EVROPSKA KOMISIJA Bruselj, 15.9.2022 COM(2022) 454 final 2022/0272(COD) Predlog UREDBA EVROPSKEGA PARLAMENTA IN SVETA o horizontalnih zahtevah glede kibernetske varnosti za izdelke z digitalnimi elementi in spremembi Uredbe (EU) 2019/1020 (Besedilo velja za EGP) {SEC(2022) 321 final} - {SWD(2022) 282 final} - {SWD(2022) 283 final}



OBRAZLOŽITVENI MEMORANDUM 1.OZADJE PREDLOGA •Razlogi za predlog in njegovi cilji Izdelki strojne in programske opreme so vse pogosteje tarča uspešnih kibernetskih napadov, zaradi katerih so letni stroški kibernetske kriminalitete na svetovni ravni do leta 2021 po ocenah znašali 5,5 bilijona EUR. Pri takih izdelkih obstajata dve glavni težavi, zaradi katerih imajo uporabniki in družba dodatne stroške: (1) nizka raven kibernetske varnosti, ki se odraža v splošno razširjenih ranljivostih ter nezadostnem in nedoslednem zagotavljanju varnostnih posodobitev za njihovo odpravljanje, ter (2) nezadostno razumevanje in nezadosten dostop uporabnikov do informacij, ki preprečujeta izbiro izdelkov z ustreznimi lastnostmi kibernetske varnosti ali njihovo varno uporabo. Kibernetski incident pri enem izdelku lahko v povezanem okolju vpliva na celotno organizacijo ali celotno oskrbovalno verigo, pri čemer se pogosto v nekaj minutah razširi čez meje notranjega trga. To lahko povzroči resne motnje v gospodarskih in družbenih dejavnostih ali celo postane življenjsko ogrožajoče. Kibernetska varnost izdelkov z digitalnimi elementi ima jasno čezmejno razsežnost, saj se izdelki, izdelani v eni državi, pogosto uporabljajo na celotnem notranjem trgu. Poleg tega se incidenti, ki prvotno prizadenejo posamezen subjekt ali državo članico, pogosto v nekaj minutah razširijo na celotni notranji trg. Čeprav se sedanja zakonodaja o notranjem trgu uporablja za nekatere izdelke z digitalnimi elementi, večina izdelkov strojne in programske opreme trenutno ni vključenih v nobeno zakonodajo EU, ki bi obravnavala njihovo kibernetsko varnost. Zlasti sedanji pravni okvir EU ne obravnava kibernetske varnosti nevgrajene programske opreme, čeprav so kibernetski napadi čedalje pogosteje usmerjeni v ranljivosti teh izdelkov ter povzročajo precejšnje družbene in ekonomske stroške. Primerov omembe vrednih kibernetskih napadov, ki so bili posledica pomanjkljive varnosti izdelkov, je veliko, na primer napad s črvom izsiljevalskega programja WannaCry leta 2017, ki je izrabil ranljivost operacijskega sistema Windows, prizadel 200 000 računalnikov v 150 državah in povzročil škodo v višini več milijard ameriških dolarjev, napad na oskrbovalno verigo Kaseya VSA, pri katerem je bila uporabljena programska oprema podjetja Kaseya za upravljanje omrežja za napad na več kot 1 000 podjetij, veriga supermarketov pa je bila prisiljena zapreti vseh svojih 500 trgovin po vsej Švedski, ter številni incidenti z vdori v aplikacije za bančništvo, pri katerih se ukrade denar nič hudega slutečim potrošnikom. Določena sta bila dva glavna cilja za zagotovitev ustreznega delovanja notranjega trga: (1) ustvariti pogoje za razvoj varnih izdelkov z digitalnimi elementi z zagotavljanjem, da se na trg dajejo izdelki strojne in programske opreme z manj ranljivostmi in da proizvajalci v celotnem življenjskem ciklu izdelka resno obravnavajo vprašanje varnosti, ter (2) ustvariti pogoje, ki uporabnikom omogočajo upoštevanje kibernetske varnosti pri izbiri in uporabi izdelkov z digitalnimi elementi. Oblikovani so bili štirje specifični cilji: (i) zagotoviti, da proizvajalci izboljšujejo varnost izdelkov z digitalnimi elementi že od faze zasnove in razvoja ter v celotnem življenjskem ciklu izdelka; (ii) zagotoviti skladen okvir kibernetske varnosti, s čimer se olajša zagotavljanje skladnosti za proizvajalce strojne in programske opreme; (iii) izboljšati preglednost varnostnih lastnosti izdelkov z digitalnimi elementi ter (iv) podjetjem in potrošnikom omogočiti varno uporabo izdelkov z digitalnimi elementi. Očitno čezmejna narava kibernetske varnosti in vse večje število incidentov, katerih učinki segajo čez meje, v razne sektorje in izdelke, pomenita, da države članice ne morejo same učinkovito doseči navedenih ciljev. Glede na globalno naravo trga izdelkov z digitalnimi elementi se države članice na svojih ozemljih spoprijemajo z istimi tveganji glede istih izdelkov z digitalnimi elementi. Nastajajoči neenotni okvir potencialno različnih nacionalnih pravil lahko ogrozi odprt in konkurenčen enotni trg izdelkov z digitalnimi elementi. Zato je potrebno skupno ukrepanje na ravni EU, da se povečata zaupanje med uporabniki in privlačnost izdelkov z digitalnimi elementi iz EU. To bi tudi koristilo notranjemu trgu, saj bi zagotavljalo pravno varnost in enake konkurenčne pogoje za prodajalce izdelkov z digitalnimi elementi, kakor je poudarjeno tudi v končnem poročilu Konference o prihodnosti Evrope, v katerem državljani zahtevajo večjo vlogo EU pri preprečevanju kibernetskih groženj. •Medsebojni vpliv z veljavnimi predpisi s področja zadevne politike Okvir EU vključuje več aktov horizontalne zakonodaje, ki zajemajo določene vidike, povezane s kibernetsko varnostjo, z različnih zornih kotov (izdelki, storitve, krizno upravljanje in kazniva dejanja). Leta 2013 je začela veljati direktiva o napadih na informacijske sisteme, s katero so bile harmonizirane inkriminacija in kazni za več kaznivih dejanj zoper informacijske sisteme. Avgusta 2016 je začela veljati Direktiva (EU) 2016/1148 o varnosti omrežij in informacijskih sistemov kot prvi zakonodajni akt o kibernetski varnosti na ravni EU. Z njeno revizijo, na podlagi katere je bila pripravljena Direktiva [Direktiva XXX/XXXX (NIS2)], se zvišuje raven ambicije na ravni EU. Leta 2019 je začel veljati akt EU o kibernetski varnosti, katerega namen je izboljšati varnost izdelkov IKT, storitev IKT in postopkov IKT z uvedbo prostovoljnega evropskega certifikacijskega okvira za kibernetsko varnost. Kibernetska varnost celotne oskrbovalne verige je zagotovljena le, če so kibernetsko varni vsi njeni sestavni deli. Navedena zakonodaja EU pa vključuje precejšnje vrzeli v zvezi s tem, saj ne vključuje obveznih zahtev za varnost izdelkov z digitalnimi elementi. Medtem ko predlagani akt o kibernetski odpornosti vključuje izdelke z digitalnimi elementi, danimi na trg, je Direktiva [Direktiva XXX/XXX (NIS2)] namenjena zagotovitvi visoke ravni kibernetske varnosti storitev, ki jih opravljajo bistveni in pomembni subjekti. V skladu z Direktivo [Direktiva XXX/XXXX (NIS2)] morajo države članice zagotoviti, da bistveni in pomembni subjekti, ki spadajo na področje uporabe Direktive, kakor so izvajalci zdravstvene dejavnosti ali ponudniki storitev v oblaku in subjekti javne uprave, sprejmejo ustrezne in sorazmerne tehnične, operativne in organizacijske ukrepe za kibernetsko varnost. To med drugim vključuje zahtevo za zagotovitev varnosti pri pridobivanju, razvoju in vzdrževanju omrežij in informacijskih sistemov, vključno z obravnavanjem in razkrivanjem ranljivosti. V skladu z Direktivo [Direktiva XXX/XXXX (NIS2)] mora Komisija v 21 mesecih od datuma začetka veljavnosti te direktive za nekatere vrste subjektov, kakor so ponudniki storitev računalništva v oblaku, sprejeti izvedbene akte za določitev tehničnih in metodoloških zahtev za navedene ukrepe. Za vse druge subjekte lahko sprejme izvedbeni akt za določitev tehničnih in metodoloških zahtev ter sektorske zahteve. S tem okvirom se bo zagotovilo, da se tehnične specifikacije in ukrepi, podobni bistvenim zahtevam glede kibernetske varnosti iz akta o kibernetski odpornosti, izvajajo tudi za zasnovo in razvoj programske opreme kot storitve ter obravnavanje ranljivosti navedene programske opreme. To je lahko na primer način za zagotovitev visoke ravni kibernetske varnosti v primerih, kakor so sistemi za vodenje elektronskih zdravstvenih zapisov, tudi kadar se zagotavljajo kot programska oprema kot storitev ali razvijajo v zdravstvenih ustanovah, v skladu s predlagano [uredbo o evropskem zdravstvenem podatkovnem prostoru]. •Medsebojni vpliv z drugimi politikami Unije Kakor je navedeno v sporočilu „Oblikovanje digitalne prihodnosti Evrope“, je za EU ključnega pomena, da v varnih in etičnih okvirih izkoristi priložnosti, ki jih nudi digitalna doba, ter okrepi svoje industrijske in inovacijske zmogljivosti. Evropska strategija za podatke določa štiri stebre – varstvo podatkov, temeljne pravice, varnost in kibernetsko varnost – kot ključne predpogoje za družbo, ki izkorišča moč podatkov. Sedanji okvir EU, ki se uporablja za izdelke, ki lahko imajo tudi digitalne elemente, obsega več zakonodajnih aktov, vključno z zakonodajo EU o posebnih izdelkih, ki zajema varnostne vidike, in splošno zakonodajo o odgovornosti za izdelke. Predlog je skladen s sedanjim regulativnim okvirom EU v zvezi z izdelki in nedavnimi zakonodajnimi predlogi, kot je predlog Komisije za uredbo [uredba o umetni inteligenci]. Predlagana uredba bi se uporabljala za vso radijsko opremo, ki spada na področje uporabe Delegirane uredbe Komisije (EU) 2022/30. Poleg tega zahteve iz te uredbe vključujejo vse elemente bistvenih zahtev iz člena 3(3), točke (d), (e) in (f), Direktive 2014/53/EU, vključno z glavnimi elementi iz [Izvedbenega sklepa Komisije XXX/2022 o zahtevi za standardizacijo evropskim organizacijam za standardizacijo], izdanimi na podlagi navedene delegirane uredbe. Za preprečitev regulativnega prekrivanja je predvideno, da bo Komisija razveljavila ali spremenila Delegirano uredbo v zvezi z radijsko opremo, zajeto s predlagano uredbo, tako da bi se za navedeno opremo uporabljala predlagana uredba, ko se bo začela uporabljati. Poleg tega je za preprečitev podvajanja dela predvideno, da Komisija in evropske organizacije za standardizacijo pri pripravi in razvoju harmoniziranih standardov za olajšanje izvajanja Uredbe upoštevajo delo za standardizacijo, opravljeno v okviru Izvedbenega sklepa Komisije C(2022) 5637 o zahtevi za standardizacijo za Delegirano uredbo (EU) 2022/30, sprejeto na podlagi direktive o radijski opremi. 2.PRAVNA PODLAGA, SUBSIDIARNOST IN SORAZMERNOST •Pravna podlaga

Pravna podlaga tega predloga je člen 114 Pogodbe o delovanju Evropske unije (PDEU), ki določa sprejetje ukrepov za zagotovitev vzpostavitve in delovanja notranjega trga. Namen predloga je uskladiti zahteve glede kibernetske varnosti za izdelke z digitalnimi elementi v vseh državah članicah in odpraviti ovire za prosto gibanje blaga. Člen 114 PDEU se lahko uporabi kot pravna podlaga za preprečitev, da bi se te ovire pojavile zaradi različnih nacionalnih zakonov in pristopov k obravnavanju pravnih negotovosti in vrzeli v obstoječih pravnih okvirih. Poleg tega je Sodišče priznalo, da bi lahko bila uporaba različnih tehničnih zahtev veljaven razlog za uporabo člena 114 PDEU. Sedanji zakonodajni okvir EU, ki se uporablja za izdelke z digitalnimi elementi, temelji na členu 114 PDEU ter obsega več zakonodajnih aktov, med drugim o posebnih izdelkih in varnostnih vidikih, ali splošno zakonodajo o odgovornosti za izdelke. Vendar pa zajema samo nekatere vidike, povezane s kibernetsko varnostjo materialnih digitalnih izdelkov, po potrebi pa tudi vgrajeno programsko opremo teh izdelkov. Na nacionalni ravni so države članice začele sprejemati nacionalne ukrepe, v skladu s katerimi morajo prodajalci digitalnih izdelkov izboljšati njihovo kibernetsko varnost. Ob tem ima kibernetska varnost digitalnih izdelkov posebno jasno čezmejno razsežnost, saj izdelke, izdelane v eni državi, pogosto uporabljajo organizacije in potrošniki na celotnem notranjem trgu. Incidenti, ki najprej prizadenejo posamezen subjekt ali državo članico, se pogosto v nekaj minutah razširijo na številne organizacije, sektorje in države članice. Z različnimi akti in pobudami, ki so bili doslej sprejeti na ravni EU in nacionalni ravni, se le delno obravnavajo ugotovljene težave, pri čemer obstaja tveganje nastanka zakonodajnega mozaika na notranjem trgu, povečanja pravne negotovosti za prodajalce in uporabnike teh izdelkov ter nepotrebnega povečanja bremena za podjetja zaradi izpolnjevanja številnih zahtev za podobne vrste izdelkov. S predlagano uredbo bi se z uvedbo zahtev glede kibernetske varnosti za izdelke z digitalnimi elementi uskladilo in racionaliziralo regulativno okolje EU ter preprečilo prekrivanje zahtev iz različnih zakonodajnih aktov. Tako bi se povečala pravna varnost za gospodarske subjekte in uporabnike po vsej Uniji, bolje uskladil evropski enotni trg ter vzpostavili bolj uresničljivi pogoji za gospodarske subjekte, ki si prizadevajo vstopiti na trg EU. •Subsidiarnost (za neizključno pristojnost) Očitno čezmejna narava kibernetske varnosti na splošno ter vse večje število tveganj in incidentov, katerih učinki segajo čez meje, v razne sektorje in izdelke, pomenita, da države članice ne morejo same učinkovito doseči ciljev tega ukrepa. Nacionalni pristopi k reševanju težav in zlasti pristopi z uvedbo obveznih zahtev bodo ustvarili dodatno pravno negotovost in pravne ovire. Podjetjem bi se lahko preprečilo nemoteno širjenje v druge države članice, zaradi česar uporabniki ne bi imeli dostopa do prednosti njihovih izdelkov. Zato je potrebno skupno ukrepanje na ravni EU, da se zagotovi visoka raven zaupanja uporabnikov ter poveča privlačnost izdelkov z digitalnimi elementi iz EU. To bi tudi koristilo digitalnemu enotnemu trgu in notranjemu trgu na splošno, saj bi zagotavljalo pravno varnost in enake konkurenčne pogoje za proizvajalce izdelkov z digitalnimi elementi. Končno je Svet v svojih sklepih z dne 23. maja 2022 o oblikovanju stališča Evropske unije glede kibernetskih vprašanj Komisijo pozval, naj do konca leta 2022 predlaga skupne zahteve glede kibernetske varnosti za povezane naprave. •Sorazmernost Kar zadeva sorazmernost predlagane uredbe, ukrepi v okviru obravnavanih možnosti politike ne bi presegali tistega, kar je potrebno za doseganje splošnih in specifičnih ciljev, niti ne bi povzročili nesorazmernih stroškov. Natančneje, z obravnavanim posredovanjem bi se na podlagi tehnološko nevtralnih zahtev, usmerjenih v cilje, ki so še naprej razumne in na splošno ustrezajo interesom vključenih subjektov, zagotovila varnost izdelkov z digitalnimi elementi v celotnem življenjskem ciklu, ki je sorazmerna z zadevnimi tveganji. Bistvene zahteve glede kibernetske varnosti iz predloga temeljijo na splošno sprejetih standardih, pri povezanem postopku standardizacije pa bi se upoštevale tehnične posebnosti izdelkov. To pomeni, da bi se prilagodile varnostne kontrole, če bi bile potrebne zaradi določene ravni tveganja. Poleg tega bi predvidena horizontalna pravila določala ugotavljanje skladnosti, ki ga opravi tretja oseba, samo za kritične izdelke. To bi vključevalo le majhen delež trga za izdelke z digitalnimi elementi. Vpliv na MSP bi bil odvisen od njihove prisotnosti na trgu za te posebne kategorije izdelkov. Kar zadeva sorazmernost stroškov ugotavljanja skladnosti, bi priglašeni organi, ki kot tretje osebe opravljajo ugotavljanje skladnosti, pri določanju pristojbin upoštevali velikost podjetja. Zagotovilo bi se tudi razumno prehodno obdobje 24 mesecev za pripravo na izvajanje, s čimer bi imeli zadevni trgi čas, da se pripravijo, zagotovile pa bi se tudi jasne smernice za naložbe v raziskave in razvoj. Morebitne stroške zagotavljanja skladnosti, ki jih imajo podjetja, bi odtehtale koristi višje ravni varnosti izdelkov z digitalnimi elementi in navsezadnje večjega zaupanja uporabnikov v te izdelke. •Izbira instrumenta Regulativno posredovanje bi vključevalo sprejetje uredbe in ne direktive. Za to posebno vrsto zakonodaje o izdelkih bi se namreč z uredbo učinkoviteje obravnavale ugotovljene težave in dosegli zastavljeni cilji, saj pomeni posredovanje, ki določa pogoje za dajanje zelo obsežne kategorije izdelkov na notranji trg. V primeru direktive za tako posredovanje bi se lahko pri postopku prenosa v nacionalno zakonodajo dopustile prevelike možnosti za lastno presojo na nacionalni ravni, to pa bi lahko povzročilo neenotnost nekaterih bistvenih zahtev glede kibernetske varnosti, pravno negotovost, dodatno razdrobljenost ali celo primere diskriminacije na čezmejni ravni, zlasti glede na dejstvo, da bi se lahko vključeni izdelki uporabljali za različne namene, proizvajalci pa lahko izdelujejo več kategorij takih izdelkov. 3.REZULTATI NAKNADNIH OCEN, POSVETOVANJ Z DELEŽNIKI IN OCEN UČINKA •Posvetovanja z deležniki Komisija se je posvetovala z najrazličnejšimi deležniki. Države članice in deležniki so bili povabljeni k sodelovanju pri odprtem javnem posvetovanju ter anketah in delavnicah, organiziranih v okviru študije konzorcija, ki podpira pripravljalno delo Komisije za oceno učinka: Wavestone, Center za evropske politične študije (CEPS) in ICF. Med deležniki, s katerimi je bilo opravljeno posvetovanje, so bili nacionalni organi za nadzor trga, organi Unije, ki se ukvarjajo s kibernetsko varnostjo, proizvajalci strojne in programske opreme, uvozniki in distributerji strojne in programske opreme, panožna združenja, potrošniške organizacije in uporabniki izdelkov z digitalnimi elementi, državljani, raziskovalci in akademski krogi, priglašeni in akreditacijski organi ter strokovnjaki iz industrije kibernetske varnosti. Dejavnosti posvetovanja so vključevale: ·prvo študijo, ki je bila objavljena decembra 2021, izvedel pa jo je konzorcij, ki so ga sestavljali ICF, Wavestone, Carsa in CEPS. V njej je bilo ugotovljenih več primerov nedelovanja trga, ocenjena pa so bila možna regulativna posredovanja;

·odprto javno posvetovanje, usmerjeno na državljane, deležnike in strokovnjake za kibernetsko varnost. Predloženih je bilo 176 odgovorov. Ti so prispevali k zbiranju raznolikih mnenj in izkušenj vseh skupin deležnikov; ·delavnice, organizirane v okviru študije v podporo pripravljalnemu delu Komisije za akt o kibernetski odpornosti, ki se jih je udeležilo približno 100 predstavnikov različnih deležnikov iz vseh 27 držav članic; ·razgovore s strokovnjaki, namenjene pridobivanju poglobljenega razumevanja sedanjih izzivov na področju kibernetske varnosti, povezanih z izdelki z digitalnimi elementi, in razpravi o možnostih politike za morebitno regulativno posredovanje; ·dvostranske razprave z nacionalnimi organi za kibernetsko varnost, zasebnim sektorjem in potrošniškimi organizacijami; ·ciljno usmerjeno vključevanje MSP, ki so ključni deležniki. •Zbiranje in uporaba strokovnih mnenj Dejavnosti posvetovanja so bile namenjene pridobivanju prispevkov o petih glavnih merilih vrednotenja na podlagi smernic EU za boljše pravno urejanje (uspešnost, učinkovitost, ustreznost, skladnost in dodana vrednost EU) in morebitnih učinkih možnosti za prihodnost. Izvajalec se je poleg deležnikov, na katere bi predlagana uredba neposredno vplivala, posvetoval tudi z najrazličnejšimi strokovnjaki na področju kibernetske varnosti. •Ocena učinka Komisija je za ta predlog izvedla oceno učinka, ki jo je proučil njen Odbor za regulativni nadzor. Z navedenim odborom je bil 6. julija 2022 opravljen sestanek, ki mu je sledilo pozitivno mnenje. Ocena učinka je bila prilagojena, da so se upoštevala priporočila in pripombe Odbora za regulativni nadzor. Komisija je proučila različne možnosti politike za dosego splošnih ciljev predloga: ·pristop mehkega prava in prostovoljne ukrepe (možnost 1): ta možnost ne vključuje obveznega regulativnega posredovanja. Namesto tega bi Komisija izdajala sporočila, smernice, priporočila in morda kodekse ravnanja, da bi spodbujala prostovoljne ukrepe. Za zapolnitev vrzeli zaradi neobstoja horizontalnih pravil EU bi se še naprej razvijale prostovoljne ali obvezne nacionalne sheme; ·ad hoc regulativno posredovanje za kibernetsko varnost materialnih izdelkov z digitalnimi elementi in zadevne vgrajene programske opreme (možnost 2): ta možnost bi vključevala ad hoc regulativno posredovanje za specifične izdelke, ki bi bilo omejeno na dodajanje in/ali spreminjanje zahtev glede kibernetske varnosti v obstoječi zakonodaji ali uvajanje nove zakonodaje ob pojavu novih tveganj, po možnosti tudi o nevgrajeni programski opremi. Možnosti 3 in 4 vključujeta horizontalno regulativno posredovanje v različnih obsegih in večinoma v skladu z novim zakonodajnim okvirom. Ta okvir določa bistvene zahteve kot pogoj za dajanje nekaterih izdelkov na notranji trg. Praviloma določa tudi ugotavljanje skladnosti, tj. postopek, ki ga opravi proizvajalec, da dokaže izpolnjevanje predpisanih zahtev v zvezi z izdelkom: ·mešani pristop, vključno s horizontalnimi obveznimi pravili za kibernetsko varnost materialnih izdelkov z digitalnimi elementi in zadevne vgrajene programske opreme ter postopnim pristopom za nevgrajeno programsko opremo (možnost 3): ta možnost bi vključevala uredbo za uvedbo horizontalnih zahtev glede kibernetske varnosti za vse materialne izdelke z digitalnimi elementi in njihovo vgrajeno programsko opremo kot pogoj za dajanje na trg ter dve podmožnosti z obveznim ugotavljanjem skladnosti, ki ga opravi tretja oseba, oziroma brez njega (3i in 3ii). Nevgrajena programska oprema se ne bi urejala; ·horizontalno regulativno posredovanje, na podlagi katerega bi se uvedle zahteve glede kibernetske varnosti za širok nabor materialnih in nematerialnih izdelkov z digitalnimi elementi, vključno z nevgrajeno programsko opremo (možnost 4): ta možnost je podobna možnosti 3, pri čemer se možnosti razlikujeta po obsegu. V skladu z možnostjo 4 bi področje uporabe morebitne uredbe vključevalo nevgrajeno programsko opremo (z dvema podmožnostma – samo kritično programsko opremo (4a) ali vso programsko opremo (4b)). Za vsako podmožnost bi se proučili isti podmožnosti v zvezi z ugotavljanjem skladnosti kot za možnost 3. Na podlagi ocene uspešnosti glede na specifične cilje in stroškovne učinkovitosti glede na koristi je bila za prednostno možnost določena možnost 4 (s podmožnostma, ki zajemata vso programsko opremo in obvezno ugotavljanje skladnosti, ki ga opravi tretja oseba, za kritične izdelke). V skladu s to možnostjo bi se določile posebne horizontalne zahteve glede kibernetske varnosti za vse izdelke z digitalnimi elementi, ki se dajo na notranji trg ali so dostopni na njem, poleg tega pa je edina možnost, ki zajema celotno digitalno oskrbovalno verigo. Tako regulativno posredovanje bi vključevalo tudi nevgrajeno programsko opremo, ki je pogosto izpostavljena ranljivostim, s tem pa bi se zagotovil usklajen pristop k vsem izdelkom z digitalnimi elementi in jasnim deležem odgovornosti različnih gospodarskih subjektov. Ta možnost politike ima tudi dodano vrednost, saj zajema vidike dolžnosti skrbnega ravnanja in celotnega življenjskega cikla po dajanju izdelkov z digitalnimi elementi na trg, da se me drugim zagotovita ustrezno obveščanje o podpori varnosti in zagotavljanje varnostnih posodobitev. Poleg tega bi ta možnost politike najučinkoviteje dopolnjevala nedavni pregled okvira za varnost omrežij in informacijskih sistemov, saj bi zagotovila osnovne pogoje za okrepljeno varnost oskrbovalne verige. Prednostna možnost bi imela pomembne koristi za različne deležnike. Za podjetja bi preprečila različna varnostna pravila glede izdelkov z digitalnimi elementi in znižala stroške zagotavljanja skladnosti z zadevno zakonodajo o kibernetski varnosti. Zmanjšala bi število kibernetskih incidentov, znižala stroške obvladovanja incidentov in zmanjšala škodo za ugled. Za celotno EU se ocenjuje, da bi se lahko zaradi pobude stroški zaradi incidentov, ki prizadenejo podjetja, znižali za približno 180–290 milijard EUR na leto. S prednostno možnostjo bi se povečal promet zaradi povečanja povpraševanja po izdelkih z digitalnimi elementi. Izboljšal bi se globalni ugled podjetij, zaradi česar bi se povečalo povpraševanje tudi zunaj EU. Za uporabnike bi prednostna možnost izboljšala preglednost varnostnih lastnosti in olajšala uporabo izdelkov z digitalnimi elementi. Potrošniki in državljani bi imeli tudi koristi zaradi boljše zaščite svojih temeljnih pravic, kot sta zasebnost in varstvo podatkov. Kar zadeva oceno uspešnosti ukrepov politike, so se anketiranci v javnem posvetovanju strinjali, da bi bila možnost 4 najuspešnejši ukrep (na lestvici od 1 do 5 je bila ocenjena s 4,08). Med anketiranci so bili potrošniške organizacije (5,00), anketiranci, ki so se opredelili za uporabnike (4,22), priglašeni organi (4,17), organi za nadzor trga (5,00) in proizvajalci izdelkov z digitalnimi elementi (3,85), vključno z malimi in srednjimi (4,05). •Ustreznost in poenostavitev ureditve

Ta predlog določa zahteve, ki se bodo uporabljale za proizvajalce programske in strojne opreme. Splošna podpora horizontalnemu posredovanju, ki so jo izrazili različni deležniki, dokazuje, da je treba zagotoviti pravno varnost in preprečiti dodatno razdrobljenost zahtev glede kibernetske varnosti, povezanih z izdelki, na notranjem trgu. S predlogom se bo čim bolj zmanjšalo regulativno breme, ki je proizvajalcem naloženo zaradi več aktov o varnosti izdelkov. Uskladitev z novim zakonodajnim okvirom pomeni boljše delovanje in izvrševanje posredovanja. V skladu s predlogom se proizvajalci in države članice vključijo pred priglasitvijo Komisiji, s čimer se racionalizirajo zaščitni postopki. Velik del proizvajalcev, ki spadajo na področje uporabe predloga, že pozna delovanje novega zakonodajnega okvira, kar bo prispevalo k njegovemu razumevanju in izvajanju. Kar zadeva potrošnike in podjetja, bo predlog spodbujal zaupanje v izdelke z digitalnimi elementi. •Temeljne pravice Vse možnosti politike bodo predvidoma v različnem obsegu izboljšale varstvo temeljnih pravic in svoboščin, kakor so zasebnost, varstvo osebnih podatkov, svoboda gospodarske pobude in varstvo lastnine ali osebnega dostojanstva in celovitosti. Zlasti prednostna možnost politike 4, ki vključuje horizontalne regulativne ukrepe in široko področje uporabe politike, bi bila v zvezi s tem najuspešnejša, saj verjetneje prispeva k zmanjšanju števila in resnosti incidentov, vključno s kršitvami varstva osebnih podatkov Poleg tega bi se z njo povečala pravna varnost in dosegli enaki konkurenčni pogoji za gospodarske subjekte, okrepilo zaupanje uporabnikov in povečala privlačnost vseh izdelkov z digitalnimi elementi iz EU, s čimer bi se zaščitila lastnina in izboljšali pogoji za poslovanje gospodarskih subjektov. Horizontalne zahteve glede kibernetske varnosti bi prispevale k varnosti osebnih podatkov z varstvom zaupnosti, celovitosti in razpoložljivosti informacij v izdelkih z digitalnimi elementi. Izpolnjevanje navedenih zahtev bo olajšalo izpolnjevanje zahteve po varnosti obdelave osebnih podatkov na podlagi splošne uredbe o varstvu podatkov (Uredba (EU) 2016/679). S predlogom bi se izboljšala preglednost in obveščanje uporabnikov, vključno s tistimi, ki jim morda primanjkuje veščin za kibernetsko varnost. Poleg tega bi bili uporabniki bolje obveščeni o tveganjih, zmogljivostih in omejitvah izdelkov z digitalnimi elementi, s tem pa v boljšem položaju za sprejemanje potrebnih preventivnih in blažilnih ukrepov za zmanjšanje preostalih tveganj. 4.PRORAČUNSKE POSLEDICE Da bi Agencija Evropske unije za kibernetsko varnost (ENISA) izpolnila naloge, ki se ji dodelijo s to uredbo, bo morala prerazporediti vire v obsegu približno 4,5 EPDČ. Komisija bi morala dodeliti 7 EPDČ, da bi izpolnila odgovornosti v zvezi z izvrševanjem na podlagi te uredbe. Podroben pregled zadevnih stroškov je na voljo v „oceni finančnih posledic zakonodajnega predloga“, povezani s tem predlogom. 5.DRUGI ELEMENTI •Načrti za izvedbo ter ureditev spremljanja, ocenjevanja in poročanja Komisija bo spremljala izvajanje in uporabo teh novih določb ter skladnost z njimi, da oceni njihovo uspešnost. V skladu z uredbo bo morala opraviti oceno in revizijo uredbe ter Evropskemu parlamentu in Svetu v 36 mesecih od datuma začetka njene uporabe, nato pa vsaka štiri leta predložiti javno poročilo v zvezi s tem. •Natančnejša pojasnitev posameznih določb predloga Splošne določbe (poglavje I) Predlagana uredba določa (a) pravila za dajanje izdelkov z digitalnimi elementi na trg za zagotovitev njihove kibernetske varnosti; (b) bistvene zahteve za zasnovo, razvoj in proizvodnjo izdelkov z digitalnimi elementi ter obveznosti gospodarskih subjektov v zvezi s kibernetsko varnostjo teh izdelkov; (c) bistvene zahteve za postopke obravnavanja ranljivosti, ki jih vzpostavijo proizvajalci, za zagotovitev kibernetske varnosti izdelkov z digitalnimi elementi v celotnem življenjskem ciklu ter obveznosti gospodarskih subjektov v zvezi s temi postopki; (d) pravila o nadzoru trga ter izvrševanju navedenih pravil in zahtev. Predlagana uredba se bo uporabljala za vse izdelke z digitalnimi elementi, katerih predvidena in razumno predvidljiva uporaba vključuje neposredno ali posredno logično ali fizično podatkovno povezavo z napravo ali omrežjem. Predlagana uredba se ne bo uporabljala za izdelke z digitalnimi elementi, ki spadajo na področje uporabe Uredbe (EU) 2017/745 [medicinski pripomočki za uporabo v humani medicini in dodatki zanje] in Uredbe (EU) 2017/746 [in vitro diagnostični medicinski pripomočki za uporabo v humani medicini in dodatki zanje], saj obe uredbi vsebujeta zahteve glede naprav, vključno s programsko opremo, in splošne obveznosti proizvajalcev, ki zajemajo celotni življenjski cikel izdelkov, ter postopke ugotavljanja skladnosti. Ta uredba se ne bo uporabljala za izdelke z digitalnimi elementi, certificirane v skladu z Uredbo (EU) 2018/1139 [visoka enotna raven varnosti v civilnem letalstvu], niti za izdelke, za katere se uporablja Uredba (EU) 2019/2144 [o zahtevah za homologacijo motornih vozil in njihovih priklopnikov ter sistemov, sestavnih delov in samostojnih tehničnih enot, namenjenih za taka vozila]. Za kritične izdelke z digitalnimi elementi se bodo uporabljali specifični postopki ugotavljanja skladnosti, poleg tega pa bodo taki izdelki razdeljeni v razreda I in II, kot sta določena v Prilogi III, da se izrazi njihova raven tveganja za kibernetsko varnost, pri čemer je tveganje večje pri izdelkih v razredu II. Izdelek z digitalnimi elementi velja za kritičnega in je zato vključen v Prilogo III na podlagi vpliva morebitnih ranljivosti na področju kibernetske varnosti, povezanih z njim. Pri ugotavljanju tveganja za kibernetsko varnost se upoštevata funkcionalnost izdelka z digitalnimi elementi, povezana s kibernetsko varnostjo, in predvidena uporaba v občutljivih okoljih, kot je industrijsko. Na Komisijo se prenese tudi pooblastilo za sprejemanje delegiranih aktov za dopolnitev te uredbe z določitvijo kategorij zelo kritičnih izdelkov z digitalnimi elementi, za katere bodo morali proizvajalci pridobiti evropski certifikat kibernetske varnosti na podlagi evropske certifikacijske sheme kibernetske varnosti, da dokažejo skladnost z bistvenimi zahtevami iz Priloge I ali njihovimi deli. Komisija pri določanju takih kategorij zelo kritičnih izdelkov z digitalnimi elementi upošteva raven tveganja za kibernetsko varnost, povezano s kategorijo izdelkov z digitalnimi elementi, glede na eno ali več meril, ki se upoštevajo za uvrstitev kritičnih izdelkov z digitalnimi elementi v Prilogo III, ter glede na presojo, ali navedeno kategorijo izdelkov uporabljajo ali se nanjo zanašajo bistveni subjekti iz Priloge [Priloge I] k Direktivi [Direktiva XXX/XXXX (NIS2)] oziroma bo morda pomembna za dejavnosti navedenih subjektov v prihodnosti, ali je pomembna za odpornost celotne oskrbovalne verige izdelkov z digitalnimi elementi proti dogodkom, ki povzročajo motnje. Obveznosti gospodarskih subjektov (poglavje II) Predlog vključuje obveznosti za proizvajalce, uvoznike in distributerje na podlagi referenčnih določb iz Sklepa št. 768/2008/ES. V skladu z bistvenimi zahtevami in obveznostmi glede kibernetske varnosti so lahko vsi izdelki z digitalnimi elementi dostopni na trgu samo, če izpolnjujejo bistvene zahteve glede kibernetske varnosti iz te uredbe, kadar se ustrezno dobavijo, pravilno namestijo, vzdržujejo in uporabljajo za njihov predvideni namen ali pod razumno predvidljivimi pogoji.

V skladu z bistvenimi zahtevami in obveznostmi bi se od izdelovalcev zahtevalo, da upoštevajo kibernetsko varnost pri zasnovi in razvoju ter proizvodnji izdelkov z digitalnimi elementi, izvajajo potrebno skrbnost v zvezi z varnostnimi vidiki pri zasnovi in razvoju svojih izdelkov, zagotovijo preglednost v zvezi z vidiki kibernetske varnosti, o katerih je treba obvestiti stranke, zagotovijo podporo za varnost (posodobitve) na sorazmeren način in izpolnijo zahteve glede obravnavanja ranljivosti. Za gospodarske subjekte od izdelovalcev do distributerjev in uvoznikov bi se določile obveznosti v zvezi z dajanjem izdelkov z digitalnimi elementi na trg, ki ustrezajo njihovi vlogi in odgovornostim v oskrbovalni verigi. Skladnost izdelkov z digitalnimi elementi (poglavje III) Za izdelek z digitalnimi elementi, ki je skladen s harmoniziranimi standardi ali njihovimi deli, na katere so bili objavljeni sklici v Uradnem listu Evropske unije, se domneva, da izpolnjuje bistvene zahteve iz te predlagane uredbe. Če harmonizirani standardi ne obstajajo ali so nezadostni ali če se pri postopku standardizacije pojavijo neupravičene zamude ali evropske organizacije za standardizacijo ne sprejmejo zahteve Komisije, lahko Komisija z izvedbenimi akti sprejme skupne specifikacije. Poleg tega se za izdelke z digitalnimi elementi, ki so bili certificirani ali za katere sta bila izdana izjava EU o skladnosti ali certifikat v okviru evropske certifikacijske sheme kibernetske varnosti v skladu z Uredbo (EU) 2019/881 in za katere je Komisija z izvedbenim aktom določila, da lahko oblikuje domnevo o skladnosti za to uredbo, domneva, da izpolnjujejo bistvene zahteve iz te uredbe ali njihove dele, če izjava EU o skladnosti ali certifikat kibernetske varnosti ali del izjave oziroma certifikata zajema navedene zahteve. Poleg tega bi morala Komisija za preprečitev nepotrebnega upravnega bremena za proizvajalce po potrebi navesti, ali se s certifikatom kibernetske varnosti, izdanim v okviru take evropske certifikacijske sheme kibernetske varnosti, odpravi obveznost izdelovalcev, da za ustrezne zahteve zagotovijo ugotavljanje skladnosti, ki ga opravi tretja oseba, kot je določeno v tej uredbi. Proizvajalec opravi ugotavljanje skladnosti izdelka z digitalnimi elementi in postopke obravnavanja ranljivosti, ki jih je vzpostavil za dokazovanje skladnosti z bistvenimi zahtevami iz Priloge I, v skladu z enim od postopkov iz Priloge VI. Proizvajalci kritičnih izdelkov iz razredov I in II uporabljajo zadevne module, potrebne za skladnost. Proizvajalci kritičnih izdelkov iz razreda II morajo v ugotavljanje skladnosti vključiti tretjo osebo. Priglasitev organov za ugotavljanje skladnosti (poglavje IV) Ustrezno delovanje priglašenih organov je ključno za zagotavljanje visoke ravni kibernetske varnosti in za zaupanje vseh zainteresiranih strani v sistem po Novem pristopu. Zato predlog v skladu s Sklepom št. 768/2008/ES določa zahteve za nacionalne organe, pristojne za organe za ugotavljanje skladnosti (priglašene organe). Tako so za imenovanje in spremljanje priglašenih organov končno pristojne države članice. Te imenujejo priglasitveni organ, ki je pristojen za vzpostavitev in izvajanje postopkov, potrebnih za oceno in priglasitev organov za ugotavljanje skladnosti ter spremljanje priglašenih organov. Nadzor trga in izvrševanje (poglavje V) V skladu z Uredbo (EU) 2019/1020 nacionalni organi za nadzor trga izvajajo nadzor trga na ozemlju zadevne države članice. Države članice lahko za opravljanje nalog organa za nadzor trga imenujejo kateri koli obstoječi ali nov organ, vključno s pristojnimi nacionalnimi organi iz člena [člen X] Direktive [Direktiva XXX/XXXX (NIS2)] ali imenovanimi nacionalnimi certifikacijskimi organi za kibernetsko varnost iz člena 58 Uredbe (EU) 2019/881. Od gospodarskih subjektov se zahteva, da v celoti sodelujejo z organi za nadzor trga in drugimi pristojnimi organi. Prenesena pooblastila in postopki v odboru (poglavje VI) Za zagotovitev, da se lahko regulativni okvir po potrebi prilagodi, se na Komisijo v skladu s členom 290 PDEU prenese pooblastilo za sprejemanje aktov za posodobitev seznama kritičnih izdelkov iz razredov I in II ter določitev opredelitev teh izdelkov; določitev, ali je za izdelke z digitalnimi elementi, zajete z drugimi pravili Unije, ki določajo zahteve, s katerimi se doseže enaka raven varstva kot s to uredbo, potrebna omejitev ali izključitev; določitev obveznosti certificiranja nekaterih zelo kritičnih izdelkov z digitalnimi elementi na podlagi meril iz te uredbe; določitev minimalne vsebine izjave EU o skladnosti in dopolnitev elementov, ki se vključijo v tehnično dokumentacijo. Na Komisijo se prenese tudi pooblastilo za sprejemanje izvedbenih aktov za: določitev oblike ali elementov obveznosti poročanja in kosovnice za programsko opremo; določitev evropskih certifikacijskih shem kibernetske varnosti, ki se lahko uporabljajo za dokazovanje skladnosti z bistvenimi zahtevami ali njihovimi deli, kakor so določeni v tej uredbi; sprejetje skupnih specifikacij; določitev tehničnih specifikacij za namestitev oznake CE; sprejetje popravnih ali omejevalnih ukrepov na ravni Unije v izjemnih okoliščinah, ki upravičujejo takojšnje ukrepanje za ohranitev dobrega delovanja notranjega trga. Zaupnost in kazni (poglavje VII) Vse strani, ki uporabljajo to uredbo, spoštujejo zaupnost informacij in podatkov, ki jih pridobijo med opravljanjem nalog in dejavnosti. Za zagotovitev učinkovitega izvrševanja obveznosti iz te uredbe bi moral biti vsak organ za nadzor trga pooblaščen, da naloži ali zahteva naložitev upravnih glob. Podobno ta uredba določa najvišje zneske upravnih glob, ki bi jih bilo treba določiti v nacionalni zakonodaji za neizpolnjevanje obveznosti iz te uredbe. Prehodne in končne določbe (poglavje VIII) Da bi imeli proizvajalci, priglašeni organi in države članice čas, da se prilagodijo novim zahtevam, se bo predlagana uredba začela uporabljati [24 mesecev] po začetku njene veljavnosti, razen obveznosti poročanja za proizvajalce, ki bi se začele uporabljati [12 mesecev] po datumu začetka veljavnosti.





2022/0272 (COD) Predlog UREDBA EVROPSKEGA PARLAMENTA IN SVETA o horizontalnih zahtevah glede kibernetske varnosti za izdelke z digitalnimi elementi in spremembi Uredbe (EU) 2019/1020 (Besedilo velja za EGP) EVROPSKI PARLAMENT IN SVET EVROPSKE UNIJE STA – ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 114 Pogodbe, ob upoštevanju predloga Evropske komisije, po posredovanju osnutka zakonodajnega akta nacionalnim parlamentom, ob upoštevanju mnenja Evropskega ekonomsko-socialnega odbora, ob upoštevanju mnenja Odbora regij, v skladu z rednim zakonodajnim postopkom, ob upoštevanju naslednjega: (1)Delovanje notranjega trga je treba izboljšati z določitvijo enotnega pravnega okvira za bistvene zahteve glede kibernetske varnosti za dajanje izdelkov z digitalnimi elementi na trg Unije. Obravnavati bi bilo treba dve glavni težavi, zaradi katerih imajo uporabniki in družba dodatne stroške: nizko raven kibernetske varnosti izdelkov z digitalnimi elementi, ki se odraža v splošno razširjenih ranljivostih ter nezadostnem in nedoslednem zagotavljanju varnostnih posodobitev za njihovo odpravljanje, ter nezadostno razumevanje in nezadosten dostop uporabnikov do informacij, ki preprečujeta izbiro izdelkov z ustreznimi lastnostmi kibernetske varnosti ali njihovo varno uporabo. (2)Namen te uredbe je določiti mejne pogoje za razvoj varnih izdelkov z digitalnimi elementi z zagotovitvijo, da se na trg dajejo izdelki strojne in programske opreme z manj ranljivostmi ter da proizvajalci v celotnem življenjskem ciklu izdelka resno obravnavajo vprašanje varnosti. Poleg tega je njen namen ustvariti pogoje, ki uporabnikom omogočajo upoštevanje kibernetske varnosti pri izbiri in uporabi izdelkov z digitalnimi elementi. (3)Trenutno veljavna ustrezna zakonodaja Unije obsega več sklopov horizontalnih pravil, ki z različnih zornih kotov obravnavajo določene vidike, povezane s kibernetsko varnostjo, vključno z ukrepi za izboljšanje varnosti digitalne oskrbovalne verige. Vendar obstoječa zakonodaja Unije v zvezi s kibernetsko varnostjo, vključno z Direktivo [Direktiva XXX/XXXX (NIS2)] in Uredbo (EU) 2019/881 Evropskega parlamenta in Sveta, ne zajema neposredno obveznih zahtev za varnost izdelkov z digitalnimi elementi. (4)Medtem ko se obstoječa zakonodaja Unije uporablja za nekatere izdelke z digitalnimi elementi, horizontalnega regulativnega okvira Unije, ki določa celovite zahteve glede kibernetske varnosti za vse izdelke z digitalnimi elementi, ni. Z različnimi akti in pobudami, ki so bili doslej sprejeti na ravni Unije in nacionalni ravni, se le delno obravnavajo ugotovljene težave in tveganja, povezana s kibernetsko varnostjo, pri čemer ustvarjajo zakonodajni mozaik na notranjem trgu, povečujejo pravno negotovost za proizvajalce in uporabnike teh izdelkov ter dodajajo nepotrebno breme za podjetja zaradi izpolnjevanja številnih zahtev za podobne vrste izdelkov. Kibernetska varnost teh izdelkov ima posebno jasno čezmejno razsežnost, saj izdelke, izdelane v eni državi, pogosto uporabljajo organizacije in potrošniki na celotnem notranjem trgu. Zato je treba to področje urejati na ravni Unije. Regulativno okolje Unije bi bilo treba uskladiti z uvedbo zahtev glede kibernetske varnosti za izdelke z digitalnimi elementi. Poleg tega bi bilo treba zagotoviti varnost za gospodarske subjekte in uporabnike po vsej Uniji ter boljšo uskladitev enotnega trga, s tem pa ustvariti bolj uresničljive pogoje za gospodarske subjekte, ki si prizadevajo vstopiti na trg Unije. (5)Na ravni Unije so različni programski in politični dokumenti, kakor so strategija EU za kibernetsko varnost v digitalnem desetletju, sklepi Sveta z dne 2. decembra 2020 in z dne 23. maja 2022 ali resolucija Evropskega parlamenta z dne 10. junija 2021, vključevali poziv k uvedbi specifičnih zahtev Unije glede kibernetske varnosti za digitalne ali povezane izdelke, pri čemer je več držav z vsega sveta na lastno pobudo uvedlo ukrepe za obravnavo tega vprašanja. V končnem poročilu Konference o prihodnosti Evrope so državljani pozvali k „večji vlogi EU pri preprečevanju kibernetskih groženj“. (6)Za izboljšanje splošne ravni kibernetske varnosti vseh izdelkov z digitalnimi elementi, danih na notranji trg, je treba za te izdelke uvesti tehnološko nevtralne bistvene zahteve glede kibernetske varnosti, usmerjene v cilje, ki se uporabljajo horizontalno. (7)Pod določenimi pogoji se lahko vsi izdelki z digitalnimi elementi, vgrajeni v večji elektronski informacijski sistem ali povezani z njim, uporabijo kot napadni vektor za zlonamerne akterje. Tako lahko tudi strojna in programska oprema, ki velja za manj kritično, olajša prvotno ogrožanje naprave ali omrežja in zlonamernim akterjem omogoči, da pridobijo privilegiran dostop do sistema ali se pomikajo lateralno med sistemi. Zato bi morali proizvajalci zagotoviti, da se vsi izdelki z digitalnimi elementi in možnostjo povezave načrtujejo in razvijajo v skladu z bistvenimi zahtevami iz te uredbe. To vključuje izdelke z možnostjo fizične povezave prek vmesniške strojne opreme in izdelke z možnostjo logične povezave, na primer prek omrežnih vtičnic, cevovodov, datotek, vmesnikov za aplikacijsko programje ali katere koli druge vrste programskih vmesnikov. Kibernetske grožnje se lahko širijo prek različnih izdelkov z digitalnimi elementi, dokler ne dosežejo določenega cilja, na primer s povezovanjem več izrab ranljivosti, zato bi morali proizvajalci zagotoviti tudi kibernetsko varnost izdelkov, ki so zgolj posredno povezani z drugimi napravami ali omrežji.

(8)Z določitvijo zahtev glede kibernetske varnosti za dajanje izdelkov z digitalnimi elementi na trg se bo izboljšala kibernetska varnost teh izdelkov za potrošnike in podjetja. To vključuje tudi zahteve za dajanje potrošniških izdelkov z digitalnimi elementi, ki so namenjeni ranljivim potrošnikom, kakor so igrače in elektronske varuške, na trg. (9)Ta uredba zagotavlja visoko raven kibernetske varnosti izdelkov z digitalnimi elementi. Z njo se ne urejajo storitve, kot je programska oprema kot storitev, razen rešitev za daljinsko obdelavo podatkov v zvezi z izdelkom z digitalnimi elementi, pri čemer daljinska obdelava podatkov pomeni vsako obdelavo podatkov na daljavo, za katero je programsko opremo zasnoval in razvil proizvajalec zadevnega izdelka ali je bila zasnovana in razvita pod njegovo odgovornostjo ter brez katere zadevni izdelek z digitalnimi elementi ne bi mogel opravljati ene od svojih funkcij. [Direktiva XXX/XXXX (NIS2)] določa zahteve glede poročanja o kibernetski varnosti in incidentih za bistvene in pomembne subjekte, kot je kritična infrastruktura, da bi se izboljšala odpornost storitev, ki jih zagotavljajo. [Direktiva XXX/XXXX (NIS2)] se uporablja za storitve računalništva v oblaku in modele storitev v oblaku, kot je programska oprema kot storitev. Na njeno področje uporabe spadajo vsi subjekti, ki zagotavljajo storitve računalništva v oblaku v Uniji in dosegajo ali presegajo prag za srednja podjetja. (10)Da se ne bi ovirale inovacije ali raziskave, se ta uredba ne bi smela uporabljati za prosto in odprtokodno programsko opremo, ki se ne razvija ali dobavlja v okviru gospodarske dejavnosti. To zlasti velja za programsko opremo, vključno z njeno izvorno kodo in spremenjenimi različicami, ki je prosto dostopna vsem, je za prosto uporabo ter jo je mogoče spremeniti in ponovno distribuirati. V zvezi s programsko opremo je lahko za gospodarsko dejavnost poleg zaračunavanja cene za izdelek značilno tudi zaračunavanje cene za storitve tehnične podpore, zagotavljanje platforme programske opreme, prek katere proizvajalec monetizira druge storitve, ali uporaba osebnih podatkov za druge namene kot izključno za izboljšanje varnosti, združljivosti ali interoperabilnosti programske opreme. (11)Varen internet je nepogrešljiv za delovanje kritične infrastrukture in družbe kot celote. [Direktiva XXX/XXXX (NIS2)] je namenjena zagotovitvi visoke ravni kibernetske varnosti storitev, ki jih opravljajo bistveni in pomembni subjekti, vključno s ponudniki digitalne infrastrukture, ki podpirajo osnovne funkcije odprtega interneta ter zagotavljajo dostop do interneta in internetne storitve. Zato je pomembno, da se izdelki z digitalnimi elementi, ki jih ponudniki digitalne infrastrukture potrebujejo za zagotavljanje delovanja interneta, razvijajo varno in dosegajo uveljavljene standarde internetne varnosti. Ta uredba, ki se uporablja za vse izdelke strojne in programske opreme z možnostjo povezave, je namenjena tudi olajšanju skladnosti ponudnikov digitalne infrastrukture z zahtevami glede oskrbovalne verige na podlagi Direktive [Direktiva XXX/XXXX (NIS2)] z zagotavljanjem varnega razvoja izdelkov z digitalnimi elementi, ki jih navedeni ponudniki uporabljajo za zagotavljanje svojih storitev, in njihovega dostopa do pravočasnih varnostnih posodobitev za take izdelke. (12)Uredba (EU) 2017/745 Evropskega parlamenta in Sveta določa pravila o medicinskih pripomočkih, Uredba (EU) 2017/746 Evropskega parlamenta in Sveta pa pravila o in vitro diagnostičnih medicinskih pripomočkih. Z obema uredbama se obravnavajo tveganja za kibernetsko varnost in upoštevajo posebni pristopi, ki so obravnavani tudi v tej uredbi. Natančneje, uredbi (EU) 2017/745 in (EU) 2017/746 določata bistvene zahteve za medicinske pripomočke, ki delujejo prek elektronskega sistema ali so sami programska oprema. Zajemata tudi nekatere vrste nevgrajene programske opreme in pristop na podlagi celotnega življenjskega cikla. V skladu s temi zahtevami morajo proizvajalci pri razvoju in izdelavi svojih izdelkov uporabljati načela obvladovanja tveganja in določiti zahteve za varnostne ukrepe v zvezi z IT ter ustrezne postopke ugotavljanja skladnosti. Poleg tega so od decembra 2019 na voljo posebne smernice o kibernetski varnosti medicinskih pripomočkov, ki proizvajalcem medicinskih pripomočkov, vključno z in vitro diagnostičnimi pripomočki, zagotavljajo navodila za izpolnjevanje vseh ustreznih bistvenih zahtev iz prilog I k navedenima uredbama v zvezi s kibernetsko varnostjo. Zato se ta uredba ne bi smela uporabljati za izdelke z digitalnimi elementi, za katere se uporablja katera koli od navedenih uredb. (13)Uredba (EU) 2019/2144 Evropskega parlamenta in Sveta določa zahteve za homologacijo vozil ter njihovih sistemov in sestavnih delov, pri čemer uvaja nekatere zahteve glede kibernetske varnosti, med drugim glede delovanja certificiranega sistema za upravljanje kibernetske varnosti in posodobitev programske opreme, zajema politike in postopke organizacij za kibernetska tveganja, povezana s celotnim življenjskim ciklom vozil, opreme in storitev, v skladu z veljavnimi pravilniki Združenih narodov o tehničnih specifikacijah in kibernetski varnosti ter določa posebne postopke ugotavljanja skladnosti. Na področju letalstva je glavni cilj Uredbe (EU) 2018/1139 Evropskega parlamenta in Sveta vzpostaviti in ohranjati visoko enotno raven varnosti v civilnem letalstvu v Uniji. Z njo je vzpostavljen okvir za bistvene zahteve glede plovnosti za aeronavtične izdelke, dele, opremo, vključno s programsko opremo, pri katerih se upoštevajo obveznosti zaščite pred tveganji za varnost informacij. Zato se bistvene zahteve in postopki ugotavljanja skladnosti iz te uredbe ne uporabljajo za izdelke z digitalnimi elementi, za katere se uporablja Uredba (EU) 2019/2144, in izdelke, certificirane v skladu z Uredbo (EU) 2018/1139. S postopkom certificiranja na podlagi Uredbe (EU) 2018/1139 se zagotovi raven zanesljivosti, ki je cilj te uredbe. (14)Ta uredba določa horizontalna pravila glede kibernetske varnosti, ki niso specifična za posamezne sektorje ali izdelke z digitalnimi elementi. Ne glede na to se lahko uvedejo sektorska pravila Unije ali pravila Unije za posamezne izdelke, s katerimi se določijo zahteve, ki se nanašajo na vsa ali nekatera tveganja, zajeta z bistvenimi zahtevami iz te uredbe. V takih primerih se lahko uporaba te uredbe za izdelke z digitalnimi elementi, zajete z drugimi pravili Unije, s katerimi so določene zahteve, ki se nanašajo na vsa ali nekatera tveganja, zajeta z bistvenimi zahtevami iz Priloge I k tej uredbi, omeji ali izključi, če je taka omejitev ali izključitev v skladu s splošnim regulativnim okvirom, ki se uporablja za navedene izdelke, in se s sektorskimi pravili doseže enaka raven varstva, kot je določena s to uredbo. Na Komisijo se prenese pooblastilo za sprejemanje delegiranih aktov za spremembo te uredbe z opredelitvijo takih izdelkov in pravil. Ta uredba za obstoječo zakonodajo Unije, v zvezi s katero bi se morale uporabljati take omejitve ali izključitve, vsebuje posebne določbe za pojasnitev njene povezave z navedeno zakonodajo Unije. (15)Delegirana uredba Komisije (EU) 2022/30 določa, da se bistvene zahteve iz člena 3(3), točke (d) (škoda za omrežje in zloraba omrežnih virov), (e) (osebni podatki in zasebnost) in (f) (goljufije), Direktive 2014/53/EU uporabljajo za določeno radijsko opremo. [Izvedbeni sklep Komisije XXX/2022 o zahtevi za standardizacijo evropskim organizacijam za standardizacijo] določa zahteve za razvoj posebnih standardov, s katerimi je podrobneje določeno, kako bi bilo treba obravnavati te tri bistvene zahteve. Bistvene zahteve iz te uredbe vključujejo vse elemente bistvenih zahtev iz člena 3(3), točke (d), (e) in (f), Direktive 2014/53/EU. Poleg tega so bistvene zahteve iz te uredbe usklajene s cilji zahtev za posebne standarde, vključene v navedeno zahtevo za standardizacijo. Če torej Komisija razveljavi ali spremeni Delegirano uredbo Komisije (EU) 2022/30 in se navedena delegirana uredba zato preneha uporabljati za nekatere izdelke, za katere se uporablja ta uredba, bi morale Komisija in evropske organizacije za standardizacijo pri pripravi in razvoju harmoniziranih standardov za olajšanje izvajanja te uredbe upoštevati delo za standardizacijo, opravljeno v okviru Izvedbenega sklepa Komisije C(2022) 5637 o zahtevi za standardizacijo za Delegirano uredbo (EU) 2022/30, sprejeto na podlagi direktive o radijski opremi. (16)Direktiva 85/374/ES dopolnjuje to uredbo. Navedena direktiva določa pravila o odgovornosti za izdelke z napako, da lahko oškodovanci zahtevajo odškodnino za škodo, ki jo povzročijo izdelki z napako. Določa načelo, da je proizvajalec izdelka odgovoren za škodo, nastalo zaradi pomanjkanja varnosti njegovega izdelka, ne glede na krivdo (objektivna odgovornost). Kadar tako pomanjkanje varnosti vključuje neobstoj varnostnih posodobitev po dajanju izdelka na trg in zaradi tega nastane škoda, se lahko uveljavlja odgovornost proizvajalca. V tej uredbi bi bilo treba določiti obveznosti izdelovalcev, ki se nanašajo na zagotavljanje takih varnostnih posodobitev. (17)Ta uredba ne bi smela posegati v Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta, vključno z določbami za uvedbo mehanizmov certificiranja za varstvo podatkov ter pečatov in označb za varstvo podatkov, namenjenih dokazovanju, da so dejanja obdelave s strani upravljavcev in obdelovalcev v skladu z navedeno uredbo. Taka dejanja so lahko vključena v izdelek z digitalnimi elementi. Vgrajeno in privzeto varstvo podatkov ter kibernetska varnost na splošno so ključni elementi Uredbe (EU) 2016/679. Bistvene zahteve glede kibernetske varnosti iz te uredbe naj bi z zaščito potrošnikov in organizacij pred tveganji za kibernetsko varnost prispevale tudi k izboljšanju varstva osebnih podatkov in zasebnosti posameznikov. V okviru sodelovanja med Komisijo, evropskimi organizacijami za standardizacijo, Agencijo Evropske unije za kibernetsko varnost (ENISA), Evropskim odborom za varstvo podatkov (EOVP), ustanovljenim z Uredbo (EU) 2016/679, in nacionalnimi nadzornimi organi za varstvo podatkov bi bilo treba obravnavati sinergije glede standardizacije in certificiranja v zvezi z vidiki kibernetske varnosti. Poleg tega bi bilo treba ustvariti sinergije med to uredbo in zakonodajo Unije o varstvu podatkov na področju nadzora trga in izvrševanja. V ta namen bi morali nacionalni organi za nadzor trga, imenovani na podlagi te uredbe, sodelovati z organi, pristojnimi za nadzor zakonodaje Unije o varstvu podatkov. Slednji bi morali imeti tudi dostop do informacij, pomembnih za opravljanje njihovih nalog. (18)Izdajatelji evropske denarnice za digitalno identiteto iz člena [člen 6a(2) Uredbe (EU) št. 910/2014, kakor je bila spremenjena s predlogom uredbe o spremembi Uredbe (EU) št. 910/2014 v zvezi z vzpostavitvijo okvira za evropsko digitalno identiteto] bi morali izpolnjevati horizontalne bistvene zahteve iz te uredbe in posebne varnostne zahteve, določene s členom [člen 6a Uredbe (EU) št. 910/2014, kakor je bila spremenjena s predlogom uredbe o spremembi Uredbe (EU) št. 910/2014 v zvezi z vzpostavitvijo okvira za evropsko digitalno identiteto], če njihovi izdelki spadajo na področje uporabe te uredbe. Za olajšanje zagotavljanja skladnosti bi morali imeti izdajatelji denarnice možnost, da dokažejo skladnost evropskih denarnic za digitalno identiteto z zahtevami iz obeh aktov s certificiranjem svojih izdelkov v okviru evropske certifikacijske sheme kibernetske varnosti, vzpostavljene na podlagi Uredbe (EU) 2019/881, za katero je Komisija z izvedbenim aktom oblikovala domnevo o skladnosti za to uredbo, kolikor certifikat ali njegovi deli zajemajo navedene zahteve. (19)Nekatere naloge iz te uredbe bi morala opravljati agencija ENISA v skladu s členom 3(2) Uredbe (EU) 2019/881. Zlasti bi morala agencija ENISA prejemati uradna obvestila izdelovalcev o aktivno izrabljenih ranljivostih v izdelkih z digitalnimi elementi in incidentih, ki vplivajo na varnost navedenih izdelkov. Ta uradna obvestila bi morala tudi posredovati zadevnim skupinam za odzivanje na incidente na področju računalniške varnosti (CSIRT) oziroma zadevnim enotnim kontaktnim točkam držav članic, imenovanim v skladu s členom [člen X] Direktive [Direktiva XXX/XXXX (NIS2)], ter o sporočeni ranljivosti obvestiti ustrezne organe za nadzor trga. Agencija ENISA bi morala na podlagi informacij, ki jih zbere, pripraviti dvoletno tehnično poročilo o novih trendih glede tveganj za kibernetsko varnost pri izdelkih z digitalnimi elementi in ga predložiti skupini za sodelovanje iz Direktive [Direktiva XXX/XXXX (NIS2)]. Poleg tega bi morala biti glede na svoje strokovno znanje in mandat sposobna podpirati postopek za izvajanje te uredbe. Zlasti bi morala biti zmožna predlagati skupne dejavnosti organov za nadzor trga na podlagi znakov ali informacij v zvezi z morebitno neskladnostjo izdelkov z digitalnimi elementi s to uredbo v več državah članicah ali opredeliti kategorije izdelkov, za katere bi bilo treba organizirati sočasne usklajene kontrolne ukrepe. Agencija ENISA bi morala biti sposobna v izjemnih okoliščinah na zahtevo Komisije opraviti ocene v zvezi s posameznimi izdelki z digitalnimi elementi, ki pomenijo povečano tveganje za kibernetsko varnost, če je potrebno takojšnje ukrepanje, da se ohrani dobro delovanje notranjega trga. (20)Izdelki z digitalnimi elementi bi morali imeti oznako CE, ki označuje njihovo skladnost s to uredbo, da se omogoči njihov prosti pretok na notranjem trgu. Države članice ne bi smele neupravičeno ovirati dajanja na trg izdelkov z digitalnimi elementi, ki izpolnjujejo zahteve iz te uredbe in imajo oznako CE. (21)Da bi lahko proizvajalci pred ugotavljanjem skladnosti njihovih izdelkov izdali programsko opremo za namene preskušanja, države članice ne bi smele preprečiti dostopnosti nedokončane programske opreme, kakor so alfa ali beta različice ali predizdaje, če je zadevna različica dostopna samo za obdobje, potrebno za njeno preskušanje in zbiranje povratnih informacij. Proizvajalci bi morali zagotoviti, da se programska oprema, do katere zagotovijo dostop pod temi pogoji, izda šele po oceni tveganja in da v čim večjem obsegu izpolnjuje varnostne zahteve v zvezi z lastnostmi izdelkov z digitalnimi elementi, določene s to uredbo. Poleg tega bi morali v čim večjem obsegu izpolnjevati zahteve glede obravnavanja ranljivosti. Proizvajalci uporabnikov ne bi smeli prisiliti, da svoje izdelke nadgradijo na različice, izdane samo za namene preskušanja. (22)Za zagotovitev, da izdelki z digitalnimi elementi, dani na trg, ne pomenijo tveganja za kibernetsko varnost za osebe in organizacije, bi bilo treba za take izdelke določiti bistvene zahteve. Ko se izdelki pozneje fizično ali digitalno spremenijo na način, ki ga izdelovalec ni predvidel in ki bi lahko pomenil, da ne izpolnjujejo več ustreznih bistvenih zahtev, bi bilo treba spremembo šteti za bistveno. Na primer, posodobitve ali popravila programske opreme se lahko štejejo za enakovredne vzdrževalnim postopkom, če izdelka, ki je že na trgu, ne spremenijo tako, da bi to vplivalo na skladnost z veljavnimi zahtevami ali da bi se lahko spremenila predvidena uporaba, za katero je bil izdelek ocenjen. Podobno kot pri fizičnih popravilih ali spremembah bi bilo treba šteti, da je izdelek z digitalnimi elementi bistveno spremenjen s spremembo programske opreme, če se s posodobitvijo programske opreme spremenijo prvotno predvidene funkcije, vrsta ali delovanje izdelka in te spremembe niso bile predvidene v začetni oceni tveganja ali če se zaradi posodobitve programske opreme spremeni narava nevarnosti ali poviša raven tveganja. (23)V skladu s splošno uveljavljenim pojmom bistvene spremembe za izdelke, ki jih ureja harmonizacijska zakonodaja Unije, je primerno, da se za izdelek z digitalnimi elementi ob vsaki bistveni spremembi, ki bi lahko vplivala na skladnost izdelka s to uredbo, ali ob spremembi predvidenega namena navedenega izdelka preveri skladnost izdelka z digitalnimi elementi in po potrebi izvede novo ugotavljanje skladnosti. Če proizvajalec opravi ugotavljanje skladnosti, pri katerem sodeluje tretja oseba, bi bilo treba tretjo osebo obvestiti o spremembah, ki lahko pomenijo bistvene spremembe. (24)Prenovitev, vzdrževanje in popravilo izdelka z digitalnimi elementi, kakor so opredeljeni v Uredbi [uredba o okoljsko primerni zasnovi], ne povzročijo nujno bistvene spremembe izdelka, če se na primer predvidena uporaba in funkcije ter raven tveganja ne spremenijo. Nadgradnja izdelka, ki jo izvede proizvajalec, pa lahko povzroči spremembe zasnove in razvoja izdelka ter tako vpliva na predvideno uporabo in skladnost izdelka z zahtevami iz te uredbe. (25)Izdelke z digitalnimi elementi bi bilo treba šteti za kritične, če je lahko negativni vpliv izrabljanja morebitnih ranljivosti izdelka v zvezi s kibernetsko varnostjo resen, na primer zaradi funkcij, povezanih s kibernetsko varnostjo, ali predvidene uporabe. Zlasti lahko ranljivosti izdelkov z digitalnimi elementi, ki vključujejo funkcije, povezane s kibernetsko varnostjo, kakor so varnostni elementi, povzročijo širjenje varnostnih težav po vsej oskrbovalni verigi. Poleg tega se lahko resnost vpliva kibernetskega incidenta poveča, če se upošteva predvidena uporaba izdelka, na primer v industrijskem okolju ali v okviru bistvenega subjekta iz Priloge [Priloga I] k Direktivi [Direktiva XXX/XXXX (NIS2)] ali za opravljanje kritičnih ali občutljivih funkcij, kot je obdelava osebnih podatkov. (26)Za kritične izdelke z digitalnimi elementi bi se morali uporabljati strožji postopki ugotavljanja skladnosti, pri čemer bi bilo treba ohraniti sorazmeren pristop. V ta namen bi bilo treba kritične izdelke z digitalnimi elementi razdeliti v dva razreda, da se izrazi raven tveganja za kibernetsko varnost, povezana s temi kategorijami izdelkov. Morebiten kibernetski incident v zvezi z izdelki iz razreda II bi lahko imel večje negativne učinke kot incident v zvezi z izdelki iz razreda I, na primer zaradi narave njihove funkcije, povezane s kibernetsko varnostjo, ali predvidene uporabe v občutljivih okoljih, zato bi se moral v zvezi s takimi izdelki izvajati strožji postopek ugotavljanja skladnosti. (27)Kategorije kritičnih izdelkov z digitalnimi elementi iz Priloge III k tej uredbi bi bilo treba razumeti kot izdelke z osnovnimi funkcijami, ki spadajo med osnovne funkcije, navedene v Prilogi III k tej uredbi. Na primer, v Prilogi III k tej uredbi so v razredu II navedeni izdelki, ki so na podlagi svoje osnovne funkcije opredeljeni kot mikroprocesorji za splošno uporabo. Zato se v zvezi z mikroprocesorji za splošno uporabo izvaja obvezno ugotavljanje skladnosti, ki ga opravi tretja oseba. To ne velja za druge izdelke, ki niso izrecno navedeni v Prilogi III k tej uredbi in v katere se lahko vgradi mikroprocesor za splošno uporabo. Komisija bi morala v [12 mesecih od začetka veljavnosti te uredbe] sprejeti delegirane akte za opredelitev kategorij izdelkov, vključenih v razreda I in II, kot sta navedena v Prilogi III.

(28)Ta uredba obravnava tveganja za kibernetsko varnost na ciljno usmerjen način. Izdelki z digitalnimi elementi pa lahko povzročajo tudi druga varnostna tveganja, ki niso povezana s kibernetsko varnostjo. Navedena tveganja bi se morala še naprej urejati z drugo ustrezno zakonodajo Unije o izdelkih. Če se druga harmonizacijska zakonodaja Unije ne uporablja, bi se morala v zvezi z njimi uporabljati Uredba [uredba o splošni varnosti proizvodov]. Zaradi ciljno usmerjene narave te uredbe bi se morala z odstopanjem od člena 2(1), tretji pododstavek, točka (b), Uredbe [uredba o splošni varnosti proizvodov] poglavje III, oddelek 1, poglavji V in VII ter poglavja IX do XI Uredbe [uredba o splošni varnosti proizvodov] uporabljati za izdelke z digitalnimi elementi v zvezi z varnostnimi tveganji, ki niso zajeta s to uredbo, če za navedene izdelke ne veljajo posebne zahteve, ki jih nalaga druga harmonizacijska zakonodaja Unije v smislu [člena 3, točka (25), uredbe o splošni varnosti proizvodov]. (29)Izdelki z digitalnimi elementi, ki so opredeljeni kot umetnointeligenčni sistemi velikega tveganja v skladu s členom 6 Uredbe [uredba o umetni inteligenci] in spadajo na področje uporabe te uredbe, bi morali izpolnjevati bistvene zahteve iz te uredbe. Kadar navedeni umetnointeligenčni sistemi velikega tveganja izpolnjujejo bistvene zahteve iz te uredbe, bi bilo treba šteti, da izpolnjujejo zahteve glede kibernetske varnosti iz člena [člena 15] Uredbe [uredba o umetni inteligenci], kolikor so navedene zahteve zajete z izjavo EU o skladnosti, izdano na podlagi te uredbe, ali njenimi deli. Kar zadeva postopke ugotavljanja skladnosti v zvezi z bistvenimi zahtevami glede kibernetske varnosti izdelka z digitalnimi elementi, zajetega s to uredbo in opredeljenega kot umetnointeligenčni sistem velikega tveganja, bi se praviloma morale namesto zadevnih določb te uredbe uporabljati ustrezne določbe člena 43 Uredbe [uredba o umetni inteligenci]. Vendar se zaradi tega pravila ne bi smela znižati potrebna raven zanesljivosti za kritične izdelke z digitalnimi elementi, zajete s to uredbo. Zato bi se morale z odstopanjem od tega pravila za umetnointeligenčne sisteme velikega tveganja, ki spadajo na področje uporabe Uredbe [uredba o umetni inteligenci] in so opredeljeni tudi kot kritični izdelki z digitalnimi elementi v skladu s to uredbo ter za katere se uporablja postopek ugotavljanja skladnosti na podlagi notranje kontrole iz Priloge VI k Uredbi [uredba o umetni inteligenci], v zvezi z bistvenimi zahtevami iz te uredbe uporabljati določbe o ugotavljanju skladnosti iz te uredbe. V tem primeru bi se morale za vse druge vidike, zajete z Uredbo [uredba o umetni inteligenci], uporabljati zadevne določbe o ugotavljanju skladnosti na podlagi notranje kontrole, navedene v Prilogi VI k Uredbi [uredba o umetni inteligenci]. (30)Za stroje in strojno opremo, ki spadajo na področje uporabe Uredbe [uredba o strojih in strojni opremi] in so izdelki z digitalnimi elementi v smislu te uredbe ter za katere je bila izdana izjava o skladnosti na podlagi te uredbe, bi bilo treba šteti, da so v skladu z bistvenimi zdravstvenimi in varnostnimi zahtevami iz [Priloga III, oddelka 1.1.9 in 1.2.1] k Uredbi [uredba o strojih in strojni opremi] v zvezi z zaščito pred zlorabo ter varnostjo in zanesljivostjo krmilnih sistemov, če izjava EU o skladnosti, izdana na podlagi te uredbe, dokazuje skladnost za navedenimi zahtevami. (31)Uredba [predlog uredbe o evropskem zdravstvenem podatkovnem prostoru] dopolnjuje bistvene zahteve iz te uredbe. Zato bi morali tudi sistemi za vodenje elektronskih zdravstvenih zapisov, ki spadajo na področje uporabe Uredbe [predlog uredbe o evropskem zdravstvenem podatkovnem prostoru] in so izdelki z digitalnimi elementi v smislu te uredbe, izpolnjevati bistvene zahteve iz te uredbe. Proizvajalci takih sistemov bi morali dokazati skladnost, kot se zahteva z Uredbo [predlog uredbe o evropskem zdravstvenem podatkovnem prostoru]. Za olajšanje zagotavljanja skladnosti lahko pripravijo enotno tehnično dokumentacijo z elementi, ki se zahtevajo z obema pravnima aktoma. Ker ta uredba ne zajema programske opreme kot storitve kot take, sistemi za vodenje elektronskih zdravstvenih zapisov, ki se zagotavljajo na podlagi modela licenciranja in zagotavljanja programske opreme kot storitve, ne spadajo na področje uporabe te uredbe. Prav tako na področje uporabe te uredbe ne spadajo sistemi za vodenje elektronskih zdravstvenih zapisov, ki se razvijajo in uporabljajo v organizaciji, saj se ne dajo na trg. (32)Za zagotovitev, da so izdelki z digitalnimi elementi varni, ko se dajo na trg in v celotnem življenjskem ciklu, je treba določiti bistvene zahteve za obravnavanje ranljivosti in bistvene zahteve glede kibernetske varnosti, ki se nanašajo na lastnosti izdelkov z digitalnimi elementi. Proizvajalci bi morali izpolnjevati vse bistvene zahteve v zvezi z obravnavanjem ranljivosti in zagotoviti, da se vsi njihovi izdelki zagotovijo brez znanih ranljivosti, ki jih je mogoče izrabljati, poleg tega pa bi morali ugotoviti, katere druge bistvene zahteve v zvezi z lastnostmi izdelkov so pomembne za zadevno vrsto izdelka. Zato bi morali oceniti tveganja za kibernetsko varnost, povezana z izdelkom z digitalnimi elementi, da ugotovijo zadevna tveganja in bistvene zahteve ter ustrezno uporabijo primerne harmonizirane standarde ali skupne specifikacije. (33)Za izboljšanje varnosti izdelkov z digitalnimi elementi, ki se dajo na notranji trg, je treba določiti bistvene zahteve. Te ne bi smele vplivati na usklajene ocene tveganja v EU za kritične oskrbovalne verige iz [člen X] Direktive [Direktiva XXX/XXXX(NIS2)], pri katerih se upoštevajo tehnični in po potrebi netehnični dejavniki tveganja, kot je neupravičen vpliv tretje države na dobavitelje. Poleg tega ne bi smele vplivati na pravice držav članic, da določijo dodatne zahteve za zagotovitev visoke ravni odpornosti, pri katerih se upoštevajo netehnični dejavniki, vključno z dejavniki, opredeljenimi v Priporočilu (EU) 2019/534, iz usklajene ocene tveganj za varnost omrežij 5G na ravni Unije in zbirke orodij za kibernetsko varnost 5G, o kateri se je dogovorila skupina za sodelovanje na področju varnosti omrežij in informacijskih sistemov iz [Direktiva XXX/XXXX (NIS2)]. (34)Za zagotovitev, da nacionalne skupine CSIRT in enotne kontaktne točke, imenovane v skladu s členom [člen X] Direktive [Direktiva XX/XXXX (NIS2)], prejmejo informacije, potrebne za opravljanje njihovih nalog in povišanje splošne ravni kibernetske varnosti bistvenih in pomembnih subjektov, ter za zagotovitev učinkovitega delovanja organov za nadzor trga bi morali proizvajalci izdelkov z digitalnimi elementi agencijo ENISA uradno obvestiti o aktivno izrabljenih ranljivostih. Ker se večina izdelkov z digitalnimi elementi prodaja na celotnem notranjem trgu, bi bilo treba vse izrabljene ranljivosti izdelka z digitalnimi elementi šteti za grožnjo delovanju notranjega trga. Proizvajalci bi morali razmisliti tudi o razkritju odpravljenih ranljivosti v evropski zbirki podatkov o ranljivostih, vzpostavljeni na podlagi Direktive [Direktiva XX/XXXX (NIS2)], ki jo upravlja agencija ENISA, ali v kateri koli drugi javno dostopni zbirki podatkov o ranljivostih. (35)Proizvajalci bi morali agenciji ENISA sporočiti tudi vsak incident, ki vpliva na varnost izdelka z digitalnimi elementi. Ne glede na obveznosti poročanja o incidentih iz Direktive [Direktiva XX/XXXX (NIS2)], ki veljajo za bistvene in pomembne subjekte, je za agencijo ENISA, enotne kontaktne točke, ki jih države članice imenujejo v skladu s členom [člen X] Direktive [Direktiva XXX/XXXX (NIS2)], ter organe za nadzor trga ključno, da od izdelovalcev izdelkov z digitalnimi elementi prejmejo informacije, na podlagi katerih lahko ocenijo varnost teh izdelkov. Da bi se lahko uporabniki hitro odzvali na incidente, ki vplivajo na varnost njihovih izdelkov z digitalnimi elementi, bi morali proizvajalci tudi obvestiti njihove uporabnike o vseh takih incidentih in po potrebi o morebitnih popravnih ukrepih, ki jih lahko uporabniki sprejmejo za zmanjšanje vpliva incidenta, na primer z objavo ustreznih informacij na svojih spletnih mestih ali prek neposrednega stika z uporabniki, če ga lahko proizvajalec vzpostavi in tveganja to upravičujejo. (36)Proizvajalci izdelkov z digitalnimi elementi bi morali vzpostaviti politike usklajenega razkrivanja ranljivosti, da lahko posamezniki ali subjekti lažje poročajo o ranljivostih. Politika usklajenega razkrivanja ranljivosti bi morala določati strukturiran postopek, s katerim se ranljivosti sporočijo proizvajalcu tako, da lahko proizvajalec diagnosticira in odpravi take ranljivosti, preden se podrobne informacije o ranljivostih razkrijejo tretjim osebam ali javnosti. Ker se lahko informacije o ranljivostih, ki jih je mogoče izrabljati, v splošno razširjenih izdelkih z digitalnimi elementi prodajo na črnem trgu za visoke zneske, bi morali imeti proizvajalci takih izdelkov v okviru svojih politik usklajenega razkrivanja ranljivosti možnost, da uporabijo programe za spodbujanje poročanja o ranljivostih, pri katerih posamezniki ali subjekti prejmejo priznanje in nadomestilo za svoja prizadevanja (tako imenovane „nagradne programe za prijavljanje hroščev“). (37)Za olajšanje analize ranljivosti bi morali proizvajalci opredeliti in dokumentirati sestavne dele izdelkov z digitalnimi elementi, med drugim s pripravo kosovnice za programsko opremo. S kosovnico za programsko opremo lahko tisti, ki izdelujejo, kupijo in upravljajo programsko opremo, pridobijo informacije za izboljšanje njihovega razumevanja oskrbovalne verige, kar ima številne koristi, predvsem pa proizvajalcem in uporabnikom pomaga spremljati znane nove ranljivosti in tveganja. Za proizvajalce je pomembno zlasti, da zagotovijo, da njihovi izdelki ne vsebujejo ranljivih sestavnih delov, ki jih razvijajo tretje osebe. (38)Za olajšanje ugotavljanja skladnosti z zahtevami iz te uredbe bi bilo treba oblikovati domnevo o skladnosti za izdelke z digitalnimi elementi, ki so skladni s harmoniziranimi standardi, s katerimi se bistvene zahteve iz te uredbe prenesejo na podrobne tehnične specifikacije in ki se sprejmejo v skladu z Uredbo (EU) št. 1025/2012 Evropskega parlamenta in Sveta. Uredba (EU) št. 1025/2012 določa postopek za nasprotovanje harmoniziranim standardom, kadar navedeni standardi ne izpolnjujejo zahtev iz te uredbe v celoti. (39)Z Uredbo (EU) 2019/881 je vzpostavljen prostovoljen evropski certifikacijski okvir za kibernetsko varnost za izdelke, postopke in storitve IKT. Evropske certifikacijske sheme kibernetske varnosti lahko vključujejo izdelke z digitalnimi elementi, zajete s to uredbo. Ta uredba bi morala ustvariti sinergije z Uredbo (EU) 2019/881. Za olajšanje ugotavljanja skladnosti z zahtevami iz te uredbe se za izdelke z digitalnimi elementi, ki so certificirani ali za katere je bila izdana izjava o skladnosti v okviru sheme kibernetske varnosti v skladu z Uredbo (EU) 2019/881, pri čemer je Komisija opredelila navedeno shemo v izvedbenem aktu, domneva, da izpolnjujejo bistvene zahteve iz te uredbe, kolikor certifikat kibernetske varnosti ali izjava o skladnosti ali njuni deli zajemajo navedene zahteve. Potrebo po novih evropskih certifikacijskih shemah kibernetske varnosti za izdelke z digitalnimi elementi bi bilo treba oceniti ob upoštevanju te uredbe. Pri takih prihodnjih evropskih certifikacijskih shemah kibernetske varnosti, ki vključujejo izdelke z digitalnimi elementi, bi se morale upoštevati bistvene zahteve iz te uredbe, navedene sheme pa bi morale olajšati skladnost s to uredbo. Na Komisijo bi bilo treba prenesti pooblastilo, da z izvedbenimi akti določi evropske certifikacijske sheme kibernetske varnosti, ki se lahko uporabljajo za dokazovanje skladnosti z bistvenimi zahtevami iz te uredbe. Poleg tega bi morala Komisija za preprečitev nepotrebnega upravnega bremena za proizvajalce po potrebi navesti, ali se s certifikatom kibernetske varnosti, izdanim v okviru takih evropskih certifikacijskih shem kibernetske varnosti, odpravi obveznost izdelovalcev, da za ustrezne zahteve zagotovijo ugotavljanje skladnosti, ki ga opravi tretja oseba, kot je določeno v tej uredbi. (40)Po začetku veljavnosti izvedbenega akta o določitvi evropske certifikacijske sheme kibernetske varnosti s skupnimi merili [Izvedbena uredba Komisije (EU) …/... z dne XXX o evropski certifikacijski shemi kibernetske varnosti s skupnimi merili], ki se nanaša na izdelke strojne opreme, zajete s to uredbo, kakor so varnostni moduli strojne opreme in mikroprocesorji, lahko Komisija z izvedbenim aktom določi, kako evropska certifikacijska shema kibernetske varnosti s skupnimi merili zagotavlja domnevo o skladnosti z bistvenimi zahtevami iz Priloge I k tej uredbi ali njihovimi deli. Poleg tega se lahko s takim izvedbenim aktom določi, kako se s certifikatom, izdanim v okviru evropske certifikacijske sheme kibernetske varnosti s skupnimi merili, odpravi obveznost izdelovalcev, da za ustrezne zahteve zagotovijo ugotavljanje skladnosti, ki ga opravi tretja oseba, kot se zahteva s to uredbo. (41)Kadar harmonizirani standardi niso bili sprejeti ali nezadostno obravnavajo bistvene zahteve iz te uredbe, bi morala imeti Komisija možnost, da z izvedbenimi akti sprejme skupne specifikacije. Med razlogi za to, da se namesto harmoniziranih standardov razvijejo take skupne specifikacije, bi lahko bili zavrnitev zahteve za standardizacijo s strani katere od evropskih organizacij za standardizacijo, neupravičene zamude pri določitvi ustreznih harmoniziranih standardov ali neskladnost razvitih standardov z zahtevami iz te uredbe ali zahtevo Komisije. Za olajšanje ugotavljanja skladnosti z bistvenimi zahtevami iz te uredbe bi bilo treba oblikovati domnevo o skladnosti za izdelke z digitalnimi elementi, ki so skladni s skupnimi specifikacijami, ki jih je Komisija sprejela v skladu s to uredbo za določitev podrobnih tehničnih specifikacij navedenih zahtev. (42)Proizvajalci bi morali pripraviti izjavo EU o skladnosti, da se zagotovijo informacije, ki se zahtevajo s to uredbo, o skladnosti izdelkov z digitalnimi elementi z bistvenimi zahtevami iz te uredbe in po potrebi druge ustrezne harmonizacijske zakonodaje Unije, ki zajema zadevni izdelek. Priprava izjave EU o skladnosti se lahko od izdelovalcev zahteva tudi z drugo zakonodajo Unije. Da bi se zagotovil učinkovit dostop do informacij za namene nadzora trga, bi bilo treba pripraviti enotno izjavo EU o skladnosti za vse ustrezne akte Unije. Omogočiti bi bilo treba, da je taka enotna izjava EU o skladnosti tudi dosje z zadevnimi posameznimi izjavami o skladnosti, da se zmanjša upravno breme gospodarskih subjektov. (43)Oznaka CE, ki označuje skladnost izdelka, je vidna posledica celotnega postopka, ki obsega ugotavljanje skladnosti v širšem pomenu. Splošna načela, ki urejajo oznako CE, so določena v Uredbi (ES) št. 765/2008 Evropskega parlamenta in Sveta. V tej uredbi bi bilo treba določiti pravila o namestitvi oznake CE na izdelke z digitalnimi elementi. Oznaka CE bi morala biti edina oznaka, ki jamči skladnost izdelkov z digitalnimi elementi z zahtevami iz te uredbe. (44)Da bi lahko gospodarski subjekti dokazali skladnost z bistvenimi zahtevami iz te uredbe, organi za nadzor trga pa zagotovili, da izdelki z digitalnimi elementi, dostopni na trgu, izpolnjujejo te zahteve, je treba določiti postopke ugotavljanja skladnosti. Sklep št. 768/2008/ES Evropskega parlamenta in Sveta določa module za postopke ugotavljanja skladnosti, ki so sorazmerni z ravnjo tveganja in zahtevano ravnjo varnosti. Za zagotovitev medsektorske skladnosti in preprečitev ad hoc različic postopki ugotavljanja skladnosti, primerni za preverjanje skladnosti izdelkov z digitalnimi elementi z bistvenimi zahtevami iz te uredbe, temeljijo na navedenih modulih. Pri postopkih ugotavljanja skladnosti bi bilo treba proučiti in preveriti zahteve, povezane z izdelki in postopki, ki zajemajo celotni življenjski cikel izdelkov z digitalnimi elementi, vključno z načrtovanjem, zasnovo, razvojem ali proizvodnjo, preskušanjem in vzdrževanjem izdelka. (45)Splošno pravilo je, da proizvajalec na lastno odgovornost opravi ugotavljanje skladnosti izdelkov z digitalnimi elementi v skladu s postopkom na podlagi modula A iz Sklepa št. 768/2008/ES. Proizvajalec bi moral ohraniti prožnost, da izbere strožji postopek ugotavljanja skladnosti, pri katerem sodeluje tretja oseba. Če je izdelek opredeljen kot kritični izdelek iz razreda I, je potrebno dodatno zagotovilo, da se dokaže skladnost z bistvenimi zahtevami iz te uredbe. Proizvajalec, ki želi na lastno odgovornost opraviti ugotavljanje skladnosti (modul A), bi moral uporabiti harmonizirane standarde, skupne specifikacije ali certifikacijske sheme kibernetske varnosti na podlagi Uredbe (EU) 2019/881, ki jih je Komisija opredelila v izvedbenem aktu. Če ne uporabi takih harmoniziranih standardov, skupnih specifikacij ali certifikacijskih shem kibernetske varnosti, bi moral izvesti ugotavljanje skladnosti, pri katerem sodeluje tretja oseba. Ob upoštevanju upravnega bremena za proizvajalce ter dejstva, da ima kibernetska varnost pomembno vlogo v fazi zasnove in razvoja materialnih in nematerialnih izdelkov z digitalnimi elementi, so bili postopki ugotavljanja skladnosti, ki temeljijo na modulih B + C oziroma modulu H iz Sklepa št. 768/2008/ES, izbrani kot najustreznejši za sorazmerno in učinkovito ugotavljanje skladnosti kritičnih izdelkov z digitalnimi elementi. Proizvajalec, ki zagotovi ugotavljanje skladnosti, ki ga opravi tretja oseba, lahko izbere najustreznejši postopek za svoj postopek zasnove in proizvodnje. Zaradi še večjega tveganja za kibernetsko varnost, povezanega z uporabo izdelkov, opredeljenih kot kritični izdelki iz razreda II, bi morala pri ugotavljanju skladnosti vselej sodelovati tretja oseba. (46)Medtem ko so pri ustvarjanju materialnih izdelkov z digitalnimi elementi običajno potrebna precejšnja prizadevanja izdelovalcev v fazah zasnove, razvoja in proizvodnje, je ustvarjanje izdelkov z digitalnimi elementi v obliki programske opreme skoraj povsem osredotočeno na zasnovo in razvoj, faza proizvodnje pa ima manjšo vlogo. Ne glede na to je v številnih primerih vseeno treba izdelke programske opreme pripraviti, izdelati, pakirati, dati na voljo za prenos ali prenesti na fizične nosilce, preden se dajo na trg. Te dejavnosti bi bilo treba šteti za dejavnosti, ki pomenijo proizvodnjo, kadar se ustrezni moduli za ugotavljanje skladnosti uporabijo za preverjanje skladnosti izdelka z bistvenimi zahtevami iz te uredbe v fazah zasnove, razvoja in proizvodnje. (47)Za izvajanje ugotavljanja skladnosti, ki ga opravi tretja oseba, za izdelke z digitalnimi elementi bi morali nacionalni priglasitveni organi Komisiji in drugim državam članicam priglasiti organe za ugotavljanje skladnosti, če izpolnjujejo vrsto zahtev, zlasti glede neodvisnosti, pristojnosti in neobstoja navzkrižja interesov.

(48)Za zagotovitev dosledne ravni kakovosti pri ugotavljanju skladnosti izdelkov z digitalnimi elementi je treba določiti tudi zahteve za priglasitvene organe in druge organe, vključene v ocenjevanje, priglasitev in spremljanje priglašenih organov. Sistem iz te uredbe bi bilo treba dopolniti s sistemom akreditacije, določenim v Uredbi (ES) št. 765/2008. Ker je akreditacija ključno sredstvo za preverjanje usposobljenosti organov za ugotavljanje skladnosti, bi jo bilo treba uporabljati tudi za namene priglasitve. (49)Nacionalni javni organi po vsej Uniji bi morali pregledno akreditacijo, kot je določena v Uredbi (ES) št. 765/2008 za zagotovitev potrebne ravni zaupanja v certifikate o skladnosti, šteti za prednostno sredstvo za dokazovanje strokovne usposobljenosti organov za ugotavljanje skladnosti. Vendar pa lahko nacionalni organi menijo, da razpolagajo z ustreznimi sredstvi, s katerimi lahko sami opravijo to ocenjevanje. V takem primeru bi morali za zagotovitev ustrezne ravni verodostojnosti ocenjevanja, ki ga opravijo drugi nacionalni organi, Komisiji in drugim državam članicam predložiti potrebne listinske dokaze, da ocenjeni organi za ugotavljanje skladnosti izpolnjujejo ustrezne regulativne zahteve. (50)Organi za ugotavljanje skladnosti za dele svojih dejavnosti, povezanih z ugotavljanjem skladnosti, pogosto najamejo podizvajalca ali jih prenesejo na odvisno družbo. Za ohranitev ravni varstva, ki se zahteva za izdelke z digitalnimi elementi, ki bodo dani na trg, je bistveno, da podizvajalci in odvisne družbe za opravljanje nalog ugotavljanja skladnosti izpolnjujejo iste zahteve kot priglašeni organi. (51)Priglasitveni organ bi moral Komisiji in drugim državam članicam priglasiti organ za ugotavljanje skladnosti prek informacijskega sistema o priglašenih in imenovanih organih po Novem pristopu (NANDO). Informacijski sistem NANDO je elektronsko orodje za priglasitev, ki ga je razvila in ga upravlja Komisija ter vsebuje seznam vseh priglašenih organov. (52)Ker lahko priglašeni organi ponujajo svoje storitve po vsej Uniji, je primerno dati drugim državam članicam in Komisiji možnost, da izrazijo nasprotovanje glede priglašenega organa. Zato je pomembno določiti obdobje, v katerem se lahko pojasnijo vsi dvomi ali pomisleki glede sposobnosti organov za ugotavljanje skladnosti, preden začnejo delovati kot priglašeni organi. (53)Za konkurenčnost je ključno, da priglašeni organi uporabljajo postopke ugotavljanja skladnosti brez nepotrebne obremenitve gospodarskih subjektov. Iz istega razloga in za zagotovitev enake obravnave gospodarskih subjektov je treba zagotoviti doslednost pri tehnični uporabi postopkov ugotavljanja skladnosti. To bi bilo mogoče najbolje doseči z ustreznim usklajevanjem in sodelovanjem priglašenih organov. (54)Nadzor trga je ključno sredstvo za zagotavljanje pravilne in enotne uporabe zakonodaje Unije. Zato je primerno vzpostaviti pravni okvir, v katerem se lahko ustrezno izvaja nadzor trga. Pravila o nadzoru trga Unije in nadzoru izdelkov, ki vstopajo na trg Unije, določena v Uredbi (EU) 2019/1020 Evropskega parlamenta in Sveta, se uporabljajo za izdelke z digitalnimi elementi, vključene v to uredbo. (55)V skladu z Uredbo (EU) 2019/1020 organi za nadzor trga izvajajo nadzor trga na ozemlju zadevne države članice. Ta uredba državam članicam ne bi smela preprečevati izbire pristojnih organov za izvedbo navedenih nalog. Vsaka država članica bi morala imenovati en ali več organov za nadzor trga na svojem ozemlju. Države članice lahko za opravljanje nalog organa za nadzor trga imenujejo kateri koli obstoječi ali nov organ, vključno s pristojnimi nacionalnimi organi iz člena [člen X] Direktive [Direktiva XXX/XXXX (NIS2)] ali imenovanimi nacionalnimi certifikacijskimi organi za kibernetsko varnost iz člena 58 Uredbe (EU) 2019/881. Gospodarski subjekti bi morali v celoti sodelovati z organi za nadzor trga in drugimi pristojnimi organi. Vsaka država članica bi morala Komisijo in druge države članice obvestiti o svojih organih za nadzor trga in področjih, za katera je vsak od teh organov pristojen, ter zagotoviti potrebne vire ter znanja in spretnosti za izvajanje nalog nadzora v zvezi s to uredbo. V skladu s členom 10(2) in (3) Uredbe (EU) 2019/1020 bi morala vsaka država članica imenovati enotni povezovalni organ, ki bi moral biti med drugim odgovoren za zastopanje usklajenega stališča organov za nadzor trga in pomoč pri sodelovanju med organi za nadzor trga v različnih državah članicah. (56)V skladu s členom 30(2) Uredbe (EU) 2019/1020 bi bilo treba ustanoviti namensko skupino za upravno koordinacijo (ADCO) za enotno uporabo te uredbe. Skupino ADCO bi morali sestavljati predstavniki imenovanih organov za nadzor trga in po potrebi predstavniki enotnih povezovalnih organov. Komisija bi morala podpirati in spodbujati sodelovanje med organi za nadzor trga v okviru mreže Unije za skladnost proizvodov, ustanovljene na podlagi člena 29 Uredbe (EU) 2019/1020, ki jo sestavljajo predstavniki vsake države članice, vključno s predstavnikom vsakega enotnega povezovalnega organa iz člena 10 navedene uredbe, ter neobvezen nacionalni strokovnjak, predsedniki skupin ADCO in predstavniki Komisije. Komisija bi morala sodelovati pri sestankih mreže, njenih podskupin in zadevne skupine ADCO. Poleg tega bi morala pomagati tej skupini ADCO z izvršnim sekretariatom, ki zagotavlja tehnično in logistično podporo. (57)Za zagotovitev pravočasnih, sorazmernih in učinkovitih ukrepov v zvezi z izdelki z digitalnimi elementi, ki predstavljajo povečano tveganje za kibernetsko varnost, bi bilo treba predvideti zaščitni postopek Unije, v okviru katerega so zainteresirane strani obveščene o ukrepih, ki se bodo predvidoma izvajali v zvezi s takimi izdelki. To bi moralo tudi organom za nadzor trga omogočiti, da po potrebi v sodelovanju z zadevnimi gospodarskimi subjekti ukrepajo v zgodnejši fazi. Kadar se države članice in Komisija strinjajo glede upravičenosti ukrepa, ki ga sprejme država članica, nadaljnja udeležba Komisije ne bi smela biti potrebna, razen kadar je neskladnost posledica pomanjkljivosti harmoniziranega standarda. (58)V nekaterih primerih lahko izdelek z digitalnimi elementi, ki je skladen s to uredbo, vseeno predstavlja povečano tveganje za kibernetsko varnost ali tveganje za zdravje ali varnost oseb, tveganje za skladnost z obveznostmi na podlagi zakonodaje Unije ali nacionalne zakonodaje, namenjene varstvu temeljnih pravic, tveganje za razpoložljivost, avtentičnost, celovitost ali zaupnost storitev, ki jih z uporabo elektronskega informacijskega sistema zagotavljajo bistveni subjekti iz [Priloge I k Direktivi XXX/XXXX (NIS2)], ali tveganje za druge vidike zaščite javnega interesa. Treba je torej določiti pravila, s katerimi se zmanjšajo navedena tveganja. Zato bi morali organi za nadzor trga sprejeti ukrepe in od gospodarskega subjekta zahtevati, da zagotovi, da izdelek ne predstavlja več tveganja, ga odpokliče ali umakne, odvisno od tveganja. Ko organ za nadzor trga tako omeji ali prepove prosti pretok izdelka, bi morala država članica Komisijo in druge države članice nemudoma uradno obvestiti o začasnih ukrepih ter pri tem navesti razloge in utemeljitev svoje odločitve. Kadar organ za nadzor trga sprejme take ukrepe za izdelke, ki predstavljajo tveganje, bi se morala Komisija nemudoma posvetovati z državami članicami in zadevnim gospodarskim subjektom ali subjekti ter oceniti nacionalni ukrep. Na podlagi rezultatov te ocene bi se morala odločiti, ali je nacionalni ukrep upravičen ali ne. Komisija bi morala svojo odločitev nasloviti na vse države članice ter jo nemudoma sporočiti njim in zadevnemu gospodarskemu subjektu ali subjektom. Če se šteje, da je ukrep upravičen, lahko Komisija razmisli tudi o sprejetju predlogov za revizijo zadevne zakonodaje Unije. (59)Komisija lahko za izdelke z digitalnimi elementi, ki predstavljajo povečano tveganje za kibernetsko varnost in v zvezi s katerimi obstaja razlog za domnevo, da niso skladni s to uredbo, ali za izdelke, ki so skladni s to uredbo, vendar predstavljajo druga pomembna tveganja, kot je tveganje za zdravje ali varnost oseb, temeljne pravice ali opravljanje storitev bistvenih subjektov iz [Priloge I k Direktivi XXX/XXXX (NIS2)], od agencije ENISA zahteva, naj opravi oceno. Na podlagi te ocene lahko Komisija z izvedbenimi akti sprejme popravne ali omejevalne ukrepe na ravni Unije, vključno z odreditvijo umika zadevnih izdelkov s trga ali njihovega odpoklica v razumnem roku, ki je sorazmeren z naravo tveganja. Komisija lahko uporabi take ukrepe samo v izjemnih okoliščinah, ki upravičujejo takojšnje ukrepanje za ohranitev dobrega delovanja notranjega trga, in samo, če organi za nadzor niso sprejeli učinkovitih ukrepov za odpravo težave. Take izjemne okoliščine so lahko izredne razmere, v katerih na primer proizvajalec zagotovi splošno dostopnost neskladnega izdelka v več državah članicah in navedeni izdelek v ključnih sektorjih uporabljajo tudi subjekti s področja uporabe [Direktive XXX/XXXX (NIS2)], pri čemer pa vključuje znane ranljivosti, ki jih izrabljajo zlonamerni akterji in za katere proizvajalec ne zagotovi razpoložljivih popravkov. Komisija lahko v takih izrednih razmerah posreduje samo med trajanjem izjemnih okoliščin in če se neskladnost s to uredbo ali pomembna tveganja ne odpravijo. (60)Kadar obstajajo znaki neskladnosti s to uredbo v več državah članicah, bi morali imeti organi za nadzor trga možnost, da izvajajo skupne dejavnosti z drugimi organi, da preverijo skladnost in ugotovijo tveganja za kibernetsko varnost, ki jih povzročajo izdelki z digitalnimi elementi. (61)Sočasni usklajeni kontrolni ukrepi (usklajena preiskava) so posebni izvršilni ukrepi organov za nadzor trga, s katerimi je mogoče dodatno izboljšati varnost izdelkov. Usklajene preiskave bi bilo treba izvesti zlasti, kadar tržni trendi, pritožbe potrošnikov ali drugi znaki kažejo, da nekatere kategorije izdelkov pogosto predstavljajo tveganja za kibernetsko varnost. Agencija ENISA bi morala organom za nadzor trga predložiti predloge za kategorije izdelkov, za katere bi se lahko organizirale usklajene preiskave, med drugim na podlagi uradnih obvestil o ranljivostih izdelkov in incidentih, ki jih prejme. (62)Za zagotovitev, da se lahko regulativni okvir po potrebi prilagodi, bi bilo treba na Komisijo v skladu s členom 290 Pogodbe prenesti pooblastilo za sprejemanje aktov v zvezi s posodobitvami seznama kritičnih izdelkov iz Priloge III ter določitvijo opredelitev teh kategorij izdelkov. V skladu z navedenim členom bi bilo treba na Komisijo prenesti pooblastilo za sprejemanje aktov za opredelitev izdelkov z digitalnimi elementi, zajetih z drugimi pravili Unije, s katerimi se doseže enaka raven varstva kot s to uredbo, v katerih se določi, ali bi bila potrebna omejitev ali izključitev s področja uporabe te uredbe, in po potrebi obseg navedene omejitve. Poleg tega bi bilo treba v skladu z navedenim členom na Komisijo prenesti tudi pooblastilo za sprejemanje aktov v zvezi z morebitno zahtevo po certificiranju nekaterih zelo kritičnih izdelkov z digitalnimi elementi na podlagi meril kritičnosti iz te uredbe ter za določitev minimalne vsebine izjave EU o skladnosti in dopolnitev elementov, ki jih je treba vključiti v tehnično dokumentacijo. Zlasti je pomembno, da se Komisija pri svojem pripravljalnem delu ustrezno posvetuje, vključno na ravni strokovnjakov, in da se ta posvetovanja izvedejo v skladu z načeli, določenimi v Medinstitucionalnem sporazumu z dne 13. aprila 2016 o boljši pripravi zakonodaje. Za zagotovitev enakopravnega sodelovanja pri pripravi delegiranih aktov Evropski parlament in Svet zlasti prejmeta vse dokumente sočasno s strokovnjaki iz držav članic, njuni strokovnjaki pa se sistematično lahko udeležujejo sestankov strokovnih skupin Komisije, ki zadevajo pripravo delegiranih aktov. (63)Za zagotovitev enotnih pogojev izvajanja te uredbe bi bilo treba na Komisijo prenesti izvedbena pooblastila za: določitev oblike in elementov kosovnice za programsko opremo, podrobnejšo določitev vrste informacij, oblike in postopka za uradna obvestila o aktivno izrabljenih ranljivostih in incidentih, ki jih agenciji ENISA predložijo proizvajalci, določitev evropskih certifikacijskih shem kibernetske varnosti, sprejetih v skladu z Uredbo (EU) 2019/881, ki se lahko uporabljajo za dokazovanje skladnosti z bistvenimi zahtevami iz Priloge I k tej uredbi ali njihovimi deli, sprejetje skupnih specifikacij v zvezi z bistvenimi zahtevami iz Priloge I, določitev tehničnih specifikacij za piktograme ali druge oznake v zvezi z varnostjo izdelkov z digitalnimi elementi in mehanizmov za spodbujanje njihove uporabe, sprejetje odločitve o popravnih ali omejevalnih ukrepih na ravni Unije v izjemnih okoliščinah, ki upravičujejo takojšnje ukrepanje za ohranitev dobrega delovanja notranjega trga. Navedena pooblastila bi bilo treba izvajati v skladu z Uredbo (EU) št. 182/2011 Evropskega parlamenta in Sveta. (64)Za zagotovitev zaupanja vrednega in konstruktivnega sodelovanja organov za nadzor trga na ravni Unije in nacionalni ravni bi morale vse strani, vključene v uporabo te uredbe, spoštovati zaupnost informacij in podatkov, pridobljenih pri opravljanju svojih nalog. (65)Za zagotovitev učinkovitega izvrševanja obveznosti iz te uredbe bi moral biti vsak organ za nadzor trga pooblaščen, da naloži ali zahteva naložitev upravnih glob. Zato bi bilo treba določiti najvišje zneske upravnih glob za neizpolnjevanje obveznosti iz te uredbe, ki se predpišejo v nacionalnih zakonih. Pri odločanju o znesku upravne globe v vsakem posameznem primeru bi bilo treba upoštevati vse zadevne okoliščine obravnavanega primera in vsaj tiste, ki so izrecno navedene v tej uredbi, kakor so morebitne upravne globe, ki so jih istemu gospodarskemu subjektu za podobne kršitve že naložili drugi organi za nadzor trga. Take okoliščine so lahko oteževalne, kadar se kršitev istega gospodarskega subjekta ne odpravi na ozemlju držav članic, ki niso država članica, v kateri je bila že naložena upravna globa, ali olajševalne, pri čemer bi se morala pri morebitni drugi upravni globi, ki jo za isti gospodarski subjekt ali isto vrsto kršitve obravnava drug organ za nadzor trga, poleg drugih ustreznih posebnih okoliščin že upoštevati kazen, naložena v drugih državah članicah, in njen znesek. V vseh takih primerih bi bilo treba pri skupni upravni globi, ki jo lahko istemu gospodarskemu subjektu za isto vrsto kršitve naložijo organi za nadzor trga v več državah članicah, zagotoviti upoštevanje načela sorazmernosti. (66)Kadar se upravne globe naložijo osebam, ki niso podjetje, bi moral pristojni organ pri določanju ustreznega zneska globe upoštevati splošno raven dohodka v državi članici in ekonomski položaj osebe. Države članice bi morale določiti, ali bi se morale upravne globe uporabljati tudi za javne organe in v kakšnem obsegu. (67)EU si v odnosih s tretjimi državami prizadeva za spodbujanje mednarodne trgovine z reguliranimi proizvodi. Za spodbujanje trgovine se lahko uporabijo najrazličnejši ukrepi, vključno z več pravnimi instrumenti, kakor so dvostranski (medvladni) sporazumi o vzajemnem priznavanju za ugotavljanje skladnosti in označevanje reguliranih izdelkov. Sporazumi o vzajemnem priznavanju se sklenejo med Unijo in tretjimi državami s primerljivo ravnjo tehničnega razvoja in združljivim pristopom k ugotavljanju skladnosti. Ti sporazumi temeljijo na vzajemnem sprejemanju certifikatov, oznak skladnosti in poročil o preskusih, ki jih izdajo organi za ugotavljanje skladnosti katere koli pogodbenice v skladu z zakonodajo druge pogodbenice. Trenutno so sklenjeni sporazumi o vzajemnem priznavanju z več državami. Sporazumi so sklenjeni za več specifičnih sektorjev, ki se lahko od države do države razlikujejo. Za dodatno spodbujanje trgovine in ob upoštevanju, da so oskrbovalne verige izdelkov z digitalnimi elementi globalne, lahko Unija v skladu s členom 218 PDEU sklene sporazume o vzajemnem priznavanju v zvezi z ugotavljanjem skladnosti za izdelke, ki se urejajo s to uredbo. Sodelovanje s partnerskimi državami je prav tako pomembno za okrepitev kibernetske odpornosti na svetovni ravni, saj bo to dolgoročno prispevalo k okrepljenemu okviru kibernetske varnosti v EU in zunaj nje.

(68)Komisija bi morala v posvetovanju z zainteresiranimi stranmi redno pregledovati to uredbo, zlasti da bi ugotovila, ali jo je treba prilagoditi spremenjenim družbenim, političnim, tehnološkim ali tržnim razmeram. (69)Gospodarskim subjektom bi bilo treba zagotoviti dovolj časa za prilagoditev zahtevam iz te uredbe. Ta uredba bi se morala začeti uporabljati [24 mesecev] po začetku njene veljavnosti, razen obveznosti poročanja v zvezi z aktivno izkoriščenimi ranljivostmi in incidenti, ki bi se morale začeti uporabljati [12 mesecev] od začetka veljavnosti te uredbe. (70)Ker cilja te uredbe države članice ne morejo zadovoljivo doseči, temveč se zaradi učinkov ukrepa lažje doseže na ravni Unije, lahko Unija sprejme ukrepe v skladu z načelom subsidiarnosti iz člena 5 Pogodbe o Evropski uniji. V skladu z načelom sorazmernosti iz navedenega člena ta uredba ne presega tistega, kar je potrebno za doseganje navedenega cilja. (71)V skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal […] – SPREJELA NASLEDNJO UREDBO: POGLAVJE I SPLOŠNE DOLOČBE Člen 1 Predmet urejanja Ta uredba določa: (a)pravila za dajanje izdelkov z digitalnimi elementi na trg za zagotovitev njihove kibernetske varnosti; (b)bistvene zahteve za zasnovo, razvoj in proizvodnjo izdelkov z digitalnimi elementi ter obveznosti gospodarskih subjektov v zvezi s kibernetsko varnostjo teh izdelkov; (c)bistvene zahteve za postopke obravnavanja ranljivosti, ki jih vzpostavijo proizvajalci, za zagotovitev kibernetske varnosti izdelkov z digitalnimi elementi v celotnem življenjskem ciklu ter obveznosti gospodarskih subjektov v zvezi s temi postopki; (d)pravila o nadzoru trga ter izvrševanju navedenih pravil in zahtev. Člen 2 Področje uporabe 1.Ta uredba se uporablja za izdelke z digitalnimi elementi, katerih predvidena ali razumno predvidljiva uporaba vključuje neposredno ali posredno logično ali fizično podatkovno povezavo z napravo ali omrežjem. 2.Ta uredba se ne uporablja za izdelke z digitalnimi elementi, za katere se uporabljajo naslednji akti Unije: (a)Uredba (EU) 2017/745; (b)Uredba (EU) 2017/746;

(c)Ure