EURÓPSKA KOMISIA V Bruseli15. 9. 2022 COM(2022) 454 final 2022/0272(COD) Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o horizontálnych požiadavkách kybernetickej bezpečnosti pre produkty s digitálnymi prvkami a o zmene nariadenia (EÚ) 2019/1020 (Text s významom pre EHP) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



DÔVODOVÁ SPRÁVA 1.KONTEXT NÁVRHU •Dôvody a ciele návrhu Hardvérové a softvérové produkty sú čoraz častejšie predmetom úspešných kybernetických útokov, ktoré v roku 2021 viedli k odhadovaným celosvetovým ročným nákladom spôsobeným počítačovou kriminalitou vo výške 5,5 bilióna EUR. Takéto produkty majú dva hlavné problémy, ktoré zvyšujú náklady používateľov a spoločnosti: 1. nízku úroveň kybernetickej bezpečnosti, ktorá sa prejavuje rozšíreným výskytom zraniteľností a nedostatočným a nekonzistentným poskytovaním bezpečnostných aktualizácií na ich riešenie, a 2. nedostatočné chápanie používateľov a ich prístup k informáciám, čo im bráni vybrať si produkty s vhodnými vlastnosťami kybernetickej bezpečnosti alebo používať ich bezpečným spôsobom. V prepojenom prostredí môže kybernetický bezpečnostný incident jedného produktu ovplyvniť celú organizáciu alebo celý dodávateľský reťazec, pričom sa často rozšíri naprieč hranicami vnútorného trhu v priebehu niekoľkých minút. Môže to viesť k vážnemu narušeniu hospodárskych a sociálnych činností alebo dokonca k ohrozeniu života. Kybernetická bezpečnosť produktov s digitálnymi prvkami má výrazný cezhraničný rozmer, keďže produkty vyrobené v jednej krajine sa často používajú na celom vnútornom trhu. Navyše incidenty, ktoré spočiatku ovplyvňujú jeden subjekt alebo jeden členský štát, sa často v priebehu minút rozšíria na celý vnútorný trh. Hoci sa existujúce právne predpisy o vnútornom trhu uplatňujú na určité produkty s digitálnymi prvkami, na väčšinu hardvérových a softvérových produktov sa v súčasnosti nevzťahujú žiadne právne predpisy EÚ, ktoré by sa zaoberali ich kybernetickou bezpečnosťou. V súčasnom právnom rámci EÚ sa nerieši najmä kybernetická bezpečnosť nezabudovaného softvéru, a to ani vtedy, keď útoky na kybernetickú bezpečnosť sú čoraz častejšie zamerané na zraniteľnosti týchto produktov a spôsobujú značné spoločenské a hospodárske náklady. Existujú početné príklady kybernetických útokov zneužívajúcich suboptimálne zabezpečenie produktu, ktoré stoja za zmienku, napríklad ransomvérový červ WannaCry, ktorý v roku 2017 zneužil zraniteľnosť Windows na 200 000 počítačoch v 150 krajinách a spôsobil škody vo výške niekoľkých miliárd USD; ransomvérový útok na Kaseya VSA, pri ktorom sa použil softvér na správu serverov dodávateľského reťazca Kaseya na útok na vyše 1 000 spoločností a donútil sieť supermarketov zatvoriť všetkých svojich 500 predajní po celom Švédsku; alebo množstvo kybernetických incidentov, pri ktorých boli hacknuté bankové aplikácie s cieľom ukradnúť peniaze od nič netušiacich spotrebiteľov. V snahe zaistiť riadne fungovanie vnútorného trhu boli identifikované dva hlavné ciele: 1. vytvoriť podmienky pre vývoj bezpečných produktov s digitálnymi prvkami tým, že sa zaistí, aby sa na trh uvádzali hardvérové a softvérové produkty s menším počtom zraniteľností a aby výrobcovia brali vážne bezpečnosť počas celého životného cyklu produktu, a 2. vytvoriť podmienky, ktoré umožnia používateľom zohľadniť kybernetickú bezpečnosť pri výbere a používaní produktov s digitálnymi prvkami. Boli stanovené štyri špecifické ciele: i) zaistiť, aby výrobcovia zlepšili bezpečnosť produktov s digitálnymi prvkami od fázy návrhu a vývoja aj počas celého životného cyklu; ii) zaistiť koherentný rámec kybernetickej bezpečnosti, ktorý uľahčí výrobcom hardvéru a softvéru dodržiavať predpisy; iii) zvýšiť transparentnosť bezpečnostných vlastností produktov s digitálnymi prvkami a iv) umožniť podnikom a spotrebiteľom bezpečné používanie produktov s digitálnymi prvkami. Z výrazného cezhraničného charakteru kybernetickej bezpečnosti a rastúceho počtu incidentov s účinkami, ktoré presahujú hranice, odvetvia a produkty, vyplýva, že ciele nemožno účinne dosiahnuť len na úrovni členských štátov. Vzhľadom na globálny charakter trhov s produktmi s digitálnymi prvkami čelia členské štáty na svojom území rovnakým rizikám v prípade toho istého produktu s digitálnymi prvkami. Vznikajúci fragmentovaný rámec potenciálne odlišných vnútroštátnych pravidiel prináša riziká, ktoré narúšajú otvorený a konkurencieschopný jednotný trh s produktmi s digitálnymi prvkami. Potrebné je preto spoločné opatrenie na úrovni EÚ, aby sa zvýšila úroveň dôvery medzi používateľmi a atraktívnosť produktov EÚ s digitálnymi prvkami. Prospelo by aj vnútornému trhu, a to tým, že by sa zabezpečila právna istota a dosiahli rovnaké podmienky pre predajcov produktov s digitálnymi prvkami, ako sa zdôrazňuje aj v záverečnej správe z Konferencie o budúcnosti Európy, v ktorej občania vyzývajú na silnejšiu úlohu EÚ v boji proti kybernetickobezpečnostným hrozbám. •Súlad s existujúcimi ustanoveniami v tejto oblasti politiky Rámec EÚ obsahuje viaceré horizontálne právne predpisy, ktoré sa týkajú určitých aspektov spojených s kybernetickou bezpečnosťou z rôznych hľadísk (produktov, služieb krízového manažmentu a trestnej činnosti). V roku 2013 nadobudla účinnosť smernica o útokoch na informačné systémy, ktorou sa harmonizuje kriminalizácia a sankcie za viaceré trestné činy namierené proti informačným systémom. V auguste 2016 nadobudla účinnosť smernica (EÚ) 2016/1148 o bezpečnosti sietí a informačných systémov (smernica NIS) ako prvý právny predpis EÚ o kybernetickej bezpečnosti. Výsledkom jej revízie je smernica [smernica XXX/XXXX (NIS2)], ktorou sa zvyšuje spoločná úroveň ambícií EÚ. V roku 2019 nadobudol účinnosť akt EÚ o kybernetickej bezpečnosti, ktorého cieľom je zvýšenie bezpečnosti produktov IKT, služieb IKT a procesov IKT zavedením dobrovoľného európskeho rámca certifikácie kybernetickej bezpečnosti. Kybernetická bezpečnosť celého dodávateľského reťazca je zaistená, iba ak sú kyberneticky bezpečné všetky jeho zložky. Uvedené právne predpisy EÚ však majú v tomto ohľade značné medzery, pretože sa nevzťahujú na povinné požiadavky na bezpečnosť produktov s digitálnymi prvkami. Hoci sa navrhovaný akt o kybernetickej odolnosti vzťahuje na produkty s digitálnymi prvkami uvádzané na trh, smernica [smernica XXX/XXXX (NIS2)] sa zameriava na zabezpečenie vysokej úrovne kybernetickej bezpečnosti služieb, ktoré poskytujú základné a dôležité subjekty. V smernici [smernica XXX/XXXX (NIS2)] sa od členských štátov vyžaduje zaistiť, aby základné a dôležité subjekty v rozsahu pôsobnosti, ako sú poskytovatelia zdravotnej starostlivosti alebo cloudových služieb a subjekty verejnej správy, prijali vhodné a primerané technické, operatívne a organizačné kybernetickobezpečnostné opatrenia. Súčasťou toho okrem iného je požiadavka zaistiť bezpečnosť pri nadobúdaní, vývoji a údržbe sieťových a informačných systémov vrátane riešenia a zverejnenia zraniteľností. V smernici [smernica XXX/XXXX (NIS2)] sa od Komisie vyžaduje, aby do 21 mesiacov odo dňa nadobudnutia účinnosti tejto smernice prijala vykonávacie akty, v ktorých stanoví technické a metodické požiadavky na uvedené opatrenia pre určité druhy subjektov, ako sú poskytovatelia služieb cloud computingu. Pre všetky ostatné subjekty môže Komisia prijať vykonávací akt, v ktorom stanoví technické a metodické požiadavky, ako aj odvetvové požiadavky. Týmto rámcom sa zabezpečí, aby sa technické špecifikácie a opatrenia podobné základným požiadavkám kybernetickej bezpečnosti aktu o kybernetickej odolnosti takisto uskutočňovali pri návrhu, vývoji a riešení zraniteľností softvéru poskytovaného formou služby (softvér ako služba). Mohol by byť napríklad prostriedkom na zaistenie vysokej úrovne kybernetickej bezpečnosti v prípadoch, ako sú systémy elektronických zdravotných záznamov, a to aj vtedy, ak sa dodávajú formou softvéru ako služba alebo ak sa vyvíjajú v rámci zdravotníckych inštitúcií (interne) v súlade s navrhovaným [nariadením o európskom priestore pre zdravotné údaje]. •Súlad s ostatnými politikami Únie Ako sa stanovuje v oznámení „Formovanie digitálnej budúcnosti Európy“, je pre EÚ kľúčové využívať všetky výhody digitálneho veku a posilniť svoju priemyselnú a inovačnú kapacitu v rámci bezpečných a etických hraníc. V rámci Európskej dátovej stratégie sa stanovujú štyri piliere – ochrana údajov, základné práva, bezpečnosť a kybernetická bezpečnosť – ktoré sú základnými predpokladmi pre spoločnosť posilnenú využívaním údajov. Súčasný rámec EÚ vzťahujúci sa na produkty, ktoré môžu mať aj digitálne prvky, pozostáva z viacerých právnych predpisov vrátane právnych predpisov EÚ o konkrétnych produktoch, ktoré sa týkajú bezpečnostných aspektov, a zo všeobecných právnych predpisov o zodpovednosti za výrobok. Návrh je v súlade so súčasným regulačným rámcom EÚ týkajúcim sa produktov, ako aj s poslednými legislatívnymi návrhmi Komisie, napr. s návrhom nariadenia [nariadenie o umelej inteligencii]. Navrhované nariadenie by sa uplatňovalo na všetky rádiové zariadenia v rozsahu pôsobnosti delegovaného nariadenia Komisie (EÚ) 2022/30. Požiadavky stanovené v tomto nariadení navyše obsahujú všetky prvky základných požiadaviek uvedených v článku 3 ods. 3 písm. d), e) a f) smernice 2014/53/EÚ vrátane hlavných prvkov stanovených vo [vykonávacom rozhodnutí Komisie XXX/2022 o mandáte na tvorbu normy pre európske normalizačné organizácie] vydanom na základe uvedeného delegovaného nariadenia. S cieľom vyhnúť sa prekrývaniu právnych predpisov sa predpokladá, že Komisia zruší alebo zmení delegované nariadenie, pokiaľ ide o rádiové zariadenia, na ktoré sa vzťahuje navrhované nariadenie, aby sa toto na ne vzťahovalo, keď bude uplatniteľné. Okrem toho, aby sa zabránilo duplicite prác, predpokladá sa, že Komisia a európske normalizačné organizácie zohľadnia normalizačné práce vykonané v súvislosti s vykonávacím rozhodnutím Komisie C(2022) 5637 o mandáte na tvorbu normy týkajúcom sa delegovaného nariadenia 2022/30, ktorým sa dopĺňa smernica o rádiových zariadeniach, pri príprave a vypracúvaní harmonizovaných noriem na uľahčenie vykonávania tohto nariadenia. 2.PRÁVNY ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA •Právny základ

Právnym základom tohto návrhu je článok 114 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“), v ktorom sa stanovuje prijímanie opatrení na zabezpečenie vytvorenia a fungovania vnútorného trhu. Účelom návrhu je harmonizovať požiadavky kybernetickej bezpečnosti na produkty s digitálnymi prvkami vo všetkých členských štátoch a odstrániť prekážky voľného pohybu tovaru. Článok 114 ZFEÚ možno použiť ako právny základ na predchádzanie výskytu týchto prekážok v dôsledku odlišných vnútroštátnych zákonov a prístupov týkajúcich sa spôsobu riešenia právnej neistoty a medzier v existujúcich právnych rámcoch. Súdny dvor navyše uznal, že uplatňovanie rozdielnych technických požiadaviek by mohlo byť platným dôvodom na uplatnenie článku 114 ZFEÚ. Súčasný právny rámec EÚ uplatniteľný na produkty s digitálnymi prvkami je založený na článku 114 ZFEÚ a obsahuje viacero právnych predpisov vrátane predpisov o konkrétnych produktoch a bezpečnostných aspektoch, alebo všeobecných právnych predpisov o zodpovednosti za výrobok. Pokrýva však iba niektoré aspekty spojené s kybernetickou bezpečnosťou hmotných digitálnych produktov a prípadne so softvérom zabudovaným v týchto produktoch. Členské štáty začínajú na vnútroštátnej úrovni prijímať vnútroštátne opatrenia, ktorými sa od predajcov digitálnych produktov vyžaduje posilnenie ich kybernetickej bezpečnosti. Kybernetická bezpečnosť digitálnych produktov má zároveň obzvlášť výrazný cezhraničný rozmer, keďže produkty vyrobené v jednej krajine používajú často organizácie a spotrebitelia na celom vnútornom trhu. Incidenty, ktoré sa spočiatku týkajú jedného subjektu alebo členského štátu sa často za pár minút rozšíria v celých organizáciách, odvetviach a vo viacerých členských štátoch. Rôzne akty a iniciatívy prijaté dosiaľ na úrovni EÚ a na vnútroštátnych úrovniach riešia identifikované problémy iba čiastočne a spôsobujú riziko vytvorenia zlepenca právnych predpisov na vnútornom trhu, ktorý zvýši právnu neistotu predajcov aj používateľov týchto produktov a pridá zbytočnú záťaž spoločnostiam pri plnení mnohých požiadaviek v súvislosti s podobnými druhmi produktov. Navrhovaným nariadením by sa harmonizovalo a zjednodušilo regulačné prostredie EÚ zavedením požiadaviek kybernetickej bezpečnosti produktov s digitálnymi prvkami a zabránilo by sa prekrývaniu požiadaviek vyplývajúcich z rôznych právnych predpisov. Vytvorila by sa tak väčšia právna istota pre hospodárske subjekty a používateľov v celej Únii, ako aj lepšia harmonizácia vnútorného trhu vytvorením životaschopnejších podmienok pre hospodárske subjekty, ktoré plánujú vstup na vnútorný trh EÚ. •Subsidiarita (v prípade inej ako výlučnej právomoci) Z výrazného cezhraničného charakteru kybernetickej bezpečnosti všeobecne a rastúceho počtu rizík a incidentov s účinkami, ktoré presahujú hranice, odvetvia a produkty, vyplýva, že ciele nemožno účinne dosiahnuť len na úrovni členských štátov. Vnútroštátne prístupy k riešeniu problémov a najmä prístupy, ktorými sa zavádzajú povinné požiadavky, vytvoria ďalšiu právnu neistotu a právne prekážky. Spoločnostiam by sa mohlo zabrániť v plynulom rozširovaní do iných členských štátov, a tak pripraviť používateľov o prospech z ich produktov. Potrebné je preto spoločné opatrenie na úrovni EÚ, aby sa vytvorila vysoká úroveň dôvery medzi používateľmi, ktorá zvýši atraktívnosť produktov EÚ s digitálnymi prvkami. Prospelo by aj digitálnemu jednotnému trhu a vnútornému trhu všeobecne a to tým, že by sa zabezpečila právna istota a dosiahli rovnaké podmienky pre výrobcov produktov s digitálnymi prvkami. Rada v záveroch o vývoji stavu kybernetickej bezpečnosti Európskej únie z 23. mája 2022 napokon vyzýva Komisiu, aby do konca roka 2022 navrhla spoločné požiadavky kybernetickej bezpečnosti pre pripájané zariadenia. •Proporcionalita Pokiaľ ide o proporcionalitu navrhovaného nariadenia, opatrenia v rámci uvažovaných možností politiky by neprekročili rámec nevyhnutný na dosiahnutie všeobecného cieľa a špecifických cieľov a nespôsobili by neúmerné náklady. Presnejšie by sa zvažovaným zásahom zabezpečilo, aby produkty s digitálnymi prvkami boli zabezpečené počas ich celého životného cyklu a úmerne k očakávaným rizikám prostredníctvom cielene zameraných a technologicky neutrálnych požiadaviek, ktoré zostávajú odôvodnené a všeobecne zodpovedajú záujmu zúčastnených subjektov. Základné požiadavky kybernetickej bezpečnosti v návrhu nadväzujú na všeobecne používané normy a proces normalizácie, ktorým sa bude postupovať, by zohľadnil technické špecifiká týchto produktov. To znamená, že ak to bude potrebné vzhľadom na danú úroveň rizika, bezpečnostné kontroly by sa prispôsobili. V predpokladaných horizontálnych pravidlách by sa ďalej navrhlo posudzovanie treťou stranou len kritických produktov. Toto by sa týkalo len úzkeho podielu produktov s digitálnymi prvkami na trhu. Dosah na MSP by závisel od ich prítomnosti na trhu s týmito konkrétnymi kategóriami produktov. Pokiaľ ide o proporcionalitu nákladov na posudzovanie zhody, notifikované osoby, ktoré vykonávajú posudzovanie treťou stranou, by pri stanovení svojich poplatkov zohľadňovali veľkosť podniku. Poskytlo by sa aj primerané prechodné obdobie 24 mesiacov na prípravu vykonávania, ktorým by sa príslušným trhom poskytol čas na prípravu, pričom by sa stanovilo jasné smerovanie investícií na výskum a vývoj. Akékoľvek náklady na dodržiavanie predpisov pre podniky by sa vyvážili prínosmi vyššej úrovne bezpečnosti produktov s digitálnymi prvkami a v konečnom dôsledku zvýšením dôvery používateľov k týmto produktom. •Výber nástroja Regulačný zásah by prinieslo prijatie nariadenia a nie smernice. Je to preto, že pri tomto konkrétnom druhu právneho predpisu, ktorý sa týka produktu, by sa nariadením účinnejšie riešili identifikované problémy a dosiahli formulované ciele, keďže ide o zásah, ktorý je podmienený uvedením veľmi širokej kategórie produktov na vnútorný trh. V prípade použitia smernice na takýto zásah by proces transpozície mohol ponechať príliš veľký priestor na vlastné úvahy na vnútroštátnej úrovni, čo by mohlo viesť k nejednotnosti určitých základných požiadaviek kybernetickej bezpečnosti, právnej neistote, ďalšej fragmentácii alebo dokonca k diskriminačným situáciám naprieč hranicami, a to aj s väčším prihliadaním na skutočnosť, že produkty, na ktoré sa vzťahuje, by mohli mať viacnásobný účel alebo viac použití, a že výrobcovia môžu vyrábať viac kategórií takýchto produktov. 3.VÝSLEDKY HODNOTENÍ EX POST, KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENÍ VPLYVU •Konzultácie so zainteresovanými stranami Komisia viedla konzultácie so širokým spektrom zainteresovaných strán. Členské štáty a zainteresované strany boli vyzvané, aby sa zúčastnili na verejnej konzultácii a na prieskumoch a seminároch organizovaných v kontexte štúdie, ktorú uskutočnilo konzorcium podporujúce prípravné práce Komisie na posúdenie vplyvu, ktoré tvorili: Wavestone, Centrum pre európske politické štúdie (CEPS) a ICF. Zainteresovanými stranami, ktoré sa na konzultácii zúčastnili, boli národné orgány dohľadu nad trhom, orgány Únie, ktoré sa zaoberajú kybernetickou bezpečnosťou, výrobcovia hardvéru a softvéru, dovozcovia a distribútori hardvéru a softvéru, priemyselné združenia, organizácie spotrebiteľov a používateľov produktov s digitálnymi prvkami a občania, výskumní pracovníci a členovia akademickej obce, notifikované osoby a akreditačné orgány a odborníci z oblasti kybernetickej bezpečnosti. Konzultácie zahŕňali: ·prvú štúdiu, uskutočnenú konzorciom zloženým z ICF, Wavestone, Carsa a CEPS, ktorá bola uverejnená v decembri 2021. V štúdii sa identifikovali viaceré zlyhania trhu a posúdili možné regulačné zásahy.

·Verejná konzultácia, ktorá bola zameraná na občanov, zainteresované strany a odborníkov v oblasti kybernetickej bezpečnosti. Predložených bolo 176 odpovedí. Prispeli k zbierke rozmanitých stanovísk a skúseností zo všetkých skupín zainteresovaných strán. ·Na seminároch organizovaných v rámci štúdie na podporu prípravných prác Komisie v súvislosti s aktom o kybernetickej odolnosti sa zhromaždilo približne 100 zástupcov zo všetkých 27 členských štátov, ktorí zastupovali rôzne zainteresované strany. ·Uskutočnili sa rozhovory s expertmi so zámerom lepšie pochopiť súčasné problémy kybernetickej bezpečnosti vo vzťahu k produktom s digitálnymi prvkami a prerokovať možnosti politiky, pokiaľ ide o potenciálny regulačný zásah. ·Dvojstranné diskusie sa uskutočnili s vnútroštátnymi orgánmi pre kybernetickú bezpečnosť, súkromným sektorom a spotrebiteľskými organizáciami. ·Cielený program bol venovaný kľúčovým zainteresovaným MSP. •Získavanie a využívanie expertízy Cieľom konzultačných činností bolo získať vstupné informácie o piatich hlavných kritériách hodnotenia na základe usmernení EÚ k lepšej právnej regulácii (účinnosť, efektívnosť, relevantnosť, súdržnosť, pridaná hodnota EÚ), ako aj o potenciálnych účinkoch možných alternatív. Dodávateľ sa nielen obrátil na zainteresované strany, ktoré by boli priamo ovplyvnené navrhovaným nariadením, ale aj konzultoval s celým radom expertov v oblasti kybernetickej bezpečnosti. •Posúdenie vplyvu Komisia vypracovala posúdenie vplyvu tohto návrhu, ktoré preskúmal výbor Komisie pre kontrolu regulácie. Rokovanie s výborom pre kontrolu regulácie sa uskutočnilo 6. júla 2022, po ktorom nasledovalo priaznivé stanovisko. Posúdenie vplyvu sa upravilo, aby zohľadňovalo odporúčania a pripomienky výboru pre kontrolu regulácie. Komisia preskúmala rôzne možnosti politiky na dosiahnutie všeobecného cieľa tohto návrhu: ·Tzv. „soft law“ prístup a dobrovoľné opatrenia (možnosť 1): Pri tejto možnosti by neexistoval žiadny povinný regulačný zásah. Namiesto neho by Komisia vydala oznámenia, usmernenia, odporúčania a možno kódexy správania na podnietenie dobrovoľných opatrení. Naďalej by sa vyvíjali vnútroštátne programy, dobrovoľné alebo povinné, s cieľom kompenzovať nedostatok horizontálnych pravidiel EÚ. ·Regulačný zásah ad hoc v prospech kybernetickej bezpečnosti hmotných produktov s digitálnymi prvkami a príslušného zabudovaného softvéru (možnosť 2): Táto možnosť by bola regulačným zásahom ad hoc zameraným na konkrétny produkt, ktorý by bol obmedzený na doplnenie a/alebo zmenu požiadaviek kybernetickej bezpečnosti v právnych predpisoch, ktoré už existujú, alebo na zavedenie nových právnych predpisov vzhľadom na novovznikajúce riziká prípadne vrátane nezabudovaného softvéru. Možnosti 3 a 4 sú horizontálne regulačné zásahy s rôznym rozsahom pôsobnosti, väčšinou podľa nového legislatívneho rámca. Týmto rámcom sa stanovujú základné požiadavky ako podmienka uvedenia určitých produktov na vnútorný trh. Nový legislatívny rámec spravidla počíta aj s postupom posudzovania zhody, procesom vykonávaným výrobcom, ktorého cieľom je preukázať, či sú splnené špecifikované požiadavky týkajúce sa produktu. ·Zmiešaný prístup, ktorého súčasťou sú horizontálne kogentné právne normy vzťahujúce sa kybernetickú bezpečnosť hmotných produktov s digitálnymi prvkami a príslušný zabudovaný softvér a stupňovitý prístup v prípade nezabudovaného softvéru (možnosť 3): Táto možnosť by znamenala reguláciu, ktorou by sa zaviedli horizontálne požiadavky kybernetickej bezpečnosti pre všetky hmotné produkty s digitálnymi prvkami a softvér zabudovaný v nich ako podmienka uvedenia na trh, a obsahovala by dve čiastkové možnosti s povinným posúdením treťou stranou (3i) a bez neho (3ii). Nezabudovaný softvér by sa nereguloval. ·Horizontálny regulačný zásah, ktorým sa zavádzajú požiadavky kybernetickej bezpečnosti pre rozsiahlu skupinu hmotných a nehmotných produktov s digitálnymi prvkami, vrátane nezabudovaného softvéru (možnosť 4): Táto možnosť je podobná možnosti 3, okrem rozsahu pôsobnosti. Možnosť 4 by zahŕňala nezabudovaný softvér [s dvoma čiastkovými možnosťami, ktoré by sa týkali buď iba kritického softvéru (4a), alebo všetkého softvéru (4b)] v rozsahu pôsobnosti potenciálnej regulácie. Pri každej čiastkovej možnosti by sa zvažovali rovnaké čiastkové možnosti týkajúce sa posudzovania zhody ako pri možnosti 3. Možnosť 4 (s čiastkovými možnosťami vzťahujúcimi sa na všetok softvér a zahŕňajúcimi povinné posúdenie kritických produktov treťou stranou) sa ukázala ako uprednostňovaná možnosť na základe posúdenia účinnosti vzhľadom na špecifické ciele a efektívnosti nákladov v porovnaní s prínosmi. Touto možnosťou by sa zabezpečilo stanovenie špecifických horizontálnych požiadaviek kybernetickej bezpečnosti pre všetky produkty s digitálnymi prvkami uvádzanými na vnútorný trh alebo sprístupnenými na ňom, pričom by bola jedinou možnosťou, ktorá by sa vzťahovala na celý digitálny dodávateľský reťazec. Takýto regulačný zásah by pokryl aj nezabudovaný softvér, ktorý je často vystavený zraniteľnostiam, a zaistil by tak súdržný prístup ku všetkým produktom s digitálnymi prvkami s jasným rozdelením zodpovednosti rôznych hospodárskych subjektov. Táto možnosť politiky prináša aj pridanú hodnotu zahrnutím aspektov povinnej starostlivosti a celého životného cyklu po uvedení produktov s digitálnymi prvkami na trh s cieľom okrem iného zabezpečiť primerané informácie o bezpečnostnej podpore a poskytovaní aktualizácií zabezpečenia. Táto možnosť politiky by bola aj najúčinnejším doplnkom nedávnej revízie rámca NIS, a to zabezpečením predpokladov posilnenej bezpečnosti dodávateľského reťazca. Uprednostňovaná možnosť by priniesla značné výhody rôznym zainteresovaným stranám. V prípade podnikov by sa zabránilo rozdielnym bezpečnostným pravidlám pre produkty s digitálnymi prvkami a znížili by sa náklady na dodržiavanie príslušných právnych predpisov v oblasti kybernetickej bezpečnosti. Znížil by sa počet kybernetických bezpečnostných incidentov, náklady na ich riešenie a poškodenie dobrého mena. V prípade celej EÚ sa odhaduje, že iniciatíva by mohla viesť k zníženiu nákladov, ktoré z incidentov vznikajú podnikom približne o 180 až 290 miliárd EUR ročne. Viedla by k zvýšenému obratu vďaka využívaniu produktov s digitálnymi prvkami. Zlepšila by sa celková dobrá povesť spoločností, čo by podnietilo zvýšenie dopytu aj mimo EÚ. Uprednostňovaná možnosť by pre používateľov zvýšila transparentnosť bezpečnostných vlastností a uľahčila by používanie produktov s digitálnymi prvkami. Aj spotrebitelia a občania by mali prínos z lepšej ochrany svojich práv, ako je ochrana súkromia a ochrana osobných údajov. Pri požiadavke na hodnotenie účinnosti politických zásahov sa respondenti v rámci verejnej konzultácie zhodli na tom, že možnosť 4 by bola najúčinnejším opatrením (4,08 na stupnici od 1 do 5). Patria k nim spotrebiteľské organizácie (5,00), respondenti, ktorí sa identifikovali ako používatelia (4,22), notifikované osoby (4,17), orgány dohľadu nad trhom (5,00) a výrobcovia produktov s digitálnymi prvkami (3,85) vrátane výrobcov malej a strednej veľkosti (4,05). •Vhodnosť právnych predpisov a ich zjednodušenie

V tomto návrhu sa stanovujú požiadavky, ktoré sa budú uplatňovať na výrobcov softvéru a hardvéru. Je potrebné zabezpečiť právnu istotu a vyhnúť sa ďalšej fragmentácii trhu požiadavkami kybernetickej bezpečnosti týkajúcimi sa produktov na vnútornom trhu, čo sa preukázalo širokou podporou rôznych zainteresovaných strán v prípade horizontálneho zásahu. Návrhom sa bude minimalizovať regulačné zaťaženie výrobcov spôsobené viacerými aktmi o bezpečnosti výrobkov. Zosúladenie s novým legislatívnym rámcom znamená lepšie fungovanie zásahu a jeho presadzovanie. Návrhom sa zjednodušuje proces postupov súvisiacich s ochrannou doložkou zahrnutím výrobcov a členských štátov pred notifikáciou Komisie. Veľká časť výrobcov v rozsahu pôsobnosti návrhu sa už podrobne oboznámila s fungovaním nového legislatívneho rámca, čo prispeje k jeho pochopeniu a vykonávaniu. V prípade spotrebiteľov a spoločností návrh podporí dôveru k produktom s digitálnymi prvkami. •Základné práva Očakáva sa, že všetky možnosti politiky do určitej miery posilnia ochranu základných práv a slobôd, akými sú súkromie, ochrana osobných údajov, sloboda podnikania a ochrana majetku alebo osobnej dôstojnosti a integrity. Najmä uprednostňovaná možnosť politiky 4 pozostávajúca z horizontálnych regulačných zásahov a široký rozsah pôsobnosti politiky by boli v tomto ohľade najúčinnejšie, keďže s vyššou pravdepodobnosťou napomôžu zníženiu počtu a závažnosti incidentov vrátane porušení ochrany osobných údajov. Takisto by sa ňou zvýšila právna istota a dosiahli by sa rovnaké podmienky pre hospodárske subjekty, celkovo by sa zvýšila dôvera medzi používateľmi a atraktívnosť produktov s digitálnymi prvkami z EÚ a ochránil by sa tak majetok a zlepšili by sa podmienky hospodárskych subjektov na podnikanie. Horizontálne požiadavky kybernetickej bezpečnosti by prispeli k bezpečnosti osobných údajov ochranou dôvernosti, integrity a dostupnosti informácií v produktoch s digitálnymi prvkami. Dodržiavanie uvedených požiadaviek uľahčí dodržiavanie požiadaviek bezpečnosti spracúvania osobných údajov podľa všeobecného nariadenia o ochrane údajov (EÚ) 2016/679. Návrhom by sa rozšírila transparentnosť a informácie pre používateľov vrátane tých, ktorí sú menej zruční v oblasti kybernetickej bezpečnosti. Používatelia by takisto boli lepšie informovaní o rizikách, možnostiach a obmedzeniach produktov s digitálnymi prvkami, vďaka čomu by lepšie dokázali prijímať potrebné preventívne a zmierňujúce opatrenia na zníženie zvyškových rizík. 4.VPLYV NA ROZPOČET Agentúra Európskej únie pre kybernetickú bezpečnosť (ENISA) na splnenie úloh pridelených týmto nariadením bude musieť prerozdeliť zdroje v rozsahu približne 4,5 ekvivalentu plného pracovného času. Komisia bude musieť vyčleniť sedem ekvivalentov plného pracovného času na splnenie svojich povinností týkajúcich sa presadzovania práva podľa tohto nariadenia. Podrobný prehľad súvisiacich nákladov je uvedený vo finančnom výkaze, ktorý je pripojený k tomuto návrhu. 5.OSTATNÉ PRVKY •Plány vykonávania, spôsob monitorovania, hodnotenia a predkladania správ Komisia bude monitorovať vykonávanie a uplatňovanie týchto nových ustanovení, ako aj dosahovanie súladu s nimi, na účely posúdenia ich účinnosti. V nariadení sa bude vyžadovať hodnotenie a preskúmanie uskutočňované Komisiou, ako aj predloženie verejnej správy o nich Európskemu parlamentu a Rade do 36 mesiacov odo dňa začatia uplatňovania a potom každé štyri roky. •Podrobné vysvetlenie osobitných ustanovení návrhu Všeobecné ustanovenia (kapitola I) V tomto návrhu nariadenia sa stanovujú a) pravidlá uvádzania produktov s digitálnymi prvkami na trh s cieľom zaistiť kybernetickú bezpečnosť takýchto produktov; b) základné požiadavky na návrh, vývoj a výrobu produktov s digitálnymi prvkami a povinnosti hospodárskych subjektov vo vzťahu k týmto produktom vzhľadom na kybernetickú bezpečnosť; c) základné požiadavky na procesy riešenia zraniteľností zavedené výrobcami s cieľom zaistiť kybernetickú bezpečnosť produktov s digitálnymi prvkami počas celého životného cyklu a povinnosti hospodárskych subjektov vo vzťahu k týmto procesom; d) pravidlá dohľadu nad trhom a presadzovanie uvedených pravidiel a požiadaviek. Navrhované nariadenie sa bude uplatňovať na všetky produkty s digitálnymi prvkami, ktorých zamýšľané a odôvodnene predvídateľné použitie zahŕňa priame alebo nepriame logické alebo fyzické dátové pripojenie k zariadeniu alebo sieti. Navrhované nariadenie sa nebude uplatňovať na produkty s digitálnymi prvkami v rozsahu pôsobnosti nariadenia (EÚ) 2017/745 [zdravotnícke pomôcky určené pre ľudí a príslušenstvo takýchto pomôcok] a nariadenia (EÚ) 2017/746 [diagnostické zdravotnícke pomôcky in vitro určené pre ľudí a príslušenstvo takýchto pomôcok], keďže obe nariadenia obsahujú požiadavky týkajúce sa zariadení vrátane softvéru a všeobecné povinnosti výrobcov, ktoré sa vzťahujú na celý životný cyklus produktov, ako aj na postupy posudzovania zhody. Toto nariadenie sa nebude uplatňovať na produkty s digitálnymi prvkami, ktoré boli certifikované v súlade s nariadením (EÚ) 2018/1139 [vysoká a jednotná úroveň bezpečnosti civilného letectva], ani na produkty, na ktoré sa uplatňuje nariadenie (EÚ) 2019/2144 [o požiadavkách na typové schvaľovanie motorových vozidiel a ich prípojných vozidiel a systémov, komponentov a samostatných technických jednotiek určených pre tieto vozidlá]. Kritické produkty s digitálnymi prvkami podliehajú osobitným postupom posudzovania zhody a rozdeľujú sa do triedy I a triedy II, ako sa uvádza v prílohe III, podľa ich úrovne kybernetickobezpečnostného rizika, pričom trieda II predstavuje vyššie riziko. Produkt s digitálnymi prvkami sa považuje za kritický a preto zaradený do prílohy III so zreteľom na vplyv potenciálnych zraniteľností, ktoré produkt s digitálnymi prvkami má z hľadiska kybernetickej bezpečnosti. Pri určovaní kybernetickobezpečnostného rizika sa okrem iného zohľadňuje funkčnosť produktu s digitálnymi prvkami a jeho zamýšľané použitie z hľadiska kybernetickej bezpečnosti v citlivých prostrediach, napríklad v priemyselnom prostredí. Komisia je takisto splnomocnená prijímať delegované akty s cieľom doplniť toto nariadenie o špecifikovanie kategórií vysokokritických produktov s digitálnymi prvkami, pre ktoré sú výrobcovia povinní získať európsky certifikát kybernetickej bezpečnosti v rámci európskeho systému certifikácie kybernetickej bezpečnosti na preukázanie zhody so základnými požiadavkami stanovenými v prílohe I alebo s ich časťami. Pri určovaní týchto kategórií vysokokritických produktov s digitálnymi prvkami Komisia zohľadňuje úroveň kybernetickobezpečnostného rizika týkajúceho sa kategórie produktov s digitálnymi prvkami z hľadiska jedného kritéria alebo viacerých kritérií zvažovaných na účel uvedenia kritických produktov s digitálnymi prvkami v prílohe III, ako aj vzhľadom na posúdenie toho, či uvedenú kategóriu produktov používajú alebo sa na ňu spoliehajú základné subjekty druhu uvedeného v prílohe [príloha I] k smernici [smernica XXX/XXXX (NIS2)] alebo bude mať v budúcnosti význam pre činnosti týchto subjektov, alebo či kategória bude relevantná z hľadiska odolnosti celého dodávateľského reťazca produktov s digitálnymi prvkami proti rušivým udalostiam. Povinnosti hospodárskych subjektov (kapitola II) Návrh obsahuje povinnosti výrobcov, dovozcov a distribútorov vychádzajúce z referenčných ustanovení uvedených v rozhodnutí 768/2008/ES. Základné požiadavky a povinnosti súvisiace s kybernetickou bezpečnosťou vyžadujú, aby sa všetky produkty s digitálnymi prvkami sprístupnili na trhu len vtedy, ak pri riadnom dodaní, náležitej inštalácii, údržbe a používaní na zamýšľaný účel alebo za podmienok, ktoré možno odôvodnene predpokladať, spĺňajú základné požiadavky kybernetickej bezpečnosti stanovené v tomto nariadení. Podľa týchto základných požiadaviek a povinností by výrobcovia museli zohľadňovať kybernetickú bezpečnosť pri návrhu, vývoji a výrobe produktov s digitálnymi prvkami, venovať náležitú starostlivosť bezpečnostným aspektom pri návrhu a vývoji svojich produktov, správať sa transparentne v prípade aspektoch kybernetickej bezpečnosti, s ktorými je potrebné oboznámiť zákazníkov, primeraným spôsobom zaistiť bezpečnostnú podporu (aktualizácie) a dodržiavať požiadavky súvisiace s riešením zraniteľností.

Povinnosti by sa stanovili hospodárskym subjektom, počínajúc od výrobcov až po distribútorov a dovozcov v súvislosti s uvádzaním produktov s digitálnymi prvkami na trh, ktoré by boli primerané ich úlohe a zodpovednostiam v dodávateľskom reťazci. Zhoda produktu s digitálnymi prvkami (kapitola III) Produkt s digitálnymi prvkami, ktorý je v zhode s harmonizovanými normami alebo s ich časťami, na ktoré boli odkazy uverejnené v Úradnom vestníku Európskej únie, sa považuje za produkt spĺňajúci základné požiadavky tohto navrhovaného nariadenia. Ak harmonizované normy neexistujú alebo sú nedostatočné, alebo ak nastali v procese normalizácie zbytočné prieťahy, alebo ak európske normalizačné organizácie nevyhoveli žiadosti Komisie, Komisia môže prostredníctvom vykonávacích aktov prijať spoločné špecifikácie. Navyše sa predpokladá, že produkty s digitálnymi prvkami, ktoré boli certifikované alebo pre ktoré bolo vydané EÚ vyhlásenie o zhode alebo certifikát v rámci európskeho systému certifikácie kybernetickej bezpečnosti podľa nariadenia (EÚ) 2019/881, a pre ktoré Komisia prostredníctvom vykonávacieho aktu špecifikovala, že môže stanoviť predpoklad zhody pre toto nariadenie, sú v súlade so základnými požiadavkami tohto nariadenia alebo jeho častí, pokiaľ sa EÚ vyhlásenie o zhode alebo certifikát kybernetickej bezpečnosti alebo ich časti vzťahujú na tieto požiadavky. V záujme vyhnutia sa prípadnému neprimeranému administratívnemu zaťaženiu výrobcov by Komisia mala navyše špecifikovať, či certifikát kybernetickej bezpečnosti vydaný v rámci takéhoto európskeho systému certifikácie kybernetickej bezpečnosti ruší povinnosť výrobcov vykonať posúdenie zhody treťou stranou, ako to stanovuje toto nariadenie pri zodpovedajúcich požiadavkách. Výrobca vykoná posúdenie zhody produktu s digitálnymi prvkami a procesov riešenia zraniteľností, ktoré zaviedol, aby preukázal zhodu so základnými požiadavkami stanovenými v prílohe I jedným z postupov, ktoré sú uvedené v prílohe VI. Výrobcovia kritických produktov tried I a II použijú príslušné moduly potrebné na dosiahnutie súladu. Výrobcovia kritického produktu triedy II musia do svojho posudzovania zhody zapojiť tretiu stranu. Notifikácia orgánov posudzovania zhody (kapitola IV) Na zaistenie vysokej úrovne kybernetickej bezpečnosti a pre dôveru všetkých zainteresovaných strán k systému nového prístupu je rozhodujúce riadne fungovanie notifikovaných osôb. V súlade s rozhodnutím 768/2008/ES sa preto v návrhu stanovujú požiadavky pre národné orgány, ktoré zodpovedajú za orgány posudzovania zhody (notifikované osoby). Zodpovednosť za navrhovanie a monitorovanie notifikovaných osôb sa v ňom v plnej miere ponecháva na členské štáty. Členské štáty určia notifikujúci orgán, ktorý zodpovedá za stanovenie a vykonávanie potrebných postupov na posudzovanie a notifikáciu orgánov posudzovania zhody a na monitorovanie notifikovaných osôb. Dohľad nad trhom a presadzovanie práva (kapitola V) Dohľad nad trhom na území daného členského štátu vykonávajú národné orgány dohľadu nad trhom v súlade s nariadením (EÚ) 2019/1020. Členské štáty sa môžu rozhodnúť, že určia ktorýkoľvek existujúci alebo nový orgán, aby konal ako orgán dohľadu nad trhom, a to vrátane zriadených vnútroštátnych príslušných orgánov uvedených v článku [článok X] smernice [smernica XXX/XXXX (NIS2)] alebo určených vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti uvedených v článku 58 nariadenia (EÚ) 2019/881. Hospodárske subjekty sa vyzývajú, aby v plnej miere spolupracovali s orgánmi dohľadu nad trhom a s ďalšími príslušnými orgánmi. Delegované právomoci a postupy výboru (kapitola VI) S cieľom zabezpečiť, aby regulačný rámec bolo podľa potreby možné prispôsobiť, bola právomoc prijímať akty v súlade s článkom 290 ZFEÚ delegovaná na Komisiu na účely aktualizovania zoznamu kritických produktov triedy I a II a špecifikovania vymedzenia týchto produktov; špecifikovania, či je potrebné obmedzenie alebo vylúčenie produktov s digitálnymi prvkami, na ktoré sa vzťahujú iné pravidlá Únie, ktorými sa stanovujú požiadavky na dosiahnutie rovnakej úrovne ochrany ako týmto nariadením; stanovenia povinnosti certifikácie určitých vysokokritických produktov s digitálnymi prvkami na základe kritérií stanovených v tomto nariadení; špecifikovania minimálneho obsahu EÚ vyhlásenia o zhode a doplnenia prvkov, ktoré sa majú zahrnúť do technickej dokumentácie. Komisia je takisto splnomocnená prijímať vykonávacie akty, ktorými sa: špecifikuje formát alebo prvky správ podávaných v rámci oznamovacej povinnosti a zoznam softvérových komponentov; špecifikujú európske systémy certifikácie kybernetickej bezpečnosti, ktoré možno použiť na preukázanie zhody so základnými požiadavkami alebo ich časťami, ako sa uvádza v tomto nariadení; prijímajú spoločné špecifikácie; stanovujú technické špecifikácie pre umiestnenie označenia CE; prijímajú nápravné alebo reštriktívne opatrenia na úrovni Únie za mimoriadnych okolností, ktoré odôvodňujú okamžitý zásah na zachovanie riadneho fungovania vnútorného trhu. Dôvernosť a sankcie (kapitola VII) Všetky strany, ktoré uplatňujú toto nariadenie musia dodržiavať dôvernosť informácií a údajov získaných pri vykonávaní svojich úloh a činností. V záujme zabezpečenia účinného presadzovania povinností stanovených v tomto nariadení by každý orgán dohľadu nad trhom mal mať právomoc uložiť alebo požiadať o uloženie správnych pokút. V rovnakom duchu toto nariadenie stanovuje maximálne úrovne administratívnych pokút, ktoré by sa mali stanoviť vo vnútroštátnych zákonoch za nesplnenie povinností stanovených v tomto nariadení. Prechodné a záverečné ustanovenia (kapitola VIII) S cieľom umožniť výrobcom, notifikovaným osobám a členským štátom čas na prispôsobenie sa novým požiadavkám sa navrhované nariadenie stane uplatniteľným [24 mesiacov] od nadobudnutia jeho účinnosti s výnimkou oznamovacej povinnosti výrobcov, ktorá by sa uplatňovala od [12 mesiacov] odo dňa nadobudnutia účinnosti.



2022/0272 (COD)

Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o horizontálnych požiadavkách kybernetickej bezpečnosti pre produkty s digitálnymi prvkami a o zmene nariadenia (EÚ) 2019/1020 (Text s významom pre EHP) EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE, so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 114, so zreteľom na návrh Európskej komisie, po postúpení návrhu legislatívneho aktu národným parlamentom, so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru, so zreteľom na stanovisko Výboru regiónov, konajúc v súlade s riadnym legislatívnym postupom, keďže: (1)Je potrebné zlepšiť fungovanie vnútorného trhu stanovením jednotného právneho rámca základných požiadaviek kybernetickej bezpečnosti pre uvádzanie produktov s digitálnymi prvkami na trh Únie. Vyriešiť by sa mali dva hlavné problémy, ktoré zvyšujú náklady používateľov a spoločnosti: nízka úroveň kybernetickej bezpečnosti produktov s digitálnymi prvkami, ktorá sa prejavuje rozšíreným výskytom zraniteľností a nedostatočným a nekonzistentným poskytovaním bezpečnostných aktualizácií na ich riešenie, a nedostatočné chápanie používateľov a ich prístup k informáciám, čo im bráni vybrať si produkty s vhodnými vlastnosťami kybernetickej bezpečnosti alebo používať ich bezpečným spôsobom. (2)Cieľom tohto nariadenia je vytvoriť hraničné podmienky pre vývoj bezpečných produktov s digitálnymi prvkami zabezpečením, aby sa na trh uvádzali hardvérové a softvérové produkty s menším počtom zraniteľností a aby výrobcovia brali bezpečnosť vážne počas celého životného cyklu produktu. Jeho cieľom je aj vytvorenie podmienok, ktoré používateľom umožnia zohľadniť kybernetickú bezpečnosť pri výbere a používaní produktov s digitálnymi prvkami. (3)Príslušné právne predpisy Únie, ktoré sú v súčasnosti účinné, obsahujú niekoľko súborov horizontálnych pravidiel, ktorými sa riešia určité aspekty súvisiace s kybernetickou bezpečnosťou z rôznych hľadísk vrátane opatrení na zvýšenie bezpečnosti digitálneho dodávateľského reťazca. Existujúce právne predpisy Únie, ktoré sa týkajú kybernetickej bezpečnosti, vrátane [smernice XXX/XXXX (NIS2)] a nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881 však priamo neobsahujú povinné požiadavky bezpečnosti produktov s digitálnymi prvkami. (4)Aj keď sa existujúce právne predpisy Únie uplatňujú na určité produkty s digitálnymi prvkami, neexistuje žiadny horizontálny regulačný rámec Únie stanovujúci komplexné požiadavky kybernetickej bezpečnosti pre všetky produkty s digitálnymi prvkami. Rôzne akty a iniciatívy prijaté dosiaľ na úrovni Únie a na vnútroštátnej úrovni riešia identifikované problémy a riziká týkajúce sa kybernetickej bezpečnosti iba čiastočne, čím sa vytvára na vnútornom trhu zmes právnych predpisov, zvyšuje právna neistota výrobcov aj používateľov týchto produktov a pridáva zbytočná záťaž spoločnostiam pri plnení mnohých požiadaviek v súvislosti s podobnými druhmi produktov. Kybernetická bezpečnosť týchto produktov má zároveň obzvlášť výrazný cezhraničný rozmer, keďže produkty vyrobené v jednej krajine používajú často organizácie a spotrebitelia na celom vnútornom trhu. Preto je potrebné regulovať túto oblasť na úrovni Únie. Regulačné prostredie Únie by sa malo harmonizovať zavedením požiadaviek kybernetickej bezpečnosti pre produkty s digitálnymi prvkami. Okrem toho by sa pre hospodárske subjekty a používateľov mala v celej Únii zabezpečiť istota a lepšia harmonizácia jednotného trhu vytvorením životaschopnejších podmienok pre hospodárske subjekty, ktoré plánujú vstup na trh Únie. (5)Na úrovni Únie obsahujú rôzne programové a politické dokumenty, napríklad stratégia kybernetickej bezpečnosti EÚ v digitálnej dekáde, závery Rady z 2. decembra 2020 a z 23. mája 2022 alebo uznesenie Európskeho parlamentu z 10. júna 2021, výzvy na zavedenie špecifických požiadaviek Únie týkajúcich sa kybernetickej bezpečnosti digitálnych alebo pripojených produktov, pričom viaceré krajiny na celom svete zavádzajú opatrenia na riešenie tohto problému z vlastnej iniciatívy. V záverečnej správe z Konferencie o budúcnosti Európy občania vyzvali na „silnejšiu úlohu EÚ v boji proti kybernetickobezpečnostným hrozbám“. (6)Na zvýšenie celkovej úrovne kybernetickej bezpečnosti všetkých produktov s digitálnymi prvkami uvedenými na vnútorný trh je potrebné zaviesť pre tieto produkty cieľovo zamerané a technologicky neutrálne základné požiadavky kybernetickej bezpečnosti, ktoré sa uplatňujú horizontálne. (7)Za určitých podmienok môžu všetky produkty s digitálnymi prvkami integrované vo väčšom elektronickom informačnom systéme alebo pripojené k takému systému slúžiť ako vektor útoku škodlivých subjektov. V dôsledku toho aj hardvér a softvér považovaný za menej kritický môže uľahčiť počiatočné ohrozenie zariadenia alebo siete, ktoré umožní škodlivým subjektom získať privilegovaný prístup do systému alebo sa pohybovať laterálne naprieč systémami. Výrobcovia by preto mali zabezpečiť, aby všetky pripojiteľné produkty s digitálnymi prvkami boli navrhnuté a vyvíjané v súlade so základnými požiadavkami stanovenými v tomto nariadení. Toto sa týka produktov, ktoré možno pripojiť fyzicky prostredníctvom hardvérového rozhrania, aj produktov, ktoré sa pripájajú logicky, napr. pomocou sieťových zásuviek, dátovodov, súborov, aplikačných programovacích rozhraní alebo iných druhov softvérového rozhrania. Keďže kybernetické hrozby sa môžu šíriť rôznymi produktmi s digitálnymi prvkami pred dosiahnutím určitého cieľa, napríklad zreťazením niekoľkých zneužití zraniteľnosti, výrobcovia by mali zaistiť kybernetickú bezpečnosť aj tých produktov, ktoré sú iba nepriamo pripojené k iným zariadeniam alebo sieťam. (8)Stanovením požiadaviek kybernetickej bezpečnosti na uvádzanie produktov s digitálnymi prvkami na trh sa zlepší kybernetická bezpečnosť týchto produktov pre spotrebiteľov, ako aj pre podniky. Toto zahŕňa aj požiadavky na uvedenie na trh, ktoré sa týkajú spotrebného tovaru s digitálnymi prvkami určeného pre zraniteľných spotrebiteľov, ako napríklad hračky a elektronické pestúnky.

(9)Týmto nariadením sa zabezpečí vysoká úroveň kybernetickej bezpečnosti produktov s digitálnymi prvkami. Neregulujú sa ním služby, napríklad softvér ako služba (SaaS), okrem riešení diaľkového spracúvania údajov týkajúcich sa produktu s digitálnymi prvkami, ktoré sa chápu ako akékoľvek spracúvanie údajov na diaľku, pre ktoré je softvér určený a vyvinutý výrobcom dotknutého produktu alebo na zodpovednosť takého výrobcu, a ktorého neexistencia by zabránila tomu, aby takýto produkt s digitálnymi prvkami plnil jednu zo svojich funkcií. [Smernicou XXX/XXXX (NIS2)] sa zavádzajú požiadavky kybernetickej bezpečnosti a oznamovania incidentov pre kľúčové a dôležité subjekty, napríklad kritickú infraštruktúru, s cieľom zvýšiť odolnosť služieb, ktoré poskytujú. [Smernica XXX/XXXX (NIS2)] sa uplatňuje na služby cloud computingu a cloudové modely služieb, akým je softvér ako služba. Všetky subjekty poskytujúce služby cloud computingu v Únii, ktoré spĺňajú alebo prekračujú prahovú hodnotu pre stredné podniky, patria do pôsobnosti uvedenej smernice. (10)Aby sa nebránilo inováciám alebo výskumu, na slobodný softvér a softvér s otvoreným zdrojovým kódom vyvinutý alebo dodaný mimo rámca komerčnej činnosti by sa toto nariadenie nemalo vzťahovať. Týka sa to najmä softvéru vrátane jeho zdrojového kódu a upravených verzií, ktorý je voľne zdieľaný a bezplatne dostupný, použiteľný, upraviteľný a opakovane distribuovateľný. V súvislosti so softvérom by komerčná činnosť mohla byť charakterizovaná nielen účtovaním ceny za produkt, ale aj účtovaním ceny za služby technickej podpory, poskytovaním softvérovej platformy, prostredníctvom ktorej výrobca speňažuje ostatné služby, alebo použitím osobných údajov z iných dôvodov ako výlučne z dôvodu zvýšenia bezpečnosti, kompatibility alebo interoperability softvéru. (11)Bezpečný internet je nevyhnutný pre fungovanie kritickej infraštruktúry a pre spoločnosť ako celok. Cieľom [smernice XXX/XXXX (NIS2)] je zaistiť vysokú úroveň kybernetickej bezpečnosti služieb poskytovaných kľúčovými a dôležitými subjektmi vrátane poskytovateľov digitálnej infraštruktúry, ktorí podporujú základné funkcie otvoreného internetu, zabezpečujú prístup na internet a internetové služby. Je preto dôležité, aby sa produkty s digitálnymi prvkami, ktoré potrebujú poskytovatelia digitálnej infraštruktúry na zabezpečenie fungovania internetu, vyvíjali bezpečným spôsobom a aby boli v súlade so zavedenými normami bezpečnosti internetu. Toto nariadenie, ktoré sa uplatňuje na všetky pripojiteľné hardvérové a softvérové produkty, sa takisto zameriava na uľahčenie dodržiavania požiadaviek dodávateľského reťazca podľa [smernice XXX/XXXX (NIS2)] poskytovateľmi digitálnej infraštruktúry tým, že sa zabezpečí, aby sa produkty s digitálnymi prvkami, ktoré používajú na poskytovanie svojich služieb, vyvíjali bezpečným spôsobom a aby mali prístup ku včasným bezpečnostným aktualizáciám takýchto produktov. (12)V nariadení Európskeho parlamentu a Rady (EÚ) 2017/745 sú stanovené pravidlá pre zdravotnícke pomôcky a v nariadení Európskeho parlamentu a Rady (EÚ) 2017/746 sú stanovené pravidlá pre diagnostické zdravotnícke pomôcky in vitro. V oboch nariadeniach sa riešia kybernetickobezpečnostné riziká a uplatňujú sa v nich osobitné prístupy, ktorým sa venuje aj v toto nariadenie. Presnejšie, v nariadeniach (EÚ) 2017/745 a (EÚ) 2017/746 sa stanovujú základné požiadavky na zdravotnícke pomôcky, ktoré fungujú prostredníctvom elektronického systému, alebo ktoré samotné sú softvérom. Uvedené nariadenia sa vzťahujú aj na určitý nezabudovaný softvér a zohľadňovanie celoživotného cyklu. Tieto požiadavky ukladajú výrobcom povinnosť vyvíjať a konštruovať svoje produkty s uplatnením zásad manažérstva rizika a so stanovením požiadaviek, ktoré sa týkajú bezpečnostných opatrení IT a zodpovedajú postupom posudzovania zhody. Okrem toho je od decembra 2019 zavedené osobitné usmernenie ku kybernetickej bezpečnosti zdravotníckych pomôcok, ktorým sa výrobcom zdravotníckych pomôcok vrátane diagnostických pomôcok in vitro poskytuje usmernenie k tomu, ako splniť všetky príslušné základné požiadavky prílohy I k uvedeným nariadeniam, čo sa týka kybernetickej bezpečnosti. Produkty s digitálnymi prvkami, na ktoré sa uplatňuje jedno z uvedených nariadení, by preto nemali podliehať tomuto nariadeniu. (13)V nariadení Európskeho parlamentu a Rady (EÚ) 2019/2144 sa stanovujú požiadavky na typové schvaľovanie vozidiel a ich systémov a komponentov, pričom sa zavádzajú určité požiadavky kybernetickej bezpečnosti vrátane požiadaviek na prevádzku certifikovaného systému riadenia kybernetickej bezpečnosti a na aktualizácie softvéru, ktoré sa vzťahujú na politiky a procesy organizácií v oblasti kybernetických rizík počas celého životného cyklu vozidiel, zariadení a služieb v súlade s uplatniteľnými predpismi Organizácie Spojených národov o technických špecifikáciách a kybernetickej bezpečnosti, a stanovujú osobitné postupy posudzovania zhody. V oblasti letectva je hlavným cieľom nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1139 dosiahnutie a udržanie vysokej a jednotnej úrovne bezpečnosti civilného letectva v Únii. Nariadením sa vytvára rámec pre základné požiadavky letovej spôsobilosti výrobkov, súčastí a zariadení, vrátane softvéru, leteckej techniky, ktorý zohľadňuje povinnosti ochrany pred ohrozením bezpečnosti informácií. Produkty s digitálnymi prvkami, na ktoré sa uplatňuje nariadenie (EÚ) 2019/2144 a produkty certifikované v súlade s nariadením (EÚ) 2018/1139 preto nepodliehajú základným požiadavkám a postupom posudzovania zhody stanoveným v tomto nariadení. Postup certifikácie podľa nariadenia (EÚ) 2018/1139 zaisťuje úroveň zabezpečenia, ktorá je cieľom tohto nariadenia. (14)Týmto nariadením sa stanovujú horizontálne pravidlá kybernetickej bezpečnosti, ktoré nie sú špecifické pre odvetvia alebo určité produkty s digitálnymi prvkami. Mohli by sa však zaviesť špecifické pravidlá Únie pre dané odvetvie alebo produkt a stanovili by sa v nich požiadavky, ktorými by sa riešili všetky alebo niektoré riziká, na ktoré sa vzťahujú základné požiadavky stanovené v tomto nariadení. V takýchto prípadoch možno uplatňovanie tohto nariadenia na produkty s digitálnymi prvkami, na ktoré sa vzťahujú iné pravidlá Únie stanovujúce požiadavky, ktorými sa riešia všetky alebo niektoré riziká, ktorých sa týkajú základné požiadavky stanovené v prílohe I k tomuto nariadeniu, obmedziť alebo vylúčiť, ak sa takéto obmedzenie alebo vylúčenie zhoduje s celkovým regulačným rámcom uplatňovaným na tieto produkty a ak sa odvetvovými pravidlami dosiahne rovnaká úroveň ochrany ako úroveň stanovená týmto nariadením. Komisia je splnomocnená prijímať vykonávacie akty s cieľom zmeniť toto nariadenie identifikovaním takýchto produktov a pravidiel. V prípade právnych predpisov Únie, na ktoré by sa mali takéto obmedzenia alebo vylúčenia uplatniť, obsahuje toto nariadenie osobitné ustanovenia na objasnenie jeho vzťahu k uvedeným právnym predpisom Únie. (15)V delegovanom nariadení (EÚ) 2022/30 sa uvádza, že na určité rádiové zariadenia sa uplatňujú základné požiadavky stanovené v článku 3 ods. 3 písm. d) (nepriaznivý vplyv na sieť a zneužitie zdrojov siete), písm. e) (osobné údaje a súkromie) a písm. f) (podvod) smernice 2014/53/EÚ. Vo [vykonávacom rozhodnutí Komisie XXX/2022 o mandáte na tvorbu normy pre európske normalizačné organizácie] sa stanovujú požiadavky na vypracovanie konkrétnych noriem s ďalším špecifikovaním spôsobu, akým by sa tieto tri základné požiadavky mali riešiť. Základné požiadavky stanovené v tomto nariadení obsahujú všetky prvky základných požiadaviek uvedených v článku 3 ods. 3 písm. d), e) a f) smernice 2014/53/EÚ. Navyše základné požiadavky stanovené v tomto nariadení sú zosúladené s cieľmi požiadaviek na konkrétne normy, ktoré obsahuje uvedený mandát na tvorbu normy. Ak teda Komisia zruší alebo zmení delegované nariadenie (EÚ) 2022/30 s tým dôsledkom, že sa prestane uplatňovať na určité produkty, na ktoré sa vzťahuje toto nariadenie, Komisia a európske normalizačné organizácie by mali pri príprave a vypracúvaní harmonizovaných noriem na uľahčenie vykonávania tohto nariadenia zohľadniť normalizačnú prácu vykonanú v súvislosti s vykonávacím rozhodnutím Komisie C(2022) 5637 o mandáte na tvorbu normy týkajúcom sa delegovaného nariadenia 2022/30, ktorým sa dopĺňa smernica o rádiových zariadeniach. (16)Smernica 85/374/EHS dopĺňa toto nariadenie. Uvedenou smernicou sa stanovujú pravidlá zodpovednosti za chybné výrobky, aby poškodené osoby mohli uplatniť nárok na náhradu, keď im škodu spôsobili chybné výrobky. Ustanovuje zásadu, že výrobca výrobku zodpovedá za škody spôsobené nedostatočnou bezpečnosťou svojho výrobku bez ohľadu na chybu (objektívna zodpovednosť). Ak sú príčinou nedostatočnej bezpečnosti nedostatočné bezpečnostné aktualizácie po uvedení produktu na trh, a tie spôsobia škodu, môže sa uplatniť zodpovednosť výrobcu. Povinnosti výrobcu, ktoré sa týkajú poskytovania bezpečnostných aktualizácií, by sa mali stanoviť v tomto nariadení. (17)Týmto nariadením by nemalo byť dotknuté nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679, ktoré obsahuje ustanovenia o zavedení mechanizmov certifikácie ochrany údajov a pečatí a značiek ochrany údajov na účely preukazovania súladu spracovateľských operácií vykonávaných prevádzkovateľmi a sprostredkovateľmi s uvedeným nariadením. Tieto operácie by mohli byť začlenené do produktu s digitálnymi prvkami. Špecificky navrhnutá a štandardná ochrana údajov a kybernetická bezpečnosť vo všeobecnosti sú kľúčovými prvkami nariadenia (EÚ) 2016/679. Základné požiadavky kybernetickej bezpečnosti stanovené v tomto nariadení majú ochranou spotrebiteľov a organizácií pred kybernetickobezpečnostnými rizikami prispieť aj k zvýšeniu ochrany osobných údajov a súkromia jednotlivcov. Mala by sa zvážiť synergia aspektov normalizácie aj certifikácie kybernetickej bezpečnosti prostredníctvom spolupráce medzi Komisiou, európskymi normalizačnými organizáciami, Agentúrou Európskej únie pre kybernetickú bezpečnosť (ENISA), Európskym výborom pre ochranu údajov (EDBP), ktorý bol zriadený nariadením (EÚ) 2016/679, a národnými dozornými orgánmi pre ochranu údajov. Vytvoriť by sa mala synergia aj medzi týmto nariadením a právnymi predpismi Únie o ochrane údajov v oblasti dohľadu nad trhom a presadzovania práva. Na tento účel by národné orgány dohľadu nad trhom vymenované podľa tohto nariadenia mali spolupracovať s orgánmi, ktoré vykonávajú dohľad nad právom Únie v oblasti ochrany údajov. Tie by mali mať prístup aj k informáciám, ktoré sú dôležité pre plnenie ich úloh. (18)Vydavatelia európskych peňaženiek digitálnej identity uvedení v článku [článok 6a ods. 2 nariadenia (EÚ) č. 910/2014 zmeneného návrhom nariadenia, ktorým sa mení nariadenie (EÚ) č. 910/2014, pokiaľ ide o stanovenie rámca európskej digitálnej identity,] by mali v rozsahu, v akom ich produkty patria do rozsahu pôsobnosti tohto nariadenia, dodržiavať tak horizontálne základné požiadavky stanovené v tomto nariadení, ako aj osobitné bezpečnostné požiadavky stanovené v článku [článok 6a nariadenia (EÚ) č. 910/2014 zmeneného návrhom nariadenia, ktorým sa mení nariadenie (EÚ) č. 910/2014, pokiaľ ide o stanovenie rámca európskej digitálnej identity]. V záujme uľahčenia dodržiavania predpisov by vydavatelia peňaženiek mali byť schopní preukázať súlad európskych peňaženiek digitálnej identity s požiadavkami stanovenými jednotlivo v oboch aktoch certifikovaním svojich produktov v rámci európskeho systému certifikácie kybernetickej bezpečnosti zavedeného podľa nariadenia (EÚ) 2019/881, pre ktorý Komisia prostredníctvom vykonávacieho aktu špecifikovala predpoklad zhody s týmto nariadením, pokiaľ sa certifikát alebo jeho časti vzťahujú na uvedené požiadavky. (19)Určité úlohy stanovené v tomto nariadení by mala plniť agentúra ENISA v súlade s článkom 3 ods. 2 nariadenia (EÚ) 2019/881. Úlohou agentúry ENISA je najmä prijímať od výrobcov oznámenia o aktívne zneužívaných zraniteľnostiach, ktoré majú ich produkty s digitálnymi prvkami, ako aj o incidentoch, ktoré ovplyvnili bezpečnosť týchto produktov. Agentúra ENISA by mala takisto posielať tieto oznámenia príslušným jednotkám pre riešenie počítačových bezpečnostných incidentov (ďalej len „CSIRT“) alebo prípadne aj príslušným jednotným kontaktným miestam členských štátov určeným v súlade s článkom [článok X] smernice [smernica XXX/XXXX (NIS2)] a informovať príslušné orgány dohľadu nad trhom o oznámenej zraniteľnosti. Agentúra ENISA by na základe informácií, ktoré zhromažďuje, mala vypracovať každé dva roky technickú správu o vznikajúcich trendoch týkajúcich sa kybernetickobezpečnostných rizík produktov s digitálnymi prvkami a predložiť ju skupine pre spoluprácu uvedenej v smernici [smernica XXX/XXXX (NIS2)]. Vzhľadom na svoje odborné znalosti a mandát by agentúra ENISA mala byť navyše schopná podporovať proces vykonávania tohto nariadenia. Mala by byť najmä schopná navrhovať spoločné činnosti, ktoré by mali vykonávať orgány dohľadu nad trhom na základe údajov alebo informácií o možnom nesúlade produktov s digitálnymi prvkami s týmto nariadením vo viacerých členských štátoch, alebo identifikovať kategórie produktov, pri ktorých by sa mali organizovať súbežné koordinované kontrolné opatrenia. Za mimoriadnych okolností by na žiadosť Komisie mala byť agentúra ENISA schopná vykonať hodnotenie konkrétnych produktov s digitálnymi prvkami, ktoré predstavujú významné kybernetickobezpečnostné riziko, keď sa vyžaduje okamžitý zásah v záujme zachovania riadneho fungovania vnútorného trhu. (20)Produkty s digitálnymi prvkami by mali niesť označenie CE, ktorým sa preukazuje zhoda s týmto nariadením, aby im bol umožnený voľný pohyb v rámci vnútorného trhu. Členské štáty by nemali vytvárať neodôvodnené prekážky uvedeniu produktov s digitálnymi prvkami, ktoré spĺňajú požiadavky stanovené v tomto nariadení a majú označenie CE, na trh. (21)S cieľom zabezpečiť, aby výrobcovia mohli uvoľňovať softvér na účely testovania pred podrobením svojich produktov posudzovaniu zhody, by členské štáty nemali brániť sprístupneniu nedokončeného softvéru, ako sú alfa verzie, beta verzie alebo kandidáti na finálnu verziu, pokiaľ sa daná verzia sprístupňuje iba na čas potrebný na jej testovanie a získanie spätnej väzby. Výrobcovia by mali zabezpečiť, aby sa softvér sprístupnený podľa týchto podmienok uvoľnil iba po posúdení rizika a aby v najväčšej možnej miere spĺňal požiadavky bezpečnosti týkajúce sa vlastností produktov s digitálnymi prvkami, ktoré ukladá toto nariadenie. Výrobcovia by takisto mali v najväčšej možnej miere spĺňať požiadavky na riešenia zraniteľností. Výrobcovia by nemali nútiť používateľov, aby prešli na vyššie verzie uvoľnené iba na účely testovania. (22)V záujme zabezpečenia toho, aby produkty s digitálnymi prvkami uvedené na trh nepredstavovali pre osoby a organizácie kybernetickobezpečnostné riziká, mali by sa pre takéto produkty stanoviť základné požiadavky. Ak sa produkty následne fyzicky alebo digitálne upravia spôsobom, s ktorým výrobca nepočítal a z ktorého môže vyplynúť, že už nespĺňajú príslušné základné požiadavky, táto úprava by sa mala považovať za podstatnú. Napríklad aktualizácie alebo opravy softvéru by sa mohli klásť na rovnakú úroveň ako činnosti údržby za predpokladu, že by sa nimi produkt, ktorý už bol uvedený na trh, neupravil takým spôsobom, ktorý by mohol ovplyvniť spĺňanie uplatniteľných požiadaviek alebo ktorým by sa mohlo zmeniť zamýšľané použitie, na ktoré sa produkt posudzoval. Rovnako ako v prípade fyzických opráv alebo úprav by sa produkt s digitálnymi prvkami mal považovať za podstatne upravený softvérovou zmenou, pri ktorej sa aktualizáciou softvéru upravujú pôvodne zamýšľané funkcie, druh alebo výkon produktu, a tieto zmeny sa nepredvídali v pôvodnom posúdení rizík, alebo ak sa aktualizáciou softvéru zmenila povaha nebezpečenstva alebo zvýšila úroveň rizika. (23)V súlade so všeobecne zaužívaným pojmom podstatnej úpravy pri produktoch regulovaných v rámci harmonizačných právnych predpisov Únie je vždy, keď dôjde k podstatnej úprave, ktorá môže ovplyvniť súlad produktu s týmto nariadením, alebo keď sa zmení zamýšľaný účel tohto produktu, vhodné overiť súlad produktu s digitálnymi prvkami s predpismi a prípadne ho podrobiť novému posúdeniu zhody. V prípade, keď sa výrobca rozhodne vykonať posúdenie zhody s účasťou tretej strany, tejto tretej strane by sa mali oznámiť zmeny, ktoré by mohli viesť k podstatným úpravám. (24)Renovovanie, údržba a oprava produktu s digitálnymi prvkami, ako sa vymedzujú v nariadení [nariadenie o ekodizajne], nemusia nevyhnutne viesť k podstatnej úprave produktu, napríklad ak sa zamýšľané použitie a funkcie nezmenia a neovplyvnená zostane aj úroveň rizika. Ale modernizácia produktu výrobcom by mohla viesť k zmenám v návrhu a vývoji produktu, a teda by mohla ovplyvniť zamýšľané použitie a súlad produktu s požiadavkami stanovenými v tomto nariadení. (25)Produkty s digitálnymi prvkami by sa mali považovať za kritické, ak nepriaznivý vplyv zneužitia potenciálnych zraniteľností kybernetickej bezpečnosti produktu môže byť závažný okrem iného z dôvodu funkcie súvisiacej s kybernetickou bezpečnosťou alebo zamýšľaného použitia. Zraniteľnosti produktov s digitálnymi prvkami, ktoré majú funkciu súvisiacu s kybernetickou bezpečnosťou, ako sú zabezpečené prvky, môžu viesť k šíreniu bezpečnostných problémov v celom dodávateľskom reťazci. Závažnosť dosahu kybernetického bezpečnostného incidentu sa môže takisto zvýšiť, keď sa zohľadní zamýšľané použitie produktu, napr. v priemyselnom prostredí alebo v súvislosti so základným subjektom druhu, ktorý je uvedený v prílohe [príloha I] k smernici [smernica XXX/XXXX (NIS2)], alebo výkon kritických alebo citlivých funkcií, ako je spracúvanie osobných údajov. (26)Kritické produkty s digitálnymi prvkami by mali podliehať prísnejším postupom posudzovania zhody pri súčasnom zachovaní primeraného prístupu. Na tento účel by sa mali kritické produkty s digitálnymi prvkami rozdeliť do dvoch tried podľa úrovne kybernetickobezpečnostného rizika spojeného s týmito kategóriami produktov. Potenciálny kybernetický incident produktov triedy II by mohol viesť k väčším nepriaznivým účinkom než incident produktov triedy I, napríklad z dôvodu povahy ich funkcie súvisiacej s kybernetickou bezpečnosťou alebo z dôvodu zamýšľaného použitia v citlivom prostredí, a preto by sa mali podrobiť prísnejšiemu postupu posudzovania zhody. (27)Kategórie kritických produktov s digitálnymi prvkami uvedené v prílohe III k tomuto nariadeniu by sa mali chápať ako produkty, ktoré majú hlavnú funkciu druhu, ktorý je uvedený v prílohe III k tomuto nariadeniu. Napríklad v prílohe III k tomuto nariadeniu sa uvádzajú produkty, ktoré sú na základe svojej hlavnej funkcie vymedzené ako mikroprocesory na všeobecný účel v triede II. V dôsledku toho sú mikroprocesory na všeobecný účel predmetom povinného posudzovania zhody treťou stranou. Toto neplatí pre iné produkty, ktoré nie sú výslovne uvedené v prílohe III k tomuto nariadeniu, ktoré môžu mať integrovaný mikroprocesor na všeobecný účel. Komisia by mala prijať delegované akty [do 12 mesiacov od nadobudnutia účinnosti tohto nariadenia] s cieľom špecifikovať vymedzenie kategórií produktov triedy I a triedy II, ako sa uvádzajú v prílohe III. (28)V tomto nariadení sa riešia kybernetickobezpečnostné riziká cieleným spôsobom. Produkty s digitálnymi prvkami by však mohli predstavovať ďalšie bezpečnostné riziká, ktoré nesúvisia s kybernetickou bezpečnosťou. Tieto riziká by mali byť naďalej regulované inými príslušnými právnymi predpismi Únie o produktoch. Ak nemožno uplatniť žiadne iné harmonizačné právne predpisy Únie, malo by sa na ne vzťahovať nariadenie [nariadenie o všeobecnej bezpečnosti výrobkov]. Preto vzhľadom na cielenú povahu tohto nariadenia by sa odchylne od článku 2 ods. 1 tretieho pododseku písm. b) nariadenia [nariadenie o všeobecnej bezpečnosti výrobkov] mala kapitola III oddiel 1, kapitoly V a VII a kapitoly IX až XI nariadenia [nariadenie o všeobecnej bezpečnosti výrobkov] uplatňovať na produkty s digitálnymi prvkami, pokiaľ ide o bezpečnostné riziká, na ktoré sa nevzťahuje toto nariadenie, ak sa na tieto produkty nevzťahujú osobitné požiadavky uložené inými harmonizačnými právnymi predpismi Únie v zmysle [článku 3 bodu 25 nariadenia o všeobecnej bezpečnosti výrobkov].

(29)Produkty s digitálnymi prvkami klasifikované ako vysokorizikové systémy umelej inteligencie podľa článku 6 nariadenia [nariadenie o umelej inteligencii], ktoré patria do rozsahu pôsobnosti tohto nariadenia, by mali vyhovovať základným požiadavkám stanoveným v tomto nariadení. Keď tieto vysokorizikové systémy umelej inteligencie spĺňajú základné požiadavky tohto nariadenia, mali by sa považovať za systémy spĺňajúce požiadavky kybernetickej bezpečnosti stanovené v článku [článok 15] nariadenia [nariadenie o umelej inteligencii], pokiaľ sa na tieto požiadavky vzťahuje EÚ vyhlásenie o zhode alebo jeho časti vydané podľa tohto nariadenia. Pokiaľ ide o postupy posudzovania zhody týkajúce sa základných požiadaviek kybernetickej bezpečnosti produktu s digitálnymi prvkami, na ktorý sa vzťahuje toto nariadenie a ktorý je klasifikovaný ako vysokorizikový systém umelej inteligencie, namiesto príslušných ustanovení tohto nariadenia by sa mali spravidla uplatňovať príslušné ustanovenia článku 43 nariadenia [nariadenie o umelej inteligencii]. Toto pravidlo by však nemalo viesť k zníženiu potrebného stupňa dôveryhodnosti pre kritické produkty s digitálnymi prvkami, na ktoré sa vzťahuje toto nariadenie. Odchylne od tohto pravidla by preto vysokorizikové systémy umelej inteligencie, ktoré patria do rozsahu pôsobnosti nariadenia [nariadenie o umelej inteligencii] a zároveň sú kvalifikované ako kritické produkty s digitálnymi prvkami podľa tohto nariadenia, na ktoré sa uplatňuje postup posudzovania zhody na základe vnútornej kontroly uvedený v prílohe VI k nariadeniu [nariadenie o umelej inteligencii], mali podliehať ustanoveniam tohto nariadenia týkajúcim sa posudzovania zhody, pokiaľ ide o základné požiadavky tohto nariadenia. V tomto prípade by sa na všetky ostatné aspekty, na ktoré sa vzťahuje nariadenie [nariadenie o umelej inteligencii], mali uplatňovať príslušné ustanovenia o posudzovaní zhody na základe vnútornej kontroly uvedené v prílohe VI k nariadeniu [nariadenie o umelej inteligencii]. (30)Strojnícke výrobky patriace do rozsahu pôsobnosti nariadenia [návrh nariadenia o strojníckych výrobkoch], ktoré sú v zmysle tohto nariadenia produktmi s digitálnymi prvkami a pre ktoré bolo vydané vyhlásenie o zhode na základe tohto nariadenia, by sa mali považovať za výrobky, ktoré sú v zhode so základnými požiadavkami na ochranu zdravia a bezpečnosť stanovenými v [oddieloch 1.1.9 a 1.2.1 prílohy III] k nariadeniu [návrh nariadenia o strojníckych výrobkoch], čo sa týka ochrany pred zneužitím a bezpečnosti a spoľahlivosti ovládacích systémov, pokiaľ je súlad s týmito požiadavkami preukázaný EÚ vyhlásením o zhode vydaným podľa tohto nariadenia. (31)Nariadenie [návrh nariadenia o európskom priestore pre zdravotné údaje] dopĺňa základné požiadavky stanovené v tomto nariadení. Systémy elektronických zdravotných záznamov patriace do rozsahu pôsobnosti nariadenia [návrh nariadenia o európskom priestore pre zdravotné údaje], ktoré sú v zmysle tohto nariadenia produktmi s digitálnymi prvkami, by preto takisto mali spĺňať základné požiadavky stanovené v tomto nariadení. Ich výrobcovia by mali preukázať zhodu požadovanú podľa nariadenia [návrh nariadenia o európskom priestore pre zdravotné údaje]. Na uľahčenie dosiahnutia súladu môžu výrobcovia vypracovať jednotnú technickú dokumentáciu obsahujúcu prvky požadované oboma právnymi aktmi. Keďže toto nariadenie sa nevzťahuje na softvér ako službu (SaaS) ako taký, systémy elektronických zdravotných záznamov ponúkané prostredníctvom modelu udeľovania licencií a dodávania SaaS nepatria do rozsahu pôsobnosti tohto nariadenia. Podobne do rozsahu pôsobnosti tohto nariadenia nepatria systémy elektronických zdravotných záznamov vyvinuté a používané interne, keďže sa neuvádzajú na trh. (32)S cieľom zaistiť, aby boli produkty s digitálnymi prvkami zabezpečené tak v čase ich uvedenia na trh, ako aj počas ich celého životného cyklu, je potrebné stanoviť základné požiadavky na riešenie zraniteľností a základné požiadavky kybernetickej bezpečnosti týkajúce sa vlastností produktov s digitálnymi prvkami. Hoci by výrobcovia mali splniť všetky základné požiadavky týkajúce sa riešenia zraniteľností a zaistiť, aby sa všetky ich produkty dodávali bez akýchkoľvek známych zneužiteľných zraniteľností, mali by určiť, ktoré ďalšie základné požiadavky týkajúce sa vlastností produktu sú relevantné pre príslušný druh produktu. Na tento účel by výrobcovia mali vykonať posúdenie kybernetickobezpečnostných rizík spojených s produktom s digitálnymi prvkami, aby identifikovali príslušné riziká a relevantné základné požiadavky a aby primerane uplatňovali vhodné harmonizované normy alebo spoločné špecifikácie. (33)S cieľom zlepšiť bezpečnosť produktov s digitálnymi prvkami uvádzaných na vnútorný trh je potrebné stanoviť základné požiadavky. Týmito základnými požiadavkami by nemalo byť dotknuté koordinované posudzovanie rizík kritických dodávateľských reťazcov na úrovni EÚ stanovené v [článku X] smernice [smernica XXX/XXXX(NIS2)], pri ktorom sa zohľadňujú technické a prípadne aj netechnické faktory rizík, ako je neprimeraný vplyv tretej krajiny na dodávateľov. Okrem toho by nemalo byť dotknuté výsadné právo členských štátov stanoviť ďalšie požiadavky, ktoré zohľadňujú netechnické faktory na účely zaistenia vysokej úrovne odolnosti vrátane požiadaviek vymedzených v odporúčaní (EÚ) 2019/534, v celoúnijnom koordinovanom posúdení rizika bezpečnosti sietí 5G a v súbore nástrojov EÚ pre kybernetickú bezpečnosť 5G, ktoré schválila skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti, ako sa uvádza v [smernici XXX/XXXX (NIS2)]. (34)S cieľom zaistiť, aby sa vnútroštátnym jednotkám CSIRT a jednotným kontaktným miestam určeným v súlade s článkom [článok X] smernice [smernica XXX/XXXX (NIS2)] poskytovali informácie potrebné na plnenie ich úloh a zvýšenie celkovej úrovne kybernetickej bezpečnosti kľúčových a dôležitých subjektov, a s cieľom zaistiť účinné fungovanie orgánov dohľadu nad trhom by výrobcovia produktov s digitálnymi prvkami mali agentúre ENISA oznamovať zraniteľnosti, ktoré sa aktívne zneužívajú. Keďže väčšina produktov s digitálnymi prvkami sa predáva na celom vnútornom trhu, akákoľvek zneužitá zraniteľnosť produktu s digitálnymi prvkami by sa mala považovať za ohrozenie fungovania vnútorného trhu. Výrobcovia by mali zvážiť aj zverejnenie opravených zraniteľností v európskej databáze zraniteľností zriadenej podľa smernice [smernica XXX/XXXX (NIS2)] a spravovanej agentúrou ENISA alebo v akejkoľvek inej verejne prístupnej databáze zraniteľností. (35)Výrobcovia by takisto mali oznámiť agentúre ENISA každý incident, ktorý má vplyv na bezpečnosť produktu s digitálnymi prvkami. Bez ohľadu na povinnosti oznamovania incidentov stanovené pre kľúčové a dôležité subjekty v smernici [smernica XXX/XXXX (NIS2)] je pre agentúru ENISA, jednotné kontaktné miesta určené členskými štátmi v súlade s článkom [článok X] smernice [smernica XXX/XXXX (NIS2)] a orgány dohľadu nad trhom rozhodujúce, aby dostávali informácie od výrobcov produktov s digitálnymi prvkami, ktoré im umožnia posúdiť bezpečnosť týchto produktov. S cieľom zaistiť používateľom možnosť rýchlo reagovať na incidenty, ktoré majú vplyv na bezpečnosť ich produktov s digitálnymi prvkami, by výrobcovia mali informovať svojich používateľov aj o akomkoľvek takomto incidente a prípadne o akýchkoľvek nápravných opatreniach, ktoré môžu používatelia použiť na zmiernenie vplyvu daného incidentu, napríklad uverejnením príslušných informácií na svojich webových sídlach alebo priamym oslovením používateľov, ak výrobca dokáže kontaktovať používateľov a ak je to odôvodnené rizikami. (36)Výrobcovia produktov s digitálnymi prvkami by mali zaviesť politiky koordinovaného zverejňovania informácií o zraniteľnostiach na uľahčenie oznamovania zraniteľností jednotlivcami alebo subjektmi. V politike koordinovaného zverejňovania informácií o zraniteľnosti by sa mal špecifikovať štruktúrovaný proces, v rámci ktorého sa zraniteľnosti oznamujú výrobcovi takým spôsobom, ktorým sa danému výrobcovi umožňuje diagnostikovať a napraviť takéto zraniteľnosti pred tým, ako sa podrobné informácie o zraniteľnosti poskytnú tretím stranám alebo verejnosti. Vzhľadom na skutočnosť, že informácie o zneužiteľných zraniteľnostiach v bežne používaných produktoch s digitálnymi prvkami sa môžu predávať na čiernom trhu za vysoké ceny, výrobcovia takýchto produktov by mali mať možnosť používať ako súčasť svojich politík koordinovaného zverejňovania informácií o zraniteľnostiach programy na stimulovanie oznamovania zraniteľností tým, že zaistia, aby jednotlivci alebo subjekty dostali uznanie a odmenu za svoje úsilie (tzv. programy odmeňovania za nájdenie chýb). (37)Výrobcovia by na uľahčenie analýzy zraniteľnosti mali identifikovať a zdokumentovať komponenty obsiahnuté v produktoch s digitálnymi prvkami, a to aj vypracovaním softvérového kusovníka. Softvérový kusovník môže poskytnúť tým, ktorí vyrábajú, kupujú a prevádzkujú softvér, informácie zlepšujúce ich chápanie dodávateľského reťazca, čo má viacero prínosov, predovšetkým pomáha výrobcom a používateľom sledovať známe novovzniknuté zraniteľnosti a riziká. Pre výrobcov má osobitný význam zabezpečiť, aby ich produkty neobsahovali zraniteľné komponenty vyvinuté tretími stranami. (38)Na uľahčenie posudzovania zhody s požiadavkami stanovenými v tomto nariadení by mal existovať predpoklad zhody v prípade produktov s digitálnymi prvkami, ktoré sú v zhode s harmonizovanými normami, v ktorých sú základné požiadavky tohto nariadenia premietnuté do podrobných technických špecifikácií a ktoré sú prijaté v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 1025/2012. V nariadení (EÚ) č. 1025/2012 sa stanovuje postup týkajúci sa námietok voči harmonizovaným normám, keď tieto normy nespĺňajú v plnej miere požiadavky tohto nariadenia. (39)Nariadením (EÚ) 2019/881 sa ustanovuje dobrovoľný európsky rámec certifikácie kybernetickej bezpečnosti pre produkty, procesy a služby IKT. Európske systémy certifikácie kybernetickej bezpečnosti sa môžu vzťahovať na produkty s digitálnymi prvkami, na ktoré sa vzťahuje toto nariadenie. Týmto nariadením by sa mala vytvoriť synergia s nariadením (EÚ) 2019/881. Na uľahčenie posudzovania zhody s požiadavkami stanovenými v tomto nariadení sa predpokladá, že produkty s digitálnymi prvkami, ktoré sú certifikované alebo pre ktoré bolo vydané vyhlásenie o zhode v rámci systému kybernetickej bezpečnosti podľa nariadenia (EÚ) 2019/881 a ktorý bol Komisiou identifikovaný vo vykonávacom akte, sú v súlade so základnými požiadavkami tohto nariadenia, pokiaľ sa certifikát kybernetickej bezpečnosti alebo vyhlásenie o zhode alebo ich časti na tieto požiadavky vzťahujú. Potreba nových európskych systémov certifikácie kybernetickej bezpečnosti pre produkty s digitálnymi prvkami by sa mala posúdiť na základe tohto nariadenia. Takéto budúce európske systémy certifikácie kybernetickej bezpečnosti vzťahujúce sa na produkty s digitálnymi prvkami by mali zohľadňovať základné požiadavky stanovené v tomto nariadení a uľahčovať dodržanie súladu s týmto nariadením. Komisia by mala mať právomoc prostredníctvom vykonávacích aktov špecifikovať európske systémy certifikácie kybernetickej bezpečnosti, ktoré sa môžu používať na preukázanie zhody so základnými požiadavkami stanovenými v tomto nariadení. V záujme vyhnutia sa prípadnému neprimeranému administratívnemu zaťaženiu výrobcov by Komisia mala navyše špecifikovať, či certifikát kybernetickej bezpečnosti vydaný v rámci takýchto európskych systémov certifikácie kybernetickej bezpečnosti ruší povinnosť výrobcov vykonať posúdenie zhody treťou stranou, ako to stanovuje toto nariadenie pri zodpovedajúcich požiadavkách. (40)Po nadobudnutí účinnosti vykonávacieho aktu, ktorým sa stanovuje [vykonávacie nariadenie Komisie (EÚ) č. .../... z XXX o európskom systéme certifikácie kybernetickej bezpečnosti založenom na spoločných kritériách] (EUCC), ktorý sa týka hardvérových produktov, na ktoré sa vzťahuje toto nariadenie, napr. hardvérové bezpečnostné moduly a mikroprocesory, môže Komisia prostredníctvom vykonávacieho aktu špecifikovať, ako sa v systéme EUCC zabezpečí predpoklad zhody so základnými požiadavkami uvedenými v prílohe I k tomuto nariadeniu alebo s ich časťami. Okrem toho sa môže v takomto vykonávacom akte špecifikovať, akým spôsobom certifikát vydaný v rámci systému EUCC ruší povinnosť výrobcov dať vykonať posúdenie tretej strane, ako sa vyžaduje v tomto nariadení pri zodpovedajúcich požiadavkách. (41)Ak nie sú prijaté žiadne harmonizované normy alebo ak sa v harmonizovaných normách dostatočne neriešia základné požiadavky tohto nariadenia, Komisia by mala mať možnosť prostredníctvom vykonávacích aktov prijať spoločné špecifikácie. K dôvodom na vypracovanie takýchto spoločných špecifikácií namiesto spoliehania sa na harmonizované normy by mohlo patriť zamietnutie mandátu na tvorbu normy ktoroukoľvek z európskych normalizačných organizácií, zbytočné prieťahy pri zavádzaní príslušných harmonizovaných noriem alebo nesúlad vypracovaných noriem s požiadavkami tohto nariadenia alebo so žiadosťou Komisie. Na uľahčenie posudzovania zhody so základnými požiadavkami stanovenými v tomto nariadení by mal existovať predpoklad zhody pre produkty s digitálnymi prvkami, ktoré sú v súlade so spoločnými špecifikáciami prijatými Komisiou podľa tohto nariadenia na účely vyjadrenia podrobných technických špecifikácií týchto požiadaviek. (42)Výrobcovia by mali vypracovať EÚ vyhlásenie o zhode a poskytnúť tak informácie požadované podľa tohto nariadenia o zhode produktov s digitálnymi prvkami so základnými požiadavkami tohto nariadenia a prípadne iných relevantných harmonizačných právnych predpisov Únie, ktoré sa vzťahujú na produkt. Od výrobcov sa môže vypracovanie EÚ vyhlásenia o zhode vyžadovať aj v iných právnych predpisoch Únie. Na zabezpečenie účinného prístupu k informáciám na účely dohľadu nad trhom by sa malo vypracovať jediné EÚ vyhlásenie o zhode, pokiaľ ide o súlad so všetkými príslušnými aktmi Únie. V záujme zníženia administratívneho zaťaženia hospodárskych subjektov by sa malo umožniť, aby toto jediné EÚ vyhlásenie o zhode tvoril súbor pozostávajúci z príslušných jednotlivých vyhlásení o zhode. (43)Označenie CE, ktorým sa preukazuje zhoda výrobku, je viditeľným výsledkom celého procesu posudzovania zhody v širokom zmysle. Všeobecné zásady, ktorými sa riadi označenie CE, sú uvedené v nariadení Európskeho parlamentu a Rady (ES) č. 765/2008. Pravidlá umiestňovania označenia CE na produkty s digitálnymi prvkami by sa mali stanoviť v tomto nariadení. Označenie CE by malo byť jediným označením, ktoré zaručuje zhodu produktov s digitálnymi prvkami s požiadavkami tohto nariadenia. (44)S cieľom umožniť hospodárskym subjektom preukázať zhodu so základnými požiadavkami stanovenými v tomto nariadení a umožniť orgánom dohľadu nad trhom zaistiť, aby produkty s digitálnymi prvkami sprístupnené na trhu spĺňali tieto požiadavky, je potrebné stanoviť postupy posudzovania zhody. Rozhodnutím Európskeho parlamentu a Rady č. 768/2008/ES sa stanovujú moduly pre postupy posudzovania zhody úmerne k úrovni možného rizika a úrovni požadovanej bezpečnosti. V snahe o zaistenie medziodvetvovej súdržnosti a vyhnutie sa ad hoc variantom boli postupy posudzovania zhody vhodné na overovanie zhody produktov s digitálnymi prvkami so základnými požiadavkami stanovenými v tomto nariadení založené na týchto moduloch. Postupmi posudzovania zhody by sa mali preskúmať a overiť požiadavky týkajúce sa produktu aj procesu, ktoré sa vzťahujú na celý životný cyklus produktov s digitálnymi prvkami vrátane plánovania, návrhu, vývoja alebo výroby, testovania a údržby produktu. (45)Posudzovanie zhody produktov s digitálnymi prvkami by mal spravidla vykonávať výrobca na vlastnú zodpovednosť podľa postupu založeného na module A rozhodnutia 768/2008/ES. Výrobca by si mal zachovať flexibilitu pri výbere prísnejšieho postupu posudzovania zhody za účasti tretej strany. Ak je produkt klasifikovaný ako kritický produkt triedy I, vyžaduje sa dodatočné uistenie na preukázanie zhody so základnými požiadavkami stanovenými v tomto nariadení. Výrobca by mal uplatniť harmonizované normy, spoločné špecifikácie alebo systémy certifikácie kybernetickej bezpečnosti podľa nariadenia (EÚ) 2019/881, ktoré Komisia identifikovala vo vykonávacom akte, ak chce vykonať posudzovanie zhody na vlastnú zodpovednosť (modul A). Ak výrobca neuplatňuje takéto harmonizované normy, spoločné špecifikácie alebo systémy certifikácie kybernetickej bezpečnosti, mal by podstúpiť posudzovanie zhody so zapojením tretej strany. Pri zohľadnení administratívneho zaťaženia výrobcov a skutočnosti, že kybernetická bezpečnosť zohráva dôležitú úlohu vo fáze návrhu a vývoja hmotných a nehmotných produktov s digitálnymi prvkami, boli ako najvhodnejšie postupy posudzovania zhody na primerané a účinné posudzovanie zhody kritických produktov s digitálnymi prvkami zvolené postupy posudzovania zhody založené na moduloch B + C alebo module H rozhodnutia 768/2008/ES. Výrobca, ktorý vykonáva posudzovanie zhody treťou stranou, si môže vybrať postup, ktorý najlepšie vyhovuje jeho procesom navrhovania a výroby. Vzhľadom na ešte väčšie kybernetickobezpečnostné riziko spojené s používaním produktov klasifikovaných ako kritické produkty triedy II by sa na posudzovaní zhody mala vždy zúčastniť tretia strana. (46)Kým pri vytváraní hmotných produktov s digitálnymi prvkami sa od výrobcov obvykle vyžaduje vynaloženie značného úsilia počas fáz návrhu, vývoja a výroby, tvorba produktov s digitálnymi prvkami vo forme softvéru sa takmer výlučne zameriava na návrh a vývoj, zatiaľ čo výrobná fáza zohráva menšiu rolu. Napriek tomu je v mnohých prípadoch stále potrebné pred uvedením na trh softvérové produkty kompilovať, zostaviť, zabaliť, sprístupniť na stiahnutie alebo skopírovať na fyzické médiá. Tieto činnosti by sa mali považovať za činnosti predstavujúce výrobu pri uplatňovaní príslušných modulov posudzovania zhody na overenie súladu produktu so základnými požiadavkami stanovenými v tomto nariadení počas fáz návrhu, vývoja a výroby. (47)S cieľom vykonávať posudzovanie zhody treťou stranou v prípade produktov s digitálnymi prvkami by vnútroštátne notifikujúce orgány mali Komisii a ostatným členským štátom notifikovať orgány posudzovania zhody za predpokladu, že spĺňajú súbor požiadaviek, najmä pokiaľ ide o nezávislosť, spôsobilosť a neexistenciu konfliktu záujmov. (48)S cieľom zabezpečiť konzistentnú úroveň kvality výkonu posudzovania zhody produktov s digitálnymi prvkami je takisto potrebné stanoviť požiadavky na notifikujúce orgány a iné orgány zapojené do posudzovania, notifikácie a monitorovania notifikovaných osôb. Systém stanovený v tomto nariadení by sa mal doplniť akreditačným systémom stanoveným v nariadení (ES) č. 765/2008. Keďže akreditácia je základným prostriedkom na overenie odbornej spôsobilosti orgánov posudzovania zhody, mala by sa používať aj na účely notifikácie.

(49)Transparentnú akreditáciu stanovenú v nariadení (ES) č. 765/2008, ktorou sa zabezpečuje potrebná úroveň dôvery v certifikáty zhody, by mali vnútroštátne subjekty verejného sektora v celej Únii považovať za prednostný spôsob preukazovania technickej spôsobilosti orgánov posudzovania zhody. Vnútroštátne orgány sa však môžu domnievať, že majú k dispozícii vhodné prostriedky na to, aby toto hodnotenie uskutočnili samy. V takom prípade by mali v záujme zabezpečenia vhodnej úrovne dôveryhodnosti hodnotenia vykonávaného inými vnútroštátnymi orgánmi poskytnúť Komisii a ostatným členským štátom nevyhnutné listinné dôkazy preukazujúce súlad hodnotených orgánov posudzovania zhody s príslušnými regulačnými požiadavkami. (50)Orgány posudzovania zhody často zadávajú časť svojich činností spojených s posudzovaním zhody subdodávateľom alebo pomocným orgánom. S cieľom zabezpečiť úroveň ochrany požadovanú v súvislosti s produktmi s digitálnymi prvkami, ktoré sa majú uviesť na trh, je nevyhnutné, aby subdodávatelia a pomocné orgány vykonávajúce posudzovanie zhody spĺňali pri vykonávaní úloh posudzovania zhody rovnaké požiadavky ako notifikované osoby. (51)Notifikujúci orgán by mal notifikáciu orgánu posudzovania zhody zaslať Komisii a ostatným členským štátom prostredníctvom informačného systému NANDO. NANDO je elektronický nástroj na oznamovanie, ktorý vyvinula a spravuje Komisia a v ktorom sa nachádza zoznam všetkých notifikovaných osôb. (52)Vzhľadom na to, že notifikované osoby môžu ponúkať svoje služby v celej Únii, je vhodné poskytnúť ostatným členským štátom a Komisii možnosť vzniesť v súvislosti s notifikovanou osobou námietky. Predtým ako začnú orgány posudzovania zhody fungovať ako notifikované osoby, je preto dôležité stanoviť lehotu, počas ktorej možno objasniť akékoľvek pochybnosti alebo obavy, pokiaľ ide o ich odbornú spôsobilosť. (53)V záujme konkurencieschopnosti je nevyhnutné, aby notifikované osoby uplatňovali postupy posudzovania zhody, ktoré zbytočne nezaťažujú hospodárske subjekty. Z rovnakého dôvodu a s cieľom zaistiť rovnaké zaobchádzanie s hospodárskymi subjektmi je potrebné zabezpečiť konzistentné technické uplatňovanie postupov posudzovania zhody. Najlepšie by sa to malo dosiahnuť prostredníctvom primeranej koordinácie a spolupráce medzi notifikovanými osobami. (54)Dohľad nad trhom predstavuje nevyhnutný nástroj zaisťovania správneho a jednotného uplatňovania právnych predpisov Únie. Je preto vhodné zaviesť právny rámec, v ktorom sa môže dohľad nad trhom vykonávať primeraným spôsobom. Na produkty s digitálnymi prvkami, na ktoré sa vzťahuje toto nariadenie, sa uplatňujú pravidlá týkajúce sa dohľadu nad trhom a kontroly produktov vstupujúcich na trh Únie, ktoré sú stanovené v nariadení Európskeho parlamentu a Rady (EÚ) 2019/1020. (55)Dohľad nad trhom na území daného členského štátu vykonávajú orgány dohľadu nad trhom v súlade s nariadením (EÚ) 2019/1020. Toto nariadenie by členským štátom nemalo brániť vo výbere príslušných orgánov na vykonávanie uvedených úloh. Každý členský štát by mal určiť na svojom území jeden orgán alebo viac orgánov dohľadu nad trhom. Členské štáty sa môžu rozhodnúť, že určia ktorýkoľvek existujúci alebo nový orgán, aby konal ako orgán dohľadu nad trhom, a to vrátane vnútroštátnych príslušných orgánov uvedených v článku [článok X] smernice [smernica XXX/XXXX (NIS2)] alebo určených vnútroštátnych orgánov pre certifikáciu kybernetickej bezpečnosti uvedených v článku 58 nariadenia (EÚ) 2019/881. Hospodárske subjekty by mali v plnej miere spolupracovať s orgánmi dohľadu nad trhom a s ďalšími príslušnými orgánmi. Každý členský štát by mal oznámiť Komisii a ostatným členským štátom svoje orgány dohľadu nad trhom a oblasti pôsobnosti každého z týchto orgánov a mal by zaistiť potrebné zdroje a zručnosti na vykonávanie úloh dohľadu v súvislosti s týmto nariadením. Podľa článku 10 ods. 2 a 3 nariadenia (EÚ) 2019/1020 by mal každý členský štát vymenovať jednotný úrad pre spoluprácu, ktorý by bol zodpovedný okrem iného za to, že zastupuje koordinovanú pozíciu orgánov dohľadu nad trhom a pomáha v rámci spolupráce orgánov dohľadu nad trhom v rôznych členských štátoch. (56)Na jednotné uplatňovanie tohto nariadenia by sa podľa článku 30 ods. 2 nariadenia (EÚ) 2019/1020 mala zriadiť osobitná skupina pre administratívnu spoluprácu (ADCO). Skupinu ADCO by mali tvoriť zástupcovia určených orgánov dohľadu nad trhom a prípadne zástupcovia jednotných úradov pre spoluprácu. Komisia by mala podporovať a podnecovať spoluprácu medzi orgánmi dohľadu nad trhom prostredníctvom siete Únie pre súlad výrobkov, ktorá bola zriadená na základe článku 29 nariadenia (EÚ) 2019/1020 a ktorá pozostáva zo zástupcov každého členského štátu vrátane zástupcu každého jednotného úradu pre spoluprácu uvedeného v článku 10 nariadenia (EÚ) 2019/1020 a prípadného národného experta, predsedov skupín ADCO a zástupcov z Komisie. Komisia by sa mala zúčastňovať na zasadnutiach siete, jej podskupín a tejto príslušnej skupiny ADCO. Mala by takisto pomáhať tejto skupine ADCO prostredníctvom výkonného sekretariátu, ktorý poskytuje technickú a logistickú podporu. (57)Na zabezpečenie včasných, primeraných a účinných opatrení týkajúcich sa produktov s digitálnymi prvkami, ktoré predstavujú významné kybernetickobezpečnostné riziko, by sa mal stanoviť ochranný postup Únie, v rámci ktorého sa zainteresované strany informujú o opatreniach, ktoré sa majú prijať v súvislosti s takýmito produktmi. Orgánom dohľadu nad trhom by sa malo takisto umožniť v prípade potreby konať v spolupráci s príslušnými hospodárskymi subjektmi v skoršej fáze. Ak členské štáty a Komisia súhlasia so zdôvodnením opatrenia prijatého členským štátom, nemalo by byť potrebné žiadne ďalšie zapojenie Komisie s výnimkou prípadov, keď nesúlad možno pripísať nedostatkom harmonizovanej normy. (58)V určitých prípadoch môže produkt s digitálnymi prvkami, ktorý je v súlade s týmto nariadením, napriek tomu predstavovať významné kybernetickobezpečnostné riziko alebo ohrozovať zdravie a bezpečnosť osôb, súlad s povinnosťami podľa práva Únie alebo vnútroštátneho práva určenými na ochranu základných práv, dostupnosť, pravosť, integritu alebo dôvernosť služieb ponúkaných prostredníctvom elektronického informačného systému základnými subjektmi druhu uvedeného v [prílohe I k smernici XXX/XXXX (NIS2)], alebo iné aspekty ochrany verejného záujmu. Preto je potrebné stanoviť pravidlá, ktorými sa zaistí zmiernenie týchto rizík. V dôsledku toho by orgány dohľadu nad trhom mali prijať opatrenia, ktorými by sa od hospodárskeho subjektu vyžadovalo v závislosti od rizika zaistenie stiahnutia produktu od používateľa alebo z trhu, aby už nepredstavoval uvedené riziko. Keď týmto spôsobom orgán dohľadu nad trhom obmedzí alebo zakáže voľný pohyb produktu, členský štát by mal bezodkladne oznámiť predbežné opatrenia Komisii a ostatným členským štátom, pričom uvedie dôvody a opodstatnenie rozhodnutia. Ak orgán dohľadu nad trhom prijme takéto opatrenia proti produktom predstavujúcim riziko, Komisia by mala bezodkladne začať konzultácie s členskými štátmi a príslušným hospodárskym subjektom alebo hospodárskymi subjektmi a mala by vyhodnotiť dané vnútroštátne opatrenie. Na základe výsledkov tohto hodnotenia by Komisia mala rozhodnúť, či vnútroštátne opatrenie je alebo nie je opodstatnené. Komisia by mala svoje rozhodnutie adresovať všetkým členským štátom a okamžite ho oznámiť týmto členským štátom a príslušnému hospodárskemu subjektu či hospodárskym subjektom. Ak sa opatrenie považuje za opodstatnené, Komisia môže zvážiť aj prijatie návrhov na revíziu príslušných právnych predpisov Únie. (59)V prípade produktov s digitálnymi prvkami, ktoré predstavujú významné kybernetickobezpečnostné riziko, a ak existuje dôvod domnievať sa, že nie sú v súlade s týmto nariadením, alebo v prípade produktov, ktoré nie sú v súlade s týmto nariadením, ale predstavujú iné významné riziká, napríklad ohrozenie zdravia alebo bezpečnosti osôb, základných práv alebo poskytovania služieb základnými subjektmi druhu uvedeného v [prílohe I k smernici XXX/XXXX (NIS2)], môže Komisia požiadať agentúru ENISA o vykonanie hodnotenia. Na základe tohto hodnotenia môže Komisia prostredníctvom vykonávacích aktov prijať nápravné alebo reštriktívne opatrenia na úrovni Únie vrátane príkazu na stiahnutie príslušných produktov z trhu alebo od používateľov v primeranej lehote úmernej charakteru rizika. Komisia môže využiť takýto zásah len za mimoriadnych okolností, ktoré opodstatňujú okamžitý zásah s cieľom zachovať riadne fungovanie vnútorného trhu, a len vtedy, ak orgány dohľadu neprijali na nápravu situácie žiadne účinné opatrenia. Takýmito mimoriadnymi okolnosťami môžu byť núdzové situácie, keď napríklad výrobca rozsiahlo sprístupňuje vo viacerých členských štátoch nevyhovujúci produkt, ktorý používajú aj subjekty v kľúčových odvetviach v rámci rozsahu pôsobnosti [smernice XXX/XXXX (NIS2)], i keď obsahuje známe zraniteľnosti, ktoré zneužívajú škodlivé subjekty a na ktoré výrobca neposkytuje dostupné záplaty. Komisia môže v takýchto núdzových situáciách zasiahnuť len počas trvania mimoriadnych okolností a ak pretrváva nesúlad s týmto nariadením alebo prezentované významné riziká. (60)V prípadoch, keď existujú náznaky nesúladu s týmto nariadením vo viacerých členských štátoch, orgány dohľadu nad trhom by mali mať možnosť vykonávať spoločné činnosti s ostatnými orgánmi s cieľom overiť dodržiavanie súladu a identifikovať kybernetickobezpečnostné riziká produktov s digitálnymi prvkami. (61)Bezpečnosť produktov môžu ďalej zvýšiť súbežné koordinované kontrolné akcie (ďalej len „kontrolné akcie“), ktoré sú osobitnými opatreniami orgánov dohľadu nad trhom na presadzovanie práva. Kontrolné akcie by sa mali vykonávať najmä vtedy, keď z trhových trendov, sťažností spotrebiteľov alebo iných náznakov vyplýva, že pri určitých kategóriách produktov sa často zisťuje, že predstavujú kybernetickobezpečnostné riziká. Agentúra ENISA by mala orgánom dohľadu nad trhom predložiť návrhy kategórií produktov, v prípade ktorých by sa mohli organizovať kontrolné akcie okrem iného na základe prijatých oznámení o zraniteľnostiach produktov a incidentoch. (62)S cieľom zaistiť, aby sa regulačný rámec mohol v prípade potreby prispôsobiť, mala by sa na Komisiu delegovať právomoc prijímať akty v súlade s článkom 290 zmluvy v súvislosti s aktualizáciami zoznamu kritických produktov v prílohe III a so spresnením vymedzenia týchto kategórií produktov. Právomoc prijímať akty v súlade s uvedeným článkom by sa mala na Komisiu delegovať s cieľom identifikovať produkty s digitálnymi prvkami, na ktoré sa vzťahujú iné pravidlá Únie, ktorými sa dosahuje rovnaká úroveň ochrany ako týmto nariadením, pričom sa špecifikuje, či by bolo potrebné obmedzenie alebo vylúčenie z rozsahu pôsobnosti tohto nariadenia, ako aj prípadný rozsah uvedeného obmedzenia. Právomoc prijímať akty v súlade s uvedeným článkom by sa mala delegovať na Komisiu aj v súvislosti s možným poverením týkajúcim sa certifikácie určitých vysokokritických produktov s digitálnymi prvkami na základe kritérií kritickosti stanovených v tomto nariadení, ako aj na špecifikovanie minimálneho obsahu EÚ vyhlásenia o zhode a na doplnenie prvkov, ktoré sa majú zahrnúť do technickej dokumentácie. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov, a aby tieto konzultácie vykonávala v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva. Predovšetkým v záujme rovnakého zastúpenia pri príprave delegovaných aktov sa všetky dokumenty doručujú Európskemu parlamentu a Rade v rovnakom čase ako expertom z členských štátov a experti Európskeho parlamentu a Rady majú systematicky prístup na zasadnutia skupín expertov Komisie, ktoré sa zaoberajú prípravou delegovaných aktov. (63)V záujme zaistenia jednotných podmienok na vykonávanie tohto nariadenia by sa mali na Komisiu preniesť vykonávacie právomoci s cieľom: špecifikovať formát a prvky softvérového kusovníka, ďalej špecifikovať druh informácií, formát a postup predkladania oznamov o aktívne zneužívaných zraniteľnostiach a incidentoch, ktoré výrobcovia predkladajú agentúre ENISA, špecifikovať európske systémy certifikácie kybernetickej bezpečnosti prijaté podľa nariadenia (EÚ) 2019/881, ktoré možno použiť na preukázanie zhody so základnými požiadavkami alebo ich časťami, ako sa uvádza v prílohe I k tomuto nariadeniu, prijať spoločné špecifikácie v súvislosti so základnými požiadavkami uvedenými v prílohe I, stanoviť technické špecifikácie pre piktogramy alebo akékoľvek iné značky týkajúce sa zabezpečenia produktov s digitálnymi prvkami a mechanizmy na podporu ich používania, rozhodovať o nápravných a reštriktívnych opatreniach na úrovni Únie za mimoriadnych okolností, ktoré odôvodňujú okamžitý zásah na zachovanie riadneho fungovania vnútorného trhu. Tieto právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011. (64)Na zabezpečenie dôveryhodnej a konštruktívnej spolupráce orgánov dohľadu nad trhom na úrovni Únie a na vnútroštátnej úrovni by mali všetky strany zapojené do uplatňovania tohto nariadenia rešpektovať dôvernosť informácií a údajov získaných pri plnení svojich úloh. (65)V záujme zabezpečenia účinného presadzovania povinností stanovených v tomto nariadení by každý orgán dohľadu nad trhom mal mať právomoc uložiť alebo požiadať o uloženie správnych pokút. Mali by sa preto zaviesť maximálne úrovne správnych pokút, ktoré sa majú stanoviť vo vnútroštátnych právnych predpisoch za nesplnenie povinností stanovených v tomto nariadení. Pri rozhodovaní o výške správnej pokuty v každom jednotlivom prípade by sa mali zohľadniť všetky relevantné okolnosti konkrétnej situácie a minimálne tie, ktoré sú výslovne uvedené v tomto nariadení vrátane toho, či už tomu istému hospodárskemu subjektu uložili iné orgány dohľadu nad trhom správne poplatky za podobné porušenia. Takéto okolnosti môžu byť buď zhoršujúce v situáciách, keď porušenie tým istým hospodárskym subjektom pretrváva na území iných členských štátov, než je členský štát, v ktorom už bola uložená správna pokuta, alebo zmierňujúce, pričom sa zaistí, aby sa pri každej ďalšej správnej pokute, ktorú zvažuje iný orgán dohľadu nad trhom pre ten istý hospodársky subjekt alebo ten istý druh porušenia, už zohľadnila spolu s ostatnými relevantnými osobitnými okolnosťami pokuta a jej výška uložená v iných členských štátoch. Vo všetkých takýchto prípadoch by sa súhrnnou správnou pokutou, ktorú by mohli orgány dohľadu nad trhom z viacerých členských štátov uložiť tomu istému hospodárskemu subjektu za rovnaký druh porušenia, malo zaistiť dodržanie zásady proporcionality. (66)Ak sa správne pokuty ukladajú osobám, ktoré nie sú podnikom, príslušný orgán by mal pri rozhodovaní o primeranej výške pokuty zohľadniť všeobecnú úroveň príjmov v členskom štáte, ako aj majetkové pomery danej osoby. Členské štáty by mali určiť, či a do akej miery by orgány verejnej moci mali podliehať správnym pokutám. (67)Vo svojich vzťahoch s tretími krajinami sa EÚ snaží podporovať medzinárodný obchod s regulovanými výrobkami. Na uľahčenie obchodu sa môže uplatniť ši