DELEGIRANA UREDBA KOMISIJE (EU) 2022/30

z dne 29. oktobra 2021

o dopolnitvi Direktive 2014/53/EU Evropskega parlamenta in Sveta v zvezi z uporabo bistvenih zahtev iz člena 3(3), točke (d), (e) in (f), navedene direktive

(Besedilo velja za EGP)

EVROPSKA KOMISIJA je –

ob upoštevanju Pogodbe o delovanju Evropske unije,

ob upoštevanju Direktive 2014/53/EU Evropskega parlamenta in Sveta z dne 16. aprila 2014 o harmonizaciji zakonodaj držav članic v zvezi z dostopnostjo radijske opreme na trgu in razveljavitvi Direktive 1999/5/ES (1) ter zlasti člena 3(3), drugi pododstavek, v povezavi s členom 3(3), prvi pododstavek, točke (d), (e) in (f), Direktive,

ob upoštevanju naslednjega:

(1) Zaščita omrežja ali njegovega delovanja pred škodo, varstvo osebnih podatkov in zasebnosti uporabnika in naročnika ter zaščita pred goljufijami so elementi, ki podpirajo zaščito pred tveganji za kibernetsko varnost.

(2) Kot je navedeno v uvodni izjavi 13 Direktive 2014/53/EU, se lahko varstvo osebnih podatkov in zasebnosti uporabnikov in naročnikov radijske opreme ter zaščita pred goljufijami okrepita s posebnimi funkcijami radijske opreme. V skladu s to uvodno izjavo bi morala biti radijska oprema v ustreznih primerih zasnovana tako, da podpira te lastnosti.

(3) Tehnologija 5G bo v prihodnjih letih igrala ključno vlogo pri razvoju digitalnega gospodarstva in družbe v Uniji, saj bo potencialno vplivala na skoraj vse vidike življenja državljanov Unije. Dokument o naboru orodij EU z ukrepi za zmanjšanje tveganj za kibernetsko varnost omrežij 5G (2) opredeljuje možni skupni nabor ukrepov, ki lahko zmanjšajo glavna tveganja za kibernetsko varnost omrežij 5G, in predstavlja smernice za izbiro ukrepov, ki bi jih bilo treba prednostno uvrstiti v načrte za zmanjšanje tveganj na nacionalni ravni in ravni Unije. Poleg navedenih ukrepov je zelo pomembno uporabiti usklajen pristop k bistvenim zahtevam v zvezi z elementi kibernetske varnosti, ki se uporabljajo za radijsko opremo 5G, ko je ta dana na trg Unije.

(4) Raven varnosti, ki se uporablja v skladu z bistvenimi zahtevami Unije iz člena 3(3)(d), (e) in (f), za zagotovitev zaščite omrežij, zaščitnih ukrepov za varstvo osebnih podatkov in zasebnosti ter varstva pred goljufijami ne ogroža visoke ravni varnosti, ki se na nacionalni ravni zahteva za decentralizirana pametna omrežja na področju energije, kjer se bodo uporabljali pametni števci, za katere veljajo navedene zahteve, in za omrežno opremo 5G, ki jo uporabljajo ponudniki javnih elektronskih komunikacijskih omrežij in javno dostopnih elektronskih komunikacijskih storitev v smislu Direktive (EU) 2018/1972 Evropskega parlamenta in Sveta (3).

(5) Številni pomisleki so bili izraženi tudi v zvezi z vse večjimi tveganji za kibernetsko varnost zaradi povečane uporabe radijske opreme, ki jo uporabljajo strokovnjaki in potrošniki (vključno z otroki), ki: (i) je zmožna komunicirati prek interneta, ne glede na to, ali komunicira neposredno ali prek druge opreme („z internetom povezana radijska oprema“), tj. oprema, priključena na internet, ki uporablja protokole, potrebne za izmenjavo podatkov z internetom, bodisi neposredno bodisi prek vmesne opreme; (ii) je lahko igrača z radijsko funkcijo, ki prav tako spada na področje uporabe Direktive 2009/48/ES Evropskega parlamenta in Sveta (4), oziroma je zasnovana ali namenjena izključno otroškemu varstvu (npr. elektronske varuške), ali (iii) je zasnovana ali namenjena, izključno ali ne, nošenju na katerem koli delu človeškega telesa ali obešanju s katerega koli dela človeškega telesa (vključno z glavo, vratom, trupom, rokami, nogami in stopali) ali katerega koli oblačila (vključno z naglavnimi pokrivali, rokavicami in obutvijo), ki ga nosijo ljudje, kot tudi radijska oprema v obliki zapestnih ur, prstanov, zapestnic, naglavnih slušalk z mikrofonom, ušesnih slušalk ali očal (v nadaljnjem besedilu: nosljiva radijska oprema).

(6) V zvezi s tem bi bilo treba vsako radijsko opremo za varstvo otrok, radijsko opremo, zajeto v Direktivi 2009/48/ES, ali nosljivo radijsko opremo, ki lahko komunicira prek interneta, ne glede na to, ali komunicira neposredno ali prek druge opreme, šteti za z internetom povezano radijsko opremo. Vsadki se na primer ne bi smeli šteti za nosljivo radijsko opremo, saj se ne nosijo na katerem koli delu človeškega telesa ali katerem koli oblačilu oziroma niso pritrjeni ali obešeni na telo ali oblačila. Kljub temu bi bilo treba vsadke obravnavati kot z internetom povezano radijsko opremo, če lahko sami komunicirajo prek interneta, ne glede na to, ali komunicirajo neposredno ali prek druge opreme.

(7) Glede na pomisleke, izražene zaradi dejstva, da radijska oprema ne zagotavlja zaščite pred elementi tveganj za kibernetsko varnost, je treba za radijsko opremo znotraj določenih kategorij ali razredov določiti bistvene zahteve iz Direktive 2014/53/EU, povezane z zaščito pred škodo za omrežja, varstvom osebnih podatkov in zasebnosti uporabnikov in naročnikov ter varstvom pred goljufijami.

(8) Direktiva 2014/53/EU se uporablja za izdelke, ki ustrezajo opredelitvi „radijske opreme“ iz člena 2 navedene direktive, ob upoštevanju posebnih izjem iz člena 1(2) in člena 1(3) navedene direktive. Čeprav se opredelitev radijske opreme iz člena 2 Direktive 2014/53/EU nanaša na opremo, ki lahko komunicira z radijskimi valovi, nobena zahteva iz Direktive 2014/53/EU ne razlikuje med radijskimi in neradijskimi funkcijami radijske opreme, zato bi morali biti vsi vidiki in deli opreme skladni z bistvenimi zahtevami iz te delegirane uredbe.

(9) Kar zadeva škodo za omrežje ali njegovo delovanje ali zlorabo omrežnih virov, lahko z internetom povezana radijska oprema povzroči nesprejemljivo poslabšanje storitev, kar ne zagotavlja, da omrežje ni bilo poškodovano ali zlorabljeno. Napadalec lahko na primer zlonamerno poplavi internetno omrežje, da prepreči zakoniti omrežni promet, prekine povezave med dvema radijskima proizvodoma in s tem prepreči dostop do storitve, prepreči dostop do storitve določeni osebi, prekine zagotavljanje storitev za določen sistem ali osebo ali prekine tok informacij. Zato lahko poslabšanje spletnih storitev povzroči zlonamerne kibernetske napade, kar vodi k višjim stroškom ter nevšečnostim ali tveganjem za operaterje, ponudnike storitev ali uporabnike. Člen 3(3)(d) Direktive 2014/53/EU, ki zahteva, da radijska oprema ne škoduje omrežju ali njegovemu delovanju ter ne zlorablja sredstev omrežja in s tem povzroča nesprejemljivo poslabšanje storitve, bi zato moral veljati za z internetom povezano radijsko opremo.

(10) Izraženi so bili tudi pomisleki glede varstva osebnih podatkov in zasebnosti uporabnika in naročnika z internetom povezane radijske opreme, saj lahko takšna radijska oprema beleži, shranjuje in izmenjuje informacije, komunicira z uporabnikom, vključno z otroki, kadar so v to radijsko opremo vključeni zvočniki, mikrofoni in drugi senzorji. Ti pomisleki se nanašajo zlasti na zmožnost takšne radijske opreme, da zajema fotografije, videoposnetke, lokalizacijske podatke, podatke, povezane z izkušnjo igre, kot tudi srčni utrip, spalne navade ali druge osebne podatke. Napredne nastavitve radijske opreme so denimo dostopne s privzetim geslom, če povezava ali podatki niso šifrirani ali če ni vzpostavljenega močnega avtentikacijskega mehanizma.

(11) Zato je pomembno, da z internetom povezana radijska oprema, ki se daje na trg Unije, vključuje zaščitne ukrepe, ki zagotavljajo varstvo osebnih podatkov in zasebnosti, kadar je zmožna obdelovati osebne podatke, kot so opredeljeni v členu 4(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta (5), ali podatke, opredeljene v členu 2(b) in (c) Direktive 2002/58/ES Evropskega parlamenta in Sveta (6). Člen 3(3)(e) Direktive 2014/53/EU bi se zato moral uporabljati za z internetom povezano radijsko opremo.

(12) Poleg tega v zvezi z varstvom osebnih podatkov in zasebnosti radijska oprema za otroško varstvo, radijska oprema, ki jo zajema Direktiva 2009/48/ES, in nosljiva radijska oprema predstavljajo varnostna tveganja tudi brez internetne povezave. Osebne podatke je mogoče prestrezati, kadar ta radijska oprema oddaja ali sprejema radijske valove in nima zaščitnih ukrepov, ki bi zagotavljali varstvo osebnih podatkov in zasebnosti. Radijska oprema za otroško varstvo, radijska oprema, zajeta v Direktivi 2009/48/ES, in nosljiva radijska oprema lahko spremljajo in beležijo številne občutljive (osebne) podatke uporabnika skozi daljše časovno obdobje in jih ponovno prenašajo s komunikacijskimi tehnologijami, ki so lahko nezanesljive. Radijska oprema za otroško varstvo, radijska oprema, zajeta v Direktivi 2009/48/ES, in nosljiva radijska oprema bi morale zagotavljati tudi varstvo osebnih podatkov in zasebnosti, kadar so v smislu člena 4(2) Uredbe (EU) 2016/679 zmožne obdelovati osebne podatke, kot so opredeljeni v členu 4(1) Uredbe (EU) 2016/679, ali podatke o prometu in lokaciji, kot so opredeljeni v členu 2, točki (b) in (c), Direktive 2002/58/ES. Člen 3(3), točka (e), Direktive 2014/53/EU bi se zato morala uporabljati za navedeno radijsko opremo.

(13) Kar zadeva goljufije, se lahko informacije, vključno z osebnimi podatki, ukradejo z radijske opreme, povezane z internetom, ki ne zagotavlja zaščite pred goljufijami. Posebne vrste goljufij se nanašajo na radijsko opremo, povezano z internetom, kadar se ta uporablja za izvajanje plačil prek interneta. Stroški so lahko visoki in ne zadevajo le osebe, ki je utrpela goljufijo, temveč tudi družbo kot celoto (na primer stroški policijske preiskave, stroški storitev za žrtve, stroški sodnih postopkov za ugotavljanje odgovornosti). Zato je treba zagotoviti zanesljive transakcije in čim bolj zmanjšati tveganje finančne izgube uporabnikov z internetom povezane radijske opreme, ki izvršujejo plačilo prek te radijske opreme, in prejemnika plačila, izvedenega prek te radijske opreme.

(14) Z internetom povezana radijska oprema, dana na trg Unije, bi morala podpirati funkcije za zagotavljanje zaščite pred goljufijami, kadar imetniku ali uporabniku omogoča prenos denarja, denarne vrednosti ali virtualne valute, kot je opredeljeno v členu 2(d) Direktive (EU) 2019/713 Evropskega parlamenta in Sveta (7). Člen 3(3), točka (f), Direktive 2014/53/EU bi se zato moral uporabljati za navedeno radijsko opremo.

(15) Uredba (EU) 2017/745 Evropskega parlamenta in Sveta (8) določa pravila o medicinskih pripomočkih, medtem ko Uredba (EU) 2017/746 Evropskega parlamenta in Sveta (9) določa pravila o in vitro diagnostičnih medicinskih pripomočkih. Uredba (EU) 2017/745 in Uredba (EU) 2017/746 obravnavata nekatere elemente tveganj za kibernetsko varnost, ki so povezani s tveganji, obravnavanimi v členu 3(3), točke (d), (e) in (f), Direktive 2014/53/EU. Radijska oprema, za katero velja katera koli od navedenih uredb, zato ne bi smela spadati v kategorije ali razrede radijske opreme, ki bi morala izpolnjevati bistvene zahteve iz člena 3(3), točke (d), (e) in (f), Direktive 2014/53/EU.

(16) Uredba (EU) 2019/2144 Evropskega parlamenta in Sveta (10) določa zahteve za homologacijo motornih vozil, njihovih sistemov in sestavnih delov. Glavni cilj Uredbe (EU) 2018/1139 Evropskega parlamenta in Sveta (11) je vzpostaviti in ohranjati visoko in enotno raven varnosti civilnega letalstva v Uniji. Poleg tega Direktiva (EU) 2019/520 Evropskega parlamenta in Sveta (12) določa pogoje za interoperabilnost elektronskih cestninskih sistemov ter lažjo čezmejno izmenjavo informacij o neplačilih cestnine v Uniji. Uredba (EU) 2019/2144, Uredba (EU) 2018/1139 in Direktiva (EU) 2019/520 obravnavajo elemente tveganj za kibernetsko varnost, povezanih s tveganji iz člena 3(3), točki (e) in (f), Direktive 2014/53/EU. Radijska oprema, za katero se uporabljajo Uredba (EU) 2019/2144 in Uredba (EU) 2018/1139 oz. Direktiva (EU) 2019/520, zato ne bi smela spadati v kategorije ali razrede radijske opreme, ki bi morala izpolnjevati bistvene zahteve iz člena 3(3), točki (e) in (f), Direktive 2014/53/EU.

(17) Člen 3 Direktive 2014/53/EU določa bistvene zahteve, ki jih morajo izpolnjevati gospodarski subjekti. Da se olajša ugotavljanje skladnosti z navedenimi zahtevami, direktiva določa domnevo skladnosti radijske opreme s prostovoljnimi harmoniziranimi standardi, sprejetimi v skladu z Uredbo (EU) št. 1025/2012 Evropskega parlamenta in Sveta (13), da se določijo podrobne tehnične specifikacije navedenih zahtev. V specifikacijah bo upoštevana in obravnavana raven tveganja, ki ustreza predvideni uporabi vsake kategorije ali razreda radijske opreme, ki jo zadeva ta uredba.

(18) Gospodarskim subjektom bi bilo treba zagotoviti dovolj časa za prilagoditev zahtevam te uredbe. Uporabo te uredbe bi bilo zato treba odložiti. Ta uredba gospodarskim subjektom ne preprečuje, da bi ravnali v skladu z njo od datuma začetka njene veljavnosti.

(19) Komisija je med pripravljalnim delom ukrepov iz te uredbe opravila ustrezna posvetovanja in se posvetovala s strokovno skupino za radijsko opremo –

SPREJELA NASLEDNJO UREDBO:

Člen 1 1. Bistvena zahteva iz člena 3(3), točka (d), Direktive 2014/53/EU se uporablja za vsako radijsko opremo, ki lahko komunicira prek interneta, ne glede na to, ali komunicira neposredno ali prek druge opreme (v nadaljnjem besedilu: z internetom povezana radijska oprema). 2. Bistvena zahteva iz člena 3(3), točka (e), Direktive 2014/53/EU se uporablja za katero koli naslednjo radijsko opremo, če je navedena radijska oprema zmožna v smislu člena 4(2) Uredbe (EU) 2016/679 obdelovati osebne podatke, kot so opredeljeni v členu 4(1) Uredbe (EU) 2016/679, ali podatke o prometu in lokaciji, kot so opredeljeni v členu 2, točki (b) in (c), Direktive 2002/58/ES: (a) z internetom povezana radijska oprema, razen opreme iz točk (b), (c) ali (d); (b) radijska oprema, zasnovana ali namenjena izključno za otroško varstvo; (c) radijska oprema, ki jo zajema Direktiva 2009/48/ES; (d) radijska oprema, ki je zasnovana ali namenjena, izključno ali ne, nošenju, pritrjevanju ali obešanju na kar koli od naštetega: (i) kateri koli del človeškega telesa, vključno z glavo, vratom, trupom, rokami, dlanmi, nogami in stopali; (ii) katero koli oblačilo, vključno z naglavnimi pokrivali in rokavicami, in obutev, ki jo nosijo ljudje. 3. Bistvena zahteva iz člena 3(3), točka (f), Direktive 2014/53/EU se uporablja za vso z internetom povezano radijsko opremo, če ta oprema imetniku ali uporabniku omogoča prenos denarja, denarne vrednosti ali virtualne valute, kot je opredeljena v členu 2, točka (d), Direktive (EU) 2019/713.

Člen 2 1. Z odstopanjem od člena 1 se bistvene zahteve iz člena 3(3), točke (d), (e) in (f), Direktive 2014/53/EU ne uporabljajo za radijsko opremo, za katero velja tudi eden od naslednjih zakonodajnih aktov Unije: (a) Uredba (EU) 2017/745; (b) Uredba (EU) 2017/746. 2. Z odstopanjem od člena 1(2) in člena 1(3) se bistvene zahteve iz člena 3(3), točki (e) in (f), Direktive 2014/53/EU ne uporabljajo za radijsko opremo, za katero se uporablja tudi kateri koli od naslednjih zakonodajnih aktov Unije: (a) Uredba (EU) 2018/1139; (b) Uredba (EU) 2019/2144; (c) Direktiva (EU) 2019/520.

Člen 3 Ta uredba začne veljati dvajseti dan po objavi v Uradnem listu Evropske unije. Uporablja se od 1. avgusta 2024.

Ta uredba je v celoti zavezujoča in se neposredno uporablja v vseh državah članicah. V Bruslju, 29. oktobra 2021 Za Komisijo predsednica Ursula VON DER LEYEN

(1) UL L 153, 22.5.2014, str. 62.

(2) Dokument o naboru orodij EU z ukrepi za zmanjšanje tveganj za kibernetsko varnost omrežij 5G (Cybersecurity of 5G networks – EU Toolbox of risk mitigating measures) z dne 29. januarja 2020. https://ec.europa.eu/digital-singlemarket/en/nis-cooperation-group.

(3) Direktiva (EU) 2018/1972 Evropskega parlamenta in Sveta z dne 11. decembra 2018 o Evropskem zakoniku o elektronskih komunikacijah (UL L 321, 17.12.2018, str. 36).

(4) Direktiva 2009/48/ES Evropskega parlamenta in Sveta z dne 18. junija 2009 o varnosti igrač (UL L 170, 30.6.2009, str. 1).

(5) Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, 4.5.2016, str. 1).

(6) Direktiva 2002/58/ES Evropskega parlamenta in Sveta z dne 12. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (direktiva o zasebnosti in elektronskih komunikacijah) (UL L 201, 31.7.2002, str. 37).

(7) Direktiva (EU) 2019/713 Evropskega parlamenta in Sveta z dne 17. aprila 2019 o boju proti goljufijam in ponarejanju v zvezi z negotovinskimi plačilnimi sredstvi ter o nadomestitvi Okvirnega sklepa Sveta 2001/413/PNZ (UL L 123, 10.5.2019, str. 18).

(8) Uredba (EU) 2017/745 Evropskega parlamenta in Sveta z dne 5. aprila 2017 o medicinskih pripomočkih, spremembi Direktive 2001/83/ES, Uredbe (ES) št. 178/2002 in Uredbe (ES) št. 1223/2009 ter razveljavitvi direktiv Sveta 90/385/EGS in 93/42/EGS (UL L 117, 5.5.2017, str. 1).

(9) Uredba (EU) 2017/746 Evropskega parlamenta in Sveta z dne 5. aprila 2017 o in vitro diagnostičnih medicinskih pripomočkih ter razveljavitvi Direktive 98/79/ES in Sklepa Komisije 2010/227/EU (UL L 117, 5.5.2017, str. 176).

(10) Uredba (EU) 2019/2144 Evropskega parlamenta in Sveta z dne 27. novembra 2019 o zahtevah za homologacijo motornih vozil in njihovih priklopnikov ter sistemov, sestavnih delov in samostojnih tehničnih enot, namenjenih za taka vozila, v zvezi z njihovo splošno varnostjo in zaščito potnikov v vozilu ter izpostavljenih udeležencev v cestnem prometu in o spremembi Uredbe (EU) 2018/858 Evropskega parlamenta in Sveta ter razveljavitvi uredb (ES) št. 78/2009, (ES) št. 79/2009 in (ES) št. 661/2009 Evropskega parlamenta in Sveta in uredb Komisije (ES) št. 631/2009, (EU) št. 406/2010, (EU) št. 672/2010, (EU) št. 1003/2010, (EU) št. 1005/2010, (EU) št. 1008/2010, (EU) št. 1009/2010, (EU) št. 19/2011, (EU) št. 109/2011, (EU) št. 458/2011, (EU) št. 65/2012, (EU) št. 130/2012, (EU) št. 347/2012, (EU) št. 351/2012, (EU) št. 1230/2012 in (EU) 2015/166 (UL L 325, 16.12.2019, str. 1).

(11) Uredba (EU) 2018/1139 Evropskega parlamenta in Sveta z dne 4. julija 2018 o skupnih pravilih na področju civilnega letalstva in ustanovitvi Agencije Evropske unije za varnost v letalstvu ter spremembi uredb (ES) št. 2111/2005, (ES) št. 1008/2008, (EU) št. 996/2010, (EU) št. 376/2014 ter direktiv 2014/30/EU in 2014/53/EU Evropskega parlamenta in Sveta ter razveljavitvi uredb (ES) št. 552/2004 in (ES) št. 216/2008 Evropskega parlamenta in Sveta ter Uredbe Sveta (EGS) št. 3922/91 (UL L 212, 22.8.2018, str. 1).

(12) Direktiva (EU) 2019/520 Evropskega parlamenta in Sveta z dne 19. marca 2019 o interoperabilnosti elektronskih cestninskih sistemov ter lažji čezmejni izmenjavi informacij o neplačilih cestnine v Uniji (UL L 91, 29.3.2019, str. 45).

(13) Uredba (EU) št. 1025/2012 Evropskega parlamenta in Sveta z dne 25. oktobra 2012 o evropski standardizaciji, spremembi direktiv Sveta 89/686/EGS in 93/15/EGS ter direktiv 94/9/ES, 94/25/ES, 95/16/ES, 97/23/ES, 98/34/ES, 2004/22/ES, 2007/23/ES, 2009/23/ES in 2009/105/ES Evropskega parlamenta in Sveta ter razveljavitvi Sklepa Sveta 87/95/EGS in Sklepa št. 1673/2006/ES Evropskega parlamenta in Sveta (UL L 316, 14.11.2012, str. 12).