EIROPAS KOMISIJA Briselē, 15.9.2022 COM(2022) 454 final 2022/0272(COD) Priekšlikums EIROPAS PARLAMENTA UN PADOMES REGULA par horizontālajām kiberdrošības prasībām attiecībā uz produktiem ar digitāliem elementiem un ar ko groza Regulu (ES) 2019/1020 (Dokuments attiecas uz EEZ) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



PASKAIDROJUMA RAKSTS 1.PRIEKŠLIKUMA KONTEKSTS •Priekšlikuma pamatojums un mērķi Pret aparatūras un programmatūras produktiem arvien biežāk tiek īstenoti sekmīgi kiberuzbrukumi, kuru dēļ kibernoziedzības radītās ikgadējās izmaksas pēc aplēsēm pasaulē 2021. gadā sasniedza 5,5 triljonus EUR. Šādus produktus skar divas lielas problēmas, kas rada papildu izmaksas lietotājiem un sabiedrībai: 1) zems kiberdrošības līmenis, ko atspoguļo plaši izplatītas ievainojamības un nepietiekama un nekonsekventa drošības atjauninājumu nodrošināšana to novēršanai, un 2) nepietiekama lietotāju izpratne un piekļuve informācijai, kas neļauj lietotājiem izvēlēties produktus ar atbilstošām kiberdrošības īpašībām vai tos izmantot drošā veidā. Savienotā vidē ar vienu produktu noticis kiberdrošības incidents var ietekmēt visu organizāciju vai visu piegādes ķēdi, bieži vien dažās minūtēs izplatoties pāri iekšējā tirgus robežām. Tas var izraisīt nopietnus ekonomiskās un sociālās darbības traucējumus vai pat apdraudēt dzīvības. Produktu ar digitāliem elementiem kiberdrošībai ir izteikta pārrobežu dimensija, jo vienā valstī ražoti produkti bieži tiek lietoti visā iekšējā tirgū. Turklāt incidenti, kas sākotnēji ietekmē vienu vienību vai vienu dalībvalsti, bieži vien dažās minūtēs izplatās visā iekšējā tirgū. Lai gan spēkā esošos iekšējā tirgus tiesību aktus piemēro noteiktiem produktiem ar digitāliem elementiem, uz lielāko daļu aparatūras un programmatūras produktu patlaban neattiecas neviens ES tiesību akts, ar kuru tiktu risināta šo produktu kiberdrošība. Konkrēti pašreizējais ES tiesiskais regulējums nerisina neiegultas programmatūras kiberdrošību, neskatoties uz to, ka uzbrukumi kiberdrošībai arvien vairāk tiek vērsti uz šo produktu ievainojamībām, radot būtiskas sociālās un ekonomiskās izmaksas. Ir vairāki tādu vērā ņemamu kiberuzbrukumu piemēri, kuri notikuši nepietiekamas produktu drošības rezultātā, piemēram, WannaCry izspiedējprogrammatūras tārps, kas 2017. gadā izmantoja Windows ievainojamību un skāra 200 000 datoru 150 valstīs, kā arī radīja zaudējumus vairāku miljardu USD apmērā; uzbrukums Kaseya VSA piegādes ķēdei, kurā tika izmantota Kaseya tīkla administrēšanas programmatūra, lai uzbruktu vairāk nekā 1000 uzņēmumiem un piespiestu lielveikalu ķēdi slēgt visus tās 500 veikalus Zviedrijā; vai daudzie incidenti, kuros nolūkā nozagt naudu labticīgiem patērētājiem tiek veikta banku lietojumprogrammu uzlaušana. Tika noteikti šādi divi galvenie mērķi, kuri vērsti uz pareizas iekšējā tirgus darbības nodrošināšanu: 1) radīt apstākļus, lai tiktu izstrādāti droši produkti ar digitāliem elementiem, nodrošinot, ka aparatūras un programmatūras produkti tirgū tiek laisti ar mazāk ievainojamībām un ka ražotājiem ir nopietna attieksme pret drošību visā produkta aprites ciklā; un 2) radīt apstākļus, kas lietotājiem, izvēloties un lietojot produktus ar digitāliem elementiem, dod iespēju ņemt vērā kiberdrošību. Tika noteikti četri konkrētie mērķi: i) nodrošināt, ka ražotāji, sākot no projektēšanas un izstrādes posma, kā arī visā aprites ciklā uzlabo produktu ar digitāliem elementiem drošību; ii) nodrošināt saskaņotu kiberdrošības satvaru, sekmējot aparatūras un programmatūras ražotāju atbilstību; iii) uzlabot produktu ar digitāliem elementiem drošības īpašību pārredzamību un iv) sniegt iespēju uzņēmumiem un patērētājiem droši lietot produktus ar digitāliem elementiem. Kiberdrošības izteiktais pārrobežu raksturs un pieaugošais to incidentu skaits, kuru ietekme izvēršas pāri robežām, starp dažādām nozarēm un produktiem, nozīmē, ka dalībvalstis vienas pašas nevar efektīvi sasniegt šos mērķus. Ņemot vērā produktu ar digitāliem elementiem tirgu globālo raksturu, dalībvalstis savā teritorijā attiecībā uz vienu un to pašu produktu ar digitāliem elementiem saskaras ar vieniem un tiem pašiem riskiem. Jauns sadrumstalots regulējums, ko veido potenciāli atšķirīgi valstu noteikumi, rada risku, ka var tikt kavēts atvērts un konkurētspējīgs vienotais tirgus attiecībā uz produktiem ar digitāliem elementiem. Tāpēc, lai palielinātu lietotāju uzticēšanos un ES produktu ar digitāliem elementiem pievilcību, ir vajadzīga vienota rīcība ES līmenī. Tā nāktu par labu arī iekšējam tirgum, nodrošinot juridisko noteiktību un panākot vienlīdzīgus konkurences apstākļus produktu ar digitāliem elementiem pārdevējiem, kā tas uzsvērts arī konferences par Eiropas nākotni galīgajā ziņojumā, kurā pilsoņi aicina palielināt ES nozīmi cīņā pret kiberdrošības apdraudējumiem. •Mijiedarbība ar pašreizējiem noteikumiem konkrētajā politikas jomā ES regulējumā ir vairāki horizontālie tiesību akti, kas no dažādiem skatupunktiem (produkti, pakalpojumi, krīzes pārvarēšana un noziegumi) aptver noteiktus ar kiberdrošību saistītus aspektus. 2013. gadā stājās spēkā Direktīva par uzbrukumiem informācijas sistēmām, ar ko saskaņo kriminālatbildības noteikšanu un sodus par vairākiem noziedzīgiem nodarījumiem, kas vērsti pret informācijas sistēmām. 2016. gada augustā stājās spēkā Direktīva (ES) 2016/1148 par tīklu un informācijas sistēmu drošību (TID direktīva), kas ir pirmais ES mēroga tiesību akts kiberdrošības jomā. Tās pārskatīšana, kuras rezultātā ir izstrādāta Direktīva [Direktīva XXX/XXXX (TID2)], paaugstina ES kopējo mērķu vērienīgumu. 2019. gadā stājās spēkā ES Kiberdrošības akts, kura mērķis ir uzlabot IKT produktu, IKT pakalpojumu un IKT procesu drošību, ieviešot brīvprātīgu Eiropas kiberdrošības sertifikācijas satvaru. Visas piegādes ķēdes kiberdrošība ir nodrošināta tikai tad, ja kiberdroši ir visi tās komponenti. Tomēr iepriekš minētajos ES tiesību aktos šajā ziņā ir būtiskas nepilnības, jo tajos nav ietvertas obligātās prasības attiecībā uz produktu ar digitāliem elementiem drošību. Lai gan ierosinātais Kibernoturības akts attiecas uz tirgū laistiem produktiem ar digitāliem elementiem, Direktīvas [Direktīva XXX/XXX (TID2)] mērķis ir nodrošināt augstu kiberdrošības līmeni attiecībā uz būtisko un svarīgo vienību sniegtajiem pakalpojumiem. Direktīvā [Direktīva XXX/XXXX (TID2)] ir noteikts, ka dalībvalstīm jānodrošina, lai darbības jomā ietilpstošās būtiskās un svarīgās vienības, piemēram, veselības aprūpes vai mākoņdatošanas pakalpojumu sniedzēji un valsts pārvaldes vienības veiktu atbilstīgus un samērīgus tehniskos, operatīvos un organizatoriskos kiberdrošības pasākumus. Tas cita starpā ietver prasību nodrošināt drošību attiecībā uz tīklu un informācijas sistēmu iegādi, izstrādi un uzturēšanu, ieskaitot ievainojamību novēršanu un ievainojamības atklāšanu. Direktīvā [Direktīva XXX/XXXX (TID2)] ir noteikts, ka Komisijai 21 mēneša laikā pēc šīs direktīvas stāšanās spēkā ir jāpieņem īstenošanas akti, ar kuriem nosaka minēto pasākumu tehniskās un metodiskās prasības attiecībā uz noteiktu veidu vienībām, piemēram, mākoņdatošanas pakalpojumu sniedzējiem. Attiecībā uz visām pārējām vienībām Komisija var pieņemt īstenošanas aktu, ar ko nosaka tehniskās un metodiskās prasības, kā arī nozaru prasības. Šis regulējums nodrošinās, ka tehniskās specifikācijas un pasākumi, kas līdzīgi Kibernoturības akta kiberdrošības pamatprasībām, tiek īstenoti arī attiecībā uz tādas programmatūras projektēšanu, izstrādi un ievainojamību novēršanu, kuru sniedz kā pakalpojumu (Software-as-a-Service). Piemēram, tas varētu būt līdzeklis, lai nodrošinātu augstu kiberdrošības līmeni tādos gadījumos kā, piemēram, e-veselības pacienta karšu (EVPK) sistēmas, tajā skaitā gadījumos, kad attiecīgo programmatūru sniedz kā pakalpojumu (SaaS) vai izstrādā uz vietas pašās veselības iestādēs saskaņā ar ierosināto [Eiropas veselības datu telpas regulu]. •Mijiedarbība ar citām Savienības politikas jomām Kā izklāstīts paziņojumā “Eiropas digitālās nākotnes veidošana”, Eiropas Savienībai ir ļoti svarīgi izmantot visas digitālā laikmeta priekšrocības un stiprināt tās rūpniecības un inovācijas spējas, ievērojot drošas un ētiskas robežas. Eiropas Datu stratēģijā ir paredzēti četri pīlāri — datu aizsardzība, pamattiesības, drošums un kiberdrošība — kā būtiski priekšnoteikumi sabiedrībai, kam datu izmantošana sniedz iespējas. Pašreizējā ES regulējumā, ko piemēro produktiem, kuriem var būt arī digitāli elementi, ietilpst vairāki tiesību akti, to vidū konkrētiem produktiem paredzēti ES tiesību akti, kas aptver ar drošumu saistītus aspektus, kā arī vispārējie tiesību akti produktatbildības jomā. Priekšlikums atbilst pašreizējam ar produktiem saistītajam ES tiesiskajam regulējumam, kā arī jaunākajiem tiesību aktu priekšlikumiem, piemēram, Komisijas priekšlikumam regulai [Mākslīgā intelekta (MI) regula]. Ierosinātā regula attiektos uz visām radioiekārtām, kas ietilpst Komisijas Deleģētās regulas (ES) 2022/30 darbības jomā. Turklāt šajā regulā noteiktās prasības ietver visus Direktīvas 2014/53/ES 3. panta 3. punkta d), e) un f) apakšpunktā minēto pamatprasību elementus, ieskaitot galvenos elementus, kas noteikti uz minētās deleģētās regulas pamata izdotajā [Komisijas Īstenošanas lēmumā XXX/2022 par standartizācijas pieprasījumu Eiropas standartizācijas organizācijām]. Lai izvairītos no regulējuma pārklāšanās, ir paredzēts, ka Komisija atcels vai grozīs deleģēto regulu attiecībā uz ierosinātajā regulā ietvertajām radioiekārtām, lai minētā regula uz tām attiektos, kad tā būs piemērojama. Turklāt, lai izvairītos no darba dublēšanās, ir paredzēts, ka Komisija un Eiropas standartizācijas organizācijas ņem vērā standartizācijas darbu, kas saistībā ar Komisijas Īstenošanas lēmumu C(2022)5637 par standartizācijas pieprasījumu attiecībā uz Radioiekārtu direktīvas Deleģēto regulu 2022/30 veikts saskaņoto standartu sagatavošanā un izstrādē ar mērķi sekmēt regulas īstenošanu. 2.JURIDISKAIS PAMATS, SUBSIDIARITĀTE UN PROPORCIONALITĀTE •Juridiskais pamats

Šā priekšlikuma juridiskais pamats ir Līguma par Eiropas Savienības darbību (“LESD”) 114. pants, kurā noteikta pasākumu pieņemšana iekšējā tirgus izveides un darbības nodrošināšanai. Priekšlikuma mērķis ir visās dalībvalstīs saskaņot kiberdrošības prasības attiecībā uz produktiem ar digitāliem elementiem un novērst šķēršļus preču brīvai apritei. LESD 114. pantu var izmantot par juridisko pamatu, lai novērstu šos šķēršļus, ko rada atšķirīgi valstu tiesību akti un pieejas attiecībā uz to, kā novērst juridisko nenoteiktību un spēkā esošo tiesisko regulējumu nepilnības. Turklāt Tiesa ir atzinusi, ka neviendabīgu tehnisko prasību piemērošana varētu būt pamatots iemesls LESD 114. panta piemērošanai. Patlaban spēkā esošais ES tiesiskais regulējums, ko piemēro produktiem ar digitāliem elementiem, pamatojas uz LESD 114. pantu un ietver vairākus tiesību aktus, to vidū aktus, kas paredzēti konkrētiem produktiem un ar drošumu saistītiem aspektiem, vai vispārējos tiesību aktus produktatbildības jomā. Tomēr tas aptver tikai noteiktus aspektus, kas ir saistīti ar materiālo digitālo produktu kiberdrošību un attiecīgā gadījumā šajos produktos iegulto programmatūru. Valsts līmenī dalībvalstis sāk veikt valsts pasākumus, ar kuriem digitālo produktu pārdevējiem tiek prasīts uzlabot savu kiberdrošību. Tajā pašā laikā digitālo produktu kiberdrošībai ir īpaši izteikta pārrobežu dimensija, jo vienā valstī ražotus produktus bieži lieto organizācijas un patērētāji visā iekšējā tirgū. Incidenti, kas sākotnēji skar vienu vienību vai dalībvalsti, bieži vien dažās minūtēs izplatās starp organizācijām, nozarēm un vairākām dalībvalstīm. ES un valstu līmenī līdz šim īstenotie dažādie tiesību akti un iniciatīvas tikai daļēji risina konstatētās problēmas un rada likumdošanas sadrumstalotības risku iekšējā tirgū, palielinot juridisko nenoteiktību gan šo produktu pārdevējiem, gan lietotājiem un radot nevajadzīgu slogu uzņēmumiem, lai tie izpildītu vairākas prasības attiecībā uz līdzīgiem produktu veidiem. Ierosinātā regula saskaņotu un racionalizētu ES regulatīvo vidi, ieviešot kiberdrošības prasības attiecībā uz produktiem ar digitāliem elementiem, un novērstu no dažādiem tiesību aktiem izrietošu prasību pārklāšanos. Tas radītu lielāku juridisko noteiktību uzņēmējiem un lietotājiem visā Savienībā, kā arī Eiropas vienotā tirgus labāku saskaņošanu, radot labvēlīgākus apstākļus uzņēmējiem, kuru mērķis ir ienākt ES tirgū. •Subsidiaritāte (neekskluzīvas kompetences gadījumā) Kiberdrošības izteiktais pārrobežu raksturs kopumā un pieaugošais to risku un incidentu skaits, kuru ietekme izvēršas pāri robežām, starp dažādām nozarēm un produktiem, nozīmē, ka dalībvalstis vienas pašas nevar efektīvi sasniegt pašreizējās intervences mērķus. Valstu pieejas problēmu risināšanā un jo īpaši pieejas, ar kurām ievieš obligātas prasības, radīs papildu juridisko nenoteiktību un juridiskos šķēršļus. Uzņēmumiem varētu tikt liegta netraucēta darbības paplašināšana citās dalībvalstīs, atņemot lietotājiem šo uzņēmumu produktu sniegtos ieguvumus. Tādēļ, lai panāktu augstu uzticēšanās līmeni starp lietotājiem, ir vajadzīga vienota rīcība ES līmenī, palielinot ES produktu ar digitāliem elementiem pievilcību. Tas sniegtu ieguvumus arī digitālajam vienotajam tirgum un iekšējam tirgum kopumā, nodrošinot juridisko noteiktību un panākot vienlīdzīgus konkurences apstākļus produktu ar digitāliem elementiem ražotājiem. Visbeidzot, Padomes 2022. gada 23. maija secinājumos par Eiropas Savienības kiberdrošības parametru izstrādi Komisija ir aicināta līdz 2022. gada beigām ierosināt kopīgas kiberdrošības prasības attiecībā uz savienotajām ierīcēm. •Proporcionalitāte Attiecībā uz ierosinātās regulas proporcionalitāti apsvērto politikas risinājumu pasākumi nepārsniegtu vispārējo un konkrēto mērķu sasniegšanai nepieciešamo apmēru, kā arī neradītu nesamērīgas izmaksas. Konkrētāk, aplūkotā intervence nodrošinātu, ka produkti ar digitāliem elementiem būtu pasargāti visā to aprites ciklā un proporcionāli riskiem, ar ko tie saskaras, izmantojot uz mērķi vērstas un tehnoloģiski neitrālas prasības, kas saglabā savu pamatotību un kopumā atbilst iesaistīto vienību interesēm. Priekšlikumā ietverto kiberdrošības pamatprasību pamatā ir plaši izmantoti standarti, un turpmākajā standartizācijas procesā tiktu ņemtas vērā produktu tehniskās īpatnības. Tas nozīmē, ka drošības kontrole tiktu pielāgota, ja tas nepieciešams konkrētam riska līmenim. Turklāt paredzētie horizontālie noteikumi kritiski svarīgiem produktiem paredzētu tikai trešo personu veiktu novērtējumu. Tas ietvertu tikai nelielu tirgus daļu attiecībā uz produktiem ar digitāliem elementiem. Ietekme uz MVU būtu atkarīga no to klātbūtnes šo konkrēto kategoriju produktu tirgū. Attiecībā uz atbilstības novērtēšanas izmaksu samērīgumu paziņotās struktūras, kas īsteno trešo personu veiktus novērtējumus, maksas noteikšanā ņemtu vērā uzņēmuma lielumu. Lai sagatavotos īstenošanai, tiktu nodrošināts arī saprātīgs 24 mēnešu pārejas laikposms, dodot attiecīgajiem tirgiem laiku sagatavoties, vienlaikus nodrošinot skaidru virzienu attiecībā uz ieguldījumiem pētniecībā un izstrādē. Atbilstības nodrošināšanas izmaksas uzņēmumiem atsvērtu ieguvumi, ko sniegtu augstāks drošības līmenis produktiem ar digitāliem elementiem un galu galā lielāka lietotāju uzticēšanās attiecībā uz šiem produktiem. •Juridiskā instrumenta izvēle Regulatīva intervence nozīmētu regulas, nevis direktīvas pieņemšanu. Tas ir tāpēc, ka attiecībā uz šo konkrēto produktu tiesību aktu veidu regula efektīvāk risinātu konstatētās problēmas un panāktu izvirzītos mērķus, jo šī ir intervence, kas nosaka ļoti plašas produktu kategorijas laišanu iekšējā tirgū. Transponēšanas process direktīvas gadījumā attiecībā uz šādu intervenci varētu atstāt pārāk lielu rīcības brīvību valsts līmenī, iespējams, izraisot noteiktu kiberdrošības pamatprasību vienotības trūkumu, juridisko nenoteiktību, turpmāku sadrumstalotību vai pat diskriminējošas pārrobežu situācijas, vēl jo vairāk ņemot vērā to, ka ietvertajiem produktiem varētu būt vairāki nolūki vai lietojumi un ka ražotāji var ražot vairākas šādu produktu kategorijas. 3.EX POST IZVĒRTĒJUMU, APSPRIEŠANOS AR IEINTERESĒTAJĀM PERSONĀM UN IETEKMES NOVĒRTĒJUMU REZULTĀTI •Apspriešanās ar ieinteresētajām personām Komisija ir apspriedusies ar plašu ieinteresēto personu loku. Dalībvalstis un ieinteresētās personas tika aicinātas piedalīties atklātā sabiedriskajā apspriešanā, kā arī apsekojumos un darbsemināros, kas tika organizēti saistībā ar pētījumu, ko veica Komisijas ietekmes novērtējuma sagatavošanas darba atbalsta konsorcijs, proti, Wavestone, Eiropas politikas pētījumu centrs (CEPS) un ICF. Starp ieinteresētajām personām, ar kurām notika apspriešanās, bija valstu tirgus uzraudzības iestādes, Savienības struktūras, kas nodarbojas ar kiberdrošību, aparatūras un programmatūras ražotāji, aparatūras un programmatūras importētāji un izplatītāji, arodasociācijas, patērētāju organizācijas un produktu ar digitāliem elementiem lietotāji, kā arī pilsoņi, pētnieki un akadēmiskās aprindas, paziņotās struktūras un akreditācijas struktūras, un kiberdrošības nozares speciālisti. Notika šādi apspriešanās pasākumi: ·pirmais pētījums, ko veica ICF, Wavestone, Carsa un CEPS konsorcijs un kas tika publicēts 2021. gada decembrī. Pētījumā tika konstatētas vairākas tirgus nepilnības un izvērtētas iespējamās regulatīvās intervences.

·Atklāta sabiedriskā apspriešana, kas bija vērsta uz iedzīvotājiem, ieinteresētajām personām un kiberdrošības ekspertiem. Tika iesniegtas 176 atbildes. Tās palīdzēja apkopot dažādus viedokļus un pieredzi no visām ieinteresēto personu grupām. ·Komisijas Kibernoturības akta sagatavošanas darba atbalsta pētījuma rīkotajos darbsemināros piedalījās aptuveni 100 pārstāvji no visām 27 dalībvalstīm, pārstāvot plašu ieinteresēto personu loku. ·Tika veiktas ekspertu intervijas, lai gūtu dziļāku izpratni par pašreizējām kiberdrošības problēmām saistībā ar produktiem ar digitāliem elementiem un lai apspriestu politikas risinājumus attiecībā uz iespējamo regulatīvo intervenci. ·Notika divpusējas diskusijas ar valstu kiberdrošības iestāžu, privātā sektora un patērētāju organizāciju līdzdalību. ·Tika mērķtiecīgi informētas galvenās MVU ieinteresētās personas. •Ekspertu atzinumu pieprasīšana un izmantošana Apspriešanās pasākumu mērķis bija, pamatojoties uz ES labāka regulējuma pamatnostādnēm , iegūt informāciju par pieciem galvenajiem vērtēšanas kritērijiem (lietderīgums, efektivitāte, būtiskums, saskaņotība, ES pievienotā vērtība), kā arī par iespējamo risinājumu potenciālo ietekmi nākotnē. Līgumslēdzējs ir ne vien vērsies pie ieinteresētajām personām, kuras tieši ietekmētu ierosinātā regula, bet arī apspriedies ar plašu kiberdrošības jomas ekspertu loku. •Ietekmes novērtējums Komisija veica šā priekšlikuma ietekmes novērtējumu, ko izskatīja Komisijas Regulējuma kontroles padome (RKP). Sanāksme ar RKP piedalīšanos notika 2022. gada 6. jūlijā, un tai sekoja pozitīvs atzinums. Ietekmes novērtējums tika koriģēts, lai ņemtu vērā RKP ieteikumus un piezīmes. Komisija izskatīja dažādus politikas risinājumus, ar ko sasniegt priekšlikuma vispārējo mērķi: ·ieteikuma tiesību pieeja un brīvprātīgi pasākumi (1. risinājums) — šajā risinājumā nebūtu obligātas regulatīvās intervences. Tā vietā Komisija nāktu klajā ar paziņojumiem, norādījumiem, ieteikumiem un, iespējams, rīcības kodeksiem, lai veicinātu brīvprātīgos pasākumus. Lai kompensētu ES horizontālo noteikumu trūkumu, arī turpmāk tiktu izstrādātas brīvprātīgas vai obligātas valstu shēmas. ·Ad hoc regulatīvā intervence attiecībā uz materiālo produktu ar digitāliem elementiem un attiecīgās iegultās programmatūras kiberdrošību (2. risinājums) — šis risinājums ietvertu konkrētam produktam paredzētu ad hoc regulatīvo intervenci, kas aprobežotos ar kiberdrošības prasību pievienošanu un/vai grozīšanu jau spēkā esošajos tiesību aktos vai jaunu tiesību aktu ieviešanu jaunu risku rašanās gadījumā, tostarp, iespējams, attiecībā uz neiegultu programmatūru. 3. un 4. risinājums ietver horizontālu regulatīvu intervenci ar atšķirīgu darbības jomu, lielā mērā ievērojot jauno tiesisko regulējumu (JTR). Šis regulējums nosaka pamatprasības kā nosacījumu noteiktu produktu laišanai iekšējā tirgū. JTR parasti paredz arī atbilstības izvērtēšanu, t. i., procesu, ko veic ražotājs, lai pierādītu, vai ir izpildītas attiecībā uz produktu noteiktās prasības. ·Jaukta pieeja, kas ietver horizontālus obligātos noteikumus attiecībā uz materiālo produktu ar digitāliem elementiem un attiecīgās iegultās programmatūras kiberdrošību, kā arī vairāku posmu pieeju attiecībā uz neiegultu programmatūru (3. risinājums) — šis risinājums ietvertu regulu, ar ko attiecībā uz visiem materiālajiem produktiem ar digitāliem elementiem un tajos iegultu programmatūru tiktu ieviestas horizontālas kiberdrošības prasības kā nosacījums laišanai tirgū, un iekļautu divus apakšrisinājumus, proti, ar obligātu trešās personas veiktu novērtējumu un bez tā (3.i) un 3.ii)). Neiegultā programmatūra netiktu reglamentēta. ·Horizontāla regulatīvā intervence, ar ko ievieš kiberdrošības prasības plašam materiālo un nemateriālo produktu ar digitāliem elementiem klāstam, ieskaitot neiegultu programmatūru (4. risinājums). Šis risinājums līdzinās 3. risinājumam, izņemot darbības jomu. 4. risinājums ietvertu neiegultu programmatūru (ar diviem apakšrisinājumiem, attiecīgi potenciālās regulas darbības jomā iekļaujot tikai kritiski svarīgu programmatūru (4.a)) vai visu programmatūru (4.b)). Par katru apakšrisinājumu saistībā ar atbilstības novērtējumu tiktu apsvērti tie paši apakšrisinājumi, kas attiecībā uz 3. risinājumu. 4. risinājums (ar apakšrisinājumiem, kas aptver visu programmatūru un paredz obligātu trešo personu veiktu kritiski svarīgo produktu novērtējumu) tika atzīts par vēlamo risinājumu, pamatojoties uz novērtējumu par lietderīgumu attiecībā pret konkrētajiem mērķiem, kā arī izmaksu efektivitāti salīdzinājumā ar ieguvumiem. Šis risinājums nodrošinātu konkrētu horizontālās kiberdrošības prasību noteikšanu visiem produktiem ar digitāliem elementiem, kuri tiek laisti vai darīti pieejami iekšējā tirgū, un tas būtu vienīgais risinājums, kas aptvertu visu digitālās piegādes ķēdi. Uz neiegultu programmatūru, kas bieži ir pakļauta ievainojamībai, arī attiektos šāda regulatīvā intervence, tādējādi nodrošinot saskaņotu pieeju attiecībā uz visiem produktiem ar digitāliem elementiem un skaidru atbildības sadalījumu starp dažādiem uzņēmējiem. Šis politikas risinājums arī rada pievienoto vērtību, ietverot rūpības pienākumu un visa aprites cikla aspektus pēc produktu ar digitāliem elementiem laišanas tirgū, lai cita starpā nodrošinātu atbilstīgu informāciju par drošības atbalstu un drošības atjauninājumu nodrošināšanu. Šis politikas risinājums arī visefektīvāk papildinātu neseno TID regulējuma pārskatīšanu, nodrošinot priekšnosacījumus piegādes ķēdes drošības stiprināšanai. Vēlamais risinājums sniegtu ievērojamu labumu dažādām ieinteresētajām personām. Uzņēmumiem tas novērstu atšķirīgus drošības noteikumus attiecībā uz produktiem ar digitāliem elementiem un samazinātu atbilstības nodrošināšanas izmaksas attiecībā uz saistītajiem kiberdrošības tiesību aktiem. Tas samazinātu kiberincidentu skaitu, incidentu risināšanas izmaksas un kaitējumu reputācijai. Tiek lēsts, ka visā ES šī iniciatīva uzņēmumus ietekmējošu incidentu radītās izmaksas varētu samazināt par aptuveni 180 līdz 290 miljardiem EUR gadā. Tas radītu apgrozījuma palielināšanos, jo pieaugtu pieprasījums pēc produktiem ar digitāliem elementiem. Tas uzlabotu uzņēmumu globālo reputāciju, kā rezultātā pieprasījums pieaugtu arī ārpus ES. Lietotājiem vēlamais risinājums uzlabotu drošības īpašību pārredzamību un sekmētu produktu ar digitāliem elementiem lietošanu. Patērētāji un iedzīvotāji iegūtu arī no tā, ka tiktu labāk aizsargātas viņu pamattiesības, piemēram, privātums un datu aizsardzība. Kad sabiedriskās apspriešanas respondentiem tika lūgts novērtēt politikas intervences pasākumu efektivitāti, tie atzina, ka 4. risinājums būtu visefektīvākais pasākums (4,08 skalā no 1 līdz 5). To vidū ir patērētāju organizācijas (5,00), respondenti, kas sevi identificē kā lietotājus (4,22), paziņotās struktūras (4,17), tirgus uzraudzības iestādes (5,00) un produktu ar digitāliem elementiem ražotāji (3,85), to vidū mazie un vidējie ražotāji (4,05). •Normatīvā atbilstība un vienkāršošana

Šajā priekšlikumā ir noteiktas prasības, kas attieksies uz programmatūras un aparatūras ražošanu. Ir jānodrošina juridiskā noteiktība un nedrīkst pieļaut, ka iekšējā tirgū turpina sadrumstaloties ar produktiem saistītu kiberdrošības prasību tirgus ; par šādu vajadzību liecina dažādu ieinteresēto personu paustais plašais atbalsts attiecībā uz horizontālo intervenci. Priekšlikums līdz minimumam samazinās regulatīvo slogu, ko ražotājiem ir radījuši vairāki produktu drošuma tiesību akti. Saskaņošana ar JTR nozīmē labāku intervences darbību un tās izpildes panākšanu. Priekšlikums racionalizē drošības procedūru procesu, iesaistot ražotājus un dalībvalstis, pirms tiek informēta Komisija. Liela daļa priekšlikuma darbības jomā ietverto ražotāju jau ir iepazinušies ar JTR darbību, kas sekmēs tā izpratni un īstenošanu. Attiecībā uz patērētājiem un uzņēmumiem šis priekšlikums veicinās uzticēšanos produktiem ar digitāliem elementiem. •Pamattiesības Paredzams, ka visi politikas risinājumi zināmā mērā uzlabos tādu pamattiesību un pamatbrīvību aizsardzību kā, piemēram, privātums, persondatu aizsardzība, darījumdarbības brīvība un īpašuma vai personas cieņas un integritātes aizsardzība. Šajā ziņā visefektīvākais jo īpaši būtu vēlamais 4. politikas risinājums, kas ietver horizontālas regulatīvās intervences pasākumus un plašu politikas darbības jomu, jo tas, visticamāk, palīdzētu samazināt incidentu, arī persondatu aizsardzības pārkāpumu, skaitu un nopietnības pakāpi. Tas arī palielinātu juridisko noteiktību un nodrošinātu vienlīdzīgus konkurences apstākļus uzņēmējiem, palielinātu lietotāju uzticēšanos un ES produktu ar digitāliem elementiem pievilcību kopumā, tādējādi aizsargājot īpašumu un uzņēmējiem uzlabojot darījumdarbības veikšanas apstākļus. Horizontālās kiberdrošības prasības veicinātu persondatu drošību, aizsargājot konfidencialitāti, integritāti un informācijas pieejamību attiecībā uz produktiem ar digitāliem elementiem. Šo prasību ievērošana sekmēs atbilstību prasībai par persondatu apstrādes drošību saskaņā ar Regulu (ES) 2016/679 par Vispārīgo datu aizsardzības regulu (VDAR). Priekšlikums uzlabotu pārredzamību un informācijas sniegšanu lietotājiem, arī tiem, kuriem varētu būt zemāks prasmju līmenis kiberdrošības jomā. Lietotāji arī būtu labāk informēti par riskiem, spējām un ierobežojumiem saistībā ar produktiem ar digitāliem elementiem, un tas ļautu viņiem labāk veikt nepieciešamos preventīvos un riska mazināšanas pasākumus atlikušo risku samazināšanas nolūkā. 4.IETEKME UZ BUDŽETU Lai pildītu uzdevumus, kas saskaņā ar šo regulu uzticēti Eiropas Savienības Kiberdrošības aģentūrai (ENISA), ENISA būs jāpārdala resursi aptuveni 4,5 pilnslodzes ekvivalentu (FTE) apmērā. Komisijai, lai izpildītu savus pienākumus saistībā ar izpildes panākšanu atbilstīgi šai regulai, būtu jāpiešķir 7 FTE. Sīki izstrādāts attiecīgo izmaksu pārskats ir sniegts ar šo priekšlikumu saistītajā “finanšu pārskatā”. 5.CITI ELEMENTI •Īstenošanas plāni un uzraudzīšanas, izvērtēšanas un ziņošanas kārtība Lai novērtētu jauno noteikumu efektivitāti, Komisija uzraudzīs to īstenošanu, piemērošanu un atbilstību tiem. Komisijai regula būs jāizvērtē un jāpārskata un jāsniedz par to publisks ziņojums Eiropas Parlamentam un Padomei 36 mēnešos pēc piemērošanas dienas un pēc tam reizi četros gados. •Detalizēts konkrētu priekšlikuma noteikumu skaidrojums Vispārīgie noteikumi (I nodaļa) Šī ierosinātā regula nosaka a) noteikumus par produktu ar digitāliem elementiem laišanu tirgū, lai nodrošinātu šādu produktu kiberdrošību; b) pamatprasības attiecībā uz produktu ar digitāliem elementiem projektēšanu, izstrādi un ražošanu, kā arī ar šiem produktiem saistītos uzņēmēju pienākumus attiecībā uz kiberdrošību; c) pamatprasības par ievainojamību novēršanas procesiem, ko ražotāji ieviesuši, lai attiecībā uz produktiem ar digitāliem elementiem nodrošinātu kiberdrošību visā aprites ciklā, kā arī ar šiem procesiem saistītos uzņēmēju pienākumus; d) noteikumus par tirgus uzraudzību un iepriekš minēto noteikumu un prasību izpildes panākšanu. Ierosinātā regula attieksies uz visiem produktiem ar digitāliem elementiem, kuru paredzētais un pamatoti paredzamais lietojums ietver tiešu vai netiešu loģisku vai fizisku datu savienojumu ar ierīci vai tīklu. Ierosinātā regula neattieksies uz produktiem ar digitāliem elementiem, kuri ietilpst Regulas (ES) 2017/745 [cilvēkiem paredzētas medicīniskas ierīces un šādu ierīču piederumi] un Regulas (ES) 2017/746 [cilvēkiem paredzētas in vitro diagnostikas medicīniskas ierīces un šādu ierīču piederumi] darbības jomā, jo abās regulās ir ietvertas prasības attiecībā uz ierīcēm, ieskaitot prasības attiecībā uz programmatūru, un vispārīgie ražotāju pienākumi, kas aptver visu produktu aprites ciklu, kā arī atbilstības novērtēšanas procedūras. Šī regula neattieksies uz produktiem ar digitāliem elementiem, kuri sertificēti saskaņā ar Regulu 2018/1139 [augsts, vienveidīgs civilās aviācijas drošības līmenis], ne arī uz produktiem, kuriem piemēro Regulu (ES) 2019/2144 [par prasībām mehānisko transportlīdzekļu un to piekabju un šiem transportlīdzekļiem paredzētu sistēmu, komponentu un atsevišķu tehnisko vienību tipa apstiprināšanai]. Kritiski svarīgiem produktiem ar digitāliem elementiem piemēro īpašas atbilstības novērtēšanas procedūras, un tos, kā noteikts III pielikumā, iedala I klasē un II klasē, atspoguļojot to kiberdrošības riska līmeni, un II klasē ir produkti ar lielāku risku. Produkts ar digitāliem elementiem tiek uzskatīts par kritiski svarīgu un tādēļ iekļauts III pielikumā, ņemot vērā ietekmi, ko rada iespējamās kiberdrošības ievainojamības, kas ietvertas produktā ar digitāliem elementiem. Nosakot kiberdrošības risku, cita starpā tiek ņemta vērā ar kiberdrošību saistītā funkcionalitāte, kas piemīt produktam ar digitāliem elementiem, un paredzētais lietojums sensitīvās vidēs, piemēram, rūpnieciskajā vidē. Komisija tiek arī pilnvarota pieņemt deleģētos aktus, lai papildinātu šo regulu, precizējot kategorijas ļoti kritiski svarīgiem produktiem ar digitāliem elementiem, attiecībā uz kurām ražotājiem ir jāsaņem Eiropas kiberdrošības sertifikāts saskaņā ar Eiropas kiberdrošības sertifikācijas shēmu, lai pierādītu atbilstību I pielikumā vai tā daļās izklāstītajām pamatprasībām. Nosakot kategorijas šādiem ļoti kritiski svarīgiem produktiem ar digitāliem elementiem, Komisija ņem vērā kiberdrošības riska līmeni, kas saistīts ar produktu ar digitāliem elementiem kategoriju, ņemot vērā vienu vai vairākus kritērijus, kas tiek izvērtēti, lai III pielikumā iekļautu kritiski svarīgus produktus ar digitāliem elementiem, kā arī ņemot vērā novērtējumu par to, vai attiecīgo produktu kategoriju lieto vai uz to paļaujas Direktīvas [Direktīva XXX/XXXX (TID2)] pielikumā [I pielikums] minēto veidu būtiskās vienības, vai arī tai, iespējams, būs būtiska turpmākā nozīme šo vienību darbībās; vai tā attiecas uz produktu ar digitāliem elementiem vispārējās piegādes ķēdes noturību pret darbības traucējumiem. Uzņēmēju pienākumi (II nodaļa) Priekšlikumā ir ietverti ražotāju, importētāju un izplatītāju pienākumi, kas pamatoti uz Lēmumā Nr. 768/2008/EK paredzētajiem atsauces noteikumiem. Kiberdrošības pamatprasības un pienākumi nosaka, ka visus produktus ar digitāliem elementiem dara pieejamus tirgū tikai tad, ja — ar noteikumu, ka tie pienācīgi piegādāti, pareizi uzstādīti, uzturēti un lietoti paredzētajam nolūkam vai apstākļos, ko var pamatoti paredzēt, — tie atbilst šajā regulā izklāstītajām kiberdrošības pamatprasībām.

Pamatprasības un pienākumi noteiktu, ka ražotājiem jāņem vērā kiberdrošība, projektējot, izstrādājot un ražojot produktus ar digitāliem elementiem, jāveic drošības aspektu uzticamības pārbaude savu produktu projektēšanā un izstrādē, jānodrošina to kiberdrošības aspektu pārredzamība, kuri jādara zināmi klientiem, samērīgi jānodrošina drošības atbalsts (atjauninājumi) un jāievēro ievainojamību novēršanas prasības. Attiecībā uz produktu ar digitāliem elementiem laišanu tirgū uzņēmējiem — sākot no ražotājiem, līdz pat izplatītājiem un importētājiem — tiktu noteikti pienākumi, kas atbilst viņu nozīmei un atbildībai piegādes ķēdē. Produkta ar digitāliem elementiem atbilstība (III nodaļa) Tiek pieņemts, ka produkts ar digitāliem elementiem, kas atbilst saskaņotajiem standartiem vai to daļām, uz kuriem atsauces ir publicētas Eiropas Savienības Oficiālajā Vēstnesī, atbilst šajā ierosinātajā regulā noteiktajām pamatprasībām. Ja saskaņoto standartu nav vai tie nav pietiekami, vai ja standartizācijas procedūra ir nepamatoti aizkavējusies, vai ja Eiropas standartizācijas organizācijas nav pieņēmušas Komisijas pieprasījumu, Komisija var pieņemt kopīgas specifikācijas, izmantojot īstenošanas aktus. Turklāt produkti ar digitāliem elementiem, kas ir sertificēti vai par kuriem izdots ES atbilstības apliecinājums vai sertifikāts saskaņā ar Eiropas kiberdrošības sertifikācijas shēmu atbilstīgi Regulai (ES) 2019/881 un attiecībā uz kuriem Komisija ar īstenošanas aktu ir norādījusi, ka tā var nodrošināt pieņēmumu par atbilstību šai regulai, ir uzskatāmi par atbilstīgiem šīs regulas vai tās daļu pamatprasībām, ciktāl ES atbilstības apliecinājums vai kiberdrošības sertifikāts vai tā daļas attiecas uz minētajām prasībām. Turklāt, lai novērstu nevajadzīgu administratīvo slogu ražotājiem, Komisijai attiecīgā gadījumā būtu jāprecizē, vai saskaņā ar šādu Eiropas kiberdrošības sertifikācijas shēmu izdots kiberdrošības sertifikāts atceļ ražotāju pienākumu par trešās personas veiktu atbilstības novērtējumu, kā tas šajā regulā noteikts saistībā ar attiecīgajām prasībām. Ražotājs veic atbilstības izvērtēšanu attiecībā uz produktu ar digitāliem elementiem un ieviestajiem ievainojamību novēršanas procesiem, lai pierādītu atbilstību I pielikumā noteiktajām pamatprasībām, ievērojot vienu no VI pielikumā izklāstītajām procedūrām. I un II klases kritiski svarīgo produktu ražotāji izmanto attiecīgos atbilstības nodrošināšanai nepieciešamos moduļus. II klases kritiski svarīgu produktu ražotājiem atbilstības novērtēšanā ir jāiesaista trešā persona. Atbilstības novērtēšanas struktūru paziņošana (IV nodaļa) Lai nodrošinātu augsta līmeņa kiberdrošību un panāktu visu ieinteresēto personu uzticēšanos jaunās pieejas sistēmai, ļoti svarīga ir paziņoto struktūru pienācīga darbība. Tādēļ, ņemot vērā Lēmumu 768/2008/EK, priekšlikumā ir izklāstītas prasības valstu iestādēm, kuras ir atbildīgas par atbilstības novērtēšanas struktūrām (paziņotajām struktūrām). Tajā galīgā atbildība par paziņoto struktūru izraudzīšanos un uzraudzību ir atstāta dalībvalstu ziņā. Dalībvalstis izraugās paziņojošo iestādi, kas ir atbildīga par tādu procedūru izveidi un veikšanu, kuras vajadzīgas, lai novērtētu un paziņotu atbilstības novērtēšanas struktūras un uzraudzītu paziņotās struktūras. Tirgus uzraudzība un tās izpilde (V nodaļa) Saskaņā ar Regulu (ES) 2019/1020 valstu tirgus uzraudzības iestādes veic tirgus uzraudzību attiecīgās dalībvalsts teritorijā. Dalībvalstis tirgus uzraudzības iestādes darbībai var izraudzīties jebkuru esošu vai jaunu iestādi, ieskaitot izveidotās valstu kompetentās iestādes, kas minētas Direktīvas [Direktīva XXX/XXXX (TID2)] pantā [X. pants], vai izraudzītās valsts kiberdrošības sertifikācijas iestādes, kas minētas Regulas (ES) 2019/881 58. pantā. Uzņēmēji tiek aicināti pilnībā sadarboties ar tirgus uzraudzības iestādēm un citām kompetentajām iestādēm. Deleģētās pilnvaras un komiteju procedūras (VI nodaļa) Nolūkā nodrošināt, ka vajadzības gadījumā tiesisko regulējumu var pielāgot, Komisijai saskaņā ar LESD 290. pantu tiek deleģētas pilnvaras pieņemt aktus attiecībā uz to, lai atjauninātu I un II klases kritiski svarīgo produktu sarakstu un precizētu šo produktu definīcijas; precizētu, vai ir nepieciešams ierobežojums vai izslēgšana attiecībā uz produktiem ar digitāliem elementiem, uz kuriem attiecas citi Savienības noteikumi, ar ko nosaka prasības, kas nodrošina tādu pašu aizsardzības līmeni kā šī regula; pilnvarotu noteiktu ļoti kritiski svarīgu produktu ar digitāliem elementiem sertificēšanu, pamatojoties uz šajā regulā noteiktajiem kritērijiem; precizētu ES atbilstības deklarācijas minimālo saturu un papildinātu tehniskajā dokumentācijā iekļaujamos elementus. Komisija tiek arī pilnvarota pieņemt īstenošanas aktus, lai: precizētu ziņošanas pienākumu un programmatūras materiālu komplekta formātu vai elementus; norādītu Eiropas kiberdrošības sertifikācijas shēmas, kuras var izmantot, lai pierādītu atbilstību šajā regulā noteiktajām pamatprasībām vai to daļām; pieņemtu kopīgas specifikācijas; noteiktu CE zīmes uzlikšanas tehniskās specifikācijas; pieņemtu izņēmuma apstākļos Savienības līmenī veicamus korektīvus vai ierobežojošus pasākumus, kas pamato tūlītēju intervenci ar mērķi saglabāt iekšējā tirgus pareizu darbību. Konfidencialitāte un sankcijas (VII nodaļa) Visas puses, kas piemēro šo regulu, ievēro savu uzdevumu un darbību veikšanā iegūtās informāciju un datu konfidencialitāti. Lai nodrošinātu šajā regulā noteikto pienākumu efektīvu izpildi, katrai tirgus uzraudzības iestādei vajadzētu būt pilnvarām uzlikt administratīvus naudas sodus vai pieprasīt to uzlikšanu. Tāpat ar šo regulu nosaka administratīvo naudas sodu maksimālos līmeņus, kas valstu tiesību aktos būtu jāparedz attiecībā uz šajā regulā noteikto pienākumu neizpildi. Pārejas un nobeiguma noteikumi (VIII nodaļa) Lai ražotājiem, paziņotajām struktūrām un dalībvalstīm dotu laiku pielāgoties jaunajām prasībām, ierosināto regulu sāks piemērot [24 mēnešus] pēc tās stāšanās spēkā, izņemot ražotājiem noteikto ziņošanas pienākumu, kas būtu piemērojams, sākot no [12 mēnešiem] pēc spēkā stāšanās dienas.





2022/0272 (COD) Priekšlikums EIROPAS PARLAMENTA UN PADOMES REGULA par horizontālajām kiberdrošības prasībām attiecībā uz produktiem ar digitāliem elementiem un ar ko groza Regulu (ES) 2019/1020 (Dokuments attiecas uz EEZ) EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME, ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 114. pantu, ņemot vērā Eiropas Komisijas priekšlikumu, pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem, ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu, ņemot vērā Reģionu komitejas atzinumu, saskaņā ar parasto likumdošanas procedūru, tā kā: (1)Ir jāuzlabo iekšējā tirgus darbība, nosakot vienotu tiesisko regulējumu kiberdrošības pamatprasībām attiecībā uz produktu ar digitāliem elementiem laišanu Savienības tirgū. Būtu jārisina divas galvenās problēmas, kas rada papildu izmaksas lietotājiem un sabiedrībai, proti, zems kiberdrošības līmenis produktiem ar digitāliem elementiem, ko atspoguļo plaši izplatītas ievainojamības un nepietiekama un nekonsekventa drošības atjauninājumu nodrošināšana to novēršanai, un nepietiekama lietotāju izpratne un piekļuve informācijai, kas neļauj lietotājiem izvēlēties produktus ar atbilstošām kiberdrošības īpašībām vai tos izmantot drošā veidā. (2)Šīs regulas mērķis ir noteikt robežnosacījumus drošu produktu ar digitāliem elementiem izstrādei, nodrošinot, ka aparatūras un programmatūras produkti tirgū tiek laisti ar mazāk ievainojamībām un ka ražotājiem ir nopietna attieksme pret drošību visā produkta aprites ciklā. Tās mērķis ir arī radīt apstākļus, kas lietotājiem, izvēloties un lietojot produktus ar digitāliem elementiem, dod iespēju ņemt vērā kiberdrošību. (3)Attiecīgie patlaban spēkā esošie Savienības tiesību akti ietver vairākus horizontālo noteikumu kopumus, kas no dažādiem skatupunktiem pievēršas noteiktiem ar kiberdrošību saistītiem aspektiem, ieskaitot pasākumus digitālās piegādes ķēdes drošības uzlabošanai. Tomēr spēkā esošie Savienības tiesību akti attiecībā uz kiberdrošību, to vidū [Direktīva XXX/XXXX (TID2)] un Eiropas Parlamenta un Padomes Regula (ES) 2019/881, tieši neaptver produktu ar digitāliem elementiem drošības obligātās prasības. (4)Lai gan spēkā esošie Savienības tiesību akti attiecas uz noteiktiem produktiem ar digitāliem elementiem, nav horizontāla Savienības tiesiskā regulējuma, kas noteiktu visaptverošas kiberdrošības prasības attiecībā uz visiem produktiem ar digitāliem elementiem. Dažādie ES un valstu līmenī līdz šim īstenotie tiesību akti un iniciatīvas tikai daļēji risina konstatētās ar kiberdrošību saistītās problēmas un riskus, izraisot likumdošanas sadrumstalotību iekšējā tirgū, palielinot juridisko nenoteiktību gan šo produktu ražotājiem, gan lietotājiem un radot nevajadzīgu slogu uzņēmumiem, lai tie izpildītu vairākas prasības attiecībā uz līdzīgiem produktu veidiem. Šo produktu kiberdrošībai ir īpaši izteikta pārrobežu dimensija, jo vienā valstī ražotus produktus bieži izmanto organizācijas un patērētāji visā iekšējā tirgū. Tādēļ šī joma ir jāreglamentē Savienības līmenī. Savienības regulatīvā vide būtu jāsaskaņo, ieviešot kiberdrošības prasības attiecībā uz produktiem ar digitāliem elementiem. Turklāt būtu jānodrošina noteiktība attiecībā uz uzņēmējiem un lietotājiem visā Savienībā, kā arī vienotā tirgus labāka saskaņošana, radot labvēlīgākus apstākļus uzņēmējiem, kuru mērķis ir ienākt Savienības tirgū. (5)Savienības līmenī dažādi programmatiski un politiski dokumenti (piemēram, ES kiberdrošības stratēģija digitālajai desmitgadei, Padomes 2020. gada 2. decembra un 2022. gada 23. maija secinājumi vai Eiropas Parlamenta 2021. gada 10. jūnija rezolūcija) ir aicinājuši noteikt īpašas Savienības kiberdrošības prasības digitāliem vai savienotiem produktiem, un visā pasaulē vairākas valstis ievieš pasākumus, lai risinātu šo jautājumu pēc savas iniciatīvas. Konferences par Eiropas nākotni galīgajā ziņojumā pilsoņi aicināja “stiprināt ES lomu cīņā pret kiberdrošības apdraudējumiem”. (6)Lai palielinātu vispārējo kiberdrošības līmeni visiem iekšējā tirgū laistiem produktiem ar digitāliem elementiem, attiecībā uz šiem produktiem ir jāievieš uz mērķi vērstas un tehnoloģiski neitrālas kiberdrošības pamatprasības, kuras piemēro horizontāli. (7)Noteiktos apstākļos visi produkti ar digitāliem elementiem, kas integrēti lielākā elektroniskā informācijas sistēmā vai savienoti ar to, var kalpot par ļaundaru uzbrukuma vektoru. Tā rezultātā pat tāda aparatūra un programmatūra, kas tiek uzskatīta par mazāk kritiski svarīgu, var sekmēt ierīces vai tīkla sākotnējo apdraudējumu, ļaujot ļaundariem iegūt privileģētu piekļuvi sistēmai vai izmantot sānisko piekļuvi, lai pārvietotos starp sistēmām. Tāpēc ražotājiem būtu jānodrošina, ka visi savienojamie produkti ar digitāliem elementiem tiek projektēti un izstrādāti saskaņā ar šajā regulā noteiktajām pamatprasībām. Tas ietver gan produktus, kurus var fiziski savienot ar aparatūras saskarņu palīdzību, gan produktus, kuri ir loģiski savienoti, piemēram, izmantojot tīkla ligzdas, programmkanālus, datnes, lietojumprogrammu saskarnes vai cita veida programmatūras saskarnes. Tā kā kiberdrošības apdraudējumi pirms noteikta mērķa sasniegšanas var izplatīties ar dažādiem produktiem ar digitāliem elementiem, piemēram, saķēdējot kopā vairākus ievainojamības izmantotājus, ražotājiem būtu arī jānodrošina to produktu kiberdrošība, kuri ir tikai netieši savienoti ar citām ierīcēm vai tīkliem.

(8)Nosakot kiberdrošības prasības produktu ar digitāliem elementiem laišanai tirgū, tiks uzlabota šo produktu kiberdrošība gan patērētājiem, gan uzņēmumiem. Tas ietver arī prasības tādu patēriņa preču ar digitāliem elementiem laišanai tirgū, kas paredzētas neaizsargātiem patērētājiem, piemēram, rotaļlietu un bērnu monitoru laišanai tirgū. (9)Šī regula nodrošina augstu kiberdrošības līmeni produktiem ar digitāliem elementiem. Tā nereglamentē pakalpojumus, piemēram, programmatūras kā pakalpojuma sniegšanu (SaaS), izņemot attiecībā uz attālinātas datu apstrādes risinājumiem saistībā ar produktu ar digitāliem elementiem, to saprotot kā jebkādu attālinātu datu apstrādi, kurai programmatūru ir projektējis un izstrādājis vai par to ir bijis atbildīgs attiecīgā produkta ražotājs un kuras neesamība liegtu šādam produktam ar digitāliem elementiem pildīt kādu no savām funkcijām. [Direktīva XXX/XXXX (TID2)] ievieš kiberdrošības un incidentu paziņošanas prasības būtiskām un svarīgām vienībām, piemēram, kritiski svarīgai infrastruktūrai, lai palielinātu to sniegto pakalpojumu noturību. [Direktīva XXX/XXXX (TID2)] attiecas uz mākoņdatošanas pakalpojumiem un mākoņpakalpojumu modeļiem, piemēram, SaaS. Minētās direktīvas darbības jomā ietilpst visas vienības, kas Savienībā sniedz mākoņdatošanas pakalpojumus un kas ir sasniegušas vai pārsniedz robežvērtību attiecībā uz vidējiem uzņēmumiem. (10)Lai nekavētu inovāciju vai pētniecību, šai regulai nebūtu jāattiecas uz bezmaksas un atklātā pirmkoda programmatūru, kas izstrādāta vai piegādāta, neveicot komercdarbību. Tas jo īpaši attiecas uz programmatūru, arī tās pirmkodu un modificētajām versijām, kas ir atklāti kopīgota un brīvi pieejama, izmantojama, maināma un pārdalāma. Programmatūras kontekstā komercdarbībai var būt raksturīga ne tikai cenas noteikšana par produktu, bet arī cenas noteikšana par tehniskā atbalsta pakalpojumiem, nodrošinot programmatūras platformu, ar kuras palīdzību ražotājs izsaka naudas izteiksmē citus pakalpojumus, vai persondatu izmantošana citu iemeslu dēļ, nevis tikai programmatūras drošības, savietojamības vai sadarbspējas uzlabošanai. (11)Drošs internets ir neaizstājams kritiski svarīgās infrastruktūras darbībai un sabiedrībai kopumā. [Direktīvas XXX/XXXX (TID2)] mērķis ir nodrošināt augstu kiberdrošības līmeni pakalpojumiem, ko sniedz būtiskas un svarīgas vienības, to vidū digitālās infrastruktūras nodrošinātāji, kuri atbalsta atvērtā interneta pamatfunkcijas, nodrošina piekļuvi internetam un interneta pakalpojumus. Tāpēc ir svarīgi, lai produkti ar digitāliem elementiem, kas digitālās infrastruktūras nodrošinātājiem ir nepieciešami, lai nodrošinātu interneta darbību, tiktu izstrādāti drošā veidā un lai tie atbilstu vispāratzītiem interneta drošības standartiem. Šīs regulas, kas attiecas uz visiem savienojamiem aparatūras un programmatūras produktiem, mērķis ir arī sekmēt digitālās infrastruktūras nodrošinātāju atbilstību piegādes ķēdes prasībām saskaņā ar [Direktīvu XXX/XXXX (TID2)], nodrošinot, ka produkti ar digitāliem elementiem, ko tie izmanto savu pakalpojumu sniegšanai, tiek izstrādāti drošā veidā un ka tiem ir piekļuve šādu produktu savlaicīgiem drošības atjauninājumiem. (12)Eiropas Parlamenta un Padomes Regulā (ES) 2017/745 ir izklāstīti noteikumi par medicīniskajām ierīcēm, un Eiropas Parlamenta un Padomes Regulā (ES) 2017/746 – par in vitro diagnostikas medicīniskajām ierīcēm. Abas regulas pievēršas kiberdrošības riskiem un izmanto konkrētas pieejas, kas ir izskatītas arī šajā regulā. Konkrētāk, Regulā (ES) 2017/745 un Regulā (ES) 2017/746 ir noteiktas pamatprasības attiecībā uz medicīniskajām ierīcēm, kuras darbojas ar elektroniskas sistēmas starpniecību vai kuras pašas ir programmatūra. Minētās regulas attiecas arī uz noteiktu neiegulto programmatūru un visa aprites cikla pieeju. Šīs prasības nosaka, ka ražotājiem jāizstrādā un jāveido savi produkti, piemērojot riska pārvaldības principus un nosakot prasības attiecībā uz IT drošības pasākumiem, kā arī attiecīgas atbilstības novērtēšanas procedūras. Turklāt kopš 2019. gada decembra ir spēkā īpaši norādījumi par medicīnisko ierīču kiberdrošību, kuros medicīnisko ierīču, ieskaitot in vitro diagnostikas ierīces, ražotājiem ir sniegti norādījumi par to, kā izpildīt visas attiecīgās minēto regulu I pielikuma pamatprasības attiecībā uz kiberdrošību. Tāpēc šai regulai nebūtu jāattiecas uz produktiem ar digitāliem elementiem, kam piemēro kādu no minētajām regulām. (13)Eiropas Parlamenta un Padomes Regulā (ES) 2019/2144 ir noteiktas prasības transportlīdzekļu un to sistēmu un komponentu tipa apstiprināšanai, ieviešot konkrētas kiberdrošības prasības, arī attiecībā uz sertificētas kiberdrošības pārvaldības sistēmas darbību, programmatūras atjauninājumiem, ietverot organizāciju politiku un procesus attiecībā uz kiberriskiem, kas saistīti ar transportlīdzekļu, iekārtu un pakalpojumu visu aprites ciklu, saskaņā ar piemērojamajiem Apvienoto Nāciju Organizācijas noteikumiem par tehniskajām specifikācijām un kiberdrošību un paredzot īpašas atbilstības novērtēšanas procedūras. Aviācijas jomā Eiropas Parlamenta un Padomes Regulas (ES) 2018/1139 galvenais mērķis ir izveidot un uzturēt vienādi augstu civilās aviācijas drošības līmeni Savienībā. Ar to izveido pamatprasību sistēmu attiecībā uz lidojumderīgumu aeronavigācijas produktiem, daļām, ierīcēm, ieskaitot programmatūru, kurā ņemti vērā pienākumi aizsargāt pret informācijas drošības apdraudējumiem. Tāpēc uz produktiem ar digitāliem elementiem, kam piemēro Regulu (ES) 2019/2144, un uz šiem produktiem, kas sertificēti saskaņā ar Regulu (ES) 2018/1139, neattiecas šajā regulā noteiktās pamatprasības un atbilstības novērtēšanas procedūras. Saskaņā ar Regulu (EU) 2018/1139 noteiktais sertifikācijas process nodrošina tādu uzticamības līmeni, kas atbilst šīs regulas mērķim. (14)Šajā regulā ir noteikti horizontālie kiberdrošības noteikumi, kas nav paredzēti konkrētām nozarēm vai konkrētiem produktiem ar digitāliem elementiem. Tomēr noteiktām nozarēm vai konkrētiem produktiem paredzētus Savienības noteikumus būtu iespējams ieviest, nosakot prasības, kuras piemēro visiem vai dažiem riskiem, uz kuriem attiecas šajā regulā noteiktās pamatprasības. Šādos gadījumos šīs regulas piemērošanu produktiem ar digitāliem elementiem, kas ietverti citos Savienības noteikumos, kuros ir noteiktas visiem vai dažiem tiem riskiem piemērojamas prasības, uz kuriem attiecas šīs regulas I pielikumā izklāstītās pamatprasības, var ierobežot vai izslēgt, ja šāds ierobežojums vai izslēgšana atbilst vispārējam tiesiskajam regulējumam, ko piemēro minētajiem produktiem, un ja nozares noteikumi nodrošina tādu pašu aizsardzības līmeni, kāds paredzēts šajā regulā. Komisija tiek pilnvarota pieņemt deleģētos aktus, lai grozītu šo regulu, identificējot šādus produktus un noteikumus. Attiecībā uz spēkā esošajiem Savienības tiesību aktiem, kuros būtu jāpiemēro šādi ierobežojumi vai izslēgšana, šajā regulā ir ietverti īpaši noteikumi, lai precizētu tās saistību ar minētajiem Savienības tiesību aktiem. (15)Deleģētajā regulā (ES) 2022/30 ir norādīts, ka Direktīvas 2014/53/ES 3. panta 3. punkta d) apakšpunktā (kaitējums tīklam un tīkla resursu pārmērīga izmantošana), e) apakšpunktā (persondati un privātums) un f) apakšpunktā (krāpšana) izklāstītās pamatprasības piemēro noteiktām radioiekārtām. [Komisijas Īstenošanas lēmumā XXX/2022 par standartizācijas pieprasījumu Eiropas standartizācijas organizācijām] ir noteiktas prasības īpašu standartu izstrādei, papildus precizējot, kā šīs trīs pamatprasības būtu jārisina. Šajā regulā noteiktās pamatprasības ietver visus Direktīvas 2014/53/ES 3. panta 3. punkta d), e) un f) apakšpunktā minēto pamatprasību elementus. Turklāt šajā regulā noteiktās pamatprasības ir saskaņotas ar minētajā standartizācijas pieprasījumā iekļauto īpašo standartu prasību mērķiem. Turklāt, ja Komisija atceļ vai groza Deleģēto regulu (ES) 2022/30, kā rezultātā tā vairs nav piemērojama noteiktiem produktiem, uz kuriem attiecas šī regula, Komisijai un Eiropas standartizācijas organizācijām būtu jāņem vērā standartizācijas darbs, kas veikts saistībā ar Komisijas Īstenošanas lēmumu C(2022)5637 par standartizācijas pieprasījumu attiecībā uz Radioiekārtu direktīvas Deleģēto regulu 2022/30, saskaņoto standartu sagatavošanā un izstrādē ar mērķi sekmēt šīs regulas īstenošanu. (16)Direktīva 85/374/EEK papildina šo regulu. Minētajā direktīvā ir paredzēti noteikumi par atbildību attiecībā uz produktiem ar trūkumiem, lai aizskartās personas varētu pieprasīt kompensāciju, ja kaitējumu ir izraisījuši produkti ar trūkumiem. Tajā ir noteikts princips, saskaņā ar kuru produkta ražotājs neatkarīgi no vainas ir atbildīgs par kaitējumu, ko izraisījis viņa produkta drošuma trūkums (“stingrā atbildība”). Ja šādu drošuma trūkumu veido drošības atjauninājumu trūkums pēc produkta laišanas tirgū un tas rada kaitējumu, varētu iestāties ražotāja atbildība. Šajā regulā būtu jānosaka ražotāju pienākumi, kas attiecas uz šādu drošības atjauninājumu nodrošināšanu. (17)Šai regulai nebūtu jāskar Eiropas Parlamenta un Padomes Regula (ES) 2016/679, ieskaitot noteikumus par datu aizsardzības sertifikācijas mehānismu ieviešanu un datu aizsardzības zīmogiem un marķējumu, kam uzskatāmi jāparāda datu pārziņu un apstrādātāju veikto apstrādes darbību atbilstība minētajai regulai. Šādas darbības varētu iestrādāt produktā ar digitāliem elementiem. Integrēta datu aizsardzība un datu aizsardzība pēc noklusējuma, kā arī kiberdrošība kopumā ir galvenie Regulas (ES) 2016/679 elementi. Aizsargājot patērētājus un organizācijas no kiberdrošības riskiem, šajā regulā noteiktajām kiberdrošības pamatprasībām ir arī jāpalīdz uzlabot persondatu un personu privātuma aizsardzību. Būtu jāapsver sinerģija gan standartizācijas, gan sertifikācijas jomā attiecībā uz kiberdrošības aspektiem, kurā izmantotu sadarbību starp Komisiju, Eiropas standartizācijas organizācijām, Eiropas Savienības Kiberdrošības aģentūru (ENISA), ar Regulu (ES) 2016/679 izveidoto Eiropas Datu aizsardzības kolēģiju (EDAK) un valstu datu aizsardzības uzraudzības iestādēm. Sinerģija starp šo regulu un Savienības datu aizsardzības tiesību aktiem būtu jāizveido arī tirgus uzraudzības un izpildes panākšanas jomā. Šajā nolūkā atbilstīgi šai regulai izraudzītajām valstu tirgus uzraudzības iestādēm būtu jāsadarbojas ar iestādēm, kuras uzrauga Savienības datu aizsardzības tiesību aktus. Tām vajadzētu būt arī piekļuvei informācijai, kas ir būtiska tām paredzēto uzdevumu veikšanai. (18)Eiropas digitālās identitātes maku izdevējiem, kas minēti attiecīgajā pantā [Regulas (ES) Nr. 910/2014, kurā grozījumi izdarīti ar priekšlikumu regulai, ar ko Regulu (ES) Nr. 910/2014 groza attiecībā uz Eiropas digitālās identitātes regulējuma izveidi, 6.a panta 2. punkts], ciktāl to produkti ietilpst šīs regulas darbības jomā, būtu jāievēro gan ar šo regulu noteiktās horizontālās pamatprasības, gan īpašās drošības prasības, kas noteiktas ar [Regulas (ES) Nr. 910/2014, kurā grozījumi izdarīti ar priekšlikumu regulai, ar ko Regulu (ES) Nr. 910/2014 groza attiecībā uz Eiropas digitālās identitātes regulējuma izveidi, 6.a pants] pantu. Lai sekmētu atbilstību, maku izdevējiem būtu jāspēj pierādīt Eiropas digitālās identitātes maku atbilstību abos tiesību aktos attiecīgi noteiktajām prasībām, sertificējot savus produktus saskaņā ar Eiropas kiberdrošības sertifikācijas shēmu, kas izveidota atbilstīgi Regulai (ES) 2019/881 un attiecībā uz kuru Komisija ar īstenošanas aktu ir noteikusi pieņēmumu par atbilstību šai regulai, ciktāl sertifikāts vai tā daļas attiecas uz minētajām prasībām. (19)Daži šajā regulā paredzētie uzdevumi būtu jāveic ENISA saskaņā ar Regulas (ES) 2019/881 3. panta 2. punktu. Konkrēti ENISA būtu jāsaņem ražotāju paziņojumi par aktīvi izmantotām ievainojamībām produktos ar digitāliem elementiem, kā arī par incidentiem, kuri ietekmē minēto produktu drošību. ENISA būtu arī jāpārsūta šie paziņojumi attiecīgajām datordrošības incidentu reaģēšanas vienībām (CSIRT) vai attiecīgi noteiktajiem dalībvalstu vienotajiem kontaktpunktiem, kas izraudzīti saskaņā ar Direktīvas [Direktīva XXX/XXXX (TID2)] pantu [X. pants], kā arī par paziņoto ievainojamību jāinformē attiecīgās tirgus uzraudzības iestādes. ENISA, pamatojoties uz savākto informāciju, reizi divos gados būtu jāsagatavo tehniskais ziņojums par jaunākajām tendencēm attiecībā uz kiberdrošības riskiem produktos ar digitāliem elementiem, un tas jāiesniedz Direktīvā [Direktīva XXX/XXXX (TID2)] minētajai sadarbības grupai. Turklāt, ņemot vērā ENISA speciālās zināšanas un pilnvaras, tai būtu jāspēj atbalstīt šīs regulas īstenošanas procesu. Jo īpaši tai vajadzētu būt iespējai ierosināt kopīgas darbības, kas tirgus uzraudzības iestādēm jāveic, pamatojoties uz norādēm vai informāciju par produktu ar digitāliem elementiem iespējamu neatbilstību šai regulai vairākās dalībvalstīs, vai noteikt produktu kategorijas, attiecībā uz kurām būtu jāorganizē vienlaicīgas koordinētas kontroles darbības. Izņēmuma apstākļos pēc Komisijas pieprasījuma ENISA vajadzētu būt iespējai veikt izvērtēšanu attiecībā uz konkrētiem produktiem ar digitāliem elementiem, kas rada būtisku kiberdrošības risku, ja ir nepieciešama tūlītēja intervence ar mērķi saglabāt pareizu iekšējā tirgus darbību. (20)Produkti ar digitāliem elementiem būtu jāmarķē ar CE zīmi, kas norādītu uz to atbilstību šai regulai, lai tos varētu laist brīvā apritē iekšējā tirgū. Dalībvalstīm nebūtu jārada nepamatoti šķēršļi tādu produktu ar digitāliem elementiem laišanai tirgū, kas atbilst šajā regulā noteiktajām prasībām un ir marķēti ar CE zīmi. (21)Lai nodrošinātu, ka ražotāji pirms savu produktu atbilstības novērtēšanas var izlaist programmatūru testēšanas vajadzībām, dalībvalstīm nevajadzētu liegt darīt pieejamu nepabeigtu programmatūru, piemēram, alfa versijas, beta versijas vai izlaišanas kandidātus, ja vien versija ir pieejama tikai uz laiku, kas nepieciešams tās testēšanai un atsauksmju vākšanai. Ražotājiem būtu jānodrošina, ka programmatūra, kas darīta pieejama saskaņā ar šiem nosacījumiem, tiek izlaista tikai pēc riska novērtējuma un ka tā, ciktāl iespējams, atbilst šajā regulā noteiktajām drošības prasībām attiecībā uz produktu ar digitāliem elementiem īpašībām. Ražotājiem pēc iespējas būtu arī jāīsteno ievainojamību novēršanas prasības. Ražotājiem nevajadzētu piespiest lietotājus veikt jaunināšanu uz versijām, kas ir izlaistas tikai testēšanas vajadzībām. (22)Lai nodrošinātu, ka, laižot tirgū produktus ar digitāliem elementiem, tie nerada kiberdrošības riskus personām un organizācijām, šādiem produktiem būtu jānosaka pamatprasības. Ja šādi produkti pēc tam ar fiziskiem vai digitāliem līdzekļiem tiek modificēti tā, kā ražotājs nav paredzējis, un tas varētu nozīmēt, ka tie vairs neatbilst attiecīgajām pamatprasībām, modifikācija būtu jāuzskata par būtisku. Piemēram, programmatūras atjauninājumus vai labojumus varētu pielīdzināt uzturēšanas darbībām ar noteikumu, ka tie nemodificē jau tirgū laistu produktu tā, ka var tikt ietekmēta atbilstība piemērojamajām prasībām, vai ka var tikt mainīts paredzētais lietojums, attiecībā uz kuru produkts ir izvērtēts. Tāpat kā attiecībā uz fiziskiem labojumiem vai modifikācijām produkts ar digitāliem elementiem būtu jāuzskata par būtiski modificētu ar programmatūras izmaiņām, ja programmatūras atjauninājums modificē produkta sākotnējās paredzētās funkcijas, veidu vai veiktspēju un šīs izmaiņas nav bijušas paredzētas sākotnējā riska novērtējumā vai ja ir mainījies apdraudējuma veids vai paaugstinājies riska līmenis programmatūras atjaunināšanas dēļ. (23)Saskaņā ar vispāratzīto jēdzienu par produktu būtisku modifikāciju, ko reglamentē Savienības saskaņošanas tiesību akti, ikreiz, kad notiek būtiska modifikācija, kas var ietekmēt produkta atbilstību šai regulai, vai ja mainās minētā produkta paredzētais nolūks, ir lietderīgi pārbaudīt produkta ar digitāliem elementiem atbilstību un attiecīgā gadījumā veikt jaunu atbilstības novērtējumu. Attiecīgā gadījumā, ja ražotājs veic atbilstības novērtēšanu, kurā tiek iesaistīta trešā persona, par izmaiņām, kas varētu izraisīt būtiskas modifikācijas, būtu jāinformē trešā persona. (24)Produkta ar digitāliem elementiem atjaunošana, uzturēšana un labošana, kā noteikts Regulā [Ekodizaina regula], ne vienmēr izraisa produkta būtisku modifikāciju, piemēram, ja paredzētais lietojums un funkcijas netiek mainītas un netiek ietekmēts riska līmenis. Tomēr ražotāja veikta produkta jaunināšana varētu izraisīt izmaiņas produkta projektēšanā un izstrādē un tādējādi varētu ietekmēt produkta paredzēto lietojumu un atbilstību šajā regulā noteiktajām prasībām. (25)Produkti ar digitāliem elementiem būtu jāuzskata par kritiski svarīgiem, ja produkta iespējamo kiberdrošības ievainojamību izmantošanas negatīvā ietekme var būt būtiska, cita starpā ar kiberdrošību saistītas funkcionalitātes vai paredzētā lietojuma dēļ. Jo īpaši tādu produktu ar digitāliem elementiem ievainojamība, kam ir ar kiberdrošību saistīta funkcionalitāte, piemēram, drošie elementi, var izraisīt drošības problēmu izplatīšanos visā piegādes ķēdē. Kiberdrošības incidenta ietekmes nopietnības pakāpe varētu pieaugt arī, ja tiek ņemts vērā produkta paredzētais lietojums, piemēram, rūpnieciskajā vidē vai saistībā ar Direktīvas [Direktīva XXX/XXXX (TID2)] pielikumā [I pielikums] minēto veidu būtiskajām vienībām, vai attiecībā uz tādu kritiski svarīgu vai sensitīvu funkciju veikšanu kā, piemēram, persondatu apstrāde. (26)Kritiski svarīgiem produktiem ar digitāliem elementiem būtu jāpiemēro stingrākas atbilstības novērtēšanas procedūras, vienlaikus saglabājot samērīgu pieeju. Šajā nolūkā kritiski svarīgi produkti ar digitāliem elementiem būtu jāiedala divās klasēs, kas atspoguļo ar šīm produktu kategorijām saistītā kiberdrošības riska līmeni. Iespējamam kiberincidentam, kurā iesaistīti II klases produkti, varētu būt lielāka negatīvā ietekme nekā incidentam, kurā iesaistīti I klases produkti, piemēram, attiecīgo produktu ar kiberdrošību saistītās funkcijas rakstura vai sensitīvā vidē paredzētā lietojuma dēļ, un tāpēc tam būtu jāpiemēro stingrāka atbilstības novērtēšanas procedūra. (27)Šīs regulas III pielikumā minētās kritiski svarīgo produktu ar digitāliem elementiem kategorijas būtu jāsaprot kā produkti, kuru pamatfunkcijas veids ir ietverts šīs regulas III pielikumā sniegtajā sarakstā. Piemēram, šīs regulas III pielikumā ir uzskaitīti produkti, kas pēc to pamatfunkcijas ir noteikti kā vispārēja lietojuma mikroprocesori un ir ietverti II klasē. Tādējādi uz vispārēja lietojuma mikroprocesoriem attiecas obligāts trešās personas veikts atbilstības novērtējums. Tas neattiecas uz citiem produktiem, kuri nav skaidri norādīti šīs regulas III pielikumā un kuros var būt integrēts vispārēja lietojuma mikroprocesors. Komisijai [12 mēnešos no šīs regulas stāšanās spēkā] būtu jāpieņem deleģētie akti, lai precizētu I un II klases produktu kategoriju definīcijas, kā noteikts III pielikumā.

(28)Šī regula mērķtiecīgi pievēršas kiberdrošības riskiem. Tomēr produkti ar digitāliem elementiem var radīt citus drošības riskus, kas nav saistīti ar kiberdrošību. Minētie riski arī turpmāk būtu jāreglamentē ar citiem attiecīgiem Savienības tiesību aktiem par produktiem. Ja nav piemērojami citi Savienības saskaņošanas tiesību akti, uz tiem būtu jāattiecina Regula [Ražojumu vispārēja drošuma regula]. Tāpēc, ņemot vērā šīs regulas mērķtiecīgo raksturu, atkāpjoties no Regulas [Ražojumu vispārēja drošuma regula] 2. panta 1. punkta trešās daļas b) apakšpunkta, ja uz produktiem ar digitāliem elementiem neattiecas īpašas prasības, kas noteiktas citos Savienības saskaņošanas tiesību aktos [Ražojumu vispārēja drošuma regulas 3. panta 25. punkta] nozīmē, minētajiem produktiem attiecībā uz šajā regulā neietvertiem drošības riskiem būtu jāpiemēro Regulas [Ražojumu vispārēja drošuma regula] III nodaļas 1. iedaļu, V un VII nodaļu un IX–XI nodaļu. (29)Produktiem ar digitāliem elementiem, kas klasificēti kā augsta riska MI sistēmas saskaņā ar Regulas [MI regula] 6. pantu un kas ietilpst šīs regulas darbības jomā, būtu jāatbilst šajā regulā noteiktajām pamatprasībām. Ja šīs augsta riska MI sistēmas atbilst šīs regulas pamatprasībām, tās būtu jāuzskata par atbilstošām Regulas [MI regula] pantā [15. pants] noteiktajām kiberdrošības prasībām, ciktāl uz šīm prasībām attiecas ES atbilstības deklarācija vai tās daļas, kas izdotas atbilstīgi šai regulai. Attiecībā uz atbilstības novērtēšanas procedūrām, kas saistītas ar kiberdrošības pamatprasībām produktam ar digitāliem elementiem, uz kuru attiecas šī regula un kurš klasificēts kā augsta riska MI sistēma, šīs regulas attiecīgo noteikumu vietā parasti būtu jāpiemēro attiecīgie Regulas [MI regula] 43. panta noteikumi. Tomēr šā noteikuma piemērošanai nevajadzētu samazināt nepieciešamo uzticamības līmeni attiecībā uz šajā regulā ietvertajiem kritiski svarīgajiem produktiem ar digitāliem elementiem. Tāpēc, atkāpjoties no šā noteikuma, augsta riska MI sistēmām, kuras ietilpst Regulas [MI regula] darbības jomā un kuras saskaņā ar šo regulu arī tiek kvalificētas kā kritiski svarīgi produkti ar digitāliem elementiem, un uz kurām attiecas Regulas [MI regula] VI pielikumā minētā uz iekšējo kontroli pamatotā atbilstības novērtēšanas procedūra, būtu jāpiemēro šīs regulas atbilstības novērtēšanas noteikumi, ciktāl tas attiecas uz šīs regulas pamatprasībām. Šajā gadījumā attiecībā uz visiem pārējiem Regulā [MI regula] ietvertajiem aspektiem būtu jāpiemēro attiecīgie uz iekšējo kontroli pamatotas atbilstības izvērtēšanas noteikumi, kas izklāstīti Regulas [MI regula] VI pielikumā. (30)Mašīnbūves izstrādājumi, kuri ietilpst Regulas [Mašīnu regulas priekšlikums] darbības jomā un kuri ir produkti ar digitāliem elementiem šīs regulas nozīmē, un par kuriem uz šīs regulas pamata ir izdota atbilstības deklarācija, būtu jāuzskata par atbilstīgiem veselības aizsardzības un drošības pamatprasībām, kas izklāstītas Regulas [Mašīnu regulas priekšlikums] [III pielikuma 1.1.9. un 1.2.1. iedaļā] attiecībā uz aizsardzību pret korupciju un vadības sistēmu drošumu un uzticamību, ciktāl atbilstību minētajām prasībām pierāda saskaņā ar šo regulu izdota ES atbilstības deklarācija. (31)Regula [Eiropas veselības datu telpas regulas priekšlikums] papildina šajā regulā noteiktās pamatprasības. Tāpēc e-veselības pacienta karšu sistēmām (“EVPK sistēmas”), kuras ietilpst Regulas [Eiropas veselības datu telpas regulas priekšlikums] darbības jomā un kuras ir produkti ar digitāliem elementiem šīs regulas nozīmē, būtu jāatbilst arī šajā regulā noteiktajām pamatprasībām. To ražotājiem būtu jāpierāda atbilstība, kā tas noteikts Regulā [Eiropas veselības datu telpas regulas priekšlikums]. Lai sekmētu atbilstību, ražotāji var izstrādāt vienotu tehnisko dokumentāciju, kurā ietverti abos tiesību aktos prasītie elementi. Tā kā šī regula neattiecas uz SaaS kā tādu, EVPK sistēmas, kas tiek piedāvātas ar SaaS licencēšanas un piegādes modeļa starpniecību, neietilpst šīs regulas darbības jomā. Tāpat EVPK sistēmas, kas ir izstrādātas un tiek lietotas uz vietas, neietilpst šīs regulas darbības jomā, jo tās netiek laistas tirgū. (32)Lai nodrošinātu, ka produkti ar digitāliem elementiem ir droši gan brīdī, kad tos laiž tirgū, gan visā to aprites ciklā, ir jānosaka ievainojamību novēršanas pamatprasības un kiberdrošības pamatprasības attiecībā uz produktu ar digitāliem elementiem īpašībām. Lai gan ražotājiem būtu jāievēro visas ar ievainojamību novēršanu saistītās pamatprasības un jānodrošina, ka visi viņu produkti tiek piegādāti bez zināmām izmantojamām ievainojamībām, tiem būtu jānosaka, kuras citas ar produktu īpašībām saistītas pamatprasības ir būtiskas attiecīgajam produktu veidam. Šajā nolūkā ražotājiem būtu jāveic ar produktu ar digitāliem elementiem saistīto kiberdrošības risku novērtējums, lai konstatētu attiecīgos riskus un attiecīgās pamatprasības, kā arī lai pienācīgi piemērotu atbilstošus saskaņotos standartus vai kopīgas specifikācijas. (33)Lai uzlabotu drošību attiecībā uz produktiem ar digitāliem elementiem, kurus laiž iekšējā tirgū, ir jānosaka pamatprasības. Šīm pamatprasībām nebūtu jāskar kritiski svarīgo piegādes ķēžu ES koordinētie riska novērtējumi, kas noteikti Direktīvas [Direktīva XXX/XXXX(TID2)] [X. pantā], kuros tiek ņemti vērā gan tehniski, gan attiecīgā gadījumā netehniski riska faktori, piemēram, nepamatota trešās valsts ietekme uz piegādātājiem. Turklāt nebūtu jāskar dalībvalstu prerogatīvas noteikt papildu prasības, kurās augsta noturības līmeņa nodrošināšanai tiek ņemti vērā netehniski faktori, arī tie, kas noteikti Ieteikumā (ES) 2019/534, Savienības mēroga koordinētajā 5G tīklu drošības riska novērtējumā un ES rīkkopā par 5G kiberdrošību, kuru saskaņojusi TID sadarbības grupa, kā minēts [Direktīvā XXX/XXXX (TID2)]. (34)Lai nodrošinātu, ka valstu CSIRT un vienotajiem kontaktpunktiem, kas izraudzīti atbilstīgi Direktīvas [Direktīva XX/XXXX (TID2)] pantam [X. pants], tiek sniegta informācija, kas nepieciešama to uzdevumu izpildei un būtisko un svarīgo vienību vispārējā kiberdrošības līmeņa paaugstināšanai, un lai nodrošinātu tirgus uzraudzības iestāžu efektīvu darbību, produktu ar digitāliem elementiem ražotājiem būtu jāpaziņo ENISA par aktīvi izmantotām ievainojamībām. Tā kā lielākā daļa produktu ar digitāliem elementiem tiek tirgoti visā iekšējā tirgū, jebkura izmantota ievainojamība attiecībā uz produktu ar digitāliem elementiem būtu jāuzskata par apdraudējumu iekšējā tirgus darbībai. Ražotājiem būtu arī jāapsver iespēja atklāt izlabotās ievainojamības Eiropas ievainojamību datubāzē, kas izveidota saskaņā ar Direktīvu [Direktīva XX/XXXX (TID2)] un ko pārvalda ENISA, vai saskaņā ar jebkuru citu publiski pieejamu ievainojamību datubāzi. (35)Ražotājiem būtu arī jāziņo ENISA par jebkuru incidentu, kas ietekmē produkta ar digitāliem elementiem drošību. Neskarot Direktīvā [Direktīva XXX/XXXX (TID2)] būtiskām un svarīgām vienībām noteiktos pienākumus ziņot par incidentiem, ir ļoti svarīgi, lai ENISA, vienotie kontaktpunkti, ko dalībvalstis izraudzījušās saskaņā ar direktīvas [Direktīva XXX/XXXX (TID2)] pantu [X. pantu], un tirgus uzraudzības iestādes no produktu ar digitāliem elementiem ražotājiem saņemtu informāciju, kas ļautu tiem novērtēt minēto produktu drošību. Lai nodrošinātu, ka lietotāji var ātri reaģēt uz incidentiem, kas ietekmē viņu produktu ar digitāliem elementiem drošību, ražotājiem būtu jāinformē arī savi lietotāji par jebkuru šādu incidentu un attiecīgā gadījumā par jebkādiem korektīviem pasākumiem, ko lietotāji var veikt, lai mazinātu incidenta ietekmi, piemēram, publicējot attiecīgu informāciju savās tīmekļvietnēs vai, ja ražotājs spēj sazināties ar lietotājiem un ja riski to pamato, tiešā veidā vēršoties pie lietotājiem. (36)Produktu ar digitāliem elementiem ražotājiem būtu jāievieš koordinēta ievainojamības atklāšanas politika, lai sekmētu personu vai vienību ziņošanu par ievainojamībām. Koordinētai ievainojamības atklāšanas politikai vajadzētu būt strukturētam procesam, kurā par ievainojamību tiek ziņots ražotājam tādā veidā, lai ražotājs varētu diagnosticēt un novērst šādas ievainojamības, pirms sīkāka informācija par to tiek darīta zināma trešām personām vai sabiedrībai. Ņemot vērā to, ka informāciju par izmantojamām ievainojamībām plaši lietotos produktos ar digitāliem elementiem var pārdot par augstām cenām melnajā tirgū, šādu produktu ražotājiem vajadzētu būt iespējai izmantot programmas, lai savas koordinētās ievainojamības atklāšanas politikas satvarā stimulētu ziņošanu par ievainojamībām, nodrošinot, ka personas vai vienības saņem atzinību un kompensāciju par saviem centieniem (tā dēvētās “atlīdzības par kļūdām programmas”). (37)Lai sekmētu ievainojamības analīzi, ražotājiem būtu jāidentificē un jādokumentē produktu ar digitāliem elementiem komponenti, arī sagatavojot programmatūras materiālu komplektu. Tiem, kas ražo, pērk un ekspluatē programmatūru, programmatūras materiālu komplekts var sniegt informāciju, kas uzlabo viņu izpratni par piegādes ķēdi, sniedzot vairākus ieguvumus, un tas jo īpaši palīdz ražotājiem un lietotājiem veikt zināmu nesen konstatētu ievainojamību un risku izsekošanu. Ražotājiem ir īpaši svarīgi nodrošināt, ka viņu produkti nesatur trešo personu izstrādātus neaizsargātus komponentus. (38)Lai sekmētu atbilstības izvērtēšanu attiecībā uz šajā regulā noteiktajām prasībām, būtu jānosaka pieņēmums par atbilstību attiecībā uz produktiem ar digitāliem elementiem, kas atbilst saskaņotajiem standartiem, kuros šīs regulas pamatprasības pārveidotas sīki izstrādātās tehniskajās specifikācijās un kuri tiek pieņemti saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1025/2012. Regulā (ES) Nr. 1025/2012 paredzēta kārtība iebildumu iesniegšanai par saskaņotajiem standartiem, ja minētie standarti pilnībā neatbilst šīs regulas prasībām. (39)Ar Regulu (ES) 2019/881 ir izveidots brīvprātīgs Eiropas kiberdrošības sertifikācijas satvars IKT produktiem, procesiem un pakalpojumiem. Eiropas kiberdrošības sertifikācijas shēmas var attiekties uz tiem produktiem ar digitāliem elementiem, kuri ietverti šajā regulā. Šai regulai būtu jārada sinerģija ar Regulu (ES) 2019/881. Lai sekmētu atbilstības novērtēšanu šajā regulā noteiktajām prasībām, tiek uzskatīts, ka produkti ar digitāliem elementiem, kas ir sertificēti vai par kuriem izdots atbilstības apliecinājums saskaņā ar kiberdrošības shēmu atbilstīgi Regulai (ES) 2019/881 un kurus Komisija identificējusi īstenošanas aktā, atbilst šīs regulas pamatprasībām, ciktāl kiberdrošības sertifikāts vai atbilstības apliecinājums vai tā daļas attiecas uz minētajām prasībām. Nepieciešamība pēc jaunām Eiropas kiberdrošības sertifikācijas shēmām attiecībā uz produktiem ar digitāliem elementiem būtu jāizvērtē, ņemot vērā šo regulu. Šādās turpmākās Eiropas kiberdrošības sertifikācijas shēmās, kas attiecas uz produktiem ar digitāliem elementiem, būtu jāņem vērā šajā regulā noteiktās pamatprasības, un tām būtu jāsekmē atbilstība šai regulai. Komisija būtu jāpilnvaro ar īstenošanas aktiem precizēt Eiropas kiberdrošības sertifikācijas shēmas, kuras var izmantot, lai pierādītu atbilstību šajā regulā noteiktajām pamatprasībām. Turklāt, lai novērstu nevajadzīgu administratīvo slogu ražotājiem, Komisijai attiecīgā gadījumā būtu jāprecizē, vai saskaņā ar šādām Eiropas kiberdrošības sertifikācijas shēmām izdots kiberdrošības sertifikāts atceļ ražotāju pienākumu par trešās personas veiktu atbilstības novērtējumu, kā tas šajā regulā noteikts saistībā ar attiecīgajām prasībām. (40)Stājoties spēkā īstenošanas aktam, ar ko nosaka [Komisijas Īstenošanas regulu (ES) Nr. .../... (XXX) par Eiropas uz kopējiem kritērijiem pamatotu kiberdrošības sertifikācijas shēmu] (EUCC), kas attiecas uz šajā regulā ietvertajiem aparatūras produktiem, piemēram, aparatūras drošības moduļiem un mikroprocesoriem, Komisija ar īstenošanas aktu var precizēt, kā EUCC izdara pieņēmumu par atbilstību šīs regulas I pielikumā vai tā daļās minētajām pamatprasībām. Turklāt šādā īstenošanas aktā var precizēt veidu, kā atbilstīgi EUCC izdots sertifikāts atceļ ražotāju pienākumu nodrošināt trešās personas veiktu novērtējumu, kas attiecībā uz atbilstošajām prasībām noteikts regulā. (41)Ja saskaņotie standarti netiek pieņemti vai ja saskaņotajos standartos nav pietiekami ņemtas vērā šīs regulas pamatprasības, Komisijai vajadzētu būt iespējai ar īstenošanas aktiem pieņemt kopīgas specifikācijas. Iemesli tam, lai izstrādātu šādas kopīgas specifikācijas, nevis paļautos uz saskaņotajiem standartiem, varētu būt jebkuras Eiropas standartizācijas organizācijas atteikums attiecībā uz standartizācijas pieprasījumu, nepamatota kavēšanās atbilstīgu saskaņoto standartu izveidē vai izstrādāto standartu neatbilstība šīs regulas prasībām vai Komisijas pieprasījumam. Lai sekmētu novērtējumu par atbilstību šajā regulā noteiktajām pamatprasībām, būtu jānosaka pieņēmums par atbilstību attiecībā uz produktiem ar digitāliem elementiem, kas atbilst kopīgajām specifikācijām, kuras Komisija saskaņā ar šo regulu pieņēmusi nolūkā formulēt sīki izstrādātas minēto prasību tehniskās specifikācijas. (42)Ražotājiem būtu jāsagatavo ES atbilstības deklarācija, tajā sniedzot šajā regulā prasīto informāciju par produktu ar digitāliem elementiem atbilstību šīs regulas pamatprasībām un vajadzības gadījumā prasībām, kas noteiktas citos attiecīgos Savienības saskaņošanas tiesību aktos, kuros ietverts konkrētais produkts. Ražotājiem var pieprasīt arī sagatavot ES atbilstības deklarāciju attiecībā uz citiem Savienības tiesību aktiem. Lai nodrošinātu efektīvu piekļuvi informācijai tirgus uzraudzības nolūkā, būtu jāsagatavo vienota ES atbilstības deklarācija par atbilstību visiem attiecīgajiem Savienības tiesību aktiem. Lai uzņēmējiem samazinātu administratīvo slogu, vajadzētu būt iespējamam, ka minēto vienoto ES atbilstības deklarāciju veido dokumentācija, kas sastāv no atsevišķām atbilstības deklarācijām. (43)CE zīme, kas norāda uz produkta atbilstību, ir redzamais rezultāts veselam procesam, kas plašākā nozīmē ietver arī atbilstības novērtējumu. Vispārējie principi, kas reglamentē CE zīmi, ir izklāstīti Eiropas Parlamenta un Padomes Regulā (EK) Nr. 765/2008. Noteikumi attiecībā uz CE zīmes uzlikšanu produktiem ar digitāliem elementiem būtu jānosaka šajā regulā. CE zīmei vajadzētu būt vienīgajai, kas garantē, ka produkti ar digitāliem elementiem atbilst šīs regulas prasībām. (44)Lai uzņēmēji varētu pierādīt atbilstību šajā regulā noteiktajām pamatprasībām un lai tirgus uzraudzības iestādes varētu nodrošināt, ka produkti ar digitāliem elementiem, kas darīti pieejami tirgū, atbilst šīm prasībām, ir jāparedz atbilstības novērtēšanas procedūras. Eiropas Parlamenta un Padomes Lēmumā Nr. 768/2008/EK ir noteikti atbilstības novērtēšanas procedūru moduļi proporcionāli konkrētā riska līmenim un nepieciešamajam drošības līmenim. Lai nodrošinātu saskaņotību starp nozarēm un izvairītos no ad hoc variantiem, atbilstības novērtēšanas procedūras, kas piemērotas tam, lai verificētu produktu atbilstību šajā regulā noteiktajām pamatprasībām, ir pamatotas uz minētajiem moduļiem. Atbilstības novērtēšanas procedūrās būtu jāpārbauda un jāverificē gan ar produktu, gan procesu saistītās prasības, ietverot visu aprites ciklu, kas attiecas uz produktiem ar digitāliem elementiem, ieskaitot produkta plānošanu, projektēšanu, izstrādi vai ražošanu, testēšanu un uzturēšanu. (45)Atbilstības novērtēšana attiecībā uz produktiem ar digitāliem elementiem parasti būtu jāveic ražotājam uz savu atbildību, ievērojot procedūru, kas pamatota uz Lēmuma 768/2008/EK A moduli. Ražotājam būtu jāsaglabā rīcības brīvība izvēlēties stingrāku atbilstības novērtēšanas procedūru, kurā tiktu iesaistīta trešā persona. Ja produkts ir klasificēts kā I klases kritiski svarīgs produkts, ir vajadzīga papildu garantija, lai pierādītu atbilstību šajā regulā noteiktajām pamatprasībām. Ražotājam, ja tas vēlas veikt atbilstības novērtēšanu uz savu atbildību (A modulis), būtu jāpiemēro saskaņotie standarti, kopīgās specifikācijas vai Regulā (ES) 2019/881 noteiktās kiberdrošības sertifikācijas shēmas, ko Komisija ir identificējusi īstenošanas aktā. Ja ražotājs nepiemēro šādus saskaņotos standartus, kopīgās specifikācijas vai kiberdrošības sertifikācijas shēmas, ražotājam būtu jāveic atbilstības novērtēšana, kurā tiek iesaistīta trešā persona. Ņemot vērā administratīvo slogu ražotājiem un to, ka kiberdrošībai ir svarīga nozīme materiālo un nemateriālo produktu ar digitāliem elementiem projektēšanas un izstrādes posmā, nolūkā samērīgi un efektīvi novērtēt kritiski svarīgu produktu atbilstību digitālajiem elementiem kā vispiemērotākās ir izvēlētas atbilstības novērtēšanas procedūras, kas attiecīgi pamatojas uz Lēmuma 768/2008/EK B+C moduli vai H moduli. Ražotājs, kas īsteno trešās personas veiktu atbilstības novērtēšanu, var izvēlēties procedūru, kas ir vislabāk piemērota tā projektēšanas un ražošanas procesam. Ņemot vērā vēl lielāku kiberdrošības risku, kas saistīts ar tādu produktu lietošanu, kuri klasificēti kā II klases kritiski svarīgie produkti, atbilstības izvērtēšanā vienmēr būtu jāiesaista trešā persona. (46)Lai gan materiālo produktu ar digitāliem elementiem izveide parasti prasa no ražotājiem ievērojamas pūles visos projektēšanas, izstrādes un ražošanas posmos, produktu ar digitāliem elementiem izveide programmatūras veidā gandrīz pilnībā ir koncentrēta uz projektēšanu un izstrādi, savukārt ražošanas posmam ir maznozīmīgāka loma. Tomēr daudzos gadījumos programmatūras produkti pirms to laišanas tirgū vēl ir jākompilē, jāizgatavo, jākomplektē, jādara pieejami lejupielādēšanai vai jāpārkopē fiziskajos datu nesējos. Piemērojot attiecīgos atbilstības novērtēšanas moduļus nolūkā pārbaudīt produkta atbilstību šīs regulas pamatprasībām visos projektēšanas, izstrādes un ražošanas posmos, šīs darbības būtu jāuzskata par ražošanu veidojošām darbībām. (47)Lai īstenotu trešo personu veiktu atbilstības novērtēšanu produktiem ar digitāliem elementiem, valstu paziņojošajām iestādēm būtu jāpaziņo Komisijai un pārējām dalībvalstīm atbilstības novērtēšanas struktūras ar noteikumu, ka tās atbilst prasību kopumam, jo īpaši attiecībā uz neatkarību, kompetenci un interešu konflikta neesamību.

(48)Lai attiecībā uz produktiem ar digitāliem elementiem nodrošinātu saskaņotu atbilstības novērtēšanas kvalitātes līmeni, ir arī jānosaka prasības paziņojošajām iestādēm un citām struktūrām, kuras piedalās paziņoto struktūru novērtēšanā, paziņošanā un pārraudzīšanā. Šajā regulā noteiktā sistēma būtu jāpapildina ar akreditācijas sistēmu, kas paredzēta Regulā (EK) Nr. 765/2008. Akreditācija ir svarīgs līdzeklis, kā verificēt atbilstības novērtēšanas struktūru kompetenci, tāpēc tā arī būtu jāizmanto paziņošanā. (49)Regulā (EK) Nr. 765/2008 paredzētā pārredzamā akreditācija, kas nodrošina atbilstības sertifikātu vajadzīgo uzticamību, valstu publiskā sektora iestādēm visā Savienībā būtu jāuzskata par vēlamāko līdzekli, kā pierādīt atbilstības novērtēšanas struktūru tehnisko kompetenci. Tomēr valstu iestādes var uzskatīt, ka tām ir piemēroti līdzekļi, ar ko pašām veikt minēto izvērtēšanu. Šādos gadījumos, lai nodrošinātu citu valsts iestāžu veiktās izvērtēšanas pienācīgu uzticamības līmeni, valsts iestādēm būtu jāiesniedz Komisijai un pārējām dalībvalstīm vajadzīgie dokumentārie pierādījumi, ka izvērtētās atbilstības novērtēšanas struktūras atbilst attiecīgajām normatīvajām prasībām. (50)Atbilstības novērtēšanas struktūras bieži piešķir apakšlīgumus par kādām to darbības daļām saistībā ar atbilstības novērtēšanu vai izmanto meitasuzņēmumus. Lai nodrošinātu tāda līmeņa aizsardzību, kāda nepieciešama tirgū laižamajam produktam ar digitāliem elementiem, ir ļoti svarīgi, lai atbilstības novērtēšanā iesaistītie apakšuzņēmēji un meitasuzņēmumi attiecībā uz atbilstības novērtēšanas uzdevumu veikšanu atbilstu tādām pašām prasībām, kādām atbilst paziņotās struktūras. (51)Paziņojošajai iestādei atbilstības novērtēšanas struktūras paziņojums būtu jānosūta Komisijai un pārējām dalībvalstīm, izmantojot atbilstīgi jaunajai pieejai paziņoto un izraudzīto organizāciju (NANDO) informācijas sistēmu. NANDO ir Komisijas izstrādāts un pārvaldīts elektroniskās paziņošanas rīks, kurā ir atrodams visu paziņoto struktūru saraksts. (52)Paziņotās struktūras var piedāvāt savus pakalpojumus visā Savienībā, tāpēc ir lietderīgi dot pārējām dalībvalstīm un Komisijai iespēju iebilst pret paziņoto struktūru. Tādēļ ir svarīgi noteikt laikposmu, kurā var novērst visas šaubas vai bažas par atbilstības novērtēšanas struktūru kompetenci, pirms tās sāk darboties kā paziņotās struktūras. (53)Konkurētspējai ir svarīgi, lai paziņotās struktūras piemērotu atbilstības novērtēšanas procedūras, neradot lieku slogu uzņēmējiem. Tā paša iemesla dēļ, kā arī lai nodrošinātu vienlīdzīgu attieksmi pret uzņēmējiem, jānodrošina saskaņotība atbilstības novērtēšanas procedūru tehniskā piemērošanā. Vislabāk to var panākt ar atbilstīgu koordinēšanu un sadarbību starp paziņotajām struktūrām. (54)Tirgus uzraudzība ir būtisks instruments Savienības tiesību aktu pareizas un vienotas piemērošanas nodrošināšanā. Tādēļ ir lietderīgi ieviest tiesisko regulējumu, saskaņā ar kuru tirgus uzraudzību var veikt pienācīgā veidā. Eiropas Parlamenta un Padomes Regulā (ES) 2019/1020 paredzētos noteikumus par Savienības tirgus uzraudzību un kontroli attiecībā uz produktiem, ko ieved Savienības tirgū, piemēro produktiem ar digitāliem elementiem, uz kuriem attiecas šī regula. (55)Saskaņā ar Regulu (ES) 2019/1020 tirgus uzraudzības iestādes veic tirgus uzraudzību attiecīgās dalībvalsts teritorijā. Šai regulai nebūtu jāliedz dalībvalstīm izraudzīties kompetentās iestādes minēto uzdevumu veikšanai. Katrai dalībvalstij savā teritorijā būtu jāizraugās viena vai vairākas tirgus uzraudzības iestādes. Dalībvalstis tirgus uzraudzības iestādes darbībai var izraudzīties jebkuru esošu vai jaunu iestādi, to vidū valsts kompetentās iestādes, kas minētas Direktīvas [Direktīva XXX/XXXX (TID2)] pantā [X. pants], vai izraudzītās valsts kiberdrošības sertifikācijas iestādes, kas minētas Regulas (ES) 2019/881 58. pantā. Uzņēmējiem būtu pilnībā jāsadarbojas ar tirgus uzraudzības iestādēm un citām kompetentajām iestādēm. Katrai dalībvalstij būtu jāinformē Komisija un pārējās dalībvalstis par savām tirgus uzraudzības iestādēm un par katras minētās iestādes kompetences jomu un jānodrošina ar šo regulu saistīto uzraudzības uzdevumu veikšanai vajadzīgie resursi un prasmes. Saskaņā ar Regulas (ES) 2019/1020 10. panta 2. un 3. punktu katrai dalībvalstij būtu jāizraugās vienotais sadarbības birojs, kam cita starpā vajadzētu atbildēt par tirgus uzraudzības iestāžu saskaņotas nostājas pārstāvēšanu un palīdzības sniegšanu dažādu dalībvalstu tirgus uzraudzības iestāžu sadarbībā. (56)Šīs regulas vienotai piemērošanai būtu jāizveido īpaša administratīvās sadarbības grupa (ADCO), ievērojot Regulas (ES) 2019/1020 30. panta 2. punktu. Šīs ADCO sastāvā vajadzētu būt izraudzīto tirgus uzraudzības iestāžu pārstāvjiem un attiecīgā gadījumā arī vienoto sadarbības biroju pārstāvjiem. Komisijai būtu jāatbalsta un jāsekmē sadarbība starp tirgus uzraudzības iestādēm, izmantojot Savienības produktu atbilstības tīklu, kas izveidots, pamatojoties uz Regulas (ES) 2019/1020 29. pantu, un kurā piedalās pārstāvji no katras dalībvalsts, to vidū pārstāvis no katra vienotā sadarbības biroja, kas minēts Regulas (ES) 2019/1020 10. pantā, kā arī fakultatīvs valsts eksperts, ADCO priekšsēdētāji un Komisijas pārstāvji. Komisijai būtu jāpiedalās minētā tīkla, tā apakšgrupu un attiecīgās ADCO sanāksmēs. Tai arī būtu jāpalīdz šai ADCO, izmantojot izpildsekretariātu, kas sniedz tehnisko un loģistikas atbalstu. (57)Lai nodrošinātu savlaicīgus, samērīgus un efektīvus pasākumus attiecībā uz produktiem ar digitāliem elementiem, kas rada būtisku kiberdrošības risku, būtu jāparedz Savienības drošības procedūra, saskaņā ar kuru ieinteresētās personas tiek informētas par pasākumiem, kurus paredzēts veikt attiecībā uz šādiem produktiem. Tai arī būtu jādod iespēja tirgus uzraudzības iestādēm sadarbībā ar attiecīgajiem uzņēmējiem vajadzības gadījumā rīkoties savlaicīgāk. Ja dalībvalstis un Komisija vienojas par kādas dalībvalsts veiktā pasākuma pamatotību, Komisijai turpmāk nebūtu jāiesaistās, izņemot gadījumus, kad neatbilstība var būt izskaidrojama ar saskaņotā standarta nepilnībām. (58)Noteiktos gadījumos produkts ar digitāliem elementiem, kas atbilst šai regulai, tomēr var radīt būtisku kiberdrošības risku vai izraisīt risku personu veselībai vai drošībai, atbilstībai Savienības vai valstu tiesību aktos noteiktajiem pienākumiem, kuru mērķis ir aizsargāt pamattiesības, to pakalpojumu pieejamību, autentiskumu, integritāti vai konfidencialitāti, kurus, izmantojot elektronisko informācijas sistēmu, piedāvā [Direktīvas XXX/XXXX (TID2) I pielikumā] minēto veidu būtiskās vienības, vai citiem sabiedrības interešu aizsardzības aspektiem. Tādēļ ir jāizveido noteikumi, kas nodrošina minēto risku mazināšanu. Tāpēc tirgus uzraudzības iestādēm būtu jāveic pasākumi, lai pieprasītu uzņēmējam nodrošināt, ka produkts vairs nerada šādu risku, vai atkarībā no riska to atsauktu vai izņemtu. Tiklīdz tirgus uzraudzības iestāde šādā veidā ierobežo vai aizliedz produkta brīvu apriti, dalībvalstij būtu nekavējoties jāpaziņo Komisijai un pārējām dalībvalstīm par pagaidu pasākumiem, norādot šāda lēmuma iemeslus un pamatojumu. Ja tirgus uzraudzības iestāde pieņem šādus pasākumus attiecībā uz produktiem, kuri rada risku, Komisijai nekavējoties būtu jāsāk apspriešanās ar dalībvalstīm un attiecīgo uzņēmēju vai uzņēmējiem un būtu jāizvērtē valsts pasākums. Pamatojoties uz šā izvērtējuma rezultātiem, Komisijai būtu jālemj, vai valsts pasākums ir vai nav pamatots. Komisijai savs lēmums būtu jāadresē visām dalībvalstīm un tas nekavējoties jāpaziņo tām un attiecīgajam uzņēmējam vai uzņēmējiem. Ja pasākums tiek uzskatīts par pamatotu, Komisija var arī apsvērt iespēju pieņemt priekšlikumus attiecīgo Savienības tiesību aktu pārskatīšanai. (59)Attiecībā uz produktiem ar digitāliem elementiem, kas rada būtisku kiberdrošības risku, un ja ir pamats uzskatīt, ka tie neatbilst šai regulai, vai attiecībā uz produktiem, kuri atbilst šai regulai, bet rada citus nozīmīgus riskus, piemēram, riskus cilvēku veselībai vai drošībai, pamattiesībām vai tādu pakalpojumu sniegšanai, ko veic [Direktīvas XXX/XXXX (TID2) I pielikumā] minēto veidu būtiskās vienības, Komisija var pieprasīt ENISA veikt izvērtēšanu. Pamatojoties uz minēto izvērtējumu, Komisija ar īstenošanas aktiem var pieņemt korektīvus vai ierobežojošus pasākumus Savienības līmenī, arī uzdot attiecīgos produktus izņemt no tirgus vai atsaukt pienācīgā termiņā, kas samērīgs ar risku. Komisija var izmantot šādu intervenci tikai izņēmuma apstākļos, kas attaisno tūlītēju intervenci, lai saglabātu pareizu iekšējā tirgus darbību, un tikai tādā gadījumā, ja uzraudzības iestādes nav veikušas efektīvus pasākumus situācijas risināšanai. Šādi izņēmuma apstākļi var būt ārkārtas situācijas, kad, piemēram, ražotājs neatbilstīgu produktu ir darījis plaši pieejamu vairākās dalībvalstīs, to arī galvenajās nozarēs lieto vienības, kas ietilpst [Direktīvas XXX / XXXX (TID2)] darbības jomā, lai gan tam ir zināmas ievainojamības, kuras izmanto ļaundari un attiecībā uz kurām ražotājs nenodrošina pieejamus programmatūras ielāpus. Komisija šādās ārkārtas situācijās var iejaukties tikai uz laiku, kamēr pastāv izņēmuma apstākļi, un ja neatbilstība šai regulai vai radītie nozīmīgie riski saglabājas. (60)Gadījumos, kad vairākās dalībvalstīs ir pazīmes, kas liecina par neatbilstību šai regulai, tirgus uzraudzības iestādēm vajadzētu būt iespējai veikt kopīgas darbības ar citām iestādēm, lai pārbaudītu atbilstību un identificētu kiberdrošības riskus produktiem ar digitāliem elementiem. (61)Vienlaicīgas koordinētas kontroles darbības (“kontrolreidi”) ir tirgus uzraudzības iestāžu īpašas izpildes panākšanas darbības, kas var papildus uzlabot produktu drošību. Kontrolreidi jo īpaši būtu jāveic gadījumos, kad tirgus tendences, patērētāju sūdzības vai citas pazīmes liecina par bieži konstatētiem kiberdrošības riskiem, ko rada noteiktas produktu kategorijas. ENISA būtu jāiesniedz tirgus uzraudzības iestādēm priekšlikumi par produktu kategorijām, attiecībā uz kurām varētu rīkot kontrolreidus, cita starpā pamatojoties tās saņemtajiem paziņojumiem par produktu ievainojamībām un incidentiem. (62)Nolūkā nodrošināt, ka vajadzības gadījumā tiesisko regulējumu var pielāgot, saskaņā ar Līguma 290. pantu pilnvaras pieņemt aktus attiecībā uz III pielikumā sniegto kritiski svarīgo produktu saraksta atjaunināšanu un šo produktu kategoriju definīciju precizēšanu būtu jādeleģē Komisijai. Saskaņā ar minēto pantu pilnvaras pieņemt aktus būtu jādeleģē Komisijai, lai identificētu produktus ar digitāliem elementiem, uz kuriem attiecas citi Savienības noteikumi, kas nodrošina tādu pašu aizsardzības līmeni kā šī regula, precizējot, vai būtu nepieciešams ierobežojums vai izslēgšana no šīs regulas darbības jomas, kā arī attiecīgā gadījumā minētā ierobežojuma darbības jomu. Saskaņā ar minēto pantu pilnvaras pieņemt aktus būtu jādeleģē Komisijai arī attiecībā uz noteiktu ļoti kritiski svarīgu produktu ar digitāliem elementiem iespējamo sertificēšanas pilnvarojumu, pamatojoties uz kritiskuma kritērijiem, kas izklāstīti šajā regulā, kā arī attiecībā uz ES atbilstības deklarācijas minimālā satura noteikšanu un tehniskajā dokumentācijā iekļaujamo elementu papildināšanu. Ir īpaši būtiski, lai Komisija, veicot sagatavošanas darbus, rīkotu atbilstīgas apspriešanās, arī ekspertu līmenī, un lai minētās apspriešanās tiktu rīkotas saskaņā ar principiem, kas noteikti 2016. gada 13. aprīļa Iestāžu nolīgumā par labāku likumdošanas procesu. Jo īpaši, lai deleģēto aktu sagatavošanā nodrošinātu vienādu dalību, Eiropas Parlaments un Padome visus dokumentus saņem vienlaicīgi ar dalībvalstu ekspertiem, un minēto iestāžu ekspertiem ir sistemātiska piekļuve Komisijas ekspertu grupu sanāksmēm, kurās notiek deleģēto aktu sagatavošana. (63)Lai nodrošinātu vienādus nosacījumus šīs regulas īstenošanai, īstenošanas pilnvaras būtu jāpiešķir Komisijai, lai precizētu programmatūras materiālu komplekta formātu un elementus, papildus precizētu informācijas veidu, formātu un procedūru attiecībā uz tiem paziņojumiem par aktīvi izmantotām ievainojamībām un incidentiem, ko ražotāji iesniedz ENISA, precizētu atbilstīgi Regulai (ES) 2019/881 pieņemtās Eiropas kiberdrošības sertifikācijas shēmas, kuras var izmantot, lai pierādītu atbilstību šīs regulas I pielikumā izklāstītajām pamatprasībām vai to daļām, pieņemtu kopīgas specifikācijas attiecībā uz I pielikumā izklāstītajām pamatprasībām, noteiktu tehniskās specifikācijas piktogrammām vai citām zīmēm, kas saistītas ar produktu ar digitāliem elementiem drošību, un mehānismus to lietošanas veicināšanai, lemtu par korektīviem vai ierobežojošiem pasākumiem Savienības līmenī izņēmuma apstākļos, kas pamato tūlītēju intervenci ar mērķi saglabāt pareizu iekšējā tirgus darbību. Minētās pilnvaras būtu jāizmanto saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 182/2011. (64)Lai nodrošinātu tirgus uzraudzības iestāžu uzticamu un konstruktīvu sadarbību Savienības un valstu līmenī, visām šīs regulas piemērošanā iesaistītajām pusēm būtu jāievēro to uzdevumu izpildē iegūtās informācijas un datu konfidencialitāte. (65)Lai nodrošinātu šajā regulā noteikto pienākumu efektīvu izpildi, katrai tirgus uzraudzības iestādei vajadzētu būt pilnvarām uzlikt administratīvus naudas sodus vai pieprasīt to uzlikšanu. Tāpēc būtu jānosaka maksimālie administratīvo naudas sodu līmeņi, kas valstu tiesību aktos ir jāparedz attiecībā uz šajā regulā noteikto pienākumu neizpildi. Lemjot par administratīvā naudas soda apmēru katrā atsevišķā gadījumā, būtu jāņem vērā visi konkrētās situācijas attiecīgie apstākļi un vismaz tie, kas skaidri noteikti šajā regulā, arī tas, vai citas tirgus uzraudzības iestādes tam pašam uzņēmējam jau ir piemērojušas administratīvos naudas sodus par līdzīgiem pārkāpumiem. Šādi apstākļi var būt vai nu atbildību pastiprinoši — gadījumos, kad tā paša uzņēmēja pārkāpums turpinās citu dalībvalstu teritorijā, nevis tās dalībvalsts teritorijā, kurā jau ir ticis piemērots administratīvais naudas sods, — vai arī atbildību mīkstinoši, nodrošinot, ka attiecībā uz jebkuru citu administratīvo naudas sodu, ko cita tirgus uzraudzības iestāde apsver attiecībā uz to pašu uzņēmēju vai tāda paša veida pārkāpumu, kopā ar citiem attiecīgiem īpašiem apstākļiem jau būtu jāņem vērā citās dalībvalstīs uzliktais sods un tā apmērs. Visos šādos gadījumos attiecībā uz kumulatīvo administratīvo naudas sodu, ko vairāku dalībvalstu tirgus uzraudzības iestādes varētu piemērot vienam un tam pašam uzņēmējam par viena un tā paša veida pārkāpumu, būtu jānodrošina proporcionalitātes principa ievērošana. (66)Ja administratīvie naudas sodi tiek uzlikti personām, kas nav uzņēmums, kompetentajai iestādei, apsverot atbilstošo naudas soda apjomu, būtu jāņem vērā vispārējais ienākumu līmenis dalībvalstī, kā arī attiecīgās personas ekonomiskā situācija. Dalībvalstīm būtu jānosaka, vai un kādā apmērā administratīvie naudas sodi būtu piemērojami publiskām iestādēm. (67)Eiropas Savienība attiecībās ar trešām valstīm inter alia cenšas veicināt reglamentēto produktu starptautisku tirdzniecību. Lai sekmētu tirdzniecību, var piemērot plašu pasākumu klāstu, ieskaitot vairākus juridiskus instrumentus, piemēram, divpusējus (starpvaldību) savstarpējas atzīšanas nolīgumus (SAN) par reglamentēto produktu atbilstības novērtēšanu un marķēšanu. SAN tiek izveidoti starp Savienību un trešām valstīm, kurām ir salīdzināms tehniskās attīstības līmenis un kurām ir saderīga pieeja attiecībā uz atbilstības novērtēšanu. Saskaņā ar šiem nolīgumiem tiek savstarpēji atzīti sertifikāti, atbilstības zīmes un testēšanas ziņojumi, ko vienas nolīguma puses atbilstības novērtēšanas struktūras ir izdevušas atbilstīgi otras nolīguma puses tiesību aktiem. Pašlaik spēkā esoši SAN ir attiecībā uz vairākām valstīm. Šie nolīgumi attiecas uz vairākām konkrētām nozarēm, kas dažādās valstīs var būt atšķirīgas. Lai papildus sekmētu tirdzniecību, un atzīstot, ka produktu ar digitāliem elementiem piegādes ķēdes ir globālas, SAN par atbilstības novērtēšanu var noslēgt attiecībā uz produktiem, kurus atbilstīgi šai regulai reglamentē Savienība saskaņā ar LESD 218. pantu. Svarīga ir arī sadarbība ar partnervalstīm, lai stiprinātu kibernoturību visā pasaulē, jo ilgtermiņā tā sekmēs kiberdrošības satvara stiprināšanu gan Eiropas Savienībā, gan ārpus tās.

(68)Komisijai, apspriežoties ar ieinteresētajām personām, būtu periodiski jāpārskata šī regula, jo īpaši lai noteiktu izmaiņu veikšanas nepieciešamību, ņemot vērā izmaiņas sociālajos, politiskajos, tehnoloģiskajos vai tirgus apstākļos. (69)Jādod uzņēmējiem pietiekami daudz laika, lai tie varētu pielāgoties šīs regulas prasībām. Šī regula būtu jāsāk piemērot [24 mēnešus] no tās spēkā stāšanās dienas, izņemot ziņošanas pienākumus attiecībā uz aktīvi izmantotām ievainojamībām un incidentiem, kuri būtu jāsāk piemērot [12 mēnešus] no šīs regulas spēkā stāšanās dienas. (70)Ņemot vērā to, ka šīs regulas mērķi nevar pietiekami labi sasniegt atsevišķās dalībvalstīs, bet rīcības ietekmes dēļ tos var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā regulā paredz vienīgi tos pasākumus, kas ir vajadzīgi norādītā mērķa sasniegšanai. (71)Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 42. panta 1. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas […] sniedza atzinumu, IR PIEŅĒMUŠI ŠO REGULU. I NODAĻA VISPĀRĪGIE NOTEIKUMI 1. pants Priekšmets Šī regula nosaka: (a)noteikumus par produktu ar digitāliem elementiem laišanu tirgū, lai nodrošinātu šādu produktu kiberdrošību; (b)pamatprasības attiecībā uz produktu ar digitāliem elementiem projektēšanu, izstrādi un ražošanu, kā arī ar šiem produktiem saistītos uzņēmēju pienākumus attiecībā uz kiberdrošību; (c)pamatprasības par ievainojamību novēršanas procesiem, ko ražotāji ieviesuši, lai attiecībā uz produktiem ar digitāliem elementiem nodrošinātu kiberdrošību visā aprites ciklā, kā arī ar šiem procesiem saistītos uzņēmēju pienākumus; (d)noteikumus par tirgus uzraudzību un iepriekš minēto noteikumu un prasību izpildes panākšanu. 2. pants Darbības joma 1.Šo regulu piemēro produktiem ar digitāliem elementiem, kuru paredzētais vai pamatoti paredzamais lietojums ietver tiešu vai netiešu loģisku vai fizisku datu savienojumu ar ierīci vai tīklu. 2.Šo regulu nepiemēro produktiem ar digitāliem elementiem, uz kuriem attiecas šādi Savienības tiesību akti: (a)Regula (ES) 2017/745; (b)Regula (ES) 2017/746;

(c)Regula (ES) 2019/2144. 3.Šo regulu nepiemēro produktiem ar digitāliem elementiem, kuri sertificēti saskaņā ar Regulu (ES) 2018/1139. 4.Šīs regulas piemērošanu produktiem ar digitāliem elementiem, uz kuriem attiecas citi Savienības noteikumi, kas nosaka prasības saistībā ar visiem vai dažiem riskiem, uz kuriem attiecas I pielikumā izklāstītās pamatprasības, var ierobežot vai izslēgt, ja: (a)šāda ierobežošana vai izslēgšana atbilst vispārējam tiesiskajam regulējumam, ko piemēro šiem produktiem; kā arī (b)nozaru noteikumi nodrošina tādu pašu aizsardzības līmeni, kāds paredzēts šajā regulā. Komisija saskaņā ar 50. pantu tiek pilnvarota pieņemt deleģētos aktus nolūkā grozīt šo regulu, norādot