(Text cu relevanță pentru SEE)

În plus, pentru a se evita suprapunerea activităților, se preconizează că atât Comisia, cât și organizațiile europene de standardizare vor lua în considerare activitatea de standardizare desfășurată în contextul Deciziei de punere în aplicare C(2022) 5637 a Comisiei privind o cerere de standardizare pentru Regulamentul delegat 2022/30 RED atunci când vor pregăti și elabora standarde armonizate pentru facilitarea punerii în aplicare a regulamentului.

Regulamentul propus ar urma să se aplice tuturor echipamentelor radio care intră în domeniul de aplicare al Regulamentului delegat (UE) 2022/30 al Comisiei. În plus, cerințele prevăzute de prezentul regulament includ toate elementele cerințelor esențiale menționate la articolul 3 alineatul (3) literele (d), (e) și (f) din Directiva 2014/53/UE, inclusiv principalele elemente prevăzute în [Decizia de punere în aplicare XXX/2022 a Comisiei privind o cerere de standardizare adresată organizațiilor europene de standardizare], emisă în temeiul regulamentului delegat respectiv. Pentru a se evita o suprapunere în materie de reglementare, se preconizează că Comisia ar urma să abroge sau să modifice regulamentul delegat în ceea ce privește echipamentele radio care fac obiectul propunerii de regulament, astfel încât regulamentul propus să se aplice echipamentelor respective, după ce va intra în vigoare.

În timp ce propunerea de Act european privind reziliența cibernetică vizează produsele cu elemente digitale introduse pe piață, Directiva [Directiva XXX/XXX (NIS2)] urmărește să asigure un nivel ridicat de securitate cibernetică pentru serviciile furnizate de entități esențiale și importante. Directiva [Directiva XXX/XXXX (NIS2)] impune statelor membre să se asigure că entitățile esențiale și importante din domeniul de aplicare, cum ar fi furnizorii de asistență medicală sau de servicii cloud și entitățile administrației publice, iau măsuri adecvate și proporționale de securitate cibernetică de natură tehnică, operațională și organizațională. Aceasta include, printre altele, cerința de a asigura securitatea în ceea ce privește achiziționarea, dezvoltarea și întreținerea rețelelor și a sistemelor informatice, inclusiv gestionarea și divulgarea vulnerabilităților. Directiva [Directiva XXX/XXXX (NIS2)] impune Comisiei să adopte acte de punere în aplicare prin care să stabilească cerințele tehnice și metodologice ale măsurilor respective în termen de 21 de luni de la data intrării în vigoare a directivei pentru anumite tipuri de entități, cum ar fi furnizorii de servicii de cloud computing. Pentru toate celelalte entități, Comisia poate adopta un act de punere în aplicare prin care să stabilească cerințele tehnice și metodologice, precum și cerințele sectoriale. Acest cadru va asigura faptul că specificații tehnice și măsuri similare cerințelor esențiale de securitate cibernetică prevăzute în Actul european privind reziliența cibernetică sunt puse în aplicare și pentru proiectarea, dezvoltarea și gestionarea vulnerabilităților software-ului furnizat ca serviciu (software ca serviciu). De exemplu, acesta ar putea fi un mijloc de a asigura un nivel ridicat de securitate cibernetică în cazuri precum cel al sistemelor de dosare electronice de sănătate (DES), inclusiv atunci când software-ul este furnizat sub formă de software ca serviciu (SaaS) sau dezvoltat în cadrul instituțiilor sanitare (intern), în conformitate cu propunerea de [Regulament privind spațiul european al datelor privind sănătatea].

Securitatea cibernetică a produselor cu elemente digitale are o puternică dimensiune transfrontalieră, deoarece produsele fabricate într-o țară sunt adesea utilizate pe întreaga piață internă. În plus, incidentele care afectează inițial o singură entitate sau un singur stat membru se răspândesc adesea în câteva minute pe întreaga piață internă.

3.REZULTATELE EVALUĂRILOR EX POST, ALE CONSULTĂRILOR CU PĂRȚILE INTERESATE ȘI ALE EVALUĂRII IMPACTULUI

Cerințele esențiale de securitate cibernetică prevăzute în propunere se bazează pe standarde utilizate pe scară largă, iar procesul de standardizare care va urma ar ține seama de particularitățile tehnice ale produselor. Aceasta înseamnă că, atunci când este necesar pentru un anumit nivel de risc, controalele de securitate ar fi adaptate. În plus, normele orizontale avute în vedere ar prevedea doar evaluarea de către terți a produselor critice. Aceasta ar include doar o proporție redusă din piața produselor cu elemente digitale. Impactul asupra IMM-urilor ar depinde de prezența lor pe piața acestor categorii de produse specifice.

Actualul cadru legislativ al UE aplicabil produselor cu elemente digitale se bazează pe articolul 114 din TFUE și cuprinde mai multe acte legislative, inclusiv referitoare la produse specifice și la aspecte legate de siguranță sau acte legislative generale privind răspunderea pentru produse. Totuși, sunt acoperite numai anumite aspecte legate de securitatea cibernetică a produselor digitale fizice și, după caz, a software-ului încorporat în aceste produse. La nivel național, statele membre încep să ia măsuri naționale prin care solicită vânzătorilor de produse digitale să își îmbunătățească securitatea cibernetică. În același timp, securitatea cibernetică a produselor digitale are o dimensiune transfrontalieră deosebit de puternică, deoarece produsele fabricate într-o țară sunt adesea utilizate de organizații și de consumatori din întreaga piață internă. Incidentele care afectează inițial o singură entitate sau un singur stat membru se răspândesc adesea în câteva minute la mai multe organizații, sectoare și state membre.

Articolul 114 din TFUE poate fi utilizat ca temei juridic pentru a preveni apariția acestor obstacole care ar rezulta din evoluția eterogenă a legislațiilor și abordărilor naționale cu privire la modul de abordare a cazurilor de insecuritate juridică și a lacunelor din cadrele juridice existente. În plus, Curtea de Justiție a recunoscut că aplicarea unor cerințe tehnice eterogene ar putea constitui un motiv valabil pentru aplicarea articolului 114 din TFUE.

Regulamentul propus nu se va aplica produselor cu elemente digitale care intră în domeniul de aplicare al Regulamentului (UE) 2017/745 [dispozitivele medicale pentru uz uman și accesoriile pentru astfel de dispozitive] și al Regulamentului (UE) 2017/746 [dispozitivele medicale pentru diagnostic in vitro pentru uz uman și accesoriile pentru astfel de dispozitive], întrucât cele două regulamente menționate conțin cerințe referitoare la dispozitive, inclusiv la software, și obligații generale ale producătorilor care acoperă întregul ciclu de viață al produselor, precum și proceduri de evaluare a conformității. Prezentul regulament nu se va aplica produselor cu elemente digitale care au fost certificate în conformitate cu Regulamentul 2018/1139 [nivel uniform ridicat de siguranță a aviației civile] și nici produselor cărora li se aplică Regulamentul (UE) 2019/2144 [privind cerințele pentru omologarea de tip a autovehiculelor și remorcilor acestora, precum și a sistemelor, componentelor și unităților tehnice separate destinate unor astfel de vehicule].

Prezenta propunere de regulament stabilește (a) norme pentru introducerea pe piață a produselor cu elemente digitale în vederea asigurării securității cibernetice a acestor produse; (b) cerințe esențiale pentru proiectarea, dezvoltarea și producția de produse cu elemente digitale, precum și obligațiile operatorilor economici în legătură cu aceste produse în ceea ce privește securitatea cibernetică; (c) cerințe esențiale pentru procesele de gestionare a vulnerabilităților instituite de producători pentru a asigura securitatea cibernetică a produselor cu elemente digitale pe parcursul întregului ciclu de viață, precum și obligațiile operatorilor economici în legătură cu aceste procese; (d) norme privind supravegherea pieței și asigurarea respectării normelor și cerințelor menționate mai sus.

Se preconizează că toate opțiunile de politică vor îmbunătăți într-o anumită măsură protecția drepturilor și libertăților fundamentale, cum ar fi viața privată, protecția datelor cu caracter personal, libertatea de a desfășura o activitate comercială și protecția proprietății sau a demnității și integrității personale. În special, opțiunea de politică preferată, opțiunea 4, care constă în intervenții normative orizontale și are un domeniu larg de aplicare al politicilor, ar fi cea mai eficace în această privință, deoarece este mai probabil să contribuie la reducerea numărului și a gravității incidentelor, inclusiv a încălcărilor securității datelor cu caracter personal. De asemenea, aceasta ar spori securitatea juridică și ar asigura condiții de concurență echitabile pentru operatorii economici, ar spori încrederea în rândul utilizatorilor și atractivitatea produselor cu elemente digitale ale UE în ansamblu, protejând astfel proprietatea și îmbunătățind condițiile în care operatorii economici pot desfășura o activitate comercială.

În plus, pentru a evita o sarcină administrativă nejustificată pentru producători, după caz, Comisia ar trebui să precizeze dacă un certificat de securitate cibernetică emis în cadrul unui astfel de sistem european de certificare de securitate cibernetică elimină obligația producătorilor de a efectua o evaluare a conformității de către terți, astfel cum se prevede în prezentul regulament pentru cerințele corespunzătoare.

În plus, produsele cu elemente digitale care au fost certificate sau pentru care s-a emis o declarație de conformitate UE sau un certificat în cadrul unui sistem european de certificare de securitate cibernetică în temeiul Regulamentului (UE) 2019/881 și pentru care Comisia a specificat, prin intermediul unui act de punere în aplicare, că poate oferi prezumția de conformitate pentru prezentul regulament, sunt considerate a fi în conformitate cu cerințele esențiale ale prezentului regulament sau cu anumite părți ale acestora, în măsura în care declarația de conformitate UE sau certificatul de securitate cibernetică sau anumite părți ale acestora acoperă cerințele respective.

(4)Deși legislația existentă a Uniunii se aplică anumitor produse cu elemente digitale, nu există un cadru de reglementare orizontal al Uniunii care să stabilească cerințe cuprinzătoare de securitate cibernetică pentru toate produsele cu elemente digitale. Diferitele acte și inițiative adoptate până în prezent la nivelul Uniunii și la nivel național abordează doar parțial problemele și riscurile identificate legate de securitatea cibernetică, creând un mozaic legislativ în cadrul pieței interne, sporind insecuritatea juridică atât pentru producătorii, cât și pentru utilizatorii acestor produse și adăugând o sarcină inutilă întreprinderilor pentru respectarea unor cerințe pentru tipuri similare de produse. Securitatea cibernetică a acestor produse are o dimensiune transfrontalieră deosebit de puternică, deoarece produsele fabricate într-o țară sunt adesea utilizate de organizații și de consumatori din întreaga piață internă. Acest lucru face necesară reglementarea domeniului la nivelul Uniunii. Cadrul de reglementare al Uniunii ar trebui armonizat prin introducerea unor cerințe de securitate cibernetică pentru produsele cu elemente digitale. În plus, ar trebui să se asigure securitate juridică pentru operatori și utilizatori în întreaga Uniune, precum și o mai bună armonizare a pieței unice, creând condiții mai viabile pentru operatorii care doresc să intre pe piața Uniunii.

(2)Prezentul regulament are ca scop stabilirea condițiilor-limită pentru dezvoltarea de produse cu elemente digitale care să fie sigure prin garantarea faptului că produsele hardware și software sunt introduse pe piață cu mai puține vulnerabilități și că producătorii tratează cu seriozitate securitatea pe parcursul întregului ciclu de viață al unui produs. De asemenea, prezentul regulament are ca scop crearea unor condiții care să le permită utilizatorilor să țină seama de securitatea cibernetică atunci când selectează și utilizează produse cu elemente digitale.

(Text cu relevanță pentru SEE)

(8)Prin stabilirea unor cerințe de securitate cibernetică pentru introducerea pe piață a produselor cu elemente digitale, securitatea cibernetică a acestor produse va fi îmbunătățită atât pentru consumatori, cât și pentru întreprinderi. Sunt incluse, de asemenea, cerințe privind introducerea pe piață a produselor de consum cu elemente digitale destinate consumatorilor vulnerabili, cum ar fi jucăriile și monitoarele pentru sugari.

(9)Prezentul regulament asigură un nivel ridicat de securitate cibernetică a produselor cu elemente digitale. Acesta nu reglementează serviciile, precum software-ul ca serviciu (SaaS), cu excepția soluțiilor de prelucrare de date la distanță referitoare la un produs cu elemente digitale, înțelese ca orice prelucrare de date la distanță pentru care software-ul este proiectat și dezvoltat de producătorul produsului în cauză sau sub responsabilitatea producătorului respectiv și a cărei absență ar împiedica un astfel de produs cu elemente digitale să își îndeplinească una dintre funcții. [Directiva XXX/XXXX (NIS2)] instituie cerințe de raportare a securității cibernetice și a incidentelor pentru entitățile esențiale și importante, cum ar fi infrastructura critică, în vederea creșterii rezilienței serviciilor pe care le furnizează. [Directiva XXX/XXXX (NIS2)] se aplică serviciilor de cloud computing și modelelor de servicii de cloud, precum SaaS. Toate entitățile care furnizează servicii de cloud computing în Uniune și care ating sau depășesc pragul pentru întreprinderile mijlocii intră în domeniul de aplicare al directivei respective.

(10)Pentru a nu împiedica inovarea sau cercetarea, software-ul liber și cu sursă deschisă dezvoltat sau furnizat în afara desfășurării unei activități comerciale nu ar trebui să intre sub incidența prezentului regulament. Acest lucru este valabil în special în cazul software-ului, inclusiv al codului sursă și al versiunilor modificate ale acestuia, care este partajat în mod deschis și care poate fi accesat, utilizat, modificat și distribuit în mod liber. În contextul software-ului, o activitate comercială ar putea fi caracterizată nu numai prin perceperea unui preț pentru un produs, ci și prin perceperea unui preț pentru servicii de asistență tehnică, prin furnizarea unei platforme software prin intermediul căreia producătorul monetizează alte servicii sau prin utilizarea datelor cu caracter personal în alte scopuri decât îmbunătățirea securității, a compatibilității sau a interoperabilității software-ului.

(11)Un internet sigur este indispensabil pentru funcționarea infrastructurilor critice și pentru societate în ansamblu. [Directiva XXX/XXXX (NIS2)] vizează asigurarea unui nivel ridicat de securitate cibernetică a serviciilor furnizate de entități esențiale și importante, inclusiv de furnizori de infrastructură digitală care sprijină funcțiile de bază ale internetului deschis și asigură accesul la internet și serviciile de internet. Prin urmare, este important ca produsele cu elemente digitale necesare pentru ca furnizorii de infrastructură digitală să asigure funcționarea internetului să fie dezvoltate în mod securizat și să respecte standardele consacrate în materie de securitate a internetului. Prezentul regulament, care se aplică tuturor produselor hardware și software conectabile, are ca scop, de asemenea, să faciliteze respectarea de către furnizorii de infrastructură digitală a cerințelor lanțului de aprovizionare în temeiul [Directiva XXX/XXXX (NIS2)], prin asigurarea faptului că produsele cu elemente digitale pe care le utilizează pentru furnizarea serviciilor lor sunt dezvoltate în mod securizat și că au acces la actualizări de securitate în timp util pentru aceste produse.

(12)Regulamentul (UE) 2017/745 al Parlamentului European și al Consiliului stabilește norme privind dispozitivele medicale, iar Regulamentul (UE) 2017/746 al Parlamentului European și al Consiliului stabilește norme privind dispozitivele medicale pentru diagnostic in vitro. Ambele regulamente vizează riscurile de securitate cibernetică și urmează abordări specifice care sunt vizate și în prezentul regulament. Mai precis, Regulamentele (UE) 2017/745 și (UE) 2017/746 stabilesc cerințe esențiale pentru dispozitivele medicale care funcționează printr-un sistem electronic sau care sunt ele însele software. Anumite tipuri de software neîncorporat și abordarea bazată pe întregul ciclu de viață sunt, de asemenea, vizate de regulamentele respective. Aceste cerințe le impun producătorilor să își dezvolte și să își construiască produsele aplicând principii de gestionare a riscurilor și stabilind cerințe privind măsurile de securitate informatică, precum și proceduri corespunzătoare de evaluare a conformității. În plus, din decembrie 2019 sunt în vigoare orientări specifice privind securitatea cibernetică a dispozitivelor medicale, care le oferă producătorilor de dispozitive medicale, inclusiv de dispozitive pentru diagnostic in vitro, orientări privind modul de îndeplinire a tuturor cerințelor esențiale relevante din anexa I la regulamentele respective în ceea ce privește securitatea cibernetică. Prin urmare, produsele cu elemente digitale cărora li se aplică unul dintre aceste regulamente nu ar trebui să facă obiectul prezentului regulament.

(13)Regulamentul (UE) 2019/2144 al Parlamentului European și al Consiliului stabilește cerințe pentru omologarea de tip a vehiculelor și a sistemelor și componentelor acestora, introducând anumite cerințe de securitate cibernetică, inclusiv în ceea ce privește funcționarea unui sistem certificat de gestionare a securității cibernetice, actualizările software-ului, acoperind politicile și procesele organizațiilor pentru riscurile cibernetice legate de întregul ciclu de viață al vehiculelor, echipamentelor și serviciilor în conformitate cu reglementările aplicabile ale Organizației Națiunilor Unite privind specificațiile tehnice și securitatea cibernetică și prevăzând proceduri specifice de evaluare a conformității. În domeniul aviației, principalul obiectiv al Regulamentului (UE) 2018/1139 al Parlamentului European și al Consiliului este stabilirea și menținerea unui nivel ridicat și uniform al siguranței aviației civile în Uniune. Regulamentul respectiv creează un cadru pentru cerințele esențiale de navigabilitate pentru produsele, piesele și echipamentele aeronautice, printre care și software-ul, care țin seama de obligațiile de protecție împotriva amenințărilor la adresa securității informațiilor. Prin urmare, produsele cu elemente digitale cărora li se aplică Regulamentul (UE) 2019/2144 și produsele certificate în conformitate cu Regulamentul (UE) 2018/1139 nu fac obiectul cerințelor esențiale și al procedurilor de evaluare a conformității prevăzute în prezentul regulament. Procesul de certificare în temeiul Regulamentului (UE) 2018/1139 garantează nivelul de asigurare vizat de prezentul regulament.

(14)Prezentul regulament stabilește norme orizontale în materie de securitate cibernetică care nu sunt specifice sectoarelor sau anumitor produse cu elemente digitale. Cu toate acestea, ar putea fi introduse norme sectoriale sau specifice produselor la nivelul Uniunii, care să stabilească cerințe care să abordeze toate sau unele dintre riscurile acoperite de cerințele esențiale prevăzute de prezentul regulament. În astfel de cazuri, aplicarea prezentului regulament în cazul unor produse cu elemente digitale care fac obiectul altor norme ale Uniunii care stabilesc cerințe care abordează toate sau unele dintre riscurile acoperite de cerințele esențiale prevăzute în anexa I la prezentul regulament poate fi limitată sau exclusă dacă această limitare sau excludere este în concordanță cu cadrul general de reglementare aplicabil produselor respective și dacă normele sectoriale asigură același nivel de protecție ca cel prevăzut de prezentul regulament. Comisia este împuternicită să adopte acte delegate pentru a modifica prezentul regulament prin identificarea produselor și a normelor respective. În ceea ce privește legislația existentă a Uniunii în cazul căreia ar trebui să se aplice astfel de limitări sau excluderi, prezentul regulament conține dispoziții specifice pentru a clarifica relația sa cu legislația respectivă a Uniunii.

(15)Regulamentul delegat (UE) 2022/30 precizează că cerințele esențiale prevăzute la articolul 3 alineatul (3) litera (d) (prejudiciile aduse rețelei și utilizarea necorespunzătoare a resurselor acesteia), litera (e) (datele cu caracter personal și viața privată) și litera (f) (fraudele) din Directiva 2014/53/UE se aplică anumitor echipamente radio. [Decizia de punere în aplicare XXX/2022 a Comisiei privind o cerere de standardizare adresată organizațiilor europene de standardizare] stabilește cerințe pentru elaborarea unor standarde specifice care să detalieze modul în care ar trebui abordate aceste trei cerințe esențiale. Cerințele esențiale prevăzute de prezentul regulament includ toate elementele cerințelor esențiale menționate la articolul 3 alineatul (3) literele (d), (e) și (f) din Directiva 2014/53/UE. În plus, cerințele esențiale prevăzute de prezentul regulament sunt aliniate la obiectivele cerințelor pentru standardele specifice incluse în cererea de standardizare respectivă. Prin urmare, în cazul în care Comisia abrogă sau modifică Regulamentul delegat (UE) 2022/30, cu consecința că acesta încetează să se aplice în cazul anumitor produse care fac obiectul prezentului regulament, Comisia și organizațiile europene de standardizare ar trebui să ia în considerare activitatea de standardizare desfășurată în contextul Deciziei de punere în aplicare C(2022) 5637 a Comisiei privind o cerere de standardizare pentru Regulamentul delegat (UE) 2022/30 RED atunci când vor pregăti și elabora standarde armonizate pentru facilitarea punerii în aplicare a prezentului regulament.

(16)Directiva 85/374/CEE este complementară prezentului regulament. Aceasta stabilește norme privind răspunderea pentru produsele cu defecte, pentru ca persoanele prejudiciate să poată solicita despăgubiri în cazul în care anumite produse cu defecte au provocat un prejudiciu. Directiva respectivă stabilește principiul conform căruia producătorul unui produs este răspunzător pentru prejudiciile provocate cauzate de lipsa de siguranță a produsului său, indiferent de culpă („răspundere obiectivă”). În cazul în care o astfel de lipsă de siguranță constă în lipsa actualizărilor de securitate după introducerea produsului pe piață, iar acest lucru provoacă prejudicii, ar putea fi angajată răspunderea producătorului. Prezentul regulament ar trebui să prevadă obligații pentru producători referitoare la furnizarea unor astfel de actualizări de securitate.

(17)Prezentul regulament nu ar trebui să aducă atingere Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului, inclusiv dispozițiilor privind instituirea unor mecanisme de certificare în domeniul protecției datelor și a unor sigilii și mărcilor în materie de protecție a datelor, cu scopul de a demonstra conformitatea operațiunilor de prelucrare efectuate de operatori și de persoanele împuternicite de operatori cu regulamentul respectiv. Astfel de operațiuni ar putea fi încorporate într-un produs cu elemente digitale. Protecția datelor începând cu momentul conceperii și în mod implicit, precum și securitatea cibernetică în general sunt elemente-cheie ale Regulamentului (UE) 2016/679. Prin protejarea consumatorilor și a organizațiilor de riscurile de securitate cibernetică, cerințele esențiale de securitate cibernetică prevăzute în prezentul regulament trebuie, de asemenea, să contribuie la îmbunătățirea protecției datelor cu caracter personal și a vieții private a persoanelor. Ar trebui avute în vedere sinergii atât în ceea ce privește standardizarea, cât și certificarea cu privire la aspectele legate de securitatea cibernetică prin cooperarea dintre Comisie, organizațiile europene de standardizare, Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA), Comitetul european pentru protecția datelor (CEPD) instituit prin Regulamentul (UE) 2016/679 și autoritățile naționale de supraveghere a protecției datelor. De asemenea, ar trebui create sinergii între prezentul regulament și legislația Uniunii în materie de protecție a datelor în domeniul supravegherii pieței și al asigurării respectării legislației. În acest scop, autoritățile naționale de supraveghere a pieței desemnate în temeiul prezentului regulament ar trebui să coopereze cu autoritățile care supraveghează legislația Uniunii în materie de protecție a datelor. De asemenea, acestea din urmă ar trebui să aibă acces la informațiile relevante pentru îndeplinirea sarcinilor lor.

(18)În măsura în care produsele lor intră în domeniul de aplicare al prezentului regulament, emitenții de portofele europene pentru identitatea digitală, astfel cum sunt menționate la articolul [articolul 6a alineatul (2) din Regulamentul (UE) nr. 910/2014, astfel cum a fost modificat prin Propunerea de regulament de modificare a Regulamentului (UE) nr. 910/2014 în ceea ce privește instituirea unui cadru pentru identitatea digitală europeană], ar trebui să respecte atât cerințele esențiale orizontale instituite prin prezentul regulament, cât și cerințele de securitate specifice prevăzute la articolul [articolul 6a din Regulamentul (UE) nr. 910/2014, astfel cum a fost modificat prin Propunerea de regulament de modificare a Regulamentului (UE) nr. 910/2014 în ceea ce privește instituirea unui cadru pentru identitatea digitală europeană]. Pentru a facilita respectarea acestora, emitenții de portofele ar trebui să poată demonstra conformitatea portofelelor europene pentru identitatea digitală cu cerințele prevăzute în ambele acte prin certificarea produselor lor în cadrul unui sistem european de certificare de securitate cibernetică instituit în temeiul Regulamentului (UE) 2019/881 și pentru care Comisia a specificat, prin intermediul unui act de punere în aplicare, o prezumție de conformitate pentru prezentul regulament, în măsura în care certificatul sau anumite părți ale acestuia acoperă cerințele respective.

(19)Anumite sarcini prevăzute în prezentul regulament ar trebui să fie îndeplinite de ENISA, în conformitate cu articolul 3 alineatul (2) din Regulamentul (UE) 2019/881. În special, ENISA ar trebui să primească notificări de la producători cu privire la vulnerabilitățile exploatate activ conținute în produsele cu elemente digitale, precum și cu privire la incidentele care au un impact asupra securității acestor produse. ENISA ar trebui, de asemenea, să transmită aceste notificări echipelor de intervenție în caz de incidente de securitate informatică (CSIRT) relevante sau, respectiv, punctelor unice de contact relevante din statele membre desemnate în conformitate cu articolul [articolul X] din Directiva [Directiva XXX/XXXX (NIS2)] și să informeze autoritățile relevante de supraveghere a pieței cu privire la vulnerabilitatea notificată. Pe baza informațiilor pe care le colectează, ENISA ar trebui să elaboreze un raport tehnic bienal privind tendințele emergente în ceea ce privește riscurile de securitate cibernetică pentru produsele cu elemente digitale și să îl transmită grupului de cooperare menționat în Directiva [Directiva XXX/XXXX (NIS2)]. În plus, având în vedere expertiza și mandatul său, ENISA ar trebui să fie în măsură să sprijine procesul de punere în aplicare a prezentului regulament. În special, aceasta ar trebui să fie în măsură să propună activități comune care să fie desfășurate de autoritățile de supraveghere a pieței pe baza unor indicații sau informații privind o posibilă neconformitate cu prezentul regulament a produselor cu elemente digitale din mai multe state membre sau să identifice categoriile de produse pentru care ar trebui organizate acțiuni de control coordonate simultane. În circumstanțe excepționale, la cererea Comisiei, ENISA ar trebui să poată efectua evaluări cu privire la anumite produse cu elemente digitale care prezintă un risc semnificativ în materie de securitate cibernetică, în cazul în care este necesară o intervenție imediată pentru a menține buna funcționare a pieței interne.

(20)Produsele cu elemente digitale ar trebui să poarte marcajul CE pentru a indica conformitatea lor cu prezentul regulament, astfel încât să poată circula liber în cadrul pieței interne. Statele membre ar trebui să nu genereze obstacole nejustificate în calea introducerii pe piață a produselor cu elemente digitale care sunt conforme cu cerințele prevăzute în prezentul regulament și care poartă marcajul CE.

(21)Pentru a se asigura că producătorii pot lansa software în scopuri de testare înainte de a-și supune produsele unei evaluări a conformității, statele membre nu ar trebui să împiedice punerea la dispoziție a software-ului nefinalizat, cum ar fi versiunile alfa, beta sau cele candidate la lansare, atât timp cât versiunea este pusă la dispoziție numai pentru perioada necesară pentru a o testa și a primi feedback. Producătorii ar trebui să se asigure că software-ul pus la dispoziție în aceste condiții este lansat numai în urma unei evaluări a riscurilor și că respectă, în măsura posibilului, cerințele de securitate referitoare la proprietățile produselor cu elemente digitale impuse de prezentul regulament. De asemenea, producătorii ar trebui să pună în aplicare, în măsura posibilului, cerințele de gestionare a vulnerabilităților. Producătorii nu ar trebui să oblige utilizatorii să treacă la versiunile lansate numai în scopul testării.

(22)Pentru a se asigura că produsele cu elemente digitale, atunci când sunt introduse pe piață, nu prezintă riscuri în materie de securitate cibernetică pentru persoane și organizații, ar trebui stabilite cerințe esențiale pentru astfel de produse. Atunci când produsele sunt modificate ulterior, prin mijloace fizice sau digitale, într-un mod care nu este prevăzut de producător și care poate implica faptul că acestea nu mai îndeplinesc cerințele esențiale relevante, modificarea ar trebui considerată substanțială. De exemplu, actualizările sau reparațiile software-ului ar putea fi asimilate operațiunilor de întreținere, cu condiția ca acestea să nu modifice un produs deja introdus pe piață astfel încât să poată fi afectată conformitatea cu cerințele aplicabile sau să poată fi schimbată utilizarea preconizată pentru care a fost evaluat produsul. La fel ca în cazul reparațiilor sau al modificărilor fizice, un produs cu elemente digitale ar trebui să fie considerat ca fiind modificat substanțial de o modificare a software-ului dacă actualizarea software-ului modifică tipul, performanța sau funcțiile inițiale preconizate ale produsului, iar aceste modificări nu au fost prevăzute în evaluarea inițială a riscurilor sau dacă natura pericolului s-a schimbat sau nivelul de risc a crescut ca urmare a actualizării software-ului.

(23)În conformitate cu noțiunea stabilită de comun acord a modificării substanțiale pentru produsele reglementate de legislația de armonizare a Uniunii, ori de câte ori apare o modificare substanțială care ar putea afecta conformitatea produsului cu prezentul regulament sau atunci când scopul preconizat al produsului se modifică, este oportun ca conformitatea produsului cu elemente digitale să fie verificată și, după caz, ca acesta să fie supus unei noi evaluări a conformității. După caz, dacă producătorul efectuează o evaluare a conformității care implică un terț, modificările care ar putea duce la modificări substanțiale ar trebui notificate părții terțe.

(24)Recondiționarea, întreținerea și repararea unui produs cu elemente digitale, astfel cum sunt definite în regulament [Regulamentul privind proiectarea ecologică], nu conduc neapărat la o modificare substanțială a produsului, de exemplu în cazul în care utilizarea și funcționalitățile preconizate nu sunt modificate, iar nivelul de risc rămâne neafectat. Cu toate acestea, modernizarea unui produs de către producător ar putea duce la modificări ale proiectării și dezvoltării produsului și, prin urmare, ar putea afecta utilizarea preconizată și conformitatea produsului cu cerințele stabilite în prezentul regulament.

(25)Produsele cu elemente digitale ar trebui considerate critice dacă impactul negativ al exploatării potențialelor vulnerabilități în materie de securitate cibernetică ale produsului poate fi grav din cauza, printre altele, a funcționalității legate de securitatea cibernetică sau a utilizării preconizate. În special, vulnerabilitățile produselor cu elemente digitale care au o funcționalitate legată de securitatea cibernetică, de exemplu elementele de securitate, pot conduce la o propagare a problemelor de securitate în întregul lanț de aprovizionare. Gravitatea impactului unui incident de securitate cibernetică poate crește, de asemenea, atunci când se ia în considerare utilizarea preconizată a produsului, de exemplu într-un cadru industrial sau în contextul unei entități esențiale de tipul celor menționate în anexa [anexa I] la Directiva [Directiva XXX/XXXX (NIS2)] sau pentru îndeplinirea unor funcții critice sau sensibile, cum ar fi prelucrarea datelor cu caracter personal.

(26)Produsele critice cu elemente digitale ar trebui să facă obiectul unor proceduri mai stricte de evaluare a conformității, menținând, în același timp, o abordare proporțională. În acest scop, produsele critice cu elemente digitale ar trebui împărțite în două clase, în funcție de nivelul de risc de securitate cibernetică legat de aceste categorii de produse. Un potențial incident cibernetic care implică produse din clasa II ar putea avea un impact negativ mai mare decât un incident care implică produse din clasa I, de exemplu din cauza naturii funcției lor legate de securitatea cibernetică sau a utilizării preconizate în medii sensibile, și, prin urmare, ar trebui să facă obiectul unei proceduri mai stricte de evaluare a conformității.

(27)Categoriile de produse critice cu elemente digitale menționate în anexa III la prezentul regulament ar trebui înțelese ca fiind produsele care au funcționalitatea de bază de tipul inclus în anexa III la prezentul regulament. De exemplu, anexa III la prezentul regulament enumeră produsele care sunt definite prin funcționalitatea lor de bază ca microprocesoare de uz general din clasa II. În consecință, utilizarea generală a microprocesoarelor face obiectul evaluării obligatorii de conformitate de către terți. Acest lucru nu este valabil pentru alte produse care nu sunt menționate în mod explicit în anexa III la prezentul regulament și care pot integra un microprocesor de uz general. Comisia ar trebui să adopte acte delegate [în termen de 12 luni de la intrarea în vigoare a prezentului regulament] pentru a preciza definițiile categoriilor de produse incluse în clasele I și II, astfel cum sunt prevăzute în anexa III.