Den föreslagna förordningen är avsedd att tillämpas på all radioutrustning som omfattas av kommissionens delegerade förordning (EU) 2022/30. De krav som fastställs i denna förordning omfattar alla aspekter av de väsentliga krav som avses i artikel 3.3 d, e och f i direktiv 2014/53/EU, inbegripet de viktigaste aspekter som fastställs i [kommissionens genomförandebeslut XXX/2022 om en begäran om standardisering till europeiska standardiseringsorganisationer] som utfärdats på grundval av den delegerade förordningen. För att undvika överlappningar i lagstiftningen är planen att kommissionen ska upphäva eller ändra den delegerade förordningen vad gäller radioutrustning som omfattas av den föreslagna förordningen, så att det är den senare som gäller när den börjar tillämpas.

Två huvudmål identifierades för att säkerställa en korrekt fungerande inre marknad: 1) att skapa rätt förutsättningar för utvecklingen av säkra produkter med digitala element genom att säkerställa att hårdvaru- och programvaruprodukter har färre sårbarheter när de släpps ut på marknaden och att tillverkarna tar säkerheten på allvar under produktens hela livscykel, och 2) att skapa förutsättningar för att användarna ska kunna ta hänsyn till cybersäkerheten när de väljer och använder produkter med digitala element. Fyra särskilda mål fastställdes: i) att säkerställa att tillverkarna förbättrar säkerheten för produkter med digitala element från utformnings- och utvecklingsfasen och genom hela produktens livscykel, ii) att säkerställa en sammanhängande cybersäkerhetsram, som främjar överensstämmelse för hårdvaru- och programvaruproducenter, iii) att förbättra transparensen när det gäller säkerhetsegenskaperna hos produkter med digitala element, och iv) att möjliggöra en säker användning av produkter med digitala element för företag och konsumenter.

Kommissionen har samrått med ett brett spektrum av berörda parter. Medlemsstaterna och berörda parter inbjöds till att delta i det öppna offentliga samrådet och i de enkäter och workshoppar som anordnades i samband med den studie som gjordes av ett konsortium som underlag för kommissionens förberedande arbete inför konsekvensbedömningen. Wavestone, Centre for European Policy Studies (CEPS) och ICF. Deltagarna var bl.a. nationella marknadskontrollmyndigheter, unionsorgan som arbetar med cybersäkerhetsfrågor, hårdvaru- och programvarutillverkare, importörer och distributörer av hårdvara och programvara, branschorganisationer, konsumentorganisationer och användare av produkter med digitala element, medborgare, forskare, den akademiska världen, anmälda organ och ackrediteringsorgan samt yrkesfolk från cybersäkerhetsbranschen.

När det gäller proportionaliteten för den föreslagna förordningen skulle åtgärderna i de undersökta alternativen inte gå utöver vad som är nödvändigt för att uppnå de allmänna och särskilda målen och skulle inte medföra några oproportionerliga kostnader. Åtgärden skulle säkerställa att produkter med digitala element görs säkra under hela sin livscykel och den skulle stå i proportion till riskerna genom målinriktade och teknikneutrala krav som förblir rimliga och allmänt sett motsvarar de berörda enheternas intressen.

Den föreslagna förordningen skulle harmonisera och rationalisera EU:s regelverk genom att införa cybersäkerhetskrav för produkter med digitala element och motverka överlappande krav till följd av olika rättsakter. Detta ökar rättssäkerheten för aktörer och användare i hela unionen och ökar harmoniseringen på den europeiska inre marknaden, vilket skapar hållbara villkor för aktörer som vill komma in på EU-marknaden.

Det rekommenderade alternativet skulle innebära betydande fördelar för de olika intressenterna. För företagen skulle det förhindra att olikartade säkerhetsregler gäller för produkter med digitala element, och det skulle sänka kostnaderna för uppfyllande av kraven i cybersäkerhetslagstiftningen. Det skulle minska antalet cyberincidenter, kostnaden för incidenthantering och risken för skadat anseende. För EU som helhet beräknas att initiativet kan minska kostnaderna för incidenter som påverkar företag med i storleksordningen 180–290 miljarder euro per år. Det skulle leda till ökad omsättning tack vare en ökad efterfrågan på produkter med digitala element. Det skulle förbättra företagens globala anseende och leda till en ökad efterfrågan också utanför EU. För användarna skulle det rekommenderade alternativet öka transparensen för säkerhetsegenskaper och underlätta användningen av produkter med digitala element. Konsumenter och medborgare skulle också gagnas av ett bättre skydd för sina grundläggande rättigheter, såsom personlig integritet och skydd av personuppgifter.

Alternativ 4 (med underalternativ som omfattar all programvara och involverar obligatorisk tredjepartsbedömning för kritiska produkter) utkristalliserade sig som det rekommenderade alternativet baserat på effektiviteten i förhållande till de särskilda målen och vad gäller kostnader och nytta. Detta alternativ skulle säkerställa att särskilda övergripande cybersäkerhetskrav fastställdes för alla produkter med digitala element som släpps ut eller tillhandahålls på den inre marknaden, och det skulle vara det enda alternativ som omfattar hela den digitala leveranskedjan. Även icke-inbyggd programvara, som ofta är exponerad för sårbarheter, skulle omfattas av en sådan regleringsåtgärd, vilket därmed säkerställer en enhetlig strategi för alla produkter med digitala element, med en tydlig ansvarsfördelning mellan olika ekonomiska aktörer.

·En övergripande regleringsåtgärd som omfattar cybersäkerhetskrav för ett brett spektrum av materiella och immateriella produkter med digitala element, inklusive icke-inbyggd programvara (alternativ 4): Detta alternativ liknar alternativ 3, förutom när det gäller tillämpningsområdet. Alternativ 4 skulle inkludera icke-inbyggd programvara (med två underalternativ som innebär att endast kritisk programvara (4a) respektive all programvara (4b) inkluderas) inom ramen för en eventuell förordning. För varje underalternativ skulle samma underalternativ avseende bedömning av överensstämmelse övervägas som för alternativ 3.

Samrådsverksamheten syftade till att få in synpunkter på de fem huvudutvärderingskriterierna baserat på EU:s riktlinjer för bättre lagstiftning (ändamålsenlighet, effektivitet, relevans, enhetlighet, EU-mervärde) samt de potentiella effekterna av de tänkbara alternativen för framtiden. Uppdragstagaren har inte bara vänt sig till intressenter som skulle påverkas direkt av den föreslagna förordningen utan även konsulterat en mängd experter på cybersäkerhetsområdet.

·Ett öppet offentligt samråd som riktades till medborgare, intressenter och cybersäkerhetsexperter. 176 svar inkom. På så sätt fick man in en mängd olika synpunkter och erfarenheter från alla intressentgrupper.

Förslaget omfattar skyldigheter för tillverkarna, importörerna och distributörerna baserat på referensbestämmelserna i beslut 768/2008/EG. De väsentliga cybersäkerhetskraven och skyldigheterna föreskriver för alla produkter med digitala element att de endast får tillhandahållas på marknaden om de tillhandahålls på vederbörligt sätt, är korrekt installerade och underhållna och används för avsett ändamål eller under förhållanden som rimligen kan förutses, och de uppfyller de väsentliga cybersäkerhetskraven enligt denna förordning.

Kritiska produkter med digitala element ska omfattas av särskilda förfaranden för bedömning av överensstämmelse och ska delas in i klass I och klass II i enlighet med bilaga III, baserat på deras cybersäkerhetsrisknivå, där klass II utgör en större risk. En produkt med digitala element anses kritisk och finns därför med i bilaga III mot bakgrund av effekterna av de potentiella cybersäkerhetssårbarheter som finns i produkten. När cybersäkerhetsrisken fastställs beaktas bland annat de cybersäkerhetsrelaterade funktionerna i en produkt med digitala element och en avsedd användning i känsliga miljöer, såsom en industrimiljö.

Den föreslagna förordningen kommer inte att tillämpas på produkter med digitala element som omfattas av förordning (EU) 2017/745 [medicintekniska produkter för användning på människor och tillbehör till sådana produkter] och förordning (EU) 2017/746 [medicintekniska produkter för in vitro-diagnostik och tillbehör till sådana produkter], eftersom båda dessa förordningar omfattar produktkrav som även omfattar programvara och allmänna skyldigheter för tillverkare, under produkternas hela livscykel, samt förfaranden för bedömning av överensstämmelse. Denna förordning kommer inte att tillämpas på sådana produkter med digitala element som har certifierats i enlighet med förordning 2018/1139 [en hög och enhetlig säkerhetsnivå inom den civila luftfarten] och inte heller på produkter som omfattas av förordning (EU) 2019/2144 [krav för typgodkännande av motorfordon och deras släpvagnar samt de system, komponenter och separata tekniska enheter som är avsedda för sådana fordon].

Den föreslagna förordningen omfattar a) regler för utsläppandet på marknaden av produkter med digitala element, för att säkerställa cybersäkerheten för sådana produkter, b) väsentliga krav för utformningen, utvecklingen och tillverkningen av produkter med digitala element, och skyldigheter för ekonomiska aktörer när det gäller cybersäkerheten för dessa produkter, c) väsentliga krav för de processer för sårbarhetshantering som tillverkarna inför för att säkerställa cybersäkerheten för produkter med digitala element under hela deras livscykel samt skyldigheter för ekonomiska aktörer i samband med dessa processer, och d) regler för marknadsövervakning och verkställighet när det gäller ovannämnda regler och krav.

Kommissionen ges också befogenhet att anta genomförandeakter när det gäller följande: Specificera formatet och vad som ska ingå i rapporteringsskyldigheterna och programvaruförteckningen. Specificera de europeiska system för cybersäkerhetscertifiering som kan användas för att visa överensstämmelse med de väsentliga kraven – eller delar därav – enligt denna förordning. Anta gemensamma specifikationer. Fastställa tekniska specifikationer för anbringande av CE-märkning. Vidta korrigerande eller begränsande åtgärder på unionsnivå under exceptionella omständigheter som motiverar ett omedelbart ingripande för att bevara en välfungerande inre marknad.

2022/0272 (COD)

Förslag till

EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING

om övergripande cybersäkerhetskrav för produkter med digitala element och om ändring av förordning (EU) 2019/1020

(Text av betydelse för EES)

EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 114,

med beaktande av Europeiska kommissionens förslag,

efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten,

med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande,

med beaktande av Regionkommitténs yttrande,

i enlighet med det ordinarie lagstiftningsförfarandet, och

av följande skäl:

(1)Det är nödvändigt att förbättra den inre marknadens funktionssätt genom att fastställa en enhetlig rättslig ram för väsentliga cybersäkerhetskrav för utsläppande av produkter med digitala element på marknaden i unionen. Två stora problem som ökar kostnaderna för användarna och samhället bör lösas: en låg cybersäkerhetsnivå för produkter med digitala element, vilket visas av utbredda sårbarheter och ett otillräckligt och inkonsekvent tillhandahållande av säkerhetsuppdateringar för att åtgärda dessa sårbarheter, samt användarnas bristfälliga förståelse och tillgång till information, vilket hindrar dem från att välja produkter med tillräckliga cybersäkerhetsfunktioner eller att använda dem på ett säkert sätt.

(2)Förordningen syftar till att fastställa randvillkor för utvecklingen av säkra produkter med digitala element genom att säkerställa att hårdvaru- och programvaruprodukter som släpps ut på marknaden har färre sårbarheter och att tillverkarna tar säkerheten på allvar under produktens hela livscykel. Den syftar också till att skapa förutsättningar för att användarna ska kunna ta hänsyn till cybersäkerheten när de väljer och använder produkter med digitala element.

(3)Den relevanta unionslagstiftning som för närvarande gäller omfattar flera uppsättningar övergripande regler som behandlar vissa aspekter av cybersäkerheten från olika synvinklar, inbegripet åtgärder för att förbättra säkerheten i den digitala leveranskedjan. Den befintliga unionslagstiftningen om cybersäkerhet, inbegripet [direktiv XXX/XXXX (NIS2)] och Europaparlamentets och rådets förordning (EU) 2019/881 täcker inte på ett direkt sätt obligatoriska krav avseende säkerheten för produkter med digitala element.

(4)Den befintliga unionslagstiftningen är visserligen tillämplig på vissa produkter med digitala element, men det finns inget övergripande unionsregelverk med övergripande cybersäkerhetskrav för alla produkter med digitala element. De olika rättsakter och initiativ som hittills har vidtagits på unionsnivå och nationell nivå åtgärdar endast delvis de identifierade cybersäkerhetsrelaterade problemen och riskerna, vilket ger upphov till ett lapptäcke av lagar på den inre marknaden som ökar rättsosäkerheten för både tillverkare och användare av dessa produkter och innebär att det blir onödigt betungande för företagen som måste uppfylla många olika krav för samma typer av produkter. Cybersäkerheten för dessa produkter har en särskilt stark gränsöverskridande dimension, eftersom produkter som tillverkas i ett land ofta används av organisationer och konsumenter på hela den inre marknaden. Därmed är det nödvändigt att reglera detta område på unionsnivå. Unionens regelverk bör harmoniseras genom ett införande av cybersäkerhetskrav för produkter med digitala element. Förutsebarheten bör också säkerställas för aktörer och användare i hela unionen och harmoniseringen förbättras på den inre marknaden, vilket skapar hållbarare villkor för operatörer som vill komma in på unionsmarknaden.

(5)På unionsnivå har särskilda EU-cybersäkerhetskrav efterlysts för digitala eller uppkopplade produkter, exempelvis i EU:s cybersäkerhetsstrategi för det digitala decenniet, rådets slutsatser av den 2 december 2020 och den 23 maj 2022 och Europaparlamentets resolution av den 10 juni 2021, och flera länder runtom i världen håller på att vidta åtgärder för att åtgärda detta på eget initiativ. I slutrapporten från konferensen om Europas framtid efterlyste medborgarna ”En starkare roll för EU när det gäller att motverka cybersäkerhetshot”.

(6)För att höja den allmänna cybersäkerhetsnivån för alla produkter med digitala element som släpps ut på den inre marknaden är det nödvändigt att införa målinriktade och teknikneutrala väsentliga cybersäkerhetskrav för dessa produkter vilka ska tillämpas horisontellt.

(7)Under vissa omständigheter kan alla produkter med digitala element vilka är integrerade i eller anslutna till ett större elektroniskt informationssystem fungera som en attackvektor för fientliga aktörer. Det innebär att även hårdvara eller programvara som anses mindre kritisk kan underlätta en inledande kompromettering av en enhet eller ett nät, vilket gör det möjligt för fientliga aktörer att få priviligierad åtkomst till ett system eller röra sig lateralt mellan system. Tillverkarna bör därför säkerställa att alla uppkopplingsbara produkter med digitala element utformas och utvecklas i enlighet med de väsentliga krav som fastställs i denna förordning. Detta innefattar både produkter som kan anslutas fysiskt via hårdvarugränssnitt och produkter som ansluts logiskt, t.ex. via nätanslutningsuttag, rör, filer, programmeringsgränssnitt eller andra typer av programvarugränssnitt. I och med att cybersäkerhetshot kan spridas via olika produkter med digitala element tills de når ett visst mål, exempelvis genom att sammanlänka flera olika attacker mot sårbarheter, bör tillverkarna också säkerställa cybersäkerheten för produkter som endast indirekt ansluts till andra enheter eller nät.