CELEX: 
Language: sv
Date: 2021-10-29 00:00:00
Title: KOMMISSIONENS DELEGERADE FÖRORDNING (EU) …/… om komplettering av Europaparlamentets och rådets direktiv 2014/53/EU vad gäller tillämpningen av de väsentliga krav som avses i artikel 3.3 d, e och f i det direktivet

MOTIVERING
            
            
               1.BAKGRUND TILL DEN DELEGERADE AKTEN
            
            
               En mängd radioutrustning används dagligen av inte bara vuxna eller yrkesmässiga användare, utan även av utsatta användare som barn. 
            
            
               Europaparlamentet och rådet har vid upprepade tillfällen framhållit behovet av att stärka cybersäkerheten i EU
                  1
                och erkänner den tilltagande betydelsen av uppkopplad radioutrustning, däribland maskiner, sensorer och nätverk som ingår i sakernas internet och därtill hörande säkerhetsproblem. EU-ramen består av ett antal rättsakter
                  2
                som rör cybersäkerhet och aspekter av den. För vissa cybersäkerhetsfrågor kan olika aktörer ha särskilda skyldigheter att bidra till att hela ekosystemet förblir säkert. Exempelvis bör nätoperatörer och tjänsteleverantörer säkerställa att deras system och plattformar är säkra, utrustningstillverkarna bör säkerställa att utrustningen är konstruerad enligt tillämpliga säkerhetsprinciper, användarna bör vara medvetna om riskerna med vissa aktiviteter och om behovet av nödvändiga uppdateringar av den använda utrustningen, medan medlemsstaterna får fastställa prioriteringar. Cybersäkerhet i hela ekosystemet säkerställs endast om alla ingående komponenter är cybersäkra. 
            
            
               Vidare bedömde Forbrukarrådet i Norge i december 2016 de tekniska egenskaperna hos några radioanslutna leksaker
                  3
               . Forbrukarrådet pekar på möjliga brister i skyddet av barns rätt till personlig integritet, skydd av personuppgifter och säkerhet. Genom integrerade högtalare, mikrofoner och andra sensorer är uppkopplade leksaker definitionsmässigt smarta och kan till exempel tolka tal, vilket gör att de kan interagera med barnet. De kan också registrera inte bara foton, video, geolokaliseringsuppgifter och data som rör lekupplevelsen, utan även hjärtslag, sömnvanor och andra biometriska data. Rapporten visar också att vissa av leksakerna marknadsför produkter när de interagerar med barnet, vilket knappast stämmer överens med den öppenhet som bör råda för denna typ av produkter. Därför efterlyser de europeiska konsumentorganisationerna
                  4
                åtgärder.
            
            
               Leksaker är bara en del av en hel sektor där liknande risker förekommer. Enligt direktiv 2009/48/EG ska de leksaker som direktivet gäller för uppfylla säkerhetskrav innan de får släppas ut på marknaden i unionen. Kraven i det direktivet omfattar dock inte exempelvis skydd av personuppgifter och personlig integritet eller skydd mot bedrägeri. 
            
            
               Smarta apparater, smarta kameror och många andra radioanslutna enheter som mobiltelefoner, bärbara datorer, hårdvarunycklar, larmsystem och smarthussystem är andra exempel på utrustning som kan hackas och medföra integritetsproblem när de är uppkopplade till internet. Dessutom kan kroppsburen radioutrustning (ringar, armband, clips, hörlurar, aktivitetsmätare osv.) över tid övervaka och registrera ett antal känsliga användaruppgifter (t.ex. position, temperatur, blodtryck och hjärtfrekvens) och vidaresända dem inte bara via internet utan också genom oskyddad kortdistanskommunikation. I direktiv 2014/53/EU om radioutrustning
                  5
                fastställs regler för utsläppande av radioutrustning på den inre marknaden. Det är fråga om obligatoriska villkor för tillträde till marknaden för radioutrustning. Direktivet om radioutrustning omfattar elektrisk och elektronisk utrustning som kan använda radiospektrumet för kommunikation eller radiobestämning. Medlemsstaterna ska via sina nationella marknadskontrollmyndigheter vidta korrigerande åtgärder mot radioutrustning som inte uppfyller kraven. 
            
            
               I artikel 3 i direktivet om radioutrustning fastställs de väsentliga krav som radioutrustning som släpps ut på unionsmarknaden ska uppfylla. I artikel 3.1 a fastställs krav med avseende på hälsa och säkerhet, i artikel 3.1 b krav avseende elektromagnetisk kompatibilitet och i artikel 3.2 krav för effektiv och ändamålsenlig användning av radiospektrumet. I artikel 3.3 föreskrivs dessutom ytterligare väsentliga krav för kategorier eller klasser av radioutrustning som specificeras av kommissionen i delegerade akter. 
            
            
               Genom direktivet om radioutrustning ges kommissionen befogenhet att anta delegerade akter för att göra kraven i artikel 3.3 i direktivet tillämpliga genom att föreskriva de krav som ska gälla kategorier eller klasser av radioutrustning. Tre led i artikel 3.3 andra stycket är relevanta för detta initiativ: 
            
            
               ·3.3 d: nätskydd.
            
            
               ·3.3 e: skydd av personuppgifter och personlig integritet.
            
            
               ·3.3 f: skydd mot bedrägeri. 
            
            
               Syftet är dock inte att skapa ytterligare regler eller regler som överlappar befintlig lagstiftning, utan att säkerställa att de befintliga principerna i tillämpliga fall omsätts i särskilda krav för tillverkning av varor som ska släppas ut på unionsmarknaden med en viss grad av efterlevnad eller verifierbarhet. Det är viktigt att säkerställa komplementaritet med den befintliga EU-ramen. Därför bör radioutrustning, radioprodukter och radiokomponenter på vilka förordning (EU) 2019/2144
                  6
                 och förordning (EU) 2018/1139
                  7
                eller direktiv (EU) 2019/520
                  8
                är tillämpliga inte inordnas i de kategorier eller klasser av radioutrustning som bör uppfylla de väsentliga kraven i artikel 3.3 e och f i direktiv 2014/53/EU. 
            
            
               När det gäller dataskydd reglerar unionslagstiftningen om personuppgifter och integritetsskydd, exempelvis Europaparlamentets och rådets förordning (EU) 2016/679
                  9
                och Europaparlamentets och rådets direktiv 2002/58/EG
                  10
               , behandling av personuppgifter och integritetsskydd men inte utsläppande av radioutrustning på unionsmarknaden . 
            
            
               Huvudsyftet med detta initiativ är att bidra till att stärka det ”ekosystem av förtroende” som uppstår genom samverkan mellan alla relaterade EU-rättsakter om nätskydd, integritet och bedrägeribekämpning, vilka beskrivs närmare i den åtföljande konsekvensbedömningen. Detta initiativ bör alltså endast tillåta radioutrustning som är tillräckligt säker på EU-marknaden. Med detta allmänna mål i åtanke syftar initiativet till att stärka respekten för vissa grundläggande rättigheter (t.ex. personlig integritet) och stödja de politiska målen i andra EU-rättsakter som inte möjliggör marknadskontroller. Snabba åtgärder är också nödvändiga med tanke på riskernas omfattning och med tanke på att en snabb tillämpning får positiv inverkan på EU:s befintliga politiska mål. Den befogenhet som redan har tilldelats kommissionen gör det möjligt att agera inom de befintliga ramarna och utan att det behövs någon särskild ytterligare lagstiftning. För att åtgärda problemen med produkter som saknar inbyggd säkerhet är ett särskilt mål att förse marknadskontrollmyndigheterna med tillsynsverktyg så att de kan vidta korrigerande åtgärder. Ett annat mål är att garantera en inre marknad för de berörda produkterna som inte hindras av skiljaktiga lokala eller nationella bestämmelser med åtföljande administrativ börda, särskilt för mindre företag. Slutligen är också målet att skapa lika villkor genom tydliga och proportionerliga regler som tillämpas effektivt och enhetligt i hela EU.
            
            
               Behovet av inremarknadsregler med skyddsåtgärder mot osäkra produkter och tjänster betonas i det gemensamma meddelandet från kommissionen och unionens höga representant för utrikes frågor och säkerhetspolitik av den 16 december 2020 om EU:s strategi för cybersäkerhet för ett digitalt decennium
                  11
               .
            
            
               2.SAMRÅD SOM FÖREGÅTT ANTAGANDET AV AKTEN
            
            
               Vid samrådet kring detta initiativ har hänsyn tagits till alla tänkbara aspekter, bl.a. konsekvenserna för samhället (t.ex. konsumenter och ekonomiska aktörer), de nationella myndigheterna, tillträdesvillkoren för den gemensamma marknaden samt genomförandet av och samspelet med annan EU-lagstiftning. De berörda parternas synpunkter användes utöver underlag från andra källor (t.ex. tryckta källor). 
            
            
               De berörda parterna är myndigheter med ansvar för databehandling, bedrägeri och/eller radioutrustning, sammanslutningar av ekonomiska aktörer, enskilda ekonomiska aktörer, konsumentorganisationer, allmänheten, akademiska institutioner/forskningsinstitutioner, relevanta icke-statliga organisationer, anmälda organ och europeiska standardiseringsorganisationer.
            
         
         
            
               Följande specifika samråd har genomförts:
            
            
               ·Alla berörda parter kunde lämna synpunkter på den inledande konsekvensbedömningen under en period av fyra veckor
                  12
               .
            
            
               ·Ett 12 veckor långt offentligt samråd har inletts på kommissionens portal för bättre lagstiftning
                  13
               .
            
            
               ·Ett riktat samråd för medlemsstater, ekonomiska aktörer (sammanslutningar och enskilda), konsumentorganisationer, organ för bedömning av överensstämmelse, konsumenter och övriga experter.
            
            
               De berörda parterna inbjöds också att delta i den riktade enkäten, även de som deltog i mötet i expertgruppen för radioutrustning. Av dessa valde 56 att svara på frågeformuläret. De 56 uppgiftslämnarna var hemmahörande i 20 länder, däribland 14 EU-medlemsstater. Flest svar (14) kom från Belgien, varav nästan alla var organ som företräder tillverkare eller konsumenter. Tyskland var det näst mest representerade landet med 11 uppgiftslämnare, främst tillverkare. Av länder utanför EU var USA bäst representerat med 5 uppgiftslämnare, en blandning av tillverkare och branschorganisationer. Det fanns en balans i storleken på de organisationer som svarade. Stora organisationer var alla tillverkare och nationella offentliga förvaltningar, utom två organ för bedömning av överensstämmelse och ett universitet. Många av mikroorganisationerna var industri- eller konsumentorganisationer. De små och medelstora organisationerna var en blandning av alla typer av organisationer.
            
            
               Sammanlagt 42 uppgiftslämnare slutförde det öppna offentliga samrådet, som bestod av öppna och slutna frågor. Uppgiftslämnarna kom från följande länder:
            
            
               ·De 42 uppgiftslämnarna var hemmahörande i 14 EU-medlemsstater.
            
            
               ·Det största antalet svar (8) kom från Tyskland, varav sju var enskilda medborgare.
            
            
               ·Sex kom från Belgien, varav samtliga var sammanslutningar på EU-nivå (fem näringslivsorganisationer och en konsumentorganisation).
            
            
               ·Sex kom från Spanien, varav fyra myndigheter och två företag.
            
            
               ·Ingen av uppgiftslämnarna var hemmahörande utanför EU.
            
            
               Uppgiftslämnarna utgjorde följande typer:
            
            
               ·Av de 42 uppgiftslämnarna var drygt hälften (22) enskilda medborgare.
            
            
               ·Dessa kom från 10 EU-länder. 
            
            
               ·Av de sex myndigheterna kom fyra från Spanien och en från vardera Estland och Irland.
            
            
               ·Av de sju näringslivsorganisationerna var fem organisationer på EU-nivå baserade i Belgien.
            
            
               ·De sex företagen kom från fem olika länder. Tre var mikroföretag, två små och ett stort.
            
            
               ·Den enda konsumentorganisationen var en organisation på EU-nivå baserad i Belgien.
            
            
               Samrådet med expertgruppen för radioutrustning (E03587) genomfördes på grundval av preliminära handlingar om huvuddragen i den delegerade akten (tillämpningsområde, tillämpliga artiklar, dag för tillämpning) den 18 september 2020 och 17 november 2020. Samma grupp rådfrågades om utkastet till rättsakt den 24 februari 2021. I expertgruppen för radioutrustning deltar myndigheter i EU:s medlemsstater och associerade länder, konsumentorganisationer, sammanslutningar av ekonomiska aktörer som berörs av direktivet om radioutrustning samt europeiska standardiseringsorganisationer. Inkomna synpunkter finns tillgängliga för allmänheten i CIRCABC
                  14
               , där även diskussionerna sammanfattas i mötesprotokollen.
            
            
               Några alternativ förkastades antingen i ett tidigt skede eller under utarbetandet av initiativet, av olika skäl, såsom anges nedan:
            
         
         
            
               ·I ett tidigt skede var ett alternativ en ny övergripande rättsakt om cybersäkerhet. Flera enskilda tillverkare och deras branschorganisationer föreslog detta som det bästa alternativet som enligt deras mening skulle undvika att resultat, effektivitet och ändamålsenlighet splittrades. Det nämndes dock i diskussionerna i expertgruppen för radioutrustning att ett sådant alternativ realistiskt sett, med tanke på den tid som krävs för ett medbeslutandeförfarande, inte är lika snabbt som en eller flera delegerade akter enligt direktivet om radioutrustning. 
            
            
               ·När den inledande konsekvensbedömningen offentliggjordes hade cybersäkerhetsakten ännu inte antagits, och därför kunde inga alternativ baseras på den rättsakten. Inrättandet av system för cybersäkerhetscertifiering enligt rättsakten skapar inte heller några rättsliga skyldigheter när det gäller utsläppande av produkter på marknaden. Cybersäkerhetscertifiering är därför fortfarande frivilligt och behandlades inom ramen för frivilliga industristrategier inom ramen för politiska alternativ.
            
            
               Senare, dvs. efter offentliggörandet av den inledande konsekvensbedömningen, föreslog vissa medlemsstater att artikel 3.3 d skulle användas tillsammans med artikel 3.3 e och 3.3 f, med tanke på samverkansfördelarna om de tre bestämmelserna utnyttjas tillsammans. Eftersom medlemsstaterna och konsumentorganisationerna betraktade artikel 3.3 d som ett komplement till alternativ 4 övervägdes därför inte ett separat alternativ för artikel 3.3 d. 
            
            
               För att hantera cybersäkerhetsriskerna i alla uppkopplade produkter och tjänster under hela deras livscykel meddelade dessutom kommissionen i det gemensamma meddelandet från december 2020 om EU:s strategi för cybersäkerhet för ett digitalt decennium
                  15
                att den kommer att överväga en övergripande strategi med bl.a. nya övergripande regler för bättre cybersäkerhet i alla uppkopplade produkter och tjänster som släpps ut på den inre marknaden. 
            
            
               3. OFFENTLIGT SAMRÅD OM FÖRSLAGET
            
            
               Efter att ha diskuterat utkastet till rättsakt med expertgruppen för radioutrustning inleddes ett formellt fyra veckor långt offentligt samråd
                  16
               . Samrådet var öppet för alla medborgare och berörda parter, utan några begränsningar.
            
            
               Det slutliga antalet mottagna bidrag var 26. Uppgiftslämnarna kom från följande länder:
            
            
               ·Flest svar (18) kom från Belgien.
            
            
               ·Endast ett bidrag skickades från länder utanför Europeiska unionen (Schweiz).
            
            
               ·Övriga svar kom från Nederländerna (4), Polen (1), Tyskland (1) och Frankrike (1).
            
            
               Uppgiftslämnarna utgjorde följande typer:
            
            
               ·Merparten av bidragen (17) kom från branschen.
            
            
               ·Konsumenter och icke-statliga organisationer lämnade 3 svar.
            
            
               ·4 medborgare skickade synpunkter.
            
            
               ·2 bidrag inkom från de europeiska standardiseringsorganisationerna.
            
            
               Efter en bedömning av dessa bidrag har slutsatsen dragits att det inte är nödvändigt att ändra lagförslaget av de skäl som anges nedan:
            
            
               ·Vissa bidrag gällde specifikt tekniska åtgärder för att minska cybersäkerhetshot. Denna rättsakt innehåller dock inte några tekniska åtgärder, utan fastställer endast väsentliga krav. De synpunkter som framförs i de bidrag som inkommit i dessa tekniska frågor kommer att beaktas vid utarbetandet av de stödjande harmoniserade standarderna.
            
            
               ·Vissa berörda parter uttryckte oro över den påstådda överlappningen av skyldigheter enligt annan EU-lagstiftning. Förslaget till rättsakt reglerar utsläppandet på marknaden av den utrustning som omfattas och resten av EU:s rättsliga ram har inte reglerat denna aspekt. Dessutom syftar akten inte till att reglera processer eller tjänster eller frågor efter utsläppandet på marknaden som inte omfattas av radioutrustningsdirektivet.
            
            
               ·En branschorganisation uppgav att de ansåg att akten skapar hinder för små och medelstora företag. Såsom anges i konsekvensbedömningen kommer de kommande harmoniserade standarderna att tillhandahålla de tekniska lösningarna. Små och medelstora företag kommer att bidra till att utveckla dem.
            
            
               ·Ett antal kommentarer har inkommit om förståelsen av vilka kategorier av utrustning som de väsentliga kraven kommer att gälla för. Definitionen av ”internetansluten enhet” har diskuterats ingående i den relevanta expertgruppen. En begränsning av tillämpningsområdet i termer av avsedd användning och inte av teknisk kapacitet innebär att flera typer av utrustning inte omfattas av akten. Ur teknisk synvinkel skulle kommunikation via internet vara möjlig och hackare skulle kunna utnyttja dessa sårbarheter. Dessutom är begreppet ”nätverk” tydligt och omfattar internet.
            
         
         
            
               ·Vissa branschorganisationer uttryckte oro över principen om teknikneutralitet, eftersom trådbunden utrustning inte omfattas av akten. Konsekvensbedömningen bekräftar att de trådlösa enheterna utgör en högre risk när det gäller cybersäkerhet och att särskilda åtgärder därför bör vidtas för denna radioutrustning.
            
            
               ·En branschorganisation påpekade att inte all utrustning som används av barn omfattas av akten. I detta avseende säkerställs skyddet av barns integritet genom de skyldigheter som åläggs tillverkare av internetanslutna enheter, leksaker och utrustning för barnomsorg (de två sistnämnda även om de inte kan kommunicera via internet). Radioutrustning som används av barn ingår i stort sett i ovannämnda kategorier.
            
            
               ·Slutligen uttryckte majoriteten av de berörda parterna oro över övergångsperioden, som ansågs vara för kort eller för lång. Övergångsperioden på 30 månader anses hitta rätt balans mellan behovet av att snabbt förbättra cybersäkerhetsnivån för radioutrustning på den europeiska marknaden och behovet av att ge tillverkarna rimlig tid att anpassa sina produkter.
            
            
               4.DEN DELEGERADE AKTENS RÄTTSLIGA ASPEKTER
            
            
               Målet för denna delegerade förordning är att göra de väsentliga cybersäkerhetskraven i artikel 3.3 d, e och f
                  17
                i direktivet om radioutrustning tillämpliga på de kategorier av radioutrustning som utgör cybersäkerhetsrisker.
            
            
               Det föreskrivs närmare bestämt att artikel 3.3 d, e och f i direktivet om radioutrustning ska tillämpas på internetansluten radioutrustning, enligt definitionen i artikel 1, med förbehåll för vissa undantag som anges i den delegerade akten.
            
            
               Dessutom föreskrivs det att artikel 3.3 e i direktivet om radioutrustning ska tillämpas på kroppsburen radioutrustning, leksaker som också är radioutrustning samt radioutrustning för barnomsorg, oavsett om den är internetansluten eller inte, med förbehåll för vissa undantag som anges i den delegerade akten.
            
            
               Den delegerade förordningen följer de principer som fastställs i olika relevanta EU-rättsakter, särskilt EU:s cybersäkerhetslagstiftning.
            
            
               Den delegerade förordningen ska börja tillämpas 30 månader efter att den trätt i kraft, och den delegerade förordningen påverkar alltså inte radioutrustning som släppts ut på unionsmarknaden dessförinnan.
            
            
               Den delegerade förordningen påverkar inte unionens budget.
            
            
               KOMMISSIONENS DELEGERADE FÖRORDNING (EU) …/…
            
            
               av den 29.10.2021
            
            
               om komplettering av Europaparlamentets och rådets direktiv 2014/53/EU vad gäller tillämpningen av de väsentliga krav som avses i artikel 3.3 d, e och f i det direktivet
            
            
               (Text av betydelse för EES)
            
            
               EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING
            
            
               med beaktande av fördraget om Europeiska unionens funktionssätt,
            
            
               med beaktande av Europaparlamentets och rådets direktiv 2014/53/EU av den 16 april 2014 om harmonisering av medlemsstaternas lagstiftning om tillhandahållande på marknaden av radioutrustning och om upphävande av direktiv 1999/5/EG
                  18
               , särskilt artikel 3.3 andra stycket jämfört med artikel 3.3 första stycket d, e och f, och.
            
            
               av följande skäl:
            
            
               (1)Skydd av nätet eller dess funktion mot skada, skydd av användarnas och abonnenternas personuppgifter och personliga integritet samt skydd mot bedrägeri är faktorer som utgör ett skydd mot cybersäkerhetsrisker.
            
            
               (2)Som sägs i skäl 13 i direktiv 2014/53/EU kan skyddet av personuppgifter och privatliv för användare och abonnenter av radioutrustning och skyddet mot bedrägerier förbättras genom särskilda funktioner hos radioutrustningen. Enligt det skälet bör radioutrustning därför i förekommande fall konstrueras på ett sådant sätt att den stöder dessa funktioner.
            
         
         
            
               (3)5G kommer att spela en nyckelroll i utvecklingen av unionens digitala ekonomi och samhälle de kommande åren och kan påverka nästan alla aspekter av unionsinvånarnas liv. I dokumentet Cybersecurity of 5G networks - EU Toolbox of risk mitigating measures
                  19
                anges en möjlig gemensam uppsättning åtgärder som kan minska de största cybersäkerhetsriskerna i 5G-nät, med vägledning för valet av vilka åtgärder som bör prioriteras i riskreduceringsplaner på nationell nivå och unionsnivå. Utöver sådana åtgärder är det mycket viktigt att inta en harmoniserad hållning till väsentliga krav som rör de delar av cybersäkerhetsskyddet som är tillämpliga på 5G-radioutrustning när den släpps ut på unionsmarknaden.
            
            
               (4)Den säkerhetsnivå som är tillämplig enligt de väsentliga unionskrav som anges i artikel 3.3 d, e och f i direktiv 2014/53/EU för att säkerställa nätskydd, skydd av personuppgifter och personlig integritet och skydd mot bedrägeri får inte motverka den höga säkerhetsnivå som krävs på nationell nivå för decentraliserade smarta elnät där smarta mätare som omfattas av dessa krav ska användas, och för 5G-nätutrustning som används av leverantörer av allmänna elektroniska kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster i den mening som avses i direktiv (EU) 2018/1972.
            
            
               (5)Många farhågor har också uttryckts när det gäller de ökande cybersäkerhetsriskerna till följd av den ökade användningen bland yrkesmässiga användare och konsumenter, däribland barn, av radioutrustning som i) kan kommunicera via internet, oavsett om den kommunicerar direkt eller via någon annan utrustning (internetansluten radioutrustning), dvs. sådan internetansluten utrustning som använder de protokoll som krävs för att utbyta data med internet, antingen direkt eller via en förmedlande utrustning, ii) kan utgöra en leksak med radiofunktion som också omfattas av Europaparlamentets och rådets direktiv 2009/48/EG
                  20
                eller är konstruerad eller avsedd uteslutande för barnomsorg, t.ex. barnmonitorer, eller iii) är konstruerad eller avsedd att uteslutande eller icke-uteslutande, bäras på, spännas fast på eller hängas på någon del av människokroppen (inbegripet huvud, hals, bål, armar, händer, ben och fötter) eller klädesplagg (inbegripet huvudbonader, handbeklädnader och skodon) som bärs av människor, exempelvis radioutrustning i form av armbandsur, ringar, armband, headsets, hörlurar eller glasögon (kroppsburen radioutrustning). 
            
            
               (6)Radioutrustning för barnomsorg, radioutrustning som omfattas av direktiv 2009/48/EG eller kroppsburen radioutrustning som självständigt kan kommunicera via internet, oavsett om den kommunicerar direkt eller via någon annan utrustning, bör i detta avseende betraktas som internetansluten radioutrustning. Implantat bör däremot inte betraktas som kroppsburen radioutrustning, eftersom de inte bärs på, spänns fast på eller hängs på någon del av människokroppen eller något klädesplagg. Implantat bör dock anses vara internetansluten radioutrustning om de självständigt kan kommunicera via internet, oavsett om de kommunicerar direkt eller via någon annan utrustning.
            
            
               (7)Med tanke på de farhågor som uppstått på grund av att radioutrustning inte säkerställer skydd mot vissa cybersäkerhetsrisker är det nödvändigt att göra de väsentliga krav i direktiv 2014/53/EU som rör skydd mot nätskada, skydd av användarnas och abonnenternas personuppgifter och personliga integritet samt skydd mot bedrägeri tillämpliga på radioutrustning i vissa kategorier eller klasser. 
            
            
               (8)Direktiv 2014/53/EU är tillämpligt på produkter som uppfyller definitionen av radioutrustning i artikel 2 i det direktivet, med förbehåll för de undantag som anges i artikel 1.2 och artikel 1.3 i det direktivet. Definitionen av radioutrustning i artikel 2 i direktiv 2014/53/EU avser utrustning som kan kommunicera med radiovågor, men det finns inga krav i direktiv 2014/53/EU där någon åtskillnad görs mellan radioutrustningens radiofunktioner och andra funktioner, varför alla aspekter och delar av utrustningen bör uppfylla de väsentliga kraven i denna delegerade förordning. 
            
            
               (9)När det gäller skada på nätet eller dess funktion eller missbruk av nätresurser kan oacceptabel försämring av tjänster orsakas av internetansluten radioutrustning som inte säkerställer att nätet inte skadas eller inte missbrukas. En angripare kan till exempel uppsåtligen överbelasta internet för att förhindra legitim nättrafik, störa förbindelserna mellan två radioprodukter och på så sätt förhindra tillgång till en tjänst, hindra en viss person från att få tillgång till en tjänst, störa en tjänst för ett visst system eller en viss person eller störa informationen. Försämringen av nättjänster kan således leda till skadliga cyberangrepp, vilket medför ökade kostnader, olägenheter eller risker för operatörer, tjänsteleverantörer eller användare. Enligt artikel 3.3 d i direktiv 2014/53/EU krävs att radioutrustning inte skadar nätet eller dess funktion eller missbrukar nätresurser och därmed orsakar en oacceptabel försämring av tjänsten, varför den bestämmelsen bör tillämpas på internetansluten radioutrustning.
            
            
               (10)Farhågor har också uttryckts när det gäller skyddet av personuppgifter och personlig integritet för användare och abonnenter av internetansluten radioutrustning på grund av radioutrustningens förmåga att registrera, lagra och sprida information och interagera med användaren, inbegripet barn, när högtalare, mikrofoner och andra sensorer är inbyggda i radioutrustningen. Dessa farhågor gäller särskilt radioutrustningens förmåga att registrera fotografier, video, lokaliseringsuppgifter, data kopplade till lekupplevelsen samt hjärtslag, sömnvanor eller andra personuppgifter. Till exempel kan radioutrustningens avancerade inställningar nås via ett standardlösenord om anslutningen eller uppgifterna inte är krypterade eller om en stark autentiseringsmekanism saknas.
            
            
               (11)Det är därför viktigt att internetansluten radioutrustning som släpps ut på unionsmarknaden innehåller skyddsåtgärder för att säkerställa att personuppgifter och personlig integritet skyddas om utrustningen kan behandla personuppgifter enligt definitionen i artikel 4.1 i förordning (EU) nr 2016/679
                  21
                eller uppgifter enligt definitionen i artikel 2 b och c i direktiv 2002/58/EG
                  22
               . Artikel 3.3 e i direktiv 2014/53/EU bör därför tillämpas på internetansluten radioutrustning.
            
            
               (12)När det gäller skydd av personuppgifter och personlig integritet medför dessutom radioutrustning för barnomsorg, radioutrustning som omfattas av direktiv 2009/48/EG och kroppsburen radioutrustning säkerhetsrisker även i avsaknad av internetanslutning. Personuppgifter kan uppsnappas när radioutrustningen sänder eller tar emot radiovågor, om den saknar skyddsåtgärder som säkerställer skydd av personuppgifter och personlig integritet. Radioutrustning för barnomsorg, radioutrustning som omfattas av direktiv 2009/48/EG och kroppsburen radioutrustning kan övervaka och registrera ett antal av användarens känsliga personuppgifter över tid och vidaresända dem med hjälp av kommunikationsteknik som kan vara osäker. Radioutrustning för barnomsorg, radioutrustning som omfattas av direktiv 2009/48/EG och kroppsburen radioutrustning bör också säkerställa skydd för personuppgifter och personligintegritet, om utrustningen i den mening som avses i artikel 4.2 i förordning (EU) 2016/679 kan behandla personuppgifter enligt definitionen i artikel 4.1 i förordning (EU) 2016/679 eller trafikuppgifter och lokaliseringsuppgifter enligt definitionen i artikel 2 b och c i direktiv 2002/58/EG. Artikel 3.3 e i direktiv 2014/53/EU bör därför tillämpas på sådan radioutrustning.
            
            
               (13)När det gäller bedrägeri kan information, inbegripet personuppgifter, inhämtas från sådan internetansluten radioutrustning som inte garanterar skydd mot bedrägeri. Vissa typer av bedrägerier rör internetansluten radioutrustning som används för betalningar via internet. Kostnaderna kan bli höga, inte bara för den som drabbats av bedrägeriet utan även för samhället som helhet (t.ex. kostnaderna för polisutredningar, kostnaderna för brottsoffertjänster och kostnaderna för rättegångar för att fastställa ansvar). Det är därför nödvändigt att säkerställa tillförlitliga transaktioner och minimera risken för ekonomiska förluster för användare av internetansluten radioutrustning som verkställer betalningar via sådan radioutrustning och för mottagaren av betalningarna som görs via radioutrustningen.
            
            
               (14)Internetansluten radioutrustning som släpps ut på unionsmarknaden bör stödja funktioner som säkerställer skydd mot bedrägeri om de gör det möjligt för innehavaren eller användaren att överföra pengar, penningvärde eller virtuell valuta enligt definitionen i artikel 2 d i Europaparlamentets och rådets direktiv (EU) 2019/713
                  23
               . Artikel 3.3 f i direktiv 2014/53/EU bör därför tillämpas på sådan radioutrustning.
            
            
               (15)I Europaparlamentets och rådets förordning (EU) 2017/745
                  24
                fastställs bestämmelser om medicintekniska produkter och i Europaparlamentets och rådets förordning (EU) 2017/746
                  25
                fastställs bestämmelser om medicintekniska produkter för in vitro-diagnostik. I både förordning (EU) 2017/745 och förordning (EU) 2017/746 behandlas vissa cybersäkerhetsrisker som har samband med de risker som avses i artikel 3.3 d, e och f i direktiv 2014/53/EU. Därför bör radioutrustning som någon av de förordningarna är tillämplig på inte inordnas i de kategorier eller klasser av radioutrustning som bör uppfylla de väsentliga kraven i artikel 3.3 d, e och f i direktiv 2014/53/EU. 
            
            
               (16)I Europaparlamentets och rådets förordning (EU) 2019/2144
                  26
                fastställs krav för typgodkännande av fordon och av system och komponenter till fordon. Europaparlamentets och rådets förordning (EU) 2018/1139
                  27
                syftar i första hand till att fastställa och upprätthålla en hög och enhetlig nivå på flygsäkerheten i unionen. I Europaparlamentets och rådets direktiv (EU) 2019/520
                  28
                fastställs villkor för driftskompatibilitet mellan elektroniska vägtullsystem och underlättande av gränsöverskridande informationsutbyte om underlåtenhet att betala vägavgifter i unionen. I förordning (EU) 2019/2144, förordning (EU) 2018/1139 och direktiv (EU) 2019/520 behandlas vissa cybersäkerhetsrisker som har samband med de risker som avses i artikel 3.3 e och f i direktiv 2014/53/EU. Radioutrustning på vilken förordning (EU) 2019/2144 och förordning (EU) 2018/1139 eller direktiv (EU) 2019/520 är tillämpliga bör därför inte inordnas i de kategorier eller klasser av radioutrustning som bör uppfylla de väsentliga kraven i artikel 3.3 e och f i direktiv 2014/53/EU.
            
            
               (17)I artikel 3 i direktiv 2014/53/EU fastställs väsentliga krav som de ekonomiska aktörerna ska uppfylla. För att underlätta bedömningen av överensstämmelse med dessa krav föreskrivs i direktivet presumtion om överensstämmelse för radioutrustning som överensstämmer med frivilliga harmoniserade standarder som har antagits i enlighet med Europaparlamentets och rådets förordning (EU) nr 1025/2012
                  29
                i syfte att ange detaljerade tekniska specifikationer av dessa krav. I specifikationerna bör den risknivå som motsvarar den avsedda användningen av varje kategori eller klass av radioutrustning som berörs av denna förordning beaktas och åtgärdas.
            
            
               (18)De ekonomiska aktörerna bör ges tillräckligt med tid för att anpassa sig till kraven i denna förordning. Tillämpningen av denna förordning bör därför senareläggas. Denna förordning är inte avsedd att hindra ekonomiska aktörer från att följa den från och med dagen för dess ikraftträdande.
            
            
               (19)Kommissionen har genomfört lämpliga samråd under det förberedande arbetet med de åtgärder som fastställs i denna förordning och har samrått med expertgruppen för radioutrustning. 
            
            
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
            
            
               Artikel 1
            
            
               1. Det väsentliga krav som anges i artikel 3.3 d i direktiv 2014/53/EU ska tillämpas på all radioutrustning som självständigt kan kommunicera via internet, oavsett om den kommunicerar direkt eller via någon annan utrustning (internetansluten radioutrustning).
            
         
         
            
               2. Det väsentliga krav som anges i artikel 3.3 e i direktiv 2014/53/EU ska tillämpas på all följande radioutrustning, om radioutrustningen i den mening som avses i artikel 4.2 i förordning (EU) 2016/679 kan behandla personuppgifter enligt definitionen i artikel 4.1 i förordning (EU) 2016/679, eller trafikuppgifter och lokaliseringsuppgifter enligt definitionen i artikel 2 b och c i direktiv 2002/58/EG:
            
            
               (a)Annan internetansluten radioutrustning än sådan utrustning som avses i leden b, c eller d. 
            
            
               (b)Radioutrustning som är konstruerad eller avsedd uteslutande för barnomsorg.
            
            
               (c)Radioutrustning som omfattas av direktiv 2009/48/EG.
            
            
               (d)Radioutrustning som är uteslutande eller icke-uteslutande konstruerad eller avsedd att bäras på, spännas fast vid eller hängas på något av följande:
            
            
               (i)alla delar av människokroppen, inbegripet huvud, hals, bål, armar, händer, ben och fötter,
            
            
               (ii)alla klädesplagg, inbegripet huvudbonader, handbeklädnader och skodon, som bärs av människor.
            
            
               3. Det väsentliga krav som anges i artikel 3.3 f i direktiv 2014/53/EU ska tillämpas på all internetansluten radioutrustning, om utrustningen gör det möjligt för innehavaren eller användaren att överföra pengar, penningvärde eller virtuell valuta enligt definitionen i artikel 2 d i direktiv (EU) 2019/713.
            
            
               Artikel 2
            
            
               1. Med avvikelse från artikel 1 ska de väsentliga krav som anges i artikel 3.3 d, e och f i direktiv 2014/53/EU inte tillämpas på radioutrustning som omfattas av någon av följande unionsrättsakter:
            
            
               (a)Förordning (EU) 2017/745.
            
            
               (b)Förordning (EU) 2017/746.
            
            
               2. Med avvikelse från artikel 1.2 och 1.3 ska de väsentliga krav som anges i artikel 3.3 e och f i direktiv 2014/53/EU inte tillämpas på radioutrustning som omfattas av någon av följande unionsrättsakter:
            
            
               (a)Förordning (EU) 2018/1139. 
            
            
               (b)Förordning (EU) 2019/2144. 
            
            
               (c)Direktiv (EU) 2019/520.
            
            
               Artikel 3
            
            
               Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.
            
            
               Den ska tillämpas från och med den [OP: för in datum 30 månader efter det att denna förordning träder i kraft].
            
            
               Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.
            
         
         
            
               Utfärdad i Bryssel den 29.10.2021
            
            
               
                     På kommissionens vägnar
               
               
                     Ordförande
                     Ursula VON DER LEYEN
               
            
         
         
            
                  
                     (1)
                  
                        Rådets slutsatser om 5G:s betydelse för den europeiska ekonomin och behovet av att minska säkerhetsriskerna i samband med 5G (
                  https://www.consilium.europa.eu/media/41595/st14517-en19.pdf
                  ). Rådets slutsatser om 5G:s betydelse för den europeiska ekonomin och behovet av att minska säkerhetsriskerna i samband med 5G 
                  https://www.europarl.europa.eu/legislative-train/api/stages/report/current/theme/connected-digital-single-market/file/cyber-security-package
                   
                  https://www.forbrukerradet.no/siste-nytt/cayla-og-i-que-bryter-flere-norske-lover/
                     
                  http://www.beuc.eu/publications/beuc-x-2018-017_cybersecurity_for_connected_products.pdf
               
               
                  
                     (2)
                  
                        Det är bl.a. fråga om följande: i) den allmänna dataskyddsförordningen (EU) 2016/679 (GDPR), ii) direktiv 2002/58/EG om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation), iii) förordning (EU) 2019/881 (cybersäkerhetsakten), iv) direktiv (EU) 2019/713 om bekämpande av bedrägeri och förfalskning som rör andra betalningsmedel än kontanter, v) direktiv 2013/40/EU om angrepp mot informationssystem, vi) direktiv (EU) 2016/1148 om säkerhet i nätverks- och informationssystem i hela unionen samt vii) förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden.
               
               
                  
                     (3)
                  
                        
                  https://www.forbrukerradet.no/siste-nytt/cayla-og-i-que-bryter-flere-norske-lover/
               
               
                  
                     (4)
                  
                        
                  http://www.beuc.eu/publications/beuc-x-2018-017_cybersecurity_for_connected_products.pdf
               
               
                  
                     (5)
                  
                        Europaparlamentets och rådets direktiv 2014/53/EU av den 16 april 2014 om harmonisering av medlemsstaternas lagstiftning om tillhandahållande på marknaden av radioutrustning och om upphävande av direktiv 1999/5/EG (EUT L 153, 22.5.2014, s. 62).
               
               
                  
                     (6)
                  
                        Europaparlamentets och rådets förordning (EU) 2019/2144 av den 27 november 2019 om krav för typgodkännande av motorfordon och deras släpvagnar samt de system, komponenter och separata tekniska enheter som är avsedda för sådana fordon, med avseende på deras allmänna säkerhet och skydd för personer i fordonet och oskyddade trafikanter, om ändring av Europaparlamentets och rådets förordning (EU) 2018/858 och om upphävande av Europaparlamentets och rådets förordningar (EG) nr 78/2009, (EG) nr 79/2009 och (EG) nr 661/2009 samt kommissionens förordningar (EG) nr 631/2009, (EU) nr 406/2010, (EU) nr 672/2010, (EU) nr 1003/2010, (EU) nr 1005/2010, (EU) nr 1008/2010, (EU) nr 1009/2010, (EU) nr 19/2011, (EU) nr 109/2011, (EU) nr 458/2011, (EU) nr 65/2012, (EU) nr 130/2012, (EU) nr 347/2012, (EU) nr 351/2012, (EU) nr 1230/2012 och (EU) 2015/166 (EUT L 325, 16.12.2019, s. 1). 
               
               
                  
                     (7)
                  
                        Europaparlamentets och rådets förordning (EU) 2018/1139 av den 4 juli 2018 om fastställande av gemensamma bestämmelser på det civila luftfartsområdet och inrättande av Europeiska unionens byrå för luftfartssäkerhet, och om ändring av Europaparlamentets och rådets förordningar (EG) nr 2111/2005, (EG) nr 1008/2008, (EU) nr 996/2010, (EU) nr 376/2014 och direktiv 2014/30/EU och 2014/53/EU, samt om upphävande av Europaparlamentets och rådets förordningar (EG) nr 552/2004 och (EG) nr 216/2008 och rådets förordning (EEG) nr 3922/91 (EUT L 212, 22.8.2018, s. 1). 
               
               
                  
                     (8)
                  
                        Europaparlamentets och rådets direktiv (EU) 2019/520 av den 19 mars 2019 om driftskompatibilitet mellan elektroniska vägtullsystem och underlättande av gränsöverskridande informationsutbyte om underlåtenhet att betala vägavgifter i unionen (EUT L 91, 29.3.2019, s. 45).
               
               
                  
                     (9)
                  
                        Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).
               
               
                  
                     (10)
                  
                        Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37). 
               
               
                  
                     (11)
                  
                        JOIN(2020) 18 final 
               
               
                  
                     (12)
                  
                        
                  https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/2018-Smartwatches-and-connected-toys
                   
               
               
                  
                     (13)
                  
                        
                  https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/2018-Smartwatches-and-connected-toys/public-consultation
                   
               
               
                  
                     (14)
                  
                        
                  https://circabc.europa.eu/ui/group/43315f45-aaa7-44dc-9405-a86f639003fe/library/f6e8f574-6864-4350-94bb-1719fe29a6c0?p=1&n=10&sort=modified_DESC
                   
               
               
                  
                     (15)
                  
                        JOIN(2020) 18 final
               
               
                  
                     (16)
                  
                        https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/2018-Internet-connected-radio-equipment-and-wearable-radio-equipment_en
               
               
                  
                     (17)
                  
                        d) nätskydd, e) skydd av personuppgifter och personlig integritet samt f) skydd mot bedrägeri.
               
               
                  
                     (18)
                  
                        EUT L 153, 22.5.2014, s. 62.
               
               
                  
                     (19)
                  
                        Cybersecurity of 5G networks - EU Toolbox of risk mitigating measures, 29 January 2020. https://ec.europa.eu/digital-singlemarket/en/nis-cooperation-group
               
               
                  
                     (20)
                  
                        Europaparlamentets och rådets direktiv 2009/48/EG av den 18 juni 2009 om leksakers säkerhet (EUT L 170, 30.6.2009, s. 1).
               
               
                  
                     (21)
                  
                  
                        Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1). 
                  
               
               
                  
                     (22)
                  
                        Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37). 
               
               
                  
                     (23)
                  
                        Europaparlamentets och rådets direktiv (EU) 2019/713 av den 17 april 2019 om bekämpande av bedrägeri och förfalskning som rör andra betalningsmedel än kontanter och om ersättande av rådets rambeslut 2001/413/RIF (EUT L 123, 10.5.2019, s. 18).
               
               
                  
                     (24)
                  
                        Europaparlamentets och rådets förordning (EU) 2017/745 av den 5 april 2017 om medicintekniska produkter, om ändring av direktiv 2001/83/EG, förordning (EG) nr 178/2002 och förordning (EG) nr 1223/2009 och om upphävande av rådets direktiv 90/385/EEG och 93/42/EEG (EUT L 117, 5.5.2017, s. 1). 
               
               
                  
                     (25)
                  
                        Europaparlamentets och rådets förordning (EU) 2017/746 av den 5 april 2017 om medicintekniska produkter för in vitro-diagnostik och om upphävande av direktiv 98/79/EG och kommissionens beslut 2010/227/EU (EUT L 117, 5.5.2017, s. 176).
               
               
                  
                     (26)
                  
                        Europaparlamentets och rådets förordning (EU) 2019/2144 av den 27 november 2019 om krav för typgodkännande av motorfordon och deras släpvagnar samt de system, komponenter och separata tekniska enheter som är avsedda för sådana fordon, med avseende på deras allmänna säkerhet och skydd för personer i fordonet och oskyddade trafikanter, om ändring av Europaparlamentets och rådets förordning (EU) 2018/858 och om upphävande av Europaparlamentets och rådets förordningar (EG) nr 78/2009, (EG) nr 79/2009 och (EG) nr 661/2009 samt kommissionens förordningar (EG) nr 631/2009, (EU) nr 406/2010, (EU) nr 672/2010, (EU) nr 1003/2010, (EU) nr 1005/2010, (EU) nr 1008/2010, (EU) nr 1009/2010, (EU) nr 19/2011, (EU) nr 109/2011, (EU) nr 458/2011, (EU) nr 65/2012, (EU) nr 130/2012, (EU) nr 347/2012, (EU) nr 351/2012, (EU) nr 1230/2012 och (EU) 2015/166 (EUT L 325, 16.12.2019, s. 1).
               
               
                  
                     (27)
                  
                        Europaparlamentets och rådets förordning (EU) 2018/1139 av den 4 juli 2018 om fastställande av gemensamma bestämmelser på det civila luftfartsområdet och inrättande av Europeiska unionens byrå för luftfartssäkerhet, och om ändring av Europaparlamentets och rådets förordningar (EG) nr 2111/2005, (EG) nr 1008/2008, (EU) nr 996/2010, (EU) nr 376/2014 och direktiv 2014/30/EU och 2014/53/EU, samt om upphävande av Europaparlamentets och rådets förordningar (EG) nr 552/2004 och (EG) nr 216/2008 och rådets förordning (EEG) nr 3922/91 (EUT L 212, 22.8.2018, s. 1). 
               
               
                  
                     (28)
                  
                        Europaparlamentets och rådets direktiv (EU) 2019/520 av den 19 mars 2019 om driftskompatibilitet mellan elektroniska vägtullsystem och underlättande av gränsöverskridande informationsutbyte om underlåtenhet att betala vägavgifter i unionen (EUT L 91, 29.3.2019, s. 45).
               
               
                  
                     (29)
                  
                        Europaparlamentets och rådets förordning (EU) nr 1025/2012 av den 25 oktober 2012 om europeisk standardisering och om ändring av rådets direktiv 89/686/EEG och 93/15/EEG samt av Europaparlamentets och rådets direktiv 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG och 2009/105/EG samt om upphävande av rådets beslut 87/95/EEG och Europaparlamentets och rådets beslut nr 1673/2006/EG (EUT L 316, 14.11.2012, s. 12).