įgyvendinimo aktais priimti bendrąsias specifikacijas. Tokios bendrosios specifikacijos gali būti kuriamos vietoje rėmimosi darniaisiais standartais, pavyzdžiui, dėl to, kad kuri nors Europos standartizacijos organizacija atmetė standartizacijos prašymą, atitinkamų darniųjų standartų nustatymas pernelyg vėluoja, arba sukurti standartai neatitinka šio reglamento reikalavimų arba Komisijos prašymo. Siekiant palengvinti atitikties esminiams šiame reglamente nustatytiems reikalavimams vertinimą, turėtų būti daroma prielaida, kad produktai su skaitmeniniais elementais atitinka tuos reikalavimus, jeigu jie atitinka bendrąsias specifikacijas, kurias priėmė Komisija pagal šį reglamentą, kad išreikštų išsamias tų reikalavimų technines specifikacijas; (42)gamintojai turėtų parengti ES atitikties deklaraciją, kad pateiktų pagal šį reglamentą reikalaujamą informaciją apie produktų su skaitmeniniais elementais atitiktį esminiams šio reglamento reikalavimams ir, jei taikytina, kitiems aktualiems Sąjungos derinamiesiems teisės aktams, reglamentuojantiems produktą. Iš gamintojų taip pat gali būti reikalaujama parengti ES atitikties deklaraciją pagal kitus Sąjungos teisės aktus. Siekiant užtikrinti efektyvią prieigą prie informacijos rinkos priežiūros tikslais, turėtų būti parengta viena ES atitikties deklaracija dėl atitikties visų aktualių Sąjungos aktų reikalavimams. Siekiant sumažinti administracinę naštą ekonominės veiklos vykdytojams, turėtų būti įmanoma, kad ta viena ES atitikties deklaracija būtų byla, sudaryta iš atitinkamų atskirų atitikties deklaracijų; (43)CE ženklas, kuriuo rodoma produkto atitiktis, yra matomas viso proceso, apimančio atitikties vertinimą plačiąja prasme, rezultatas. Bendrieji ženklinimo CE ženklu principai nustatyti Europos Parlamento ir Tarybos reglamente (EB) Nr. 765/2008. Šiame reglamente turėtų būti nustatytos produktų su skaitmeniniais elementais ženklinimo CE ženklu taisyklės. CE ženklas turėtų būti vienintelis ženklinimas kuriuo užtikrinama produktų su skaitmeniniais elementais atitiktis šio reglamento reikalavimams; (44)siekiant sudaryti sąlygas ekonominės veiklos vykdytojams įrodyti atitiktį šiame reglamente nustatytiems esminiams reikalavimams, o rinkos priežiūros institucijoms – užtikrinti, kad rinkoje tiekiami produktai su skaitmeniniais elementais atitiktų šiuos reikalavimus, būtina nustatyti atitikties vertinimo procedūras. Europos Parlamento ir Tarybos sprendime Nr. 768/2008/EB nustatomi atitikties vertinimo procedūrų moduliai, atitinkantys susijusios rizikos lygį ir reikalaujamą saugumo lygį. Siekiant užtikrinti nuoseklumą tarp skirtingų sektorių ir išvengti ad hoc variantų, tais moduliais buvo grindžiamos atitikties vertinimo procedūros, tinkamos tikrinti produktų su skaitmeniniais elementais atitiktį esminiams šiame reglamente nustatytiems reikalavimams. Atitikties vertinimo procedūrose turėtų būti nagrinėjami ir tikrinami tiek su produktu, tiek su procesu susiję reikalavimai, apimantys visą produktų su skaitmeniniais elementais gyvavimo ciklą, įskaitant produkto planavimą, projektavimą, kūrimą ar gamybą, bandymus ir priežiūrą; (45)paprastai produktų su skaitmeniniais elementais atitikties vertinimą turėtų savo atsakomybe atlikti gamintojas pagal procedūrą, pagrįstą Sprendimo 768/2008/EB A moduliu. Gamintojas turėtų galėti lanksčiai pasirinkti griežtesnę atitikties vertinimo procedūrą, kurioje dalyvautų trečioji šalis. Jei produktas priskiriamas prie I klasės ypatingos svarbos produktų, reikia papildomo užtikrinimo, kad būtų įrodyta atitiktis šiame reglamente nurodytiems esminiams reikalavimams. Pagal Reglamentą (ES) 2019/881 gamintojas turėtų taikyti darniuosius standartus, bendrąsias specifikacijas ar kibernetinio saugumo sertifikavimo schemas, kuriuos Komisija nustatė įgyvendinimo akte, jei jis nori atlikti atitikties vertinimą savo atsakomybe (A modulis). Jei gamintojas netaiko tokių darniųjų standartų, bendrųjų specifikacijų ar kibernetinio saugumo sertifikavimo schemų, jis turėtų atlikti atitikties vertinimą, kuriame dalyvautų trečioji šalis. Atsižvelgiant į gamintojams tenkančią administracinę naštą ir į tai, kad materialių ir nematerialių produktų su skaitmeniniais elementais projektavimo ir kūrimo etape svarbus vaidmuo tenka kibernetiniam saugumui, pasirinktos atitikties vertinimo procedūros, pagrįstos Sprendimo 768/2008/EB atitinkamai B+C arba H moduliais, kaip tinkamiausios siekiant proporcingai ir veiksmingai įvertinti ypatingos svarbos produktų su skaitmeniniais elementais atitiktį. Trečiųjų šalių atitikties vertinimą atliekantis gamintojas gali pasirinkti geriausiai jo projektavimo ir gamybos procesui tinkančią procedūrą. Atsižvelgiant į dar didesnę kibernetinio saugumo riziką, susijusią su produktų, priskiriamų prie II klasės ypatingos svarbos produktų, naudojimu, atitikties vertinime visada turėtų dalyvauti trečioji šalis; (46)kurdami materialius produktus su skaitmeniniais elementais gamintojai paprastai turi dėti dideles pastangas projektavimo, kūrimo ir gamybos etapuose, tačiau kuriant programinės įrangos tipo produktus su skaitmeniniais elementais orientuojamasi beveik vien į projektavimą ir kūrimą, o gamybos etapo vaidmuo yra nedidelis. Nepaisant to, daugeliu atvejų programinės įrangos produktai vis tiek turi būti sukompiliuojami, sukuriami, supakuojami, pateikiami atsisiųsti arba nukopijuojami į fizinę laikmeną prieš pateikiant juos rinkai. Ši veikla turėtų būti laikoma apimančia gamybą, kai taikomi atitinkami atitikties vertinimo moduliai siekiant patikrinti, ar produktas atitinka esminius šio reglamento reikalavimus projektavimo, kūrimo ir gamybos etapuose; (47)siekiant atlikti produktų su skaitmeniniais elementais atitikties trečiųjų šalių vertinimą, nacionalinės notifikuojančiosios institucijos turėtų pranešti Komisijai ir kitoms valstybėms narėms apie atitikties vertinimo įstaigas, jeigu jos atitinka tam tikrus reikalavimus, visų pirma dėl nepriklausomumo, kompetencijos ir interesų konfliktų nebuvimo;

(48)siekiant užtikrinti vienodą kokybės lygį atliekant produktų su skaitmeniniais elementais atitikties vertinimą, taip pat reikia nustatyti reikalavimus notifikuojančiosioms institucijoms ir kitoms įstaigoms, dalyvaujančioms atliekant notifikuotųjų įstaigų vertinimą, notifikavimą ir stebėseną. Šiame reglamente nustatytą sistemą turėtų papildyti akreditavimo sistema, numatyta Reglamente (EB) Nr. 765/2008. Kadangi akreditacija yra labai svarbi atitikties vertinimo įstaigų kompetencijos vertinimo priemonė, reikėtų ją taikyti ir notifikavimo tikslais; (49)Reglamente (EB) Nr. 765/2008 numatytą skaidrią akreditaciją, kuria užtikrinamas būtinas pasitikėjimo atitikties sertifikatais lygis, nacionalinės viešosios institucijos visoje Sąjungoje turėtų laikyti pageidautinu atitikties vertinimo įstaigų techninės kompetencijos įrodymo būdu. Vis dėlto nacionalinės institucijos gali manyti turinčios tam vertinimui atlikti tinkamų priemonių. Tokiais atvejais, siekiant užtikrinti tinkamą kitų nacionalinių institucijų atliktų vertinimų patikimumo lygį, šios institucijos turėtų pateikti Komisijai ir kitoms valstybėms narėms reikiamus dokumentinius įrodymus, kad įvertintos atitikties vertinimo įstaigos atitinka aktualius norminius reikalavimus; (50)dažnai atitikties vertinimo įstaigos dalį savo veiklos, susijusios su atitikties vertinimu, paveda atlikti subrangovams arba jiems pavaldžioms įstaigoms. Siekiant išsaugoti reikiamą rinkai pateiktinų produktų su skaitmeniniais elementais apsaugos lygį, labai svarbu, kad atitikties vertinimą atliekantys subrangovai ir pavaldžiosios įstaigos atitiktų notifikuotosioms įstaigoms keliamus atitikties vertinimo užduočių atlikimo reikalavimus; (51)notifikuojančioji institucija turėtų pranešti Komisijai ir kitoms valstybėms narėms apie atitikties vertinimo įstaigą per informacinę sistemą „Naujojo požiūrio paskelbtos ir paskirtos organizacijos“ (NANDO). NANDO yra Komisijos sukurta ir valdoma elektroninių pranešimų priemonė, kurioje galima rasti visų notifikuotųjų įstaigų sąrašą; (52)notifikuotosios įstaigos gali teikti paslaugas visoje Sąjungoje, todėl tikslinga suteikti kitoms valstybėms narėms ir Komisijai galimybę pareikšti prieštaravimus dėl notifikuotosios įstaigos. Todėl svarbu nustatyti laikotarpį, per kurį būtų galima išsiaiškinti visas abejones ar klausimus dėl atitikties vertinimo įstaigų kompetencijos prieš šioms įstaigoms pradedant veikti kaip notifikuotosioms įstaigoms; (53)dėl konkurencingumo labai svarbu, kad notifikuotosios įstaigos atitikties vertinimo procedūras taikytų taip, kad ekonominės veiklos vykdytojams nebūtų užkrauta nereikalinga našta. Dėl tos pačios priežasties ir siekiant užtikrinti vienodas sąlygas ekonominės veiklos vykdytojams, reikia užtikrinti atitikties vertinimo procedūrų techninio taikymo nuoseklumą. Geriausias būdas tai pasiekti – notifikuotosioms įstaigoms tinkamai koordinuoti tarpusavio veiksmus ir bendradarbiauti; (54)rinkos priežiūra yra svarbi priemonė, užtikrinanti tinkamą ir vienodą Sąjungos teisės aktų taikymą. Todėl reikėtų įgyvendinti teisinę sistemą, pagal kurią rinkos priežiūra galėtų būti vykdoma tinkamu būdu. Produktams su skaitmeniniais elementais, kuriems taikomas šis reglamentas, taikomos Sąjungos rinkos priežiūros ir Sąjungos rinkai tiekiamų produktų kontrolės taisyklės, nustatytos Europos Parlamento ir Tarybos reglamente (ES) 2019/1020; (55)pagal Reglamentą (ES) 2019/1020 rinkos priežiūros institucijos vykdo rinkos priežiūrą tos valstybės narės teritorijoje. Šis reglamentas neturėtų neleisti valstybėms narėms pasirinkti kompetentingų institucijų šioms užduotims vykdyti. Kiekviena valstybė narė savo teritorijoje turėtų paskirti vieną ar daugiau rinkos priežiūros institucijų. Valstybės narės gali nuspręsti paskirti bet kurią esamą arba naują instituciją, kuri veiktų kaip rinkos priežiūros institucija, įskaitant nacionalines kompetentingas institucijas, nurodytas Direktyvos [Direktyva XXX/XXXX (TIS2)] [X] straipsnyje, arba paskirtas nacionalines kibernetinio saugumo sertifikavimo institucijas, nurodytas Reglamento (ES) 2019/881 58 straipsnyje. Ekonominės veiklos vykdytojai turėtų visapusiškai bendradarbiauti su rinkos priežiūros institucijomis ir kitomis kompetentingomis institucijomis. Kiekviena valstybė narė turėtų pranešti Komisijai ir kitoms valstybėms narėms apie savo rinkos priežiūros institucijas ir kiekvienos iš tų institucijų kompetencijos sritis ir užtikrinti būtinus išteklius ir įgūdžius, kad būtų galima vykdyti su šiuo reglamentu susijusias priežiūros užduotis. Pagal Reglamento (ES) 2019/1020 10 straipsnio 2 ir 3 dalis kiekviena valstybė narė turėtų paskirti bendrą ryšių palaikymo tarnybą, kuri, be kita ko, turėtų būti atsakinga už rinkos priežiūros institucijų koordinuotos pozicijos atstovavimą ir pagalbą rinkos priežiūros institucijų bendradarbiavimui įvairiose valstybėse narėse; (56)siekiant vienodai taikyti šį reglamentą, turėtų būti sudaryta speciali administracinio bendradarbiavimo grupė pagal Reglamento (ES) 2019/1020 30 straipsnio 2 dalį. Administracinio bendradarbiavimo grupę sudaro paskirtos rinkos priežiūros institucijos ir, jei taikytina, bendrų ryšių palaikymo tarnybų atstovai. Komisija turėtų remti ir skatinti rinkos priežiūros institucijų bendradarbiavimą per Sąjungos gaminių atitikties tinklą, įsteigtą pagal Reglamento (ES) 2019/1020 29 straipsnį ir apimantį kiekvienos valstybės narės atstovus, įskaitant kiekvienos bendros ryšių palaikymo tarnybos, nurodytos Reglamento (ES) 2019/1020 10 straipsnyje, atstovą ir neprivalomą nacionalinį ekspertą, administracinio bendradarbiavimo grupių pirmininkus ir Komisijos atstovus. Komisija turėtų dalyvauti tinklo, jo pogrupių ir šios atitinkamos administracinio bendradarbiavimo grupės posėdžiuose. Be to, ji turėtų padėti administracinio bendradarbiavimo grupei pasitelkdama vykdomąjį sekretoriatą, teikiantį techninę ir logistinę paramą; (57)siekiant laiku, proporcingai ir veiksmingai taikyti priemones produktams su skaitmeniniais elementais, keliančiais reikšmingą kibernetinio saugumo riziką, reikėtų numatyti Sąjungos apsaugos procedūrą, pagal kurią suinteresuotosios šalys būtų informuojamos apie priemones, kurių ketinama imtis tokių produktų atžvilgiu. Tai taip pat suteiktų galimybę rinkos priežiūros institucijoms bendradarbiaujant su atitinkamais ekonominės veiklos vykdytojais imtis veiksmų ankstesniame etape, kai to reikia. Jei valstybės narės ir Komisija sutaria dėl valstybės narės taikomų priemonių pagrįstumo, Komisija neturėtų imtis papildomų veiksmų, išskyrus atvejus, kai neatitiktis gali būti susijusi su darniojo standarto trūkumais; (58)tam tikrais atvejais produktas su skaitmeniniais elementais, kuris atitinka šį reglamentą, vis tiek gali kelti reikšmingą kibernetinio saugumo riziką arba pavojų asmenų sveikatai ar saugai, pareigų pagal Sąjungos ar nacionalinę teisę, kuria siekiama saugoti pagrindines teises, vykdymui, paslaugų, kurias per elektroninę informacinę sistemą siūlo [Direktyvos XXX/XXXX (TIS2) I priede] nurodyti pagrindiniai subjektai, prieinamumui, autentiškumui, vientisumui ar konfidencialumui, arba kitiems viešojo intereso apsaugos aspektams. Todėl būtina nustatyti taisykles, kurios užtikrintų šios rizikos mažinimą. Rinkos priežiūros institucijos turėtų imtis priemonių ir nustatyti ekonominės veiklos vykdytojui reikalavimą užtikrinti, kad, priklausomai nuo rizikos, produktas tokios rizikos nebekeltų, būtų atšauktas arba būtų pašalintas iš rinkos. Kai tik rinkos priežiūros institucija apriboja arba uždraudžia laisvą gaminio judėjimą tokia tvarka, atitinkama valstybė narė turėtų nedelsdama pranešti Komisijai ir kitoms valstybėms narėms apie laikinąsias priemones nurodydama tokio sprendimo priėmimo priežastis ir pagrindimą. Jeigu rinkos priežiūros institucija imasi tokių priemonių dėl pavojų keliančių gaminių, Komisija turėtų nedelsdama pradėti konsultacijas su valstybėmis narėmis ir atitinkamu ekonominės veiklos vykdytoju ar vykdytojais ir įvertinti nacionalinę priemonę. Remdamasi šio vertinimo rezultatais Komisija turėtų nuspręsti, ar ta nacionalinė priemonė pagrįsta, ar ne. Komisija sprendimą turėtų skirti visoms valstybėms narėms ir nedelsdama apie jį pranešti joms ir atitinkamam ekonominės veiklos vykdytojui ar vykdytojams. Jei priemonė laikoma pagrįsta, Komisija taip pat gali svarstyti galimybę priimti pasiūlymus peržiūrėti atitinkamus Sąjungos teisės aktus; (59)jei produktai su skaitmeniniais elementais kelia reikšmingą kibernetinio saugumo riziką ir jei yra pagrindo manyti, kad jie neatitinka šio reglamento, arba jei produktai atitinka šį reglamentą, bet kelia kitą svarbią riziką, pvz., pavojų asmenų sveikatai ar saugai, pagrindinėms teisėms ar [Direktyvos XXX/XXXX (TIS2) I priede] nurodytų pagrindinių subjektų vykdomam paslaugų teikimui, Komisija gali prašyti ENISA atlikti vertinimą. Remdamasi šiuo vertinimu Komisija Sąjungos lygmeniu įgyvendinimo aktais gali priimti taisomąsias arba ribojamąsias priemones, įskaitant nurodymą išimti iš rinkos arba atšaukti atitinkamus produktus per pagrįstą laikotarpį, atitinkantį rizikos pobūdį. Komisija gali pasinaudoti tokia intervencija tik išskirtinėmis aplinkybėmis, dėl kurių būtų pateisinama nedelsiant vykdyti intervenciją, kad būtų išsaugotas tinkamas vidaus rinkos veikimas, ir tik tais atvejais, kai priežiūros institucijos nesiėmė veiksmingų priemonių padėčiai ištaisyti. Tokios išskirtinės aplinkybės gali būti ekstremaliosios situacijos, kai, pavyzdžiui, gamintojas ne vienoje valstybėje narėje platina reikalavimų neatitinkantį produktą, kurį pagrindiniuose sektoriuose naudoja ir subjektai, kuriems taikoma [Direktyva XXX/XXXX (TIS2)], nors jame yra žinomų pažeidžiamumų, kuriais naudojasi piktavaliai subjektai ir kuriems ištaisyti gamintojas nepateikia pataisų. Tokiais ekstremaliais atvejais Komisija gali įsikišti tik tol, kol trunka išskirtinės aplinkybės, ir jei neatitiktis šio reglamento reikalavimams arba svarbi rizika išlieka; (60)jei yra požymių, kad daugiau nei vienoje valstybėje narėje nesilaikoma šio reglamento, rinkos priežiūros institucijos turėtų galėti veikti bendrai su kitomis institucijomis, kad patikrintų produktų su skaitmeniniais elementais atitiktį reikalavimams ir nustatytų šių produktų kibernetinio saugumo riziką; (61)tuo pačiu metu atliekami koordinuoti kontrolės veiksmai (tikslinės patikros) yra konkretūs rinkos priežiūros institucijų vykdymo užtikrinimo veiksmai, kuriais galima dar labiau padidinti produktų saugumą. Visų pirma tikslinės patikros turėtų būti vykdomos tais atvejais, kai rinkos tendencijos, vartotojų skundai ar kiti požymiai rodo, kad tam tikrų kategorijų produktams dažnai būdinga kibernetinio saugumo rizika. ENISA turėtų rinkos priežiūros institucijoms teikti pasiūlymus dėl produktų kategorijų, kurioms galėtų būti organizuojamos tikslinės patikros, remdamasi, be kita ko, ir savo gaunamais pranešimais apie produktų pažeidžiamumus ir incidentus; (62)siekiant užtikrinti, kad prireikus būtų galima pritaikyti reglamentavimo sistemą, Komisijai turėtų būti deleguota teisė pagal SESV 290 straipsnį priimti aktus, kuriais būtų galima atnaujinti III priede pateiktą ypatingos svarbos produktų sąrašą ir nurodyti šių produktų kategorijų apibrėžtis. Komisijai turėtų būti deleguotas įgaliojimas priimti aktus pagal tą straipsnį, kad būtų nustatyti produktai su skaitmeniniais elementais, kuriems taikomos kitos Sąjungos taisyklės, kuriomis užtikrinamas toks pat apsaugos lygis kaip ir šiuo reglamentu, nurodant, ar reikėtų apriboti šio reglamento taikymo sritį arba jo netaikyti ir, kai taikytina, tokio apribojimo taikymo sritį. Komisijai taip pat turėtų būti deleguotas įgaliojimas priimti aktus pagal tą straipsnį dėl galimo įpareigojimo sertifikuoti tam tikrus didžiausios svarbos produktus su skaitmeniniais elementais remiantis šiame reglamente nurodytais ypatingo svarbumo kriterijais, taip pat minimalaus ES atitikties deklaracijos turinio nurodymo ir elementų, kurie turi būti įtraukti į techninius dokumentus, papildymo. Ypač svarbu, kad atlikdama parengiamąjį darbą Komisija tinkamai konsultuotųsi, taip pat ir su ekspertais, ir kad tos konsultacijos būtų vykdomos vadovaujantis 2016 m. balandžio 13 d. Tarpinstituciniame susitarime dėl geresnės teisėkūros nustatytais principais. Visų pirma siekiant užtikrinti vienodas galimybes dalyvauti atliekant su deleguotaisiais aktais susijusį parengiamąjį darbą, Europos Parlamentas ir Taryba visus dokumentus gauna tuo pačiu metu kaip ir valstybių narių ekspertai, o jų ekspertams sistemingai suteikiama galimybė dalyvauti Komisijos ekspertų grupių, kurios atlieka su deleguotaisiais aktais susijusį parengiamąjį darbą, posėdžiuose; (63)siekiant užtikrinti vienodas šio reglamento įgyvendinimo sąlygas, Komisijai turėtų būti suteikti įgyvendinimo įgaliojimai, kuriais būtų galima: nurodyti programinės įrangos medžiagų žiniaraščio formatą ir elementus, papildomai nurodyti pranešimų apie aktyviai išnaudojamus pažeidžiamumus ir incidentus, kuriuos ENISA pateikia gamintojai, formatą ir procedūrą, nurodyti pagal Reglamentą (ES) 2019/881 priimtas Europos kibernetinio saugumo sertifikavimo schemas, kurias galima naudoti siekiant įrodyti atitiktį esminiams reikalavimams ar jų dalims, kaip nurodyta šio reglamento I priede, priimti bendrąsias specifikacijas dėl I priede nustatytų esminių reikalavimų, nustatyti technines specifikacijas piktogramoms arba bet kokiems kitiems su produktų su skaitmeniniais elementais saugumu susijusiems ženklams ir jų naudojimo skatinimo mechanizmus, Sąjungos lygmeniu priimti sprendimus dėl taisomųjų arba ribojamųjų priemonių išskirtinėmis aplinkybėmis, dėl kurių būtų pagrįsta nedelsiant atlikti intervenciją, kad būtų išsaugotas tinkamas vidaus rinkos veikimas. Tais įgaliojimais turėtų būti naudojamasi laikantis Europos Parlamento ir Tarybos reglamento (ES) Nr. 182/2011; (64)siekiant užtikrinti patikimą ir konstruktyvų rinkos priežiūros institucijų bendradarbiavimą Sąjungos ir nacionaliniu lygmenimis, visos šalys, taikančios šį reglamentą, turėtų gerbti informacijos ir duomenų, gautų vykdant savo užduotis, konfidencialumą; (65)siekiant užtikrinti veiksmingą šiame reglamente nustatytų pareigų vykdymą, kiekvienai rinkos priežiūros institucijai turėtų būti suteikti įgaliojimai skirti administracines baudas arba prašyti jas skirti. Todėl turėtų būti nustatyti maksimalūs nacionaliniuose teisės aktuose numatomi administracinių baudų dydžiai už šiame reglamente nustatytų pareigų nevykdymą. Priimant sprendimą dėl administracinės baudos dydžio kiekvienu konkrečiu atveju reikėtų atsižvelgti į visas atitinkamas konkrečios situacijos aplinkybes ir bent jau į šiame reglamente aiškiai nustatytas aplinkybes, taip pat į tai, ar kitos rinkos priežiūros institucijos jau yra skyrusios administracines baudas tam pačiam vykdytojui už panašius pažeidimus. Tokios aplinkybės gali būti sunkinančios tais atvejais, kai tas pats veiklos vykdytojas toliau nevykdo pareigų kitų valstybių narių nei tos, kurioje administracinė bauda jau paskirta, teritorijose, arba lengvinančios, siekiant užtikrinti, kad skiriant bet kokią kitą administracinę baudą, kurią svarsto pritaikyti kita rinkos priežiūros institucija tam pačiam ekonominės veiklos vykdytojui arba už tos pačios rūšies pažeidimą, jau būtų atsižvelgta į kitose valstybėse narėse skirtą baudą ir jos dydį kartu su kitomis aktualiomis konkrečiomis aplinkybėmis. Visais tokiais atvejais bendra administracinė bauda, kurią skirtingų valstybių narių rinkos priežiūros institucijos galėtų pritaikyti tam pačiam ekonominės veiklos vykdytojui už tos pačios rūšies pažeidimą, turėtų atitikti proporcingumo principą; (66)jei administracinės baudos skiriamos asmenims, kurie nėra įmonė, svarstydama, koks būtų tinkamas baudos dydis, kompetentinga institucija turėtų atsižvelgti į bendrą pajamų lygį valstybėje narėje ir į to asmens ekonominę padėtį. Valstybės narės turėtų nustatyti, ar ir kokiu mastu valdžios institucijoms turėtų būti skiriamos administracinės baudos; (67)palaikydama santykius su trečiosiomis valstybėmis, ES siekia skatinti tarptautinę prekybą reglamentuojamais produktais. Siekiant p