CELEX ID: 32024R2847

--- ENGLISH ---

Document:
Official Journal 
of the European Union
EN
L series
2024/2847
20.11.2024
REGULATION (EU) 2024/2847 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 23 October 2024
on horizontal cybersecurity requirements for products with digital elements and amending Regulations (EU) No 168/2013 and (EU) No 2019/1020 and Directive (EU) 2020/1828 (Cyber Resilience Act)
(Text with EEA relevance)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
After consulting the Committee of the Regions,
Acting in accordance with the ordinary legislative procedure 
(
2
)
,
Whereas:
(1)
Cybersecurity is one of the key challenges for the Union. The number and variety of connected devices will rise exponentially in the coming years. Cyberattacks represent a matter of public interest as they have a critical impact not only on the Union’s economy, but also on democracy as well as consumer safety and health. It is therefore necessary to strengthen the Union’s approach to cybersecurity, address cyber resilience at Union level and improve the functioning of the internal market by laying down a uniform legal framework for essential cybersecurity requirements for placing products with digital elements on the Union market. Two major problems adding costs for users and society should be addressed: a low level of cybersecurity of products with digital elements, reflected by widespread vulnerabilities and the insufficient and inconsistent provision of security updates to address them, and an insufficient understanding and access to information by users, preventing them from choosing products with adequate cybersecurity properties or using them in a secure manner.
(2)
This Regulation aims to set the boundary conditions for the development of secure products with digital elements by ensuring that hardware and software products are placed on the market with fewer vulnerabilities and that manufacturers take security seriously throughout a product’s lifecycle. It also aims to create conditions allowing users to take cybersecurity into account when selecting and using products with digital elements, for example by improving transparency with regard to the support period for products with digital elements made available on the market.
(3)
Relevant Union law in force comprises several sets of horizontal rules that address certain aspects linked to cybersecurity from different angles, including measures to improve the security of the digital supply chain. However, existing Union law related to cybersecurity, including Regulation (EU) 2019/881 of the European Parliament and of the Council 
(
3
)
 and Directive (EU) 2022/2555 of the European Parliament and of the Council 
(
4
)
, does not directly cover mandatory requirements for the security of products with digital elements.
(4)
While existing Union law applies to certain products with digital elements, there is no horizontal Union regulatory framework establishing comprehensive cybersecurity requirements for all products with digital elements. The various acts and initiatives taken thus far at Union and national levels only partially address the identified cybersecurity-related problems and risks, creating a legislative patchwork within the internal market, increasing legal uncertainty for both manufacturers and users of those products and adding an unnecessary burden on businesses and organisations to comply with a number of requirements and obligations for similar types of products. The cybersecurity of those products has a particularly strong cross-border dimension, as products with digital elements manufactured in one Member State or third country are often used by organisations and consumers across the entire internal market. This makes it necessary to regulate the field at Union level to ensure a harmonised regulatory framework and legal certainty for users, organisations and businesses, including microenterprises and small and medium-sized enterprises as defined in the Annex to Commission Recommendation 2003/361/EC 
(
5
)
. The Union regulatory landscape should be harmonised by introducing horizontal cybersecurity requirements for products with digital elements. In addition, legal certainty for economic operators and users, as well as a better harmonisation of the internal market and proportionality for microenterprises and small and medium-sized enterprises, creating more viable conditions for economic operators aiming to enter that market, should be ensured across the Union.
(5)
As regards microenterprises and small and medium-sized enterprises, when determining the category an enterprise falls into, the provisions of the Annex to Recommendation 2003/361/EC should be applied in their entirety. Therefore, when calculating the staff headcount and financial ceilings determining the enterprise categories, the provisions of Article 6 of the Annex to Recommendation 2003/361/EC on establishing the data of an enterprise in consideration of specific types of enterprises, such as partner enterprises or linked enterprises, should also be applied.
(6)
The Commission should provide guidance to assist economic operators, in particular microenterprises and small and medium-sized enterprises, in the application of this Regulation. Such guidance should cover, inter alia, the scope of this Regulation, in particular remote data processing and its implications for free and open-source software developers, the application of the criteria used to determine support periods for products with digital elements, the interplay between this Regulation and other Union law and the concept of substantial modification.
(7)
At Union level, various programmatic and political documents, such as the Joint communication of the Commission and the High Representative of the Union for Foreign Affairs and Security Policy of 16 December 2020, entitled ‘The EU’s Cybersecurity Strategy for the Digital Decade’, the Council Conclusions of 2 December 2020 on the cybersecurity of connected devices and of 23 May 2022 on the development of the European Union’s cyber posture and the European Parliament resolution of 10 June 2021 on the EU’s Cybersecurity Strategy for the Digital Decade 
(
6
)
, have called for specific Union cybersecurity requirements for digital or connected products, with several third countries introducing measures to address this issue on their own initiative. In the final report of the Conference on the Future of Europe, citizens called for ‘a stronger role for the EU in countering cybersecurity threats’. In order for the Union to play a leading international role in the field of cybersecurity, it is important to establish an ambitious regulatory framework.
(8)
To increase the overall level of cybersecurity of all products with digital elements placed on the internal market, it is necessary to introduce objective-oriented and technology-neutral essential cybersecurity requirements for those products that apply horizontally.
(9)
Under certain conditions, all products with digital elements integrated in or connected to a larger electronic information system can serve as an attack vector for malicious actors. As a result, even hardware and software considered to be less critical can facilitate the initial compromise of a device or network, enabling malicious actors to gain privileged access to a system or to move laterally across systems. Manufacturers should therefore ensure that all products with digital elements are designed and developed in accordance with the essential cybersecurity requirements laid down in this Regulation. That obligation relates to both products that can be connected physically via hardware interfaces and products that are connected logically, such as via network sockets, pipes, files, application programming interfaces or any other types of software interface. As cyber threats can propagate through various products with digital elements before reaching a certain target, for example by chaining together multiple vulnerability exploits, manufacturers should also ensure the cybersecurity of products with digital elements that are only indirectly connected to other devices or networks.
(10)
By laying down cybersecurity requirements for placing on the market products with digital elements, it is intended that the cybersecurity of those products for consumers and businesses alike be enhanced. Those requirements will also ensure that cybersecurity is taken into account throughout supply chains, making final products with digital elements and their components more secure. This also includes requirements for placing on the market consumer products with digital elements intended for vulnerable consumers, such as toys and baby monitoring systems. Consumer products with digital elements categorised in this Regulation as important products with digital elements present a higher cybersecurity risk by performing a function which carries a significant risk of adverse effects in terms of its intensity and ability to damage the health, security or safety of users of such products, and should undergo a stricter conformity assessment procedure. This applies to such products as smart home products with security functionalities, including smart door locks, baby monitoring systems and alarm systems, connected toys and personal wearable health technology. Furthermore, the stricter conformity assessment procedures that other products with digital elements categorised in this Regulation as important or critical products with digital elements are required to undergo, will contribute to preventing potential negative impacts on consumers of the exploitation of vulnerabilities.
(11)
The purpose of this Regulation is to ensure a high level of cybersecurity of products with digital elements and their integrated remote data processing solutions. Such remote data processing solutions should be defined as data processing at a distance for which the software is designed and developed by or on behalf of the manufacturer of the product with digital elements concerned, the absence of which would prevent the product with digital elements from performing one of its functions. That approach ensures that such products are adequately secured in their entirety by their manufacturers, irrespective of whether data is processed or stored locally on the user’s device or remotely by the manufacturer. At the same time, processing or storage at a distance falls within the scope of this Regulation only in so far as it is necessary for a product with digital elements to perform its functions. Such processing or storage at a distance includes the situation where a mobile application requires access to an application programming interface or to a database provided by means of a service developed by the manufacturer. In such a case, the service falls within the scope of this Regulation as a remote data processing solution. The requirements concerning the remote data processing solutions falling within the scope of this Regulation do therefore not entail technical, operational or organisational measures aiming to manage the risks posed to the security of a manufacturer’s network and information systems as a whole.
(12)
Cloud solutions constitute remote data processing solutions within the meaning of this Regulation only if they meet the definition laid down in this Regulation. For example, cloud enabled functionalities provided by a manufacturer of smart home devices that enable users to control the device at a distance fall within the scope of this Regulation. On the other hand, websites that do not support the functionality of a product with digital elements, or cloud services designed and developed outside the responsibility of a manufacturer of a product with digital elements do not fall within the scope of this Regulation. Directive (EU) 2022/2555 applies to cloud computing services and cloud service models, such as Software as a Service (SaaS), Platform as a Service (PaaS) or Infrastructure as a Service (IaaS). Entities providing cloud computing services in the Union which qualify as medium-sized enterprises under Article 2 of the Annex to Recommendation 2003/361/EC, or exceed the ceilings for medium-sized enterprises provided for in paragraph 1 of that Article, fall within the scope of that Directive.
(13)
In line with the objective of this Regulation to remove obstacles to the free movement of products with digital elements, Member States should not impede, for the matters covered by this Regulation, the making available on the market of products with digital elements which comply with this Regulation. Therefore, for matters harmonised by this Regulation, Member States cannot impose additional cybersecurity requirements for the making available on the market of products with digital elements. Any entity, public or private, can however establish additional requirements to those laid down in this Regulation for the procurement or use of products with digital elements for its specific purposes, and can therefore choose to use products with digital elements that meet stricter or more specific cybersecurity requirements than those applicable for the making available on the market under this Regulation. Without prejudice to Directives 2014/24/EU 
(
7
)
 and 2014/25/EU 
(
8
)
 of the European Parliament and of the Council, when procuring products with digital elements, which must comply with the essential cybersecurity requirements laid down in this Regulation, including those relating to vulnerability handling, Member States should ensure that such requirements are taken into consideration in the procurement process and that the manufacturers’ ability to effectively apply cybersecurity measures and manage cyber threats are also taken into consideration. Furthermore, Directive (EU) 2022/2555 sets out cybersecurity risk-management measures for essential and important entities as referred to in Article 3 of that Directive that could entail supply chain security measures that require the use by such entities of products with digital elements meeting stricter cybersecurity requirements than those laid down in this Regulation. In accordance with Directive (EU) 2022/2555 and in line with its minimum harmonisation principle, Member States can therefore impose additional cybersecurity requirements for the use of information and communications technology (ICT) products by essential or important entities pursuant to that Directive in order to ensure a higher level of cybersecurity, provided that such requirements are consistent with Member States’ obligations laid down in Union law. Matters not covered by this Regulation can include non-technical factors relating to products with digital elements and the manufacturers thereof. Member States can therefore lay down national measures, including restrictions on products with digital elements or suppliers of such products that take account of non-technical factors. National measures relating to such factors are required to comply with Union law.
(14)
This Regulation should be without prejudice to the Member States’ responsibility for safeguarding national security, in compliance with Union law. Member States should be able to subject products with digital elements that are procured or used for national security or defence purposes to additional measures, provided that such measures are consistent with Member States’ obligations laid down in Union law.
(15)
This Regulation applies to economic operators only in relation to products with digital elements made available on the market, hence supplied for distribution or use on the Union market in the course of a commercial activity. Supply in the course of a commercial activity might be characterised not only by charging a price for a product with digital elements, but also by charging a price for technical support services where this does not serve only the recuperation of actual costs, by an intention to monetise, for instance by providing a software platform through which the manufacturer monetises other services, by requiring as a condition for use the processing of personal data for reasons other than exclusively for improving the security, compatibility or interoperability of the software, or by accepting donations exceeding the costs associated with the design, development and provision of a product with digital elements. Accepting donations without the intention of making a profit should not be considered to be a commercial activity.
(16)
Products with digital elements provided as part of the delivery of a service for which a fee is charged solely to recover the actual costs directly related to the operation of that service, such as may be the case with certain products with digital elements provided by public administration entities, should not be considered on those grounds alone to be a commercial activity for the purposes of this Regulation. Furthermore, products with digital elements which are developed or modified by a public administration entity exclusively for its own use should not be considered to be made available on the market within the meaning of this Regulation.
(17)
Software and data that are openly shared and where users can freely access, use, modify and redistribute them or modified versions thereof, can contribute to research and innovation in the market. To foster the development and deployment of free and open-source software, in particular by microenterprises and small and medium-sized enterprises, including start-ups, individuals, not-for-profit organisations, and academic research organisations, the application of this Regulation to products with digital elements qualifying as free and open-source software supplied for distribution or use in the course of a commercial activity should take into account the nature of the different development models of software distributed and developed under free and open-source software licences.
(18)
Free and open-source software is understood as software the source code of which is openly shared and the licensing of which provides for all rights to make it freely accessible, usable, modifiable and redistributable. Free and open-source software is developed, maintained and distributed openly, including via online platforms. In relation to economic operators that fall within the scope of this Regulation, only free and open-source software made available on the market, and therefore supplied for distribution or use in the course of a commercial activity, should fall within the scope of this Regulation. The mere circumstances under which the product with digital elements has been developed, or how the development has been financed, should therefore not be taken into account when determining the commercial or non-commercial nature of that activity. More specifically, for the purposes of this Regulation and in relation to the economic operators that fall within its scope, to ensure that there is a clear distinction between the development and supply phases, the provision of products with digital elements qualifying as free and open-source software that are not monetised by their manufacturers should not be considered to be a commercial activity. Furthermore, the supply of products with digital elements qualifying as free and open-source software components intended for integration by other manufacturers into their own products with digital elements should be considered to be making available on the market only if the component is monetised by its original manufacturer. For instance, the mere fact that an open-source software product with digital elements receives financial support from manufacturers or that manufacturers contribute to the development of such a product should not in itself determine that the activity is of commercial nature. In addition, the mere presence of regular releases should not in itself lead to the conclusion that a product with digital elements is supplied in the course of a commercial activity. Finally, for the purposes of this Regulation, the development of products with digital elements qualifying as free and open-source software by not-for-profit organisations should not be considered to be a commercial activity provided that the organisation is set up in such a way that ensures that all earnings after costs are used to achieve not-for-profit objectives. This Regulation does not apply to natural or legal persons who contribute with source code to products with digital elements qualifying as free and open-source software that are not under their responsibility.
(19)
Taking into account the importance for cybersecurity of many products with digital elements qualifying as free and open-source software that are published, but not made available on the market within the meaning of this Regulation, legal persons who provide support on a sustained basis for the development of such products which are intended for commercial activities, and who play a main role in ensuring the viability of those products (open-source software stewards), should be subject to a light-touch and tailor-made regulatory regime. Open-source software stewards include certain foundations as well as entities that develop and publish free and open-source software in a business context, including not-for-profit entities. The regulatory regime should take account of their specific nature and compatibility with the type of obligations imposed. It should only cover products with digital elements qualifying as free and open-source software that are ultimately intended for commercial activities, such as for integration into commercial services or into monetised products with digital elements. For the purposes of that regulatory regime, an intention for integration into monetised products with digital elements includes cases where manufacturers that integrate a component into their own products with digital elements either contribute to the development of that component in a regular manner or provide regular financial assistance to ensure the continuity of a software product. The provision of sustained support to the development of a product with digital elements includes but is not limited to the hosting and managing of software development collaboration platforms, the hosting of source code or software, the governing or managing of products with digital elements qualifying as free and open-source software as well as the steering of the development of such products. Given that the light-touch and tailor-made regulatory regime does not subject those acting as open-source software stewards to the same obligations as those acting as manufacturers under this Regulation, they should not be permitted to affix the CE marking to the products with digital elements whose development they support.
(20)
The sole act of hosting products with digital elements on open repositories, including through package managers or on collaboration platforms, does not in itself constitute the making available on the market of a product with digital elements. Providers of such services should be considered to be distributors only if they make such software available on the market and hence supply it for distribution or use on the Union market in the course of a commercial activity.
(21)
In order to support and facilitate the due diligence of manufacturers that integrate free and open-source software components that are not subject to the essential cybersecurity requirements set out in this Regulation into their products with digital elements, the Commission should be able to establish voluntary security attestation programmes, either by a delegated act supplementing this Regulation or by requesting a European cybersecurity certification scheme pursuant to Article 48 of Regulation (EU) 2019/881 that takes into account the specificities of the free and open-source software development models. The security attestation programmes should be conceived in such a way that not only natural or legal persons developing or contributing to the development of a product with digital elements qualifying as free and open-source software can initiate or finance a security attestation but also third parties, such as manufacturers that integrate such products into their own products with digital elements, users, or Union and national public administrations.
(22)
In view of the public cybersecurity objectives of this Regulation and in order to improve the situational awareness of Member States as regards the Union’s dependency on software components and in particular on potentially free and open-source software components, a dedicated administrative cooperation group (ADCO) established by this Regulation should be able to decide to jointly undertake a Union dependency assessment. Market surveillance authorities should be able to request manufacturers of categories of products with digital elements established by ADCO to submit the software bills of materials (SBOMs) that they have generated pursuant to this Regulation. In order to protect the confidentiality of SBOMs, market surveillance authorities should submit relevant information about dependencies to ADCO in an anonymised and aggregated manner.
(23)
The effectiveness of the implementation of this Regulation will also depend on the availability of adequate cybersecurity skills. At Union level, various programmatic and political documents, including the Commission communication of 18 April 2023 on Closing the cybersecurity talent gap to boost the EU’s competitiveness, growth and resilience and the Council Conclusions of 22 May 2023 on the EU Policy on Cyber Defence acknowledged the cybersecurity skills gap in the Union and the need to address such challenges as a matter of priority, in both the public and private sectors. With a view to ensuring an effective implementation of this Regulation, Member States should ensure that adequate resources are available for the appropriate staffing of the market surveillance authorities and conformity assessment bodies to perform their tasks as laid down in this Regulation. Those measures should enhance workforce mobility in the cybersecurity field and their associated career pathways. They should also contribute to making the cybersecurity workforce more resilient and inclusive, also in terms of gender. Member States should therefore take measures to ensure that those tasks are carried out by adequately trained professionals, with the necessary cybersecurity skills. Similarly, manufacturers should ensure that their staff has the necessary skills to comply with their obligations as laid down in this Regulation. Member States and the Commission, in line with their prerogatives and competences and the specific tasks conferred upon them by this Regulation, should take measures to support manufacturers and in particular microenterprises and small and medium-sized enterprises, including start-ups, also in areas such as skill development, for the purposes of compliance with their obligations as laid down in this Regulation. Furthermore, as Directive (EU) 2022/2555 requires Member States to adopt policies promoting and developing training on cybersecurity and cybersecurity skills as part of their national cybersecurity strategies, Member States may also consider, when adopting such strategies, addressing the cybersecurity skills needs resulting from this Regulation, including those relating to re-skilling and up-skilling.
(24)
A secure internet is indispensable for the functioning of critical infrastructures and for society as a whole. Directive (EU) 2022/2555 aims at ensuring a high level of cybersecurity of services provided by essential and important entities as referred to in Article 3 of that Directive, including digital infrastructure providers that support core functions of the open internet, ensure internet access and provide internet services. It is therefore important that the products with digital elements necessary for digital infrastructure providers to ensure the functioning of the internet are developed in a secure manner and that they comply with well-established internet security standards. This Regulation, which applies to all connectable hardware and software products, also aims at facilitating the compliance of digital infrastructure providers with the supply chain requirements under Directive (EU) 2022/2555 by ensuring that the products with digital elements that they use for the provision of their services are developed in a secure manner and that they have access to timely security updates for such products.
(25)
Regulation (EU) 2017/745 of the European Parliament and of the Council 
(
9
)
 lays down rules on medical devices and Regulation (EU) 2017/746 of the European Parliament and of the Council 
(
10
)
 lays down rules on in vitro diagnostic medical devices. Those Regulations address cybersecurity risks and follow particular approaches that are also addressed in this Regulation. More specifically, Regulations (EU) 2017/745 and (EU) No 2017/746 lay down essential requirements for medical devices that function through an electronic system or that are software themselves. Certain non-embedded software and the whole lifecycle approach are also covered by those Regulations. Those requirements mandate manufacturers to develop and build their products by applying risk management principles and by setting out requirements concerning IT security measures, as well as corresponding conformity assessment procedures. Furthermore, specific guidance on cybersecurity for medical devices is in place since December 2019, providing manufacturers of medical devices, including in vitro diagnostic devices, with guidance on how to fulfil all the relevant essential requirements set out in Annex I to those Regulations with regard to cybersecurity. Products with digital elements to which either of those Regulations apply should not therefore be subject to this Regulation.
(26)
Products with digital elements that are developed or modified exclusively for national security or defence purposes or products that are specifically designed to process classified information fall outside the scope of this Regulation. Member States are encouraged to ensure the same or a higher level of protection for those products as for those falling within the scope of this Regulation.
(27)
Regulation (EU) 2019/2144 of the European Parliament and of the Council 
(
11
)
 establishes requirements for the type-approval of vehicles, and of their systems and components, introducing certain cybersecurity requirements, including on the operation of a certified cybersecurity management system, on software updates, covering organisations’ policies and processes for cybersecurity risks related to the entire lifecycle of vehicles, equipment and services in compliance with the applicable United Nations regulations on technical specifications and cybersecurity, in particular UN Regulation No 155 – Uniform provisions concerning the approval of vehicles with regards to cybersecurity and cybersecurity management system 
(
12
)
 and providing for specific conformity assessment procedures. In the area of aviation, the principal objective of Regulation (EU) 2018/1139 of the European Parliament and of the Council 
(
13
)
 is to establish and maintain a high uniform level of civil aviation safety in the Union. It creates a framework for essential requirements for airworthiness for aeronautical products, parts and equipment, including software, that includes obligations to protect against information security threats. The certification process under Regulation (EU) 2018/1139 ensures the level of assurance aimed for by this Regulation. Products with digital elements to which Regulation (EU) 2019/2144 applies and products certified in accordance with Regulation (EU) 2018/1139 should not therefore be subject to the essential cybersecurity requirements and conformity assessment procedures set out in this Regulation.
(28)
This Regulation lays down horizontal cybersecurity rules which are not specific to sectors or to certain products with digital elements. Nevertheless, sectoral or product-specific Union rules could be introduced, laying down requirements that address all or some of the risks covered by the essential cybersecurity requirements set out in this Regulation. In such cases, the application of this Regulation to products with digital elements covered by other Union rules laying down requirements that address all or some of the risks covered by the essential cybersecurity requirements set out in this Regulation may be limited or excluded where such limitation or exclusion is consistent with the overall regulatory framework applying to those products and where the sectoral rules achieve at least the same level of protection as the one provided for by this Regulation. The Commission should be empowered to adopt delegated acts to supplement this Regulation by identifying such products and rules. For existing Union law where such limitation or exclusion should apply, this Regulation contains specific provisions to clarify its relation with that Union law.
(29)
In order to ensure that products with digital elements made available on the market can be repaired effectively and their durability extended, an exemption should be provided for spare parts. That exemption should cover both spare parts that have the purpose of repairing legacy products made available before the date of application of this Regulation and spare parts that have already undergone a conformity assessment procedure pursuant to this Regulation.
(30)
Commission Delegated Regulation (EU) 2022/30 
(
14
)
 specifies that a number of essential requirements set out in Article 3(3), points (d), (e) and (f), of Directive 2014/53/EU of the European Parliament and of the Council 
(
15
)
, relating to network harm and misuse of network resources, personal data and privacy, and fraud, apply to certain radio equipment. Commission Implementing Decision C(2022) 5637 of 5 August 2022 on a standardisation request to the European Committee for Standardisation and the European Committee for Electrotechnical Standardisation lays down requirements for the development of specific standards further specifying how those essential requirements should be addressed. The essential cybersecurity requirements set out in this Regulation include all the elements of the essential requirements referred to in Article 3(3), points (d), (e) and (f), of Directive 2014/53/EU. Furthermore, the essential cybersecurity requirements set out in this Regulation are aligned with the objectives of the requirements for specific standards included in that standardisation request. Therefore, when the Commission repeals or amends Delegated Regulation (EU) 2022/30 with the consequence that it ceases to apply to certain products subject to this Regulation, the Commission and the European standardisation organisations should take into account the standardisation work carried out in the context of Implementing Decision C(2022) 5637 in the preparation and development of harmonised standards to facilitate the implementation of this Regulation. During the transitional period for the application of this Regulation, the Commission should provide guidance to manufacturers subject to this Regulation that are also subject to Delegated Regulation (EU) 2022/30 to facilitate the demonstration of compliance with the two Regulations.
(31)
Directive (EU) 2024/2853 of the European Parliament and of the Council 
(
16
)
 is complementary to this Regulation. That Directive sets out liability rules for defective products so that injured persons can claim compensation when a damage has been caused by defective products. It establishes the principle that the manufacturer of a product is liable for damages caused by a lack of safety in their product irrespective of fault (strict liability). Where such a lack of safety consists in a lack of security updates after the placing on the market of the product, and this causes damage, the liability of the manufacturer could be triggered. Obligations for manufacturers that concern the provision of such security updates should be laid down in this Regulation.
(32)
This Regulation should be without prejudice to Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
17
)
, including to provisions relating to the establishment of data protection certification mechanisms and of data protection seals and marks, for the purpose of demonstrating compliance of processing operations by controllers and processors with that Regulation. Such operations could be embedded in a product with digital elements. Data protection by design and by default, and cybersecurity in general, are key elements of Regulation (EU) 2016/679. By protecting consumers and organisations from cybersecurity risks, the essential cybersecurity requirements laid down in this Regulation are also to contribute to enhancing the protection of personal data and privacy of individuals. Synergies on both standardisation and certification of cybersecurity aspects should be considered through the cooperation between the Commission, the European standardisation organisations, the European Union Agency for Cybersecurity (ENISA), the European Data Protection Board established by Regulation (EU) 2016/679, and the national data protection supervisory authorities. Synergies between this Regulation and Union data protection law should also be created in the area of market surveillance and enforcement. To that end, national market surveillance authorities designated under this Regulation should cooperate with authorities supervising the application of Union data protection law. The latter should also have access to information relevant for accomplishing their tasks.
(33)
To the extent that their products fall within the scope of this Regulation, providers of European Digital Identity Wallets as referred to in Article 5a(2) of Regulation (EU) No 910/2014 of the European Parliament and of the Council 
(
18
)
, should comply with both the horizontal essential cybersecurity requirements set out in this Regulation and the specific security requirements set out in Article 5a of Regulation (EU) No 910/2014. In order to facilitate compliance, wallet providers should be able to demonstrate the compliance of European Digital Identity Wallets with the requirements set out in this Regulation and in Regulation (EU) No 910/2014, respectively, by certifying their products under a European cybersecurity certification scheme established under Regulation (EU) 2019/881 and for which the Commission has specified, by means of delegated acts, a presumption of conformity with this Regulation, in so far as the certificate, or parts thereof, covers those requirements.
(34)
When integrating components sourced from third parties in products with digital elements during the design and development phase, manufacturers should, in order to ensure that the products are designed, developed and produced in accordance with the essential cybersecurity requirements set out in this Regulation, exercise due diligence with regard to those components, including free and open-source software components that have not been made available on the market. The appropriate level of due diligence depends on the nature and the level of cybersecurity risk associated with a given component, and should, for that purpose, take into account one or more of the following actions: verifying, as applicable, that the manufacturer of a component has demonstrated conformity with this Regulation, including by checking if the component already bears the CE marking; verifying that a component receives regular security updates, such as by checking its security updates history; verifying that a component is free from vulnerabilities registered in the European vulnerability database established pursuant to Article 12(2) of Directive (EU) 2022/2555 or other publicly accessible vulnerability databases; or carrying out additional security tests. The vulnerability handling obligations set out in this Regulation, which manufacturers have to comply with when placing a product with digital elements on the market and for the support period, apply to products with digital elements in their entirety, including to all integrated components. Where, in the exercise of due diligence, the manufacturer of the product with digital elements identifies a vulnerability in a component, including in a free and open-source component, it should inform the person or entity manufacturing or maintaining the component, address and remediate the vulnerability, and, where applicable, provide the person or entity with the applied security fix.
(35)
Immediately after the transitional period for the application of this Regulation, a manufacturer of a product with digital elements that integrates one or several components sourced from third parties which are also subject to this Regulation may not be able to verify, as part of its due diligence obligation, that the manufacturers of those components have demonstrated conformity with this Regulation by checking, for instance, if the components already bear the CE marking. This may be the case where the components have been integrated before this Regulation becomes applicable to the manufacturers of those components. In such a case, a manufacturer integrating such components should exercise due diligence through other means.
(36)
Products with digital elements should bear the CE marking to visibly, legibly and indelibly indicate their conformity with this Regulation so that they can move freely within the internal market. Member States should not create unjustified obstacles to the placing on the market of products with digital elements that comply with the requirements laid down in this Regulation and bear the CE marking. Furthermore, at trade fairs, exhibitions and demonstrations or similar events, Member States should not prevent the presentation or use of a product with digital elements which does not comply with this Regulation, including its prototypes, provided that the product is presented with a visible sign clearly indicating that the product does not comply with this Regulation and that it is not to be made available on the market until it does so.
(37)
In order to ensure that manufacturers can release software for testing purposes before subjecting their products with digital elements to conformity assessment, Member States should not prevent the making available of unfinished software, such as alpha versions, beta versions or release candidates, provided that the unfinished software is made available only for the time necessary to test it and gather feedback. Manufacturers should ensure that software made available under those conditions is released only following a risk assessment and that it complies to the extent possible with the security requirements relating to the properties of products with digital elements laid down in this Regulation. Manufacturers should also implement the vulnerability handling requirements to the extent possible. Manufacturers should not force users to upgrade to versions only released for testing purposes.
(38)
In order to ensure that products with digital elements, when placed on the market, do not pose cybersecurity risks to persons and organisations, essential cybersecurity requirements should be set out for such products. Those essential cybersecurity requirements, including vulnerability management handling requirements, apply to each individual product with digital elements when placed on the market, irrespective of whether the product with digital elements is manufactured as an individual unit or in series. For example, for a product type, each individual product with digital elements should have received all security patches or updates available to address relevant security issues when it is placed on the market. Where products with digital elements are subsequently modified, by physical or digital means, in a way that is not foreseen by the manufacturer in the initial risk assessment and that may imply that they no longer meet the relevant essential cybersecurity requirements, the modification should be considered to be substantial. For example, repairs could be assimilated to maintenance operations provided that they do not modify a product with digital elements already placed on the market in such a way that compliance with the applicable requirements may be affected, or that the intended purpose for which the product has been assessed may be changed.
(39)
As is the case for physical repairs or modifications, a product with digital elements should be considered to be substantially modified by a software change where the software update modifies the intended purpose of that product and those changes were not foreseen by the manufacturer in the initial risk assessment, or where the nature of the hazard has changed or the level of cybersecurity risk has increased because of the software update, and the updated version of the product is made available on the market. Where a security update which is designed to decrease the level of cybersecurity risk of a product with digital elements does not modify the intended purpose of a product with digital elements, it is not considered to be a substantial modification. This usually includes situations where a security update entails only minor adjustments of the source code. For example, this could be the case where a security update addresses a known vulnerability, including by modifying functions or the performance of a product with digital elements for the sole purpose of decreasing the level of cybersecurity risk. Similarly, a minor functionality update, such as a visual enhancement or the addition of new pictograms or languages to the user interface, should not generally be considered to be a substantial modification. Conversely, where a feature update modifies the original intended functions or the type or performance of a product with digital elements and meets the above criteria, it should be considered to be a substantial modification, as the addition of new features typically leads to a broader attack surface, thereby increasing the cybersecurity risk. For example, this could be the case where a new input element is added to an application, requiring the manufacturer to ensure adequate input validation. In assessing whether a feature update is considered to be a substantial modification it is not relevant whether it is provided as a separate update or in combination with a security update. The Commission should issue guidance on how to determine what constitutes a substantial modification.
(40)
Taking into account the iterative nature of software development, manufacturers that have placed subsequent versions of a software product on the market as a result of a subsequent substantial modification of that product should be able to provide security updates for the support period only for the version of the software product that they have last placed on the market. They should be able to do so only if the users of the relevant previous product versions have access to the product version last placed on the market free of charge and do not incur additional costs to adjust the hardware or software environment in which they operate the product. This could, for instance, be the case where a desktop operating system upgrade does not require new hardware, such as a faster central processing unit or more memory. Nonetheless, the manufacturer should continue to comply, for the support period, with other vulnerability-handling requirements, such as having a policy on coordinated vulnerability disclosure or measures in place to facilitate the sharing of information about potential vulnerabilities for all subsequent substantially modified versions of the software product placed on the market. Manufacturers should be able to provide minor security or functionality updates that do not constitute a substantial modification only for the latest version or sub-version of a software product that has not been substantially modified. At the same time, where a hardware product, such as a smartphone, is not compatible with the latest version of the operating system it was originally delivered with, the manufacturer should continue to provide security updates at least for the latest compatible version of the operating system for the support period.
(41)
In line with the commonly established concept of substantial modification for products regulated by Union harmonisation legislation, where a substantial modification occurs that may affect the compliance of a product with digital elements with this Regulation or when the intended purpose of that product changes, it is appropriate that the compliance of the product with digital elements is verified and that, where applicable, it undergoes a new conformity assessment. Where applicable, if the manufacturer undertakes a conformity assessment involving a third party, a change that might lead to a substantial modification should be notified to the third party.
(42)
Where a product with digital elements is subject to ‘refurbishment’, ‘maintenance’ and ‘repair’ as defined in Article 2, points (18), (19) and (20), of Regulation (EU) 2024/1781 of the European Parliament and of the Council 
(
19
)
, this does not necessarily lead to a substantial modification of the product, for instance if the intended purpose and functionalities are not changed and the level of risk remains unaffected. However, an upgrade of a product with digital elements by the manufacturer might lead to changes in the design and development of that product and might therefore affect its intended purpose and compliance with the requirements set out in this Regulation.
(43)
Products with digital elements should be considered to be important if the negative impact of the exploitation of potential vulnerabilities in the product can be severe due to, inter alia, the cybersecurity-related functionality or a function carrying a significant risk of adverse effects in terms of its intensity and ability to disrupt, control or cause damage to a large number of other products with digital elements or to the health, security or safety of its users through direct manipulation, such as a central system function, including network management, configuration control, virtualisation or processing of personal data. In particular, vulnerabilities in products with digital elements that have a cybersecurity-related functionality, such as boot managers, can lead to a propagation of security issues throughout the supply chain. The severity of the impact of an incident may also increase where the product primarily performs a central system function, including network management, configuration control, virtualisation or processing of personal data.
(44)
Certain categories of products with digital elements should be subject to stricter conformity assessment procedures, while keeping a proportionate approach. For that purpose, important products with digital elements should be divided into two classes, reflecting the level of cybersecurity risk linked to those categories of products. An incident involving important products with digital elements that fall under class II might lead to greater negative impacts than an incident involving important products with digital elements that fall under class I, for instance due to the nature of their cybersecurity-related function or the performance of another function which carries a significant risk of adverse effects. As an indication of such greater negative impacts, products with digital elements that fall under class II could either perform a cybersecurity-related functionality or another function which carries a significant risk of adverse effects that is higher than for those listed in class I, or meet both of the aforementioned criteria. Important products with digital elements that fall under class II should therefore be subject to a stricter conformity assessment procedure.
(45)
Important products with digital elements as referred to in this Regulation should be understood as products which have the core functionality of a category of important products with digital elements that is set out in this Regulation. For example, this Regulation sets out categories of important products with digital elements which are defined by their core functionality as firewalls or intrusion detection or prevention systems in class II. As a result, firewalls and intrusion detection or prevention systems are subject to mandatory third-party conformity assessment. This is not the case for other products with digital elements not categorised as important products with digital elements which may integrate firewalls or intrusion detection or prevention systems. The Commission should adopt an implementing act to specify the technical description of the categories of important products with digital elements that fall under classes I and II as set out in this Regulation.
(46)
The categories of critical products with digital elements set out in this Regulation have a cybersecurity-related functionality and perform a function which carries a significant risk of adverse effects in terms of its intensity and ability to disrupt, control or cause damage to a large number of other products with digital elements through direct manipulation. Furthermore, those categories of products with digital elements are considered to be critical dependencies for essential entities as referred to in Article 3(1) of Directive (EU) 2022/2555. The categories of critical products with digital elements set out in an annex to this Regulation, due to their criticality, already widely use various forms of certification, and are also covered by the European Common Criteria-based cybersecurity certification scheme (EUCC) set out in Commission Implementing Regulation (EU) 2024/482 
(
20
)
. Therefore, in order to ensure a common adequate cybersecurity protection of critical products with digital elements in the Union, it could be adequate and proportionate to subject such categories of product, by means of a delegated act, to mandatory European cybersecurity certification where a relevant European cybersecurity certification scheme covering those products is already in place and an assessment of the potential market impact of the envisaged mandatory certification has been carried out by the Commission. That assessment should consider both the supply and demand side, including whether there is sufficient demand for the products with digital elements concerned from both Member States and users for European cybersecurity certification to be required, as well as the purposes for which the products with digital elements are intended to be used, including the critical dependency on them by essential entities as referred to in Article 3(1) of Directive (EU) 2022/2555. The assessment should also analyse the potential effects of the mandatory certification on the availability of those products on the internal market and the capabilities and the readiness of the Member States for the implementation of the relevant European cybersecurity certification schemes.
(47)
Delegated acts requiring mandatory European cybersecurity certification should determine the products with digital elements that have the core functionality of a category of critical products with digital elements set out in this Regulation that are to be subject to mandatory certification, as well as the required assurance level, which should be at least ‘substantial’. The required assurance level should be proportionate to the level of cybersecurity risk associated with the product with digital elements. For instance, where the product with digital elements has the core functionality of a category of critical products with digital elements set out in this Regulation and is intended for the use in a sensitive or critical environment, such as products intended for the use of essential entities as referred to in Article 3(1) of Directive (EU) 2022/2555, it may require the highest assurance level.
(48)
In order to ensure a common adequate cybersecurity protection in the Union of products with digital elements that have the core functionality of a category of critical products with digital elements set out in this Regulation, the Commission should also be empowered to adopt delegated acts to amend this Regulation by adding or withdrawing categories of critical products with digital elements for which manufacturers could be required to obtain a European cybersecurity certificate under a European cybersecurity certification scheme pursuant to Regulation (EU) 2019/881 to demonstrate conformity with this Regulation. A new category of critical products with digital elements can be added to those categories if there is a critical dependency on them by essential entities as referred to in Article 3(1) of Directive (EU) 2022/2555 or, if affected by incidents or when containing exploited vulnerabilities, this could lead to disruptions of critical supply chains. When assessing the need for adding or withdrawing categories of critical products with digital elements by means of a delegated act, the Commission should be able to take into account whether the Member States have identified at national level products with digital elements that have a critical role for the resilience of essential entities as referred to in Article 3(1) of Directive (EU) 2022/2555 and which increasingly face supply chain cyberattacks, with potential serious disruptive effects. Furthermore, the Commission should be able to take into account the outcome of the Union level coordinated security risk assessment of critical supply chains carried out in accordance with Article 22 of Directive (EU) 2022/2555.
(49)
The Commission should ensure that a wide range of relevant stakeholders are consulted in a structured and regular manner when preparing measures for the implementation of this Regulation. This should particularly be the case where the Commission assesses the need for potential updates to the lists of categories of important or critical products with digital elements, where relevant manufacturers should be consulted and their views taken into account in order to analyse the cybersecurity risks as well as the balance of costs and benefits of designating such categories of products as important or critical.
(50)
This Regulation addresses cybersecurity risks in a targeted manner. Products with digital elements might, however, pose other safety risks, that are not always related to cybersecurity but can be a consequence of a security breach. Those risks should continue to be regulated by relevant Union harmonisation legislation other than this Regulation. If no Union harmonisation legislation other than this Regulation is applicable, they should be subject to Regulation (EU) 2023/988 of the European Parliament and of the Council 
(
21
)
. Therefore, in light of the targeted nature of this Regulation, as a derogation from Article 2(1), third subparagraph, point (b), of Regulation (EU) 2023/988, Chapter III, Section 1, Chapters V and VII, and Chapters IX to XI of Regulation (EU) 2023/988 should apply to products with digital elements with respect to safety risks not covered by this Regulation, if those products are not subject to specific requirements laid down in Union harmonisation legislation other than this Regulation within the meaning of Article 3, point (27), of Regulation (EU) 2023/988.
(51)
Products with digital elements classified as high-risk AI systems pursuant to Article 6 of Regulation (EU) 2024/1689 of the European Parliament and of the Council 
(
22
)
 which fall within the scope of this Regulation should comply with the essential cybersecurity requirements set out in this Regulation. Where those high-risk AI systems fulfil the essential cybersecurity requirements set out in this Regulation, they should be deemed to comply with the cybersecurity requirements set out in Article 15 of Regulation (EU) 2024/1689 in so far as those requirements are covered by the EU declaration of conformity or parts thereof issued under this Regulation. For that purpose, the assessment of the cybersecurity risks associated with a product with digital elements classified as a high-risk AI system pursuant to Regulation (EU) 2024/1689 that is to be taken into account during the planning, design, development, production, delivery and maintenance phases of such product, as required under this Regulation, should take into account risks to the cyber resilience of an AI system as regards attempts by unauthorised third parties to alter its use, behaviour or performance, including AI specific vulnerabilities such as data poisoning or adversarial attacks, as well as, as relevant, risks to fundamental rights, in accordance with Regulation (EU) 2024/1689. As regards the conformity assessment procedures relating to the essential cybersecurity requirements for a product with digital elements that falls within the scope of this Regulation and that is classified as a high-risk AI system, Article 43 of Regulation (EU) 2024/1689 should apply as a rule instead of the relevant provisions of this Regulation. However, that rule should not result in a reduction of the necessary level of assurance for important or critical products with digital elements as referred to in this Regulation. Therefore, by way of derogation from that rule, high-risk AI systems that fall within the scope of Regulation (EU) 2024/1689 which are also important or critical products with digital elements as referred to in this Regulation and to which the conformity assessment procedure based on internal control referred to in Annex VI to Regulation (EU) 2024/1689 applies, should be subject to the conformity assessment procedures provided for in this Regulation in so far as the essential cybersecurity requirements set out in this Regulation are concerned. In such a case, for all the other aspects covered by Regulation (EU) 2024/1689 the relevant provisions on conformity assessment based on internal control set out in Annex VI to that Regulation should apply.
(52)
In order to improve the security of products with digital elements placed on the internal market it is necessary to lay down essential cybersecurity requirements applicable to such products. Those essential cybersecurity requirements should be without prejudice to the Union level coordinated security risk assessments of critical supply chains provided for in Article 22 of Directive (EU) 2022/2555, which take into account both technical and, where relevant, non-technical risk factors, such as undue influence by a third country on suppliers. Furthermore, they should be without prejudice to the Member States’ prerogative to lay down additional requirements that take account of non-technical factors for the purpose of ensuring a high level of resilience, including those defined in Commission Recommendation (EU) 2019/534 
(
23
)
, in the EU coordinated risk assessment of the cybersecurity of 5G networks and in the EU Toolbox on 5G cybersecurity agreed by the Cooperation Group established pursuant to Article 14 of Directive (EU) 2022/2555.
(53)
Manufacturers of products falling within the scope of Regulation (EU) 2023/1230 of the European Parliament and of the Council 
(
24
)
 which are also products with digital elements as defined in this Regulation should comply with both the essential cybersecurity requirements set out in this Regulation and the essential health and safety requirements set out in Regulation (EU) 2023/1230. The essential cybersecurity requirements set out in this Regulation and certain essential requirements set out in Regulation (EU) 2023/1230 might address similar cybersecurity risks. Therefore, the compliance with the essential cybersecurity requirements set out in this Regulation could facilitate the compliance with the essential requirements that also cover certain cybersecurity risks as set out in Regulation (EU) 2023/1230, and in particular those regarding the protection against corruption and safety and reliability of control systems set out in sections 1.1.9 and 1.2.1 of Annex III to that Regulation. Such synergies have to be demonstrated by the manufacturer, for instance by applying, where available, harmonised standards or other technical specifications covering relevant essential cybersecurity requirements following a risk assessment covering those cybersecurity risks. The manufacturer should also follow the applicable conformity assessment procedures set out in this Regulation and in Regulation (EU) 2023/1230. The Commission and the European standardisation organisations, in the preparatory work supporting the implementation of this Regulation and of Regulation (EU) 2023/1230 and the related standardisation processes, should promote consistency in how the cybersecurity risks are to be assessed and in how those risks are to be covered by harmonised standards with regard to the relevant essential requirements. In particular, the Commission and the European standardisation organisations should take into account this Regulation in the preparation and development of harmonised standards to facilitate the implementation of Regulation (EU) 2023/1230 as regards in particular the cybersecurity aspects related to the protection against corruption and safety and reliability of control systems set out in sections 1.1.9 and 1.2.1 of Annex III to that Regulation. The Commission should provide guidance to support manufacturers subject to this Regulation that are also subject to Regulation (EU) 2023/1230, in particular to facilitate the demonstration of compliance with relevant essential requirements set out in this Regulation and in Regulation (EU) 2023/1230.
(54)
In order to ensure that products with digital elements are secure both at the time of their placing on the market as well as during the time the product with digital elements is expected to be in use, it is necessary to lay down essential cybersecurity requirements for vulnerability handling and essential cybersecurity requirements relating to the properties of products with digital elements. While manufacturers should comply with all essential cybersecurity requirements related to vulnerability handling throughout the support period, they should determine which other essential cybersecurity requirements related to the product properties are relevant for the type of product with digital elements concerned. For that purpose, manufacturers should undertake an assessment of the cybersecurity risks associated with a product with digital elements to identify relevant risks and relevant essential cybersecurity requirements in order to make available their products with digital elements without known exploitable vulnerabilities that might have an impact on the security of those products and to appropriately apply suitable harmonised standards, common specifications or European or international standards.
(55)
Where certain essential cybersecurity requirements are not applicable to a product with digital elements, the manufacturer should include a clear justification in the cybersecurity risk assessment included in the technical documentation. This could be the case where an essential cybersecurity requirement is incompatible with the nature of a product with digital elements. For example, the intended purpose of a product with digital elements may require the manufacturer to follow widely recognised interoperability standards even if its security features are no longer considered to be state of the art. Similarly, other Union law requires manufacturers to apply specific interoperability requirements. Where an essential cybersecurity requirement is not applicable to a product with digital elements, but the manufacturer has identified cybersecurity risks in relation to that essential cybersecurity requirement, it should take measures to address those risks by other means, for instance by limiting the intended purpose of the product to trusted environments or by informing the users about those risks.
(56)
One of the most important measures for users to take in order to protect their products with digital elements from cyberattacks is to install the latest available security updates as soon as possible. Manufacturers should therefore design their products and put in place processes to ensure that products with digital elements include functions that enable the notification, distribution, download and installation of security updates automatically, in particular in the case of consumer products. They should also provide the possibility to approve the download and installation of the security updates as a final step. Users should retain the ability to deactivate automatic updates, with a clear and easy-to-use mechanism, supported by clear instructions on how users can opt out. The requirements relating to automatic updates as set out in an annex to this Regulation are not applicable to products with digital elements primarily intended to be integrated as components into other products. They also do not apply to products with digital elements for which users would not reasonably expect automatic updates, including products with digital elements intended to be used in professional ICT networks, and especially in critical and industrial environments where an automatic update could cause interference with operations. Irrespective of whether a product with digital elements is designed to receive automatic updates or not, its manufacturer should inform users about vulnerabilities and make security updates available without delay. Where a product with digital elements has a user interface or similar technical means allowing direct interaction with its users, the manufacturer should make use of such features to inform users that their product with digital elements has reached the end of the support period. Notifications should be limited to what is necessary in order to ensure the effective reception of this information and should not have a negative impact on the user experience of the product with digital elements.
(57)
To improve the transparency of vulnerability handling processes and to ensure that users are not required to install new functionality updates for the sole purpose of receiving the latest security updates, manufacturers should ensure, where technically feasible, that new security updates are provided separately from functionality updates.
(58)
The joint communication of the Commission and the High Representative of the Union for Foreign Affairs and Security Policy of 20 June 2023 entitled ‘European Economic Security Strategy’ stated that the Union needs to maximise the benefits of its economic openness while minimising the risks from economic dependencies on high-risk vendors, through a common strategic framework for Union economic security. Dependencies on high-risk suppliers of products with digital elements may pose a strategic risk that needs to be addressed at Union level, especially where the products with digital elements are intended for the use by essential entities as referred to in Article 3(1) of Directive (EU) 2022/2555. Such risks may be linked, but not limited, to the jurisdiction applicable to the manufacturer, the characteristics of its corporate ownership and the links of control to a third-country government where it is established, in particular where a third country engages in economic espionage or irresponsible state behaviour in cyberspace and its legislation allows arbitrary access to any kind of company operations or data, including commercially sensitive data, and can impose obligations for intelligence purposes without democratic checks and balances, oversight mechanisms, due process or the right to appeal to an independent court or tribunal. When determining the significance of a cybersecurity risk within the meaning of this Regulation, the Commission and the market surveillance authorities, as per their responsibilities as set out in this Regulation, should also consider non-technical risk factors, in particular those established as a result of Union level coordinated security risk assessments of critical supply chains carried out in accordance with Article 22 of Directive (EU) 2022/2555.
(59)
For the purpose of ensuring the security of products with digital elements after their placing on the market, manufacturers should determine the support period, which should reflect the time the product with digital elements is expected to be in use. In determining a support period, a manufacturer should take into account in particular reasonable user expectations, the nature of the product, as well as relevant Union law determining the lifetime of products with digital elements. Manufacturers should also be able to take into account other relevant factors. Criteria should be applied in a manner that ensures proportionality in the determination of the support period. Upon request, a manufacturer should provide market surveillance authorities with the information that was taken into account to determine the support period of a product with digital elements.
(60)
The support period for which the manufacturer ensures the effective handling of vulnerabilities should be no less than five years, unless the lifetime of the product with digital elements is less than five years, in which case the manufacturer should ensure the vulnerability handling for that lifetime. Where the time the product with digital elements is reasonably expected to be in use is longer than five years, as is often the case for hardware components such as motherboards or microprocessors, network devices such as routers, modems or switches, as well as software, such as operating systems or video-editing tools, manufacturers should accordingly ensure longer support periods. In particular, products with digital elements intended for use in industrial settings, such as industrial control systems, are often in use for significantly longer periods of time. A manufacturer should be able to define a support period of less than five years only where this is justified by the nature of the product with digital elements concerned and where that product is expected to be in use for less than five years, in which case the support period should correspond to the expected use time. For instance, the lifetime of a contact tracing application intended for use during a pandemic could be limited to the duration of the pandemic. Moreover, some software applications can by nature only be made available on the basis of a subscription model, in particular where the application becomes unavailable to the user and is consequently not in use anymore once the subscription expires.
(61)
When products with digital elements reach the end of their support periods, in order to ensure that vulnerabilities can be handled after the end of the support period, manufacturers should consider releasing the source code of such products with digital elements either to other undertakings which commit to extending the provision of vulnerability handling services or to the public. Where manufacturers release the source code to other undertakings, they should be able to protect the ownership of the product with digital elements and prevent the dissemination of the source code to the public, for example through contractual arrangements.
(62)
In order to ensure that manufacturers across the Union determine similar support periods for comparable products with digital elements, ADCO should publish statistics on the average support periods determined by manufacturers for categories of products with digital elements and issue guidance indicating appropriate support periods for such categories. In addition, with a view to ensuring a harmonised approach across the internal market, the Commission should be able to adopt delegated acts to specify minimum support periods for specific product categories where the data provided by market surveillance authorities suggests that the support periods determined by manufacturers are either systematically not in line with the criteria for determining the support periods as laid down in this Regulation or that manufacturers in different Member States unjustifiably determine different support periods.
(63)
Manufacturers should set up a single point of contact that enables users to communicate easily with them, including for the purpose of reporting on and receiving information about the vulnerabilities of the product with digital element. They should make the single point of contact easily accessible for users and clearly indicate its availability, keeping this information up to date. Where manufacturers choose to offer automated tools, e.g. chat boxes, they should also offer a phone number or other digital means of contact, such as an email address or a contact form. The single point of contact should not rely exclusively on automated tools.
(64)
Manufacturers should make their products with digital elements available on the market with a secure by default configuration and provide security updates to users free of charge. Manufacturers should only be able to deviate from the essential cybersecurity requirements in relation to tailor-made products that are fitted to a particular purpose for a particular business user and where both the manufacturer and the user have explicitly agreed to a different set of contractual terms.
(65)
Manufacturers should notify simultaneously via the single reporting platform both the computer security incident response team (CSIRT) designated as coordinator as well as ENISA of actively exploited vulnerabilities contained in products with digital elements, as well as severe incidents having an impact on the security of those products. The notifications should be submitted using the electronic notification end-point of a CSIRT designated as coordinator and should be simultaneously accessible to ENISA.
(66)
Manufacturers should notify actively exploited vulnerabilities to ensure that the CSIRTs designated as coordinators, and ENISA, have an adequate overview of such vulnerabilities and are provided with the information necessary to fulfil their tasks as set out in Directive (EU) 2022/2555 and raise the overall level of cybersecurity of essential and important entities as referred to in Article 3 of that Directive, as well as to ensure the effective functioning of market surveillance authorities. As most products with digital elements are marketed across the entire internal market, any exploited vulnerability in a product with digital elements should be considered to be a threat to the functioning of the internal market. ENISA should, in agreement with the manufacturer, disclose fixed vulnerabilities to the European vulnerability database established pursuant to Article 12(2) of Directive (EU) 2022/2555. The European vulnerability database will assist manufacturers in detecting known exploitable vulnerabilities in their products, in order to ensure that secure products are made available on the market.
(67)
Manufacturers should also notify any severe incident having an impact on the security of the product with digital elements to the CSIRT designated as coordinator and ENISA. In order to ensure that users can react quickly to severe incidents having an impact on the security of their products with digital elements, manufacturers should also inform their users about any such incident and, where applicable, about any corrective measures that the users can deploy to mitigate the impact of the incident, for example by publishing relevant information on their websites or, where the manufacturer is able to contact the users and where justified by the cybersecurity risks, by reaching out to the users directly.
(68)
Actively exploited vulnerabilities concern instances where a manufacturer establishes that a security breach affecting its users or any other natural or legal persons has resulted from a malicious actor making use of a flaw in one of the products with digital elements made available on the market by the manufacturer. Examples of such vulnerabilities could be weaknesses in a product’s identification and authentication functions. Vulnerabilities that are discovered with no malicious intent for purposes of good faith testing, investigation, correction or disclosure to promote the security or safety of the system owner and its users should not be subject to mandatory notification. Severe incidents having an impact on the security of the product with digital elements, on the other hand, refer to situations where a cybersecurity incident affects the development, production or maintenance processes of the manufacturer in such a way that it could result in an increased cybersecurity risk for users or other persons. Such a severe incident could include a situation where an attacker has successfully introduced malicious code into the release channel via which the manufacturer releases security updates to users.
(69)
To ensure that notifications can be disseminated quickly to all relevant CSIRTs designated as coordinators and to enable manufacturers to submit a single notification at each stage of the notification process, a single reporting platform with national electronic notification end-points should be established by ENISA. The day-to-day operations of the single reporting platform should be managed and maintained by ENISA. The CSIRTs designated as coordinators should inform their respective market surveillance authorities about notified vulnerabilities or incidents. The single reporting platform should be designed in such a way that it ensures the confidentiality of notifications, in particular as regards vulnerabilities for which a security update is not yet available. In addition, ENISA should put in place procedures to handle information in a secure and confidential manner. On the basis of the information it gathers, ENISA should prepare a biennial technical report on emerging trends regarding cybersecurity risks in products with digital elements and submit it to the Cooperation Group established pursuant to Article 14 of Directive (EU) 2022/2555.
(70)
In exceptional circumstances and in particular upon request by the manufacturer, the CSIRT designated as coordinator initially receiving a notification should be able to decide to delay its dissemination to the other relevant CSIRTs designated as coordinators via the single reporting platform where this can be justified on cybersecurity-related grounds and for a period of time that is strictly necessary. The CSIRT designated as coordinator should immediately inform ENISA about the decision to delay and on which grounds, as well as when it intends to disseminate further. The Commission should develop, through a delegated act, specifications on the terms and conditions for when cybersecurity-related grounds could be applied and should cooperate with the CSIRTs network established pursuant to Article 15 of Directive (EU) 2022/2555, and ENISA in preparing the draft delegated act. Examples of cybersecurity-related grounds include an ongoing coordinated vulnerability disclosure procedure or situations in which a manufacturer is expected to provide a mitigating measure shortly and the cybersecurity risks of an immediate dissemination via the single reporting platform outweigh its benefits. If requested by the CSIRT designated as coordinator, ENISA should be able to support that CSIRT on the application of cybersecurity-related grounds in relation to delaying the dissemination of the notification based on the information ENISA has received from that CSIRT on the decision to withhold a notification on those cybersecurity-related grounds. Furthermore, in particularly exceptional circumstances, ENISA should not receive all the details of a notification of an actively exploited vulnerability in a simultaneous manner. This would be the case when the manufacturer marks in its notification that the notified vulnerability has been actively exploited by a malicious actor and that, according to the information available, it has been exploited in no other Member State than the one of the CSIRT designated as coordinator to which the manufacturer has notified the vulnerability, when any immediate further dissemination of the notified vulnerability would likely result in the supply of information the disclosure of which would be contrary to the essential interests of that Member State, or when the notified vulnerability poses an imminent high cybersecurity risk stemming from the further dissemination. In such cases, ENISA will only receive simultaneous access to the information that a notification was made by the manufacturer, general information about the product with digital elements concerned, the information about the general nature of the exploit and information about the fact that those security grounds were raised by the manufacturer and that the full content of the notification is therefore withheld. The full notification should then be made available to ENISA and other relevant CSIRTs designated as coordinators when the CSIRT designated as coordinator initially receiving the notification finds that those security grounds, reflecting particularly exceptional circumstances as established in this Regulation, cease to exist. Where, based on the information available, ENISA considers that there is a systemic risk affecting the security of the internal market, ENISA should recommend to the recipient CSIRT to disseminate the full notification to the other CSIRTs designated as coordinators and to ENISA itself.
(71)
When manufacturers notify an actively exploited vulnerability or a severe incident having an impact on the security of the product with digital elements, they should indicate how sensitive they consider the notified information to be. The CSIRT designated as coordinator initially receiving the notification should take this information into account when assessing whether the notification gives rise to exceptional circumstances that justify a delay in the dissemination of the notification to the other relevant CSIRTs designated as coordinators based on justified cybersecurity-related grounds. It should also take that information into account when assessing whether the notification of an actively exploited vulnerability gives rise to particularly exceptional circumstances that justify that the full notification is not made available simultaneously to ENISA. Finally, CSIRTs designated as coordinators should be able to take that information into account when determining appropriate measures to mitigate the risks stemming from such vulnerabilities and incidents.
(72)
In order to simplify the reporting of information required under this Regulation, in consideration of other complementary reporting requirements laid down in Union law, such as Regulation (EU) 2016/679, Regulation (EU) 2022/2554 of the European Parliament and of the Council 
(
25
)
, Directive 2002/58/EC of the European Parliament and of the Council 
(
26
)
 and Directive (EU) 2022/2555, as well as to decrease the administrative burden for entities, Member States are encouraged to consider providing at national level single entry points for such reporting requirements. The use of such national single entry points for the reporting of security incidents under Regulation (EU) 2016/679 and Directive 2002/58/EC should not affect the application of the provisions of Regulation (EU) 2016/679 and Directive 2002/58/EC, in particular those relating to the independence of the authorities referred to therein. When establishing the single reporting platform referred to in this Regulation, ENISA should take into account the possibility for the national electronic notification end-points referred to in this Regulation to be integrated into national single entry points that may also integrate other notifications required under Union law.
(73)
When establishing the single reporting platform referred to in this Regulation and in order to benefit from past experience, ENISA should consult other Union institutions or agencies that are managing platforms or databases subject to stringent security requirements, such as the European Union Agency for the Operational Management of Large-Scale IT Systems in the Area of Freedom, Security and Justice (eu-LISA). ENISA should also analyse potential complementarities with the European vulnerability database established pursuant to Article 12(2) of Directive (EU) 2022/2555.
(74)
Manufacturers and other natural and legal persons should be able to notify to a CSIRT designated as coordinator or ENISA, on a voluntary basis, any vulnerability contained in a product with digital elements, cyber threats that could affect the risk profile of a product with digital elements, any incident having an impact on the security of the product with digital elements as well as near misses that could have resulted in such an incident.
(75)
Member States should aim to address, to the extent possible, the challenges faced by vulnerability researchers, including their potential exposure to criminal liability, in accordance with national law. Given that natural and legal persons researching vulnerabilities could in some Member States be exposed to criminal and civil liability, Member States are encouraged to adopt guidelines as regards the non-prosecution of information security researchers and an exemption from civil liability for their activities.
(76)
Manufacturers of products with digital elements should put in place coordinated vulnerability disclosure policies to facilitate the reporting of vulnerabilities by individuals or entities either directly to the manufacturer or indirectly, and where requested anonymously, via CSIRTs designated as coordinators for the purposes of coordinated vulnerability disclosure in accordance with Article 12(1) of Directive (EU) 2022/2555. Manufacturers’ coordinated vulnerability disclosure policy should specify a structured process through which vulnerabilities are reported to a manufacturer in a manner allowing the manufacturer to diagnose and remedy such vulnerabilities before detailed vulnerability information is disclosed to third parties or to the public. Moreover, manufacturers should also consider publishing their security policies in machine-readable format. Given the fact that information about exploitable vulnerabilities in widely used products with digital elements can be sold at high prices on the black market, manufacturers of such products should be able to use programmes, as part of their coordinated vulnerability disclosure policies, to incentivise the reporting of vulnerabilities by ensuring that individuals or entities receive recognition and compensation for their efforts. This refers to so-called ‘bug bounty programmes’.
(77)
In order to facilitate vulnerability analysis, manufacturers should identify and document components contained in the products with digital elements, including by drawing up an SBOM. An SBOM can provide those who manufacture, purchase, and operate software with information that enhances their understanding of the supply chain, which has multiple benefits, in particular it helps manufacturers and users to track known newly emerged vulnerabilities and cybersecurity risks. It is of particular importance that manufacturers ensure that their products with digital elements do not contain vulnerable components developed by third parties. Manufacturers should not be obliged to make the SBOM public.
(78)
Under the new complex business models linked to online sales, a business operating online can provide a variety of services. Depending on the nature of the services provided in relation to a given product with digital elements, the same entity may fall within different categories of business models or economic operators. Where an entity provides only online intermediation services for a given product with digital elements and is merely a provider of an online marketplace as defined in Article 3, point (14), of Regulation (EU) 2023/988, it does not qualify as one of the types of economic operator defined in this Regulation. Where the same entity is a provider of an online marketplace and also acts as an economic operator as defined in this Regulation for the sale of particular products with digital elements, it should be subject to the obligations set out in this Regulation for that type of economic operator. For instance, if the provider of an online marketplace also distributes a product with digital elements, then, with respect to the sale of that product, it would be considered to be a distributor. Similarly, if the entity in question sells its own branded products with digital elements, it would qualify as a manufacturer and would thus have to comply with the applicable requirements for manufacturers. Also, some entities can qualify as fulfilment service providers as defined in Article 3, point (11), of Regulation (EU) 2019/1020 of the European Parliament and of the Council 
(
27
)
 if they offer such services. Such cases would need to be assessed on a case-by-case basis. Given the prominent role that online marketplaces have in enabling electronic commerce, they should strive to cooperate with the market surveillance authorities of the Member States in order to help ensure that products with digital elements purchased through online marketplaces comply with the cybersecurity requirements laid down in this Regulation.
(79)
In order to facilitate assessment of conformity with the requirements laid down in this Regulation, there should be a presumption of conformity for products with digital elements which are in conformity with harmonised standards, which translate the essential cybersecurity requirements set out in this Regulation into detailed technical specifications, and which are adopted in accordance with Regulation (EU) No 1025/2012 of the European Parliament and of the Council 
(
28
)
. That Regulation provides for a procedure for objections to harmonised standards where those standards do not entirely satisfy the requirements set out in this Regulation. The standardisation process should ensure a balanced representation of interests and effective participation of civil society stakeholders, including consumer organisations. International standards that are in line with the level of cybersecurity protection aimed for by the essential cybersecurity requirements set out in this Regulation should also be taken into account, in order to facilitate the development of harmonised standards and the implementation of this Regulation, as well as to facilitate compliance for companies, in particular microenterprises and small and medium-sized enterprises and those operating globally.
(80)
The timely development of harmonised standards during the transitional period for the application of this Regulation and their availability before the date of application of this Regulation will be particularly important for its effective implementation. This is, in particular, the case for important products with digital elements that fall under class I. The availability of harmonised standards will enable manufacturers of such products to perform the conformity assessments via the internal control procedure and can therefore avoid bottlenecks and delays in the activities of conformity assessment bodies.
(81)
Regulation (EU) 2019/881 establishes a voluntary European cybersecurity certification framework for ICT products, ICT processes and ICT services. European cybersecurity certification schemes provide a common framework of trust for users to use products with digital elements that fall within the scope of this Regulation. This Regulation should consequently create synergies with Regulation (EU) 2019/881. In order to facilitate the assessment of conformity with the requirements laid down in this Regulation, products with digital elements that are certified or for which a statement of conformity has been issued under a European cybersecurity scheme pursuant to Regulation (EU) 2019/881 that has been identified by the Commission in an implementing act, shall be presumed to be in compliance with the essential cybersecurity requirements set out in this Regulation in so far as the European cybersecurity certificate or statement of conformity or parts thereof cover those requirements. The need for new European cybersecurity certification schemes for products with digital elements should be assessed in the light of this Regulation, including when preparing the Union rolling work programme in accordance with Regulation (EU) 2019/881. Where there is a need for a new scheme covering products with digital elements, including in order to facilitate compliance with this Regulation, the Commission can request ENISA to prepare candidate schemes in accordance with Article 48 of Regulation (EU) 2019/881. Such future European cybersecurity certification schemes covering products with digital elements should take into account the essential cybersecurity requirements and conformity assessment procedures as set out in this Regulation and facilitate compliance with this Regulation. For European cybersecurity certification schemes that enter into force before the entry into force of this Regulation, further specifications may be needed on detailed aspects of how a presumption of conformity can apply. The Commission, by means of delegated acts, should be empowered to specify under which conditions the European cybersecurity certification schemes can be used to demonstrate conformity with the essential cybersecurity requirements set out in this Regulation. Furthermore, to avoid undue administrative burdens, there should be no obligation for manufacturers to carry out a third-party conformity assessment as provided for in this Regulation for corresponding requirements where a European cybersecurity certificate has been issued under such European cybersecurity certification schemes at least at level ‘substantial’.
(82)
Upon entry into force of Implementing Regulation (EU) 2024/482 which concerns products that fall within the scope of this Regulation, such as hardware security modules and microprocessors, the Commission should be able to specify, by means of a delegated act, how the EUCC provides a presumption of conformity with the essential cybersecurity requirements as set out in this Regulation or parts thereof. Furthermore, such a delegated act may specify how a certificate issued under the EUCC eliminates the obligation for manufacturers to carry out a third-party assessment as required pursuant to this Regulation for corresponding requirements.
(83)
The current European standardisation framework, which is based on the New Approach principles set out in Council Resolution of 7 May 1985 on a new approach to technical harmonization and standards and on Regulation (EU) No 1025/2012, represents the framework by default to elaborate standards that provide for a presumption of conformity with the relevant essential cybersecurity requirements set out in this Regulation. European standards should be market-driven, take into account the public interest, as well as the policy objectives clearly stated in the Commission’s request to one or more European standardisation organisations to draft harmonised standards, within a set deadline, and be based on consensus. However, in the absence of relevant references to harmonised standards, the Commission should be able to adopt implementing acts establishing common specifications for the essential cybersecurity requirements set out in this Regulation, provided that in doing so it duly respects the role and functions of European standardisation organisations, as an exceptional fall back solution to facilitate the manufacturer’s obligation to comply with those essential cybersecurity requirements, where the standardisation process is blocked or where there are delays in the establishment of appropriate harmonised standards. If such delay is due to the technical complexity of the standard in question, this should be considered by the Commission before considering whether to establish common specifications.
(84)
With a view to establishing, in the most efficient way, common specifications that cover the essential cybersecurity requirements set out in this Regulation, the Commission should involve relevant stakeholders in the process.
(85)
‘Reasonable period’ has the meaning, in relation to the publication of a reference to harmonised standards in the 
Official Journal of the European Union
 in accordance with Regulation (EU) No 1025/2012, of a period during which the publication in the 
Official Journal of the European Union
 of the reference to the standard, its corrigendum or its amendment is expected and which should not exceed one year after the deadline for drafting a European standard set in accordance with Regulation (EU) No 1025/2012.
(86)
In order to facilitate the assessment of conformity with the essential cybersecurity requirements set out in this Regulation, there should be a presumption of conformity for products with digital elements that are in conformity with the common specifications adopted by the Commission pursuant to this Regulation for the purpose of expressing detailed technical specifications of those requirements.
(87)
The application of harmonised standards, common specifications or European cybersecurity certification schemes adopted pursuant to Regulation (EU) 2019/881 providing presumption of conformity in relation to the essential cybersecurity requirements applicable to products with digital elements will facilitate the assessment of conformity by the manufacturers. If the manufacturer chooses not to apply such means for certain requirements, it has to indicate in their technical documentation how the compliance is reached otherwise. Furthermore, the application of harmonised standards, common specifications or European cybersecurity certification schemes adopted pursuant to Regulation (EU) 2019/881 providing presumption of conformity by manufacturers would facilitate the check of compliance of products with digital elements by market surveillance authorities. Therefore, manufacturers of products with digital elements are encouraged to apply such harmonised standards, common specifications or European cybersecurity certification schemes.
(88)
Manufacturers should draw up an EU declaration of conformity to provide information required under this Regulation on the conformity of products with digital elements with the essential cybersecurity requirements set out in this Regulation and, where applicable, of the other relevant Union harmonisation legislation by which the product with digital elements is covered. Manufacturers may also be required to draw up an EU declaration of conformity by other Union legal acts. To ensure effective access to information for market surveillance purposes, a single EU declaration of conformity should be drawn up in respect of compliance with all relevant Union legal acts. In order to reduce the administrative burden on economic operators, it should be possible for that single EU declaration of conformity to be a dossier made up of relevant individual declarations of conformity.
(89)
The CE marking, indicating the conformity of a product, is the visible consequence of a whole process comprising conformity assessment in a broad sense. The general principles governing the CE marking are set out in Regulation (EC) No 765/2008 of the European Parliament and of the Council 
(
29
)
. Rules governing the affixing of the CE marking on products with digital elements should be laid down in this Regulation. The CE marking should be the only marking which guarantees that products with digital elements comply with the requirements set out in this Regulation.
(90)
In order to allow economic operators to demonstrate conformity with the essential cybersecurity requirements set out in this Regulation and to allow market surveillance authorities to ensure that products with digital elements made available on the market comply with those requirements, it is necessary to provide for conformity assessment procedures. Decision No 768/2008/EC of the European Parliament and of the Council 
(
30
)
 establishes modules for conformity assessment procedures in proportion to the level of risk involved and the level of security required. In order to ensure inter-sectoral coherence and to avoid ad-hoc variants, conformity assessment procedures adequate for verifying the conformity of products with digital elements with the essential cybersecurity requirements set out in this Regulation should be based on those modules. The conformity assessment procedures should examine and verify both product and process-related requirements covering the whole lifecycle of products with digital elements, including planning, design, development or production, testing and maintenance of the product with digital elements.
(91)
Conformity assessment of products with digital elements that are not listed as important or critical products with digital elements in this Regulation can be carried out by the manufacturer under its own responsibility following the internal control procedure based on module A of Decision No 768/2008/EC in accordance with this Regulation. This also applies to cases where a manufacturer chooses not to apply in whole or in part an applicable harmonised standard, common specification or European cybersecurity certification scheme. The manufacturer retains the flexibility to choose a stricter conformity assessment procedure involving a third party. Under the internal control conformity assessment procedure, the manufacturer ensures and declares on its sole responsibility that the product with digital elements and the processes of the manufacturer meet the applicable essential cybersecurity requirements set out in this Regulation. If an important product with digital elements falls under class I, additional assurance is required to demonstrate conformity with the essential cybersecurity requirements set out in this Regulation. The manufacturer should apply harmonised standards, common specifications or European cybersecurity certification schemes adopted pursuant to Regulation (EU) 2019/881 which have been identified by the Commission in an implementing act if it wants to carry out the conformity assessment under its own responsibility (module A). If the manufacturer does not apply such harmonised standards, common specifications or European cybersecurity certification schemes, the manufacturer should undergo conformity assessment involving a third party (based on modules B and C or module H). Taking into account the administrative burden on manufacturers and the fact that cybersecurity plays an important role in the design and development phase of tangible and intangible products with digital elements, conformity assessment procedures based on modules B and C or module H of Decision No 768/2008/EC have been chosen as most appropriate for assessing the compliance of important products with digital elements in a proportionate and effective manner. The manufacturer that carries out the third-party conformity assessment can choose the procedure that best suits its design and production process. Given the even greater cybersecurity risk linked with the use of important products with digital elements that fall under class II, the conformity assessment should always involve a third party, even where the product complies fully or partly with harmonised standards, common specifications or European cybersecurity certification schemes. Manufacturers of important products with digital elements qualifying as free and open-source software should be able to follow the internal control procedure based on module A, provided that they make the technical documentation available to the public.
(92)
While the creation of tangible products with digital elements usually requires manufacturers to make substantial efforts throughout the design, development and production phases, the creation of products with digital elements in the form of software almost exclusively focuses on design and development, while the production phase plays a minor role. Nonetheless, in many cases software products still need to be compiled, built, packaged, made available for download or copied onto physical media before being placed on the market. Those activities should be considered to be activities amounting to production when applying the relevant conformity assessment modules to verify the compliance of the product with the essential cybersecurity requirements set out in this Regulation across the design, development and production phases.
(93)
In relation to microenterprises and small enterprises, in order to ensure proportionality, it is appropriate to alleviate administrative costs without affecting the level of cybersecurity protection of products with digital elements that fall within the scope of this Regulation or the level playing field among manufacturers. It is therefore appropriate for the Commission to establish a simplified technical documentation form targeted at the needs of microenterprises and small enterprises. The simplified technical documentation form adopted by the Commission should cover all the applicable elements related to technical documentation set out in this Regulation and specify how a microenterprise or a small enterprise can provide the requested elements in a concise way, such as the description of the design, development and production of the product with digital elements. In doing so, the form would contribute to alleviating the administrative compliance burden by providing the enterprises concerned with legal certainty about the extent and detail of information to be provided. Microenterprises and small enterprises should be able to choose to provide the applicable elements related to technical documentation in extensive form and not take advantage of the simplified technical form available to them.
(94)
In order to promote and protect innovation, it is important that the interests of manufacturers that are microenterprises or small or medium-sized enterprises, in particular microenterprises and small enterprises, including start-ups, are taken into particular account. To that end, Member States could develop initiatives which are targeted at manufacturers that are microenterprises or small enterprises, including on training, awareness raising, information communication, testing and third-party conformity assessment activities, as well as the establishment of sandboxes. Translation costs related to mandatory documentation, such as the technical documentation and the information and instructions to the user required pursuant to this Regulation, and communication with authorities, may constitute a significant cost for manufacturers, in particular those of a smaller size. Therefore, Member States should be able to consider that one of the languages determined and accepted by them for relevant manufacturers’ documentation and for communication with manufacturers is one which is broadly understood by the largest possible number of users.
(95)
In order to ensure a smooth application of this Regulation, Member States should strive to ensure, before the date of application of this Regulation, that a sufficient number of notified bodies is available to carry out third-party conformity assessments. The Commission should seek to assist Member States and other relevant parties in this endeavour, in order to avoid bottlenecks and hindrances to market entry for manufacturers. Targeted training activities led by Member States, including where appropriate with the support of the Commission, can contribute to the availability of skilled professionals including to support the activities of notified bodies under this Regulation. Furthermore, in light of the costs that third-party conformity assessment may entail, funding initiatives at Union and national level that seek to alleviate such costs for microenterprises and small enterprises should be considered.
(96)
In order to ensure proportionality, conformity assessment bodies, when setting the fees for conformity assessment procedures, should take into account the specific interests and needs of microenterprises and small and medium-sized enterprises, including start-ups. In particular, conformity assessment bodies should apply the relevant examination procedure and tests provided for in this Regulation only where appropriate and following a risk-based approach.
(97)
The objectives of regulatory sandboxes should be to foster innovation and competitiveness for businesses by establishing controlled testing environments before the placing on the market of products with digital elements. Regulatory sandboxes should contribute to improve legal certainty for all actors that fall within the scope of this Regulation and facilitate and accelerate access to the Union market for products with digital elements, in particular when provided by microenterprises and small enterprises, including start-ups.
(98)
In order to carry out third-party conformity assessment for products with digital elements, conformity assessment bodies should be notified by the national notifying authorities to the Commission and the other Member States, provided they comply with a set of requirements, in particular on independence, competence and absence of conflicts of interest.
(99)
In order to ensure a consistent level of quality in the performance of conformity assessment of products with digital elements, it is also necessary to lay down requirements for notifying authorities and other bodies involved in the assessment, notification and monitoring of notified bodies. The system set out in this Regulation should be complemented by the accreditation system provided for in Regulation (EC) No 765/2008. Since accreditation is an essential means of verifying the competence of conformity assessment bodies, it should also be used for the purposes of notification.
(100)
Conformity assessment bodies that have been accredited and notified under Union law laying down requirements similar to those laid down in this Regulation, such as a conformity assessment body that has been notified for a European cybersecurity certification scheme adopted pursuant to Regulation (EU) 2019/881 or notified under Delegated Regulation (EU) 2022/30, should be newly assessed and notified under this Regulation. However, synergies can be defined by relevant authorities regarding any overlapping requirements in order to prevent an unnecessary financial and administrative burden and to ensure a smooth and timely notification process.
(101)
Transparent accreditation as provided for in Regulation (EC) No 765/2008, ensuring the necessary level of confidence in certificates of conformity, should be considered by the national public authorities throughout the Union to be the preferred means of demonstrating the technical competence of conformity assessment bodies. However, national authorities may consider that they possess the appropriate means of carrying out that evaluation themselves. In such cases, in order to ensure the appropriate level of credibility of evaluations carried out by other national authorities, they should provide the Commission and the other Member States with the necessary documentary evidence demonstrating the compliance of the conformity assessment bodies evaluated with the relevant regulatory requirements.
(102)
Conformity assessment bodies frequently subcontract parts of their activities linked to the assessment of conformity or have recourse to a subsidiary. In order to safeguard the level of protection required for a product with digital elements to be placed on the market, it is essential that conformity assessment subcontractors and subsidiaries fulfil the same requirements as notified bodies in relation to the performance of conformity assessment tasks.
(103)
The notification of a conformity assessment body should be sent by the notifying authority to the Commission and the other Member States via the New Approach Notified and Designated Organisations (NANDO) information system. The NANDO information system is the electronic notification tool developed and managed by the Commission where a list of all notified bodies can be found.
(104)
Since notified bodies may offer their services throughout the Union, it is appropriate to give the other Member States and the Commission the opportunity to raise objections concerning a notified body. It is therefore important to provide for a period during which any doubts or concerns as to the competence of conformity assessment bodies can be clarified before they start operating as notified bodies.
(105)
In the interests of competitiveness, it is crucial that notified bodies apply the conformity assessment procedures without creating unnecessary burden for economic operators. For the same reason, and to ensure equal treatment of economic operators, consistency in the technical application of the conformity assessment procedures needs to be ensured. That should be best achieved through appropriate coordination and cooperation between notified bodies.
(106)
Market surveillance is an essential instrument in ensuring the proper and uniform application of Union law. It is therefore appropriate to put in place a legal framework within which market surveillance can be carried out in an appropriate manner. The rules on Union market surveillance and control of products entering the Union market provided for in Regulation (EU) 2019/1020 apply to products with digital elements that fall within the scope of this Regulation.
(107)
In accordance with Regulation (EU) 2019/1020, a market surveillance authority carries out market surveillance in the territory of the Member State that designates it. This Regulation should not prevent Member States from choosing the competent authorities to carry out market surveillance tasks. Each Member State should designate one or more market surveillance authorities in its territory. Member States should be able to choose to designate any existing or new authority to act as market surveillance authority, including competent authorities designated or established pursuant to Article 8 of Directive (EU) 2022/2555, national cybersecurity certification authorities designated pursuant to Article 58 of Regulation (EU) 2019/881 or market surveillance authorities designated for the purposes of Directive 2014/53/EU. Economic operators should fully cooperate with market surveillance authorities and other competent authorities. Each Member State should inform the Commission and the other Member States of its market surveillance authorities and the areas of competence of each of those authorities and should ensure the necessary resources and skills to carry out the market surveillance tasks relating to this Regulation. Pursuant to Article 10(2) and (3) of Regulation (EU) 2019/1020, each Member State should appoint a single liaison office that should be responsible, inter alia, for representing the coordinated position of the market surveillance authorities and assisting in the cooperation between market surveillance authorities in different Member States.
(108)
A dedicated ADCO for the cyber resilience of products with digital elements should be established for the uniform application of this Regulation, pursuant to Article 30(2) of Regulation (EU) 2019/1020. ADCO should be composed of representatives of the designated market surveillance authorities and, if appropriate, representatives of the single liaison offices. The Commission should support and encourage cooperation between market surveillance authorities through the Union Product Compliance Network established pursuant to Article 29 of Regulation (EU) 2019/1020 and comprising representatives from each Member State, including a representative of each single liaison office as referred to in Article 10 of that Regulation and an optional national expert, the chairs of ADCOs, and representatives from the Commission. The Commission should participate in the meetings of the Union Product Compliance Network, its sub-groups and ADCO. It should also assist ADCO by means of an executive secretariat that provides technical and logistic support. ADCO may also invite independent experts to participate, and liaise with other ADCOs, such as that established under Directive 2014/53/EU.
(109)
Market surveillance authorities, through ADCO established under this Regulation, should cooperate closely and should be able to develop guidance documents to facilitate market surveillance activities at national level, such as by developing best practices and indicators to effectively check the compliance of products with digital elements with this Regulation.
(110)
In order to ensure timely, proportionate and effective measures in relation to products with digital elements presenting a significant cybersecurity risk, a Union safeguard procedure under which interested parties are informed of measures intended to be taken with regard to such products should be provided for. This should also allow market surveillance authorities, in cooperation with the relevant economic operators, to act at an earlier stage where necessary. Where the Member States and the Commission agree as to the justification of a measure taken by a Member State, no further involvement of the Commission should be required, except where non-compliance can be attributed to shortcomings of a harmonised standard.
(111)
In certain cases, a product with digital elements which complies with this Regulation can nonetheless present a significant cybersecurity risk or pose a risk to the health or safety of persons, to compliance with obligations under Union or national law intended to protect fundamental rights, to the availability, authenticity, integrity or confidentiality of services offered using an electronic information system by essential entities as referred to in Article 3(1) of Directive (EU) 2022/2555 or to other aspects of public interest protection. Therefore it is necessary to establish rules which ensure mitigation of those risks. As a result, market surveillance authorities should take measures to require the economic operator to ensure that the product no longer presents that risk, or to recall or withdraw it, depending on the risk. As soon as a market surveillance authority restricts or forbids the free movement of a product with digital elements in such way, the Member State should notify without delay the Commission and the other Member States of the provisional measures, indicating the reasons and justification for the decision. Where a market surveillance authority adopts such measures against products with digital elements presenting a risk, the Commission should enter into consultation with the Member States and the relevant economic operator or operators without delay and should evaluate the national measure. On the basis of the results of this evaluation, the Commission should decide whether the national measure is justified or not. The Commission should address its decision to all Member States and immediately communicate it to them and the relevant economic operator or operators. If the measure is considered to be justified, the Commission should also consider whether to adopt proposals to revise the relevant Union law.
(112)
For products with digital elements presenting a significant cybersecurity risk, and where there is reason to believe that they do not comply with this Regulation, or for products that comply with this Regulation, but that present other important risks, such as risks to the health or safety of persons, to compliance with obligations under Union or national law intended to protect fundamental rights or to the availability, authenticity, integrity or confidentiality of services offered using an electronic information system by essential entities as referred to in Article 3(1) of Directive (EU) 2022/2555, the Commission should be able to request ENISA to carry out an evaluation. Based on that evaluation, the Commission should be able to adopt, by means of implementing acts, corrective or restrictive measures at Union level, including requiring the products with digital elements concerned to be withdrawn from the market or recalled, within a reasonable period, commensurate with the nature of the risk. The Commission should be able to have recourse to such intervention only in exceptional circumstances that justify an immediate intervention to preserve the proper functioning of the internal market, and only where no effective measures have been taken by market surveillance authorities to remedy the situation. Such exceptional circumstances may be emergency situations where, for example, a non-compliant product with digital elements is widely made available by the manufacturer throughout several Member States, used also in key sectors by entities that fall within the scope of Directive (EU) 2022/2555 while containing known vulnerabilities that are being exploited by malicious actors and for which the manufacturer does not provide available patches. The Commission should be able to intervene in such emergency situations only for the duration of the exceptional circumstances and if non-compliance with this Regulation or the important risks presented persist.
(113)
Where there are indications of non-compliance with this Regulation in several Member States, market surveillance authorities should be able to carry out joint activities with other authorities, with a view to verifying compliance and identifying cybersecurity risks of products with digital elements.
(114)
Simultaneous coordinated control actions (sweeps) are specific enforcement actions by market surveillance authorities that can further enhance product security. Sweeps should, in particular, be conducted where market trends, consumer complaints or other indications suggest that certain categories of products with digital elements are often found to present cybersecurity risks. Furthermore, when determining the product categories to be subjected to sweeps, market surveillance authorities should also take into account circumstances relating to non-technical risk factors. To that end, market surveillance authorities should be able to take into account the results of Union level coordinated security risk assessments of critical supply chains carried out in accordance with Article 22 of Directive (EU) 2022/2555, including circumstances relating to non-technical risk factors. ENISA should submit proposals for categories of products with digital elements for which sweeps could be organised to the market surveillance authorities, based, inter alia, on the notifications of vulnerabilities and incidents it receives.
(115)
In light of its expertise and mandate, ENISA should be able to support the process for implementation of this Regulation. In particular, ENISA should be able to propose joint activities to be conducted by market surveillance authorities based on indications or information regarding potential non-compliance with this Regulation of products with digital elements across several Member States or identify categories of products for which sweeps should be organised. In exceptional circumstances, ENISA should be able, at the request of the Commission, to conduct evaluations in respect of specific products with digital elements that present a significant cybersecurity risk, where an immediate intervention is required to preserve the proper functioning of the internal market.
(116)
This Regulation confers certain tasks upon ENISA which require appropriate resources in terms of both expertise and human resources in order to enable ENISA to carry out those tasks effectively. The Commission will propose the necessary budgetary resources for ENISA’s establishment plan, in accordance with the procedure set out in Article 29 of Regulation (EU) 2019/881, when preparing the draft general budget of the Union. During that process, the Commission will consider ENISA’s overall resources to enable it to fulfil its tasks, including those conferred on ENISA pursuant to this Regulation.
(117)
In order to ensure that the regulatory framework can be adapted where necessary, the power to adopt acts in accordance with Article 290 of the Treaty on the Functioning of the European Union (TFEU) should be delegated to the Commission in respect of updating an annex to this Regulation listing the important products with digital elements. Power to adopt acts in accordance with that Article should be delegated to the Commission to identify products with digital elements covered by other Union rules which achieve the same level of protection as this Regulation, specifying whether a limitation or exclusion from the scope of this Regulation would be necessary as well as the scope of that limitation, if applicable. Power to adopt acts in accordance with that Article should also be delegated to the Commission in respect of the potential mandating of certification under a European cybersecurity certification scheme of the critical products with digital elements set out in an annex to this Regulation, as well as for updating the list of critical products with digital elements based on criticality criteria set out in this Regulation, and for specifying the European cybersecurity certification schemes adopted pursuant to Regulation (EU) 2019/881 that can be used to demonstrate conformity with the essential cybersecurity requirements or parts thereof as set out in an annex to this Regulation. Power to adopt acts should also be delegated to the Commission to specify the minimum support period for specific product categories where the market surveillance data suggests inadequate support periods, as well as to specify the terms and conditions for applying the cybersecurity-related grounds in relation to delaying the dissemination of notifications of actively exploited vulnerabilities. Furthermore, power to adopt acts should be delegated to the Commission to establish voluntary security attestation programmes for assessing the conformity of products with digital elements qualifying as free and open-source software with all or certain essential cybersecurity requirements or other obligations laid down in this Regulation, as well as to specify the minimum content of the EU declaration of conformity and to supplement the elements to be included in the technical documentation. It is of particular importance that the Commission carry out appropriate consultations during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making 
(
31
)
. In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States’ experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts. The power to adopt delegated acts pursuant to this Regulation should be conferred on the Commission for a period of five years from 10 December 2024. The Commission should draw up a report in respect of the delegation of power not later than nine months before the end of the five-year period. The delegation of power should be tacitly extended for periods of an identical duration, unless the European Parliament or the Council opposes such extension not later than three months before the end of each period.
(118)
In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission to specify the technical description of the categories of important products with digital elements set out in an annex to this Regulation, specify the format and elements of the SBOM, specify further the format and procedure of the notifications of actively exploited vulnerabilities and severe incidents having an impact on the security of products with digital elements submitted by manufacturers, establish common specifications covering technical requirements that provide a means to comply with the essential cybersecurity requirements set out in an annex to this Regulation, lay down technical specifications for labels, pictograms or any other marks related to the security of the products with digital elements, their support period and mechanisms to promote their use and to increase public awareness about the security of products with digital elements, specify the simplified documentation form targeted at the needs of microenterprises and small enterprises, and decide on corrective or restrictive measures at Union level in exceptional circumstances which justify an immediate intervention to preserve the proper functioning of the internal market. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
32
)
.
(119)
In order to ensure trusting and constructive cooperation of market surveillance authorities at Union and national level, all parties involved in the application of this Regulation should respect the confidentiality of information and data obtained in carrying out their tasks.
(120)
In order to ensure effective enforcement of the obligations laid down in this Regulation, each market surveillance authority should have the power to impose or request the imposition of administrative fines. Maximum levels for administrative fines to be provided for in national law for non-compliance with the obligations laid down in this Regulation should therefore be established. When deciding on the amount of the administrative fine in each individual case, all relevant circumstances of the specific situation should be taken into account and, as a minimum, those explicitly established in this Regulation, including whether the manufacturer is a microenterprise or a small or medium-sized enterprise, including a start-up, and whether administrative fines have been already applied by the same or other market surveillance authorities to the same economic operator for a similar infringement. Such circumstances could be either aggravating, in situations where the infringement by the same economic operator persists on the territory of Member States other than that where an administrative fine has already been applied, or mitigating, in ensuring that any other administrative fine considered by another market surveillance authority for the same economic operator or the same type of infringement should already take account, along with other relevant specific circumstances, of a penalty and the quantum thereof imposed in other Member States. In all such cases, the cumulative administrative fine that could be applied by market surveillance authorities of several Member States to the same economic operator for the same type of infringement should ensure the respect of the principle of proportionality. Given that administrative fines do not apply to microenterprises or small enterprises for a failure to meet the 24-hour deadline for the early warning notification of actively exploited vulnerabilities or severe incidents having an impact on the security of the product with digital elements, nor to open-source software stewards for any infringement of this Regulation, and subject to the principle that penalties should be effective, proportionate and dissuasive, Member States should not impose other kinds of penalties with pecuniary character on those entities.
(121)
Where administrative fines are imposed on a person that is not an undertaking, the competent authority should take account of the general level of income in the Member State as well as the economic situation of the person when considering the appropriate amount of the fine. It should be for the Member States to determine whether and to what extent public authorities should be subject to administrative fines.
(122)
Member States should examine, taking into account national circumstances, the possibility of using the revenues from the penalties as provided for in this Regulation or their financial equivalent to support cybersecurity policies and increase the level of cybersecurity in the Union by, inter alia, increasing the number of qualified cybersecurity professionals, strengthening capacity building for microenterprises and small and medium-sized enterprises and improving public awareness of cyber threats.
(123)
In its relationships with third countries, the Union endeavours to promote international trade in regulated products. A broad variety of measures can be applied in order to facilitate trade, including several legal instruments such as bilateral (inter-governmental) Mutual Recognition Agreements (MRAs) for conformity assessment and marking of regulated products. MRAs are established between the Union and third countries which are on a comparable level of technical development and have a compatible approach concerning conformity assessment. Those agreements are based on the mutual acceptance of certificates, marks of conformity and test reports issued by the conformity assessment bodies of either party in conformity with the legislation of the other party. Currently, MRAs are in place with several third countries. Those MRAs are concluded in a number of specific sectors, which might vary from one third country to another. In order to further facilitate trade, and recognising that supply chains of products with digital elements are global, MRAs concerning conformity assessment can be concluded for products regulated under this Regulation by the Union in accordance with Article 218 TFEU. Cooperation with partner third countries is also important, in order to strengthen cyber resilience globally, as in the long term this will contribute to a strengthened cybersecurity framework both within and outside of the Union.
(124)
Consumers should be entitled to enforce their rights in relation to the obligations imposed on economic operators under this Regulation through representative actions pursuant to Directive (EU) 2020/1828 of the European Parliament and of the Council 
(
33
)
. For that purpose, this Regulation should provide that Directive (EU) 2020/1828 is applicable to the representative actions concerning infringements of this Regulation that harm or can harm the collective interests of consumers. Annex I to that Directive should therefore be amended accordingly. It is for the Member States to ensure that those amendments are reflected in the transposition measures adopted pursuant to that Directive, although the adoption of national transposition measures in that regard is not a condition for the applicability of that Directive to those representative actions. The applicability of that Directive to the representative actions brought with regard to infringements of provisions of this Regulation by economic operators that harm or could harm the collective interests of consumers should start from 11 December 2027.
(125)
The Commission should periodically evaluate and review this Regulation, in consultation with relevant stakeholders, in particular with a view to determining the need for modification in the light of changes to societal, political, technological or market conditions. This Regulation will facilitate the compliance with supply chain security obligations of entities that fall within the scope of Regulation (EU) 2022/2554 and Directive (EU) 2022/2555 that use products with digital elements. The Commission should evaluate, as part of that periodic review, the combined effects of the Union cybersecurity framework.
(126)
Economic operators should be provided with sufficient time to adapt to the requirements set out in this Regulation. This Regulation should apply from 11 December 2027, with exception of the reporting obligations concerning actively exploited vulnerabilities and severe incidents having an impact on the security of products with digital elements, which should apply from 11 September 2026 and of the provisions on notification of conformity assessment bodies, which should apply from 11 June 2026.
(127)
It is important to provide support to microenterprises and small and medium-sized enterprises, including start-ups, in the implementation of this Regulation and to minimise the risks to the implementation resulting from lack of knowledge and expertise in the market, as well as in order to facilitate compliance of manufacturers with their obligations laid down in this Regulation. The Digital Europe Programme and other relevant Union programmes provide financial and technical support that enable those enterprises to contribute to the growth of the Union economy and to the strengthening of the common level of cybersecurity in the Union. The European Cybersecurity Competence Centre and National Coordination Centres as well as European Digital Innovation Hubs established by the Commission and the Member States at Union or national level could also support companies and public sector organisations and could contribute to the implementation of this Regulation. Within their respective missions and fields of competence, they could provide technical and scientific support to microenterprises and small and medium sized enterprises, such as for testing activities and third-party conformity assessments. They could also foster the deployment of tools to facilitate the implementation of this Regulation.
(128)
Furthermore, Member States should consider taking complementary action aiming to provide guidance and support for microenterprises and small and medium-sized enterprises, such as the establishment of regulatory sandboxes and dedicated channels for communication. In order to strengthen the level of cybersecurity in the Union, Member States may also consider providing support to develop capacity and skills related to cybersecurity of products with digital elements, improving the cyber resilience of economic operators, in particular of microenterprises and small and medium-sized enterprises, and fostering public awareness about the cybersecurity of products with digital elements.
(129)
Since the objective of this Regulation cannot be sufficiently achieved by the Member States but can rather, by reason of the effects of the action, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union. In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve that objective.
(130)
The European Data Protection Supervisor was consulted in accordance with Article 42(1) of Regulation (EU) 2018/1725 of the European Parliament and of the Council 
(
34
)
 and delivered an opinion on 9 November 2022 
(
35
)
,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
GENERAL PROVISIONS
Article 1
Subject matter
This Regulation lays down:
(a)
rules for the making available on the market of products with digital elements to ensure the cybersecurity of such products;
(b)
essential cybersecurity requirements for the design, development and production of products with digital elements, and obligations for economic operators in relation to those products with respect to cybersecurity;
(c)
essential cybersecurity requirements for the vulnerability handling processes put in place by manufacturers to ensure the cybersecurity of products with digital elements during the time the products are expected to be in use, and obligations for economic operators in relation to those processes;
(d)
rules on market surveillance, including monitoring, and enforcement of the rules and requirements referred to in this Article.
Article 2
Scope
1.   This Regulation applies to products with digital elements made available on the market, the intended purpose or reasonably foreseeable use of which includes a direct or indirect logical or physical data connection to a device or network.
2.   This Regulation does not apply to products with digital elements to which the following Union legal acts apply:
(a)
Regulation (EU) 2017/745;
(b)
Regulation (EU) 2017/746;
(c)
Regulation (EU) 2019/2144.
3.   This Regulation does not apply to products with digital elements that have been certified in accordance with Regulation (EU) 2018/1139.
4.   This Regulation does not apply to equipment that falls within the scope of Directive 2014/90/EU of the European Parliament and of the Council 
(
36
)
.
5.   The application of this Regulation to products with digital elements covered by other Union rules laying down requirements that address all or some of the risks covered by the essential cybersecurity requirements set out in Annex I may be limited or excluded where:
(a)
such limitation or exclusion is consistent with the overall regulatory framework that applies to those products; and
(b)
the sectoral rules achieve the same or a higher level of protection as that provided for by this Regulation.
The Commission is empowered to adopt delegated acts in accordance with Article 61 to supplement this Regulation by specifying whether such limitation or exclusion is necessary, the products and rules concerned, as well as the scope of the limitation, if relevant.
6.   This Regulation does not apply to spare parts that are made available on the market to replace identical components in products with digital elements and that are manufactured according to the same specifications as the components that they are intended to replace.
7.   This Regulation does not apply to products with digital elements developed or modified exclusively for national security or defence purposes or to products specifically designed to process classified information.
8.   The obligations laid down in this Regulation shall not entail the supply of information the disclosure of which would be contrary to the essential interests of Member States’ national security, public security or defence.
Article 3
Definitions
For the purposes of this Regulation, the following definitions apply:
(1)
‘product with digital elements’ means a software or hardware product and its remote data processing solutions, including software or hardware components being placed on the market separately;
(2)
‘remote data processing’ means data processing at a distance for which the software is designed and developed by the manufacturer, or under the responsibility of the manufacturer, and the absence of which would prevent the product with digital elements from performing one of its functions;
(3)
‘cybersecurity’ means cybersecurity as defined in Article 2, point (1), of Regulation (EU) 2019/881;
(4)
‘software’ means the part of an electronic information system which consists of computer code;
(5)
‘hardware’ means a physical electronic information system, or parts thereof capable of processing, storing or transmitting digital data;
(6)
‘component’ means software or hardware intended for integration into an electronic information system;
(7)
‘electronic information system’ means a system, including electrical or electronic equipment, capable of processing, storing or transmitting digital data;
(8)
‘logical connection’ means a virtual representation of a data connection implemented through a software interface;
(9)
‘physical connection’ means a connection between electronic information systems or components implemented using physical means, including through electrical, optical or mechanical interfaces, wires or radio waves;
(10)
‘indirect connection’ means a connection to a device or network, which does not take place directly but rather as part of a larger system that is directly connectable to such device or network;
(11)
‘end-point’ means any device that is connected to a network and serves as an entry point to that network;
(12)
‘economic operator’ means the manufacturer, the authorised representative, the importer, the distributor, or other natural or legal person who is subject to obligations in relation to the manufacture of products with digital elements or to the making available of products with digital elements on the market in accordance with this Regulation;
(13)
‘manufacturer’ means a natural or legal person who develops or manufactures products with digital elements or has products with digital elements designed, developed or manufactured, and markets them under its name or trademark, whether for payment, monetisation or free of charge;
(14)
‘open-source software steward’ means a legal person, other than a manufacturer, that has the purpose or objective of systematically providing support on a sustained basis for the development of specific products with digital elements, qualifying as free and open-source software and intended for commercial activities, and that ensures the viability of those products;
(15)
‘authorised representative’ means a natural or legal person established within the Union who has received a written mandate from a manufacturer to act on its behalf in relation to specified tasks;
(16)
‘importer’ means a natural or legal person established in the Union who places on the market a product with digital elements that bears the name or trademark of a natural or legal person established outside the Union;
(17)
‘distributor’ means a natural or legal person in the supply chain, other than the manufacturer or the importer, that makes a product with digital elements available on the Union market without affecting its properties;
(18)
‘consumer’ means a natural person who acts for purposes which are outside that person’s trade, business, craft or profession;
(19)
‘microenterprises’, ‘small enterprises’ and ‘medium-sized enterprises’ mean, respectively, microenterprises, small enterprises and medium-sized enterprises as defined in the Annex to Recommendation 2003/361/EC;
(20)
‘support period’ means the period during which a manufacturer is required to ensure that vulnerabilities of a product with digital elements are handled effectively and in accordance with the essential cybersecurity requirements set out in Part II of Annex I;
(21)
‘placing on the market’ means the first making available of a product with digital elements on the Union market;
(22)
‘making available on the market’ means the supply of a product with digital elements for distribution or use on the Union market in the course of a commercial activity, whether in return for payment or free of charge;
(23)
‘intended purpose’ means the use for which a product with digital elements is intended by the manufacturer, including the specific context and conditions of use, as specified in the information supplied by the manufacturer in the instructions for use, promotional or sales materials and statements, as well as in the technical documentation;
(24)
‘reasonably foreseeable use’ means use that is not necessarily the intended purpose supplied by the manufacturer in the instructions for use, promotional or sales materials and statements, as well as in the technical documentation, but which is likely to result from reasonably foreseeable human behaviour or technical operations or interactions;
(25)
‘reasonably foreseeable misuse’ means the use of a product with digital elements in a way that is not in accordance with its intended purpose, but which may result from reasonably foreseeable human behaviour or interaction with other systems;
(26)
‘notifying authority’ means the national authority responsible for setting up and carrying out the necessary procedures for the assessment, designation and notification of conformity assessment bodies and for their monitoring;
(27)
‘conformity assessment’ means the process of verifying whether the essential cybersecurity requirements set out in Annex I have been fulfilled;
(28)
‘conformity assessment body’ means a conformity assessment body as defined in Article 2, point (13), of Regulation (EC) No 765/2008;
(29)
‘notified body’ means a conformity assessment body designated in accordance with Article 43 and other relevant Union harmonisation legislation;
(30)
‘substantial modification’ means a change to the product with digital elements following its placing on the market, which affects the compliance of the product with digital elements with the essential cybersecurity requirements set out in Part I of Annex I or which results in a modification to the intended purpose for which the product with digital elements has been assessed;
(31)
‘CE marking’ means a marking by which a manufacturer indicates that a product with digital elements and the processes put in place by the manufacturer are in conformity with the essential cybersecurity requirements set out in Annex I and other applicable Union harmonisation legislation providing for its affixing;
(32)
‘Union harmonisation legislation’ means Union legislation listed in Annex I to Regulation (EU) 2019/1020 and any other Union legislation harmonising the conditions for the marketing of products to which that Regulation applies;
(33)
‘market surveillance authority’ means a market surveillance authority as defined in Article 3, point (4), of Regulation (EU) 2019/1020;
(34)
‘international standard’ means an international standard as defined in Article 2, point (1)(a), of Regulation (EU) No 1025/2012;
(35)
‘European standard’ means a European standard as defined in Article 2, point (1)(b), of Regulation (EU) No 1025/2012;
(36)
‘harmonised standard’ means a harmonised standard as defined in Article 2, point (1)(c), of Regulation (EU) No 1025/2012;
(37)
‘cybersecurity risk’ means the potential for loss or disruption caused by an incident and is to be expressed as a combination of the magnitude of such loss or disruption and the likelihood of occurrence of the incident;
(38)
‘significant cybersecurity risk’ means a cybersecurity risk which, based on its technical characteristics, can be assumed to have a high likelihood of an incident that could lead to a severe negative impact, including by causing considerable material or non-material loss or disruption;
(39)
‘software bill of materials’ means a formal record containing details and supply chain relationships of components included in the software elements of a product with digital elements;
(40)
‘vulnerability’ means a weakness, susceptibility or flaw of a product with digital elements that can be exploited by a cyber threat;
(41)
‘exploitable vulnerability’ means a vulnerability that has the potential to be effectively used by an adversary under practical operational conditions;
(42)
‘actively exploited vulnerability’ means a vulnerability for which there is reliable evidence that a malicious actor has exploited it in a system without permission of the system owner;
(43)
‘incident’ means an incident as defined in Article 6, point (6), of Directive (EU) 2022/2555;
(44)
‘incident having an impact on the security of the product with digital elements’ means an incident that negatively affects or is capable of negatively affecting the ability of a product with digital elements to protect the availability, authenticity, integrity or confidentiality of data or functions;
(45)
‘near miss’ means a near miss as defined in Article 6, point (5), of Directive (EU) 2022/2555;
(46)
‘cyber threat’ means a cyber threat as defined in Article 2, point (8), of Regulation (EU) 2019/881;
(47)
‘personal data’ means personal data as defined in Article 4, point (1), of Regulation (EU) 2016/679;
(48)
‘free and open-source software’ means software the source code of which is openly shared and which is made available under a free and open-source licence which provides for all rights to make it freely accessible, usable, modifiable and redistributable;
(49)
‘recall’ means recall as defined in Article 3, point (22), of Regulation (EU) 2019/1020;
(50)
‘withdrawal’ means withdrawal as defined in Article 3, point (23), of Regulation (EU) 2019/1020;
(51)
‘CSIRT designated as coordinator’ means a CSIRT designated as coordinator pursuant to Article 12(1) of Directive (EU) 2022/2555.
Article 4
Free movement
1.   Member States shall not impede, for the matters covered by this Regulation, the making available on the market of products with digital elements which comply with this Regulation.
2.   At trade fairs, exhibitions, demonstrations or similar events, Member States shall not prevent the presentation or use of a product with digital elements which does not comply with this Regulation, including its prototypes, provided that the product is presented with a visible sign clearly indicating that it does not comply with this Regulation and that it is not to be made available on the market until it does so.
3.   Member States shall not prevent the making available on the market of unfinished software which does not comply with this Regulation, provided that the software is made available only for a limited period required for testing purposes with a visible sign clearly indicating that it does not comply with this Regulation and that it will not be available on the market for purposes other than testing.
4.   Paragraph 3 does not apply to safety components as referred to in Union harmonisation legislation other than this Regulation.
Article 5
Procurement or use of products with digital elements
1.   This Regulation shall not prevent Member States from subjecting products with digital elements to additional cybersecurity requirements for the procurement or use of those products for specific purposes, including where those products are procured or used for national security or defence purposes, provided that such requirements are consistent with Member States’ obligations laid down in Union law and that they are necessary and proportionate for the achievement of those purposes.
2.   Without prejudice to Directives 2014/24/EU and 2014/25/EU, where products with digital elements that fall within the scope of this Regulation are procured, Member States shall ensure that compliance with the essential cybersecurity requirements set out in Annex I to this Regulation, including the manufacturers’ ability to handle vulnerabilities effectively, are taken into consideration in the procurement process.
Article 6
Requirements for products with digital elements
Products with digital elements shall be made available on the market only where:
(a)
they meet the essential cybersecurity requirements set out in Part I of Annex I, provided that they are properly installed, maintained, used for their intended purpose or under conditions which can reasonably be foreseen, and, where applicable, the necessary security updates have been installed; and
(b)
the processes put in place by the manufacturer comply with the essential cybersecurity requirements set out in Part II of Annex I.
Article 7
Important products with digital elements
1.   Products with digital elements which have the core functionality of a product category set out in Annex III shall be considered to be important products with digital elements and shall be subject to the conformity assessment procedures referred to in Article 32(2) and (3). The integration of a product with digital elements which has the core functionality of a product category set out in Annex III shall not in itself render the product in which it is integrated subject to the conformity assessment procedures referred to in Article 32(2) and (3).
2.   The categories of products with digital elements referred to in paragraph 1 of this Article, divided into classes I and II as set out in Annex III, meet at least one of the following criteria:
(a)
the product with digital elements primarily performs functions critical to the cybersecurity of other products, networks or services, including securing authentication and access, intrusion prevention and detection, end-point security or network protection;
(b)
the product with digital elements performs a function which carries a significant risk of adverse effects in terms of its intensity and ability to disrupt, control or cause damage to a large number of other products or to the health, security or safety of its users through direct manipulation, such as a central system function, including network management, configuration control, virtualisation or processing of personal data.
3.   The Commission is empowered to adopt delegated acts in accordance with Article 61 to amend Annex III by including in the list a new category within each class of the categories of products with digital elements and specifying its definition, moving a category of products from one class to the other or withdrawing an existing category from that list. When assessing the need to amend the list set out in Annex III, the Commission shall take into account the cybersecurity-related functionalities or the function and the level of cybersecurity risk posed by the products with digital elements as set out by the criteria referred to in paragraph 2 of this Article.
The delegated acts referred to in the first subparagraph of this paragraph shall, where appropriate, provide for a minimum transitional period of 12 months, in particular where a new category of important products with digital elements is added to class I or II or is moved from class I to II as set out in Annex III, before the relevant conformity assessment procedures as referred to in Article 32(2) and (3) start applying, unless a shorter transitional period is justified on imperative grounds of urgency.
4.   By 11 December 2025, the Commission shall adopt an implementing act specifying the technical description of the categories of products with digital elements under classes I and II as set out in Annex III and the technical description of the categories of products with digital elements as set out in Annex IV. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 62(2).
Article 8
Critical products with digital elements
1.   The Commission is empowered to adopt delegated acts in accordance with Article 61 to supplement this Regulation to determine which products with digital elements that have the core functionality of a product category that is set out in Annex IV to this Regulation are to be required to obtain a European cybersecurity certificate at assurance level at least ‘substantial’ under a European cybersecurity certification scheme adopted pursuant to Regulation (EU) 2019/881, to demonstrate conformity with the essential cybersecurity requirements set out in Annex I to this Regulation or parts thereof, provided that a European cybersecurity certification scheme covering those categories of products with digital elements has been adopted pursuant to Regulation (EU) 2019/881 and is available to manufacturers. Those delegated acts shall specify the required assurance level that shall be proportionate to the level of cybersecurity risk associated with the products with digital elements and shall take account of their intended purpose, including the critical dependency on them by essential entities as referred to in Article 3(1) of Directive (EU) 2022/2555.
Before adopting such delegated acts, the Commission shall carry out an assessment of the potential market impact of the envisaged measures and shall carry out consultations with relevant stakeholders, including the European Cybersecurity Certification Group established under Regulation (EU) 2019/881. The assessment shall take into account the readiness and the capacity level of the Member States for the implementation of the relevant European cybersecurity certification scheme. Where no delegated acts as referred to in the first subparagraph of this paragraph have been adopted, products with digital elements which have the core functionality of a product category as set out in Annex IV shall be subject to the conformity assessment procedures referred to in Article 32(3).
The delegated acts referred to in the first subparagraph shall provide for a minimum transitional period of six months, unless a shorter transitional period is justified for imperative reasons of urgency.
2.   The Commission is empowered to adopt delegated acts in accordance with Article 61 to amend Annex IV by adding or withdrawing categories of critical products with digital elements. When determining such categories of critical products with digital elements and the required assurance level, in accordance with paragraph 1 of this Article, the Commission shall take into account the criteria referred to in Article 7(2) and ensure that the categories of products with digital elements meet at least one of the following criteria:
(a)
there is a critical dependency of essential entities as referred to in Article 3 of Directive (EU) 2022/2555 on the category of products with digital elements;
(b)
incidents and exploited vulnerabilities concerning the category of products with digital elements could lead to serious disruptions of critical supply chains across the internal market.
Before adopting such delegated acts, the Commission shall carry out an assessment of the type referred to in paragraph 1.
The delegated acts referred to in the first subparagraph shall provide for a minimum transitional period of six months, unless a shorter transitional period is justified for imperative reasons of urgency.
Article 9
Stakeholder consultation
1.   When preparing measures for the implementation of this Regulation, the Commission shall consult and take into account the views of relevant stakeholders, such as relevant Member State authorities, private sector undertakings, including microenterprises and small and medium-sized enterprises, the open-source software community, consumer associations, academia, and relevant Union agencies and bodies as well as expert groups established at Union level. In particular, the Commission shall, in a structured manner, where appropriate, consult and seek the views of those stakeholders when:
(a)
preparing the guidance referred to in Article 26;
(b)
preparing the technical descriptions of the product categories set out in Annex III in accordance with Article 7(4), assessing the need for potential updates of the list of product categories in accordance with Article 7(3) and Article 8(2), or carrying out the assessment of the potential market impact referred to in Article 8(1), without prejudice to Article 61;
(c)
undertaking preparatory work for the evaluation and review of this Regulation.
2.   The Commission shall organise regular consultation and information sessions, at least once a year, to gather the views of the stakeholders referred to in paragraph 1 on the implementation of this Regulation.
Article 10
Enhancing skills in a cyber resilient digital environment
For the purposes of this Regulation and in order to respond to the needs of professionals in support of the implementation of this Regulation, Member States with, where appropriate, the support of the Commission, the European Cybersecurity Competence Centre and ENISA, while fully respecting the responsibility of the Member States in the education field, shall promote measures and strategies aiming to:
(a)
develop cybersecurity skills and create organisational and technological tools to ensure sufficient availability of skilled professionals in order to support the activities of the market surveillance authorities and conformity assessment bodies;
(b)
increase collaboration between the private sector, economic operators, including via re-skilling or up-skilling for manufacturers’ employees, consumers, training providers as well as public administrations, thereby expanding the options for young people to access jobs in the cybersecurity sector.
Article 11
General product safety
By way of derogation from Article 2(1), third subparagraph, point (b), of Regulation (EU) 2023/988, Chapter III, Section 1, Chapters V and VII, and Chapters IX to XI of that Regulation shall apply to products with digital elements with respect to aspects and risks or categories of risks that are not covered by this Regulation where those products are not subject to specific safety requirements laid down in other ‘Union harmonisation legislation’ as defined in Article 3, point (27), of Regulation (EU) 2023/988.
Article 12
High-risk AI systems
1.   Without prejudice to the requirements relating to accuracy and robustness set out in Article 15 of Regulation (EU) 2024/1689, products with digital elements which fall within the scope of this Regulation and which are classified as high-risk AI systems pursuant to Article 6 of that Regulation shall be deemed to comply with the cybersecurity requirements set out in Article 15 of that Regulation where:
(a)
those products fulfil the essential cybersecurity requirements set out in Part I of Annex I;
(b)
the processes put in place by the manufacturer comply with the essential cybersecurity requirements set out in Part II of Annex I; and
(c)
the achievement of the level of cybersecurity protection required under Article 15 of Regulation (EU) 2024/1689 is demonstrated in the EU declaration of conformity issued under this Regulation.
2.   For the products with digital elements and cybersecurity requirements referred to in paragraph 1 of this Article, the relevant conformity assessment procedure provided for in Article 43 of Regulation (EU) 2024/1689 shall apply. For the purposes of that assessment, notified bodies which are competent to control the conformity of the high-risk AI systems under Regulation (EU) 2024/1689 shall also be competent to control the conformity of high-risk AI systems which fall within the scope of this Regulation with the requirements set out in Annex I to this Regulation, provided that the compliance of those notified bodies with the requirements laid down in Article 39 of this Regulation has been assessed in the context of the notification procedure under Regulation (EU) 2024/1689.
3.   By way of derogation from paragraph 2 of this Article, important products with digital elements as listed in Annex III to this Regulation, which are subject to the conformity assessment procedures referred to in Article 32(2), points (a) and (b), and Article 32(3) of this Regulation and critical products with digital elements as listed in Annex IV to this Regulation which are required to obtain a European cybersecurity certificate pursuant to Article 8(1) of this Regulation or, absent that, which are subject to the conformity assessment procedures referred to in Article 32(3) of this Regulation, and which are classified as high-risk AI systems pursuant to Article 6 of Regulation (EU) 2024/1689, and to which the conformity assessment procedure based on internal control as referred to in Annex VI to Regulation (EU) 2024/1689 applies, shall be subject to the conformity assessment procedures provided for in this Regulation in so far as the essential cybersecurity requirements set out in this Regulation are concerned.
4.   Manufacturers of products with digital elements as referred to in paragraph 1 of this Article may participate in the AI regulatory sandboxes referred to in Article 57 of Regulation (EU) 2024/1689.
CHAPTER II
OBLIGATIONS OF ECONOMIC OPERATORS AND PROVISIONS IN RELATION TO FREE AND OPEN-SOURCE SOFTWARE
Article 13
Obligations of manufacturers
1.   When placing a product with digital elements on the market, manufacturers shall ensure that it has been designed, developed and produced in accordance with the essential cybersecurity requirements set out in Part I of Annex I.
2.   For the purpose of complying with paragraph 1, manufacturers shall undertake an assessment of the cybersecurity risks associated with a product with digital elements and take the outcome of that assessment into account during the planning, design, development, production, delivery and maintenance phases of the product with digital elements with a view to minimising cybersecurity risks, preventing incidents and minimising their impact, including in relation to the health and safety of users.
3.   The cybersecurity risk assessment shall be documented and updated as appropriate during a support period to be determined in accordance with paragraph 8 of this Article. That cybersecurity risk assessment shall comprise at least an analysis of cybersecurity risks based on the intended purpose and reasonably foreseeable use, as well as the conditions of use, of the product with digital elements, such as the operational environment or the assets to be protected, taking into account the length of time the product is expected to be in use. The cybersecurity risk assessment shall indicate whether and, if so in what manner, the security requirements set out in Part I, point (2), of Annex I are applicable to the relevant product with digital elements and how those requirements are implemented as informed by the cybersecurity risk assessment. It shall also indicate how the manufacturer is to apply Part I, point (1), of Annex I and the vulnerability handling requirements set out in Part II of Annex I.
4.   When placing a product with digital elements on the market, the manufacturer shall include the cybersecurity risk assessment referred to in paragraph 3 of this Article in the technical documentation required pursuant to Article 31 and Annex VII. For products with digital elements as referred to in Article 12, which are also subject to other Union legal acts, the cybersecurity risk assessment may be part of the risk assessment required by those Union legal acts. Where certain essential cybersecurity requirements are not applicable to the product with digital elements, the manufacturer shall include a clear justification to that effect in that technical documentation.
5.   For the purpose of complying with paragraph 1, manufacturers shall exercise due diligence when integrating components sourced from third parties so that those components do not compromise the cybersecurity of the product with digital elements, including when integrating components of free and open-source software that have not been made available on the market in the course of a commercial activity.
6.   Manufacturers shall, upon identifying a vulnerability in a component, including in an open source-component, which is integrated in the product with digital elements report the vulnerability to the person or entity manufacturing or maintaining the component, and address and remediate the vulnerability in accordance with the vulnerability handling requirements set out in Part II of Annex I. Where manufacturers have developed a software or hardware modification to address the vulnerability in that component, they shall share the relevant code or documentation with the person or entity manufacturing or maintaining the component, where appropriate in a machine-readable format.
7.   The manufacturers shall systematically document, in a manner that is proportionate to the nature and the cybersecurity risks, relevant cybersecurity aspects concerning the products with digital elements, including vulnerabilities of which they become aware and any relevant information provided by third parties, and shall, where applicable, update the cybersecurity risk assessment of the products.
8.   Manufacturers shall ensure, when placing a product with digital elements on the market, and for the support period, that vulnerabilities of that product, including its components, are handled effectively and in accordance with the essential cybersecurity requirements set out in Part II of Annex I.
Manufacturers shall determine the support period so that it reflects the length of time during which the product is expected to be in use, taking into account, in particular, reasonable user expectations, the nature of the product, including its intended purpose, as well as relevant Union law determining the lifetime of products with digital elements. When determining the support period, manufacturers may also take into account the support periods of products with digital elements offering a similar functionality placed on the market by other manufacturers, the availability of the operating environment, the support periods of integrated components that provide core functions and are sourced from third parties as well as relevant guidance provided by the dedicated administrative cooperation group (ADCO) established pursuant to Article 52(15) and the Commission. The matters to be taken into account in order to determine the support period shall be considered in a manner that ensures proportionality.
Without prejudice to the second subparagraph, the support period shall be at least five years. Where the product with digital elements is expected to be in use for less than five years, the support period shall correspond to the expected use time.
Taking into account ADCO recommendations as referred to in Article 52(16), the Commission may adopt delegated acts in accordance with Article 61 to supplement this Regulation by specifying the minimum support period for specific product categories where the market surveillance data suggests inadequate support periods.
Manufacturers shall include the information that was taken into account to determine the support period of a product with digital elements in the technical documentation as set out in Annex VII.
Manufacturers shall have appropriate policies and procedures, including coordinated vulnerability disclosure policies, referred to in Part II, point (5), of Annex I to process and remediate potential vulnerabilities in the product with digital elements reported from internal or external sources.
9.   Manufacturers shall ensure that each security update, as referred to in Part II, point (8), of Annex I, which has been made available to users during the support period, remains available after it has been issued for a minimum of 10 years or for the remainder of the support period, whichever is longer.
10.   Where a manufacturer has placed subsequent substantially modified versions of a software product on the market, that manufacturer may ensure compliance with the essential cybersecurity requirement set out in Part II, point (2), of Annex I only for the version that it has last placed on the market, provided that the users of the versions that were previously placed on the market have access to the version last placed on the market free of charge and do not incur additional costs to adjust the hardware and software environment in which they use the original version of that product.
11.   Manufacturers may maintain public software archives enhancing user access to historical versions. In those cases, users shall be clearly informed in an easily accessible manner about risks associated with using unsupported software.
12.   Before placing a product with digital elements on the market, manufacturers shall draw up the technical documentation referred to in Article 31.
They shall carry out the chosen conformity assessment procedures as referred to in Article 32 or have them carried out.
Where compliance of the product with digital elements with the essential cybersecurity requirements set out in Part I of Annex I and of the processes put in place by the manufacturer with the essential cybersecurity requirements set out in Part II of Annex I has been demonstrated by that conformity assessment procedure, manufacturers shall draw up the EU declaration of conformity in accordance with Article 28 and affix the CE marking in accordance with Article 30.
13.   Manufacturers shall keep the technical documentation and the EU declaration of conformity at the disposal of the market surveillance authorities for at least 10 years after the product with digital elements has been placed on the market or for the support period, whichever is longer.
14.   Manufacturers shall ensure that procedures are in place for products with digital elements that are part of a series of production to remain in conformity with this Regulation. Manufacturers shall adequately take into account changes in the development and production process or in the design or characteristics of the product with digital elements and changes in the harmonised standards, European cybersecurity certification schemes or common specifications as referred to in Article 27 by reference to which the conformity of the product with digital elements is declared or by application of which its conformity is verified.
15.   Manufacturers shall ensure that their products with digital elements bear a type, batch or serial number or other element allowing their identification, or, where that is not possible, that that information is provided on their packaging or in a document accompanying the product with digital elements.
16.   Manufacturers shall indicate the name, registered trade name or registered trademark of the manufacturer, and the postal address, email address or other digital contact details, as well as, where applicable, the website where the manufacturer can be contacted, on the product with digital elements, on its packaging or in a document accompanying the product with digital elements. That information shall also be included in the information and instructions to the user set out in Annex II. The contact details shall be in a language which can be easily understood by users and market surveillance authorities.
17.   For the purposes of this Regulation, manufacturers shall designate a single point of contact to enable users to communicate directly and rapidly with them, including in order to facilitate reporting on vulnerabilities of the product with digital elements.
Manufacturers shall ensure that the single point of contact is easily identifiable by the users. They shall also include the single point of contact in the information and instructions to the user set out in Annex II.
The single point of contact shall allow users to choose their preferred means of communication and shall not limit such means to automated tools.
18.   Manufacturers shall ensure that products with digital elements are accompanied by the information and instructions to the user set out in Annex II, in paper or electronic form. Such information and instructions shall be provided in a language which can be easily understood by users and market surveillance authorities. They shall be clear, understandable, intelligible and legible. They shall allow for the secure installation, operation and use of products with digital elements. Manufacturers shall keep the information and instructions to the user set out in Annex II at the disposal of users and market surveillance authorities for at least 10 years after the product with digital elements has been placed on the market or for the support period, whichever is longer. Where such information and instructions are provided online, manufacturers shall ensure that they are accessible, user-friendly and available online for at least 10 years after the product with digital elements has been placed on the market or for the support period, whichever is longer.
19.   Manufacturers shall ensure that the end date of the support period referred to in paragraph 8, including at least the month and the year, is clearly and understandably specified at the time of purchase in an easily accessible manner and, where applicable, on the product with digital elements, its packaging or by digital means.
Where technically feasible in light of the nature of the product with digital elements, manufacturers shall display a notification to users informing them that their product with digital elements has reached the end of its support period.
20.   Manufacturers shall either provide a copy of the EU declaration of conformity or a simplified EU declaration of conformity with the product with digital elements. Where a simplified EU declaration of conformity is provided, it shall contain the exact internet address at which the full EU declaration of conformity can be accessed.
21.   From the placing on the market and for the support period, manufacturers who know or have reason to believe that the product with digital elements or the processes put in place by the manufacturer are not in conformity with the essential cybersecurity requirements set out in Annex I shall immediately take the corrective measures necessary to bring that product with digital elements or the manufacturer’s processes into conformity, or to withdraw or recall the product, as appropriate.
22.   Manufacturers shall, upon a reasoned request from a market surveillance authority, provide that authority, in a language which can be easily understood by that authority, with all the information and documentation, in paper or electronic form, necessary to demonstrate the conformity of the product with digital elements and of the processes put in place by the manufacturer with the essential cybersecurity requirements set out in Annex I. Manufacturers shall cooperate with that authority, at its request, on any measures taken to eliminate the cybersecurity risks posed by the product with digital elements which they have placed on the market.
23.   A manufacturer that ceases its operations and, as a result, is not able to comply with this Regulation shall inform, before the cessation of operations takes effect, the relevant market surveillance authorities as well as, by any means available and to the extent possible, the users of the relevant products with digital elements placed on the market, of the impending cessation of operations.
24.   The Commission may, by means of implementing acts taking into account European or international standards and best practices, specify the format and elements of the software bill of materials referred to in Part II, point (1), of Annex I. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 62(2).
25.   In order to assess the dependence of Member States and of the Union as a whole on software components and in particular on components qualifying as free and open-source software, ADCO may decide to conduct a Union wide dependency assessment for specific categories of products with digital elements. For that purpose, market surveillance authorities may request manufacturers of such categories of products with digital elements to provide the relevant software bills of materials as referred to in Part II, point (1), of Annex I. On the basis of such information, the market surveillance authorities may provide ADCO with anonymised and aggregated information about software dependencies. ADCO shall submit a report on the results of the dependency assessment to the Cooperation Group established pursuant to Article 14 of Directive (EU) 2022/2555.
Article 14
Reporting obligations of manufacturers
1.   A manufacturer shall notify any actively exploited vulnerability contained in the product with digital elements that it becomes aware of simultaneously to the CSIRT designated as coordinator, in accordance with paragraph 7 of this Article, and to ENISA. The manufacturer shall notify that actively exploited vulnerability via the single reporting platform established pursuant to Article 16.
2.   For the purposes of the notification referred to in paragraph 1, the manufacturer shall submit:
(a)
an early warning notification of an actively exploited vulnerability, without undue delay and in any event within 24 hours of the manufacturer becoming aware of it, indicating, where applicable, the Member States on the territory of which the manufacturer is aware that their product with digital elements has been made available;
(b)
unless the relevant information has already been provided, a vulnerability notification, without undue delay and in any event within 72 hours of the manufacturer becoming aware of the actively exploited vulnerability, which shall provide general information, as available, about the product with digital elements concerned, the general nature of the exploit and of the vulnerability concerned as well as any corrective or mitigating measures taken, and corrective or mitigating measures that users can take, and which shall also indicate, where applicable, how sensitive the manufacturer considers the notified information to be;
(c)
unless the relevant information has already been provided, a final report, no later than 14 days after a corrective or mitigating measure is available, including at least the following:
(i)
a description of the vulnerability, including its severity and impact;
(ii)
where available, information concerning any malicious actor that has exploited or that is exploiting the vulnerability;
(iii)
details about the security update or other corrective measures that have been made available to remedy the vulnerability.
3.   A manufacturer shall notify any severe incident having an impact on the security of the product with digital elements that it becomes aware of simultaneously to the CSIRT designated as coordinator, in accordance with paragraph 7 of this Article, and to ENISA. The manufacturer shall notify that incident via the single reporting platform established pursuant to Article 16.
4.   For the purposes of the notification referred to in paragraph 3, the manufacturer shall submit:
(a)
an early warning notification of a severe incident having an impact on the security of the product with digital elements, without undue delay and in any event within 24 hours of the manufacturer becoming aware of it, including at least whether the incident is suspected of being caused by unlawful or malicious acts, which shall also indicate, where applicable, the Member States on the territory of which the manufacturer is aware that their product with digital elements has been made available;
(b)
unless the relevant information has already been provided, an incident notification, without undue delay and in any event within 72 hours of the manufacturer becoming aware of the incident, which shall provide general information, where available, about the nature of the incident, an initial assessment of the incident, as well as any corrective or mitigating measures taken, and corrective or mitigating measures that users can take, and which shall also indicate, where applicable, how sensitive the manufacturer considers the notified information to be;
(c)
unless the relevant information has already been provided, a final report, within one month after the submission of the incident notification under point (b), including at least the following:
(i)
a detailed description of the incident, including its severity and impact;
(ii)
the type of threat or root cause that is likely to have triggered the incident;
(iii)
applied and ongoing mitigation measures.
5.   For the purposes of paragraph 3, an incident having an impact on the security of the product with digital elements shall be considered to be severe where:
(a)
it negatively affects or is capable of negatively affecting the ability of a product with digital elements to protect the availability, authenticity, integrity or confidentiality of sensitive or important data or functions; or
(b)
it has led or is capable of leading to the introduction or execution of malicious code in a product with digital elements or in the network and information systems of a user of the product with digital elements.
6.   Where necessary, the CSIRT designated as coordinator initially receiving the notification may request manufacturers to provide an intermediate report on relevant status updates about the actively exploited vulnerability or severe incident having an impact on the security of the product with digital elements.
7.   The notifications referred to in paragraphs 1 and 3 of this Article shall be submitted via the single reporting platform referred to in Article 16 using one of the electronic notification end-points referred to in Article 16(1). The notification shall be submitted using the electronic notification end-point of the CSIRT designated as coordinator of the Member State where the manufacturers have their main establishment in the Union and shall be simultaneously accessible to ENISA.
For the purposes of this Regulation, a manufacturer shall be considered to have its main establishment in the Union in the Member State where the decisions related to the cybersecurity of its products with digital elements are predominantly taken. If such a Member State cannot be determined, the main establishment shall be considered to be in the Member State where the manufacturer concerned has the establishment with the highest number of employees in the Union.
Where a manufacturer has no main establishment in the Union, it shall submit the notifications referred to in paragraphs 1 and 3 using the electronic notification end-point of the CSIRT designated as coordinator in the Member State determined pursuant to the following order and based on the information available to the manufacturer:
(a)
the Member State in which the authorised representative acting on behalf of the manufacturer for the highest number of products with digital elements of that manufacturer is established;
(b)
the Member State in which the importer placing on the market the highest number of products with digital elements of that manufacturer is established;
(c)
the Member State in which the distributor making available on the market the highest number of products with digital elements of that manufacturer is established;
(d)
the Member State in which the highest number of users of products with digital elements of that manufacturer are located.
In relation to the third subparagraph, point (d), a manufacturer may submit notifications related to any subsequent actively exploited vulnerability or severe incident having an impact on the security of the product with digital elements to the same CSIRT designated as coordinator to which it first reported.
8.   After becoming aware of an actively exploited vulnerability or a severe incident having an impact on the security of the product with digital elements, the manufacturer shall inform the impacted users of the product with digital elements, and where appropriate all users, of that vulnerability or incident and, where necessary, of any risk mitigation and corrective measures that the users can deploy to mitigate the impact of that vulnerability or incident, where appropriate in a structured, machine-readable format that is easily automatically processable. Where the manufacturer fails to inform the users of the product with digital elements in a timely manner, the notified CSIRTs designated as coordinators may provide such information to the users when considered to be proportionate and necessary for preventing or mitigating the impact of that vulnerability or incident.
9.   By 11 December 2025, the Commission shall adopt delegated acts in accordance with Article 61 of this Regulation to supplement this Regulation by specifying the terms and conditions for applying the cybersecurity-related grounds in relation to delaying the dissemination of notifications as referred to in Article 16(2) of this Regulation. The Commission shall cooperate with the CSIRTs network established pursuant to Article 15 of Directive (EU) 2022/2555 and ENISA in preparing the draft delegated acts.
10.   The Commission may, by means of implementing acts, specify further the format and procedures of the notifications referred to in this Article as well as in Articles 15 and 16. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 62(2). The Commission shall cooperate with the CSIRTs network and ENISA in preparing those draft implementing acts.
Article 15
Voluntary reporting
1.   Manufacturers as well as other natural or legal persons may notify any vulnerability contained in a product with digital elements as well as cyber threats that could affect the risk profile of a product with digital elements on a voluntary basis to a CSIRT designated as coordinator or ENISA.
2.   Manufacturers as well as other natural or legal persons may notify any incident having an impact on the security of the product with digital elements as well as near misses that could have resulted in such an incident on a voluntary basis to a CSIRT designated as coordinator or ENISA.
3.   The CSIRT designated as coordinator or ENISA shall process the notifications referred to in paragraphs 1 and 2 of this Article in accordance with the procedure laid down in Article 16.
The CSIRT designated as coordinator may prioritise the processing of mandatory notifications over voluntary notifications.
4.   Where a natural or legal person other than the manufacturer notifies an actively exploited vulnerability or a severe incident having an impact on the security of a product with digital elements in accordance with paragraph 1 or 2, the CSIRT designated as coordinator shall without undue delay inform the manufacturer.
5.   The CSIRTs designated as coordinators as well as ENISA shall ensure the confidentiality and appropriate protection of the information provided by a notifying natural or legal person. Without prejudice to the prevention, investigation, detection and prosecution of criminal offences, voluntary reporting shall not result in the imposition of any additional obligations upon a notifying natural or legal person to which it would not have been subject had it not submitted the notification.
Article 16
Establishment of a single reporting platform
1.   For the purposes of the notifications referred to in Article 14(1) and (3) and Article 15(1) and (2) and in order to simplify the reporting obligations of manufacturers, a single reporting platform shall be established by ENISA. The day-to-day operations of that single reporting platform shall be managed and maintained by ENISA. The architecture of the single reporting platform shall allow Member States and ENISA to put in place their own electronic notification end-points.
2.   After receiving a notification, the CSIRT designated as coordinator initially receiving the notification shall, without delay, disseminate the notification via the single reporting platform to the CSIRTs designated as coordinators on the territory of which the manufacturer has indicated that the product with digital elements has been made available.
In exceptional circumstances and, in particular, upon request by the manufacturer and in light of the level of sensitivity of the notified information as indicated by the manufacturer under Article 14(2), point (a), of this Regulation, the dissemination of the notification may be delayed based on justified cybersecurity-related grounds for a period of time that is strictly necessary, including where a vulnerability is subject to a coordinated vulnerability disclosure procedure as referred to in Article 12(1) of Directive (EU) 2022/2555. Where a CSIRT decides to withhold a notification, it shall immediately inform ENISA about the decision and provide both a justification for withholding the notification as well as an indication of when it will disseminate the notification in accordance with the dissemination procedure laid down in this paragraph. ENISA may support the CSIRT on the application of cybersecurity-related grounds in relation to delaying the dissemination of the notification.
In particularly exceptional circumstances, where the manufacturer indicates in the notification referred to in Article 14(2), point (b):
(a)
that the notified vulnerability has been actively exploited by a malicious actor and, according to the information available, it has been exploited in no other Member State than the one of the CSIRT designated as coordinator to which the manufacturer has notified the vulnerability;
(b)
that any immediate further dissemination of the notified vulnerability would likely result in the supply of information the disclosure of which would be contrary to the essential interests of that Member State; or
(c)
that the notified vulnerability poses an imminent high cybersecurity risk stemming from the further dissemination;
only the information that a notification was made by the manufacturer, the general information about the product, the information on the general nature of the exploit and the information that security related grounds were raised are to be made available simultaneously to ENISA until the full notification is disseminated to the CSIRTs concerned and ENISA. Where, based on that information, ENISA considers that there is a systemic risk affecting security in the internal market, it shall recommend to the recipient CSIRT that it disseminate the full notification to the other CSIRTs designated as coordinators and to ENISA itself.
3.   After receiving a notification of an actively exploited vulnerability in a product with digital elements or of a severe incident having an impact on the security of a product with digital elements, the CSIRTs designated as coordinators shall provide the market surveillance authorities of their respective Member States with the notified information necessary for the market surveillance authorities to fulfil their obligations under this Regulation.
4.   ENISA shall take appropriate and proportionate technical, operational and organisational measures to manage the risks posed to the security of the single reporting platform and the information submitted or disseminated via the single reporting platform. It shall notify without undue delay any security incident affecting the single reporting platform to the CSIRTs network as well as to the Commission.
5.   ENISA, in cooperation with the CSIRTs network, shall provide and implement specifications on the technical, operational and organisational measures regarding the establishment, maintenance and secure operation of the single reporting platform referred to in paragraph 1, including at least the security arrangements related to the establishment, operation and maintenance of the single reporting platform, as well as the electronic notification end-points set up by the CSIRTs designated as coordinators at national level and ENISA at Union level, including procedural aspects to ensure that, where a notified vulnerability has no corrective or mitigating measures available, information about that vulnerability is shared in line with strict security protocols and on a need-to-know basis.
6.   Where a CSIRT designated as coordinator has been made aware of an actively exploited vulnerability as part of a coordinated vulnerability disclosure procedure as referred to in Article 12(1) of Directive (EU) 2022/2555, the CSIRT designated as coordinator initially receiving the notification may delay the dissemination of the relevant notification via the single reporting platform based on justified cybersecurity-related grounds for a period that is no longer than is strictly necessary and until consent for disclosure by the involved coordinated vulnerability disclosure parties is given. That requirement shall not prevent manufacturers from notifying such a vulnerability on a voluntary basis in accordance with the procedure laid down in this Article.
Article 17
Other provisions related to reporting
1.   ENISA may submit to the European cyber crisis liaison organisation network (EU-CyCLONe) established under Article 16 of Directive (EU) 2022/2555 information notified pursuant to Article 14(1) and (3) and Article 15(1) and (2) of this Regulation if such information is relevant for the coordinated management of large-scale cybersecurity incidents and crises at an operational level. For the purpose of determining such relevance, ENISA may consider technical analyses performed by the CSIRTs network, where available.
2.   Where public awareness is necessary to prevent or mitigate a severe incident having an impact on the security of the product with digital elements or to handle an ongoing incident, or where disclosure of the incident is otherwise in the public interest, the CSIRT designated as coordinator of the relevant Member State may, after consulting the manufacturer concerned and, where appropriate, in cooperation with ENISA, inform the public about the incident or require the manufacturer to do so.
3.   ENISA, on the basis of the notifications received pursuant to Article 14(1) and (3) and Article 15(1) and (2) of this Regulation, shall prepare, every 24 months, a technical report on emerging trends regarding cybersecurity risks in products with digital elements and submit it to the Cooperation Group established pursuant to Article 14 of Directive (EU) 2022/2555. The first such report shall be submitted within 24 months of the date of application of the obligations laid down in Article 14(1) and (3) of this Regulation. ENISA shall include relevant information from its technical reports in its report on the state of cybersecurity in the Union pursuant to Article 18 of Directive (EU) 2022/2555.
4.   The mere act of notification in accordance with Article 14(1) and (3) or Article 15(1) and (2) shall not subject the notifying natural or legal person to increased liability.
5.   After a security update or another form of corrective or mitigating measure is available, ENISA shall, in agreement with the manufacturer of the product with digital elements concerned, add the publicly known vulnerability notified pursuant to Article 14(1) or Article 15(1) of this Regulation to the European vulnerability database established pursuant to Article 12(2) of Directive (EU) 2022/2555.
6.   The CSIRTs designated as coordinators shall provide helpdesk support in relation to the reporting obligations pursuant to Article 14 to manufacturers and in particular manufacturers that qualify as microenterprises or as small or medium-sized enterprises.
Article 18
Authorised representatives
1.   A manufacturer may, by a written mandate, appoint an authorised representative.
2.   The obligations laid down in Article 13(1) to (11), Article 13(12), first subparagraph, and Article 13(14) shall not form part of the authorised representative’s mandate.
3.   An authorised representative shall perform the tasks specified in the mandate received from the manufacturer. The authorised representative shall provide a copy of the mandate to the market surveillance authorities upon request. The mandate shall allow the authorised representative to do at least the following:
(a)
keep the EU declaration of conformity referred to in Article 28 and the technical documentation referred to in Article 31 at the disposal of the market surveillance authorities for at least 10 years after the product with digital elements has been placed on the market or for the support period, whichever is longer;
(b)
further to a reasoned request from a market surveillance authority, provide that authority with all the information and documentation necessary to demonstrate the conformity of the product with digital elements;
(c)
cooperate with the market surveillance authorities, at their request, on any action taken to eliminate the risks posed by a product with digital elements covered by the authorised representative’s mandate.
Article 19
Obligations of importers
1.   Importers shall place on the market only products with digital elements that comply with the essential cybersecurity requirements set out in Part I of Annex I and where the processes put in place by the manufacturer comply with the essential cybersecurity requirements set out in Part II of Annex I.
2.   Before placing a product with digital elements on the market, importers shall ensure that:
(a)
the appropriate conformity assessment procedures as referred to in Article 32 have been carried out by the manufacturer;
(b)
the manufacturer has drawn up the technical documentation;
(c)
the product with digital elements bears the CE marking referred to in Article 30 and is accompanied by the EU declaration of conformity referred to in Article 13(20) and the information and instructions to the user as set out in Annex II in a language which can be easily understood by users and market surveillance authorities;
(d)
the manufacturer has complied with the requirements set out in Article 13(15), (16) and (19).
For the purposes of this paragraph, importers shall be able to provide the necessary documents proving the fulfilment of the requirements set out in this Article.
3.   Where an importer considers or has reason to believe that a product with digital elements or the processes put in place by the manufacturer are not in conformity with this Regulation, the importer shall not place the product on the market until that product or the processes put in place by the manufacturer have been brought into conformity with this Regulation. Furthermore, where the product with digital elements presents a significant cybersecurity risk, the importer shall inform the manufacturer and the market surveillance authorities to that effect.
Where an importer has reason to believe that a product with digital elements may present a significant cybersecurity risk in light of non-technical risk factors, the importer shall inform the market surveillance authorities to that effect. Upon receipt of such information, the market surveillance authorities shall follow the procedures referred to in Article 54(2).
4.   Importers shall indicate their name, registered trade name or registered trademark, the postal address, email address or other digital contact as well as, where applicable, the website at which they can be contacted on the product with digital elements or on its packaging or in a document accompanying the product with digital elements. The contact details shall be in a language easily understood by users and market surveillance authorities.
5.   Importers who know or have reason to believe that a product with digital elements which they have placed on the market is not in conformity with this Regulation shall immediately take the corrective measures necessary to ensure that the product with digital elements is brought into conformity with this Regulation, or to withdraw or recall the product, if appropriate.
Upon becoming aware of a vulnerability in the product with digital elements, importers shall inform the manufacturer without undue delay about that vulnerability. Furthermore, where the product with digital elements presents a significant cybersecurity risk, importers shall immediately inform the market surveillance authorities of the Member States in which they have made the product with digital elements available on the market to that effect, giving details, in particular, of non-compliance and of any corrective measures taken.
6.   Importers shall, for at least 10 years after the product with digital elements has been placed on the market or for the support period, whichever is longer, keep a copy of the EU declaration of conformity at the disposal of the market surveillance authorities and ensure that the technical documentation can be made available to those authorities, upon request.
7.   Importers shall, further to a reasoned request from a market surveillance authority, provide it with all the information and documentation, in paper or electronic form, necessary to demonstrate the conformity of the product with digital elements with the essential cybersecurity requirements set out in Part I of Annex I as well as of the processes put in place by the manufacturer with the essential cybersecurity requirements set out in Part II of Annex I in a language that can be easily understood by that authority. They shall cooperate with that authority, at its request, on any measures taken to eliminate the cybersecurity risks posed by a product with digital elements, which they have placed on the market.
8.   Where the importer of a product with digital elements becomes aware that the manufacturer of that product has ceased its operations and, as result, is not able to comply with the obligations laid down in this Regulation, the importer shall inform the relevant market surveillance authorities about this situation, as well as, by any means available and to the extent possible, the users of the products with digital elements placed on the market.
Article 20
Obligations of distributors
1.   When making a product with digital elements available on the market, distributors shall act with due care in relation to the requirements set out in this Regulation.
2.   Before making a product with digital elements available on the market, distributors shall verify that:
(a)
the product with digital elements bears the CE marking;
(b)
the manufacturer and the importer have complied with the obligations set out in Article 13(15), (16), (18), (19) and (20) and Article 19(4), and have provided all necessary documents to the distributor.
3.   Where a distributor considers or has reason to believe, on the basis of information in its possession, that a product with digital elements or the processes put in place by the manufacturer are not in conformity with the essential cybersecurity requirements set out in Annex I, the distributor shall not make the product with digital elements available on the market until that product or the processes put in place by the manufacturer have been brought into conformity with this Regulation. Furthermore, where the product with digital elements poses a significant cybersecurity risk, the distributor shall inform, without undue delay, the manufacturer and the market surveillance authorities to that effect.
4.   Distributors who know or have reason to believe, on the basis of information in their possession, that a product with digital elements, which they have made available on the market, or the processes put in place by its manufacturer are not in conformity with this Regulation shall make sure that the corrective measures necessary to bring that product with digital elements or the processes put in place by its manufacturer into conformity, or to withdraw or recall the product, if appropriate, are taken.
Upon becoming aware of a vulnerability in the product with digital elements, distributors shall inform the manufacturer without undue delay about that vulnerability. Furthermore, where the product with digital elements presents a significant cybersecurity risk, distributors shall immediately inform the market surveillance authorities of the Member States in which they have made the product with digital elements available on the market to that effect, giving details, in particular, of the non-compliance and of any corrective measures taken.
5.   Distributors shall, further to a reasoned request from a market surveillance authority, provide all the information and documentation, in paper or electronic form, necessary to demonstrate the conformity of the product with digital elements and the processes put in place by its manufacturer with this Regulation in a language that can be easily understood by that authority. They shall cooperate with that authority, at its request, on any measures taken to eliminate the cybersecurity risks posed by a product with digital elements which they have made available on the market.
6.   Where the distributor of a product with digital elements becomes aware, on the basis of information in its possession, that the manufacturer of that product has ceased its operations and, as result, is not able to comply with the obligations laid down in this Regulation, the distributor shall inform, without undue delay, the relevant market surveillance authorities about this situation, as well as, by any means available and to the extent possible, the users of the products with digital elements placed on the market.
Article 21
Cases in which obligations of manufacturers apply to importers and distributors
An importer or distributor shall be considered to be a manufacturer for the purposes of this Regulation and shall be subject to Articles 13 and 14, where that importer or distributor places a product with digital elements on the market under its name or trademark or carries out a substantial modification of a product with digital elements already placed on the market.
Article 22
Other cases in which obligations of manufacturers apply
1.   A natural or legal person, other than the manufacturer, the importer or the distributor, that carries out a substantial modification of a product with digital elements and makes that product available on the market, shall be considered to be a manufacturer for the purposes of this Regulation.
2.   The person referred to in paragraph 1 of this Article shall be subject to the obligations set out in Articles 13 and 14 for the part of the product with digital elements that is affected by the substantial modification or, if the substantial modification has an impact on the cybersecurity of the product with digital elements as a whole, for the entire product.
Article 23
Identification of economic operators
1.   Economic operators shall, on request, provide the market surveillance authorities with the following information:
(a)
the name and address of any economic operator who has supplied them with a product with digital elements;
(b)
where available, the name and address of any economic operator to whom they have supplied a product with digital elements.
2.   Economic operators shall be able to present the information referred to in paragraph 1 for 10 years after they have been supplied with the product with digital elements and for 10 years after they have supplied the product with digital elements.
Article 24
Obligations of open-source software stewards
1.   Open-source software stewards shall put in place and document in a verifiable manner a cybersecurity policy to foster the development of a secure product with digital elements as well as an effective handling of vulnerabilities by the developers of that product. That policy shall also foster the voluntary reporting of vulnerabilities as laid down in Article 15 by the developers of that product and take into account the specific nature of the open-source software steward and the legal and organisational arrangements to which it is subject. That policy shall, in particular, include aspects related to documenting, addressing and remediating vulnerabilities and promote the sharing of information concerning discovered vulnerabilities within the open-source community.
2.   Open-source software stewards shall cooperate with the market surveillance authorities, at their request, with a view to mitigating the cybersecurity risks posed by a product with digital elements qualifying as free and open-source software.
Further to a reasoned request from a market surveillance authority, open-source software stewards shall provide that authority, in a language which can be easily understood by that authority, with the documentation referred to in paragraph 1, in paper or electronic form.
3.   The obligations laid down in Article 14(1) shall apply to open-source software stewards to the extent that they are involved in the development of the products with digital elements. The obligations laid down in Article 14(3) and (8) shall apply to open-source software stewards to the extent that severe incidents having an impact on the security of products with digital elements affect network and information systems provided by the open-source software stewards for the development of such products.
Article 25
Security attestation of free and open-source software
In order to facilitate the due diligence obligation set out in Article 13(5), in particular as regards manufacturers that integrate free and open-source software components in their products with digital elements, the Commission is empowered to adopt delegated acts in accordance with Article 61 to supplement this Regulation by establishing voluntary security attestation programmes allowing the developers or users of products with digital elements qualifying as free and open-source software as well as other third parties to assess the conformity of such products with all or certain essential cybersecurity requirements or other obligations laid down in this Regulation.
Article 26
Guidance
1.   In order to facilitate implementation and ensure the consistency of such implementation, the Commission shall publish guidance to assist economic operators in applying this Regulation, with a particular focus on facilitating compliance by microenterprises and small and medium-sized enterprises.
2.   Where it intends to provide guidance as referred to in paragraph 1, the Commission shall address at least the following aspects:
(a)
the scope of this Regulation, with a particular focus on remote data processing solutions and free and open-source software;
(b)
the application of support periods in relation to particular categories of products with digital elements;
(c)
guidance targeted at manufacturers subject to this Regulation that are also subject to Union harmonisation legislation other than this Regulation or to other related Union legal acts;
(d)
the concept of substantial modification.
The Commission shall also maintain an easy-to-access list of the delegated and implementing acts adopted pursuant to this Regulation.
3.   When preparing the guidance pursuant to this Article, the Commission shall consult relevant stakeholders.
CHAPTER III
CONFORMITY OF THE PRODUCT WITH DIGITAL ELEMENTS
Article 27
Presumption of conformity
1.   Products with digital elements and processes put in place by the manufacturer which are in conformity with harmonised standards or parts thereof, the references of which have been published in the 
Official Journal of the European Union
, shall be presumed to be in conformity with the essential cybersecurity requirements set out in Annex I covered by those standards or parts thereof.
The Commission shall, in accordance with Article 10(1) of Regulation (EU) No 1025/2012, request one or more European standardisation organisations to draft harmonised standards for the essential cybersecurity requirements set out in Annex I to this Regulation. When preparing standardisation requests for this Regulation, the Commission shall strive to take into account existing European and international standards for cybersecurity that are in place or under development in order to simplify the development of harmonised standards, in accordance with Regulation (EU) No 1025/2012.
2.   The Commission may adopt implementing acts establishing common specifications covering technical requirements that provide a means to comply with the essential cybersecurity requirements set out in Annex I for products with digital elements that fall within the scope of this Regulation.
Those implementing acts shall be adopted only where the following conditions are fulfilled:
(a)
the Commission has requested, pursuant to Article 10(1) of Regulation (EU) No 1025/2012, one or more European standardisation organisations to draft a harmonised standard for the essential cybersecurity requirements set out in Annex I and:
(i)
the request has not been accepted;
(ii)
the harmonised standards addressing that request are not delivered within the deadline set in accordance with Article 10(1) of Regulation (EU) No 1025/2012; or
(iii)
the harmonised standards do not comply with the request; and
(b)
no reference to harmonised standards covering the relevant essential cybersecurity requirements set out in Annex I to this Regulation has been published in the 
Official Journal of the European Union
 in accordance with Regulation (EU) No 1025/2012 and no such reference is expected to be published within a reasonable period.
Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 62(2).
3.   Before preparing the draft implementing act referred to in paragraph 2 of this Article, the Commission shall inform the committee referred to in Article 22 of Regulation (EU) No 1025/2012 that it considers that the conditions in paragraph 2 of this Article have been fulfilled.
4.   When preparing the draft implementing act referred to in paragraph 2, the Commission shall take into account the views of relevant bodies and shall duly consult all relevant stakeholders.
5.   Products with digital elements and processes put in place by the manufacturer which are in conformity with the common specifications established by implementing acts referred to in paragraph 2 of this Article, or parts thereof, shall be presumed to be in conformity with the essential cybersecurity requirements set out in Annex I covered by those common specifications or parts thereof.
6.   Where a harmonised standard is adopted by a European standardisation organisation and proposed to the Commission for the purpose of publishing its reference in the 
Official Journal of the European Union
, the Commission shall assess the harmonised standard in accordance with Regulation (EU) No 1025/2012. When a reference of a harmonised standard is published in the 
Official Journal of the European Union
, the Commission shall repeal the implementing acts referred to in paragraph 2 of this Article, or parts thereof which cover the same essential cybersecurity requirements as those covered by that harmonised standard.
7.   Where a Member State considers that a common specification does not entirely satisfy the essential cybersecurity requirements set out in Annex I, it shall inform the Commission thereof by submitting a detailed explanation. The Commission shall assess that detailed explanation and may, if appropriate, amend the implementing act establishing the common specification in question.
8.   Products with digital elements and processes put in place by the manufacturer for which an EU statement of conformity or certificate has been issued under a European cybersecurity certification scheme adopted pursuant to Regulation (EU) 2019/881 shall be presumed to be in conformity with the essential cybersecurity requirements set out in Annex I in so far as the EU statement of conformity or European cybersecurity certificate, or parts thereof, cover those requirements.
9.   The Commission is empowered to adopt delegated acts in accordance with Article 61 of this Regulation to supplement this Regulation by specifying the European cybersecurity certification schemes adopted pursuant to Regulation (EU) 2019/881 that can be used to demonstrate conformity of products with digital elements with the essential cybersecurity requirements or parts thereof as set out in Annex I to this Regulation. Furthermore, the issuance of a European cybersecurity certificate issued under such schemes, at least at assurance level ‘substantial’, eliminates the obligation of a manufacturer to carry out a third-party conformity assessment for the corresponding requirements, as set out in Article 32(2), points (a) and (b), and Article 32(3), points (a) and (b), of this Regulation.
Article 28
EU declaration of conformity
1.   The EU declaration of conformity shall be drawn up by manufacturers in accordance with Article 13(12) and state that the fulfilment of the applicable essential cybersecurity requirements set out in Annex I has been demonstrated.
2.   The EU declaration of conformity shall have the model structure set out in Annex V and shall contain the elements specified in the relevant conformity assessment procedures set out in Annex VIII. Such a declaration shall be updated as appropriate. It shall be made available in the languages required by the Member State in which the product with digital elements is placed on the market or made available on the market.
The simplified EU declaration of conformity referred to in Article 13(20) shall have the model structure set out in Annex VI. It shall be made available in the languages required by the Member State in which the product with digital elements is placed on the market or made available on the market.
3.   Where a product with digital elements is subject to more than one Union legal act requiring an EU declaration of conformity, a single EU declaration of conformity shall be drawn up in respect of all such Union legal acts. That declaration shall contain the identification of the Union legal acts concerned, including their publication references.
4.   By drawing up the EU declaration of conformity, the manufacturer shall assume responsibility for the compliance of the product with digital elements.
5.   The Commission is empowered to adopt delegated acts in accordance with Article 61 to supplement this Regulation by adding elements to the minimum content of the EU declaration of conformity set out in Annex V to take account of technological developments.
Article 29
General principles of the CE marking
The CE marking shall be subject to the general principles set out in Article 30 of Regulation (EC) No 765/2008.
Article 30
Rules and conditions for affixing the CE marking
1.   The CE marking shall be affixed visibly, legibly and indelibly to the product with digital elements. Where that is not possible or not warranted on account of the nature of the product with digital elements, it shall be affixed to the packaging and to the EU declaration of conformity referred to in Article 28 accompanying the product with digital elements. For products with digital elements which are in the form of software, the CE marking shall be affixed either to the EU declaration of conformity referred to in Article 28 or on the website accompanying the software product. In the latter case, the relevant section of the website shall be easily and directly accessible to consumers.
2.   On account of the nature of the product with digital elements, the height of the CE marking affixed to the product with digital elements may be lower than 5 mm, provided that it remains visible and legible.
3.   The CE marking shall be affixed before the product with digital elements is placed on the market. It may be followed by a pictogram or any other mark indicating a special cybersecurity risk or use set out in the implementing acts referred to in paragraph 6.
4.   The CE marking shall be followed by the identification number of the notified body, where that body is involved in the conformity assessment procedure based on full quality assurance (based on module H) referred to in Article 32.
The identification number of the notified body shall be affixed by the body itself or, under its instructions, by the manufacturer or the manufacturer’s authorised representative.
5.   Member States shall build upon existing mechanisms to ensure correct application of the regime governing the CE marking and shall take appropriate action in the event of improper use of that marking. Where the product with digital elements is subject to Union harmonisation legislation, other than this Regulation, which also provides for the affixing of the CE marking, the CE marking shall indicate that the product also fulfils the requirements set out in such other Union harmonisation legislation.
6.   The Commission may, by means of implementing acts, lay down technical specifications for labels, pictograms or any other marks related to the security of the products with digital elements, their support periods and mechanisms to promote their use and to increase public awareness about the security of products with digital elements. When preparing the draft implementing acts, the Commission shall consult relevant stakeholders, and, if it has already been established pursuant to Article 52(15), ADCO. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 62(2).
Article 31
Technical documentation
1.   The technical documentation shall contain all relevant data or details of the means used by the manufacturer to ensure that the product with digital elements and the processes put in place by the manufacturer comply with the essential cybersecurity requirements set out in Annex I. It shall at least contain the elements set out in Annex VII.
2.   The technical documentation shall be drawn up before the product with digital elements is placed on the market and shall be continuously updated, where appropriate, at least during the support period.
3.   For products with digital elements as referred to in Article 12, which are also subject to other Union legal acts which provide for technical documentation, a single set of technical documentation shall be drawn up containing the information referred to in Annex VII and the information required by those Union legal acts.
4.   The technical documentation and correspondence relating to any conformity assessment procedure shall be drawn up in an official language of the Member State in which the notified body is established or in a language acceptable to that body.
5.   The Commission is empowered to adopt delegated acts in accordance with Article 61 to supplement this Regulation by adding elements to be included in the technical documentation set out in Annex VII to take account of technological developments, as well as developments encountered in the implementation process of this Regulation. To that end, the Commission shall strive to ensure that the administrative burden on microenterprises and small and medium-sized enterprises is proportionate.
Article 32
Conformity assessment procedures for products with digital elements
1.   The manufacturer shall perform a conformity assessment of the product with digital elements and the processes put in place by the manufacturer to determine whether the essential cybersecurity requirements set out in Annex I are met. The manufacturer shall demonstrate conformity with the essential cybersecurity requirements by using any of the following procedures:
(a)
the internal control procedure (based on module A) set out in Annex VIII;
(b)
the EU-type examination procedure (based on module B) set out in Annex VIII followed by conformity to EU-type based on internal production control (based on module C) set out in Annex VIII;
(c)
a conformity assessment based on full quality assurance (based on module H) set out in Annex VIII; or
(d)
where available and applicable, a European cybersecurity certification scheme pursuant to Article 27(9).
2.   Where, in assessing the compliance of an important product with digital elements that falls under class I as set out in Annex III and the processes put in place by its manufacturer with the essential cybersecurity requirements set out in Annex I, the manufacturer has not applied or has applied only in part harmonised standards, common specifications or European cybersecurity certification schemes at assurance level at least ‘substantial’ as referred to in Article 27, or where such harmonised standards, common specifications or European cybersecurity certification schemes do not exist, the product with digital elements concerned and the processes put in place by the manufacturer shall be submitted with regard to those essential cybersecurity requirements to either of the following procedures:
(a)
the EU-type examination procedure (based on module B) set out in Annex VIII followed by conformity to EU-type based on internal production control (based on module C) set out in Annex VIII; or
(b)
a conformity assessment based on full quality assurance (based on module H) set out in Annex VIII.
3.   Where the product is an important product with digital elements that falls under class II as set out in Annex III, the manufacturer shall demonstrate conformity with the essential cybersecurity requirements set out in Annex I by using any of the following procedures:
(a)
EU-type examination procedure (based on module B) set out in Annex VIII followed by conformity to EU-type based on internal production control (based on module C) set out in Annex VIII;
(b)
a conformity assessment based on full quality assurance (based on module H) set out in Annex VIII; or
(c)
where available and applicable, a European cybersecurity certification scheme pursuant to Article 27(9) of this Regulation at assurance level at least ‘substantial’ pursuant to Regulation (EU) 2019/881.
4.   Critical products with digital elements listed in Annex IV shall demonstrate conformity with the essential cybersecurity requirements set out in Annex I by using one of the following procedures:
(a)
a European cybersecurity certification scheme in accordance with Article 8(1); or
(b)
where the conditions in Article 8(1) are not met, any of the procedures referred to in paragraph 3 of this Article.
5.   Manufacturers of products with digital elements qualifying as free and open-source software, which fall under the categories set out in Annex III, shall be able to demonstrate conformity with the essential cybersecurity requirements set out in Annex I by using one of the procedures referred to in paragraph 1 of this Article, provided that the technical documentation referred to in Article 31 is made available to the public at the time of the placing on the market of those products.
6.   The specific interests and needs of microenterprises and small and medium-sized enterprises, including start-ups, shall be taken into account when setting the fees for conformity assessment procedures and those fees shall be reduced proportionately to their specific interests and needs.
Article 33
Support measures for microenterprises and small and medium-sized enterprises, including start-ups
1.   Member States shall, where appropriate, undertake the following actions, tailored to the needs of microenterprises and small enterprises:
(a)
organise specific awareness-raising and training activities about the application of this Regulation;
(b)
establish a dedicated channel for communication with microenterprises and small enterprises and, as appropriate, local public authorities to provide advice and respond to queries about the implementation of this Regulation;
(c)
support testing and conformity assessment activities, including where relevant with the support of the European Cybersecurity Competence Centre.
2.   Member States may, where appropriate, establish cyber resilience regulatory sandboxes. Such regulatory sandboxes shall provide for controlled testing environments for innovative products with digital elements to facilitate their development, design, validation and testing for the purpose of complying with this Regulation for a limited period of time before the placing on the market. The Commission and, where appropriate, ENISA, may provide technical support, advice and tools for the establishment and operation of regulatory sandboxes. The regulatory sandboxes shall be set up under the direct supervision, guidance and support by the market surveillance authorities. Member States shall inform the Commission and the other market surveillance authorities of the establishment of a regulatory sandbox through ADCO. The regulatory sandboxes shall not affect the supervisory and corrective powers of the competent authorities. Member States shall ensure open, fair, and transparent access to regulatory sandboxes, and in particular facilitate access by microenterprises and small enterprises, including start-ups.
3.   In accordance with Article 26, the Commission shall provide guidance for microenterprises and small and medium-sized enterprises in relation to the implementation of this Regulation.
4.   The Commission shall advertise available financial support in the regulatory framework of existing Union programmes, in particular in order to ease the financial burden on microenterprises and small enterprises.
5.   Microenterprises and small enterprises may provide all elements of the technical documentation specified in Annex VII by using a simplified format. For that purpose, the Commission shall, by means of implementing acts, specify the simplified technical documentation form targeted at the needs of microenterprises and small enterprises, including how the elements set out in Annex VII are to be provided. Where a microenterprise or small enterprise opts to provide the information set out in Annex VII in a simplified manner, it shall use the form referred to in this paragraph. Notified bodies shall accept that form for the purposes of conformity assessment.
Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 62(2).
Article 34
Mutual recognition agreements
Taking into account the level of technical development and the approach on conformity assessment of a third country, the Union may conclude Mutual Recognition Agreements with third countries, in accordance with Article 218 TFEU, in order to promote and facilitate international trade.
CHAPTER IV
NOTIFICATION OF CONFORMITY ASSESSMENT BODIES
Article 35
Notification
1.   Member States shall notify the Commission and the other Member States of bodies authorised to carry out conformity assessments in accordance with this Regulation.
2.   Member States shall strive to ensure, by 11 December 2026 that there is a sufficient number of notified bodies in the Union to carry out conformity assessments, in order to avoid bottlenecks and hindrances to market entry.
Article 36
Notifying authorities
1.   Each Member State shall designate a notifying authority that shall be responsible for setting up and carrying out the necessary procedures for the assessment, designation and notification of conformity assessment bodies and their monitoring, including compliance with Article 41.
2.   Member States may decide that the assessment and monitoring referred to in paragraph 1 shall be carried out by a national accreditation body within the meaning of and in accordance with Regulation (EC) No 765/2008.
3.   Where the notifying authority delegates or otherwise entrusts the assessment, notification or monitoring referred to in paragraph 1 of this Article to a body which is not a governmental entity, that body shall be a legal entity and shall comply 
mutatis mutandis
 with Article 37. In addition, it shall have arrangements in place to cover liabilities arising from its activities.
4.   The notifying authority shall take full responsibility for the tasks performed by the body referred to in paragraph 3.
Article 37
Requirements relating to notifying authorities
1.   A notifying authority shall be established in such a way that no conflict of interest with conformity assessment bodies occurs.
2.   A notifying authority shall be organised and shall function so as to safeguard the objectivity and impartiality of its activities.
3.   A notifying authority shall be organised in such a way that each decision relating to notification of a conformity assessment body is taken by competent persons different from those who carried out the assessment.
4.   A notifying authority shall not offer or provide any activities that conformity assessment bodies perform or consultancy services on commercial or competitive basis.
5.   A notifying authority shall safeguard the confidentiality of the information it obtains.
6.   A notifying authority shall have a sufficient number of competent personnel at its disposal for the proper performance of its tasks.
Article 38
Information obligation on notifying authorities
1.   Member States shall inform the Commission of their procedures for the assessment and notification of conformity assessment bodies and the monitoring of notified bodies, and of any changes thereto.
2.   The Commission shall make the information referred to in paragraph 1 publicly available.
Article 39
Requirements relating to notified bodies
1.   For the purposes of notification, a conformity assessment body shall meet the requirements laid down in paragraphs 2 to 12.
2.   A conformity assessment body shall be established under national law and have legal personality.
3.   A conformity assessment body shall be a third-party body independent of the organisation or the product with digital elements it assesses.
A body belonging to a business association or professional federation representing undertakings involved in the design, development, production, provision, assembly, use or maintenance of products with digital elements which it assesses, may, on condition that its independence and the absence of any conflict of interest are demonstrated, be considered to be such a third-party body.
4.   A conformity assessment body, its top level management and the personnel responsible for carrying out the conformity assessment tasks shall not be the designer, developer, manufacturer, supplier, importer, distributor, installer, purchaser, owner, user or maintainer of the products with digital elements which they assess, nor the authorised representative of any of those parties. This shall not preclude the use of assessed products that are necessary for the operations of the conformity assessment body or the use of such products for personal purposes.
A conformity assessment body, its top level management and the personnel responsible for carrying out the conformity assessment tasks shall not be directly involved in the design, development, production, import, distribution, the marketing, installation, use or maintenance of the products with digital elements which they assess, or represent the parties engaged in those activities. They shall not engage in any activity that may conflict with their independence of judgement or integrity in relation to conformity assessment activities for which they are notified. This shall in particular apply to consultancy services.
Conformity assessment bodies shall ensure that the activities of their subsidiaries or subcontractors do not affect the confidentiality, objectivity or impartiality of their conformity assessment activities.
5.   Conformity assessment bodies and their personnel shall carry out the conformity assessment activities with the highest degree of professional integrity and the requisite technical competence in the specific field and shall be free from all pressures and inducements, particularly financial, which might influence their judgement or the results of their conformity assessment activities, especially as regards persons or groups of persons with an interest in the results of those activities.
6.   A conformity assessment body shall be capable of carrying out all the conformity assessment tasks referred to in Annex VIII and in relation to which it has been notified, regardless of whether those tasks are carried out by the conformity assessment body itself or on its behalf and under its responsibility.
At all times and for each conformity assessment procedure and each kind or category of products with digital elements in relation to which it has been notified, a conformity assessment body shall have at its disposal the necessary:
(a)
personnel with technical knowledge and sufficient and appropriate experience to perform the conformity assessment tasks;
(b)
descriptions of procedures in accordance with which conformity assessment is to be carried out, ensuring the transparency of and ability to reproduce those procedures. It shall have appropriate policies and procedures in place that distinguish between tasks it carries out as a notified body and other activities;
(c)
procedures for the performance of activities which take due account of the size of an undertaking, the sector in which it operates, its structure, the degree of complexity of the product technology in question and the mass or serial nature of the production process.
A conformity assessment body shall have the means necessary to perform the technical and administrative tasks connected with the conformity assessment activities in an appropriate manner and shall have access to all necessary equipment or facilities.
7.   The personnel responsible for carrying out conformity assessment activities shall have the following:
(a)
sound technical and vocational training covering all the conformity assessment activities in relation to which the conformity assessment body has been notified;
(b)
satisfactory knowledge of the requirements of the assessments they carry out and adequate authority to carry out those assessments;
(c)
appropriate knowledge and understanding of the essential cybersecurity requirements set out in Annex I, of the applicable harmonised standards and common specifications, and of the relevant provisions of Union harmonisation legislation and implementing acts;
(d)
the ability to draw up certificates, records and reports demonstrating that assessments have been carried out.
8.   The impartiality of the conformity assessment bodies, their top level management and of the assessment personnel shall be guaranteed.
The remuneration of the top level management and assessment personnel of a conformity assessment body shall not depend on the number of assessments carried out or on the results of those assessments.
9.   Conformity assessment bodies shall take out liability insurance unless liability is assumed by their Member State in accordance with national law, or the Member State itself is directly responsible for the conformity assessment.
10.   The personnel of a conformity assessment body shall observe professional secrecy with regard to all information obtained in carrying out their tasks under Annex VIII or any provision of national law giving effect to it, except in relation to the market surveillance authorities of the Member State in which its activities are carried out. Proprietary rights shall be protected. The conformity assessment body shall have documented procedures ensuring compliance with this paragraph.
11.   Conformity assessment bodies shall participate in, or ensure that their assessment personnel are informed of, the relevant standardisation activities and the activities of the notified body coordination group established under Article 51 and apply as general guidance the administrative decisions and documents produced as a result of the work of that group.
12.   Conformity assessment bodies shall operate in accordance with a set of consistent, fair, proportionate and reasonable terms and conditions, while avoiding unnecessary burden for economic operators, in particular taking into account the interests of microenterprises and small and medium-sized enterprises in relation to fees.
Article 40
Presumption of conformity of notified bodies
Where a conformity assessment body demonstrates its conformity with the criteria laid down in the relevant harmonised standards or parts thereof the references of which have been published in the 
Official Journal of the European Union
 it shall be presumed to comply with the requirements set out in Article 39 in so far as the applicable harmonised standards cover those requirements.
Article 41
Subsidiaries of and subcontracting by notified bodies
1.   Where a notified body subcontracts specific tasks connected with conformity assessment or has recourse to a subsidiary, it shall ensure that the subcontractor or the subsidiary meets the requirements set out in Article 39 and shall inform the notifying authority accordingly.
2.   Notified bodies shall take full responsibility for the tasks performed by subcontractors or subsidiaries wherever they are established.
3.   Activities may be subcontracted or carried out by a subsidiary only with the agreement of the manufacturer.
4.   Notified bodies shall keep at the disposal of the notifying authority the relevant documents concerning the assessment of the qualifications of the subcontractor or the subsidiary and the work carried out by them under this Regulation.
Article 42
Application for notification
1.   A conformity assessment body shall submit an application for notification to the notifying authority of the Member State in which it is established.
2.   That application shall be accompanied by a description of the conformity assessment activities, the conformity assessment procedure or procedures and the product or products with digital elements for which that body claims to be competent, as well as, where applicable, by an accreditation certificate issued by a national accreditation body attesting that the conformity assessment body fulfils the requirements laid down in Article 39.
3.   Where the conformity assessment body concerned cannot provide an accreditation certificate, it shall provide the notifying authority with all the documentary evidence necessary for the verification, recognition and regular monitoring of its compliance with the requirements laid down in Article 39.
Article 43
Notification procedure
1.   Notifying authorities shall notify only conformity assessment bodies which have satisfied the requirements laid down in Article 39.
2.   The notifying authority shall notify the Commission and the other Member States using the New Approach Notified and Designated Organisations information system developed and managed by the Commission.
3.   The notification shall include full details of the conformity assessment activities, the conformity assessment module or modules and product or products with digital elements concerned and the relevant attestation of competence.
4.   Where a notification is not based on an accreditation certificate as referred to in Article 42(2), the notifying authority shall provide the Commission and the other Member States with documentary evidence which attests to the conformity assessment body’s competence and the arrangements in place to ensure that that body will be monitored regularly and will continue to satisfy the requirements laid down in Article 39.
5.   The body concerned may perform the activities of a notified body only where no objections are raised by the Commission or the other Member States within two weeks of a notification where an accreditation certificate is used or within two months of a notification where accreditation is not used.
Only such a body shall be considered to be a notified body for the purposes of this Regulation.
6.   The Commission and the other Member States shall be notified of any subsequent relevant changes to the notification.
Article 44
Identification numbers and lists of notified bodies
1.   The Commission shall assign an identification number to a notified body.
It shall assign a single such number even where the body is notified under several Union legal acts.
2.   The Commission shall make publicly available the list of the bodies notified under this Regulation, including the identification numbers that have been allocated to them and the activities for which they have been notified.
The Commission shall ensure that that list is kept up to date.
Article 45
Changes to notifications
1.   Where a notifying authority has ascertained or has been informed that a notified body no longer meets the requirements laid down in Article 39, or that it is failing to fulfil its obligations, the notifying authority shall restrict, suspend or withdraw notification as appropriate, depending on the seriousness of the failure to meet those requirements or fulfil those obligations. It shall immediately inform the Commission and the other Member States accordingly.
2.   In the event of restriction, suspension or withdrawal of notification, or where the notified body has ceased its activity, the notifying Member State shall take appropriate steps to ensure that the files of that body are either processed by another notified body or kept available for the responsible notifying and market surveillance authorities at their request.
Article 46
Challenge of the competence of notified bodies
1.   The Commission shall investigate all cases where it doubts, or where doubt is brought to its attention regarding, the competence of a notified body to meet, or the continued fulfilment by a notified body of, the requirements and responsibilities to which it is subject.
2.   The notifying Member State shall provide the Commission, on request, with all information relating to the basis for the notification or the maintenance of the competence of the body concerned.
3.   The Commission shall ensure that all sensitive information obtained in the course of its investigations is treated confidentially.
4.   Where the Commission ascertains that a notified body does not meet or no longer meets the requirements for its notification, it shall inform the notifying Member State accordingly and request it to take the necessary corrective measures, including de-notification if necessary.
Article 47
Operational obligations of notified bodies
1.   Notified bodies shall carry out conformity assessments in accordance with the conformity assessment procedures provided for in Article 32 and Annex VIII.
2.   Conformity assessments shall be carried out in a proportionate manner, avoiding unnecessary burdens for economic operators. Conformity assessment bodies shall perform their activities taking due account of the size of undertakings, in particular as regards microenterprises and small and medium-sized enterprises, the sector in which they operate, their structure, their degree of complexity and the cybersecurity risk level of the products with digital elements and technology in question and the mass or serial nature of the production process.
3.   Notified bodies shall however respect the degree of rigour and the level of protection required for the compliance of products with digital elements with this Regulation.
4.   Where a notified body finds that the requirements set out in Annex I or in corresponding harmonised standards or common specifications as referred to in Article 27 have not been met by a manufacturer, it shall require that manufacturer to take appropriate corrective measures and shall not issue a certificate of conformity.
5.   Where, in the course of the monitoring of conformity following the issuance of a certificate, a notified body finds that a product with digital elements no longer complies with the requirements laid down in this Regulation, it shall require the manufacturer to take appropriate corrective measures and shall suspend or withdraw the certificate if necessary.
6.   Where corrective measures are not taken or do not have the required effect, the notified body shall restrict, suspend or withdraw any certificates, as appropriate.
Article 48
Appeal against decisions of notified bodies
Member States shall ensure that an appeal procedure against decisions of the notified bodies is available.
Article 49
Information obligation on notified bodies
1.   Notified bodies shall inform the notifying authority of the following:
(a)
any refusal, restriction, suspension or withdrawal of a certificate;
(b)
any circumstances affecting the scope of and conditions for notification;
(c)
any request for information which they have received from market surveillance authorities regarding conformity assessment activities;
(d)
on request, conformity assessment activities performed within the scope of their notification and any other activity performed, including cross-border activities and subcontracting.
2.   Notified bodies shall provide the other bodies notified under this Regulation carrying out similar conformity assessment activities covering the same products with digital elements with relevant information on issues relating to negative and, upon request, positive conformity assessment results.
Article 50
Exchange of experience
The Commission shall provide for the organisation of the exchange of experience between the Member States’ national authorities responsible for notification policy.
Article 51
Coordination of notified bodies
1.   The Commission shall ensure that appropriate coordination and cooperation between notified bodies are put in place and properly operated in the form of a cross-sectoral group of notified bodies.
2.   Member States shall ensure that the bodies notified by them participate in the work of that group, directly or by means of designated representatives.
CHAPTER V
MARKET SURVEILLANCE AND ENFORCEMENT
Article 52
Market surveillance and control of products with digital elements in the Union market
1.   Regulation (EU) 2019/1020 shall apply to products with digital elements that fall within the scope of this Regulation.
2.   Each Member State shall designate one or more market surveillance authorities for the purpose of ensuring the effective implementation of this Regulation. Member States may designate an existing or new authority to act as market surveillance authority for this Regulation.
3.   The market surveillance authorities designated under paragraph 2 of this Article shall also be responsible for carrying out market surveillance activities in relation to the obligations for open-source software stewards laid down in Article 24. Where a market surveillance authority finds that an open-source software steward does not comply with the obligations set out in that Article, it shall require the open-source software steward to ensure that all appropriate corrective actions are taken. Open-source software stewards shall ensure that all appropriate corrective action is taken in respect of their obligations under this Regulation.
4.   Where relevant, the market surveillance authorities shall cooperate with the national cybersecurity certification authorities designated pursuant to Article 58 of Regulation (EU) 2019/881 and exchange information on a regular basis. With respect to the supervision of the implementation of the reporting obligations pursuant to Article 14 of this Regulation, the designated market surveillance authorities shall cooperate and exchange information on a regular basis with the CSIRTs designated as coordinators and ENISA.
5.   The market surveillance authorities may request a CSIRT designated as coordinator or ENISA to provide technical advice on matters related to the implementation and enforcement of this Regulation. When conducting an investigation under Article 54, market surveillance authorities may request the CSIRT designated as coordinator or ENISA to provide an analysis to support evaluations of compliance of products with digital elements.
6.   Where relevant, the market surveillance authorities shall cooperate with other market surveillance authorities designated on the basis of Union harmonisation legislation other than this Regulation, and exchange information on a regular basis.
7.   Market surveillance authorities shall cooperate, as appropriate, with the authorities supervising Union data protection law. Such cooperation includes informing those authorities of any finding relevant for the fulfilment of their competences, including when issuing guidance and advice pursuant to paragraph 10 if such guidance and advice concerns the processing of personal data.
Authorities supervising Union data protection law shall have the power to request and access any documentation created or maintained under this Regulation when access to that documentation is necessary for the fulfilment of their tasks. They shall inform the designated market surveillance authorities of the Member State concerned of any such request.
8.   Member States shall ensure that the designated market surveillance authorities are provided with adequate financial and technical resources, including, where appropriate, processing automation tools, as well as with human resources with the necessary cybersecurity skills to fulfil their tasks under this Regulation.
9.   The Commission shall encourage and facilitate the exchange of experience between designated market surveillance authorities.
10.   Market surveillance authorities may provide guidance and advice to economic operators on the implementation of this Regulation, with the support of the Commission and, where appropriate, CSIRTs and ENISA.
11.   Market surveillance authorities shall inform consumers of where to submit complaints that could indicate non-compliance with this Regulation, in accordance with Article 11 of Regulation (EU) 2019/1020, and shall provide information to consumers on where and how to access mechanisms to facilitate reporting of vulnerabilities, incidents and cyber threats that may affect products with digital elements.
12.   Market surveillance authorities shall facilitate, where relevant, the cooperation with relevant stakeholders, including scientific, research and consumer organisations.
13.   The market surveillance authorities shall report to the Commission on an annual basis the outcomes of relevant market surveillance activities. The designated market surveillance authorities shall report, without delay, to the Commission and relevant national competition authorities any information identified in the course of market surveillance activities that may be of potential interest for the application of Union competition law.
14.   For products with digital elements that fall within the scope of this Regulation which are classified as high-risk AI systems pursuant to Article 6 of Regulation (EU) 2024/1689, the market surveillance authorities designated for the purposes of that Regulation shall be the authorities responsible for market surveillance activities required under this Regulation. The market surveillance authorities designated pursuant to Regulation (EU) 2024/1689 shall cooperate, as appropriate, with the market surveillance authorities designated pursuant to this Regulation and, with respect to the supervision of the implementation of the reporting obligations pursuant to Article 14 of this Regulation, with the CSIRTs designated as coordinators and ENISA. Market surveillance authorities designated pursuant to Regulation (EU) 2024/1689 shall in particular inform market surveillance authorities designated pursuant to this Regulation of any finding relevant for the fulfilment of their tasks in relation to the implementation of this Regulation.
15.   ADCO shall be established for the uniform application of this Regulation, pursuant to Article 30(2) of Regulation (EU) 2019/1020. ADCO shall be composed of representatives of the designated market surveillance authorities and, if appropriate, representatives of single liaison offices. ADCO shall also address specific matters related to the market surveillance activities in relation to the obligations placed on open-source software stewards.
16.   Market surveillance authorities shall monitor how manufacturers have applied the criteria referred to in Article 13(8) when determining the support period of their products with digital elements.
ADCO shall publish in a publicly accessible and user-friendly form relevant statistics on categories of products with digital elements, including average support periods, as determined by the manufacturer pursuant to Article 13(8), as well as provide guidance that includes indicative support periods for categories of products with digital elements.
Where the data suggests inadequate support periods for specific categories of products with digital elements, ADCO may issue recommendations to market surveillance authorities to focus their activities on such categories of products with digital elements.
Article 53
Access to data and documentation
Where necessary to assess the conformity of products with digital elements and the processes put in place by their manufacturers with the essential cybersecurity requirements set out in Annex I, the market surveillance authorities shall, upon a reasoned request, be granted access to the data, in a language easily understood by them, required to assess the design, development, production and vulnerability handling of such products, including related internal documentation of the relevant economic operator.
Article 54
Procedure at national level concerning products with digital elements presenting a significant cybersecurity risk
1.   Where the market surveillance authority of a Member State has sufficient reason to consider that a product with digital elements, including its vulnerability handling, presents a significant cybersecurity risk, it shall, without undue delay and, where appropriate, in cooperation with the relevant CSIRT, carry out an evaluation of the product with digital elements concerned in respect of its compliance with all the requirements laid down in this Regulation. The relevant economic operators shall cooperate with the market surveillance authority as necessary.
Where, in the course of that evaluation, the market surveillance authority finds that the product with digital elements does not comply with the requirements laid down in this Regulation, it shall without delay require the relevant economic operator to take all appropriate corrective actions to bring the product with digital elements into compliance with those requirements, to withdraw it from the market, or to recall it within a reasonable period, commensurate with the nature of the cybersecurity risk, as the market surveillance authority may prescribe.
The market surveillance authority shall inform the relevant notified body accordingly. Article 18 of Regulation (EU) 2019/1020 shall apply to the corrective actions.
2.   When determining the significance of a cybersecurity risk referred to in paragraph 1 of this Article, the market surveillance authorities shall also consider non-technical risk factors, in particular those established as a result of Union level coordinated security risk assessments of critical supply chains carried out in accordance with Article 22 of Directive (EU) 2022/2555. Where a market surveillance authority has sufficient reason to consider that a product with digital elements presents a significant cybersecurity risk in light of non-technical risk factors, it shall inform the competent authorities designated or established pursuant to Article 8 of Directive (EU) 2022/2555 and cooperate with those authorities as necessary.
3.   Where the market surveillance authority considers that non-compliance is not restricted to its national territory, it shall inform the Commission and the other Member States of the results of the evaluation and of the actions which it has required the economic operator to take.
4.   The economic operator shall ensure that all appropriate corrective action is taken in respect of all the products with digital elements concerned that it has made available on the market throughout the Union.
5.   Where the economic operator does not take adequate corrective action within the period referred to in paragraph 1, second subparagraph, the market surveillance authority shall take all appropriate provisional measures to prohibit or restrict that product with digital elements from being made available on its national market, to withdraw it from that market or to recall it.
That authority shall notify the Commission and the other Member States, without delay, of those measures.
6.   The information referred to in paragraph 5 shall include all available details, in particular the data necessary for the identification of the non-compliant product with digital elements, the origin of that product with digital elements, the nature of the alleged non-compliance and the risk involved, the nature and duration of the national measures taken and the arguments put forward by the relevant economic operator. In particular, the market surveillance authority shall indicate whether the non-compliance is due to one or more of the following:
(a)
a failure of the product with digital elements or of the processes put in place by the manufacturer to meet the essential cybersecurity requirements set out in Annex I;
(b)
shortcomings in the harmonised standards, European cybersecurity certification schemes or common specifications, as referred to in Article 27.
7.   The market surveillance authorities of the Member States other than the market surveillance authority of the Member State initiating the procedure shall without delay inform the Commission and the other Member States of any measures adopted and of any additional information at their disposal relating to the non-compliance of the product with digital elements concerned, and, in the event of disagreement with the notified national measure, of their objections.
8.   Where, within three months of receipt of the notification referred to in paragraph 5 of this Article, no objection has been raised by either a Member State or the Commission in respect of a provisional measure taken by a Member State, that measure shall be deemed to be justified. This is without prejudice to the procedural rights of the economic operator concerned in accordance with Article 18 of Regulation (EU) 2019/1020.
9.   The market surveillance authorities of all Member States shall ensure that appropriate restrictive measures are taken in respect of the product with digital elements concerned, such as withdrawal of that product from their market, without delay.
Article 55
Union safeguard procedure
1.   Where, within three months of receipt of the notification referred to in Article 54(5), objections are raised by a Member State against a measure taken by another Member State, or where the Commission considers the measure to be contrary to Union law, the Commission shall without delay enter into consultation with the relevant Member State and the economic operator or operators and shall evaluate the national measure. On the basis of the results of that evaluation, the Commission shall decide whether the national measure is justified or not within nine months from the notification referred to in Article 54(5) and notify that decision to the Member State concerned.
2.   If the national measure is considered to be justified, all Member States shall take the measures necessary to ensure that the non-compliant product with digital elements is withdrawn from their market, and shall inform the Commission accordingly. If the national measure is not considered to be justified, the Member State concerned shall withdraw the measure.
3.   Where the national measure is considered to be justified and the non-compliance of the product with digital elements is attributed to shortcomings in the harmonised standards, the Commission shall apply the procedure provided for in Article 11 of Regulation (EU) No 1025/2012.
4.   Where the national measure is considered to be justified and the non-compliance of the product with digital elements is attributed to shortcomings in a European cybersecurity certification scheme as referred to in Article 27, the Commission shall consider whether to amend or repeal any delegated act adopted pursuant to Article 27(9) that specifies the presumption of conformity concerning that certification scheme.
5.   Where the national measure is considered to be justified and the non-compliance of the product with digital elements is attributed to shortcomings in common specifications as referred to in Article 27, the Commission shall consider whether to amend or repeal any implementing act adopted pursuant to Article 27(2) setting out those common specifications.
Article 56
Procedure at Union level concerning products with digital elements presenting a significant cybersecurity risk
1.   Where the Commission has sufficient reason to consider, including based on information provided by ENISA, that a product with digital elements that presents a significant cybersecurity risk does not comply with the requirements laid down in this Regulation, it shall inform the relevant market surveillance authorities. Where the market surveillance authorities carry out an evaluation of that product with digital elements that may present a significant cybersecurity risk in respect of its compliance with the requirements laid down in this Regulation, the procedures referred to in Articles 54 and 55 shall apply.
2.   Where the Commission has sufficient reason to consider that a product with digital elements presents a significant cybersecurity risk in light of non-technical risk factors, it shall inform the relevant market surveillance authorities and, where appropriate, the competent authorities designated or established pursuant to Article 8 of Directive (EU) 2022/2555 and cooperate with those authorities as necessary. The Commission shall also consider the relevance of the identified risks for that product with digital elements in view of its tasks regarding the Union level coordinated security risk assessments of critical supply chains provided for in Article 22 of Directive (EU) 2022/2555, and consult, as necessary, the Cooperation Group established pursuant to Article 14 of Directive (EU) 2022/2555 and ENISA.
3.   In circumstances which justify an immediate intervention to preserve the proper functioning of the internal market and where the Commission has sufficient reason to consider that the product with digital elements referred to in paragraph 1 remains non-compliant with the requirements laid down in this Regulation and no effective measures have been taken by the relevant market surveillance authorities, the Commission shall carry out an evaluation of compliance and may request ENISA to provide an analysis to support it. The Commission shall inform the relevant market surveillance authorities accordingly. The relevant economic operators shall cooperate with ENISA as necessary.
4.   Based on the evaluation referred to in paragraph 3, the Commission may decide that a corrective or restrictive measure is necessary at Union level. To that end, it shall without delay consult the Member States concerned and the relevant economic operator or operators.
5.   On the basis of the consultation referred to in paragraph 4 of this Article, the Commission may adopt implementing acts to provide for corrective or restrictive measures at Union level, including requiring the products with digital elements concerned to be withdrawn from the market or recalled, within a reasonable period, commensurate with the nature of the risk. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 62(2).
6.   The Commission shall immediately communicate the implementing acts referred to in paragraph 5 to the relevant economic operator or operators. Member States shall implement those implementing acts without delay and shall inform the Commission accordingly.
7.   Paragraphs 3 to 6 shall be applicable for the duration of the exceptional situation that justified the Commission’s intervention, provided that the product with digital elements concerned is not brought in compliance with this Regulation.
Article 57
Compliant products with digital elements which present a significant cybersecurity risk
1.   The market surveillance authority of a Member State shall require an economic operator to take all appropriate measures where, having performed an evaluation under Article 54, it finds that although a product with digital elements and the processes put in place by the manufacturer are in compliance with this Regulation, they present a significant cybersecurity risk as well as a risk to:
(a)
the health or safety of persons;
(b)
the compliance with obligations under Union or national law intended to protect fundamental rights;
(c)
the availability, authenticity, integrity or confidentiality of services offered using an electronic information system by essential entities as referred to in Article 3(1) of Directive (EU) 2022/2555; or
(d)
other aspects of public interest protection.
The measures referred to in the first subparagraph may include measures to ensure that the product with digital elements concerned and the processes put in place by the manufacturer no longer present the relevant risks when made available on the market, withdrawal from the market of the product with digital elements concerned, or recalling of it, and shall be commensurate with the nature of those risks.
2.   The manufacturer or other relevant economic operators shall ensure that corrective action is taken in respect of the products with digital elements concerned that they have made available on the market throughout the Union within the timeline established by the market surveillance authority of the Member State referred to in paragraph 1.
3.   The Member State shall immediately inform the Commission and the other Member States about the measures taken pursuant to paragraph 1. That information shall include all available details, in particular the data necessary for the identification of the products with digital elements concerned, the origin and the supply chain of those products with digital elements, the nature of the risk involved and the nature and duration of the national measures taken.
4.   The Commission shall without delay enter into consultation with the Member States and the relevant economic operator and shall evaluate the national measures taken. On the basis of the results of that evaluation, the Commission shall decide whether the measure is justified or not and, where necessary, propose appropriate measures.
5.   The Commission shall address the decision referred to in paragraph 4 to the Member States.
6.   Where the Commission has sufficient reason to consider, including based on information provided by ENISA, that a product with digital elements, although compliant with this Regulation, presents the risks referred to in paragraph 1 of this Article, it shall inform and may request the relevant market surveillance authority or authorities to carry out an evaluation and follow the procedures referred to in Article 54 and in paragraphs 1, 2 and 3 of this Article.
7.   In circumstances which justify an immediate intervention to preserve the proper functioning of the internal market and where the Commission has sufficient reason to consider that the product with digital elements referred to in paragraph 6 continues to present the risks referred to in paragraph 1, and no effective measures have been taken by the relevant national market surveillance authorities, the Commission shall carry out an evaluation of the risks presented by that product with digital elements and may request ENISA to provide an analysis to support that evaluation and shall inform the relevant market surveillance authorities accordingly. The relevant economic operators shall cooperate with ENISA as necessary.
8.   Based on the evaluation referred to in paragraph 7, the Commission may establish that a corrective or restrictive measure is necessary at Union level. To that end, it shall without delay consult the Member States concerned and the relevant economic operator or operators.
9.   On the basis of the consultation referred to in paragraph 8 of this Article, the Commission may adopt implementing acts to decide on corrective or restrictive measures at Union level, including requiring the products with digital elements concerned to be withdrawn from the market, or recalled, within a reasonable period, commensurate with the nature of the risk. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 62(2).
10.   The Commission shall immediately communicate the implementing acts referred to in paragraph 9 to the relevant economic operator or operators. Member States shall implement those implementing acts without delay and shall inform the Commission accordingly.
11.   Paragraphs 6 to 10 shall apply for the duration of the exceptional situation that justified the Commission’s intervention and for as long as the product with digital elements concerned continues to present the risks referred to in paragraph 1.
Article 58
Formal non-compliance
1.   Where the market surveillance authority of a Member State makes one of the following findings, it shall require the relevant manufacturer to put an end to the non-compliance concerned:
(a)
the CE marking has been affixed in violation of Articles 29 and 30;
(b)
the CE marking has not been affixed;
(c)
the EU declaration of conformity has not been drawn up;
(d)
the EU declaration of conformity has not been drawn up correctly;
(e)
the identification number of the notified body which is involved in the conformity assessment procedure, where applicable, has not been affixed;
(f)
the technical documentation is either not available or not complete.
2.   Where the non-compliance referred to in paragraph 1 persists, the Member State concerned shall take all appropriate measures to restrict or prohibit the product with digital elements from being made available on the market or ensure that it is recalled or withdrawn from the market.
Article 59
Joint activities of market surveillance authorities
1.   Market surveillance authorities may agree with other relevant authorities to carry out joint activities aimed at ensuring cybersecurity and the protection of consumers with respect to specific products with digital elements placed on the market or made available on the market, in particular products with digital elements that are often found to present cybersecurity risks.
2.   The Commission or ENISA shall propose joint activities for checking compliance with this Regulation to be conducted by market surveillance authorities based on indications or information of potential non-compliance across several Member States of products with digital elements that fall within the scope of this Regulation with the requirements laid down in this Regulation.
3.   The market surveillance authorities and, where applicable, the Commission, shall ensure that the agreement to carry out joint activities does not lead to unfair competition between economic operators and does not negatively affect the objectivity, independence and impartiality of the parties to the agreement.
4.   A market surveillance authority may use any information obtained as a result of the joint activities carried out as part of any investigation that it undertakes.
5.   The market surveillance authority concerned and, where applicable, the Commission, shall make the agreement on joint activities, including the names of the parties involved, available to the public.
Article 60
Sweeps
1.   Market surveillance authorities shall conduct simultaneous coordinated control actions (sweeps) of particular products with digital elements or categories thereof to check compliance with or to detect infringements to this Regulation. Those sweeps may include inspections of products with digital elements acquired under a cover identity.
2.   Unless otherwise agreed upon by the market surveillance authorities involved, sweeps shall be coordinated by the Commission. The coordinator of the sweep shall, where appropriate, make the aggregated results publicly available.
3.   Where, in the performance of its tasks, including based on the notifications received pursuant to Article 14(1) and (3), ENISA identifies categories of products with digital elements for which sweeps may be organised, it shall submit a proposal for a sweep to the coordinator referred to in paragraph 2 of this Article for the consideration of the market surveillance authorities.
4.   When conducting sweeps, the market surveillance authorities involved may use the investigation powers set out in Articles 52 to 58 and any other powers conferred upon them by national law.
5.   Market surveillance authorities may invite Commission officials, and other accompanying persons authorised by the Commission, to participate in sweeps.
CHAPTER VI
DELEGATED POWERS AND COMMITTEE PROCEDURE
Article 61
Exercise of the delegation
1.   The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this Article.
2.   The power to adopt delegated acts referred to in Article 2(5), second subparagraph, Article 7(3), Article 8(1) and (2), Article 13(8), fourth subparagraph, Article 14(9), Article 25, Article 27(9), Article 28(5) and Article 31(5) shall be conferred on the Commission for a period of five years from 10 December 2024. The Commission shall draw up a report in respect of the delegation of power not later than nine months before the end of the five-year period. The delegation of power shall be tacitly extended for periods of an identical duration, unless the European Parliament or the Council opposes such extension not later than three months before the end of each period.
3.   The delegation of power referred to in Article 2(5), second subparagraph, Article 7(3), Article 8(1) and (2), Article 13(8), fourth subparagraph, Article 14(9), Article 25, Article 27(9), Article 28(5) and Article 31(5) may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following the publication of the decision in the 
Official Journal of the European Union
 or at a later date specified therein. It shall not affect the validity of any delegated acts already in force.
4.   Before adopting a delegated act, the Commission shall consult experts designated by each Member State in accordance with principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making.
5.   As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to the Council.
6.   A delegated act adopted pursuant to Article 2(5), second subparagraph, Article 7(3), Article 8(1) or (2), Article 13(8), fourth subparagraph, Article 14(9), Article 25, Article 27(9), Article 28(5) or Article 31(5) shall enter into force only if no objection has been expressed either by the European Parliament or by the Council within a period of two months of notification of that act to the European Parliament and to the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by two months at the initiative of the European Parliament or of the Council.
Article 62
Committee procedure
1.   The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
3.   Where the opinion of the committee is to be obtained by written procedure, that procedure shall be terminated without result when, within the time-limit for delivery of the opinion, the chair of the committee so decides or a committee member so requests.
CHAPTER VII
CONFIDENTIALITY AND PENALTIES
Article 63
Confidentiality
1.   All parties involved in the application of this Regulation shall respect the confidentiality of information and data obtained in carrying out their tasks and activities in such a manner as to protect, in particular:
(a)
intellectual property rights and confidential business information or trade secrets of a natural or legal person, including source code, except the cases referred to in Article 5 of Directive (EU) 2016/943 of the European Parliament and of the Council 
(
37
)
;
(b)
the effective implementation of this Regulation, in particular for the purposes of inspections, investigations or audits;
(c)
public and national security interests;
(d)
integrity of criminal or administrative proceedings.
2.   Without prejudice to paragraph 1, information exchanged on a confidential basis between the market surveillance authorities and between market surveillance authorities and the Commission shall not be disclosed without the prior agreement of the originating market surveillance authority.
3.   Paragraphs 1 and 2 shall not affect the rights and obligations of the Commission, Member States and notified bodies with regard to the exchange of information and the dissemination of warnings, nor the obligations of the persons concerned to provide information under criminal law of the Member States.
4.   The Commission and Member States may exchange, where necessary, sensitive information with relevant authorities of third countries with which they have concluded bilateral or multilateral confidentiality arrangements guaranteeing an adequate level of protection.
Article 64
Penalties
1.   Member States shall lay down the rules on penalties applicable to infringements of this Regulation and shall take all measures necessary to ensure that they are implemented. The penalties provided for shall be effective, proportionate and dissuasive. Member States shall, without delay, notify the Commission of those rules and measures and shall notify it, without delay, of any subsequent amendment affecting them.
2.   Non-compliance with the essential cybersecurity requirements set out in Annex I and the obligations set out in Articles 13 and 14 shall be subject to administrative fines of up to EUR 15 000 000 or, if the offender is an undertaking, up to 2,5 % of the its total worldwide annual turnover for the preceding financial year, whichever is higher.
3.   Non-compliance with the obligations set out in Articles 18 to 23, Article 28, Article 30(1) to (4), Article 31(1) to (4), Article 32(1), (2) and (3), Article 33(5), and Articles 39, 41, 47, 49 and 53 shall be subject to administrative fines of up to EUR 10 000 000 or, if the offender is an undertaking, up to 2 % of its total worldwide annual turnover for the preceding financial year, whichever is higher.
4.   The supply of incorrect, incomplete or misleading information to notified bodies and market surveillance authorities in reply to a request shall be subject to administrative fines of up to EUR 5 000 000 or, if the offender is an undertaking, up to 1 % of its total worldwide annual turnover for the preceding financial year, whichever is higher.
5.   When deciding on the amount of the administrative fine in each individual case, all relevant circumstances of the specific situation shall be taken into account and due regard shall be given to the following:
(a)
the nature, gravity and duration of the infringement and of its consequences;
(b)
whether administrative fines have been already applied by the same or other market surveillance authorities to the same economic operator for a similar infringement;
(c)
the size, in particular with regard to microenterprises and small and medium sized-enterprises, including start-ups, and the market share of the economic operator committing the infringement.
6.   Market surveillance authorities that apply administrative fines shall communicate that application to the market surveillance authorities of other Member States through the information and communication system referred to in Article 34 of Regulation (EU) 2019/1020.
7.   Each Member State shall lay down rules on whether and to what extent administrative fines may be imposed on public authorities and public bodies established in that Member State.
8.   Depending on the legal system of the Member States, the rules on administrative fines may be applied in such a manner that the fines are imposed by competent national courts or other bodies according to the competences established at national level in those Member States. The application of such rules in those Member States shall have an equivalent effect.
9.   Administrative fines may be imposed, depending on the circumstances of each individual case, in addition to any other corrective or restrictive measures applied by the market surveillance authorities for the same infringement.
10.   By way of derogation from paragraphs 3 to 9, the administrative fines referred to in those paragraphs shall not apply to the following:
(a)
manufacturers that qualify as microenterprises or small enterprises with regard to any failure to meet the deadline referred to in Article 14(2), point (a), or Article 14(4), point (a);
(b)
any infringement of this Regulation by open-source software stewards.
Article 65
Representative actions
Directive (EU) 2020/1828 shall apply to the representative actions brought against infringements by economic operators of provisions of this Regulation that harm, or may harm, the collective interests of consumers.
CHAPTER VIII
TRANSITIONAL AND FINAL PROVISIONS
Article 66
Amendment to Regulation (EU) 2019/1020
In Annex I to Regulation (EU) 2019/1020, the following point is added:
‘72.
Regulation (EU) 2024/2847 of the European Parliament and of the Council
 (
*1
)
.
Article 67
Amendment to Directive (EU) 2020/1828
In Annex I to Directive (EU) 2020/1828, the following point is added:
‘69.
Regulation (EU) 2024/2847 of the European Parliament and of the Council
 (
*2
)
.
Article 68
Amendment to Regulation (EU) No 168/2013
In Part C1, in the table, of Annex II to Regulation (EU) No 168/2013 of the European Parliament and of the Council 
(
38
)
, the following entry is added:
‘
16
18
protection of vehicle against cyberattacks
x
x
x
x
x
x
x
x
x
x
x
x
x
x
’.
Article 69
Transitional provisions
1.   EU type-examination certificates and approval decisions issued regarding cybersecurity requirements for products with digital elements that are subject to Union harmonisation legislation other than this Regulation shall remain valid until 11 June 2028, unless they expire before that date, or unless otherwise specified in such other Union harmonisation legislation, in which case they shall remain valid as referred to in that legislation.
2.   Products with digital elements that have been placed on the market before 11 December 2027 shall be subject to the requirements set out in this Regulation only if, from that date, those products are subject to a substantial modification.
3.   By way of derogation from paragraph 2 of this Article, the obligations laid down in Article 14 shall apply to all products with digital elements that fall within the scope of this Regulation that have been placed on the market before 11 December 2027.
Article 70
Evaluation and review
1.   By 11 December 2030 and every four years thereafter, the Commission shall submit a report on the evaluation and review of this Regulation to the European Parliament and to the Council. Those reports shall be made public.
2.   By 11 September 2028, the Commission shall, after consulting ENISA and the CSIRTs network, submit a report to the European Parliament and to the Council, assessing the effectiveness of the single reporting platform set out in Article 16, as well as the impact of the application of the cybersecurity-related grounds referred to Article 16(2) by the CSIRTs designated as coordinators on the effectiveness of the single reporting platform as regards the timely dissemination of received notifications to other relevant CSIRTs.
Article 71
Entry into force and application
1.   This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
2.   This Regulation shall apply from 11 December 2027.
However, Article 14 shall apply from 11 September 2026 and Chapter IV (Articles 35 to 51) shall apply from 11 June 2026.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Strasbourg, 23 October 2024.
For the European Parliament
The President
R. METSOLA
For the Council
The President
ZSIGMOND B. P.
(
1
)
  
            
OJ C 100, 16.3.2023, p. 101
.
(
2
)
  Position of the European Parliament of 12 March 2024 (not yet published in the Official Journal) and decision of the Council of 10 October 2024.
(
3
)
  Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) (
OJ L 151, 7.6.2019, p. 15
).
(
4
)
  Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (
OJ L 333, 27.12.2022, p. 80
).
(
5
)
  Commission Recommendation 2003/361/EC of 6 May 2003 concerning the definition of micro, small and medium-sized enterprises (
OJ L 124, 20.5.2003, p. 36
).
(
6
)
  
            
OJ C 67, 8.2.2022, p. 81
.
(
7
)
  Directive 2014/24/EU of the European Parliament and of the Council of 26 February 2014 on public procurement and repealing Directive 2004/18/EC (
OJ L 94, 28.3.2014, p. 65
).
(
8
)
  Directive 2014/25/EU of the European Parliament and of the Council of 26 February 2014 on procurement by entities operating in the water, energy, transport and postal services sectors and repealing Directive 2004/17/EC (
OJ L 94, 28.3.2014, p. 243
).
(
9
)
  Regulation (EU) 2017/745 of the European Parliament and of the Council of 5 April 2017 on medical devices, amending Directive 2001/83/EC, Regulation (EC) No 178/2002 and Regulation (EC) No 1223/2009 and repealing Council Directives 90/385/EEC and 93/42/EEC (
OJ L 117, 5.5.2017, p. 1
).
(
10
)
  Regulation (EU) 2017/746 of the European Parliament and of the Council of 5 April 2017 on in vitro diagnostic medical devices and repealing Directive 98/79/EC and Commission Decision 2010/227/EU (
OJ L 117, 5.5.2017, p. 176
).
(
11
)
  Regulation (EU) 2019/2144 of the European Parliament and of the Council of 27 November 2019 on type-approval requirements for motor vehicles and their trailers, and systems, components and separate technical units intended for such vehicles, as regards their general safety and the protection of vehicle occupants and vulnerable road users, amending Regulation (EU) 2018/858 of the European Parliament and of the Council and repealing Regulations (EC) No 78/2009, (EC) No 79/2009 and (EC) No 661/2009 of the European Parliament and of the Council and Commission Regulations (EC) No 631/2009, (EU) No 406/2010, (EU) No 672/2010, (EU) No 1003/2010, (EU) No 1005/2010, (EU) No 1008/2010, (EU) No 1009/2010, (EU) No 19/2011, (EU) No 109/2011, (EU) No 458/2011, (EU) No 65/2012, (EU) No 130/2012, (EU) No 347/2012, (EU) No 351/2012, (EU) No 1230/2012 and (EU) 2015/166 (
OJ L 325, 16.12.2019, p. 1
).
(
12
)
  
            
OJ L 82, 9.3.2021, p. 30
.
(
13
)
  Regulation (EU) 2018/1139 of the European Parliament and of the Council of 4 July 2018 on common rules in the field of civil aviation and establishing a European Union Aviation Safety Agency, and amending Regulations (EC) No 2111/2005, (EC) No 1008/2008, (EU) No 996/2010, (EU) No 376/2014 and Directives 2014/30/EU and 2014/53/EU of the European Parliament and of the Council, and repealing Regulations (EC) No 552/2004 and (EC) No 216/2008 of the European Parliament and of the Council and Council Regulation (EEC) No 3922/91 (
OJ L 212, 22.8.2018, p. 1
).
(
14
)
  Commission Delegated Regulation (EU) 2022/30 of 29 October 2021 supplementing Directive 2014/53/EU of the European Parliament and of the Council with regard to the application of the essential requirements referred to in Article 3(3), points (d), (e) and (f), of that Directive (
OJ L 7, 12.1.2022, p. 6
).
(
15
)
  Directive 2014/53/EU of the European Parliament and of the Council of 16 April 2014 on the harmonisation of the laws of the Member States relating to the making available on the market of radio equipment and repealing Directive 1999/5/EC (
OJ L 153, 22.5.2014, p. 62
).
(
16
)
  Directive (EU) 2024/2853 of the European Parliament and of the Council of 23 October 2024 on liability for defective products and repealing Council Directive 85/374/EEC (
OJ L, 2024/2853, 18.11.2024, ELI: http://data.europa.eu/eli/dir/2024/2853/oj
).
(
17
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
18
)
  Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC (
OJ L 257, 28.8.2014, p. 73
).
(
19
)
  Regulation (EU) 2024/1781 of the European Parliament and of the Council of 13 June 2024 establishing a framework for the setting of ecodesign requirements for sustainable products, amending Directive (EU) 2020/1828 and Regulation (EU) 2023/1542 and repealing Directive 2009/125/EC (
OJ L, 2024/1781, 28.6.2024, ELI: http://data.europa.eu/eli/reg/2024/1781/oj
).
(
20
)
  Commission Implementing Regulation (EU) 2024/482 of 31 January 2024 laying down rules for the application of Regulation (EU) 2019/881 of the European Parliament and of the Council as regards the adoption of the European Common Criteria-based cybersecurity certification scheme (EUCC) (
OJ L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj
).
(
21
)
  Regulation (EU) 2023/988 of the European Parliament and of the Council of 10 May 2023 on general product safety, amending Regulation (EU) No 1025/2012 of the European Parliament and of the Council and Directive (EU) 2020/1828 of the European Parliament and the Council, and repealing Directive 2001/95/EC of the European Parliament and of the Council and Council Directive 87/357/EEC (
OJ L 135, 23.5.2023, p. 1
).
(
22
)
  Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence and amending Regulations (EC) No 300/2008, (EU) No 167/2013, (EU) No 168/2013, (EU) 2018/858, (EU) 2018/1139 and (EU) 2019/2144 and Directives 2014/90/EU, (EU) 2016/797 and (EU) 2020/1828 (Artificial Intelligence Act) (
OJ L, 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj
).
(
23
)
  Commission Recommendation (EU) 2019/534 of 26 March 2019 Cybersecurity of 5G networks (
OJ L 88, 29.3.2019, p. 42
).
(
24
)
  Regulation (EU) 2023/1230 of the European Parliament and of the Council of 14 June 2023 on machinery and repealing Directive 2006/42/EC of the European Parliament and of the Council and Council Directive 73/361/EEC (
OJ L 165, 29.6.2023, p. 1
).
(
25
)
  Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector and amending Regulations (EC) No 1060/2009, (EU) No 648/2012, (EU) No 600/2014, (EU) No 909/2014 and (EU) 2016/1011 (
OJ L 333, 27.12.2022, p. 1
).
(
26
)
  Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (
OJ L 201, 31.7.2002, p. 37
).
(
27
)
  Regulation (EU) 2019/1020 of the European Parliament and of the Council of 20 June 2019 on market surveillance and compliance of products and amending Directive 2004/42/EC and Regulations (EC) No 765/2008 and (EU) No 305/2011 (
OJ L 169, 25.6.2019, p. 1
).
(
28
)
  Regulation (EU) No 1025/2012 of the European Parliament and of the Council of 25 October 2012 on European standardisation, amending Council Directives 89/686/EEC and 93/15/EEC and Directives 94/9/EC, 94/25/EC, 95/16/EC, 97/23/EC, 98/34/EC, 2004/22/EC, 2007/23/EC, 2009/23/EC and 2009/105/EC of the European Parliament and of the Council and repealing Council Decision 87/95/EEC and Decision No 1673/2006/EC of the European Parliament and of the Council (
OJ L 316, 14.11.2012, p. 12
).
(
29
)
  Regulation (EC) No 765/2008 of the European Parliament and of the Council of 9 July 2008 setting out the requirements for accreditation and repealing Regulation (EEC) No 339/93 (
OJ L 218, 13.8.2008, p. 30
).
(
30
)
  Decision No 768/2008/EC of the European Parliament and of the Council of 9 July 2008 on a common framework for the marketing of products, and repealing Council Decision 93/465/EEC (
OJ L 218, 13.8.2008, p. 82
).
(
31
)
  
            
OJ L 123, 12.5.2016, p. 1
.
(
32
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by the Member States of the Commission’s exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
, ELI: http://data.europa.eu/eli/reg/2011/182/oj).
(
33
)
  Directive (EU) 2020/1828 of the European Parliament and of the Council of 25 November 2020 on representative actions for the protection of the collective interests of consumers and repealing Directive 2009/22/EC (
OJ L 409, 4.12.2020, p. 1
).
(
34
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
35
)
  
            
OJ C 452, 29.11.2022, p. 23
.
(
36
)
  Directive 2014/90/EU of the European Parliament and of the Council of 23 July 2014 on marine equipment and repealing Council Directive 96/98/EC (
OJ L 257, 28.8.2014, p. 146
).
(
37
)
  Directive (EU) 2016/943 of the European Parliament and of the Council of 8 June 2016 on the protection of undisclosed know-how and business information (trade secrets) against their unlawful acquisition, use and disclosure (
OJ L 157, 15.6.2016, p. 1
).
(
38
)
  Regulation (EU) No 168/2013 of the European Parliament and of the Council of 15 January 2013 on the approval and market surveillance of two- or three-wheel vehicles and quadricycles (
OJ L 60, 2.3.2013, p. 52
).
ANNEX I
ESSENTIAL CYBERSECURITY REQUIREMENTS
Part I Cybersecurity requirements relating to the properties of products with digital elements
(1)
Products with digital elements shall be designed, developed and produced in such a way that they ensure an appropriate level of cybersecurity based on the risks.
(2)
On the basis of the cybersecurity risk assessment referred to in Article 13(2) and where applicable, products with digital elements shall:
(a)
be made available on the market without known exploitable vulnerabilities;
(b)
be made available on the market with a secure by default configuration, unless otherwise agreed between manufacturer and business user in relation to a tailor-made product with digital elements, including the possibility to reset the product to its original state;
(c)
ensure that vulnerabilities can be addressed through security updates, including, where applicable, through automatic security updates that are installed within an appropriate timeframe enabled as a default setting, with a clear and easy-to-use opt-out mechanism, through the notification of available updates to users, and the option to temporarily postpone them;
(d)
ensure protection from unauthorised access by appropriate control mechanisms, including but not limited to authentication, identity or access management systems, and report on possible unauthorised access;
(e)
protect the confidentiality of stored, transmitted or otherwise processed data, personal or other, such as by encrypting relevant data at rest or in transit by state of the art mechanisms, and by using other technical means;
(f)
protect the integrity of stored, transmitted or otherwise processed data, personal or other, commands, programs and configuration against any manipulation or modification not authorised by the user, and report on corruptions;
(g)
process only data, personal or other, that are adequate, relevant and limited to what is necessary in relation to the intended purpose of the product with digital elements (data minimisation);
(h)
protect the availability of essential and basic functions, also after an incident, including through resilience and mitigation measures against denial-of-service attacks;
(i)
minimise the negative impact by the products themselves or connected devices on the availability of services provided by other devices or networks;
(j)
be designed, developed and produced to limit attack surfaces, including external interfaces;
(k)
be designed, developed and produced to reduce the impact of an incident using appropriate exploitation mitigation mechanisms and techniques;
(l)
provide security related information by recording and monitoring relevant internal activity, including the access to or modification of data, services or functions, with an opt-out mechanism for the user;
(m)
provide the possibility for users to securely and easily remove on a permanent basis all data and settings and, where such data can be transferred to other products or systems, ensure that this is done in a secure manner.
Part II Vulnerability handling requirements
Manufacturers of products with digital elements shall:
(1)
identify and document vulnerabilities and components contained in products with digital elements, including by drawing up a software bill of materials in a commonly used and machine-readable format covering at the very least the top-level dependencies of the products;
(2)
in relation to the risks posed to products with digital elements, address and remediate vulnerabilities without delay, including by providing security updates; where technically feasible, new security updates shall be provided separately from functionality updates;
(3)
apply effective and regular tests and reviews of the security of the product with digital elements;
(4)
once a security update has been made available, share and publicly disclose information about fixed vulnerabilities, including a description of the vulnerabilities, information allowing users to identify the product with digital elements affected, the impacts of the vulnerabilities, their severity and clear and accessible information helping users to remediate the vulnerabilities; in duly justified cases, where manufacturers consider the security risks of publication to outweigh the security benefits, they may delay making public information regarding a fixed vulnerability until after users have been given the possibility to apply the relevant patch;
(5)
put in place and enforce a policy on coordinated vulnerability disclosure;
(6)
take measures to facilitate the sharing of information about potential vulnerabilities in their product with digital elements as well as in third-party components contained in that product, including by providing a contact address for the reporting of the vulnerabilities discovered in the product with digital elements;
(7)
provide for mechanisms to securely distribute updates for products with digital elements to ensure that vulnerabilities are fixed or mitigated in a timely manner and, where applicable for security updates, in an automatic manner;
(8)
ensure that, where security updates are available to address identified security issues, they are disseminated without delay and, unless otherwise agreed between a manufacturer and a business user in relation to a tailor-made product with digital elements, free of charge, accompanied by advisory messages providing users with the relevant information, including on potential action to be taken.
ANNEX II
INFORMATION AND INSTRUCTIONS TO THE USER
At minimum, the product with digital elements shall be accompanied by:
1.
the name, registered trade name or registered trademark of the manufacturer, and the postal address, the email address or other digital contact as well as, where available, the website at which the manufacturer can be contacted;
2.
the single point of contact where information about vulnerabilities of the product with digital elements can be reported and received, and where the manufacturer’s policy on coordinated vulnerability disclosure can be found;
3.
name and type and any additional information enabling the unique identification of the product with digital elements;
4.
the intended purpose of the product with digital elements, including the security environment provided by the manufacturer, as well as the product’s essential functionalities and information about the security properties;
5.
any known or foreseeable circumstance, related to the use of the product with digital elements in accordance with its intended purpose or under conditions of reasonably foreseeable misuse, which may lead to significant cybersecurity risks;
6.
where applicable, the internet address at which the EU declaration of conformity can be accessed;
7.
the type of technical security support offered by the manufacturer and the end-date of the support period during which users can expect vulnerabilities to be handled and to receive security updates;
8.
detailed instructions or an internet address referring to such detailed instructions and information on:
(a)
the necessary measures during initial commissioning and throughout the lifetime of the product with digital elements to ensure its secure use;
(b)
how changes to the product with digital elements can affect the security of data;
(c)
how security-relevant updates can be installed;
(d)
the secure decommissioning of the product with digital elements, including information on how user data can be securely removed;
(e)
how the default setting enabling the automatic installation of security updates, as required by Part I, point (2)(c), of Annex I, can be turned off;
(f)
where the product with digital elements is intended for integration into other products with digital elements, the information necessary for the integrator to comply with the essential cybersecurity requirements set out in Annex I and the documentation requirements set out in Annex VII.
9.
If the manufacturer decides to make available the software bill of materials to the user, information on where the software bill of materials can be accessed.
ANNEX III
IMPORTANT PRODUCTS WITH DIGITAL ELEMENTS
Class I
1.
Identity management systems and privileged access management software and hardware, including authentication and access control readers, including biometric readers
2.
Standalone and embedded browsers
3.
Password managers
4.
Software that searches for, removes, or quarantines malicious software
5.
Products with digital elements with the function of virtual private network (VPN)
6.
Network management systems
7.
Security information and event management (SIEM) systems
8.
Boot managers
9.
Public key infrastructure and digital certificate issuance software
10.
Physical and virtual network interfaces
11.
Operating systems
12.
Routers, modems intended for the connection to the internet, and switches
13.
Microprocessors with security-related functionalities
14.
Microcontrollers with security-related functionalities
15.
Application specific integrated circuits (ASIC) and field-programmable gate arrays (FPGA) with security-related functionalities
16.
Smart home general purpose virtual assistants
17.
Smart home products with security functionalities, including smart door locks, security cameras, baby monitoring systems and alarm systems
18.
Internet connected toys covered by Directive 2009/48/EC of the European Parliament and of the Council 
(
1
)
 that have social interactive features (e.g. speaking or filming) or that have location tracking features
19.
Personal wearable products to be worn or placed on a human body that have a health monitoring (such as tracking) purpose and to which Regulation (EU) 2017/745 or (EU) No 2017/746 do not apply, or personal wearable products that are intended for the use by and for children
Class II
1.
Hypervisors and container runtime systems that support virtualised execution of operating systems and similar environments
2.
Firewalls, intrusion detection and prevention systems
3.
Tamper-resistant microprocessors
4.
Tamper-resistant microcontrollers
(
1
)
  Directive 2009/48/EC of the European Parliament and of the Council of 18 June 2009 on the safety of toys (
OJ L 170, 30.6.2009, p. 1
).
ANNEX IV
CRITICAL PRODUCTS WITH DIGITAL ELEMENTS
1.
Hardware Devices with Security Boxes
2.
Smart meter gateways within smart metering systems as defined in Article 2, point (23) of Directive (EU) 2019/944 of the European Parliament and of the Council 
(
1
)
 and other devices for advanced security purposes, including for secure cryptoprocessing
3.
Smartcards or similar devices, including secure elements
(
1
)
  Directive (EU) 2019/944 of the European Parliament and of the Council of 5 June 2019 on common rules for the internal market for electricity and amending Directive 2012/27/EU (
OJ L 158, 14.6.2019, p. 125
).
ANNEX V
EU DECLARATION OF CONFORMITY
The EU declaration of conformity referred to in Article 28, shall contain all of the following information:
1.
Name and type and any additional information enabling the unique identification of the product with digital elements
2.
Name and address of the manufacturer or its authorised representative
3.
A statement that the EU declaration of conformity is issued under the sole responsibility of the provider
4.
Object of the declaration (identification of the product with digital elements allowing traceability, which may include a photograph, where appropriate)
5.
A statement that the object of the declaration described above is in conformity with the relevant Union harmonisation legislation
6.
References to any relevant harmonised standards used or any other common specification or cybersecurity certification in relation to which conformity is declared
7.
Where applicable, the name and number of the notified body, a description of the conformity assessment procedure performed and identification of the certificate issued
8.
Additional information:
Signed for and on behalf of:
(place and date of issue):
(name, function) (signature):
ANNEX VI
SIMPLIFIED EU DECLARATION OF CONFORMITY
The simplified EU declaration of conformity referred to in Article 13(20) shall be provided as follows:
Hereby, … [name of manufacturer] declares that the product with digital elements type … [designation of type of product with digital element] is in compliance with Regulation (EU) 2024/2847 
(
1
)
.
The full text of the EU declaration of conformity is available at the following internet address: …
(
1
)
  
            
OJ L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj
.
ANNEX VII
CONTENT OF THE TECHNICAL DOCUMENTATION
The technical documentation referred to in Article 31 shall contain at least the following information, as applicable to the relevant product with digital elements:
1.
a general description of the product with digital elements, including:
(a)
its intended purpose;
(b)
versions of software affecting compliance with essential cybersecurity requirements;
(c)
where the product with digital elements is a hardware product, photographs or illustrations showing external features, marking and internal layout;
(d)
user information and instructions as set out in Annex II;
2.
a description of the design, development and production of the product with digital elements and vulnerability handling processes, including:
(a)
necessary information on the design and development of the product with digital elements, including, where applicable, drawings and schemes and a description of the system architecture explaining how software components build on or feed into each other and integrate into the overall processing;
(b)
necessary information and specifications of the vulnerability handling processes put in place by the manufacturer, including the software bill of materials, the coordinated vulnerability disclosure policy, evidence of the provision of a contact address for the reporting of the vulnerabilities and a description of the technical solutions chosen for the secure distribution of updates;
(c)
necessary information and specifications of the production and monitoring processes of the product with digital elements and the validation of those processes;
3.
an assessment of the cybersecurity risks against which the product with digital elements is designed, developed, produced, delivered and maintained pursuant to Article 13, including how the essential cybersecurity requirements set out in Part I of Annex I are applicable;
4.
relevant information that was taken into account to determine the support period pursuant to Article 13(8) of the product with digital elements;
5.
a list of the harmonised standards applied in full or in part the references of which have been published in the 
Official Journal of the European Union
, common specifications as set out in Article 27 of this Regulation or European cybersecurity certification schemes adopted pursuant to Regulation (EU) 2019/881 pursuant to Article 27(8) of this Regulation, and, where those harmonised standards, common specifications or European cybersecurity certification schemes have not been applied, descriptions of the solutions adopted to meet the essential cybersecurity requirements set out in Parts I and II of Annex I, including a list of other relevant technical specifications applied. In the event of partly applied harmonised standards, common specifications or European cybersecurity certification schemes, the technical documentation shall specify the parts which have been applied;
6.
reports of the tests carried out to verify the conformity of the product with digital elements and of the vulnerability handling processes with the applicable essential cybersecurity requirements as set out in Parts I and II of Annex I;
7.
a copy of the EU declaration of conformity;
8.
where applicable, the software bill of materials, further to a reasoned request from a market surveillance authority provided that it is necessary in order for that authority to be able to check compliance with the essential cybersecurity requirements set out in Annex I.
ANNEX VIII
CONFORMITY ASSESSMENT PROCEDURES
Part I Conformity assessment procedure based on internal control (based on module A)
1.
Internal control is the conformity assessment procedure whereby the manufacturer fulfils the obligations set out in points 2, 3 and 4 of this Part, and ensures and declares on its sole responsibility that the products with digital elements satisfy all the essential cybersecurity requirements set out in Part I of Annex I and the manufacturer meets the essential cybersecurity requirements set out in Part II of Annex I.
2.
The manufacturer shall draw up the technical documentation described in Annex VII.
3.
Design, development, production and vulnerability handling of products with digital elements
The manufacturer shall take all measures necessary so that the design, development, production and vulnerability handling processes and their monitoring ensure compliance of the manufactured or developed products with digital elements and of the processes put in place by the manufacturer with the essential cybersecurity requirements set out in Parts I and II of Annex I.
4.
Conformity marking and declaration of conformity
4.1.
The manufacturer shall affix the CE marking to each individual product with digital elements that satisfies the applicable requirements set out in this Regulation.
4.2.
The manufacturer shall draw up a written EU declaration of conformity for each product with digital elements in accordance with Article 28 and keep it together with the technical documentation at the disposal of the national authorities for 10 years after the product with digital elements has been placed on the market or for the support period, whichever is longer. The EU declaration of conformity shall identify the product with digital elements for which it has been drawn up. A copy of the EU declaration of conformity shall be made available to the relevant authorities upon request.
5.
Authorised representatives
The manufacturer’s obligations set out in point 4 may be fulfilled by its authorised representative, on its behalf and under its responsibility, provided that the relevant obligations are specified in the mandate.
Part II EU-type examination (based on module B)
1.
EU-type examination is the part of a conformity assessment procedure in which a notified body examines the technical design and development of a product with digital elements and the vulnerability handling processes put in place by the manufacturer, and attests that a product with digital elements meets the essential cybersecurity requirements set out in Part I of Annex I and that the manufacturer meets the essential cybersecurity requirements set out in Part II of Annex I.
2.
EU-type examination shall be carried out by assessing the adequacy of the technical design and development of the product with digital elements through the examination of the technical documentation and supporting evidence referred to in point 3, and the examination of specimens of one or more critical parts of the product (combination of production type and design type).
3.
The manufacturer shall lodge an application for EU-type examination with a single notified body of its choice.
The application shall include:
3.1.
the name and address of the manufacturer and, if the application is lodged by the authorised representative, the name and address of that authorised representative;
3.2.
a written declaration that the same application has not been lodged with any other notified body;
3.3.
the technical documentation, which shall make it possible to assess the conformity of the product with digital elements with the applicable essential cybersecurity requirements as set out in Part I of Annex I and the manufacturer’s vulnerability handling processes set out in Part II of Annex I and shall include an adequate analysis and assessment of the risks. The technical documentation shall specify the applicable requirements and cover, as far as relevant for the assessment, the design, manufacture and operation of the product with digital elements. The technical documentation shall contain, wherever applicable, at least the elements set out in Annex VII;
3.4.
the supporting evidence for the adequacy of the technical design and development solutions and vulnerability handling processes. This supporting evidence shall mention any documents that have been used, in particular where the relevant harmonised standards or technical specifications have not been applied in full. The supporting evidence shall include, where necessary, the results of tests carried out by the appropriate laboratory of the manufacturer, or by another testing laboratory on its behalf and under its responsibility.
4.
The notified body shall:
4.1.
examine the technical documentation and supporting evidence to assess the adequacy of the technical design and development of the product with digital elements with the essential cybersecurity requirements set out in Part I of Annex I and of the vulnerability handling processes put in place by the manufacturer with the essential cybersecurity requirements set out in Part II of Annex I;
4.2.
verify that specimens have been developed or manufactured in conformity with the technical documentation, and identify the elements which have been designed and developed in accordance with the applicable provisions of the relevant harmonised standards or technical specifications, as well as the elements which have been designed and developed without applying the relevant provisions of those standards;
4.3.
carry out appropriate examinations and tests, or have them carried out, to check that, where the manufacturer has chosen to apply the solutions in the relevant harmonised standards or technical specifications for the requirements set out in Annex I, they have been applied correctly;
4.4.
carry out appropriate examinations and tests, or have them carried out, to check that, where the solutions in the relevant harmonised standards or technical specifications for the requirements set out in Annex I have not been applied, the solutions adopted by the manufacturer meet the corresponding essential cybersecurity requirements;
4.5.
agree with the manufacturer on a location where the examinations and tests will be carried out.
5.
The notified body shall draw up an evaluation report that records the activities undertaken in accordance with point 4 and their outcomes. Without prejudice to its obligations vis-à-vis the notifying authorities, the notified body shall release the content of that report, in full or in part, only with the agreement of the manufacturer.
6.
Where the type and the vulnerability handling processes meet the essential cybersecurity requirements set out in Annex I, the notified body shall issue an EU-type examination certificate to the manufacturer. The certificate shall contain the name and address of the manufacturer, the conclusions of the examination, the conditions (if any) for its validity and the necessary data for identification of the approved type and vulnerability handling processes. The certificate may have one or more annexes attached.
The certificate and its annexes shall contain all relevant information to allow the conformity of manufactured or developed products with digital elements with the examined type and vulnerability handling processes to be evaluated and to allow for in-service control.
Where the type and the vulnerability handling processes do not satisfy the applicable essential cybersecurity requirements set out in Annex I, the notified body shall refuse to issue an EU-type examination certificate and shall inform the applicant accordingly, giving detailed reasons for its refusal.
7.
The notified body shall keep itself apprised of any changes in the generally acknowledged state of the art which indicate that the approved type and the vulnerability handling processes may no longer comply with the applicable essential cybersecurity requirements set out in Annex I, and shall determine whether such changes require further investigation. If so, the notified body shall inform the manufacturer accordingly.
The manufacturer shall inform the notified body that holds the technical documentation relating to the EU-type examination certificate of all modifications to the approved type and the vulnerability handling processes that may affect the conformity with the essential cybersecurity requirements set out in Annex I, or the conditions for validity of the certificate. Such modifications shall require additional approval in the form of an addition to the original EU-type examination certificate.
8.
The notified body shall carry out periodic audits to ensure that the vulnerability handling processes as set out in Part II of Annex I are implemented adequately.
9.
Each notified body shall inform its notifying authorities concerning the EU-type examination certificates and any additions thereto which it has issued or withdrawn, and shall, periodically or upon request, make available to its notifying authorities the list of certificates and any additions thereto refused, suspended or otherwise restricted.
Each notified body shall inform the other notified bodies concerning the EU-type examination certificates and any additions thereto which it has refused, withdrawn, suspended or otherwise restricted, and, upon request, concerning the certificates and additions thereto which it has issued.
The Commission, the Member States and the other notified bodies may, on request, obtain a copy of the EU-type examination certificates and any additions thereto. On request, the Commission and the Member States may obtain a copy of the technical documentation and the results of the examinations carried out by the notified body. The notified body shall keep a copy of the EU-type examination certificate, its annexes and additions, as well as the technical file including the documentation submitted by the manufacturer, until the expiry of the validity of the certificate.
10.
The manufacturer shall keep a copy of the EU-type examination certificate, its annexes and additions together with the technical documentation at the disposal of the national authorities for 10 years after the product with digital elements has been placed on the market or for the support period, whichever is longer.
11.
The manufacturer’s authorised representative may lodge the application referred to in point 3 and fulfil the obligations set out in points 7 and 10, provided that the relevant obligations are specified in the mandate.
Part III Conformity to type based on internal production control (based on module C)
1.
Conformity to type based on internal production control is the part of a conformity assessment procedure whereby the manufacturer fulfils the obligations set out in points 2 and 3 of this Part, and ensures and declares that the products with digital elements concerned are in conformity with the type described in the EU-type examination certificate and satisfy the essential cybersecurity requirements set out in Part I of Annex I and that the manufacturer meets the essential cybersecurity requirements set out in Part II of Annex I.
2.
Production
The manufacturer shall take all measures necessary so that the production and its monitoring ensure conformity of the manufactured products with digital elements with the approved type described in the EU-type examination certificate and with the essential cybersecurity requirements as set out in Part I of Annex I and ensures that the manufacturer meets the essential cybersecurity requirements set out in Part II of Annex I.
3.
Conformity marking and declaration of conformity
3.1.
The manufacturer shall affix the CE marking to each individual product with digital elements that is in conformity with the type described in the EU-type examination certificate and satisfies the applicable requirements set out in this Regulation.
3.2.
The manufacturer shall draw up a written declaration of conformity for a product model and keep it at the disposal of the national authorities for 10 years after the product with digital elements has been placed on the market or for the support period, whichever is longer. The declaration of conformity shall identify the product model for which it has been drawn up. A copy of the declaration of conformity shall be made available to the relevant authorities upon request.
4.
Authorised representative
The manufacturer’s obligations set out in point 3 may be fulfilled by its authorised representative, on its behalf and under its responsibility, provided that the relevant obligations are specified in the mandate.
Part IV Conformity based on full quality assurance (based on module H)
1.
Conformity based on full quality assurance is the conformity assessment procedure whereby the manufacturer fulfils the obligations set out in points 2 and 5 of this Part, and ensures and declares on its sole responsibility that the products with digital elements or product categories concerned satisfy the essential cybersecurity requirements set out in Part I of Annex I and that the vulnerability handling processes put in place by the manufacturer meet the requirements set out in Part II of Annex I.
2.
Design, development, production and vulnerability handling of products with digital elements
The manufacturer shall operate an approved quality system as specified in point 3 for the design, development and final product inspection and testing of the products with digital elements concerned and for handling vulnerabilities, maintain its effectiveness throughout the support period, and shall be subject to surveillance as specified in point 4.
3.
Quality system
3.1.
The manufacturer shall lodge an application for assessment of its quality system with the notified body of its choice, for the products with digital elements concerned.
The application shall include:
(a)
the name and address of the manufacturer and, if the application is lodged by the authorised representative, the name and address of that authorised representative;
(b)
the technical documentation for one model of each category of products with digital elements intended to be manufactured or developed. The technical documentation shall, wherever applicable, contain at least the elements as set out in Annex VII;
(c)
the documentation concerning the quality system; and
(d)
a written declaration that the same application has not been lodged with any other notified body.
3.2.
The quality system shall ensure compliance of the products with digital elements with the essential cybersecurity requirements set out in Part I of Annex I and compliance of the vulnerability handling processes put in place by the manufacturer with the requirements set out in Part II of Annex I.
All the elements, requirements and provisions adopted by the manufacturer shall be documented in a systematic and orderly manner in the form of written policies, procedures and instructions. That quality system documentation shall permit a consistent interpretation of the quality programmes, plans, manuals and records.
It shall, in particular, contain an adequate description of:
(a)
the quality objectives and the organisational structure, responsibilities and powers of the management with regard to design, development, product quality and vulnerability handling;
(b)
the technical design and development specifications, including standards, that will be applied and, where the relevant harmonised standards or technical specifications will not be applied in full, the means that will be used to ensure that the essential cybersecurity requirements set out in Part I of Annex I that apply to the products with digital elements will be met;
(c)
the procedural specifications, including standards, that will be applied and, where the relevant harmonised standards or technical specifications will not be applied in full, the means that will be used to ensure that the essential cybersecurity requirements set out in Part II of Annex I that apply to the manufacturer will be met;
(d)
the design and development control, as well as design and development verification techniques, processes and systematic actions that will be used when designing and developing the products with digital elements pertaining to the product category covered;
(e)
the corresponding production, quality control and quality assurance techniques, processes and systematic actions that will be used;
(f)
the examinations and tests that will be carried out before, during and after production, and the frequency with which they will be carried out;
(g)
the quality records, such as inspection reports and test data, calibration data and qualification reports on the personnel concerned;
(h)
the means of monitoring the achievement of the required design and product quality and the effective operation of the quality system.
3.3.
The notified body shall assess the quality system to determine whether it satisfies the requirements referred to in point 3.2.
It shall presume conformity with those requirements in respect of the elements of the quality system that comply with the corresponding specifications of the national standard that implements the relevant harmonised standard or technical specification.
In addition to experience in quality management systems, the auditing team shall have at least one member experienced as an assessor in the relevant product field and product technology concerned, and shall have knowledge of the applicable requirements set out in this Regulation. The audit shall include an assessment visit to the manufacturer’s premises, where such premises exist. The auditing team shall review the technical documentation referred to in point 3.1 (b), to verify the manufacturer’s ability to identify the applicable requirements set out in this Regulation and to carry out the necessary examinations with a view to ensuring compliance of the product with digital elements with those requirements.
The manufacturer or its authorised representative shall be notified of the decision.
The notification shall contain the conclusions of the audit and the reasoned assessment decision.
3.4.
The manufacturer shall undertake to fulfil the obligations arising out of the quality system as approved and to maintain it so that it remains adequate and efficient.
3.5.
The manufacturer shall keep the notified body that has approved the quality system informed of any intended change to the quality system.
The notified body shall evaluate any proposed changes and decide whether the modified quality system will continue to satisfy the requirements referred to in point 3.2 or whether a reassessment is necessary.
It shall notify the manufacturer of its decision. The notification shall contain the conclusions of the examination and the reasoned assessment decision.
4.
Surveillance under the responsibility of the notified body
4.1.
The purpose of surveillance is to make sure that the manufacturer duly fulfils the obligations arising out of the approved quality system.
4.2.
The manufacturer shall, for assessment purposes, allow the notified body access to the design, development, production, inspection, testing and storage sites, and shall provide it with all necessary information, in particular:
(a)
the quality system documentation;
(b)
the quality records as provided for by the design part of the quality system, such as results of analyses, calculations and tests;
(c)
the quality records as provided for by the manufacturing part of the quality system, such as inspection reports and test data, calibration data and qualification reports on the personnel concerned.
4.3.
The notified body shall carry out periodic audits to make sure that the manufacturer maintains and applies the quality system and shall provide the manufacturer with an audit report.
5.
Conformity marking and declaration of conformity
5.1.
The manufacturer shall affix the CE marking, and, under the responsibility of the notified body referred to in point 3.1, the latter’s identification number to each individual product with digital elements that satisfies the requirements set out in Part I of Annex I.
5.2.
The manufacturer shall draw up a written declaration of conformity for each product model and keep it at the disposal of the national authorities for 10 years after the product with digital elements has been placed on the market or for the support period, whichever is longer. The declaration of conformity shall identify the product model for which it has been drawn up.
A copy of the declaration of conformity shall be made available to the relevant authorities upon request.
6.
The manufacturer shall, for a period ending at least 10 years after the product with digital elements has been placed on the market or for the support period, whichever is longer, keep at the disposal of the national authorities:
(a)
the technical documentation referred to in point 3.1;
(b)
the documentation concerning the quality system referred to in point 3.1;
(c)
the change referred to in point 3.5, as approved;
(d)
the decisions and reports of the notified body referred to in points 3.5 and 4.3.
7.
Each notified body shall inform its notifying authorities of quality system approvals issued or withdrawn, and shall, periodically or upon request, make available to its notifying authorities the list of quality system approvals refused, suspended or otherwise restricted.
Each notified body shall inform the other notified bodies of quality system approvals which it has refused, suspended or withdrawn, and, upon request, of quality system approvals which it has issued.
8.
Authorised representative
The manufacturer’s obligations set out in points 3.1, 3.5, 5 and 6 may be fulfilled by its authorised representative, on its behalf and under its responsibility, provided that the relevant obligations are specified in the mandate.
A statement has been made with regard to this act and can be found in 
OJ C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj
.
ELI: http://data.europa.eu/eli/reg/2024/2847/oj
ISSN 1977-0677 (electronic edition)

Summary:
Horizontal cybersecurity requirements for products with digital elements (Cyber Resilience Act)
SUMMARY OF:
Regulation (EU) 2024/2847 on horizontal cybersecurity requirements for products with digital elements
WHAT IS THE AIM OF THE REGULATION?
Regulation (EU) 2024/2847, the Cyber Resilience Act (CRA), aims to strengthen 
cybersecurity
 across the 
European Union
 (EU). It sets out a comprehensive framework to ensure that digital products and services are:
secure by design;
resilient against cyber threats; and
capable of providing continuing protection throughout their life cycle.
It addresses the growing cybersecurity challenges posed by the increasing connectivity of devices and the rise of cyberattacks, which have significant economic and societal impacts.
KEY POINTS
The CRA has several core objectives.
Enhance cybersecurity across the EU by setting 
mandatory cybersecurity requirements
 for products with digital elements.
Promote 
secure practices
 by encouraging manufacturers to integrate cybersecurity into the product design and development phases.
Ensure 
transparency and accountability
 by requiring manufacturers to provide clear information about the cybersecurity features of their products and to take responsibility for addressing vulnerabilities.
Foster a 
single market for cybersecurity
 by harmonising rules across EU 
Member States
 to reduce fragmentation and ensure a level playing field.
Scope
The 
regulation
 applies to a wide range of products with digital elements placed on the EU market, regardless of where the manufacturer is based, that can connect directly or indirectly to other devices or networks, including:
hardware products (e.g. internet-of-things (IoT) devices, smart home appliances, industrial control systems, microchips);
software products (e.g. video games, apps, computer programmes).
Certain products are excluded, such as:
medical devices already covered by specific EU regulations;
aviation and automotive products regulated under sector-specific legislation;
marine equipment.
Key requirements for manufacturers
Secure by design
Manufacturers must integrate cybersecurity into product design and development. This includes, among other things, secure-by-default configurations, appropriate levels of encryption and access control mechanisms.
Risk assessment and mitigation
Manufacturers are required to conduct a risk assessment and keep it updated, and to implement measures to address identified vulnerabilities during the product’s life cycle.
If manufacturers rely on third-party components or services, they must exercise due diligence when integrating them into their products.
Transparency and documentation
Manufacturers must provide clear and comprehensive documentation, including:
a description of the product’s cybersecurity features;
instructions for secure installation, configuration and use;
information on how to report vulnerabilities;
a declaration of conformity to confirm compliance with the regulation.
Reporting incidents
Manufacturers must:
report severe cybersecurity incidents and actively exploited vulnerabilities to relevant national authorities and the 
European Union Agency for Cybersecurity
 (ENISA) without undue delay;
inform users about potential risks and provide guidance on mitigating them.
Software updates and support
Manufacturers must provide security updates during the product’s support period, which needs to reflect the period the product is expected to be in use.
Updates must address vulnerabilities and ensure the continued security of the product.
Obligations for importers and distributors
The regulation also places responsibilities on importers and distributors to ensure that products comply with cybersecurity requirements.
Importers must verify that manufacturers have complied with the regulation and ensure that products are labelled and documented correctly.
Distributors must ensure that products carry the 
CE marking
 and that information and instructions to the user have been supplied, before making them available on the market.
Products will bear the CE marking to indicate that they comply with the CRA requirements.
Non-EU manufacturers must comply with the regulation to access the EU market, potentially influencing global cybersecurity standards.
Enforcement
To ensure compliance, the regulation establishes a robust enforcement framework.
National market surveillance authorities will monitor compliance and carry out inspections.
Non-compliance can result in significant sanctions, which may include:
fines up to 
2.5 %
 of the manufacturer’s global annual turnover;
prohibiting or restricting the availability of a product;
ordering a product to be withdrawn or recalled.
Member State authorities will share information and coordinate enforcement measures.
FROM WHEN DOES THE REGULATION APPLY?
The regulation applies from 
11 December 2027
, with some exceptions:
reporting obligations concerning actively exploited vulnerabilities and severe incidents apply from 
11 September 2026
;
notification of conformity assessment bodies applies from 
11 June 2026
.
BACKGROUND
For further information, see:
Cyber Resilience Act
 (European Commission)
Cyber Resilience Act – Factsheet
 (European Commission)
The digital Europe programme
 (European Commission).
MAIN DOCUMENT
Regulation (EU) 
2024/2847
 of the European Parliament and of the Council of 
23 October 2024
 on horizontal cybersecurity requirements for products with digital elements and amending Regulations (EU) No 168/2013 and (EU) 2019/1020 and Directive (EU) 2020/1828 (Cyber Resilience Act) (OJ L, 2024/2847, 
20.11.2024
).
Successive amendments to Directive (EU) 2024/2847 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
RELATED DOCUMENTS
Regulation (EU) 
2024/1689
 of the European Parliament and of the Council of 
13 June 2024
 laying down harmonised rules on artificial intelligence and amending Regulations (EC) No 300/2008, (EU) No 167/2013, (EU) No 168/2013, (EU) 2018/858, (EU) 2018/1139 and (EU) 2019/2144 and Directives 2014/90/EU, (EU) 2016/797 and (EU) 2020/1828 (Artificial Intelligence Act) (OJ L, 2024/1689, 
12.7.2024
).
Directive (EU) 
2022/2555
 of the European Parliament and of the Council of 
14 December 2022
 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (OJ L 333, 
27.12.2022
, 
pp. 80–152
).
See 
consolidated version
.
Directive (EU) 
2020/1828
 of the European Parliament and of the Council of 
25 November 2020
 on representative actions for the protection of the collective interests of consumers and repealing Directive 2009/22/EC (OJ L 409, 
4.12.2020
, 
pp. 1–27
).
See 
consolidated version
.
Regulation (EU) 
2019/881
 of the European Parliament and of the Council of 
17 April 2019
 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) (OJ L 151, 
7.6.2019
, 
pp. 15–69
).
Regulation (EU) 
2019/1020
 of the European Parliament and of the Council of 
20 June 2019
 on market surveillance and compliance of products and amending Directive 2004/42/EC and Regulations (EC) No 765/2008 and (EU) No 305/2011 (OJ L 169, 
25.6.2019
, 
pp. 1–44
).
See 
consolidated version
.
Regulation (EU) 
2019/2144
 of the European Parliament and of the Council of 
27 November 2019
 on type-approval requirements for motor vehicles and their trailers, and systems, components and separate technical units intended for such vehicles, as regards their general safety and the protection of vehicle occupants and vulnerable road users, amending Regulation (EU) 2018/858 of the European Parliament and of the Council and repealing Regulations (EC) No 78/2009, (EC) No 79/2009 and (EC) No 661/2009 of the European Parliament and of the Council and Commission Regulations (EC) No 631/2009, (EU) No 406/2010, (EU) No 672/2010, (EU) No 1003/2010, (EU) No 1005/2010, (EU) No 1008/2010, (EU) No 1009/2010, (EU) No 19/2011, (EU) No 109/2011, (EU) No 458/2011, (EU) No 65/2012, (EU) No 130/2012, (EU) No 347/2012, (EU) No 351/2012, (EU) No 1230/2012 and (EU) 2015/166 (OJ L 325, 
16.12.2019
, 
pp. 1–40
).
See 
consolidated version
.
Regulation (EU) 
2018/1139
 of the European Parliament and of the Council of 
4 July 2018
 on common rules in the field of civil aviation and establishing a European Union Aviation Safety Agency, and amending Regulations (EC) No 2111/2005, (EC) No 1008/2008, (EU) No 996/2010, (EU) No 376/2014 and Directives 2014/30/EU and 2014/53/EU of the European Parliament and of the Council, and repealing Regulations (EC) No 552/2004 and (EC) No 216/2008 of the European Parliament and of the Council and Council Regulation (EEC) No 3922/91 (OJ L 212, 
22.8.2018
, 
pp. 1–122
).
See 
consolidated version
.
Regulation (EU) 
2017/745
 of the European Parliament and of the Council of 
5 April 2017
 on medical devices, amending Directive 2001/83/EC, Regulation (EC) No 178/2002 and Regulation (EC) No 1223/2009 and repealing Council Directives 90/385/EEC and 93/42/EEC (OJ L 117, 
5.5.2017
, 
pp. 1–175
).
See 
consolidated version
.
Regulation (EU) 
2017/746
 of the European Parliament and of the Council of 
5 April 2017
 on in vitro diagnostic medical devices and repealing Directive 98/79/EC and Commission Decision 2010/227/EU (OJ L 117, 
5.5.2017
, 
pp. 176–332
).
See 
consolidated version
.
Directive (EU) 
2016/943
 of the European Parliament and of the Council of 
8 June 2016
 on the protection of undisclosed know-how and business information (trade secrets) against their unlawful acquisition, use and disclosure (OJ L 157, 
15.6.2016
, 
pp. 1–18
).
Directive 
2014/90/EU
 of the European Parliament and of the Council of 
23 July 2014
 on marine equipment and repealing Council Directive 96/98/EC (OJ L 257, 
28.8.2014
, 
pp. 146–185
).
See 
consolidated version
.
Regulation (EU) No 
168/2013
 of the European Parliament and of the Council of 
15 January 2013
 on the approval and market surveillance of two- or three-wheel vehicles and quadricycles (OJ L 60, 
2.3.2013
, 
pp. 52–128
).
See 
consolidated version
.
last update 
18.2.2025

--- DANISH ---

Document:
Den Europæiske Unions 
Tidende
DA
L-udgaven
2024/2847
20.11.2024
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2024/2847
af 23. oktober 2024
om horisontale cybersikkerhedskrav til produkter med digitale elementer og om ændring af forordning (EU) nr. 168/2013 og (EU) 2019/1020 og direktiv (EU) 2020/1828 (forordningen om cyberrobusthed)
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
efter høring af Regionsudvalget,
efter den almindelige lovgivningsprocedure 
(
2
)
, og
ud fra følgende betragtninger:
(1)
Cybersikkerhed er en af de største udfordringer for Unionen. Antallet og mangfoldigheden af forbundne enheder vil stige eksponentielt i de kommende år. Cyberangreb udgør et område af offentlig interesse, eftersom de har en kritisk indvirkning ikke blot på Unionens økonomi, men også på demokratiet og forbrugernes sikkerhed og sundhed. Det er derfor nødvendigt at styrke Unionens tilgang til cybersikkerhed, tage cyberrobusthed op på EU-plan og forbedre det indre markeds funktion ved at fastlægge en ensartet retlig ramme for væsentlige cybersikkerhedskrav til produkter med digitale elementer, der bringes i omsætning på EU-markedet. Der bør tages fat på to store problemer, som øger omkostningerne for brugerne og samfundet: et lavt cybersikkerhedsniveau for produkter med digitale elementer, der afspejles i udbredte sårbarheder og utilstrækkelig og inkonsekvent levering af sikkerhedsopdateringer til håndtering heraf, og brugernes utilstrækkelige forståelse af og adgang til oplysninger, hvilket forhindrer dem i at vælge produkter med tilstrækkelige cybersikkerhedsegenskaber eller at anvende dem på en sikker måde.
(2)
Denne forordning har til formål at fastsætte rammebetingelserne for udvikling af sikre produkter med digitale elementer ved at sikre, at hardware- og softwareprodukter bringes i omsætning med færre sårbarheder, og at fabrikanterne tager sikkerheden alvorligt i hele et produkts livscyklus. Den har også til formål at skabe betingelser, der gør det muligt for brugerne at tage hensyn til cybersikkerhed, når de udvælger og anvender produkter med digitale elementer, f.eks. ved at øge gennemsigtigheden med hensyn til supportperioden for produkter med digitale elementer, der bringes i omsætning.
(3)
Relevant gældende EU-ret omfatter flere sæt horisontale regler, der omhandler visse cybersikkerhedsaspekter fra forskellige vinkler, herunder foranstaltninger til forbedring af sikkerheden i den digitale forsyningskæde. Eksisterende EU-ret vedrørende cybersikkerhed, herunder Europa-Parlamentets og Rådets forordning (EU) 2019/881 
(
3
)
 og Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 
(
4
)
, omfatter imidlertid ikke direkte obligatoriske krav til sikkerheden af produkter med digitale elementer.
(4)
Selv om eksisterende EU-ret finder anvendelse på visse produkter med digitale elementer, er der ingen horisontal EU-lovramme, der fastsætter omfattende cybersikkerhedskrav for alle produkter med digitale elementer. De forskellige retsakter og initiativer, der indtil videre er truffet på EU-plan og nationalt plan, løser kun delvist de identificerede cybersikkerhedsrelaterede problemer og risici og skaber et lovgivningsmæssigt kludetæppe i det indre marked, øger retsusikkerheden for både fabrikanter og brugere af disse produkter og pålægger virksomheder og organisationer unødvendige byrder forbundet med opfyldelsen af en række krav og forpligtelser for lignende produkttyper. Cybersikkerheden for disse produkter har en særlig stærk grænseoverskridende dimension, da produkter med digitale elementer fremstillet i én medlemsstat eller ét tredjeland ofte anvendes af organisationer og forbrugere i hele det indre marked. Dette gør det nødvendigt at regulere området på EU-plan for at sikre harmoniserede lovgivningsmæssige rammer og retssikkerhed for brugere, organisationer og virksomheder, herunder mikrovirksomheder og små og mellemstore virksomheder som defineret i bilaget til Kommissionens henstilling 2003/361/EF 
(
5
)
. Unionens lovgivningsmæssige landskab bør harmoniseres ved at indføre horisontale cybersikkerhedskrav for produkter med digitale elementer. Der bør desuden i hele Unionen sikres større retssikkerhed for erhvervsdrivende og brugere samt en bedre harmonisering af det indre marked og proportionalitet for mikrovirksomheder og små og mellemstore virksomheder, og dermed mere levedygtige vilkår for erhvervsdrivende, der ønsker at komme ind på dette marked.
(5)
For så vidt angår mikrovirksomheder og små og mellemstore virksomheder bør bestemmelserne i bilaget til henstilling 2003/361/EF anvendes i deres helhed ved fastlæggelsen af, hvilken kategori en virksomhed falder ind under. Ved beregningen af antal beskæftigede og finansielle tærskler til afgrænsning af virksomhedskategorierne, bør bestemmelserne i artikel 6 i bilaget til henstilling 2003/361/EF om fastsættelse af oplysninger om virksomheden under hensyntagen til specifikke typer virksomheder, f.eks. partnervirksomheder eller tilknyttede virksomheder, derfor også finde anvendelse.
(6)
Kommissionen bør yde vejledning for at bistå erhvervsdrivende, navnlig mikrovirksomheder og små og mellemstore virksomheder, med anvendelsen af denne forordning. Sådan vejledning bør bl.a. omfatte denne forordnings anvendelsesområde, navnlig fjerndatabehandling og dens konsekvenser for udviklere af gratis open source-software, anvendelsen af kriterier til at fastsætte supportperioder for produkter med digitale elementer, samspillet mellem denne forordning og anden EU-ret, og begrebet væsentlig ændring.
(7)
På EU-plan er der i forskellige program- og politikdokumenter såsom den fælles meddelelse fra Kommissionen og Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik af 16. december 2020 med titlen »EU's strategi for cybersikkerhed for det digitale årti«, Rådets konklusioner af 2. december 2020 om cybersikkerheden ved forbundet udstyr og af 23. maj 2022 om udviklingen af Den Europæiske Unions cyberposition og Europa-Parlamentets beslutning af 10. juni 2021 om EU's strategi for cybersikkerhed for det digitale årti 
(
6
)
, opfordret til specifikke EU-cybersikkerhedskrav til produkter med digitale elementer, og en række tredjelande har indført foranstaltninger til at løse dette problem på eget initiativ. I den endelige rapport fra konferencen om Europas fremtid opfordrede borgerne Unionen til at spille en stærkere rolle i bekæmpelsen af cybersikkerhedstrusler. Hvis Unionen skal spille en førende international rolle på området cybersikkerhed, er det vigtigt at fastlægge ambitiøse overordnede lovgivningsmæssige rammer.
(8)
For at øge det samlede cybersikkerhedsniveau for alle produkter med digitale elementer, der bringes i omsætning i det indre marked, er det nødvendigt at indføre objektive og teknologineutrale væsentlige cybersikkerhedskrav til disse produkter, der gælder horisontalt.
(9)
Under visse omstændigheder kan alle produkter med digitale elementer, der er integreret i eller forbundet med et større elektronisk informationssystem, fungere som angrebsvektor for ondsindede aktører. Som følge heraf kan selv hardware og software, der anses som mindre kritisk, lette den indledende kompromittering af en enhed eller et netværk, der gør det muligt for ondsindede aktører at få privilegeret adgang til et system eller bevæge sig sideværts på tværs af systemer. Fabrikanterne bør derfor sikre, at alle produkter med digitale elementer, der kan forbindes, designes og udvikles i overensstemmelse med de væsentlige cybersikkerhedskrav, der er fastsat i denne forordning. Denne forpligtelse vedrører både produkter, der kan forbindes fysisk via hardwaregrænseflader, og produkter, der er logisk forbundne, såsom via netstikdåser, rør, filer, applikationsprogrammeringsgrænseflader eller andre typer softwaregrænseflader. Da cybertrusler kan udbredes gennem forskellige produkter med digitale elementer, inden de når et bestemt mål, f.eks. ved at sammenkæde flere sårbarheder, bør fabrikanterne også sikre cybersikkerheden i de produkter, der kun er indirekte forbundet med andre enheder eller netværk.
(10)
Ved at fastsætte cybersikkerhedskrav til produkter med digitale elementer, der bringes i omsætning, er hensigten, at disse produkters cybersikkerhed bliver forbedret for både forbrugere og virksomheder. Disse krav vil desuden sikre, at der tages hensyn til cybersikkerheden hele vejen igennem forsyningskæderne, og dermed gøre endelige produkter med digitale elementer og deres komponenter mere sikre. Dette omfatter også krav til produkter med digitale elementer beregnet til sårbare forbrugere, f.eks. legetøj og systemer til overvågning af spædbørn, der bringes i omsætning. Forbrugerprodukter med digitale elementer, der i denne forordning kategoriseres som vigtige produkter med digitale elementer, udgør en højere cybersikkerhedsrisiko ved at udføre en funktion, der indebærer en betydelig risiko for negative virkninger med hensyn til dens intensitet og evne til at skade sådanne produkters brugeres sundhed, sikkerhed eller tryghed, og de bør underkastes en strengere overensstemmelsesvurderingsprocedure. Dette gælder for sådanne produkter som produkter til intelligente bygninger med sikkerhedsfunktioner, herunder intelligente dørlåse, systemer til overvågning af spædbørn og alarmsystemer, internetforbundet legetøj og personlig wearable-sundhedsteknologi. Derudover vil de strengere overensstemmelsesvurderingsprocedurer, som andre produkter med digitale elementer, der i denne forordning kategoriseres som vigtige eller kritiske produkter med digitale elementer, skal gennemgå, bidrage til at forebygge potentielle negative virkninger for forbrugerne af udnyttelsen af sårbarheder.
(11)
Formålet med denne forordning er at sikre et højt cybersikkerhedsniveau for produkter med digitale elementer og deres integrerede fjerndatabehandlingsløsninger. Sådanne fjerndatabehandlingsløsninger bør defineres som databehandling på afstand, til hvilken softwaren er designet og udviklet af eller på vegne af fabrikanten af det pågældende produkt med digitale elementer, og hvis fravær ville forhindre produktet med digitale elementer i at udføre en af sine funktioner. Denne tilgang sikrer, at sådanne produkter er tilstrækkeligt sikret i deres helhed af deres fabrikanter, uanset om data behandles eller lagres lokalt på brugerens enhed eller på afstand af fabrikanten. Samtidig er behandling eller lagring på afstand kun omfattet af denne forordnings anvendelsesområde, i det omfang det er nødvendigt, for at et produkt med digitale elementer kan udføre sine funktioner. En sådan behandling eller lagring på afstand omfatter den situation, hvor en mobilapplikation kræver adgang til en applikationsprogrammeringsgrænseflade eller til en database, der leveres ved hjælp af en tjeneste udviklet af fabrikanten. I så fald er tjenesten omfattet af denne forordnings anvendelsesområde som en fjerndatabehandlingsløsning. Kravene vedrørende fjerndatabehandlingsløsninger, der er omfattet af denne forordnings anvendelsesområde, omfatter derfor ikke tekniske, operationelle eller organisatoriske foranstaltninger, der har til formål at styre de risici, der er forbundet med sikkerheden i en fabrikants net- og informationssystemer som helhed.
(12)
Cloudløsninger udgør kun fjerndatabehandlingsløsninger i den i denne forordning anvendte betydning, hvis de opfylder definitionen i denne forordning. For eksempel bør cloudaktiverede funktioner, der stilles til rådighed af fabrikanter af enheder til intelligente bygninger, og som gør det muligt for brugerne at kontrollere enheden på afstand, være omfattet af denne forordnings anvendelsesområde. På den anden side er websteder, der ikke understøtter funktionaliteten af et produkt med digitale elementer, eller cloudtjenester, der er designet og udviklet uden for en fabrikants ansvar for et produkt med digitale elementer, ikke omfattet af denne forordnings anvendelsesområde. Direktiv (EU) 2022/2555 finder anvendelse på cloud computing-tjenester og modeller for cloudtjenester såsom software som en service (SaaS), platform som en service (PaaS) eller infrastruktur som en service (IaaS). Enheder, der udbyder cloud computing-tjenester i Unionen, og som er mellemstore virksomheder i henhold til artikel 2 i bilaget til henstilling 2003/361/EF, eller som overskrider de lofter for mellemstore virksomheder, der er fastsat i nævnte artikels stk. 1, er omfattet af nævnte direktivs anvendelsesområde.
(13)
I overensstemmelse med denne forordnings mål om at fjerne hindringerne for den frie bevægelighed for produkter med digitale elementer, må medlemsstaterne ikke hindre tilgængeliggørelse på markedet af produkter med digitale elementer, der opfylder kravene i denne forordning, for så vidt angår spørgsmål, der er omfattet af denne forordning. For så vidt angår spørgsmål, der harmoniseres ved denne forordning, kan medlemsstaterne derfor ikke pålægge yderligere cybersikkerhedskrav for tilgængeliggørelse på markedet af produkter med digitale elementer. Enhver offentlig eller privat enhed kan imidlertid fastsætte yderligere krav ud over dem, der er fastsat i denne forordning, for udbud eller anvendelse af produkter med digitale elementer til vedkommendes specifikke formål og kan derfor vælge at anvende produkter med digitale elementer, der opfylder strengere eller mere specifikke cybersikkerhedskrav end dem, der gælder for tilgængeliggørelse på markedet i henhold til denne forordning. Uden at det berører Europa-Parlamentets og Rådets direktiv 2014/24/EU 
(
7
)
 og 2014/25/EU 
(
8
)
, bør medlemsstaterne, når de indkøber produkter med digitale elementer, som skal opfylde de væsentlige cybersikkerhedskrav, der er fastsat i denne forordning, herunder dem, der vedrører håndtering af sårbarheder, sikre, at der tages hensyn til sådanne krav i udbudsprocessen, og at der også tages hensyn til fabrikanternes evne til effektivt at anvende cybersikkerhedsforanstaltninger og håndtere cybertrusler. Derudover fastsætter direktiv (EU) 2022/2555 foranstaltninger til styring af cybersikkerhedsrisici for væsentlige og vigtige enheder, der er omhandlet i nævnte direktivs artikel 3, som kunne indebære sikkerhedsforanstaltninger i forsyningskæden, der kræver, at sådanne enheder anvender produkter med digitale elementer, der opfylder strengere cybersikkerhedskrav end dem, der er fastsat i denne forordning. I overensstemmelse med direktiv (EU) 2022/2555 og med dets princip om minimumsharmonisering kan medlemsstaterne derfor pålægge yderligere cybersikkerhedskrav for væsentlige eller vigtige enheders brug af informations- og kommunikationsteknologiprodukter (IKT-produkter) i henhold til nævnte direktiv for at sikre et højere cybersikkerhedsniveau, forudsat at sådanne krav er i overensstemmelse med medlemsstaternes forpligtelser i henhold til EU-retten. Spørgsmål, der ikke er omfattet af denne forordning, kan omfatte ikketekniske faktorer vedrørende produkter med digitale elementer og fabrikanterne heraf. Medlemsstaterne kan derfor fastsætte nationale foranstaltninger, herunder restriktioner for produkter med digitale elementer eller leverandører af sådanne produkter, der tager hensyn til ikketekniske faktorer. Det er en forpligtelse, at nationale foranstaltninger vedrørende sådanne faktorer er i overensstemmelse med EU-retten.
(14)
Denne forordning bør ikke berøre medlemsstaternes ansvar for beskyttelse af den nationale sikkerhed i overensstemmelse med EU-retten. Medlemsstaterne bør kunne underlægge produkter med digitale elementer, der indkøbes eller anvendes til nationale sikkerheds- eller forsvarsformål, yderligere foranstaltninger, forudsat at sådanne foranstaltninger er i overensstemmelse med medlemsstaternes forpligtelser, der er fastsat i EU-retten.
(15)
Denne forordning finder kun anvendelse på erhvervsdrivende i forbindelse med produkter med digitale elementer, der gøres tilgængelige på markedet og dermed leveres med henblik på distribution eller anvendelse på EU-markedet som led i erhvervsvirksomhed. Levering som led i erhvervsvirksomhed kan være kendetegnet ikke blot ved opkrævning af en pris for et produkt med digitale elementer, men også ved opkrævning af en pris for tekniske supporttjenester, hvor dette ikke blot tjener til dækning af de reelle omkostninger, ved et formål om at tjene penge, f.eks. ved tilrådighedsstillelse af en softwareplatform, hvorigennem fabrikanten tjener penge på andre tjenester, ved at kræve behandling af personoplysninger til andre formål end blot at forbedre softwarens sikkerhed, kompatibilitet eller interoperabilitet som forudsætning for anvendelsen, eller ved at modtage donationer, der overstiger de omkostninger, der er forbundet med design, udvikling og levering af et produkt med digitale elementer. Modtagelse af donationer uden gevinst for øje bør ikke anses som værende erhvervsvirksomhed.
(16)
Produkter med digitale elementer, der leveres som en del af leveringen af en tjeneste, for hvilken der opkræves et gebyr udelukkende for at dække de faktiske omkostninger, der er direkte forbundet med driften af denne tjeneste, således som det kan være tilfældet for visse produkter med digitale elementer, der leveres af offentlige forvaltningsenheder, bør af disse grunde ikke i sig selv anses for at være erhvervsvirksomhed for så vidt angår denne forordning. Derudover bør produkter med digitale elementer, som udvikles eller ændres af en offentlig forvaltningsenhed udelukkende til eget brug, ikke anses for at være gjort tilgængelige på markedet i den i denne forordning anvendte betydning.
(17)
Software og data, der deles åbent, og hvor brugerne frit kan få adgang til, bruge, ændre og videredistribuere dem eller ændrede versioner heraf, kan bidrage til forskning og innovation på markedet. For at fremme udviklingen og udbredelsen af gratis open source-software, navnlig af mikrovirksomheder og små og mellemstore virksomheder, herunder nyetablerede virksomheder, enkeltpersoner, nonprofitorganisationer og akademiske forskningsorganisationer, bør der ved anvendelsen af denne forordning på produkter med digitale elementer, der kan betegnes som gratis open source-software, der leveres med henblik på distribution eller anvendelse som led i erhvervsvirksomhed, tages hensyn til, at der findes forskellige udviklingsmodeller for software, der distribueres og udvikles under gratis open source software-licenser.
(18)
Ved gratis open source-software forstås software, hvis kildekode deles åbent, og hvis licensering giver alle rettigheder til, at den kan deles åbent og er frit tilgængelig, anvendelig, redigerbar og redistribuerbar. Gratis open source-software udvikles, opdateres og distribueres åbent, herunder via onlineplatforme. For så vidt angår erhvervsdrivende, der er omfattet af denne forordnings anvendelsesområde, bør kun gratis open source-software, der stilles til rådighed på markedet og derfor leveres med henblik på distribution eller anvendelse som led i erhvervsvirksomhed, være omfattet af denne forordnings anvendelsesområde. De omstændigheder, hvorunder produktet er blevet udviklet, eller hvordan udviklingen er blevet finansieret, bør derfor ikke i sig selv tages i betragtning ved fastlæggelsen af den pågældende aktivitets kommercielle eller ikkekommercielle karakter. Mere specifikt bør levering af produkter med digitale elementer, der kan betegnes som gratis open source-software, som fabrikanterne ikke tjener penge på, ikke anses som værende erhvervsvirksomhed for så vidt angår denne forordning og i forhold til de erhvervsdrivende, der er underlagt dens anvendelsesområde, for at sikre, at der skelnes klart mellem udviklings- og forsyningsfaserne. Desuden bør levering af produkter med digitale elementer, der kan betegnes som gratis open source software-komponenter, og som er beregnet til, at andre fabrikanter kan integrere dem i deres egne produkter med digitale elementer, kun anses som at være tilgængeliggørelse på markedet, hvis den oprindelige fabrikant tjener penge på komponenten. F.eks. bør den blotte omstændighed, at et open source software-produkt med digitale elementer modtager finansiel støtte fra fabrikanter, eller at fabrikanterne bidrager til udviklingen af et sådant produkt, ikke i sig selv være afgørende for, at der er tale om erhvervsvirksomhed. Desuden bør den blotte tilstedeværelse af regelmæssige udgivelser ikke i sig selv føre til den konklusion, at et produkt med digitale elementer leveres som led i erhvervsvirksomhed. Endelig bør nonprofitorganisationers udvikling af produkter med digitale elementer, der kan betegnes som gratis open source-software, med henblik på denne forordning ikke anses som værende erhvervsvirksomhed, forudsat at organisationen er oprettet på en sådan måde, at det sikres, at al indtjening efter fradrag af omkostninger anvendes til at nå almennyttige mål. Denne forordning finder ikke anvendelse på fysiske eller juridiske personer, der bidrager med kildekode til produkter med digitale elementer, der kan betegnes som gratis open source-software, som ikke er deres ansvar.
(19)
I betragtning af hvilken betydning mange produkter med digitale elementer, der kan betegnes som gratis open source-software, og som offentliggøres, men ikke gøres tilgængelige på markedet i den i denne forordning anvendte betydning, spiller for cybersikkerheden, bør juridiske personer, der på vedvarende basis yder støtte til udvikling af sådanne produkter, der er beregnet til kommercielle aktiviteter, og som spiller en vigtig rolle med hensyn til at sikre disse produkters levedygtighed (open source software-forvaltere), være omfattet af en lempelig og skræddersyet reguleringsordning. Open source software-forvaltere omfatter visse fonde samt enheder, der udvikler og offentliggør gratis open source-software i en forretningssammenhæng, herunder almennyttige enheder. Reguleringsordningen bør tage hensyn til deres særlige karakter og forenelighed med den type forpligtelser, der pålægges. Den bør kun omfatte produkter med digitale elementer, der kan betegnes som gratis open source-software, såfremt disse i sidste ende er beregnet til erhvervsvirksomhed såsom integration i kommercielle tjenester eller i produkter med digitale elementer, som der tjenes penge på. For så vidt angår denne reguleringsordning omfatter en hensigt om integration i produkter med digitale elementer, som der tjenes penge på, tilfælde, hvor fabrikanter, der integrerer en komponent i deres egne produkter med digitale elementer, enten bidrager regelmæssigt til udviklingen af den pågældende komponent eller yder regelmæssig finansiel bistand for at sikre kontinuiteten af et softwareprodukt. Vedvarende støtte til udvikling af et produkt med digitale elementer omfatter, men er ikke begrænset til, hosting og forvaltning af samarbejdsplatforme for softwareudvikling, hosting af kildekode eller software, styring eller forvaltning af produkter med digitale elementer, der kan betegnes som gratis open source-software, samt styring af udviklingen af sådanne produkter. Eftersom den lempelige og skræddersyede reguleringsordning ikke pålægger dem, der optræder som open source software-forvaltere, de samme forpligtelser som dem, der optræder som fabrikanter i henhold til denne forordning, bør de ikke have lov til at anbringe CE-mærkningen på produkter med digitale elementer, hvis udvikling de yder støtte til.
(20)
Den blotte handling at hoste free and open source software i åbne databaser, herunder via pakkestyringssystemer eller på samarbejdsplatforme, udgør ikke i sig selv tilgængeliggørelse på markedet af et produkt med digitale elementer. Leverandører af sådanne tjenester bør kun anses som værende distributører, hvis de gør den pågældende software tilgængelig på markedet og dermed leverer den med henblik på distribution eller anvendelse på EU-markedet som led i erhvervsvirksomhed.
(21)
For at støtte og lette due diligence hos fabrikanter, der integrerer gratis open source software-komponenter, der ikke er omfattet af de væsentlige cybersikkerhedskrav, der er fastsat i denne forordning, i deres produkter med digitale elementer, bør Kommissionen kunne oprette frivillige sikkerhedscertificeringsprogrammer, enten ved en delegeret retsakt, der supplerer denne forordning, eller ved at anmode om en europæisk cybersikkerhedscertificeringsordning i henhold til artikel 48 i forordning (EU) 2019/881, som tager hensyn til de særlige forhold, der gør sig gældende for gratis open source software-udviklingsmodeller. Sikkerhedscertificeringsprogrammerne bør udformes på en sådan måde, at ikke blot fysiske eller juridiske personer, der udvikler eller bidrager til udviklingen af et produkt med digitale elementer, der kan betegnes som gratis open source-software, kan iværksætte eller finansiere en sikkerhedsattestering, men også tredjeparter såsom fabrikanter, der integrerer sådanne produkter i deres egne produkter med digitale elementer, brugere eller Unionens og de nationale offentlige forvaltninger.
(22)
I lyset af denne forordnings mål vedrørende offentlig cybersikkerhed og for at forbedre medlemsstaternes situationsbevidsthed med hensyn til Unionens afhængighed af softwarekomponenter og navnlig af potentielle gratis open source software-komponenter bør en særlig administrativ samarbejdsgruppe (ADCO), der nedsættes ved denne forordning, kunne beslutte i fællesskab at foretage en EU-afhængighedsvurdering. Markedsovervågningsmyndighederne bør kunne anmode fabrikanter af kategorier af produkter med digitale elementer, der er opstillet af ADCO, om at indsende de softwarekomponentlister, som de har genereret i henhold til denne forordning. For at beskytte fortroligheden af softwarestyklisterne bør markedsovervågningsmyndighederne indsende relevante oplysninger om afhængighedsforhold til ADCO på en anonymiseret og aggregeret måde.
(23)
Effektiviteten af gennemførelsen af denne forordning vil også afhænge af tilgængeligheden af tilstrækkelige cybersikkerhedsfærdigheder. På EU-plan anerkendte forskellige program- og politikdokumenter såsom Kommissionens meddelelse af 18. april 2023 med titlen »Opbygning af cybersikkerhedskompetencer skal styrke EU's konkurrenceevne, vækst og modstandsdygtighed« og Rådets konklusioner af 22. maj 2023 om EU's cyberforsvarspolitik manglen på cybersikkerhedskompetencer i Unionen og behovet for at prioritere håndteringen af sådanne udfordringer i både den offentlige og den private sektor. Med henblik på at sikre en effektiv gennemførelse af denne forordning bør medlemsstaterne sikre, at der er tilstrækkelige ressourcer til rådighed til, at markedsovervågningsmyndighederne og overensstemmelsesvurderingsorganerne kan udføre deres opgaver som fastsat i denne forordning. Disse foranstaltninger bør øge arbejdskraftens mobilitet på cybersikkerhedsområdet og de dermed forbundne karriereveje. De bør også bidrage til at gøre cybersikkerhedsarbejdsstyrken mere modstandsdygtig og inklusiv, også med hensyn til køn. Medlemsstaterne bør derfor træffe foranstaltninger til at sikre, at disse opgaver udføres af tilstrækkeligt uddannede fagfolk med de nødvendige cybersikkerhedskompetencer. Fabrikanterne bør ligeledes sikre, at deres personale har de nødvendige færdigheder til at opfylde deres forpligtelser som fastlagt i denne forordning. Medlemsstaterne og Kommissionen bør i overensstemmelse med deres prærogativer og kompetencer og de specifikke opgaver, som denne forordning pålægger dem, træffe foranstaltninger til at støtte fabrikanter og navnlig mikrovirksomheder og små og mellemstore virksomheder, herunder nyetablerede virksomheder, også på områder såsom kompetenceudvikling, med henblik på at opfylde deres forpligtelser som fastlagt i denne forordning. Da direktiv (EU) 2022/2555 desuden kræver, at medlemsstaterne vedtager politikker, der fremmer og udvikler uddannelse i cybersikkerhed og cybersikkerhedsfærdigheder som led i deres nationale cybersikkerhedsstrategier, kan medlemsstaterne, når de vedtager sådanne strategier, også overveje at imødekomme de behov for cybersikkerhedsfærdigheder, der følger af denne forordning, herunder dem, der vedrører omskoling og opkvalificering.
(24)
Et sikkert internet er uundværligt for kritiske infrastrukturers funktion og for samfundet som helhed. Direktiv (EU) 2022/2555 har til formål at sikre et højt cybersikkerhedsniveau for tjenester, der leveres af væsentlige og vigtige enheder som omhandlet i nævnte direktivs artikel 3, herunder udbydere af digital infrastruktur, der understøtter centrale funktioner i det åbne internet og sikrer internetadgang og leverer internettjenester. Det er derfor vigtigt, at produkter med digitale elementer, der er nødvendige for, at udbydere af digital infrastruktur kan sikre, at internettet fungerer, udvikles på en sikker måde, og at de overholder veletablerede standarder for internetsikkerhed. Denne forordning, som finder anvendelse på alle hardware- og softwareprodukter, der kan forbindes, har også til formål at gøre det lettere for udbydere af digital infrastruktur at overholde kravene i forsyningskæden i henhold til direktiv (EU) 2022/2555 ved at sikre, at de produkter med digitale elementer, som de anvender i forbindelse med leveringen af deres tjenester, udvikles på en sikker måde, og at de har adgang til rettidige sikkerhedsopdateringer for sådanne produkter.
(25)
Europa-Parlamentets og Rådets forordning (EU) 2017/745 
(
9
)
 fastsætter regler om medicinsk udstyr, og Europa-Parlamentets og Rådets forordning (EU) 2017/746 
(
10
)
 fastsætter regler om medicinsk udstyr til in vitro-diagnostik. Nævnte forordninger omhandler cybersikkerhedsrisici og følger særlige tilgange, der også behandles i nærværende forordning. Mere specifikt fastsætter forordning (EU) 2017/745 og (EU) 2017/746 væsentlige krav til medicinsk udstyr, der fungerer via et elektronisk system, eller som selv er software. Visse former for ikkeindlejret software og livscyklustilgangen behandles også i nævnte forordninger. Disse krav giver fabrikanterne mandat til at udvikle og bygge deres produkter ved at anvende risikostyringsprincipper og ved at fastsætte krav vedrørende IT-sikkerhedsforanstaltninger samt tilsvarende overensstemmelsesvurderingsprocedurer. Derudover blev der i december 2019 indført specifik vejledning om cybersikkerhed for medicinsk udstyr, som giver fabrikanter af medicinsk udstyr, herunder udstyr til in vitro-diagnostik, vejledning i, hvordan de opfylder alle de relevante væsentlige krav i bilag I til nævnte forordninger for så vidt angår cybersikkerhed. Produkter med digitale elementer, som en af nævnte forordninger finder anvendelse på, bør derfor ikke være omfattet af nærværende forordning.
(26)
Produkter med digitale elementer, der udelukkende udvikles eller ændres til nationale sikkerheds- eller forsvarsformål, eller produkter, som er specifikt designet til behandling af fortrolige oplysninger, er ikke omfattet af denne forordnings anvendelsesområde. Medlemsstaterne opfordres til at sikre det samme eller et højere niveau af beskyttelse af disse produkter som af de produkter, der er omfattet af denne forordnings anvendelsesområde.
(27)
Ved Europa-Parlamentets og Rådets forordning (EU) 2019/2144 
(
11
)
 fastsættes krav til typegodkendelse af køretøjer og deres systemer og komponenter, idet der indføres en række cybersikkerhedskrav, herunder vedrørende drift af et certificeret cybersikkerhedsstyringssystem og softwareopdateringer, der dækker organisationers politikker og processer for styring af cybersikkerhedsrisici i hele livscyklussen for køretøjer, udstyr og tjenester under overholdelse af de gældende FN-regulativer om tekniske specifikationer og cybersikkerhed, navnlig FN-regulativ nr. 155 — Ensartede forskrifter for godkendelse af køretøjer for så vidt angår cybersikkerhed og systemer til forvaltning af cybersikkerhed 
(
12
)
, og der indføres specifikke overensstemmelsesvurderingsprocedurer. På luftfartsområdet er hovedformålet med Europa-Parlamentets og Rådets forordning (EU) 2018/1139 
(
13
)
 at fastlægge og opretholde et højt og ensartet sikkerhedsniveau for den civile luftfart i Unionen. Den skaber en ramme for væsentlige krav til luftdygtighed for luftfartøjsmateriel, dele og udstyr, herunder software, der omfatter forpligtelser til at beskytte mod trusler mod informationssikkerheden. Certificeringsprocessen i henhold til forordning (EU) 2018/1139 sikrer det samme beskyttelsesniveau som det, der er fastsat i nærværende forordning. Produkter med digitale elementer, som forordning (EU) 2019/2144 finder anvendelse på, og produkter, der er certificeret i overensstemmelse med forordning (EU) 2018/1139, bør derfor ikke være omfattet af de væsentlige cybersikkerhedskrav og overensstemmelsesvurderingsprocedurerne i nærværende forordning.
(28)
I denne forordning fastsættes horisontale cybersikkerhedsregler, som ikke er specifikke for sektorer eller visse produkter med digitale elementer. Der kan imidlertid indføres sektor- eller produktspecifikke EU-forskrifter, der fastlægger krav vedrørende alle eller nogle af de risici, der er omfattet af de væsentlige cybersikkerhedskrav i denne forordning. I sådanne tilfælde kan anvendelsen af denne forordning på produkter med digitale elementer, som er omfattet af andre EU-forskrifter, der fastlægger krav vedrørende alle eller nogle af de risici, som er omfattet af de væsentlige cybersikkerhedskrav i denne forordning, begrænses eller udelukkes, hvor en sådan begrænsning eller udelukkelse er i overensstemmelse med den overordnede lovgivningsmæssige ramme, der gælder for disse produkter, og hvor de sektorspecifikke regler sikrer mindst samme beskyttelsesniveau som det, der er fastsat i denne forordning. Kommissionen bør tillægges beføjelser til at vedtage delegerede retsakter for at supplere denne forordning ved at identificere sådanne produkter og forskrifter. For eksisterende EU-ret, hvor sådanne begrænsninger eller udelukkelser bør finde anvendelse, indeholder denne forordning specifikke bestemmelser for at præcisere dens sammenhæng med den pågældende EU-ret.
(29)
For at sikre, at produkter med digitale elementer, der gøres tilgængelige på markedet, kan repareres effektivt, og at deres holdbarhed kan forlænges, bør der fastsættes en undtagelse for reservedele. Denne undtagelse bør omfatte både reservedele, der har til formål at reparere ældre produkter, som er gjort tilgængelige før anvendelsesdatoen for denne forordning, og for reservedele, der allerede har gennemgået en overensstemmelsesvurderingsprocedure i henhold til denne forordning.
(30)
I Kommissionens delegerede forordning (EU) 2022/30 
(
14
)
 præciseres det, at en række væsentlige krav i artikel 3, stk. 3, litra d), e) og f), i Europa-Parlamentets og Rådets direktiv 2014/53/EU 
(
15
)
 vedrørende skade på nettet og misbrug af netressourcer, personoplysninger og privatlivets fred samt svig finder anvendelse på visse typer radioudstyr. I Kommissionens gennemførelsesafgørelse C(2022)5637 af 5. august 2022 om en standardiseringsanmodning til Den Europæiske Standardiseringsorganisation og Den Europæiske Komité for Elektroteknisk Standardisering fastsættes krav til udviklingen af specifikke standarder med nærmere angivelse af, hvordan disse væsentlige krav bør håndteres. De væsentlige cybersikkerhedskrav i nærværende forordning omfatter alle elementerne i de væsentlige krav, der er omhandlet i artikel 3, stk. 3, litra d), e) og f), i direktiv 2014/53/EU. Endvidere er de væsentlige cybersikkerhedskrav i nærværende forordning i overensstemmelse med målene for kravene til specifikke standarder, der er omfattet af denne standardiseringsanmodning. Når Kommissionen ophæver eller ændrer delegeret forordning (EU) 2022/30 med den konsekvens, at den ophører med at finde anvendelse på visse produkter, der er omfattet af nærværende forordning, bør Kommissionen og de europæiske standardiseringsorganisationer derfor tage hensyn til det standardiseringsarbejde, der er udført i forbindelse med gennemførelsesafgørelse C(2022)5637, ved udarbejdelsen og udviklingen af harmoniserede standarder for at lette gennemførelsen af nærværende forordning. I overgangsperioden for anvendelsen af nærværende forordning bør Kommissionen yde vejledning til fabrikanter omfattet af nærværende forordning, som også er omfattet af delegeret forordning (EU) 2022/30, for at lette påvisningen af overensstemmelse med de to forordninger.
(31)
Europa-Parlamentets og Rådets direktiv (EU) 2024/2853 
(
16
)
 supplerer denne forordning. Nævnte direktiv fastsætter regler om produktansvar, således at skadelidte kan kræve erstatning for skade forårsaget af defekte produkter. Det fastsætter princippet om, at fabrikanten af et produkt er ansvarlig for skader forårsaget af produktets manglende sikkerhed uanset fejl (»objektivt ansvar«). Hvis en sådan mangel på sikkerhed består i manglende sikkerhedsopdateringer, efter at produktet er bragt i omsætning, og dette forårsager skade, kan fabrikantens ansvar udløses. Fabrikanternes forpligtelser vedrørende levering af sådanne sikkerhedsopdateringer bør fastsættes i denne forordning.
(32)
Denne forordning bør ikke berøre Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
17
)
, herunder bestemmelser vedrørende fastlæggelse af certificeringsmekanismer for databeskyttelse samt databeskyttelsesmærkninger og -mærker med henblik på at påvise, at dataansvarliges og databehandleres behandlingsaktiviteter overholder nævnte forordning. Sådanne aktiviteter kan indlejres i et produkt med digitale elementer. Databeskyttelse gennem design og gennem standardindstillinger samt cybersikkerhed generelt er centrale elementer i forordning (EU) 2016/679. Ved at beskytte forbrugere og organisationer mod cybersikkerhedsrisici skal de væsentlige cybersikkerhedskrav i nærværende forordning også bidrage til at forbedre beskyttelsen af personoplysninger og privatlivets fred for enkeltpersoner. Synergier med hensyn til både standardisering og certificering af cybersikkerhedsaspekter bør overvejes inden for rammerne af samarbejdet mellem Kommissionen, de europæiske standardiseringsorganisationer, Den Europæiske Unions Agentur for Cybersikkerhed (ENISA), Det Europæiske Databeskyttelsesråd, der er oprettet ved forordning (EU) 2016/679, og de nationale databeskyttelsestilsynsmyndigheder. Der bør også skabes synergier mellem nærværende forordning og EU-databeskyttelsesretten inden for markedsovervågning og håndhævelse. Med henblik herpå bør nationale markedsovervågningsmyndigheder udpeget i henhold til nærværende forordning samarbejde med myndigheder, der fører tilsyn med anvendelsen af EU-databeskyttelsesretten. Sidstnævnte myndigheder bør også have adgang til oplysninger, der er relevante for udførelsen af deres opgaver.
(33)
I det omfang deres produkter er omfattet af denne forordnings anvendelsesområde, bør leverandører af europæiske digitale identitetstegnebøger som omhandlet i artikel 5a, stk. 2, i Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 
(
18
)
 opfylde både de horisontale væsentlige cybersikkerhedskrav, der er fastsat i nærværende forordning, og de specifikke sikkerhedskrav, der er fastsat i artikel 5a i forordning (EU) nr. 910/2014. For at lette overholdelsen bør udbydere af tegnebøger kunne påvise, at europæiske digitale identitetstegnebøger opfylder de krav, der er fastsat henholdsvis i nærværende forordning og i forordning (EU) nr. 910/2014, ved at certificere deres produkter i henhold til en europæisk cybersikkerhedscertificeringsordning, der er oprettet i henhold til forordning (EU) 2019/881, og for hvilken Kommissionen har angivet ved hjælp af delegerede retsakter, at den kan danne grundlag for formodning om overensstemmelse med nærværende forordning, såfremt attesten eller dele heraf dækker disse krav.
(34)
Når fabrikanter integrerer komponenter fra tredjeparter i produkter med digitale elementer under design- og udviklingsfasen, bør de for at sikre, at produkterne designes, udvikles og produceres i overensstemmelse med de væsentlige cybersikkerhedskrav i denne forordning, foretage due diligence med hensyn til disse komponenter, herunder gratis open-source software-komponenter, der ikke er gjort tilgængelige på markedet. Det passende niveau af due diligence afhænger af en given komponents art og det niveau af cybersikkerhedsrisiko, som en given komponent anses for at have, og bør med dette for øje tage en eller flere af følgende tiltag i betragtning: kontrol af, at fabrikanten af en komponent har påvist overensstemmelse med denne forordning, herunder ved at kontrollere, om komponenten allerede er forsynet med CE-mærkning, i det omfang dette er relevant; kontrol af, at en komponent modtager regelmæssige sikkerhedsopdateringer såsom ved at kontrollere dens sikkerhedshistorik; kontrol af, at en komponent er fri for sårbarheder registreret i den europæiske sårbarhedsdatabase, der er oprettet i henhold til artikel 12, stk. 2, i direktiv (EU) 2022/2555, eller andre offentligt tilgængelige sårbarhedsdatabaser; eller gennemførelse af yderligere sikkerhedsafprøvninger. De forpligtelser vedrørende sårbarhedshåndtering, der er fastsat i denne forordning, og som fabrikanterne skal overholde, når de bringer et produkt med digitale elementer i omsætning og i supportperioden, finder anvendelse på produkter med digitale elementer i deres helhed, herunder alle integrerede komponenter. Hvor fabrikanten af produktet i forbindelse med foretagelsen af due diligence identificerer en sårbarhed i en komponent, herunder i en gratis open source-komponent, bør fabrikanten underrette den person eller enhed, der udvikler eller vedligeholder komponenten, tage hånd om og afhjælpe sårbarheden og, i givet fald, stille den anvendte sikkerhedsløsning til rådighed for personen eller enheden.
(35)
Umiddelbart efter overgangsperioden for anvendelsen af denne forordning er en fabrikant af et produkt med digitale elementer, der integrerer en eller flere komponenter fra tredjeparter, som også er omfattet af denne forordning, muligvis ikke i stand til som led i sin due diligence-forpligtelse at kontrollere, at fabrikanterne af disse komponenter har påvist overensstemmelse med denne forordning, ved f.eks. at kontrollere, om komponenterne allerede er forsynet med CE-mærkning. Dette kan være tilfældet, hvis komponenterne er blevet integreret, før denne forordning finder anvendelse på fabrikanterne af de pågældende komponenter. I så fald bør en fabrikant, der integrerer sådanne komponenter, foretage due diligence ved hjælp af andre midler.
(36)
Produkter med digitale elementer bør være forsynet med CE-mærkning for synligt, læseligt og uudsletteligt at vise, at de er i overensstemmelse med denne forordning, således at de kan bevæge sig frit på det indre marked. Medlemsstaterne bør ikke skabe uberettigede hindringer for omsætning af produkter med digitale elementer, der opfylder kravene i denne forordning, og som er forsynet med CE-mærkning. Endvidere bør medlemsstaterne ikke forhindre, at der på messer og udstillinger samt ved demonstrationer eller lignende begivenheder præsenteres eller anvendes et produkt med digitale elementer, der ikke er i overensstemmelse med denne forordning, herunder prototyper heraf, forudsat at produktet præsenteres med et synlig skilt, hvoraf det tydeligt fremgår, at det ikke overholder denne forordning og ikke må gøres tilgængeligt på markedet, før det gør det.
(37)
For at sikre, at fabrikanterne kan frigive software til afprøvningsformål, inden deres produkter med digitale elementer underkastes en overensstemmelsesvurdering, bør medlemsstaterne ikke forhindre, at ufærdig software såsom alfaversioner, betaversioner eller versioner, som er klar til frigivelse, stilles til rådighed, forudsat at den ufærdige software kun stilles til rådighed i det tidsrum, der er nødvendigt for at afprøve den og indsamle feedback. Fabrikanterne bør sikre, at software, der stilles til rådighed under disse betingelser, først frigives efter en risikovurdering, og at den i videst muligt omfang opfylder de sikkerhedskrav vedrørende egenskaberne ved produkter med digitale elementer, der er fastsat i denne forordning. Fabrikanterne bør også gennemføre kravene til håndtering af sårbarheder i videst muligt omfang. Fabrikanterne bør ikke tvinge brugerne til at opgradere til versioner, der kun frigives til afprøvningsformål.
(38)
For at sikre, at produkter med digitale elementer, når de bringes i omsætning, ikke indebærer cybersikkerhedsrisici for personer og organisationer, bør der fastsættes væsentlige cybersikkerhedskrav til sådanne produkter. Disse væsentlige cybersikkerhedskrav, herunder krav til håndtering af sårbarheder, finder anvendelse på hvert enkelt produkt med digitale elementer, når det bringes i omsætning, uanset om produktet med digitale elementer fremstilles som en individuel enhed eller i serier. For en produkttype bør hvert enkelt produkt med digitale elementer f.eks. have modtaget alle sikkerhedsrettelser eller opdateringer, der er tilgængelige til at håndtere relevante sikkerhedsproblemer, når den bringes i omsætning. Hvor produkter med digitale elementer efterfølgende ændres fysisk eller digitalt på en måde, som fabrikanten ikke har forudset i den indledende risikovurdering, og som kan indebære, at de ikke længere opfylder de relevante væsentlige cybersikkerhedskrav, bør ændringen anses som værende væsentlig. reparationer kunne f.eks. sammenlignes med vedligeholdelse, såfremt de ikke ændrer et produkt med digitale elementer, der allerede er bragt i omsætning, på en sådan måde, at det påvirker overholdelsen af de gældende krav, eller såfremt det tilsigtede formål, som produktet vurderes med henblik på, kan ændres.
(39)
Som det er tilfældet med fysiske reparationer eller ændringer, bør et produkt med digitale elementer anses for at være væsentligt ændret ved en softwareændring, hvor softwareopdateringen ændrer produktets tilsigtede formål, og disse ændringer ikke var forudset af fabrikanten i den indledende risikovurdering, eller hvor farens art har ændret sig, eller cybersikkerhedsrisikoniveauet er forøget som følge af softwareopdateringen, og den opdaterede version af produktet gøres tilgængeligt på markedet. Hvor en sikkerhedsopdatering, der er udformet med henblik på at mindske cybersikkerhedsrisikoen ved et produkt med digitale elementer, ikke ændrer det tilsigtede formål med et produkt med digitale elementer, anses den ikke som værende en væsentlig ændring. Dette omfatter normalt situationer, hvor en sikkerhedsopdatering kun medfører mindre justeringer af kildekoden. Dette kunne f.eks. være tilfældet, hvor en sikkerhedsopdatering retter op på en kendt sårbarhed, herunder ved at ændre funktioner eller ydeevne for et produkt med digitale elementer med det ene formål at mindske cybersikkerhedsrisikoniveauet. På samme måde bør en mindre funktionalitetsopdatering såsom en visuelle forbedring eller tilføjelse af nye piktogrammer eller sprog til brugergrænsefladen generelt ikke anses som værende en væsentlig ændring. Hvis en funktionsopdatering derimod ændrer de oprindelige tilsigtede funktioner eller typen eller ydeevnen af et produkt med digitale elementer og opfylder ovennævnte kriterier, bør den anses som værende en væsentlig ændring, da tilføjelsen af nye funktioner typisk fører til en bredere angrebsflade og dermed øger cybersikkerhedsrisikoen. Dette kunne f.eks. være tilfældet, hvis der tilføjes et nyt inputelement til en applikation, der kræver, at fabrikanten sikrer tilstrækkelig inputvalidering. Ved vurderingen af, hvorvidt en funktionsopdatering anses som værende en væsentlig ændring, er det ikke relevant, om den leveres som en separat opdatering eller i kombination med en sikkerhedsopdatering. Kommissionen bør yde vejledning for, hvordan det fastslås, hvad der udgør en væsentlig ændring.
(40)
Under hensyntagen til softwareudviklings iterative karakter bør fabrikanter, der har bragt efterfølgende versioner af et softwareprodukt i omsætning som følge af en efterfølgende væsentlig ændring af det pågældende produkt, kun skulle være i stand til at levere sikkerhedsopdateringer i supportperioden for den version af softwareproduktet, som de senest har bragt i omsætning. De bør kun skulle være i stand til at gøre dette, hvis brugerne af de relevante tidligere produktversioner har gratis adgang til den produktversion, der senest er bragt i omsætning, og ikke pådrager sig yderligere omkostninger til tilpasning af det hardware- eller softwaremiljø, som de anvender produktet i. Dette kunne f.eks. være tilfældet, hvor en opgradering af et desktopoperativsystem ikke kræver ny hardware såsom en hurtigere central databehandlingsenhed eller mere hukommelse. Ikke desto mindre bør fabrikanten i supportperioden fortsat overholde andre krav til sårbarhedshåndtering såsom at have en politik for koordineret offentliggørelse af sårbarheder eller foranstaltninger på plads til at lette udvekslingen af oplysninger om potentielle sårbarheder for alle efterfølgende væsentligt ændrede versioner af det softwareprodukt, der bringes i omsætning. Fabrikanter bør kun skulle være i stand til at levere mindre sikkerheds- eller funktionalitetsopdateringer, der ikke udgør en væsentlig ændring, til den seneste version eller underversion af et softwareprodukt, der ikke er blevet væsentligt ændret. Hvor et hardwareprodukt såsom en smartphone ikke er kompatibelt med den seneste version af operativsystemet, som det oprindeligt blev leveret sammen med, bør fabrikanten samtidig fortsat levere sikkerhedsopdateringer som minimum til den seneste kompatible version af operativsystemet i supportperioden.
(41)
I overensstemmelse med det almindeligt anerkendte begreb væsentlig ændring for produkter, der er reguleret ved EU-harmoniseringslovgivning, er det hensigtsmæssigt, at det verificeres, om et produkt med digitale elementer overholder kravene, og i givet fald underkastes en ny overensstemmelsesvurdering, hvor der sker en væsentlig ændring, som kan påvirke produktets overensstemmelse med denne forordning, eller når produktets tilsigtede formål ændres. Hvis fabrikanten foretager en overensstemmelsesvurdering, der involverer en tredjepart, bør tredjeparten i givet fald underrettes om en ændring, der kunne føre til en væsentlig ændring.
(42)
Hvor et produkt med digitale elementer er genstand for »istandsættelse«, »vedligeholdelse« og »reparation« som defineret i artikel 2, nr. 18), 19) og 20), i Europa-Parlamentets og Rådets forordning (EU) 2024/1781 
(
19
)
, fører dette ikke nødvendigvis til en væsentlig ændring af produktet, f.eks. hvis det tilsigtede formål og den tilsigtede funktionalitet ikke ændres, og risikoniveauet ikke påvirkes. En fabrikants opgradering af et produkt med digitale elementer kan imidlertid føre til ændringer i det pågældende produkts design og udvikling og kan derfor påvirke dets tilsigtede formål og opfyldelse af kravene i nærværende forordning.
(43)
Produkter med digitale elementer bør anses som værende vigtige, hvis den negative indvirkning af udnyttelsen af potentielle cybersikkerhedssårbarheder i produktet kan være alvorlig, bl.a. på grund af den cybersikkerhedsrelaterede funktionalitet eller en funktion, der indebærer en betydelig risiko for negative virkninger med hensyn til intensitet og evne til at afbryde, kontrollere eller forvolde skade på et stort antal andre produkter med digitale elementer eller på dets brugeres sundhed, sikkerhed eller tryghed gennem direkte manipulation såsom en central systemfunktion, herunder netværksstyring, konfigurationskontrol, virtualisering eller behandling af personoplysninger. Sårbarheder i produkter med digitale elementer, der har en cybersikkerhedsrelateret funktionalitet, såsom boot managers kan navnlig skabe en lang række sikkerhedsproblemer i hele forsyningskæden. Indvirkningen af en hændelse kan også blive mere alvorlig, hvor produktet primært udfører en central systemfunktion, herunder netværksstyring, konfigurationskontrol, virtualisering eller behandling af personoplysninger.
(44)
Visse kategorier af produkter med digitale elementer bør være underlagt strengere overensstemmelsesvurderingsprocedurer, samtidig med at der sikres en forholdsmæssig tilgang. Med henblik herpå bør vigtige produkter med digitale elementer inddeles i to klasser, der afspejler cybersikkerhedsrisikoniveauet for disse produktkategorier. En hændelse, der involverer vigtige produkter med digitale elementer, der er omfattet af klasse II, kan have større negative virkninger end en hændelse, der involverer vigtige produkter med digitale elementer, der er omfattet af klasse I, f.eks. på grund af arten af deres cybersikkerhedsrelaterede funktion eller udførelsen af en anden funktion, som indebærer en betydelig risiko for negative virkninger. Som en indikation af sådanne større negative virkninger kan produkter med digitale elementer, der er omfattet af klasse II, enten udføre en cybersikkerhedsrelateret funktionalitet eller en anden funktion, der indebærer en betydelig risiko for negative virkninger, der er højere end for dem, der er opført i klasse I, eller opfylde begge ovennævnte kriterier. Vigtige produkter med digitale elementer, der henhører under klasse II, bør derfor underkastes en strengere overensstemmelsesvurderingsprocedure.
(45)
Vigtige produkter med digitale elementer som omhandlet i denne forordning bør forstås som de produkter, hvis væsentligste funktionalitet henhører under en kategori af vigtige produkter med digitale elementer, der er fastsat i denne forordning. F.eks. fastsætter denne forordning kategorier af vigtige produkter med digitale elementer, der defineres ud fra deres væsentligste funktionalitet som firewalls eller systemer til opdagelse eller forebyggelse af indtrængen i klasse II. Som følge heraf er firewalls eller systemer til opdagelse eller forebyggelse af indtrængen underkastet obligatorisk tredjepartsoverensstemmelsesvurdering. Dette er ikke tilfældet for andre produkter med digitale elementer, der ikke kategoriseres som vigtige produkter med digitale elementer, og som kan integrere firewalls eller systemer til opdagelse eller forebyggelse af indtrængen. Kommissionen bør vedtage en gennemførelsesretsakt for at præcisere den tekniske beskrivelse af de kategorier af vigtige produkter med digitale elementer, der falder ind under kategori I og II som fastsat i denne forordning.
(46)
De kategorier af kritiske produkter med digitale elementer, der er fastsat i denne forordning, har en cybersikkerhedsrelateret funktionalitet og udfører en funktionalitet, der indebærer en betydelig risiko for negative virkninger med hensyn til intensitet og evne til at afbryde, kontrollere eller forvolde skade på et stort antal andre produkter med digitale elementer gennem direkte manipulation. Derudover anses disse kategorier af produkter med digitale elementer for at udgøre kritiske afhængighedsforhold for væsentlige enheder som omhandlet i artikel 3, stk. 1, i direktiv (EU) 2022/2555. De kategorier af kritiske produkter med digitale elementer, der er fastsat i et bilag til denne forordning, anvender allerede i betragtning af deres kritikalitet i vid udstrækning forskellige former for certificering og er også omfattet af den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC), der er fastsat i Kommissionens gennemførelsesforordning (EU) 2024/482 
(
20
)
. For at sikre en fælles tilstrækkelig cybersikkerhedsbeskyttelse af kritiske produkter med digitale elementer i Unionen kunne det derfor være hensigtsmæssigt og forholdsmæssigt ved hjælp af en delegeret retsakt at underkaste sådanne produktkategorier en obligatorisk europæisk cybersikkerhedscertificering, hvor der allerede findes en relevant europæisk cybersikkerhedscertificeringsordning, der dækker disse produkter, og Kommissionen har foretaget en vurdering af den potentielle indvirkning på markedet af den påtænkte obligatoriske certificering. Denne vurdering bør tage hensyn til både udbuds- og efterspørgselssiden, herunder om der er tilstrækkelig efterspørgsel efter produkter med de pågældende digitale elementer fra både medlemsstater og brugere til, at der kræves europæisk cybersikkerhedscertificering, samt de formål, hvortil produkter med digitale elementer skal anvendes, herunder at der er en kritisk afhængighed af dem hos væsentlige enheder som omhandlet i artikel 3, stk. 1, i direktiv (EU) 2022/2555. Vurderingen bør også analysere de potentielle virkninger af den obligatoriske certificering på tilgængeligheden af disse produkter på det indre marked og medlemsstaternes kapacitet og parathed til at gennemføre de relevante europæiske cybersikkerhedscertificeringsordninger.
(47)
Delegerede retsakter, der kræver obligatorisk europæisk cybersikkerhedscertificering, bør fastlægge de produkter med digitale elementer, hvis væsentligste funktionalitet henhører under en kategori af kritiske produkter med digitale elementer, der er fastsat i denne forordning, og som skal være underlagt obligatorisk certificering, samt det krævede tillidsniveau, der som minimum bør være »betydeligt«. Det krævede tillidsniveau bør stå i et rimeligt forhold til det cybersikkerhedsrisikoniveau, der er forbundet med produktet med digitale elementer. Hvor et produkt med digitale elementer, hvis væsentligste funktionalitet henhører under en kategori af kritiske produkter med digitale elementer, der er fastsat i denne forordning, f.eks. er beregnet til anvendelse i et følsomt eller kritisk miljø såsom produkter beregnet til anvendelse af væsentlige enheder som omhandlet i artikel 3, stk. 1, i direktiv (EU) 2022/2555 kan det kræve det højeste tillidsniveau.
(48)
For at sikre en fælles tilstrækkelig cybersikkerhedsbeskyttelse i Unionen af produkter med digitale elementer, hvis væsentligste funktionalitet henhører under en kategori af kritiske produkter med digitale elementer, der er fastsat i denne forordning, bør Kommissionen også tillægges beføjelse til at vedtage delegerede retsakter med henblik på at ændre denne forordning ved at tilføje eller fjerne kategorier af kritiske produkter med digitale elementer, for hvilke fabrikanterne kan pålægges at indhente en europæisk cybersikkerhedsattest i henhold til en europæisk cybersikkerhedscertificeringsordning i henhold til forordning (EU) 2019/881 for at påvise overensstemmelse med nærværende forordning. En ny kategori af kritiske produkter med digitale elementer kan tilføjes til disse kategorier, hvis der er en kritisk afhængighed af dem hos væsentlige enheder som omhandlet i artikel 3, stk. 1, i direktiv (EU) 2022/2555, eller, hvis dette, såfremt de påvirkes af hændelser, eller når de indeholder udnyttede sårbarheder, kan føre til forstyrrelser af kritiske forsyningskæder. Ved vurderingen af behovet for at tilføje eller fjerne kategorier af kritiske produkter med digitale elementer ved hjælp af en delegeret retsakt bør Kommissionen kunne tage hensyn til, om medlemsstaterne på nationalt plan har identificeret produkter med digitale elementer, der har en kritisk rolle for modstandsdygtigheden af de væsentlige enheder, der er omhandlet i artikel 3, stk. 1, i direktiv (EU) 2022/2555, og som i stigende grad udsættes for cyberangreb i forsyningskæden med potentielle alvorlige forstyrrende virkninger. Endvidere bør Kommissionen kunne tage hensyn til resultaterne af koordinerede sikkerhedsrisikovurderinger af kritiske forsyningskæder på EU-plan, der foretages i overensstemmelse med artikel 22 i direktiv (EU) 2022/2555.
(49)
Kommissionen bør sikre, at en bred vifte af relevante interessenter høres på en struktureret og regelmæssig måde, når der udarbejdes foranstaltninger til gennemførelse af denne forordning. Dette bør navnlig være tilfældet, hvor Kommissionen vurderer behovet for potentielle ajourføringer af listerne over kategorier af vigtige eller kritiske produkter med digitale elementer, hvor relevante fabrikanter bør høres og deres synspunkter tages i betragtning med henblik på at analysere cybersikkerhedsrisiciene samt balancen mellem omkostninger og fordele ved at udpege sådanne kategorier af produkter som vigtige eller kritiske.
(50)
Denne forordning har en målrettet tilgang til cybersikkerhedsrisici. Produkter med digitale elementer kan imidlertid indebære andre sikkerhedsrisici, som ikke altid vedrører cybersikkerhed, men som kan være en konsekvens af et sikkerhedsbrud. Disse risici bør fortsat reguleres ved anden relevant EU-harmoniseringslovgivning end denne forordning. Hvis ingen anden EU-harmoniseringslovgivning end denne forordning finder anvendelse, bør de være omfattet af Europa-Parlamentets og Rådets forordning (EU) 2023/988 
(
21
)
. Uanset artikel 2, stk. 1, tredje afsnit, litra b), i forordning (EU) 2023/988 bør kapitel III, afdeling 1, kapitel V og VII og kapitel IX-XI i forordning (EU) 2023/988 i lyset af nærværende forordnings målrettede karakter derfor finde anvendelse på produkter med digitale elementer for så vidt angår sikkerhedsrisici, der ikke er omfattet af nærværende forordning, hvis disse produkter ikke er omfattet af specifikke krav i anden EU-harmoniseringslovgivning end nærværende forordning i den i artikel 3, nr. 27), i forordning (EU) 2023/988 anvendte betydning.
(51)
Produkter med digitale elementer, der er klassificeret som højrisiko-AI-systemer i henhold til artikel 6 i Europa-Parlamentets og Rådets forordning (EU) 2024/1689 
(
22
)
, og som er omfattet af nærværende forordnings anvendelsesområde, bør opfylde de væsentlige cybersikkerhedskrav, der er fastsat i nærværende forordning. Hvor disse højrisiko-AI-systemer opfylder de væsentlige cybersikkerhedskrav i nærværende forordning, bør de anses for at opfylde cybersikkerhedskravene i artikel 15 i forordning (EU) 2024/1689, for så vidt som disse krav er omfattet af EU-overensstemmelseserklæringen eller dele heraf udstedt i henhold til nærværende forordning. Med henblik herpå bør vurderingen af de cybersikkerhedsrisici, der er forbundet med et produkt med digitale elementer, der er klassificeret som et højrisiko-AI-system i henhold til forordning (EU) 2024/1689, som skal tages i betragtning i forbindelse med planlægnings-, design-, udviklings-, produktions-, leverings- og vedligeholdelsesfaserne for et sådant produkt som krævet i nærværende forordning, tage hensyn til risici for et AI-systems cyberrobusthed for så vidt angår uautoriserede tredjeparters forsøg på at ændre dets anvendelse, adfærd eller ydeevne, herunder AI-specifikke sårbarheder såsom dataforgiftning eller fjendtlige angreb, samt, alt efter hvad der er relevant, risici for de grundlæggende rettigheder, i overensstemmelse med forordning (EU) 2024/1689. For så vidt angår overensstemmelsesvurderingsprocedurerne vedrørende de væsentlige cybersikkerhedskrav til et produkt med digitale elementer, der er omfattet af nærværende forordnings anvendelsesområde og klassificeret som et højrisiko-AI-system, bør artikel 43 i forordning (EU) 2024/1689 som hovedregel finde anvendelse i stedet for de relevante bestemmelser i nærværende forordning. Denne regel bør dog ikke resultere i en begrænsning af den nødvendige grad af sikkerhed for vigtige eller kritiske produkter med digitale elementer som omhandlet i nærværende forordning. Uanset denne regel bør højrisiko-AI-systemer, der er omfattet af anvendelsesområdet for forordning (EU) 2024/1689 og også betragtes som vigtige eller kritiske produkter med digitale elementer som omhandlet i nærværende forordning, og som overensstemmelsesvurderingsproceduren baseret på intern kontrol som omhandlet i bilag VI til forordning (EU) 2024/1689 finder anvendelse på, derfor være omfattet af procedurerne for overensstemmelsesvurdering i nærværende forordning for så vidt angår de væsentlige cybersikkerhedskrav i nærværende forordning. I sådan et tilfælde bør de relevante bestemmelser om overensstemmelsesvurdering på grundlag af intern kontrol, der er fastsat i bilag VI til forordning (EU) 2024/1689, finde anvendelse på alle andre aspekter, der er omfattet af nævnte forordning.
(52)
For at forbedre sikkerheden af produkter med digitale elementer, der bringes i omsætning i det indre marked, er det nødvendigt at fastsætte væsentlige cybersikkerhedskrav, der gælder for sådanne produkter. Disse væsentlige cybersikkerhedskrav bør ikke berøre de koordinere sikkerhedsrisikovurderinger af kritiske forsyningskæder på EU-plan, der fremgår af artikel 22 i direktiv (EU) 2022/2555, hvor der tages hensyn til både tekniske og, hvor det er relevant, ikketekniske risikofaktorer såsom et tredjelands utilbørlige indflydelse på leverandører. De bør desuden ikke berøre medlemsstaternes beføjelser til at fastsætte yderligere krav, der tager hensyn til ikketekniske faktorer med henblik på at sikre et højt niveau af modstandsdygtighed, herunder dem, der er defineret i Kommissionens henstilling (EU) 2019/534 
(
23
)
, i den EU-koordinerede risikovurdering af cybersikkerheden af 5G-net og i EU-værktøjskassen til 5G-cybersikkerhed, som samarbejdsgruppen, der er nedsat i medfør af artikel 14 i direktiv (EU) 2022/2555, er nået til enighed om.
(53)
Fabrikanter af produkter, der er omfattet af anvendelsesområdet for Europa-Parlamentets og Rådets forordning (EU) 2023/1230 
(
24
)
, der også er produkter med digitale elementer som defineret i nærværende forordning, bør opfylde både de væsentlige cybersikkerhedskrav, der er fastsat i nærværende forordning, og de væsentlige sundheds- og sikkerhedskrav, der er fastsat i forordning (EU) 2023/1230. De væsentlige cybersikkerhedskrav, der er fastsat i nærværende forordning, og visse væsentlige krav, der er fastsat i forordning (EU) 2023/1230, kan være rettet mod ensartede cybersikkerhedsrisici. Derfor kan overholdelsen af de væsentlige cybersikkerhedskrav, der er fastsat i nærværende forordning, lette overholdelsen af de væsentlige krav, der også omfatter visse cybersikkerhedsrisici som fastsat i forordning (EU) 2023/1230, og navnlig kravene vedrørende beskyttelse mod korruption og kontrolsystemers sikkerhed og pålidelighed, der er fastsat i afsnit 1.1.9 og 1.2.1 i bilag III til nævnte forordning. Sådanne synergier skal påvises af fabrikanten, f.eks. ved, hvor sådanne foreligger, at anvende harmoniserede standarder eller andre tekniske specifikationer, der dækker relevante væsentlige cybersikkerhedskrav, efter en risikovurdering, der dækker disse cybersikkerhedsrisici. Fabrikanten bør også følge de gældende overensstemmelsesvurderingsprocedurer, der er fastsat i nærværende forordning og i forordning (EU) 2023/1230. Kommissionen og de europæiske standardiseringsorganisationer bør i det forberedende arbejde til støtte for gennemførelsen af nærværende forordning og forordning (EU) 2023/1230 og de tilknyttede standardiseringsprocesser fremme konsistens i, hvordan cybersikkerhedsrisiciene skal vurderes, og hvordan disse risici skal dækkes af harmoniserede standarder med hensyn til de relevante væsentlige krav. Kommissionen og de europæiske standardiseringsorganisationer bør navnlig tage hensyn til nærværende forordning i forbindelse med udarbejdelsen og udviklingen af harmoniserede standarder til at lette gennemførelsen af forordning (EU) 2023/1230 for så vidt angår navnlig cybersikkerhedsaspekter i forbindelse med beskyttelse mod korruption og kontrolsystemers sikkerhed og pålidelighed, der er fastsat i afsnit 1.1.9 og 1.2.1 i bilag III til nævnte forordning. Kommissionen bør yde vejledning for at støtte fabrikanter, der er omfattet af nærværende forordning, og som også er omfattet af forordning (EU) 2023/1230, navnlig for at lette påvisningen af overensstemmelse med de relevante væsentlige krav i nærværende forordning og i forordning (EU) 2023/1230.
(54)
For at sikre, at produkter med digitale elementer er sikre både på det tidspunkt, hvor de bringes i omsætning, og i den periode, hvor produktet med digitale elementer forventes at være i brug, er det nødvendigt at fastsætte væsentlige cybersikkerhedskrav til sårbarhedshåndtering og væsentlige cybersikkerhedskrav vedrørende egenskaberne ved produkter med digitale elementer. Mens fabrikanterne bør opfylde alle væsentlige cybersikkerhedskrav vedrørende håndtering af sårbarheder i hele supportperioden, bør de afgøre, hvilke andre væsentlige cybersikkerhedskrav vedrørende produktegenskaberne der er relevante for den pågældende produkttype med digitale elementer. Med henblik herpå bør fabrikanterne foretage en vurdering af de cybersikkerhedsrisici, der er forbundet med et produkt med digitale elementer, for at identificere relevante risici og relevante væsentlige cybersikkerhedskrav og for at stille deres produkter med digitale elementer til rådighed uden kendte sårbarheder, der kan udnyttes, og som kan have en indvirkning på de pågældende produkters sikkerhed, og for på passende vis at anvende relevante harmoniserede standarder, fælles specifikationer eller europæiske eller internationale standarder.
(55)
Hvor visse væsentlige cybersikkerhedskrav ikke finder anvendelse på et produkt med digitale elementer, bør fabrikanten medtage en klar begrundelse i cybersikkerhedsrisikovurderingen, som er inkluderet i den tekniske dokumentation. Dette kunne være tilfældet, hvis et væsentligt cybersikkerhedskrav er uforeneligt med karakteren af et produkt med digitale elementer. For eksempel kan det tilsigtede formål med et produkt med digitale elementer kræve, at fabrikanten følger bredt anerkendte interoperabilitetsstandarder, selv om dets sikkerhedsfunktioner ikke længere anses for at være på det aktuelle tekniske niveau. På samme måde kræver anden EU-ret, at fabrikanterne anvender specifikke interoperabilitetskrav. Hvor et væsentligt cybersikkerhedskrav ikke finder anvendelse på et produkt med digitale elementer, men fabrikanten har identificeret cybersikkerhedsrisici i forbindelse med dette væsentlige cybersikkerhedskrav, bør fabrikanten træffe foranstaltninger til at imødegå disse risici på anden vis, f.eks. ved at begrænse produktets tilsigtede formål til pålidelige miljøer eller ved at informere brugerne om de pågældende risici.
(56)
En af de vigtigste foranstaltninger, som brugerne skal træffe for at beskytte deres produkter med digitale elementer mod cyberangreb, er at installere de seneste tilgængelige sikkerhedsopdateringer så hurtigt som muligt. Fabrikanterne bør derfor udforme deres produkter og indføre processer for at sikre, at produkter med digitale elementer omfatter funktioner, der muliggør automatisk anmeldelse, distribution, download og installation af sikkerhedsopdateringer, navnlig i forbindelse med forbrugerprodukter. De bør også give mulighed for at godkende download og installation af sikkerhedsopdateringer som et sidste skridt. Brugerne bør bevare muligheden for at deaktivere automatiske opdateringer med en klar og brugervenlig mekanisme understøttet af klare instrukser i, hvordan brugerne kan fravælge dem. Kravene vedrørende automatiske opdateringer som fastsat i et bilag til denne forordning finder ikke anvendelse på produkter med digitale elementer, der primært er beregnet til at blive integreret som komponenter i andre produkter. De finder heller ikke anvendelse på produkter med digitale elementer, for hvilke brugerne ikke med rimelighed kan forvente automatiske opdateringer, herunder produkter med digitale elementer, der er beregnet til at blive anvendt i professionelle IKT-netværk, og navnlig i kritiske og industrielle miljøer, hvor en automatisk opdatering kunne forårsage forstyrrelser i driften. Uanset om et produkt med digitale elementer er designet til at modtage automatiske opdateringer eller ej, bør dets fabrikant informere brugerne om sårbarheder og straks stille sikkerhedsopdateringer til rådighed. Hvis et produkt med digitale elementer har en brugergrænseflade eller lignende tekniske midler, der muliggør direkte interaktion med dets brugere, bør fabrikanten gøre brug af sådanne funktioner til at informere brugerne om, at deres produkt med digitale elementer har nået udgangen af supportperioden. Underretninger bør begrænses til, hvad der er nødvendigt for at sikre en effektiv modtagelse af disse oplysninger, og bør ikke have en negativ indvirkning på brugeroplevelsen af produktet med digitale elementer.
(57)
For at forbedre gennemsigtigheden af sårbarhedshåndteringsprocesser og for at sikre, at brugerne ikke er forpligtet til at installere nye funktionalitetsopdateringer udelukkende med henblik på at modtage de seneste sikkerhedsopdateringer, bør fabrikanterne, hvor det er teknisk muligt, sikre, at nye sikkerhedsopdateringer leveres adskilt fra funktionalitetsopdateringer.
(58)
I den fælles meddelelse fra Kommissionen og Unionens højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik af 20. juni 2023 med titlen »En europæisk økonomisk sikkerhedsstrategi« fastslås det, at Unionen er nødt til at maksimere fordelene ved sin økonomiske åbenhed og samtidig minimere risiciene fra økonomisk afhængighed af højrisikoleverandører gennem en fælles strategisk ramme for Unionens økonomiske sikkerhed. Afhængighed af højrisikoleverandører af kritiske produkter med digitale elementer udgør en strategisk risiko, som bør håndteres på EU-plan, navnlig hvor de kritiske produkter med digitale elementer er beregnet til brug af væsentlige enheder som omhandlet i artikel 3, stk. 1, i direktiv (EU) 2022/2555. Sådanne risici kan være knyttet til, men er ikke begrænset til, den jurisdiktion, der gælder for fabrikanten, egenskaberne ved ejerskabsforholdene i fabrikantens virksomhed og kontrolrelationerne med en regering i et tredjeland, hvor den er etableret, navnlig hvor et tredjeland er involveret i økonomisk spionage eller uforsvarlig statslig adfærd, og dets lovgivning tillader vilkårlig adgang til enhver form for virksomhedsaktiviteter eller -data, herunder kommercielt følsomme data, og kan pålægge forpligtelser til efterretningsformål uden demokratiske kontrolforanstaltninger, tilsynsmekanismer, en retfærdig procedure eller retten til at klage til en uafhængig domstol. Ved fastlæggelsen af væsentligheden af en cybersikkerhedsrisiko i den i denne forordning anvendte betydning bør Kommissionen og markedsovervågningsmyndighederne i overensstemmelse med deres ansvar som fastsat i denne forordning også tage hensyn til ikketekniske risikofaktorer, navnlig dem, der er fastsat som følge af koordinerede sikkerhedsrisikovurderinger af kritiske forsyningskæder på EU-plan foretaget i overensstemmelse med artikel 22 i direktiv (EU) 2022/2555.
(59)
Med henblik på at garantere sikkerheden af produkter med digitale elementer, efter at de er bragt i omsætning, bør fabrikanterne fastsætte supportperioder, som bør afspejle den periode, hvor produktet med digitale elementer forventes at være i brug. Ved fastsættelsen af en supportperiode bør en fabrikant navnlig tage hensyn til rimelige brugerforventninger, produktets art samt relevant EU-ret, der fastsætter levetiden for produkter med digitale elementer. Fabrikanter bør også kunne tage hensyn til andre relevante faktorer. Kriterierne bør anvendes på en måde, der sikrer proportionalitet ved fastsættelsen af supportperioden. På anmodning bør en fabrikant give markedsovervågningsmyndighederne de oplysninger, der blev taget i betragtning med henblik på at fastlægge supportperioden for et produkt med digitale elementer.
(60)
Den supportperiode, hvor fabrikanten sikrer effektiv håndtering af sårbarheder, bør være på mindst fem år, medmindre levetiden for produktet med digitale elementer er mindre end fem år, i hvilket tilfælde fabrikanten bør sikre sårbarhedshåndteringen i den pågældende levetid. Hvis den periode, hvor produktet med digitale elementer med rimelighed forventes at være i brug, er længere end fem år, som det ofte er tilfældet for hardwarekomponenter såsom motherboards eller mikroprocessorer, netværksenheder såsom routere, modemmer eller switches samt software såsom operativsystemer eller videoredigeringsværktøjer, bør fabrikanterne i overensstemmelse hermed sikre længere supportperioder. Navnlig produkter med digitale elementer, der er beregnet til anvendelse i industrielle miljøer, såsom industrielle kontrolsystemer, anvendes ofte i betydeligt længere tid. En fabrikant bør kun kunne definere en supportperiode på mindre end fem år, hvis dette er begrundet i arten af det pågældende produkt med digitale elementer, og hvis produktet forventes at være i brug i mindre end fem år, i hvilket tilfælde supportperioden bør svare til den forventede anvendelsestid. F.eks. kunne levetiden for en kontaktopsporingsapplikation, der er beregnet til brug under en pandemi, begrænses til pandemiens varighed. Desuden kan visse softwareapplikationer i sagens natur kun stilles til rådighed på grundlag af en abonnementsmodel, navnlig hvis applikationen bliver utilgængelig for brugeren og derfor ikke længere er i brug, når abonnementet udløber.
(61)
Når produkter med digitale elementer når udgangen af deres supportperioder, bør fabrikanterne for at sikre, at sårbarheder kan håndteres efter udløbet af supportperioden, overveje at frigive kildekoden for sådanne produkter med digitale elementer enten til andre virksomheder, der forpligter sig til at udvide leveringen af sårbarhedshåndteringstjenester, eller til offentligheden. Hvis fabrikanterne frigiver kildekoden til andre virksomheder, bør de være i stand til at beskytte ejerskabet af produktet med digitale elementer og forhindre udbredelse af kildekoden til offentligheden, f.eks. gennem kontraktlige ordninger.
(62)
For at sikre, at fabrikanter i hele Unionen fastsætter ensartede supportperioder for sammenlignelige produkter med digitale elementer, bør ADCO offentliggøre statistikker over de gennemsnitlige supportperioder, som fabrikanterne har fastsat for kategorier af produkter med digitale elementer, og udstede retningslinjer med angivelse af passende supportperioder for sådanne kategorier. Med henblik på at sikre en harmoniseret tilgang i hele det indre marked bør Kommissionen derudover kunne vedtage delegerede retsakter for at fastsætte minimumssupportperioder for specifikke produktkategorier, hvor data fra markedsovervågningsmyndighederne tyder på, at de supportperioder, som fabrikanterne fastsætter, enten systematisk ikke er i overensstemmelse med kriterierne for fastsættelse af supportperioder som fastsat i denne forordning, eller at fabrikanter i forskellige medlemsstater uberettiget fastsætter forskellige supportperioder.
(63)
Fabrikanter bør oprette et centralt kontaktpunkt, der gør det muligt for brugere let at kommunikere med dem, herunder med henblik på at indberette og modtage oplysninger om sårbarhederne i produktet med et digitalt element. De bør gøre det centrale kontaktpunkt let tilgængeligt for brugerne og klart angive, hvornår det er tilgængeligt, og holde disse oplysninger ajour. Hvor fabrikanter vælger at tilbyde automatiserede værktøjer, f.eks. chatbokse, bør de også tilbyde et telefonnummer eller andre digitale kontaktmidler såsom en e-mailadresse eller en kontaktformular. Det centrale kontaktpunkt bør ikke udelukkende benytte automatiserede værktøjer.
(64)
Fabrikanter bør gøre deres produkter med digitale elementer tilgængelige på markedet med en sikker konfiguration som standard og gratis levere sikkerhedsopdateringer til brugerne. Fabrikanter bør kun kunne afvige fra de væsentlige cybersikkerhedskrav i forbindelse med skræddersyede produkter, der er udformet til et bestemt formål for en bestemt erhvervsbruger, og hvor både fabrikanten og brugeren udtrykkeligt har aftalt et andet sæt kontraktvilkår.
(65)
Fabrikanterne bør via den fælles indberetningsplatform samtidig underrette både den enhed, der håndterer IT-sikkerhedshændelser (CSIRT), der er udpeget som koordinator, og ENISA om aktivt udnyttede sårbarheder i produkter med digitale elementer samt alvorlige hændelser, der har indvirkning på disse produkters sikkerhed. Underretningerne bør indgives via adgangspunkter for elektronisk underretning i en CSIRT, der er udpeget som koordinator, og bør samtidig være tilgængelige for ENISA.
(66)
Fabrikanterne bør underrette om aktivt udnyttede sårbarheder for at sikre, at de CSIRT'er, der er udpeget som koordinatorer, og ENISA har et passende overblik over sådanne sårbarheder og får de oplysninger, der er nødvendige for, at de kan udføre deres opgaver som fastsat i direktiv (EU) 2022/2555, og øge det overordnede cybersikkerhedsniveau for væsentlige og vigtige enheder som omhandlet i nævnte direktivs artikel 3, samt for at sikre, at markedsovervågningsmyndighederne fungerer effektivt. Da de fleste produkter med digitale elementer markedsføres i hele det indre marked, bør enhver udnyttet sårbarhed i et produkt med digitale elementer anses som værende en trussel mod det indre markeds funktion. ENISA bør i samarbejde med fabrikanterne offentliggøre afhjulpne sårbarheder i den europæiske sårbarhedsdatabase, der er oprettet i henhold til artikel 12, stk. 2, i direktiv (EU) 2022/2555. Den europæiske sårbarhedsdatabase vil hjælpe fabrikanterne til at opdage kendte sårbarheder, der kan udnyttes, i deres produkter, med henblik på at sørge for, at der bringes sikre produkter i omsætning.
(67)
Fabrikanterne bør også give underretning om enhver alvorlig hændelse, der indvirker på sikkerheden af produktet med digitale elementer til den CSIRT, der er udpeget som koordinator, og til ENISA. For at sikre, at brugerne kan reagere hurtigt på alvorlige hændelser, der har indvirkning på sikkerheden af deres produkter med digitale elementer, bør fabrikanterne også underrette deres brugere om en sådan hændelse og, i givet fald, om eventuelle korrigerende foranstaltninger, som brugerne kan træffe for at afbøde virkningen af hændelsen, f.eks. ved at offentliggøre relevante oplysninger på deres websteder eller, hvor fabrikanten har mulighed for at kontakte brugerne og hvor cybersikkerhedsrisiciene berettiger dertil, ved at kontakte brugerne direkte.
(68)
Aktivt udnyttede sårbarheder vedrører tilfælde, hvor en fabrikant konstaterer, at et brud på sikkerheden, der påvirker dens brugere eller andre fysiske eller juridiske personer, skyldes, at en ondsindet aktør udnytter en fejl i et af produkterne med digitale elementer, som fabrikanten har gjort tilgængelige på markedet. Eksempler på sådanne sårbarheder kan være svagheder i et produkts identifikations- og autentifikationsfunktioner. Sårbarheder, der opdages uden ondsindede hensigter, men med det formål i god tro at afprøve, undersøge, korrigere eller offentliggøre med henblik på at fremme systemejerens og dennes brugeres sikkerhed, bør ikke være omfattet af obligatoriske underretninger. Alvorlige hændelser, der har en indvirkning på sikkerheden af produktet med digitale elementer, vedrører derimod situationer, hvor en cybersikkerhedshændelse påvirker fabrikantens udviklings-, produktions- eller vedligeholdelsesprocesser på en sådan måde, at det kan resultere i en øget cybersikkerhedsrisiko for brugere eller andre personer. En sådan alvorlig hændelse kan omfatte en situation, hvor en angriber på vellykket vis har indført ondsindet kode i den frigivelseskanal, hvorigennem fabrikanten frigiver sikkerhedsopdateringer til brugere.
(69)
For at sikre, at underretninger hurtigt kan formidles til alle relevante CSIRT'er, der er udpeget som koordinatorer, og for at gøre det muligt for fabrikanterne at sende en enkelt underretning på hvert trin i underretningsproceduren, bør ENISA oprette en fælles indberetningsplatform med nationale elektroniske adgangspunkter for underretning. Den fælles indberetningsplatforms daglige drift bør forvaltes og opretholdes af ENISA. De CSIRT'er, der er udpeget som koordinatorer, bør informere deres respektive markedsovervågningsmyndigheder om anmeldte sårbarheder eller hændelser. Den fælles indberetningsplatform bør udformes på en sådan måde, at den sikrer fortroligheden af underretninger, navnlig for så vidt angår sårbarheder, for hvilke en sikkerhedsopdatering endnu ikke er tilgængelig. ENISA bør desuden indføre procedurer for behandling af oplysninger på en sikker og fortrolig måde. På grundlag af de oplysninger, som ENISA indsamler, bør det hvert andet år udarbejde en teknisk rapport om nye tendenser med hensyn til cybersikkerhedsrisici forbundet med produkter med digitale elementer og forelægge den for den samarbejdsgruppe, der er oprettet i henhold til artikel 14 i direktiv (EU) 2022/2555.
(70)
Under ekstraordinære omstændigheder og navnlig efter anmodning fra fabrikanten bør den CSIRT, der er udpeget som koordinator, og som indledningsvist modtager en underretning, kunne beslutte at udsætte formidlingen heraf til de andre relevante CSIRT'er, der er udpeget som koordinatorer, via den fælles indberetningsplatform, hvis dette kan berettiges på grundlag af cybersikkerhedsrelaterede årsager og i en periode, der er strengt nødvendig. Den CSIRT, der er udpeget som koordinator, bør omgående underrette ENISA om afgørelsen om udsættelse og om årsagerne hertil samt om, hvornår den agter at videreformidle underretningen. Kommissionen bør gennem en delegeret retsakt udarbejde specifikationer for vilkår og betingelser for, hvornår de cybersikkerhedsrelaterede årsager kunne finde anvendelse, og bør samarbejde med CSIRT-netværket, der er oprettet i henhold til artikel 15 i direktiv (EU) 2022/2555, og ENISA om udarbejdelsen af udkastet til delegeret retsakt. Eksempler på cybersikkerhedsrelaterede årsager omfatter en igangværende procedure for koordineret offentliggørelse af sårbarheder eller situationer, hvor en fabrikant forventes at træffe en afbødende foranstaltning i løbet af kort tid, og cybersikkerhedsrisiciene ved en øjeblikkelig formidling via den fælles indberetningsplatform opvejer fordelene herved. Hvis den CSIRT, der er udpeget som koordinator, anmoder herom, bør ENISA kunne støtte den pågældende CSIRT med henvisning til de cybersikkerhedsrelaterede årsager i forbindelse med udsættelsen af formidlingen af underretningen på grundlag af de oplysninger, som ENISA har modtaget fra den pågældende CSIRT om afgørelsen om at tilbageholde en underretning af disse cybersikkerhedsrelaterede årsager. Endvidere bør ENISA under særlig ekstraordinære omstændigheder ikke modtage alle detaljerne vedrørende en aktivt udnyttet sårbarhed samtidig. Dette vil være tilfældet, når fabrikanten i sin underretning anfører, at den anmeldte sårbarhed er blevet udnyttet aktivt af en ondsindet aktør, og at den ifølge de foreliggende oplysninger ikke er blevet udnyttet i nogen anden medlemsstat end den, hvor den CSIRT, der er udpeget som koordinator, og til hvem fabrikanten har anmeldt sårbarheden, befinder sig, når en øjeblikkelig videreformidling af den anmeldte sårbarhed sandsynligvis vil føre til levering af oplysninger, hvis offentliggørelse vil stride mod den pågældende medlemsstats væsentlige interesser, eller når den anmeldte sårbarhed udgør en overhængende høj cybersikkerhedsrisiko som følge af videreformidlingen. I sådanne tilfælde vil ENISA kun få samtidig adgang til oplysningerne om, at fabrikanten har foretaget en underretning, generelle oplysninger om det pågældende produkt med digitale elementer, oplysninger om den generelle karakter af udnyttelsen og oplysninger om, at fabrikanten har gjort disse sikkerhedsgrunde gældende, og at underretningens fulde indhold derfor tilbageholdes. Den fuldstændige underretning bør derefter stilles til rådighed for ENISA og andre relevante CSIRT'er, der er udpeget som koordinatorer, når den CSIRT, der er udpeget som koordinator, og som indledningsvist modtog underretningen, finder, at disse sikkerhedsgrunde, der udgør særlig ekstraordinære omstændigheder som fastsat i denne forordning, ikke længere foreligger. Hvor ENISA på grundlag af de tilgængelige oplysninger finder, at der er tale om en systemisk risiko, der indvirker på sikkerheden i det indre marked, bør ENISA anbefale den modtagende CSIRT at formidle den fuldstændige underretning til de andre CSIRT'er, der er udpeget som koordinatorer, og til ENISA selv.
(71)
Når fabrikanter underretter om en aktivt udnyttet sårbarhed eller en alvorlig hændelse, der har indvirkning på sikkerheden af produktet med digitale elementer, bør de angive, hvor følsomme de anser de indberettede oplysninger for at være. Den CSIRT, der er udpeget som den koordinator, der oprindeligt modtager underretningen, bør tage hensyn til disse oplysninger, når den vurderer, om underretningen giver anledning til ekstraordinære omstændigheder, der berettiger en udsættelse af formidlingen af underretningen til de andre relevante CSIRT'er, der er udpeget som koordinatorer, på grundlag af begrundede cybersikkerhedsrelaterede årsager. Den bør også tage hensyn til disse oplysninger, når den vurderer, om underretningen om en aktivt udnyttet sårbarhed giver anledning til særlige ekstraordinære omstændigheder, der berettiger, at den fuldstændige underretning ikke samtidig stilles til rådighed for ENISA. Endelig bør CSIRT'er, der er udpeget som koordinatorer, kunne tage hensyn til disse oplysninger, når de træffer passende foranstaltninger til at afbøde de risici, der følger af sådanne sårbarheder og hændelser.
(72)
For at forenkle indberetningen af de oplysninger, der kræves i henhold til denne forordning, i betragtning af andre supplerende indberetningskrav, der er fastsat i EU-retten, såsom forordning (EU) 2016/679, Europa-Parlamentets og Rådets forordning (EU) 2022/2554 
(
25
)
, Europa-Parlamentets og Rådets direktiv 2002/58/EF 
(
26
)
 og direktiv (EU) 2022/2555, samt for at mindske den administrative byrde for enhederne, opfordres medlemsstaterne til at overveje at oprette centrale indgangspunkter på nationalt plan for sådanne indberetningskrav. Anvendelsen af sådanne nationale fælles indgangspunkter til indberetning af sikkerhedshændelser i henhold til forordning (EU) 2016/679 og direktiv 2002/58/EF bør ikke berøre anvendelsen af bestemmelserne i forordning (EU) 2016/679 og direktiv 2002/58/EF, navnlig bestemmelserne vedrørende uafhængigheden af de deri omhandlede myndigheder. Ved oprettelsen af den fælles indberetningsplatform, der er omhandlet i nærværende forordning, bør ENISA tage hensyn til muligheden for, at de nationale adgangspunkter for elektronisk underretning, der er omhandlet i nærværende forordning, integreres i nationale centrale indgangspunkter, som også kan integrere andre underretninger, der kræves i henhold til EU-retten.
(73)
Ved oprettelsen af den fælles indberetningsplatform, der er omhandlet i denne forordning, og for at drage fordel af tidligere erfaringer bør ENISA konsultere andre EU-institutioner eller -agenturer, der forvalter platforme eller databaser, der er underlagt strenge sikkerhedskrav, såsom Den Europæiske Unions Agentur for den Operationelle Forvaltning af Store IT-Systemer inden for Området med Frihed, Sikkerhed og Retfærdighed (eu-LISA). ENISA bør også analysere mulig komplementaritet med den europæiske sårbarhedsdatabase, som er oprettet i henhold til artikel 12, stk. 2, i direktiv (EU) 2022/2555.
(74)
Fabrikanter og andre fysiske og juridiske personer bør på frivillig basis kunne underrette en CSIRT, der er udpeget som koordinator, eller ENISA om enhver sårbarhed i et produkt med digitale elementer, cybertrusler, der kunne påvirke risikoprofilen for et produkt med digitale elementer, enhver hændelse, der har indvirkning på sikkerheden af produktet med digitale elementer, samt nærvedhændelser, der kunne have resulteret i en sådan hændelse.
(75)
Medlemsstaterne bør så vidt muligt tackle de udfordringer, som sårbarhedsforskere står over for, herunder deres potentielle strafansvar, i overensstemmelse med national ret. Eftersom fysiske og juridiske personer, der forsker i sårbarheder, i nogle medlemsstater vil kunne blive udsat for strafferetligt og civilretligt ansvar, opfordres medlemsstaterne til at vedtage retningslinjer for ikke-retsforfølgelse af informationssikkerhedsforskere og en fritagelse for civilretligt ansvar for deres aktiviteter.
(76)
Fabrikanter af produkter med digitale elementer bør indføre koordinerede politikker for offentliggørelse af sårbarheder for at gøre det lettere for enkeltpersoner eller enheder at indberette sårbarheder, enten direkte til fabrikanten eller indirekte, og efter der er anmodning om at gøre dette anonymt, via CSIRT'er, der er udpeget som koordinatorer med henblik på koordineret offentliggørelse af sårbarheder i overensstemmelse med artikel 12, stk. 1, i direktiv (EU) 2022/2555. Fabrikanters politik for koordineret offentliggørelse af sårbarheder bør angive en struktureret proces, hvorigennem sårbarheder indberettes til en fabrikant på en måde, der gør det muligt for fabrikanten at diagnosticere sådanne sårbarheder, inden detaljerede sårbarhedsoplysninger videregives til tredjeparter eller offentligheden. Derudover bør fabrikanter også overveje at offentliggøre deres sikkerhedspolitikker i maskinlæsbart format. Da oplysninger om sårbarheder, der kan udnyttes i almindeligt anvendte produkter med digitale elementer, kan sælges til høje priser på det sorte marked, bør fabrikanter af sådanne produkter som led i deres koordinerede politikker for offentliggørelse af sårbarheder kunne anvende programmer, der tilskynder til indberetning af sårbarheder, ved at sikre, at enkeltpersoner eller enheder modtager anerkendelse og kompensation for deres indsats. Dette henviser til såkaldte »bug bounty-programmer«.
(77)
For at lette sårbarhedsanalysen bør fabrikanterne identificere og dokumentere komponenter i produkter med digitale elementer, herunder ved at udarbejde en softwarekomponentliste. En softwarekomponentliste kan give fabrikanter, købere og brugere af software oplysninger, som øger deres forståelse af forsyningskæden, hvilket har mange fordele, navnlig at den hjælper fabrikanter og brugere med at spore kendte nyligt opståede sårbarheder og cybersikkerhedsrisici. Det er særlig vigtigt, at fabrikanterne sikrer, at deres produkter med digitale elementer ikke indeholder sårbare komponenter udviklet af tredjeparter. Fabrikanterne bør ikke være forpligtet til at offentliggøre softwarekomponentlisten.
(78)
En virksomhed, der opererer online, kan inden for de nye, komplekse forretningsmodeller, der er knyttet til onlinesalg, levere en række forskellige tjenesteydelser. Afhængigt af arten af de tjenester, der leveres i forbindelse med et givet produkt med digitale elementer, kan den samme enhed falde ind under forskellige kategorier af forretningsmodeller eller kategorier af erhvervsdrivende. Hvis en enhed kun leverer onlineformidlingstjenester for et givet produkt med digitale elementer og blot er udbyder af en onlinemarkedsplads som defineret i artikel 3, nr. 14), i Europa-Parlamentets og Rådets forordning (EU) 2023/988, betragtes den ikke som en erhvervsdrivende som defineret i nærværende forordning. Hvor den samme enhed er en udbyder af en onlinemarkedsplads og også fungerer som en erhvervsdrivende som defineret i nærværende forordning i forbindelse med salg af produkter med digitale elementer, bør den være omfattet af de forpligtelser i nærværende forordning, der er fastsat for denne type af erhvervsdrivende. Hvis udbyderen af en onlinemarkedsplads f.eks. også håndterer distribution af et produkt med digitale elementer, vil den med hensyn til salget af dette produkt blive anses som værende en distributør. Tilsvarende vil den pågældende enhed, hvis den sælger sine egne mærkevarer med digitale elementer, betragtes som en fabrikant og vil dermed skulle opfylde de gældende krav til fabrikanter. Nogle enheder kan også betragtes som udbydere af distributionstjenester som defineret i artikel 3, nr. 11), i Europa-Parlamentets og Rådets forordning (EU) 2019/1020 
(
27
)
, hvis de tilbyder sådanne tjenester. Sådanne forhold vil skulle vurderes fra sag til sag. I betragtning af den fremtrædende rolle, som onlinemarkedspladser spiller med hensyn til at muliggøre elektronisk handel, bør de bestræbe sig på at samarbejde med medlemsstaternes markedsovervågningsmyndigheder for at hjælpe med at sikre, at produkter med digitale elementer, der købes via onlinemarkedspladser, opfylder de cybersikkerhedskrav, der er fastsat i nærværende forordning.
(79)
For at lette vurderingen af overensstemmelsen med kravene i denne forordning bør der være en formodning om overensstemmelse for produkter med digitale elementer, som er i overensstemmelse med harmoniserede standarder, der omsætter de væsentlige cybersikkerhedskrav i denne forordning til detaljerede tekniske specifikationer og er vedtaget i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 
(
28
)
. Nævnte forordning fastsætter bestemmelser om en procedure for indsigelse mod harmoniserede standarder i tilfælde, hvor disse standarder ikke fuldt ud opfylder kravene i nærværende forordning. Standardiseringsprocessen bør sikre en afbalanceret repræsentation af interesser og effektiv deltagelse af interesserede parter fra civilsamfundet, herunder forbrugerorganisationer. Der bør også tages hensyn til internationale standarder, der er i overensstemmelse med det cybersikkerhedsniveau, der tilstræbes med de væsentlige cybersikkerhedskrav i nærværende forordning, for at lette udviklingen af harmoniserede standarder og gennemførelsen af nærværende forordning samt for at lette overholdelsen for virksomheder, navnlig mikrovirksomheder og små og mellemstore virksomheder og dem, der opererer globalt.
(80)
Rettidig udvikling af harmoniserede standarder i overgangsperioden for anvendelsen af denne forordning og deres tilgængelighed inden anvendelsesdatoen for denne forordning vil være særlig vigtig for dens effektive gennemførelse. Dette er navnlig tilfældet for vigtige produkter med digitale elementer, som er omfattet af klasse I. Tilgængeligheden af harmoniserede standarder vil gøre det muligt for fabrikanter af sådanne produkter at udføre overensstemmelsesvurderingerne via proceduren for intern kontrol og kan derfor undgå flaskehalse og forsinkelser i overensstemmelsesvurderingsorganers aktiviteter.
(81)
Ved forordning (EU) 2019/881 oprettes en frivillig europæisk ramme for cybersikkerhedscertificering af IKT-produkter, IKT-processer og IKT-tjenester. Europæiske cybersikkerhedscertificeringsordninger giver brugere en fælles tillidsramme, så de kan anvende produkter med digitale elementer, der er omfattet af nærværende forordning. Nærværende forordning bør følgelig skabe synergier med forordning (EU) 2019/881. For at lette vurderingen af overensstemmelsen med kravene i nærværende forordning formodes produkter med digitale elementer, der er certificeret, eller for hvilke der er udstedt en overensstemmelseserklæring i henhold til en europæisk cybersikkerhedsordning i henhold til forordning (EU) 2019/881, som Kommissionen har identificeret i en gennemførelsesretsakt, at være i overensstemmelse med de væsentlige cybersikkerhedskrav, der er fastsat i nærværende forordning, såfremt den europæiske cybersikkerhedsattest eller overensstemmelseserklæring eller dele heraf dækker disse krav. Behovet for nye europæiske cybersikkerhedscertificeringsordninger for produkter med digitale elementer bør vurderes i lyset af nærværende forordning, herunder ved udarbejdelse af Unionens rullende arbejdsprogram i overensstemmelse med forordning (EU) 2019/881. Hvis der er behov for en ny ordning, der omfatter produkter med digitale elementer, herunder for at lette overholdelsen af nærværende forordning, kan Kommissionen anmode ENISA om at udarbejde forslag til ordninger i overensstemmelse med artikel 48 i forordning (EU) 2019/881. I sådanne fremtidige europæiske cybersikkerhedscertificeringsordninger, der dækker produkter med digitale elementer, bør der tages hensyn til de væsentlige cybersikkerhedskrav og procedurerne for overensstemmelsesvurderinger som fastsat i nærværende forordning, og de bør lette overholdelsen af nærværende forordning. For europæiske cybersikkerhedscertificeringsordninger, der træder i kraft inden nærværende forordnings ikrafttræden, kan der være behov for yderligere specifikationer af detaljerede aspekter af, hvordan en formodning om overensstemmelse kan finde anvendelse. Kommissionen bør ved hjælp af delegerede retsakter tillægges beføjelser til at præcisere de betingelser, hvorunder de europæiske cybersikkerhedscertificeringsordninger kan anvendes til at påvise overensstemmelse med de væsentlige cybersikkerhedskrav i nærværende forordning. For at undgå unødige administrative byrder bør der derudover ikke være en forpligtelse for fabrikanter til at foretage en tredjepartsoverensstemmelsesvurdering vedrørende tilsvarende krav som omhandlet i nærværende forordning, hvor en europæisk cybersikkerhedsattest er udstedt i henhold til sådanne europæiske cybersikkerhedscertificeringsordninger på et tillidsniveau, der som minimum er »betydeligt«.
(82)
Ved ikrafttræden af gennemførelsesforordning (EU) 2024/482, der vedrører produkter, der er omfattet af nærværende forordnings anvendelsesområde, såsom hardwaresikkerhedsmoduler og mikroprocessorer, bør Kommissionen ved hjælp af en delegeret retsakt kunne præcisere, hvordan EUCC giver en formodning om overensstemmelse med de væsentlige cybersikkerhedskrav som fastsat i bilag I til nærværende forordning eller dele heraf. Derudover kan en sådan delegeret retsakt præcisere, hvordan en attest udstedt i henhold til EUCC fritager fabrikanterne fra forpligtelsen til at lade foretage en tredjepartsvurdering som krævet i henhold til nærværende forordning for tilsvarende krav.
(83)
Den nuværende europæiske standardiseringsramme, som er baseret på principperne om en ny metode i medfør af Rådets resolution af 7. maj 1985 om en ny metode i forbindelse med teknisk harmonisering og standarder og på forordning (EU) nr. 1025/2012, udgør som standard rammen for udarbejdelse af standarder, der giver formodning om overensstemmelse med de relevante væsentlige cybersikkerhedskrav i nærværende forordning. Europæiske standarder bør være markedsdrevne, tage hensyn til den offentlige interesse samt de politiske mål, der klart fremgår af Kommissionens anmodning til en eller flere europæiske standardiseringsorganisationer om at udarbejde harmoniserede standarder inden for en fastsat frist, og være konsensusbaseret. I mangel af relevante henvisninger til harmoniserede standarder bør Kommissionen imidlertid kunne vedtage gennemførelsesretsakter, der fastsætter fælles specifikationer for de væsentlige cybersikkerhedskrav i nærværende forordning, forudsat at den i den forbindelse behørigt respekterer europæiske standardiseringsorganisationers rolle og funktioner, som en ekstraordinær nødløsning for at lette fabrikanters forpligtelse til at overholde disse væsentlige cybersikkerhedskrav, hvor standardiseringsprocessen blokeres, eller når der er forsinkelser i udarbejdelsen af passende harmoniserede standarder. Hvis en sådan forsinkelse skyldes den pågældende standards tekniske kompleksitet, bør Kommissionen tage dette i betragtning, inden den overvejer, om der skal udarbejdes fælles specifikationer.
(84)
Med henblik på at udarbejde fælles specifikationer, der dækker de væsentlige cybersikkerhedskrav i denne forordning, på den mest effektive måde, bør Kommissionen inddrage relevante interessenter i processen.
(85)
For så vidt angår offentliggørelsen af en henvisning til harmoniserede standarder i 
Den Europæiske Unions Tidende
 i overensstemmelse med forordning (EU) nr. 1025/2012 skal der ved »en rimelig tidsfrist« forstås en periode, i hvilken der forventes offentliggørelse i 
Den Europæiske Unions Tidende
 af referencen til standarden, berigtigelsen heraf eller ændringen heraf, og som ikke bør overstige ét år efter fristen for udarbejdelse af en europæisk standard, der er fastsat i overensstemmelse med forordning (EU) nr. 1025/2012.
(86)
Med henblik på at gøre det lettere at vurdere overensstemmelsen med de væsentlige cybersikkerhedskrav i denne forordning bør der være en formodning om overensstemmelse for produkter med digitale elementer, som er i overensstemmelse med de fælles specifikationer, der er vedtaget af Kommissionen i henhold til denne forordning med henblik på detaljerede tekniske specifikationer af disse krav.
(87)
Anvendelsen af harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger vedtaget i henhold til forordning (EU) 2019/881, der giver formodning om overensstemmelse med de væsentlige cybersikkerhedskrav, der gælder for produkter med digitale elementer, vil gøre det lettere for fabrikanterne at vurdere overensstemmelsen. Hvis fabrikanten vælger ikke at anvende sådanne midler for visse krav, skal denne i sin tekniske dokumentation angive, hvordan der ellers opnås overensstemmelse. Desuden vil anvendelsen af harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger, der er vedtaget i henhold til forordning (EU) 2019/881, og som giver fabrikanterne overensstemmelsesformodning, gøre det lettere for markedsovervågningsmyndighederne at kontrollere overholdelse af kravene for så vidt angår produkter med digitale elementer. Fabrikanter af produkter med digitale elementer opfordres derfor til at anvende sådanne harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger.
(88)
Fabrikanterne bør udfærdige en EU-overensstemmelseserklæring for at afgive de i henhold til denne forordning krævede oplysninger om overensstemmelsen af produkter med digitale elementer med de væsentlige cybersikkerhedskrav, der er fastsat i denne forordning og, i givet fald, med anden relevant EU-harmoniseringslovgivning, som produktet med digitale elementer er omfattet af. Fabrikanter kan også blive pålagt at udarbejde en EU-overensstemmelseserklæring i henhold til andre EU-retsakter. For at sikre effektiv adgang til oplysninger med henblik på markedsovervågning bør der udarbejdes en enkelt EU-overensstemmelseserklæring for overholdelse af alle relevante EU-retsakter. For at mindske de administrative byrder for de erhvervsdrivende bør det være muligt for denne enkelte EU-overensstemmelseserklæring at tage form af et dossier bestående af relevante individuelle overensstemmelseserklæringer.
(89)
CE-mærkningen er et udtryk for et produkts overensstemmelse med kravene og det synlige resultat af en omfattende proces med overensstemmelsesvurdering i bred forstand. De generelle principper for CE-mærkning er fastsat i Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 
(
29
)
. Der bør i nærværende forordning fastsættes bestemmelser vedrørende anbringelsen af CE-mærkningen på produkter med digitale elementer. CE-mærkningen bør være den eneste mærkning, der garanterer, at produkter med digitale elementer opfylder kravene i nærværende forordning.
(90)
For at gøre det muligt for erhvervsdrivende at påvise overensstemmelse med de væsentlige cybersikkerhedskrav i denne forordning og gøre det muligt for markedsovervågningsmyndighederne at sikre, at produkter med digitale elementer, der gøres tilgængelige på markedet, opfylder disse krav, er det nødvendigt at fastsætte overensstemmelsesvurderingsprocedurer. Europa-Parlamentets og Rådets afgørelse 768/2008/EF 
(
30
)
 fastsætter moduler for overensstemmelsesvurderingsprocedurer alt efter risikoniveauet og det krævede sikkerhedsniveau. For at sikre kohærens mellem de forskellige sektorer og undgå ad hoc-varianter bør overensstemmelsesvurderingsprocedurer, der er tilstrækkelige til kontrol af, om produkter med digitale elementer er i overensstemmelse med de væsentlige cybersikkerhedskrav i denne forordning, være baseret på disse moduler. Overensstemmelsesvurderingsprocedurerne bør omfatte en undersøgelse og kontrol af både produkt- og procesrelaterede krav, der dækker hele livscyklussen for produkter med digitale elementer, herunder planlægning, design, udvikling eller produktion, afprøvning og vedligeholdelse af produktet med digitale elementer.
(91)
Overensstemmelsesvurderingen af produkter med digitale elementer, der ikke er opført som væsentlige eller kritiske produkter med digitale elementer i denne forordning, kan foretages af fabrikanten på eget ansvar i henhold til den interne kontrolprocedure baseret på modul A i afgørelse 768/2008/EF i overensstemmelse med denne forordning. Dette gælder også i tilfælde, hvor en fabrikant vælger helt eller delvist ikke at anvende en gældende harmoniseret standard, en fælles specifikation eller den europæiske cybersikkerhedscertificeringsordning. Fabrikanten har fleksibilitet til at vælge en strengere overensstemmelsesvurderingsprocedure, der involverer en tredjepart. Under proceduren for intern kontrol sikrer og erklærer fabrikanten på eget eksklusive ansvar, at produktet med digitale elementer og fabrikantens processer opfylder de gældende væsentlige cybersikkerhedskrav i denne forordning. Hvis et vigtigt produkt med digitale elementer er omfattet af klasse I, kræves der yderligere sikkerhed for at påvise overensstemmelse med de væsentlige cybersikkerhedskrav i denne forordning. Fabrikanten bør anvende harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger vedtaget i henhold til forordning (EU) 2019/881, som Kommissionen har identificeret i en gennemførelsesretsakt, hvis fabrikanten ønsker at foretage overensstemmelsesvurderingen på eget ansvar (modul A). Hvis fabrikanten ikke anvender sådanne harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger, bør fabrikanten lade foretage en overensstemmelsesvurdering af tredjepart (baseret på modul B og C eller H). Under hensyntagen til fabrikanternes administrative byrde og det forhold, at cybersikkerhed spiller en vigtig rolle i design- og udviklingsfasen for materielle og immaterielle produkter med digitale elementer, er overensstemmelsesvurderingsprocedurer baseret på modul B og C eller modul H i afgørelse nr. 768/2008/EF blevet valgt som værende mest hensigtsmæssige til at vurdere overensstemmelsen af vigtige produkter med digitale elementer på en forholdsmæssig og effektiv måde. Den fabrikant, der foretager tredjepartsoverensstemmelsesvurderingen, kan vælge den procedure, der passer bedst til fabrikantens design- og produktionsproces. I betragtning af den endnu større cybersikkerhedsrisiko, der er forbundet med anvendelsen af vigtige produkter med digitale elementer, der er omfattet af klasse II, bør overensstemmelsesvurderingen altid involvere en tredjepart, selv når produktet helt eller delvist overholder harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger. Fabrikanter af vigtige produkter med digitale elementer, der kan betegnes som gratis open source-software, bør kunne følge den interne kontrolprocedure baseret på modul A, forudsat at de stiller den tekniske dokumentation til rådighed for offentligheden.
(92)
Selv om fremstillingen af håndgribelige produkter med digitale elementer normalt kræver, at fabrikanterne gør en betydelig indsats i hele design-, udviklings- og produktionsfasen, er der ved fremstillingen af produkter med digitale elementer i form af software næsten udelukkende fokus på design og udvikling, mens produktionsfasen spiller en mindre rolle. I mange tilfælde skal softwareprodukter dog stadig først samles, bygges, pakkes, gøres tilgængelige for download eller kopieres på fysiske medier, inden de bringes i omsætning. Disse aktiviteter bør anses som aktiviteter, der svarer til produktion, når de relevante overensstemmelsesvurderingsmoduler anvendes til at verificere produktets overensstemmelse med de væsentlige cybersikkerhedskrav i denne forordning i hele design-, udviklings- og produktionsfasen.
(93)
For så vidt angår mikrovirksomheder og små virksomheder er det for at sikre proportionalitet hensigtsmæssigt at mindske de administrative omkostninger uden at påvirke graden af cybersikkerhedsbeskyttelse for produkter med digitale elementer, der er omfattet af denne forordnings anvendelsesområde, eller de lige konkurrencevilkår for fabrikanter. Det er derfor hensigtsmæssigt, at Kommissionen udarbejder en forenklet teknisk dokumentationsformular, der er målrettet mikrovirksomheders og små virksomheders behov. Den forenklede tekniske dokumentationsformular, som Kommissionen har vedtaget, bør omfatte alle de relevante elementer vedrørende den tekniske dokumentation, der er fastsat i denne forordning, og præcisere, hvordan en mikrovirksomhed eller en lille virksomhed kan levere de ønskede elementer på en koncis måde, såsom beskrivelsen af designet, udviklingen og produktionen af produktet med digitale elementer. I den forbindelse vil formularen bidrage til at lette den administrative byrde i forbindelse med overensstemmelse ved at give de berørte virksomheder retssikkerhed med hensyn til omfanget og detaljeringsgraden af de oplysninger, der skal gives. Mikrovirksomheder og små virksomheder bør kunne vælge at fremlægge de relevante elementer vedrørende teknisk dokumentation i omfattende form og ikke drage fordel af den forenklede tekniske form, der er til rådighed for dem.
(94)
For at fremme og beskytte innovation er det vigtigt, at der tages særligt hensyn til interesserne hos fabrikanter, der er mikrovirksomheder eller små eller mellemstore virksomheder, navnlig mikrovirksomheder og små virksomheder, herunder nyetablerede virksomheder. Med henblik herpå kan medlemsstaterne udvikle initiativer, der er rettet mod fabrikanter, der er mikrovirksomheder eller små virksomheder, herunder for så vidt angår aktiviteter vedrørende uddannelse, bevidstgørelse, kommunikation af oplysninger, afprøvning og tredjepartsoverensstemmelsesvurdering samt oprettelse af sandkasser. Udgifter til oversættelse i forbindelse med obligatorisk dokumentation såsom den tekniske dokumentation og de oplysninger og anvisninger til brugeren, der kræves i henhold til denne forordning, og kommunikation med myndighederne kan udgøre en betydelig omkostning for fabrikanterne, herunder fabrikanter af mindre størrelse. Medlemsstaterne bør derfor kunne bestemme, at et af de sprog, som de bestemmer sig for og accepterer til de relevante fabrikanters dokumentation og til kommunikation med fabrikanter, er et sprog, der forstås bredt af det størst mulige antal brugere.
(95)
For at sikre en gnidningsløs anvendelse af denne forordning bør medlemsstaterne sikre, at der inden datoen for denne forordnings anvendelse er et tilstrækkeligt antal bemyndigede organer tilgængelige til at udføre tredjepartsoverensstemmelsesvurderinger. Kommissionen bør bistå medlemsstaterne og andre relevante parter med disse bestræbelser for at undgå flaskehalse og hindringer for fabrikanters markedsadgang. Målrettede uddannelsesaktiviteter under ledelse af medlemsstaterne, herunder, hvor det er hensigtsmæssigt, med støtte fra Kommissionen, kan bidrage til tilgængeligheden af kvalificerede fagfolk, herunder til støtte for bemyndigede organers aktiviteter i henhold til denne forordning. I betragtning af de omkostninger, som tredjepartsoverensstemmelsesvurderinger kan medføre, bør det desuden overvejes at finansiere initiativer på EU-plan og nationalt plan, der har til formål at lette sådanne omkostninger for mikrovirksomheder og små virksomheder.
(96)
For at sikre proportionalitet bør overensstemmelsesvurderingsorganer, når de fastsætter gebyrerne for overensstemmelsesvurderingsprocedurer, tage hensyn til mikrovirksomheders og små og mellemstore virksomheders, herunder nyetablerede virksomheders, særlige interesser og behov. Overensstemmelsesvurderingsorganerne bør navnlig kun anvende den relevante undersøgelsesprocedure og de relevante afprøvninger, der er fastsat i denne forordning, hvor det er relevant og efter en risikobaseret tilgang.
(97)
Formålet med reguleringsmæssige sandkasser bør være at fremme innovation og konkurrenceevne for virksomheder ved at etablere kontrollerede afprøvningsmiljøer, inden produkter med digitale elementer bringes i omsætning. Reguleringsmæssige sandkasser bør bidrage til at forbedre retssikkerheden for alle aktører, der er omfattet af denne forordnings anvendelsesområde, og lette og fremskynde adgangen til EU-markedet for produkter med digitale elementer, navnlig når de leveres af mikrovirksomheder og små virksomheder, herunder nyetablerede virksomheder.
(98)
Med henblik på foretagelse af tredjepartsoverensstemmelsesvurderinger af produkter med digitale elementer bør de nationale bemyndigende myndigheder notificere overensstemmelsesvurderingsorganer til Kommissionen og de øvrige medlemsstater, forudsat at de opfylder en række krav, navnlig med hensyn til uafhængighed, kompetencer og fravær af interessekonflikter.
(99)
For at sikre et ensartet kvalitetsniveau ved overensstemmelsesvurderingen af produkter med digitale elementer er det også nødvendigt at fastsætte krav til bemyndigende myndigheder og andre organer, som er involveret i vurdering, bemyndigelse og overvågning af bemyndigede organer. Den ordning, der fastsættes ved denne forordning, bør suppleres af akkrediteringsordningen som omhandlet i forordning (EF) nr. 765/2008. Da akkreditering er et vigtigt middel til at efterprøve overensstemmelsesvurderingsorganers kompetence, bør det også anvendes med henblik på bemyndigelse.
(100)
Overensstemmelsesvurderingsorganer, der er akkrediteret og bemyndiget i henhold til EU-retten, der fastsætter krav svarende til dem, der er fastsat i denne forordning, såsom et overensstemmelsesvurderingsorgan, der er bemyndiget til en europæisk cybersikkerhedscertificeringsordning vedtaget i henhold til forordning (EU) 2019/881 eller bemyndiget i henhold til delegeret forordning (EU) 2022/30, bør vurderes og bemyndiges på ny i henhold til nærværende forordning. De relevante myndigheder kan dog definere synergier med hensyn til overlappende krav for at undgå unødvendige finansielle og administrative byrder og for at sikre en gnidningsløs og rettidig bemyndigelsesprocedure.
(101)
De nationale offentlige myndigheder i hele Unionen bør betragte gennemsigtig akkreditering som foreskrevet i forordning (EF) nr. 765/2008, der sikrer den fornødne tillid til overensstemmelsesattester, som værende det foretrukne middel til dokumentation af overensstemmelsesvurderingsorganers tekniske kompetence. De nationale myndigheder kan imidlertid finde, at de selv har passende midler til at foretage denne evaluering. I så fald bør de for at sikre et passende troværdighedsniveau for evalueringer, der foretages af andre nationale myndigheder, forelægge Kommissionen og de øvrige medlemsstater den nødvendige dokumentation for, at de evaluerede overensstemmelsesvurderingsorganer overholder de relevante forskriftsmæssige krav.
(102)
Overensstemmelsesvurderingsorganer giver ofte dele af deres aktiviteter i forbindelse med overensstemmelsesvurdering til underleverandører eller benytter sig af en dattervirksomhed. For at sikre det krævede beskyttelsesniveau for et produkt med digitale elementer, der skal bringes i omsætning, er det afgørende, at de pågældende underleverandører og dattervirksomheder opfylder de samme krav som bemyndigede organer hvad angår udførelse af overensstemmelsesvurderingsopgaver.
(103)
Den bemyndigende myndighed bør fremsende underretningen om bemyndigelsen af et overensstemmelsesvurderingsorgan til Kommissionen og de øvrige medlemsstater via NANDO-informationssystemet (New Approach Notified and Designated Organisations). NANDO-informationssystemet er det elektroniske notifikationsværktøj, som Kommissionen har udviklet og administrerer, og det indeholder en liste over alle bemyndigede organer.
(104)
Eftersom bemyndigede organer kan tilbyde deres tjenester i hele Unionen, er det hensigtsmæssigt at give de øvrige medlemsstater og Kommissionen mulighed for at kunne gøre indsigelse mod et bemyndiget organ. Det er derfor vigtigt, at der fastsættes en periode, inden for hvilken eventuel tvivl eller usikkerhed om overensstemmelsesvurderingsorganers kompetence kan afklares, før de påbegynder deres aktiviteter som bemyndigede organer.
(105)
Af konkurrencehensyn er det afgørende, at bemyndigede organer anvender overensstemmelsesvurderingsprocedurerne uden at skabe unødvendige byrder for de erhvervsdrivende. Af samme grund og for at sikre, at de erhvervsdrivende behandles ens, er det nødvendigt at sikre, at den tekniske anvendelse af overensstemmelsesvurderingsprocedurerne er ensartet. Dette kan bedst opnås gennem hensigtsmæssig koordinering og samarbejde mellem de bemyndigede organer.
(106)
Markedsovervågning er et væsentligt instrument til at sikre en korrekt og ensartet anvendelse af EU-retten. Det er derfor hensigtsmæssigt at skabe juridiske rammer, inden for hvilke markedsovervågningen kan foretages på en passende måde. Reglerne om EU-markedsovervågning og kontrol af produkter, der indføres på EU-markedet, i forordning (EU) 2019/1020 finder anvendelse på produkter med digitale elementer, der er omfattet af nærværende forordnings anvendelsesområde.
(107)
I overensstemmelse med forordning (EU) 2019/1020 udfører en markedsovervågningsmyndighed markedsovervågning på området for den medlemsstat, som udpeger den. Nærværende forordning bør ikke forhindre medlemsstater i at vælge de kompetente myndigheder, der skal udføre markedsovervågningsopgaver. Hver medlemsstat bør udpege en eller flere markedsovervågningsmyndigheder på dens område. Medlemsstaterne bør kunne vælge at udpege enhver eksisterende eller ny myndighed som markedsovervågningsmyndighed, herunder kompetente myndigheder udpeget eller etableret i henhold til artikel 8 i direktiv (EU) 2022/2555, nationale cybersikkerhedscertificeringsmyndigheder udpeget i henhold til artikel 58 i forordning (EU) 2019/881 eller markedsovervågningsmyndigheder udpeget med henblik på direktiv 2014/53/EU. Erhvervsdrivende bør samarbejde fuldt ud med markedsovervågningsmyndigheder og andre kompetente myndigheder. Hver medlemsstat bør underrette Kommissionen samt de øvrige medlemsstater om sine markedsovervågningsmyndigheder og kompetenceområderne for hver af disse myndigheder og bør sikre de nødvendige ressourcer og færdigheder til at udføre markedsovervågningsopgaverne vedrørende nærværende forordning. I henhold til artikel 10, stk. 2 og 3, i forordning (EU) 2019/1020 bør hver medlemsstat udpege et centralt forbindelseskontor, der bl.a. er ansvarligt for at repræsentere den koordinerede holdning blandt markedsovervågningsmyndighederne og bidrage til samarbejdet mellem markedsovervågningsmyndighederne i forskellige medlemsstater.
(108)
Der bør oprettes en særlig ADCO for cyberrobustheden af produkter med digitale elementer med henblik på ensartet gennemførelse af denne forordning i henhold til artikel 30, stk. 2, i forordning (EU) 2019/1020. ADCO bør bestå af repræsentanter fra de udpegede markedsovervågningsmyndigheder og, hvis det er relevant, repræsentanter fra de centrale forbindelseskontorer. Kommissionen bør støtte og tilskynde til samarbejde mellem markedsovervågningsmyndigheder gennem EU-netværket for produktoverensstemmelse, der er oprettet i henhold til artikel 29 i forordning (EU) 2019/1020 og består af repræsentanter for hver medlemsstat, herunder en repræsentant for hvert centralt forbindelseskontor som omhandlet i nævnte forordnings artikel 10 og en valgfri national ekspert, formændene for ADCO'erne og repræsentanter for Kommissionen. Kommissionen bør deltage i møderne hos EU-netværket for produktoverensstemmelse, dets undergrupper og ADCO. Den bør også bistå ADCO med et administrativt sekretariat, der yder teknisk og logistisk støtte. ADCO kan også indbyde uafhængige eksperter til at deltage og samarbejde med andre ADCO'er såsom den, der er oprettet i henhold til direktiv 2014/53/EU.
(109)
Markedsovervågningsmyndighederne bør gennem ADCO, der oprettes i henhold til denne forordning, arbejde tæt sammen og bør kunne udarbejde vejledninger for at lette markedsovervågningsaktiviteter på nationalt plan såsom ved at udvikle bedste praksis og indikatorer med henblik på effektivt at kontrollere, at produkter med digitale elementer overholder denne forordning.
(110)
For at sikre rettidige, forholdsmæssige og effektive foranstaltninger vedrørende produkter med digitale elementer, der udgør en væsentlig cybersikkerhedsrisiko, bør der indføres en EU-beskyttelsesprocedure, hvorved berørte parter orienteres om påtænkte foranstaltninger vedrørende sådanne produkter. Herved vil markedsovervågningsmyndighederne i samarbejde med de relevante erhvervsdrivende også få mulighed for at gribe ind i en tidligere fase, hvor det er nødvendigt. Hvor medlemsstaterne og Kommissionen er enige om berettigelsen af en foranstaltning truffet af en medlemsstat, bør Kommissionen ikke inddrages yderligere, medmindre manglende overholdelse af kravene kan tillægges mangler ved en harmoniseret standard.
(111)
I visse tilfælde kan et produkt med digitale elementer, der overholder denne forordning, ikke desto mindre udgøre en væsentlig cybersikkerhedsrisiko eller en risiko for menneskers sundhed eller sikkerhed, for misligholdelse af forpligtelser i henhold til den del af EU-retten eller national ret, der har til formål at beskytte de grundlæggende rettigheder, tilgængeligheden, autenticiteten, integriteten eller fortroligheden af tjenester, der leveres ved brug af elektroniske informationssystemer af væsentlige enheder som omhandlet i artikel 3, stk. 1, i direktiv (EU) 2022/2555, eller andre aspekter af beskyttelsen af den offentlige interesse. Det er derfor nødvendigt at fastsætte regler, der sikrer, at disse risici afbødes. Som følge heraf bør markedsovervågningsmyndighederne træffe foranstaltninger til at kræve, at den erhvervsdrivende sikrer, at produktet ikke længere udgør den risiko, eller at det tilbagekaldes eller trækkes tilbage, afhængigt af risikoen. Så snart en markedsovervågningsmyndighed begrænser eller forbyder den frie bevægelighed for et produkt med digitale elementer på en sådan måde, bør medlemsstaten straks underrette Kommissionen og de øvrige medlemsstater om de foreløbige foranstaltninger og angive begrundelserne for afgørelsen. Hvor en markedsovervågningsmyndighed vedtager sådanne foranstaltninger over for produkter med digitale elementer, der udgør en risiko, bør Kommissionen straks rådføre sig med medlemsstaterne og den eller de relevante erhvervsdrivende og evaluere den nationale foranstaltning. På grundlag af resultaterne af denne evaluering bør Kommissionen træffe afgørelse om, hvorvidt den nationale foranstaltning er berettiget eller ej. Kommissionen bør rette sin afgørelse til alle medlemsstaterne og omgående meddele den til disse og til den eller de relevante erhvervsdrivende. Hvis foranstaltningen anses for at være berettiget, bør Kommissionen også overveje, om der skal vedtages forslag til revision af den relevante EU-ret.
(112)
For produkter med digitale elementer, der udgør en væsentlig cybersikkerhedsrisiko, og hvor der er grund til at tro, at de ikke er i overensstemmelse med denne forordning, eller for produkter, som er i overensstemmelse med denne forordning, men indebærer andre betydelige risici såsom risici for menneskers sundhed eller sikkerhed, for overholdelse af forpligtelser i henhold til EU-retten eller national ret, der har til formål at beskytte de grundlæggende rettigheder, eller for tilgængeligheden, autenticiteten, integriteten eller fortroligheden af tjenester, der leveres ved brug af elektroniske informationssystemer af væsentlige enheder som omhandlet i artikel 3, stk. 1, i direktiv (EU) 2022/2555, bør Kommissionen bør kunne anmode ENISA om at foretage en evaluering. På grundlag af denne evaluering bør Kommissionen ved hjælp af gennemførelsesretsakter kunne vedtage korrigerende eller restriktive foranstaltninger på EU-plan, herunder påbud om at trække de pågældende produkter med digitale elementer tilbage fra markedet eller tilbagekalde dem inden for en rimelig tidsfrist, som den fastsætter i forhold til risikoens art. Kommissionen bør kun kunne foretage et sådant indgreb under ekstraordinære omstændigheder, der berettiger et hurtigt indgreb for at bevare et velfungerende indre marked, og kun hvis markedsovervågningsmyndighederne ikke har truffet effektive foranstaltninger til at rette op på situationen. Sådanne ekstraordinære omstændigheder kan være nødsituationer, f.eks. hvor et produkt med digitale elementer, der ikke opfylder kravene, gøres bredt tilgængeligt af fabrikanten i flere medlemsstater og også anvendes af enheder i nøglesektorer, der er omfattet af anvendelsesområdet for direktiv (EU) 2022/2555, selv om det indeholder kendte sårbarheder, der udnyttes af ondsindede aktører, og som fabrikanten ikke udsender rettelser til. Kommissionen bør kun kunne gribe ind i sådanne nødsituationer, så længe de ekstraordinære omstændigheder er til stede, og hvis manglende overholdelse af denne forordning eller de betydelige risici forbundet hermed fortsat er til stede.
(113)
Hvor der er tegn på manglende overholdelse af denne forordning i flere medlemsstater, bør markedsovervågningsmyndighederne kunne gennemføre fælles aktiviteter med andre myndigheder med henblik på at verificere overholdelsen og identificere cybersikkerhedsrisici forbundet med produkter med digitale elementer.
(114)
Samtidige koordinerede kontrolaktioner er specifikke håndhævelsesforanstaltninger truffet af markedsovervågningsmyndighederne, som kan forbedre produktsikkerheden. Kontrolaktioner bør navnlig foretages, hvor markedstendenser, forbrugerklager eller andre forhold tyder på, at visse kategorier af produkter med digitale elementer ofte viser sig at udgøre en cybersikkerhedsrisiko. Ved fastlæggelsen af, hvilke produktkategorier der skal underkastes kontrolaktioner, bør markedsovervågningsmyndighederne desuden også tage hensyn til omstændigheder vedrørende ikketekniske risikofaktorer. Med henblik herpå bør markedsovervågningsmyndighederne kunne tage hensyn til resultaterne af koordinerede sikkerhedsrisikovurderinger af kritiske forsyningskæder på EU-plan, der foretages i overensstemmelse med artikel 22 i direktiv (EU) 2022/2555, herunder omstændigheder vedrørende ikketekniske risikofaktorer. ENISA bør indsende forslag til kategorier af produkter med digitale elementer, for hvilke der kan tilrettelægges kontrolaktioner, til markedsovervågningsmyndighederne, bl.a. på grundlag af de underretninger om produktsårbarheder og hændelser, som det modtager.
(115)
I betragtning af ENISA's ekspertise og mandat bør det være i stand til at støtte processen for gennemførelse af denne forordning. ENISA bør navnlig kunne foreslå fælles aktiviteter, der skal gennemføres af markedsovervågningsmyndighederne, på grundlag af tegn på eller oplysninger om, at kravene i denne forordning til produkter med digitale elementer muligvis ikke overholdes i flere medlemsstater, eller identificere produktkategorier, for hvilke der bør tilrettelægges kontrolaktioner. Under ekstraordinære omstændigheder bør ENISA efter anmodning fra Kommissionen kunne foretage evalueringer af specifikke produkter med digitale elementer, der udgør en væsentlig cybersikkerhedsrisiko, hvor der er behov for et hurtigt indgreb for at bevare et velfungerende indre marked.
(116)
Denne forordning overdrager visse opgaver til ENISA, som kræver passende ressourcer med hensyn til både ekspertise og menneskelige ressourcer for at sætte ENISA i stand til at udføre disse opgaver effektivt. Kommissionen vil ved udarbejdelsen af forslaget til Unionens almindelige budget foreslå de nødvendige budgetmidler til ENISA's stillingsfortegnelse i overensstemmelse med proceduren i artikel 29 i forordning (EU) 2019/881. Under denne proces vil Kommissionen tage hensyn til ENISA's samlede ressourcer for at sætte det i stand til at udføre sine opgaver, herunder dem, der pålægges ENISA i henhold til nærværende forordning.
(117)
For at sikre, at den lovgivningsmæssige ramme kan tilpasses, hvor det er nødvendigt, bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i traktaten om Den Europæiske Unions funktionsmåde (TEUF), for så vidt angår opdateringer af et bilag til denne forordning med listen over vigtige produkter med digitale elementer. Beføjelsen til at vedtage retsakter bør delegeres til Kommissionen i overensstemmelse med nævnte artikel for at identificere produkter med digitale elementer, der er omfattet af andre EU-regler og opnår samme beskyttelsesniveau som i denne forordning, og for at præcisere, om en begrænsning eller udelukkelse fra denne forordnings anvendelsesområde er nødvendig, samt omfanget af denne begrænsning, hvis det er relevant. Beføjelsen til at vedtage retsakter bør også delegeres til Kommissionen i overensstemmelse med nævnte artikel for så vidt angår potentiel tildeling af mandat til certificering i henhold til en europæisk cybersikkerhedscertificeringsordning for kritiske produkter med digitale elementer fastsat i et bilag til denne forordning, og til at opdatere listen over kritiske produkter med digitale elementer baseret på kritikalitetskriterier fastsat i denne forordning, samt til at præcisere den europæiske cybersikkerhedscertificeringsordning, der er vedtaget i henhold til forordning (EU) 2019/881, som kan anvendes til at påvise overensstemmelse med de væsentlige cybersikkerhedskrav eller dele heraf som fastsat i et bilag til nærværende forordning. Beføjelsen til at vedtage retsakter bør også delegeres til Kommissionen med henblik på at præcisere minimumssupportperioden for visse produktkategorier, hvis markedsovervågningsdataene tyder på utilstrækkelige supportperioder, samt til at præcisere vilkårene og betingelserne for anvendelse af de cybersikkerhedsrelaterede grunde i forbindelse med udsættelse af formidlingen af underretninger om aktivt udnyttede sårbarheder. Desuden bør beføjelsen til at vedtage retsakter delegeres til Kommissionen med henblik på at fastlægge frivillige sikkerhedscertificeringsprogrammer for at vurdere overensstemmelsen af produkter med digitale elementer, der kan betegnes som gratis open source-software, med alle eller visse væsentlige cybersikkerhedskrav eller andre forpligtelser, der er fastsat i nærværende forordning, samt for at præcisere minimumsindholdet af EU-overensstemmelseserklæringen og supplere de elementer, der skal indgå i den tekniske dokumentation. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning 
(
31
)
. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelse af delegerede retsakter. Beføjelsen til at vedtage delegerede retsakter i henhold til nærværende forordning bør tillægges Kommissionen for en periode på fem år fra den 10. december 2024. Kommissionen bør udarbejde en rapport vedrørende delegationen af beføjelser senest ni måneder inden udløbet af femårsperioden. Delegationen af beføjelser bør stiltiende forlænges for perioder af samme varighed, medmindre Europa-Parlamentet eller Rådet modsætter sig en sådan forlængelse senest tre måneder inden udløbet af hver periode.
(118)
For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser til at præcisere den tekniske beskrivelse af kategorierne af vigtige produkter med digitale elementer, der er fastsat i et bilag til denne forordning, præcisere formatet og elementerne i softwarekomponentlisten, yderligere præcisere formatet og proceduren for underretninger om aktivt udnyttede sårbarheder og alvorlige hændelser, der har indvirkning på sikkerheden af produkter med digitale elementer, der indgives af fabrikanter, fastsætte fælles specifikationer, der dækker tekniske krav, der giver mulighed for at opfylde de væsentlige cybersikkerhedskrav, der er fastsat i et bilag til denne forordning, fastsætte tekniske specifikationer for etiketter, piktogrammer eller andre mærker vedrørende sikkerheden af produkter med digitale elementer, deres supportperiode og mekanismer til at fremme deres anvendelse og øge offentlighedens bevidsthed om sikkerheden ved produkter med digitale elementer, præcisere den forenklede dokumentationsformular, der er rettet mod mikrovirksomheders og små virksomheders behov, og træffe afgørelse om korrigerende eller restriktive foranstaltninger på EU-plan under ekstraordinære omstændigheder, der berettiger et hurtigt indgreb for at bevare et velfungerende indre marked. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
32
)
.
(119)
For at sikre et tillidsfuldt og konstruktivt samarbejde mellem markedsovervågningsmyndigheder på EU-plan og nationalt plan bør alle de parter, der er involveret i anvendelsen af denne forordning, respektere fortroligheden af de oplysninger og data, der er indhentet under udførelsen af deres opgaver.
(120)
For at sikre en effektiv håndhævelse af de forpligtelser, der er fastsat i denne forordning, bør hver markedsovervågningsmyndighed have beføjelse til at pålægge eller anmode om pålæggelse af administrative bøder. Der bør derfor fastsættes maksimumsniveauer for administrative bøder i national ret for manglende overholdelse af forpligtelserne i denne forordning. Ved fastsættelsen af den administrative bødes størrelse bør der i hvert enkelt tilfælde tages hensyn til alle relevante omstændigheder i den specifikke situation og som minimum dem, der udtrykkeligt er fastsat i denne forordning, herunder hvorvidt fabrikanten er en mikrovirksomhed eller en lille eller mellemstor virksomhed, herunder en nyetableret virksomhed, og hvorvidt andre markedsovervågningsmyndigheder allerede har pålagt den samme erhvervsdrivende administrative bøder for lignende overtrædelser. Sådanne omstændigheder kan enten være skærpende i situationer, hvor den samme erhvervsdrivendes overtrædelse varer ved på en anden medlemsstats område end den, hvor der allerede er pålagt en administrativ bøde, eller formildende ved at sikre, at der i forbindelse med enhver anden administrativ bøde, som en anden markedsovervågningsmyndighed overvejer at pålægge den samme erhvervsdrivende eller for den samme type overtrædelse, tages hensyn til en bøde og størrelsen heraf pålagt i andre medlemsstater og til andre relevante særlige omstændigheder. I alle sådanne tilfælde bør den kumulative administrative bøde, som markedsovervågningsmyndighederne i flere medlemsstater kan pålægge den samme erhvervsdrivende for den samme type overtrædelse, sikre, at proportionalitetsprincippet overholdes. Eftersom administrative bøder ikke finder anvendelse på mikrovirksomheder eller små virksomheder for manglende overholdelse af fristen på 24 timer for tidlig varsling om aktivt udnyttede sårbarheder eller alvorlige hændelser, der har indvirkning på sikkerheden af produktet med digitale elementer, eller på open source software-forvaltere for overtrædelse af denne forordning, og uden at det berører princippet om, at sanktionerne bør være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning, bør medlemsstaterne ikke pålægge disse enheder andre former for bøder.
(121)
Hvor en person, der ikke er en virksomhed, pålægges administrative bøder, bør den kompetente myndighed i forbindelse med fastsættelsen af bødestørrelsen tage hensyn til det generelle indkomstniveau i den pågældende medlemsstat og personens økonomiske situation. Det bør være op til medlemsstaterne at bestemme, om og i hvilket omfang de offentlige myndigheder bør kunne pålægges administrative bøder.
(122)
Medlemsstaterne bør under hensyntagen til nationale forhold undersøge muligheden for at anvende indtægterne fra sanktionerne som fastsat i denne forordning eller deres finansielle ækvivalent til at støtte cybersikkerhedspolitikker og øge cybersikkerhedsniveauet i Unionen ved bl.a. at øge antallet af kvalificerede fagfolk inden for cybersikkerhed, styrke kapacitetsopbygningen for mikrovirksomheder og små og mellemstore virksomheder og forbedre offentlighedens bevidsthed om cybertrusler.
(123)
I sine relationer med tredjelande tilstræber Unionen at fremme international handel med regulerede produkter. Der kan anvendes en lang række foranstaltninger til at fremme handel, herunder en række retlige instrumenter såsom bilaterale (mellemstatslige) aftaler om gensidig anerkendelse af overensstemmelsesvurdering og mærkning af regulerede produkter. Aftaler om gensidig anerkendelse indgås mellem Unionen og tredjelande, der er på samme tekniske udviklingsniveau og har en tilsvarende tilgang til overensstemmelsesvurdering. Disse aftaler er baseret på gensidig accept af certifikater, overensstemmelsesmærkninger og afprøvningsrapporter udstedt af parternes overensstemmelsesvurderingsorganer i overensstemmelse med den anden parts lovgivning. I øjeblikket er der indgået aftaler om gensidig anerkendelse med flere tredjelande. Disse aftaler er indgået i en række specifikke sektorer, der kan variere fra tredjeland til tredjeland. For yderligere at lette handelen og i erkendelse af, at forsyningskæderne for produkter med digitale elementer er globale, kan aftaler om gensidig anerkendelse vedrørende overensstemmelsesvurdering for produkter, der reguleres i henhold til denne forordning, indgås af Unionen i overensstemmelse med artikel 218 i TEUF. Samarbejde med partnertredjelande er også vigtigt for at styrke cyberrobustheden på globalt plan, da dette på lang sigt vil bidrage til en styrket ramme for cybersikkerhed både i og uden for Unionen.
(124)
Forbrugere bør have ret til at håndhæve deres rettigheder i relation til de forpligtelser, som erhvervsdrivende pålægges i henhold til denne forordning, gennem anlæggelse af gruppesøgsmål i overensstemmelse med Europa-Parlamentets og Rådets direktiv (EU) 2020/1828 
(
33
)
. Det bør med henblik herpå fastsættes i denne forordning, at direktiv (EU) 2020/1828 finder anvendelse på gruppesøgsmål vedrørende overtrædelser af denne forordning, som skader eller kan skade forbrugernes kollektive interesser. Bilag I til nævnte direktiv bør derfor ændres i overensstemmelse hermed. Det er op til medlemsstaterne at sikre, at disse ændringer afspejles i gennemførelsesforanstaltningerne, der er vedtaget i henhold til nævnte direktiv, selv om vedtagelsen af nationale gennemførelsesforanstaltninger i denne henseende ikke er en betingelse for, at nævnte direktiv kan finde anvendelse på disse gruppesøgsmål. Anvendeligheden af nævnte direktiv på gruppesøgsmål, der anlægges til prøvelse af erhvervsdrivendes overtrædelser af bestemmelserne i denne forordning, og som skader eller kan skade forbrugernes kollektive interesser, bør begynde fra den 11. december 2027.
(125)
Kommissionen bør regelmæssigt evaluere og revidere denne forordning efter høring af relevante interessenter, navnlig med henblik på at afgøre, om der er behov for ændringer i lyset af skiftende samfundsmæssige, politiske eller teknologiske vilkår eller markedsvilkår. Denne forordning vil lette overholdelsen af forpligtelserne vedrørende forsyningskædesikkerhed for enheder, der er omfattet af anvendelsesområdet for forordning (EU) 2022/2554 og direktiv (EU) 2022/2555, og som anvender produkter med digitale elementer. Kommissionen bør som led i denne periodiske revision evaluere de kombinerede virkninger af Unionens ramme for cybersikkerhed.
(126)
Erhvervsdrivende bør have tilstrækkelig tid til at tilpasse sig kravene i denne forordning. Denne forordning bør anvendes fra 11. december 2027 med undtagelse af indberetningsforpligtelserne vedrørende aktivt udnyttede sårbarheder og alvorlige hændelser, der har indvirkning på sikkerheden af produkter med digitale elementer, som bør finde anvendelse fra den 11. september 2026, og bestemmelserne om bemyndigelse af overensstemmelsesvurderingsorganer, som bør finde anvendelse fra den 11. juni 2026.
(127)
Det er vigtigt at yde støtte til mikrovirksomheder og små og mellemstore virksomheder, herunder nyetablerede virksomheder, i forbindelse med gennemførelsen af denne forordning og minimere risiciene for gennemførelsen som følge af manglende viden og ekspertise på markedet samt for at lette fabrikanternes overholdelse af deres forpligtelser i henhold til denne forordning. Programmet for et digitalt Europa og andre relevante EU-programmer yder finansiel og teknisk støtte, der sætter disse virksomheder i stand til at bidrage til væksten i Unionens økonomi og til styrkelsen af det fælles cybersikkerhedsniveau i Unionen. Det Europæiske Kompetencecenter for Cybersikkerhed og nationale koordinationscentre samt europæiske digitale innovationsknudepunkter, der er oprettet af Kommissionen og medlemsstaterne på EU-plan eller nationalt plan, kan også støtte virksomheder og organisationer i den offentlige sektor og kan bidrage til gennemførelsen af denne forordning. Inden for rammerne af deres respektive ydelser og kompetenceområder kan de yde teknisk og videnskabelig støtte til mikrovirksomheder og små og mellemstore virksomheder såsom til afprøvningsaktiviteter og tredjepartsoverensstemmelsesvurderinger. De kan også fremme anvendelsen af værktøjer til at lette gennemførelsen af denne forordning.
(128)
Desuden bør medlemsstaterne overveje at træffe supplerende foranstaltninger, der har til formål at yde vejledning og støtte til mikrovirksomheder og små og mellemstore virksomheder, såsom oprettelse af reguleringsmæssige sandkasser og dedikerede kanaler for kommunikation. For at styrke cybersikkerhedsniveauet i Unionen kan medlemsstaterne også overveje at yde støtte til udvikling af kapacitet og færdigheder inden for cybersikkerhed for produkter med digitale elementer, forbedre erhvervsdrivendes cyberrobusthed, navnlig i mikrovirksomheder og små og mellemstore virksomheder, og fremme offentlighedens bevidsthed om cybersikkerheden for produkter med digitale elementer.
(129)
Målet for denne forordning kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af handlingens omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke ud over, hvad der er nødvendigt for at nå dette mål.
(130)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 
(
34
)
 og afgav en udtalelse den 9. november 2022 
(
35
)
 —
VEDTAGET DENNE FORORDNING:
KAPITEL I
ALMINDELIGE BESTEMMELSER
Artikel 1
Genstand
Ved denne forordning fastsættes:
a)
regler for tilgængeliggørelse på markedet af produkter med digitale elementer for at sikre cybersikkerheden for sådanne produkter
b)
væsentlige cybersikkerhedskrav til design, udvikling og produktion af produkter med digitale elementer og forpligtelser for erhvervsdrivende i forbindelse med disse produkter med hensyn til cybersikkerhed
c)
væsentlige cybersikkerhedskrav til sårbarhedshåndteringsprocesser, som fabrikanterne skal indføre for at sikre cybersikkerheden for produkter med digitale elementer i den periode, hvor produkterne forventes at være i brug, og forpligtelser for erhvervsdrivende i forbindelse med disse processer
d)
regler om markedsovervågning, herunder tilsyn, og håndhævelse af de regler og krav, der er omhandlet i denne artikel.
Artikel 2
Anvendelsesområde
1.   Denne forordning finder anvendelse på produkter med digitale elementer, der gøres tilgængelige på markedet, hvis tilsigtede formål eller rimeligt forudsigelige anvendelse omfatter en direkte eller indirekte logisk eller fysisk dataforbindelse til en enhed eller et netværk.
2.   Denne forordning finder ikke anvendelse på produkter med digitale elementer, som følgende EU-retsakter finder anvendelse på:
a)
forordning (EU) 2017/745
b)
forordning (EU) 2017/746
c)
forordning (EU) 2019/2144.
3.   Denne forordning finder ikke anvendelse på produkter med digitale elementer, der er certificeret i overensstemmelse med forordning (EU) 2018/1139.
4.   Denne forordning finder ikke anvendelse på udstyr, der er omfattet af Europa-Parlamentets og Rådets direktiv 2014/90/EU 
(
36
)
.
5.   Anvendelsen af denne forordning på produkter med digitale elementer, som er omfattet af andre EU-forskrifter, der fastlægger krav vedrørende alle eller nogle af de risici, som er omfattet af de væsentlige cybersikkerhedskrav i bilag I, kan begrænses eller udelukkes, hvis:
a)
en sådan begrænsning eller udelukkelse er i overensstemmelse med den overordnede lovgivningsmæssige ramme, der gælder for disse produkter, og
b)
de sektorspecifikke regler sikrer samme eller højere beskyttelsesniveau som det, der er fastsat i denne forordning.
Kommissionen tillægges beføjelse til at vedtage delegerede retsakter i overensstemmelse med artikel 61 til at supplere denne forordning ved at præcisere, hvorvidt en sådan begrænsning eller udelukkelse er nødvendig, de pågældende produkter og regler samt begrænsningens anvendelsesområde, hvis det er relevant.
6.   Denne forordning finder ikke anvendelse på reservedele, der gøres tilgængelige på markedet for at udskifte identiske komponenter i produkter med digitale elementer, og som er fremstillet efter de samme specifikationer som de komponenter, de skal udskifte.
7.   Denne forordning finder ikke anvendelse på produkter med digitale elementer, der udelukkende udvikles eller ændres til nationale sikkerheds- eller forsvarsformål, eller på produkter, der er specifikt designet til at behandle klassificerede oplysninger.
8.   De forpligtelser, der er fastsat i denne forordning, omfatter ikke meddelelse af oplysninger, hvis videregivelse ville stride mod væsentlige interesser med hensyn til medlemsstaternes nationale sikkerhed, offentlige sikkerhed eller forsvar.
Artikel 3
Definitioner
I denne forordning forstås ved:
1)
»produkt med digitale elementer«: et software- eller hardwareprodukt og dets fjerndatabehandlingsløsninger, herunder software- eller hardwarekomponenter, der bringes i omsætning separat
2)
»fjerndatabehandling«: databehandling på afstand, til hvilken softwaren er designet og udviklet af fabrikanten eller under fabrikantens ansvar, og hvis fravær ville forhindre produktet med digitale elementer i at udføre en af sine funktioner
3)
»cybersikkerhed«: cybersikkerhed som defineret i artikel 2, nr. 1), i forordning (EU) 2019/881
4)
»software«: den del af et elektronisk informationssystem, der består af maskinkode
5)
»hardware«: et fysisk elektronisk informationssystem eller dele heraf, der kan behandle, lagre eller overføre digitale data
6)
»komponent«: software eller hardware, der er beregnet til integration i et elektronisk informationssystem
7)
»elektronisk informationssystem«: et system, herunder elektrisk eller elektronisk udstyr, der kan behandle, lagre eller overføre digitale data
8)
»logisk forbindelse«: virtuel gengivelse af en dataforbindelse, der implementeres via en softwaregrænseflade
9)
»fysisk forbindelse«: en forbindelse mellem elektroniske informationssystemer eller komponenter, der implementeres ved hjælp af fysiske midler, herunder via elektriske, optiske eller mekaniske grænseflader, kabler eller radiobølger
10)
»indirekte forbindelse«: en forbindelse til udstyr eller netværk, som ikke sker direkte, men snarere som en del af et større system, der kan tilsluttes direkte til en sådan enhed eller et sådant netværk
11)
»adgangspunkt«: enhver enhed, der er tilsluttet et netværk og fungerer som indgangspunkt til dette netværk
12)
»erhvervsdrivende«: fabrikanten, den bemyndigede repræsentant, importøren, distributøren eller anden fysisk eller juridisk person, der har forpligtelser i forbindelse med fremstillingen af produkter med digitale elementer eller tilgængeliggørelsen af produkter med digitale elementer på markedet i overensstemmelse med denne forordning
13)
»fabrikant«: en fysisk eller juridisk person, som udvikler eller fremstiller produkter med digitale elementer eller får produkter med digitale elementer designet, udviklet eller fremstillet, og som markedsfører dem under sit navn eller varemærke mod vederlag, ved kommerciel udnyttelse eller uden vederlag
14)
»open source software-forvalter«: en juridisk person, som ikke er en fabrikant, og som har til formål eller mål systematisk at yde vedvarende støtte til udvikling af specifikke produkter med digitale elementer, der kan betegnes som gratis open source-software, og som er beregnet til kommercielle aktiviteter, og som sikrer disse produkters levedygtighed
15)
»bemyndiget repræsentant«: en i Unionen etableret fysisk eller juridisk person, som har modtaget en skriftlig fuldmagt fra en fabrikant til at handle på dennes vegne i forbindelse med varetagelsen af specifikke opgaver
16)
»importør«: en i Unionen etableret fysisk eller juridisk person, og som bringer et produkt med digitale elementer, som bærer en uden for Unionen etableret fysisk eller juridisk persons navn eller varemærke, i omsætning
17)
»distributør«: en fysisk eller juridisk person i forsyningskæden, bortset fra fabrikanten eller importøren, som gør et produkt med digitale elementer tilgængeligt på EU-markedet uden at have indflydelse på dets egenskaber
18)
»forbruger«: en fysisk person, der ikke handler som led i en pågældende persons erhverv, forretning, håndværk eller profession
19)
»mikrovirksomheder«, »små virksomheder« og »mellemstore virksomheder«: henholdsvis mikrovirksomheder, små virksomheder og mellemstore virksomheder som defineret i bilaget til henstilling 2003/361/EF
20)
»supportperiode«: den periode, hvor det kræves, at en fabrikant sikrer, at sårbarheder i et produkt med digitale elementer håndteres effektivt og i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, del II
21)
»bringe i omsætning«: første tilgængeliggørelse af et produkt med digitale elementer på EU-markedet
22)
»gøre tilgængelig på markedet«: levering af et produkt med digitale elementer med henblik på distribution eller anvendelse på EU-markedet som led i erhvervsvirksomhed mod eller uden vederlag
23)
»tilsigtet formål«: den anvendelse, som et produkt med digitale elementer er bestemt til ifølge fabrikanten, herunder den specifikke sammenhæng og de specifikke betingelser for anvendelse som angivet i de oplysninger, fabrikanten har givet i brugsanvisningerne, i reklame- eller salgsmaterialet og -erklæringerne samt i den tekniske dokumentation
24)
»anvendelse, der med rimelighed kan forudses«: anvendelse, som ikke nødvendigvis er det tilsigtede formål, som fabrikanten har angivet i brugsanvisningerne, i reklame- eller salgsmaterialet og -erklæringerne samt i den tekniske dokumentation, men som kan forventes som følge af menneskelig adfærd eller tekniske operationer eller interaktioner, der med rimelighed kan forudses
25)
»fejlanvendelse, der med rimelighed kan forudses«: anvendelse af et produkt med digitale elementer på en måde, der ikke er i overensstemmelse med systemets tilsigtede formål, men som kan skyldes menneskelig adfærd eller interaktion med andre systemer, der med rimelighed kan forudses
26)
»bemyndigende myndighed«: den nationale myndighed, der er ansvarlig for at indføre og gennemføre de nødvendige procedurer for vurdering, udpegelse og bemyndigelse af overensstemmelsesvurderingsorganer og for overvågning heraf
27)
»overensstemmelsesvurdering«: en proces til verificering af, hvorvidt de væsentlige cybersikkerhedskrav i bilag I er opfyldt
28)
»overensstemmelsesvurderingsorgan«: et overensstemmelsesvurderingsorgan som defineret i artikel 2, nr. 13), i forordning (EF) nr. 765/2008
29)
»bemyndiget organ«: et overensstemmelsesvurderingsorgan, der er udpeget i overensstemmelse med artikel 43 og anden relevant EU-harmoniseringslovgivning
30)
»væsentlig ændring«: en ændring af produktet med digitale elementer, efter at det er bragt i omsætning, som har indvirkning på overensstemmelsen af produktet med digitale elementer med de væsentlige cybersikkerhedskrav i bilag I, del I, eller som medfører en ændring af det tilsigtede formål, for hvilket produktet med digitale elementer er blevet vurderet
31)
»CE-mærkning«: mærkning, hvormed en fabrikant angiver, at et produkt med digitale elementer og de processer, som fabrikanten har indført, er i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I og anden gældende EU-harmoniseringslovgivning om anbringelse af denne mærkning
32)
»EU-harmoniseringslovgivning«: EU-lovgivningen i bilag I til forordning (EU) 2019/1020 og enhver anden EU-lovgivning, der harmoniserer betingelserne for markedsføring af produkter, på hvilke nævnte forordning finder anvendelse
33)
»markedsovervågningsmyndighed«: en markedsovervågningsmyndighed som defineret i artikel 3, nr. 4), i forordning (EU) 2019/1020
34)
»international standard«: en international standard som defineret i artikel 2, nr. 1), litra a), i forordning (EU) nr. 1025/2012
35)
»europæisk standard«: en europæisk standard som defineret i artikel 2, nr. 1), litra b), i forordning (EU) nr. 1025/2012
36)
»harmoniseret standard«: en harmoniseret standard som defineret i artikel 2, nr. 1), litra c), i forordning (EU) nr. 1025/2012
37)
»cybersikkerhedsrisiko«: potentialet for tab eller forstyrrelse som følge af en hændelse, der skal udtrykkes som en kombination af størrelsen af et sådant tab eller en sådan forstyrrelse og sandsynligheden for, at hændelsen indtræffer
38)
»væsentlig cybersikkerhedsrisiko«: en cybersikkerhedsrisiko, hvor der som følge af dens tekniske karakteristika kan antages at være en stor sandsynlighed for en hændelse, som kan have en alvorlig negativ indvirkning, herunder ved at forårsage betydelige materielle eller immaterielle tab eller forstyrrelser
39)
»softwarekomponentliste«: en formel fortegnelse med nærmere oplysninger om og forsyningskæderelationer for komponenter, der indgår i softwareelementerne i et produkt med digitale elementer
40)
»sårbarhed«: en svaghed, modtagelighed eller fejl ved et produkt med digitale elementer, som kan udnyttes af en cybertrussel
41)
»sårbarhed, der kan udnyttes«: en sårbarhed, der potentielt kan udnyttes effektivt af en modstander under praktiske operationelle forhold
42)
»aktivt udnyttet sårbarhed«: en sårbarhed, hvor der er pålidelig dokumentation for, at en ondsindet aktør har udnyttet sårbarheden i et system uden tilladelse fra systemejeren
43)
»hændelse«: en hændelse som defineret i artikel 6, nr. 6), i direktiv (EU) 2022/2555
44)
»hændelse, der har indvirkning på sikkerheden af produktet med digitale elementer«: en hændelse, der har en negativ indvirkning på eller negativt kan påvirke evnen for et produkt med digitale elementer til at beskytte tilgængeligheden, autenticiteten, integriteten eller fortroligheden af data eller funktioner
45)
»nærvedhændelse«: en nærvedhændelse som defineret i artikel 6, nr. 5), i direktiv (EU) 2022/2555
46)
»cybertrussel«: en cybertrussel som defineret i artikel 2, nr. 8), i forordning (EU) 2019/881
47)
»personoplysninger«: personoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679
48)
»gratis open source-software«: software, hvis kildekode deles åbent, og som stilles til rådighed under en gratis open source-licens, der giver alle rettigheder til, at den kan deles åbent og er frit tilgængelig, anvendelig, redigerbar og redistribuerbar
49)
»tilbagekaldelse«: tilbagekaldelse som defineret i artikel 3, stk. 22, i forordning (EU) 2019/1020
50)
»tilbagetrækning«: tilbagetrækning som defineret i artikel 3, nr. 23), i forordning (EU) 2019/1020
51)
»CSIRT, der er udpeget som koordinator«: en CSIRT, der er udpeget som koordinator i henhold til artikel 12, stk. 1, i direktiv (EU) 2022/2555.
Artikel 4
Fri bevægelighed
1.   Medlemsstaterne må ikke hindre tilgængeliggørelse på markedet af produkter med digitale elementer, der opfylder kravene i denne forordning, for så vidt angår spørgsmål, der er omfattet af denne forordning.
2.   Medlemsstaterne må ikke modsætte sig, at der på messer, udstillinger, demonstrationer eller lignende begivenheder præsenteres eller anvendes et produkt med digitale elementer, der ikke overholder denne forordning, herunder dets prototyper, forudsat at produktet præsenteres med et synligt skilt, hvoraf det tydeligt fremgår, at det ikke overholder denne forordning og ikke må gøres tilgængeligt på markedet, før det overholder denne forordning.
3.   Medlemsstaterne må ikke forhindre tilgængeliggørelse på markedet af ufærdig software, der ikke overholder denne forordning, såfremt softwaren kun gøres tilgængelig i et begrænset tidsrum, der er nødvendigt til afprøvningsformål, og med et synligt skilt, hvoraf det tydeligt fremgår, at den ikke overholder denne forordning og ikke vil være tilgængelig på markedet til andre formål end afprøvning.
4.   Stk. 3 finder ikke anvendelse på sikkerhedskomponenter som omhandlet i anden EU-harmoniseringslovgivning end denne forordning.
Artikel 5
Offentlige indkøb af produkter med digitale elementer
1.   Denne forordning er ikke til hinder for, at medlemsstaterne underlægger produkter med digitale elementer yderligere cybersikkerhedskrav med henblik på offentlige indkøb eller anvendelse af disse produkter til specifikke formål, herunder når disse produkter indkøbes eller anvendes til nationale sikkerheds- eller forsvarsformål, forudsat at sådanne krav er i overensstemmelse med medlemsstaternes forpligtelser i henhold til EU-retten, og at de er nødvendige og forholdsmæssige for at opfylde disse formål.
2.   Uden at det berører direktiv 2014/24/EU og 2014/25/EU, sikrer medlemsstaterne i forbindelse med indkøb af produkter med digitale elementer, der er omfattet af denne forordnings anvendelsesområde, at der i udbudsprocessen tages hensyn til overholdelsen af de væsentlige cybersikkerhedskrav i bilag I til denne forordning, herunder fabrikanternes evne til at håndtere sårbarheder effektivt.
Artikel 6
Krav til produkter med digitale elementer
Produkter med digitale elementer må kun gøres tilgængelige på markedet, hvis:
a)
de opfylder de væsentlige cybersikkerhedskrav i bilag I, del I, forudsat at de er korrekt installeret og vedligeholdt og anvendes til det tilsigtede formål eller på betingelser, der med rimelighed kan forudses, og, i givet fald, at de nødvendige sikkerhedsmæssige opdateringer er blevet installeret, og
b)
de processer, som fabrikanten har indført, opfylder de væsentlige cybersikkerhedskrav i bilag I, del II.
Artikel 7
Vigtige produkter med digitale elementer
1.   Produkter med digitale elementer, hvis væsentligste funktionalitet henhører under en produktkategori, der er fastsat i bilag III, anses som vigtige produkter med digitale elementer og er omfattet af de overensstemmelsesvurderingsprocedurer, der er omhandlet i artikel 32, stk. 2 og 3. Integrationen af et produkt med digitale elementer, hvis væsentligste funktionalitet henhører under en produktkategori, der er fastsat i bilag III, gør ikke i sig selv det produkt, som det er integreret i, omfattet af de overensstemmelsesvurderingsprocedurer, der er omhandlet i artikel 32, stk. 2 og 3.
2.   De kategorier af produkter med digitale elementer, der er omhandlet i denne artikels stk. 1, opdelt i klasse I og II, som fastsat i bilag III, opfylder mindst ét af følgende kriterier:
a)
produktet med digitale elementer udfører primært funktioner, der er afgørende for andre produkters, netværks eller tjenesters cybersikkerhed, herunder sikring af autentifikation og adgang, forebyggelse og opdagelse af indtrængen, adgangspunktssikkerhed eller netværksbeskyttelse
b)
produktet med digitale elementer udfører en funktion, der indebærer en betydelig risiko for negative virkninger med hensyn til intensitet og evne til at afbryde, kontrollere eller forvolde skade på et stort antal andre produkter eller på brugernes sundhed eller sikkerhed gennem direkte manipulation såsom en central systemfunktion, herunder netværksstyring, konfigurationskontrol, virtualisering eller behandling af personoplysninger.
3.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 61 med henblik på at ændre bilag III ved at føje til listen en ny kategori inden for hver klasse af kategorierne af produkter med digitale elementer og præcisere dens definition, flytte en kategori af produkter fra en klasse til den anden eller fjerne en eksisterende kategori fra denne liste. Ved vurderingen af behovet for at ændre listen fastsat i bilag III tager Kommissionen hensyn til de cybersikkerhedsrelaterede funktioner eller den funktion og det niveau af cybersikkerhedsrisiko, som produkter med digitale elementer udgør som fastsat ved de kriterier, der er omhandlet i nærværende artikels stk. 2.
De delegerede retsakter, der er omhandlet i nærværende stykkes første afsnit, fastsætter, hvor det er relevant, en mindste overgangsperiode på 12 måneder, navnlig hvis en ny kategori af vigtige produkter med digitale elementer føjes til klasse I eller II eller flyttes fra klasse I til II som fastsat i bilag III, inden de relevante overensstemmelsesvurderingsprocedurer som omhandlet i artikel 32, stk. 2, og 3, begynder at finde anvendelse, medmindre en kortere overgangsperiode er berettiget i særligt hastende tilfælde.
4.   Senest den 11. december 2025 vedtager Kommissionen en gennemførelsesretsakt, der præciserer den tekniske beskrivelse af kategorier af produkter med digitale elementer i klasse I og II som fastsat i bilag III og den tekniske beskrivelse af de kategorier af produkter med digitale elementer som fastsat i bilag IV. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 62, stk. 2.
Artikel 8
Kritiske produkter med digitale elementer
1.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 61 med henblik på at supplere denne forordning for at fastlægge, hvilke produkter med digitale elementer, hvis væsentligste funktionalitet henhører under en produktkategori fastsat i bilag IV til denne forordning, skal indhente en europæisk cybersikkerhedsattest på et tillidsniveau, der som minimum er »betydeligt« i henhold til en europæisk cybersikkerhedscertificeringsordning vedtaget i henhold til forordning (EU) 2019/881, for at påvise overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I til nærværende forordning eller dele heraf, forudsat at der er vedtaget en europæisk cybersikkerhedscertificeringsordning i henhold til forordning (EU) 2019/881, der dækker disse kategorier af produkter med digitale elementer, og at den er tilgængelig for fabrikanterne. Disse delegerede retsakter præciserer det krævede tillidsniveau, der skal stå i et rimeligt forhold til det cybersikkerhedsrisikoniveau, der er forbundet med produkter med digitale elementer, og skal tage hensyn til deres tilsigtede formål, herunder den kritiske afhængighed af dem hos væsentlige enheder som omhandlet i artikel 3, stk. 1, i direktiv (EU) 2022/2555.
Inden vedtagelsen af sådanne delegerede retsakter foretager Kommissionen en vurdering af de potentielle markedsvirkninger af de påtænkte foranstaltninger og gennemfører høringer af relevante interessenter, herunder den europæiske cybersikkerhedscertificeringsgruppe, der er oprettet i henhold til forordning (EU) 2019/881. Vurderingen skal tage hensyn til medlemsstaternes parathed og kapacitetsniveau med hensyn til gennemførelsen af den relevante europæiske cybersikkerhedscertificeringsordning. Hvis der ikke er vedtaget delegerede retsakter som omhandlet i nærværende stykkes første afsnit, er produkter med digitale elementer, hvis væsentligste funktionalitet henhører under en produktkategori som fastsat i bilag IV, omfattet af de overensstemmelsesvurderingsprocedurer, der er omhandlet i artikel 32, stk. 3.
De delegerede retsakter, der er omhandlet i første afsnit, fastsætter en mindste overgangsperiode på seks måneder, medmindre en kortere overgangsperiode er berettiget i særligt hastende tilfælde.
2.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 61 med henblik på at ændre bilag IV ved at tilføje eller fjerne kategorier af kritiske produkter med digitale elementer. Ved fastlæggelsen af sådanne kategorier af kritiske produkter med digitale elementer og det krævede tillidsniveau i overensstemmelse med nærværende artikels stk. 1 tager Kommissionen hensyn til de kriterier, der er omhandlet i artikel 7, stk. 2, og sikrer, at kategorierne af produkter med digitale elementer opfylder mindst ét af følgende kriterier:
a)
der er en kritisk afhængighed hos væsentlige enheder som omhandlet i artikel 3 i direktiv (EU) 2022/2555 af kategorien af produkter med digitale elementer
b)
hændelser og udnyttede sårbarheder vedrørende kategorien af produkter med digitale elementer vil kunne føre til alvorlige forstyrrelser af kritiske forsyningskæder i hele det indre marked.
Inden vedtagelsen af sådanne delegerede retsakter foretager Kommissionen en vurdering af den type, der er omhandlet i stk. 1.
De delegerede retsakter, der er omhandlet i første afsnit, fastsætter en mindste overgangsperiode på seks måneder, medmindre en kortere overgangsperiode er berettiget i særligt hastende tilfælde.
Artikel 9
Høringer af interesserede parter
1.   Ved udarbejdelsen af foranstaltninger til gennemførelse af denne forordning hører og tager Kommissionen hensyn til synspunkter fra relevante interessenter såsom relevante myndigheder i medlemsstaterne, virksomheder i den private sektor, herunder mikrovirksomheder og små og mellemstore virksomheder, open source software-samfundet, forbrugerorganisationer, den akademiske verden og relevante EU-agenturer og -organer samt ekspertgrupper, der er nedsat på EU-plan. Kommissionen skal navnlig, hvor det er relevant, høre og indhente synspunkter fra disse interessenter på en struktureret måde i forbindelse med:
a)
udarbejdelse af den vejledning, der er omhandlet i artikel 26
b)
udarbejdelse af de tekniske beskrivelser af produktkategorier fastsat i bilag III i overensstemmelse med artikel 7, stk. 4, vurdering af behovet for potentielle ajourføringer af listen af produktkategorier i overensstemmelse med artikel 7, stk. 3, og artikel 8, stk. 2, eller gennemførelse af vurderingen af den potentielle indvirkning på markedet, der er omhandlet i artikel 8, stk. 1, uden at det berører artikel 61
c)
foretagelse af forberedende arbejde med henblik på evaluering og revision af denne forordning.
2.   Kommissionen afholder regelmæssige hørings- og informationsmøder, mindst én gang om året, for at indhente synspunkter fra de i stk. 1 omhandlede interessenter om gennemførelsen af denne forordning.
Artikel 10
Forbedring af færdigheder i et cybermodstandsdygtigt digitalt miljø
Med henblik på denne forordning og for at imødekomme fagfolks behov for støtte til gennemførelsen af denne forordning fremmer medlemsstaterne, hvor det er relevant, med støtte fra Kommissionen, Det Europæiske Kompetencecenter for Cybersikkerhed og ENISA, idet de fuldt ud respekterer medlemsstaternes ansvar på uddannelsesområdet, foranstaltninger og strategier, der har til formål at:
a)
udvikle færdigheder inden for cybersikkerhed og skabe organisatoriske og teknologiske værktøjer for at sikre tilstrækkelig tilgængelighed af kvalificerede fagfolk med henblik på at støtte markedsovervågningsmyndighedernes og overensstemmelsesvurderingsorganernes aktiviteter
b)
øge samarbejdet mellem den private sektor, erhvervsdrivende, herunder gennem omskoling eller opkvalificering af fabrikanternes ansatte, forbrugere, udbydere af uddannelse samt offentlige forvaltninger, hvorved unges muligheder for at få adgang til job i cybersikkerhedssektoren udvides.
Artikel 11
Produktsikkerhed i almindelighed
Uanset artikel 2, stk. 1, tredje afsnit, litra b), i forordning (EU) 2023/988, finder kapitel III, afdeling 1, kapitel V og VII og kapitel IX-XI i nævnte forordning anvendelse på produkter med digitale elementer for så vidt angår aspekter og risici eller kategorier af risici, der ikke er omfattet af nærværende forordning, såfremt disse produkter ikke er omfattet af specifikke sikkerhedskrav i anden »EU-harmoniseringslovgivning« som defineret i artikel 3, nr. 27), i forordning (EU) 2023/988.
Artikel 12
Højrisiko-AI-systemer
1.   Uden at dette berører de krav til nøjagtighed og robusthed, der er fastsat i artikel 15 i forordning (EU) 2024/1689, anses produkter med digitale elementer, som er omfattet af nærværende forordnings anvendelsesområde, og som er klassificeret som højrisiko-AI-systemer i henhold til nævnte forordnings artikel 6, for at overholde cybersikkerhedskravene i nævnte forordnings artikel 15, når:
a)
disse produkter opfylder de væsentlige cybersikkerhedskrav i bilag I, del I
b)
de processer, som fabrikanten har indført, opfylder de væsentlige cybersikkerhedskrav i bilag I, del II, og
c)
opnåelsen af det påkrævede niveau af cybersikkerhedsbeskyttelse i henhold til artikel 15 i forordning (EU) 2024/1689 dokumenteres ved en EU-overensstemmelseserklæring udstedt i henhold til nærværende forordning.
2.   For de produkter med digitale elementer og cybersikkerhedskrav, der er omhandlet i denne artikels stk. 1, finder den relevante overensstemmelsesvurderingsprocedure i henhold til artikel 43 i forordning (EU) 2024/1689 anvendelse. Med henblik på denne vurdering har bemyndigede organer, der har beføjelse til at kontrollere højrisiko-AI-systemernes overensstemmelse i henhold til forordning (EU) 2024/1689, også beføjelse til at kontrollere, at højrisiko-AI-systemerne, der er omfattet af nærværende forordnings anvendelsesområde, opfylder kravene i bilag I til nærværende forordning, forudsat at disse bemyndigede organers overholdelse af kravene i nærværende forordnings artikel 39 er blevet vurderet i forbindelse med bemyndigelsesproceduren i henhold til forordning (EU) 2024/1689.
3.   Uanset denne artikels stk. 2 er vigtige produkter med digitale elementer som opført i bilag III til denne forordning, der er omfattet af overensstemmelsesvurderingsprocedurerne i denne forordnings artikel 32, stk. 2, litra a) og b), og artikel 32, stk. 3, samt kritiske produkter med digitale elementer som opført i bilag IV til denne forordning, som er pålagt at opnå et europæisk cybersikkerhedsattest i henhold til denne forordnings artikel 8, stk. 1, eller, hvis dette ikke er tilfældet, som er genstand for overensstemmelsesvurderingsprocedurerne omhandlet i denne forordnings artikel 32, stk. 3, og som er klassificeret som højrisiko-AI-systemer i henhold til artikel 6 i forordning (EU) 2024/1689, og på hvilke overensstemmelsesvurderingsproceduren baseret på intern kontrol som omhandlet i bilag VI til forordning (EU) 2024/1689 finder anvendelse, omfattet af overensstemmelsesvurderingsprocedurerne fastsat i nærværende forordning for så vidt angår de væsentlige cybersikkerhedskrav i nærværende forordning.
4.   Fabrikanter af produkter med digitale elementer som omhandlet i denne artikels stk. 1 kan deltage i de reguleringsmæssige AI-sandkasser, der er omhandlet i artikel 57 i forordning (EU) 2024/1689.
KAPITEL II
ERHVERVSDRIVENDES FORPLIGTELSER OG BESTEMMELSER VEDRØRENDE GRATIS OPEN SOURCE-SOFTware
Artikel 13
Fabrikantens forpligtelser
1.   Når et produkt med digitale elementer bringes i omsætning, sikrer fabrikanten, at det er designet, udviklet og produceret i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, del I.
2.   Med henblik på at opfylde stk. 1 foretager fabrikanten en vurdering af de cybersikkerhedsrisici, der er forbundet med et produkt med digitale elementer, og tager resultatet af denne vurdering i betragtning i forbindelse med planlægning, design, udvikling, produktion, levering og vedligeholdelse af produktet med digitale elementer for at minimere cybersikkerhedsrisici, forebygge hændelser og minimere deres virkninger, herunder vedrørende brugernes sundhed og sikkerhed.
3.   Cybersikkerhedsrisikovurderingen dokumenteres og ajourføres i relevant omfang i løbet af en supportperiode, der skal fastsættes i overensstemmelse med denne artikels stk. 8. Denne cybersikkerhedsrisikovurdering skal som minimum omfatte en analyse af cybersikkerhedsrisici baseret på det tilsigtede formål og den anvendelse, der med rimelighed kan forudses, samt anvendelsesbetingelserne for produktet med digitale elementer såsom driftsmiljøet eller de aktiver, der skal beskyttes, idet der tages højde for, hvor længe produktet forventes at være i brug. Cybersikkerhedsrisikovurderingen skal angive, om og i givet fald på hvilken måde sikkerhedskravene i bilag I, del I, nr. 2, finder anvendelse på det relevante produkt med digitale elementer, og hvordan disse krav gennemføres i overensstemmelse med cybersikkerhedsrisikovurderingen. Det skal også angives, hvordan fabrikanten skal anvende bilag I, del I, nr. 1, og de krav til håndtering af sårbarheder, der er fastsat i bilag I, del II.
4.   Når et produkt med digitale elementer bringes i omsætning, medtager fabrikanten den cybersikkerhedsrisikovurdering, der er omhandlet i denne artikels stk. 3, i den tekniske dokumentation, der kræves i henhold til artikel 31 og bilag VII. For produkter med digitale elementer som omhandlet i artikel 12, der også er omfattet af andre EU-retsakter, kan cybersikkerhedsrisikovurderingen indgå i den risikovurdering, der kræves i henhold til disse EU-retsakter. Hvis visse væsentlige cybersikkerhedskrav ikke er relevante for produktet med digitale elementer, medtager fabrikanten en klar begrundelse herfor i den tekniske dokumentation.
5.   Med henblik på at opfylde stk. 1 skal fabrikanter foretage due diligence ved integreringen af komponenter fra tredjeparter, således at disse komponenter ikke bringer cybersikkerheden af produktet med digitale elementer i fare, herunder når der integreres komponenter fra gratis open source-software, der ikke er gjort tilgængelige på markedet som led i en kommerciel aktivitet.
6.   Ved identifikation af en sårbarhed i en komponent, herunder i en open source-komponent, som er integreret i produktet med digitale elementer, indberetter fabrikanten sårbarheden til den person eller enhed, der fremstiller eller vedligeholder komponenten, og håndterer og afhjælper sårbarheden i overensstemmelse med de krav til håndtering af sårbarheder, der er fastsat i bilag I, del II. Hvis fabrikanten har udviklet en software- eller hardwareændring for at afhjælpe sårbarheden i den pågældende komponent, skal fabrikanten dele den relevante kode eller dokumentation med den person eller enhed, der fremstiller eller vedligeholder komponenten, hvor det er relevant i et maskinlæsbart format.
7.   Fabrikanten dokumenterer på en systematisk måde, der står i et rimeligt forhold til cybersikkerhedsrisicienes karakter, relevante cybersikkerhedsaspekter vedrørende produkterne med digitale elementer, herunder sårbarheder, som fabrikanten bliver bekendt med, og alle relevante oplysninger fra tredjeparter, og ajourfører i påkommende tilfælde cybersikkerhedsrisikovurderingen af produkterne.
8.   Fabrikanten sikrer, når et produkt med digitale elementer bringes i omsætning, og i supportperioden, at det pågældende produkts sårbarheder, herunder dets komponenter, håndteres effektivt og i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, del II.
Fabrikanten fastsætter supportperioden således, at denne afspejler det tidsrum, hvori produktet forventes at være i brug, navnlig under hensyntagen til rimelige brugerforventninger, produktets art, herunder dets tilsigtede formål, samt relevant EU-ret, der fastsætter levetiden for produkter med digitale elementer. Ved fastsættelsen af supportperioden kan fabrikanten også tage hensyn til supportperioderne for produkter med digitale elementer, der tilbyder en lignende funktionalitet, og som er bragt i omsætning af andre fabrikanter, og til tilgængeligheden af driftsmiljøet, supportperioderne for integrerede komponenter, der leverer centrale funktioner og stammer fra tredjeparter, samt relevant vejledning fra den særlige administrative samarbejdsgruppe (ADCO), der er oprettet i henhold til artikel 52, stk. 15, og fra Kommissionen. De forhold, der skal tages hensyn til med henblik på at bestemme f supportperioden, skal overvejes på en måde, der sikrer proportionalitet.
Uden at det berører andet afsnit, skal supportperioden være på mindst fem år. Hvis produktet med digitale elementer forventes at være i brug i mindre end fem år, skal supportperioden svare til den forventede anvendelsestid.
Under hensyntagen til ADCO's henstillinger som omhandlet i artikel 52, stk. 16, kan Kommissionen vedtage delegerede retsakter i overensstemmelse med artikel 61 med henblik på at supplere denne forordning ved at præcisere minimumssupportperioden for specifikke produktkategorier, såfremt markedsovervågningsdataene tyder på utilstrækkelige supportperioder.
Fabrikanten medtager i den tekniske dokumentation de oplysninger, der blev taget i betragtning ved fastlæggelsen af supportperioden for et produkt med digitale elementer, jf. bilag VII.
Fabrikanten indfører passende politikker og procedurer, herunder politikker for koordineret offentliggørelse af sårbarheder, jf. bilag I, del II, nr. 5, til håndtering og afhjælpning af potentielle sårbarheder i produktet med digitale elementer indberettet fra interne eller eksterne kilder.
9.   Fabrikanten sikrer, at hver sikkerhedsopdatering, jf. bilag I, del II, nr. 8, som er gjort tilgængelig for brugerne i supportperioden, forbliver tilgængelig efter udstedelsen i mindst ti år eller i resten af supportperioden, alt efter hvilket tidsrum der er længst.
10.   Hvis en fabrikant har bragt efterfølgende væsentligt ændrede versioner af et softwareprodukt i omsætning, kan denne fabrikant vælge kun at sikre overholdelse af det væsentlige cybersikkerhedskrav i bilag I, del II, nr. 2, for den version, som fabrikanten senest har bragt i omsætning, forudsat at brugerne af de versioner, der tidligere er bragt i omsætning, har gratis adgang til den version, der senest er bragt i omsætning, og ikke pådrager sig yderligere omkostninger ved tilpasningen af det hardware- og softwaremiljø, hvori de anvender den oprindelige version af det pågældende produkt.
11.   Fabrikanten kan opretholde offentlige softwarearkiver, der forbedrer brugernes adgang til historiske versioner. I disse tilfælde skal brugerne på en lettilgængelig måde informeres klart om de risici, der er forbundet med brug af ikkeunderstøttet software.
12.   Inden et produkt med digitale elementer bringes i omsætning, udarbejder fabrikanten den tekniske dokumentation, der er omhandlet i artikel 31.
Fabrikanten gennemfører eller får gennemført de valgte overensstemmelsesvurderingsprocedurer som omhandlet i artikel 32.
Hvor det ved en af disse overensstemmelsesvurderingsprocedurer er blevet dokumenteret, at produktet med digitale elementer overholder de væsentlige cybersikkerhedskrav i bilag I, del I, og at de processer, som fabrikanten har indført, overholder de væsentlige cybersikkerhedskrav i bilag I, del II, udarbejder fabrikanten EU-overensstemmelseserklæringen i overensstemmelse med artikel 28 og anbringer CE-mærkningen i overensstemmelse med artikel 30.
13.   Fabrikanten opbevarer den tekniske dokumentation og EU-overensstemmelseserklæringen, så de i mindst ti år efter, at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst, står til rådighed for markedsovervågningsmyndighederne.
14.   Fabrikanten sikrer, at der findes procedurer til sikring af, at produkter med digitale elementer, der er del af en produktionsserie, fortsat er i overensstemmelse med denne forordning. Fabrikanten tager behørigt hensyn til ændringer i udviklings- og produktionsprocessen eller i designet eller egenskaberne af produktet med digitale elementer og til ændringer i de harmoniserede standarder, europæiske cybersikkerhedscertificeringsordninger eller fælles specifikationer som omhandlet i artikel 27, som der henvises til for at dokumentere overensstemmelsen af produktet med digitale elementer med de gældende krav, eller som anvendes til at kontrollere produktets overensstemmelse.
15.   Fabrikanten sikrer, at dennes produkter med digitale elementer er forsynet med et type-, parti- eller serienummer eller en anden form for angivelse, ved hjælp af hvilken de kan identificeres, eller, hvis dette ikke er muligt, at disse oplysninger fremgår af emballagen eller af et dokument, der ledsager produktet med digitale elementer.
16.   Fabrikantens navn, registrerede firmanavn eller registrerede varemærke og postadresse, e-mailadresse eller andre digitale kontaktoplysninger samt, i givet fald, webstedet, hvorpå fabrikanten kan kontaktes, skal fremgå af produktet med digitale elementer, af emballagen eller af et dokument, der ledsager produktet med digitale elementer. Disse oplysninger skal også indgå i de oplysninger og anvisninger til brugeren, der er anført i bilag II. Kontaktoplysningerne gives på et sprog, der er letforståeligt for brugere og markedsovervågningsmyndigheder.
17.   Med henblik på denne forordning udpeger fabrikanten et centralt kontaktpunkt, der gør det muligt for brugerne at kommunikere direkte og hurtigt med denne, herunder for at lette indberetningen af sårbarheder i produktet med digitale elementer.
Fabrikanten sikrer, at det centrale kontaktpunkt er let at identificere for brugerne. Oplysninger om det centrale kontaktpunkt skal også indgå i de oplysninger og anvisninger til brugeren, der er anført i bilag II.
Det centrale kontaktpunkt skal give brugerne mulighed for at vælge deres foretrukne kommunikationsmiddel og må ikke begrænse sådanne midler til automatiserede værktøjer.
18.   Fabrikanten sikrer, at produkter med digitale elementer ledsages af de oplysninger og anvisninger til brugeren, der er anført i bilag II, i papirform eller i elektronisk form. Sådanne oplysninger og anvisninger skal gives på et sprog, der let kan forstås af brugerne og markedsovervågningsmyndighederne. De skal være klare, forståelige og læselige. De skal muliggøre sikker installation, drift og anvendelse af produkter med digitale elementer. Fabrikanten opbevarer de oplysninger og anvisninger til brugeren, der er anført i bilag II, så de i mindst ti år efter, at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst, står til rådighed for de nationale markedsovervågningsmyndigheder. Hvis sådanne oplysninger og anvisninger gives online, sikrer fabrikanten, at de er tilgængelige, brugervenlige og til rådighed online i mindst ti år efter, at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst.
19.   Fabrikanten sikrer, at slutdatoen for den supportperiode, der er omhandlet i stk. 8, herunder som minimum måneden og året, er klart og forståeligt angivet på købstidspunktet på en lettilgængelig måde og, i givet fald, på produktet med digitale elementer eller dets emballage eller ved hjælp af digitale midler.
Hvis det er teknisk muligt i lyset af arten af produktet med digitale elementer, skal fabrikanten vise en meddelelse til brugerne om, at deres produkt med digitale elementer har nået slutningen af sin supportperiode.
20.   Fabrikanten udleverer enten en kopi af EU-overensstemmelseserklæringen eller en forenklet EU-overensstemmelseserklæring sammen med produktet med digitale elementer. Såfremt en forenklet EU-overensstemmelseserklæring udleveres, skal denne indeholde den nøjagtige internetadresse, hvor den fuldstændige EU-overensstemmelseserklæring kan tilgås.
21.   Fra tidspunktet hvor et produkt med digitale elementer er bragt i omsætning og i supportperioden, træffer fabrikanten, hvis vedkommende ved eller har grund til at tro, at produktet med digitale elementer eller de processer, som fabrikanten har indført, ikke er i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, omgående de nødvendige korrigerende foranstaltninger til at bringe produktet med digitale elementer eller fabrikantens processer i overensstemmelse eller til at tilbagetrække eller tilbagekalde produktet, c.
22.   Efter en markedsovervågningsmyndigheds begrundede anmodning giver fabrikanten denne myndighed alle de oplysninger og al den dokumentation på papir eller elektronisk, som er nødvendig for at dokumentere, at produkterne med digitale elementer og de processer, der er indført af fabrikanten, er i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, på et for denne myndighed letforståeligt sprog. Hvis denne myndighed anmoder herom, samarbejder fabrikanten med myndigheden om foranstaltninger, der træffes for at eliminere de cybersikkerhedsrisici, som det produkt med digitale elementer, fabrikanten har bragt i omsætning, indebærer.
23.   En fabrikant, der indstiller driften og derfor ikke er i stand til at opfylde denne forordning, underretter, inden indstillingen af driften får virkning, de relevante markedsovervågningsmyndigheder om denne situation samt på enhver tilgængelig måde og i videst muligt omfang brugerne af de relevante produkter med digitale elementer, der er bragt i omsætning, om den forestående indstilling af driften.
24.   Kommissionen kan ved hjælp af gennemførelsesretsakter, der tager hensyn til europæiske eller internationale standarder og bedste praksis, præcisere formatet for og elementerne i den softwarekomponentliste, der er omhandlet i bilag I, del II, nr. 1. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 62, stk. 2.
25.   For at vurdere medlemsstaternes og hele Unionens afhængighed af softwarekomponenter og navnlig af komponenter, der kan betegnes som gratis open source-software, kan ADCO beslutte at foretage en EU-dækkende afhængighedsvurdering for specifikke kategorier af produkter med digitale elementer. Med henblik herpå kan markedsovervågningsmyndighederne anmode fabrikanter af sådanne kategorier af produkter med digitale elementer om at udlevere den relevante softwarekomponentliste som omhandlet i bilag I, del II, nr. 1. På grundlag af sådanne oplysninger kan markedsovervågningsmyndighederne give ADCO anonymiserede og aggregerede oplysninger om softwareafhængighed. ADCO forelægger en rapport om resultaterne af afhængighedsvurderingen for den samarbejdsgruppe, der er oprettet i henhold til artikel 14 i direktiv (EU) 2022/2555.
Artikel 14
Fabrikantens rapporteringsforpligtelser
1.   En fabrikant underretter samtidig den CSIRT, der er udpeget som koordinator i overensstemmelse med denne artikels stk. 7, og ENISA om enhver aktivt udnyttet sårbarhed i produktet med digitale elementer, som fabrikanten får kendskab til. Fabrikanten underretter om den aktivt udnyttede sårbarhed via den fælles indberetningsplatform, der er oprettet i henhold til artikel 16.
2.   Med henblik på den underretning, der er omhandlet i stk. 1, indgiver fabrikanten:
a)
en tidlig varsling om en aktivt udnyttet sårbarhed uden unødigt ophold og under alle omstændigheder senest 24 timer efter, at fabrikanten har fået kendskab hertil, i givet fald med angivelse af de medlemsstater, på hvis område fabrikanten er bekendt med, at dennes produkt med digitale elementer er gjort tilgængeligt
b)
medmindre de relevante oplysninger allerede er afgivet, en meddelelse om sårbarhed uden unødigt ophold og under alle omstændigheder senest 72 timer efter, at fabrikanten har fået kendskab til den aktivt udnyttede sårbarhed, hvilken meddelelse skal indeholde generelle oplysninger, i det omfang sådanne foreligger, om det pågældende produkt med digitale elementer, den generelle karakter af udnyttelsen og den pågældende sårbarhed samt eventuelle korrigerende eller afbødende foranstaltninger, der er truffet, og korrigerende eller afbødende foranstaltninger, som brugerne kan træffe, og som i givet fald også angiver, hvor følsomme fabrikanten vurderer de meddelte oplysninger at være
c)
medmindre de relevante oplysninger allerede er afgivet, en endelig rapport senest 14 dage efter, at en korrigerende eller afbødende foranstaltning bliver tilgængelig, der som minimum indeholder følgende:
i)
en beskrivelse af sårbarheden, herunder dens alvor og indvirkning
ii)
oplysninger om eventuelle ondsindede aktører, der har udnyttet eller udnytter sårbarheden, hvis sådanne oplysninger foreligger
iii)
oplysninger om sikkerhedsopdateringen eller andre korrigerende foranstaltninger, der er gjort tilgængelige for at afhjælpe sårbarheden.
3.   En fabrikant underretter samtidig den CSIRT, der er udpeget som koordinator i overensstemmelse med denne artikels stk. 7, og ENISA, om enhver alvorlig hændelse, der har indvirkning på sikkerheden af produktet med digitale elementer, som fabrikanten får kendskab til. Fabrikanten underretter om hændelsen via den fælles indberetningsplatform, der er oprettet i henhold til artikel 16.
4.   Med henblik på den underretning, der er omhandlet i stk. 3, indgiver fabrikanten:
a)
en tidlig varsling om en alvorlig hændelse, der indvirker på sikkerheden af produktet med digitale elementer, uden unødigt opholde og under alle omstændigheder senest 24 timer efter, at fabrikanten har fået kendskab hertil, herunder som minimum om, hvorvidt fabrikanten har mistanke om at hændelsen skyldes ulovlige eller ondsindede handlinger, og i givet fald med angivelse af de medlemsstater, på hvis område fabrikanten er bekendt med, at dennes produkt med digitale elementer er blevet gjort tilgængeligt
b)
medmindre de relevante oplysninger allerede er afgivet, en underretning om en hændelse uden unødigt ophold og under alle omstændigheder senest 72 timer efter, at fabrikanten har fået kendskab til hændelsen, med generelle oplysninger, hvis sådanne foreligger, om arten af hændelsen, en indledende vurdering af hændelsen samt eventuelle korrigerende eller afbødende foranstaltninger, der er truffet, og korrigerende eller afbødende foranstaltninger, som brugerne kan træffe, og som også, i givet fald, angiver, hvor følsomme fabrikanten vurderer de meddelte oplysninger at være
c)
medmindre de relevante oplysninger allerede er afgivet, en endelig rapport senest en måned efter indgivelsen af den i litra b) omhandlede underretning om en hændelse, der som minimum omfatter følgende:
i)
en detaljeret beskrivelse af hændelsen, herunder dens alvor og indvirkning
ii)
den type trussel eller grundlæggende årsag, der sandsynligvis udløste hændelsen
iii)
anvendte og igangværende afbødende foranstaltninger.
5.   Med henblik på stk. 3 anses en hændelse, der indvirker på sikkerheden af produktet med digitale elementer, for at være alvorlig, hvis:
a)
den indvirker eller kan indvirke negativt på evnen til at beskytte tilgængeligheden, autenticiteten, integriteten eller fortroligheden af følsomme eller vigtige data eller funktioner, eller
b)
den har ført til eller er i stand til at føre til indførelse eller udførelse af ondsindet kode i et produkt med digitale elementer eller i net- og informationssystemer hos en bruger af produktet med digitale elementer.
6.   Hvis det er nødvendigt, kan den CSIRT, der er udpeget som koordinator, og som indledningsvist modtager underretningen, anmode fabrikanten om at forelægge en foreløbig rapport om relevante statusopdateringer om den aktivt udnyttede sårbarhed eller alvorlige hændelse, der har indvirkning på sikkerheden af produktet med digitale elementer.
7.   De underretninger, der er omhandlet i denne artikels stk. 1 og 3, indgives via den fælles indberetningsplatform, der er omhandlet i artikel 16, ved hjælp af et af de adgangspunkter for elektronisk underretning, der er omhandlet i artikel 16, stk. 1. Underretningen indgives ved hjælp af adgangspunktet for elektronisk underretning i den CSIRT, der er udpeget som koordinator i den medlemsstat, hvor fabrikanten har sit hovedforretningssted i Unionen, og skal samtidig være tilgængelig for ENISA.
Med henblik på denne forordning anses en fabrikant for at have sit hovedforretningssted i Unionen i den medlemsstat, hvor beslutningerne vedrørende cybersikkerheden af fabrikantens produkter med digitale elementer overvejende træffes. Hvis en sådan medlemsstat ikke kan fastslås, anses hovedforretningsstedet for at være i den medlemsstat, hvor den pågældende fabrikant forretningssted med det største antal ansatte i Unionen er beliggende.
Hvis en fabrikant ikke har noget hovedforretningssted i Unionen, indgiver denne de underretninger, der er omhandlet i stk. 1 og 3, ved hjælp af adgangspunktet for elektronisk underretning i den CSIRT, der er udpeget som koordinator i den medlemsstat, der er fastsat i henhold til følgende rækkefølge og på grundlag af de oplysninger, som fabrikanten har til rådighed:
a)
den medlemsstat, hvor den bemyndigede repræsentant, som handler på fabrikantens vegne for det største antal produkter med digitale elementer fra den pågældende fabrikant, er etableret
b)
den medlemsstat, hvor den importør, som bringer det største antal produkter med digitale elementer fra den pågældende fabrikant i omsætning, er etableret
c)
den medlemsstat, hvor den distributør, som bringer det største antal produkter med digitale elementer fra den pågældende fabrikant i omsætning, er etableret
d)
den medlemsstat, hvor det største antal brugere af produkter med digitale elementer fra den pågældende fabrikant befinder sig.
For så vidt angår tredje afsnit, litra d), kan en fabrikant indgive underretninger vedrørende enhver efterfølgende aktivt udnyttet sårbarhed eller alvorlig hændelse, der har indvirkning på sikkerheden af produktet med digitale elementer, til den samme CSIRT, der er udpeget som koordinator, og til hvem fabrikanten indberettede i første omgang.
8.   Efter at have fået kendskab til en aktivt udnyttet sårbarhed eller en alvorlig hændelse, der har indvirkning på sikkerheden af produktet med digitale elementer, underretter fabrikanten de berørte brugere af produktet med digitale elementer og, hvor det er relevant, alle brugere om denne sårbarhed eller hændelse, og om nødvendigt om eventuel risikobegrænsning og eventuelle korrigerende foranstaltninger, som brugerne kan træffe for at afbøde virkningen af den pågældende sårbarhed eller hændelse, hvor det er relevant i et struktureret maskinlæsbart format, der er let automatisk bearbejdeligt. Hvis fabrikanten ikke rettidigt oplyser brugerne af produktet med digitale elementer, kan de underrettede CSIRT'er, der er udpeget som koordinatorer, give brugerne sådanne oplysninger, når dette anses for at være forholdsmæssigt og nødvendigt for at forebygge eller afbøde virkningen af den pågældende sårbarhed eller hændelse.
9.   Senest den 11. december 2025 vedtager Kommissionen delegerede retsakter i overensstemmelse med denne forordnings artikel 61 med henblik på at supplere denne forordning ved at præcisere vilkårene og betingelserne for anvendelse af de cybersikkerhedsrelaterede grunde i forbindelse med udsættelse af formidlingen af underretninger som omhandlet i denne forordnings artikel 16, stk. 2. Kommissionen samarbejder med CSIRT-netværket oprettet i henhold til artikel 15 i direktiv (EU) 2022/2555 og ENISA om udarbejdelsen af udkastene til delegerede retsakter.
10.   Kommissionen kan ved hjælp af gennemførelsesretsakter yderligere præcisere formatet og procedurerne for de underretninger, der er omhandlet i denne artikel samt i artikel 15 og 16. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 62, stk. 2. Kommissionen samarbejder med CSIRT-netværket og ENISA om udarbejdelsen af disse udkast til gennemførelsesretsakter.
Artikel 15
Frivillig indberetning
1.   Fabrikanter såvel som andre fysiske eller juridiske personer kan på frivillig basis underrette en CSIRT, der er udpeget som koordinator, eller ENISA, om enhver sårbarhed i et produkt med digitale elementer samt om cybertrusler, der kan påvirke risikoprofilen for et produkt med digitale elementer.
2.   Fabrikanter såvel som andre fysiske eller juridiske personer kan på frivillig basis underrette en CSIRT, der er udpeget som koordinator, eller ENISA, om enhver hændelse, der har indvirkning på sikkerheden af produktet med digitale elementer, samt nærvedhændelser, som kunne have resulteret i en sådan hændelse.
3.   Den CSIRT, der er udpeget som koordinator, eller ENISA behandler de underretninger, der er omhandlet i denne artikels stk. 1 og 2, i overensstemmelse med proceduren i artikel 16.
Den CSIRT, der er udpeget som koordinator, kan prioritere behandlingen af obligatoriske underretninger frem for frivillige underretninger.
4.   Hvis en anden fysisk eller juridisk person end fabrikanten indberetter en aktivt udnyttet sårbarhed eller en alvorlig hændelse, der har indvirkning på sikkerheden af et produkt med digitale elementer, i overensstemmelse med stk. 1 eller 2, skal den CSIRT, der er udpeget som koordinator, uden unødigt ophold underrette fabrikanten.
5.   De CSIRT'er, der er udpeget som koordinatorer, såvel som ENISA sikrer fortroligheden og den passende beskyttelse af de oplysninger, der afgives af en fysisk eller juridisk person. Uden at det berører forebyggelse, efterforskning, afsløring og retsforfølgning af strafbare handlinger, må frivillig indberetning ikke medføre, at en underrettende fysisk eller juridisk person pålægges nogen yderligere forpligtelser, som vedkommende ikke ville være underlagt, hvis den ikke havde foretaget underretningen.
Artikel 16
Oprettelse af en fælles indberetningsplatform
1.   Med henblik på de underretninger, der er omhandlet i artikel 14, stk. 1 og 3, og artikel 15, stk. 1 og 2, og for at forenkle fabrikanters indberetningsforpligtelser, opretter ENISA en fælles indberetningsplatform. Den daglige drift af denne fælles indberetningsplatform forvaltes og vedligeholdes af ENISA. Arkitekturen for den fælles indberetningsplatform skal gøre det muligt for medlemsstaterne og ENISA at indføre deres egne adgangspunkter for elektronisk underretning.
2.   Efter at have modtaget en underretning formidler den CSIRT, der er udpeget som koordinator, og som indledningsvist modtager underretningen, straks meddelelsen via den fælles indberetningsplatform til de CSIRT'er, der er udpeget som koordinatorer på det område, hvor fabrikanten har angivet, at produktet med digitale elementer er blevet gjort tilgængeligt.
Under ekstraordinære omstændigheder og navnlig efter anmodning fra fabrikanten og i lyset af følsomhedsgraden af de indberettede oplysninger som angivet af fabrikanten i henhold til denne forordnings artikel 14, stk. 2, litra a), kan formidlingen af underretningen udsættes på grundlag af begrundede cybersikkerhedsrelaterede grunde i en periode, der er strengt nødvendig, herunder hvis en sårbarhed er omfattet af en koordineret procedure for offentliggørelse af sårbarheder som omhandlet i artikel 12, stk. 1, i direktiv (EU) 2022/2555. Hvis en CSIRT beslutter at tilbageholde en underretning, underretter den omgående ENISA om denne beslutning og giver en begrundelse for tilbageholdelsen af underretningen såvel som en angivelse af, hvornår den vil formidle underretningen i overensstemmelse med den formidlingsprocedure, der er fastsat i nærværende stykke. ENISA kan støtte CSIRT'en for så vidt angår anvendelsen af cybersikkerhedsrelaterede grunde i forbindelse med udsættelse af underretningens formidling.
Under særlige ekstraordinære omstændigheder, hvor fabrikanten i den underretning, der er omhandlet i artikel 14, stk. 2, litra b), anfører:
a)
at den anmeldte sårbarhed er blevet aktivt udnyttet af en ondsindet aktør, og at den ifølge de foreliggende oplysninger ikke er blevet udnyttet i nogen anden medlemsstat end den, hvor den CSIRT, der er udpeget som koordinator, befinder sig, og til hvem fabrikanten har anmeldt sårbarheden
b)
at enhver øjeblikkelig yderligere formidling af den anmeldte sårbarhed sandsynligvis vil føre til afgivelse af oplysninger, hvis offentliggørelse vil stride mod den pågældende medlemsstats væsentlige interesser, eller
c)
at den anmeldte sårbarhed udgør en overhængende høj cybersikkerhedsrisiko som følge af den videre formidling
er det kun oplysningerne om, at fabrikanten har foretaget en underretning, de generelle oplysninger om produktet, oplysningerne om den generelle karakter af den udnyttede sårbarhed og oplysninger om, at der blev gjort opmærksom på sikkerhedsrelaterede grunde, som skal stilles til rådighed samtidig for ENISA, indtil den fuldstændige underretning formidles til de pågældende CSIRT'er og til ENISA. Hvis ENISA på grundlag af disse oplysninger finder, at der er tale om en systemisk risiko, der indvirker på sikkerheden i det indre marked, anbefaler ENISA den modtagende CSIRT at formidle den fuldstændige underretning til de andre CSIRT'er, der er udpeget som koordinatorer, og til ENISA selv.
3.   Efter at have modtaget en underretning om en aktivt udnyttet sårbarhed i et produkt med digitale elementer eller om en alvorlig hændelse, der har indvirkning på sikkerheden af et produkt med digitale elementer, giver de CSIRT'er, der er udpeget som koordinatorer, markedsovervågningsmyndighederne i deres respektive medlemsstater de indberettede oplysninger, der er nødvendige for, at markedsovervågningsmyndighederne kan opfylde deres forpligtelser i henhold til denne forordning.
4.   ENISA træffer passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at håndtere sikkerhedsrisiciene for den fælles indberetningsplatform og de oplysninger, der indgives eller formidles via den fælles indberetningsplatform. Det underretter uden unødigt ophold CSIRT-netværket og Kommissionen om enhver sikkerhedshændelse, der har indvirkning på den fælles indberetningsplatform.
5.   ENISA udarbejder og gennemfører i samarbejde med CSIRT-netværket specifikationer for de tekniske, operationelle og organisatoriske foranstaltninger vedrørende oprettelse, vedligeholdelse og sikker drift af den fælles indberetningsplatform, der er omhandlet i stk. 1, herunder som minimum sikkerhedsordningerne vedrørende oprettelse, drift og vedligeholdelse af den fælles indberetningsplatform samt de adgangspunkter for elektronisk underretning, som er oprettet af de CSIRT'er, der er udpeget som koordinatorer på nationalt plan, og ENISA på EU-plan, herunder proceduremæssige aspekter, så det i tilfælde, hvor der for en anmeldt sårbarhed ikke er nogen korrigerende eller afbødende foranstaltninger, sikres, at oplysninger om denne sårbarhed deles i overensstemmelse med strenge sikkerhedsprotokoller og på need-to-know-basis.
6.   Hvis en CSIRT, der er udpeget som koordinator, er blevet gjort opmærksom på en aktivt udnyttet sårbarhed som led i en koordineret procedure for offentliggørelse af sårbarheder som omhandlet i artikel 12, stk. 1, i direktiv (EU) 2022/2555, kan den CSIRT, der er udpeget som koordinator, og som indledningsvist modtager underretningen, på grundlag af begrundede cybersikkerhedsrelaterede grunde udsætte formidlingen af den relevante underretning via den fælles indberetningsplatform i en periode, der ikke er længere, end hvad der er strengt nødvendigt, og indtil de involverede parter, der foretager koordineret offentliggørelse af sårbarheder, har givet deres samtykke til offentliggørelse. Dette krav forhindrer ikke fabrikanten i at anmelde en sådan sårbarhed på frivillig basis i overensstemmelse med proceduren i nærværende artikel.
Artikel 17
Andre bestemmelser vedrørende indberetning
1.   ENISA kan forelægge det europæiske netværk af forbindelsesorganisationer for cyberkriser (EU-CyCLONe), der er oprettet ved artikel 16 i direktiv (EU) 2022/2555, oplysninger, der er meddelt i henhold til denne forordnings artikel 14, stk. 1 og 3, og artikel 15, stk. 1 og 2, hvis sådanne oplysninger er relevante for den koordinerede forvaltning af omfattende cybersikkerhedshændelser og -kriser på operationelt plan. Med henblik på at fastslå en sådan relevans kan ENISA overveje tekniske analyser udført af CSIRT-netværket, hvis sådanne foreligger.
2.   Hvor offentlighedens kendskab er nødvendig for at forebygge eller afbøde en alvorlig hændelse, der har indvirkning på sikkerheden af produktet med digitale elementer, eller for at håndtere en igangværende hændelse, eller hvor offentliggørelse af hændelsen på anden vis er i den offentlige interesse, kan den CSIRT, der er udpeget som koordinator i den relevante medlemsstat, efter høring af den pågældende fabrikant og, hvor det er relevant, i samarbejde med ENISA, informere offentligheden om hændelsen eller kræve, at fabrikanten gør det.
3.   ENISA udarbejder på grundlag af de underretninger, der er modtaget i henhold til denne forordnings artikel 14, stk. 1 og 3, og artikel 15, stk. 1 og 2, hver 24. måned en teknisk rapport om nye tendenser med hensyn til cybersikkerhedsrisici forbundet med produkter med digitale elementer og forelægger den for den samarbejdsgruppe, der er nedsat i henhold til artikel 14 i direktiv (EU) 2022/2555. Den første rapport forelægges senest 24 måneder efter datoen for anvendelsen af forpligtelserne i denne forordnings artikel 14, stk. 1 og 3. ENISA medtager relevante oplysninger fra sine tekniske rapporter i sin rapport om cybersikkerhedssituationen i Unionen i henhold til artikel 18 i direktiv (EU) 2022/2555.
4.   Underretningen i sig selv i henhold til artikel 14, stk. 1 og 3, eller artikel 15, stk. 1 og 2, medfører ikke et øget ansvar for den underrettende fysiske eller juridiske person.
5.   Når en sikkerhedsopdatering eller en anden form for korrigerende eller afbødende foranstaltning er tilgængelig, tilføjer ENISA efter aftale med fabrikanten af det pågældende produkt med digitale elementer den offentligt kendte sårbarhed, der er meddelt i henhold til denne forordnings artikel 14, stk. 1, eller artikel 15, stk. 1, til den europæiske sårbarhedsdatabase, der er oprettet i henhold til artikel 12, stk. 2, i direktiv (EU) 2022/2555.
6.   De CSIRT'er, der er udpeget som koordinatorer, yder i forbindelse med rapporteringsforpligtelserne i henhold til artikel 14 helpdesk-støtte til fabrikanter, og navnlig til fabrikanter, der er mikrovirksomheder eller små eller mellemstore virksomheder.
Artikel 18
Bemyndigede repræsentanter
1.   En fabrikant kan via en skriftlig fuldmagt udpege en bemyndiget repræsentant.
2.   Forpligtelserne i artikel 13, stk. 1-11, stk. 12, første afsnit, og stk. 14, er ikke en del af den bemyndigede repræsentants fuldmagt.
3.   En bemyndiget repræsentant udfører de opgaver, der er angivet i den fuldmagt, denne har modtaget fra fabrikanten. Den bemyndigede repræsentant forelægger på anmodning den kompetente myndighed en kopi af fuldmagten. Fuldmagten skal som minimum sætte den bemyndigede repræsentant i stand til:
a)
at opbevare den i artikel 28 omhandlede EU-overensstemmelseserklæring og den i artikel 31 omhandlede tekniske dokumentation, så den i mindst ti år efter, at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst, står til rådighed for de nationale markedsovervågningsmyndigheder
b)
på grundlag af en markedsovervågningsmyndigheds begrundede anmodning at give den al den information og dokumentation, der er nødvendig for at dokumentere, at produktet med digitale elementer er i overensstemmelse med kravene
c)
at samarbejde med markedsovervågningsmyndighederne, hvis disse anmoder herom, om tiltag, der træffes for at undgå risici, som et produkt med digitale elementer, der er omfattet af den bemyndigede repræsentants fuldmagt, udgør.
Artikel 19
Importørens forpligtelser
1.   Importøren må kun bringe produkter med digitale elementer, der opfylder de væsentlige cybersikkerhedskrav i bilag I, del I„ og hvor de processer, der er indført af fabrikanten, overholder de væsentlige cybersikkerhedskrav i bilag I, del II, i omsætning.
2.   Importøren sikrer, før denne bringer et produkt med digitale elementer i omsætning, at:
a)
fabrikanten har gennemført de relevante overensstemmelsesvurderingsprocedurer som omhandlet i artikel 32
b)
fabrikanten har udarbejdet den tekniske dokumentation
c)
produktet med digitale elementer er forsynet med den i artikel 30 omhandlede CE-mærkning og er ledsaget af EU-overensstemmelseserklæringen som omhandlet i artikel 13, stk. 20, og oplysningerne og anvisningerne til brugerne anført i bilag II på et for brugerne og markedsovervågningsmyndighederne letforståeligt sprog
d)
fabrikanten har opfyldt kravene i artikel 13, stk. 15, 16 og 19.
Med henblik på dette stykke skal importører kunne fremlægge de nødvendige dokumenter som bevis for, at kravene i denne artikel er opfyldt.
3.   Hvis en importør finder eller har grund til at tro, at et produkt med digitale elementer eller de processer, som fabrikanten har indført, ikke er i overensstemmelse med denne forordning, må importøren ikke bringe produktet i omsætning, før produktet eller de processer, som fabrikanten har indført, er blevet bragt i overensstemmelse med denne forordning. Hvis produktet med digitale elementer udgør en væsentlig cybersikkerhedsrisiko, underretter importøren endvidere fabrikanten og markedsovervågningsmyndighederne herom.
Hvis en importør har grund til at tro, at et produkt med digitale elementer kan udgøre en betydelig cybersikkerhedsrisiko i lyset af ikketekniske risikofaktorer, underretter importøren markedsovervågningsmyndighederne herom. Efter modtagelse af sådanne oplysninger følger markedsovervågningsmyndighederne de procedurer, der er omhandlet i artikel 54, stk. 2.
4.   Importørens navn, registrerede firmanavn eller registrerede varemærke, postadresse, e-mailadresse eller anden digital kontakt samt, hvor det er relevant, det websted, hvor vedkommende kan kontaktes, skal fremgå af produktet med digitale elementer eller af emballagen eller af et dokument, der ledsager produktet med digitale elementer. Kontaktoplysningerne angives på et for brugere og markedsovervågningsmyndigheder letforståeligt sprog.
5.   Hvis importøren ved eller har grund til at tro, at et produkt med digitale elementer, som importøren har bragt i omsætning, ikke er i overensstemmelse med denne forordning, træffer importøren omgående de nødvendige korrigerende foranstaltninger til at sikre, at produktet med digitale elementer bringes i overensstemmelse med denne forordning, eller til at tilbagetrække eller tilbagekalde produktet, hvis det er relevant.
Når importøren bliver bekendt med en sårbarhed i produktet med digitale elementer, underretter importøren uden unødigt ophold fabrikanten om denne sårbarhed. Hvis produktet med digitale elementer udgør en væsentlig cybersikkerhedsrisiko, underretter importøren endvidere omgående markedsovervågningsmyndighederne i de medlemsstater, hvor importøren har gjort produktet med digitale elementer tilgængeligt på markedet, herom og giver nærmere oplysninger, navnlig om den manglende overholdelse og om de trufne afhjælpende foranstaltninger.
6.   Importøren opbevarer i mindst ti år efter, at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst, en kopi af EU-overensstemmelseserklæringen, så den står til rådighed for markedsovervågningsmyndighederne, og sikrer, at den tekniske dokumentation kan stilles til rådighed for disse myndigheder, hvis de anmoder herom.
7.   Efter en markedsovervågningsmyndigheds begrundede anmodning giver importøren denne myndighed alle de oplysninger og al den dokumentation på papir eller elektronisk, som er nødvendig for at dokumentere, at produkterne med digitale elementer er i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, del I, og at de processer, der er indført af fabrikanten, er i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, del II, på et for denne myndighed letforståeligt sprog. Hvis denne myndighed anmoder herom, samarbejder importøren med myndigheden om foranstaltninger, der træffes for at eliminere de cybersikkerhedsrisici, som et produkt med digitale elementer, importøren har bragt i omsætning, indebærer.
8.   Hvor importøren af et produkt med digitale elementer bliver bekendt med, at fabrikanten af det pågældende produkt har indstillet driften og derfor ikke er i stand til at opfylde de forpligtelser, der er fastsat i denne forordning, underretter importøren de relevante markedsovervågningsmyndigheder om denne situation samt, på enhver tilgængelig måde og i videst muligt omfang, brugerne af produkterne med digitale elementer, der er bragt i omsætning.
Artikel 20
Distributørens forpligtelser
1.   Distributøren skal, når denne gør et produkt med digitale elementer tilgængeligt på markedet, handle med fornøden omhu for så vidt angår kravene i denne forordning.
2.   Inden et produkt med digitale elementer gøres tilgængeligt på markedet, kontrollerer distributøren, at:
a)
produktet med digitale elementer er forsynet med CE-mærkning
b)
fabrikanten og importøren har opfyldt forpligtelserne i artikel 13, stk. 15, 16, 18, 19 og 20, og artikel 19, stk. 4, og har afgivet alle nødvendige dokumenter til distributøren.
3.   Hvis en distributør på baggrund af oplysninger i vedkommendes besiddelse finder eller har grund til at tro, at et produkt med digitale elementer eller de processer, der er indført af fabrikanten, ikke er i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, må distributøren ikke gøre produktet med digitale elementer tilgængeligt på markedet, før det pågældende produkt eller de processer, som fabrikanten har indført, er blevet bragt i overensstemmelse med denne forordning. Hvis produktet med digitale elementer udgør en væsentlig cybersikkerhedsrisiko, underretter distributøren endvidere uden unødigt ophold markedsovervågningsmyndighederne herom.
4.   Hvis distributøren på baggrund af oplysninger i vedkommendes besiddelse ved eller har grund til at tro, at et produkt med digitale elementer, som distributøren har gjort tilgængeligt på markedet, eller de processer, der er indført af fabrikanten, ikke er i overensstemmelse med denne forordning, træffer distributøren de nødvendige korrigerende foranstaltninger til at bringe produktet med digitale elementer eller de processer, som fabrikanten har indført, i overensstemmelse eller til at tilbagetrække eller tilbagekalde produktet, hvis det er relevant.
Når distributøren bliver bekendt med en sårbarhed i produktet med digitale elementer, underretter distributøren uden unødigt opholde fabrikanten om denne sårbarhed. Hvis produktet med digitale elementer udgør en væsentlig cybersikkerhedsrisiko, underretter distributøren endvidere omgående markedsovervågningsmyndighederne i de medlemsstater, hvor distributøren har gjort produktet med digitale elementer tilgængeligt på markedet, herom og giver nærmere oplysninger, navnlig om den manglende overholdelse og de trufne afhjælpende foranstaltninger.
5.   Efter en markedsovervågningsmyndigheds begrundede anmodning giver distributøren denne myndighed alle de oplysninger og al den dokumentation på papir eller elektronisk, som er nødvendig for at dokumentere, at produkterne med digitale elementer og de processer, der er indført af fabrikanten, er i overensstemmelse med denne forordning, på et for denne myndighed letforståeligt sprog. Hvis denne myndighed anmoder herom, samarbejder distributøren med myndigheden om foranstaltninger, der træffes for at eliminere de cybersikkerhedsrisici, som et produkt med digitale elementer, distributøren har gjort tilgængeligt på markedet, indebærer.
6.   Når distributøren af et produkt med digitale elementer på baggrund af oplysninger i vedkommendes besiddelse bliver bekendt med, at fabrikanten af det pågældende produkt har indstillet driften og derfor ikke er i stand til at opfylde de forpligtelser, der er fastsat i denne forordning, underretter distributøren uden unødigt ophold de relevante markedsovervågningsmyndigheder om denne situation samt, på enhver tilgængelig måde og i videst muligt omfang, brugerne af produkterne med digitale elementer, der er bragt i omsætning.
Artikel 21
Tilfælde, hvor fabrikantens forpligtelser finder anvendelse på importører og distributører
En importør eller distributør anses for at være fabrikant i denne forordnings forstand og er omfattet af artikel 13 og 14, hvor denne importør eller distributør bringer et produkt med digitale elementer i omsætning under sit navn eller varemærke eller foretager en væsentlig ændring af et produkt med digitale elementer, der allerede er bragt i omsætning.
Artikel 22
Andre tilfælde, hvor fabrikantens forpligtelser finder anvendelse
1.   En fysisk eller juridisk person, bortset fra fabrikanten, importøren eller distributøren, som foretager en væsentlig ændring af et produkt med digitale elementer og bringer dette produkt i omsætning, anses for at være fabrikant i denne forordnings forstand.
2.   Den person, der er omhandlet i denne artikels stk. 1, er underlagt forpligtelserne i artikel 13 og 14 for den del af produktet med digitale elementer, der berøres af den væsentlige ændring, eller, hvis den væsentlige ændring har indvirkning på cybersikkerheden af produktet med digitale elementer som helhed, for hele produktet.
Artikel 23
Identifikation af erhvervsdrivende
1.   Erhvervsdrivende giver efter anmodning markedsovervågningsmyndighederne følgende oplysninger:
a)
navn og adresse på enhver erhvervsdrivende, som har leveret et produkt med digitale elementer til dem
b)
hvis de foreligger, navn og adresse på enhver erhvervsdrivende, som de har leveret et produkt med digitale elementer til
2.   Erhvervsdrivende skal i ti år efter, at de har fået leveret eller har leveret produktet med digitale elementer, kunne forelægge de i stk. 1 nævnte oplysninger.
Artikel 24
Forpligtelser for open source software-forvaltere
1.   Open source software-forvaltere indfører og dokumenterer på en verificerbar måde en cybersikkerhedspolitik med henblik på at fremme udviklingen af et sikkert produkt med digitale elementer samt en effektiv håndtering af sårbarheder hos udviklerne af det pågældende produkt. Denne politik skal også fremme frivillig indberetning af sårbarheder fra udviklerne af det pågældende produkt som fastsat i artikel 15 og tage højde for open source software-forvalterens specifikke karakter og de juridiske og organisatoriske ordninger, som vedkommende er underlagt. Denne politik skal navnlig omfatte aspekter vedrørende dokumentation, håndtering og afhjælpning af sårbarheder og i open source-samfundet fremme udvekslingen af oplysninger om opdagede sårbarheder.
2.   Open source software-forvaltere samarbejder på anmodning fra markedsovervågningsmyndighederne med disse med henblik på at afbøde de cybersikkerhedsrisici, der er forbundet med et produkt med digitale elementer, som kan betegnes som gratis open source-software.
På grundlag af en begrundet anmodning fra en markedsovervågningsmyndighed giver open source software-forvaltere denne myndighed den i stk. 1 omhandlede dokumentation på et for denne myndighed letforståeligt sprog, i papirform eller i elektronisk form.
3.   Forpligtelserne i artikel 14, stk. 1, finder anvendelse på open source software-forvaltere, i det omfang de er involveret i udviklingen af produkter med digitale elementer. Forpligtelserne i artikel 14, stk. 3 og 8, finder anvendelse på open source software-forvaltere, i det omfang alvorlige hændelser, der har indvirkning på sikkerheden af produkter med digitale elementer, påvirker net- og informationssystemer, der leveres af open source software-forvalterne til udvikling af sådanne produkter.
Artikel 25
Sikkerhedscertificering af gratis open source-software
For at lette den due diligence-forpligtelse, der er fastsat i artikel 13, stk. 5, navnlig for så vidt angår fabrikanter, der integrerer gratis open source software-komponenter i deres produkter med digitale elementer, tillægges Kommissionen beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 61 med henblik på at supplere denne forordning ved at indføre frivillige sikkerhedscertificeringsprogrammer, der gør det muligt for udviklere eller brugere af produkter med digitale elementer, der kan betegnes som gratis open source-software, samt andre tredjeparter at vurdere sådanne produkters overensstemmelse med alle eller visse væsentlige cybersikkerhedskrav eller andre forpligtelser, der er fastsat i denne forordning.
Artikel 26
Vejledning
1.   For at lette gennemførelsen og sikre sammenhæng i en sådan gennemførelse offentliggør Kommissionen vejledning, der skal bistå de økonomiske aktører ved anvendelsen af denne forordning, med særligt fokus på at lette mikrovirksomheders og små og mellemstore virksomheders overholdelse af reglerne.
2.   Hvor Kommissionen har til hensigt at yde vejledning som omhandlet i stk. 1, behandler den mindst følgende aspekter:
a)
denne forordnings anvendelsesområde, med særligt fokus på fjerndatabehandlingsløsninger og gratis open source-software
b)
anvendelsen af supportperioder i forbindelse med særlige kategorier af produkter med digitale elementer
c)
vejledning rettet mod fabrikanter, der er omfattet af denne forordning, og som også er omfattet af anden EU-harmoniseringslovgivning end denne forordning eller af andre relaterede EU-retsakter
d)
begrebet væsentlig ændring.
Kommissionen fører også en lettilgængelig liste over de delegerede retsakter og gennemførelsesretsakter, der vedtages i henhold til denne forordning.
3.   Kommissionen hører relevante interessenter, når den udarbejder vejledning i henhold til denne artikel.
KAPITEL III
OVERENSSTEMMELSEN AF PRODUKTER MED DIGITALE ELEMENTER
Artikel 27
Overensstemmelsesformodning
1.   Produkter med digitale elementer og processer indført af fabrikanten, som er i overensstemmelse med harmoniserede standarder eller dele deraf, hvis referencer er offentliggjort i 
Den Europæiske Unions Tidende
, formodes at være i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, der er omfattet af disse standarder eller dele deraf.
Kommissionen anmoder i overensstemmelse med artikel 10, stk. 1, i forordning (EU) nr. 1025/2012 en eller flere europæiske standardiseringsorganisationer om at udarbejde harmoniserede standarder for de væsentlige cybersikkerhedskrav i bilag I til nærværende forordning. Ved udarbejdelsen af anmodninger om standardisering for nærværende forordning bestræber Kommissionen sig på at tage højde for eksisterende europæiske og internationale standarder for cybersikkerhed, som er gældende eller under udvikling, med henblik på at forenkle udviklingen af harmoniserede standarder i overensstemmelse med forordning (EU) nr. 1025/2012.
2.   Kommissionen kan vedtage gennemførelsesretsakter, der fastlægger fælles specifikationer vedrørende tekniske krav, der giver mulighed for at opfylde de væsentlige cybersikkerhedskrav i bilag I for produkter med digitale elementer, som er omfattet af denne forordnings anvendelsesområde.
Disse gennemførelsesretsakter vedtages kun, når følgende betingelser er opfyldt:
a)
Kommissionen har i henhold til artikel 10, stk. 1, i forordning (EU) nr. 1025/2012 anmodet en eller flere europæiske standardiseringsorganisationer om at udarbejde en harmoniseret standard for de væsentlige cybersikkerhedskrav i bilag I og:
i)
anmodningen er ikke blevet accepteret
ii)
de harmoniserede standarder, der forholder sig til denne anmodning, er ikke færdiggjort inden for den tidsfrist, der er fastsat i artikel 10, stk. 1, i forordning (EU) nr. 1025/2012, eller
iii)
de harmoniserede standarder er ikke i overensstemmelse med anmodningen, og
b)
der offentliggøres ingen henvisning til harmoniserede standarder, som omfatter de relevante væsentlige cybersikkerhedskrav i denne forordnings bilag I, i 
Den Europæiske Unions Tidende
 i overensstemmelse med forordning (EU) nr. 1025/2012, og der forventes ingen offentliggørelse af en sådan henvisning inden for et rimeligt tidsrum.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 62, stk. 2.
3.   Inden Kommissionen udarbejder det i denne artikels stk. 2 omhandlede udkast til gennemførelsesretsakt, underretter den det udvalg, der er omhandlet i artikel 22 i forordning (EU) nr. 1025/2012, om, at den anser betingelserne i nærværende artikels stk. 2 for at være opfyldt.
4.   Når Kommissionen udarbejder det i stk. 2 omhandlede udkast til gennemførelsesretsakt, tager den synspunkter fra relevante organer i betragtning og hører alle relevante interessenter behørigt.
5.   Produkter med digitale elementer og processer indført af fabrikanten, som er i overensstemmelse med de fælles specifikationer, der er fastsat ved gennemførelsesretsakter omhandlet i denne artikels stk. 2, eller dele heraf, formodes at være i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, der er omfattet af disse fælles specifikationer eller dele heraf.
6.   Når en europæisk standardiseringsorganisation vedtager en harmoniseret standard og fremlægger denne for Kommissionen med henblik på offentliggørelse af henvisningen hertil i 
Den Europæiske Unions Tidende
, foretager Kommissionen en vurdering af den harmoniserede standard i overensstemmelse med forordning (EU) nr. 1025/2012. Når en henvisning vedrørende en harmoniseret standard offentliggøres i 
Den Europæiske Unions Tidende
, ophæver Kommissionen de i denne forordnings stk. 2 omhandlede gennemførelsesretsakter, eller dele deraf, som omfatter de samme væsentlige cybersikkerhedskrav, der er omfattet af denne harmoniserede standard.
7.   Hvor en medlemsstat mener, at en fælles specifikation ikke lever helt op til de væsentlige cybersikkerhedskrav i bilag I, underretter medlemsstaten Kommissionen herom ved at give en udførlig forklaring. Kommissionen vurderer den udførlige forklaring og kan, hvis det er hensigtsmæssigt, ændre den gennemførelsesretsakt, som den pågældende fælles specifikation er oprettet ved.
8.   Produkter med digitale elementer og processer indført af fabrikanten, for hvilke der er udstedt en EU-overensstemmelseserklæring eller attest i henhold til en europæisk cybersikkerhedscertificeringsordning vedtaget i medfør af forordning (EU) 2019/881, formodes at være i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, i det omfang EU-overensstemmelseserklæringen eller den europæiske cybersikkerhedsattest eller dele heraf dækker disse krav.
9.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med denne forordnings artikel 61 med henblik på at supplere denne forordning ved at præcisere de europæiske cybersikkerhedscertificeringsordninger, der er vedtaget i henhold til forordning (EU) 2019/881, og som kan anvendes til at påvise overensstemmelsen af produkter med digitale elementer med de væsentlige cybersikkerhedskrav eller dele heraf i bilag I til nærværende forordning. Udstedelsen af en europæisk cybersikkerhedsattest i henhold til sådanne ordninger på et tillidsniveau, der som minimum er »betydeligt«, fritager derudover fabrikanten fra forpligtelsen til at lade foretage en tredjepartsoverensstemmelsesvurdering vedrørende de tilsvarende krav, jf. nærværende forordnings artikel 32, stk. 2, litra a) og b) og artikel 32, stk. 3, litra a) og b).
Artikel 28
EU-overensstemmelseserklæring
1.   EU-overensstemmelseserklæringen skal udfærdiges af fabrikanten i overensstemmelse med artikel 13, stk. 12, og det skal af EU-overensstemmelseserklæringen fremgå, at det er blevet dokumenteret, at de gældende væsentlige cybersikkerhedskrav i bilag I er opfyldt.
2.   EU-overensstemmelseserklæringen skal følge den model, der er fastsat i bilag V, og indeholde de elementer, der er angivet i de relevante overensstemmelsesvurderingsprocedurer i bilag VIII. En sådan erklæring skal ajourføres, i det omfang det er relevant. Den stilles til rådighed på de sprog, der kræves af den medlemsstat, hvor produktet med digitale elementer bringes i omsætning eller gøres tilgængeligt på markedet.
Den forenklede EU-overensstemmelseserklæring, der er omhandlet i artikel 13, stk. 20, skal følge den model, der er fastsat i bilag VI. Den stilles til rådighed på de sprog, der kræves af den medlemsstat, hvor produktet med digitale elementer bringes i omsætning eller gøres tilgængeligt på markedet.
3.   Hvis et produkt med digitale elementer er omfattet af mere end én EU-retsakt, der kræver en EU-overensstemmelseserklæring, udfærdiges der en enkelt EU-overensstemmelseserklæring for alle sådanne EU-retsakter. Det skal af erklæringen fremgå, hvilke EU-retsakter den vedrører, herunder hvor disse er offentliggjort.
4.   Ved at udarbejde EU-overensstemmelseserklæringen påtager fabrikanten sig ansvaret for, at produktet med digitale elementer opfylder de gældende krav.
5.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 61 med henblik på at supplere denne forordning ved at tilføje elementer til minimumsindholdet af EU-overensstemmelseserklæringen i bilag V for at tage hensyn til den teknologiske udvikling.
Artikel 29
Generelle principper for CE-mærkningen
CE-mærkningen er underkastet de generelle principper i artikel 30 i forordning (EF) nr. 765/2008.
Artikel 30
Regler og betingelser for anbringelse af CE-mærkning
1.   CE-mærkningen anbringes synligt, let læseligt og uudsletteligt på produktet med digitale elementer. Hvis produktet med digitale elementer er af en sådan art, at dette ikke er muligt eller berettiget, anbringes CE-mærkningen på emballagen og på den i artikel 28 omhandlede EU-overensstemmelseserklæring, der ledsager produktet med digitale elementer. For produkter med digitale elementer i form af software anbringes CE-mærkningen enten på den i artikel 28 omhandlede EU-overensstemmelseserklæring eller på webstedet for softwareproduktet. I sidstnævnte tilfælde skal der være nem og direkte adgang for forbrugere til den relevante sektion på webstedet.
2.   CE-mærkning på produktet med digitale elementer kan, såfremt arten af produktet med digitale elementer nødvendiggør det, være lavere end 5 mm, forudsat at den fortsat er synlig og læselig.
3.   CE-mærkningen anbringes, før produktet med digitale elementer bringes i omsætning. Den kan følges af et piktogram eller en anden form for angivelse vedrørende cybersikkerhedsrisiko- eller brugskategori, der er fastsat i de i stk. 6 omhandlede gennemførelsesretsakter.
4.   Efter CE-mærkningen anføres identifikationsnummeret på det bemyndigede organ, hvis dette organ deltager i den i stk. 6 omhandlede overensstemmelsesvurderingsprocedure på grundlag af fuld kvalitetssikring (baseret på modul H).
Det bemyndigede organs identifikationsnummer anbringes af organet selv eller efter dettes anvisninger af fabrikanten eller dennes bemyndigede repræsentant.
5.   Medlemsstaterne benytter eksisterende mekanismer til at sikre, at CE-mærkningsordningen anvendes korrekt, og tager passende skridt i tilfælde af uretmæssig anvendelse af mærkningen. Hvis produktet med digitale elementer er omfattet af anden EU-harmoniseringslovgivning end denne forordning, som også indeholder bestemmelser om anbringelse af CE-mærkning, skal CE-mærkningen angive, at produktet ligeledes opfylder kravene i en anden sådan EU-harmoniseringslovgivning.
6.   Kommissionen kan ved hjælp af gennemførelsesretsakter fastsætte tekniske specifikationer for etiketter, piktogrammer eller andre mærker vedrørende sikkerheden af produkter med digitale elementer, deres supportperioder og mekanismer til at fremme deres anvendelse og til at øge offentlighedens bevidsthed om sikkerheden ved produkter med digitale elementer. Når Kommissionen udarbejder udkastene til gennemførelsesretsakter, hører den relevante interessenter og, hvis denne allerede er blevet nedsat i henhold til artikel 52, stk. 15, ADCO. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 62, stk. 2.
Artikel 31
Teknisk dokumentation
1.   Den tekniske dokumentation skal indeholde alle relevante data eller oplysninger om de midler, som fabrikanten anvender for at sikre, at produktet med digitale elementer og de processer, som fabrikanten har indført, opfylder de væsentlige cybersikkerhedskrav i bilag I. Den skal som minimum indeholde de i bilag VII fastsatte elementer.
2.   Den tekniske dokumentation udarbejdes, inden produktet med digitale elementer bringes i omsætning, og ajourføres løbende, hvor det er relevant, i det mindste i supportperioden.
3.   For produkter med digitale elementer som omhandlet i artikel 12, der også er omfattet af andre EU-retsakter, som indeholder bestemmelser om teknisk dokumentation, udarbejdes der en samlet teknisk dokumentation, som indeholder de oplysninger, der er omhandlet i bilag VII, og de oplysninger, der kræves i henhold til disse EU-retsakter.
4.   Den tekniske dokumentation og korrespondance vedrørende overensstemmelsesvurderingsprocedurer udfærdiges på et officielt sprog i den medlemsstat, hvor det bemyndigede organ er etableret, eller på et for dette organ acceptabelt sprog.
5.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 61 med henblik på at supplere denne forordning ved at tilføje de elementer, der skal indgå i den tekniske dokumentation fastsat jf. bilag VII, for at tage hensyn til den teknologiske udvikling samt udviklingen i forbindelse med gennemførelsen af denne forordning. Med henblik herpå sikrer Kommissionen, at den administrative byrde for mikrovirksomheder og små og mellemstore virksomheder er forholdsmæssig.
Artikel 32
Overensstemmelsesvurderingsprocedurer for produkter med digitale elementer
1.   Fabrikanten foretager en overensstemmelsesvurdering af produktet med digitale elementer og de processer, som fabrikanten har indført, med henblik på at fastslå, om de væsentlige cybersikkerhedskrav i bilag I er opfyldt. Fabrikanten påviser overensstemmelse med de væsentlige cybersikkerhedskrav ved brug af en af følgende procedurer:
a)
proceduren for intern kontrol (baseret på modul A) fastsat i bilag VIII
b)
EU-typeafprøvning (baseret på modul B) fastsat i bilag VIII efterfulgt af typeoverensstemmelse på grundlag af intern produktionskontrol (baseret på modul C) fastsat i bilag VIII
c)
en overensstemmelsesvurdering på grundlag af fuld kvalitetssikring (baseret på modul H) fastsat i bilag VIII, eller
d)
hvor en sådan foreligger og er relevant, en europæisk cybersikkerhedscertificeringsordning i medfør af artikel 27, stk. 9.
2.   Hvis fabrikanten ved vurderingen af, hvorvidt et vigtigt produkt med digitale elementer, der henhører under klasse I som fastsat i bilag III, og de processer, der er indført af fabrikanten, overholder de væsentlige cybersikkerhedskrav i bilag I, ikke har anvendt eller kun delvist har anvendt harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger på et tillidsniveau, der som minimum er »betydeligt«, som omhandlet i artikel 27, eller hvis sådanne harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger ikke findes, underkastes det pågældende produkt med digitale elementer og de processer, som fabrikanten har indført, for så vidt angår disse væsentlige cybersikkerhedskrav en af følgende procedurer:
a)
EU-typeafprøvningen (baseret på modul B) fastsat i bilag VIII efterfulgt af typeoverensstemmelse på grundlag af intern produktionskontrol (baseret på modul C) fastsat i bilag VIII, eller
b)
en overensstemmelsesvurdering på grundlag af fuld kvalitetssikring (baseret på modul H) fastsat i bilag VIII,
3.   Hvis produktet er et vigtigt produkt med digitale elementer, der henhører under klasse II som fastsat i bilag III, påviser fabrikanten overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I ved brug af en af følgende procedurer:
a)
EU-typeafprøvning (baseret på modul B) som fastsat i bilag VIII efterfulgt af typeoverensstemmelse på grundlag af intern produktionskontrol (baseret på modul C) som fastsat i bilag VIII
b)
en overensstemmelsesvurdering på grundlag af fuld kvalitetssikring (baseret på modul H) som fastsat i bilag VIII, eller
c)
hvor en sådan foreligger og er relevant, en europæisk cybersikkerhedscertificeringsordning i henhold til denne forordnings artikel 27, stk. 9, på et tillidsniveau, der som minimum er »betydeligt« i henhold til forordning (EU) 2019/881.
4.   Kritiske produkter med digitale elementer, der er opført i bilag IV, skal påvise overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I ved hjælp af en af følgende procedurer:
a)
en europæisk cybersikkerhedscertificeringsordning i overensstemmelse med artikel 8, stk. 1, eller
b)
hvis betingelserne i artikel 8, stk. 1, ikke er opfyldt, en af de procedurer, der er omhandlet i nærværende artikels stk. 3.
5.   Fabrikanter af produkter med digitale elementer, der kan betegnes som gratis open source-software, og som er omfattet af kategorierne i bilag III, skal kunne påvise overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I ved hjælp af en af de procedurer, der er omhandlet i denne artikels stk. 1, forudsat at den tekniske dokumentation, der er omhandlet i artikel 31, gøres tilgængelig for offentligheden på det tidspunkt, hvor de pågældende produkter bringes i omsætning.
6.   Der skal tages hensyn til mikrovirksomheders og små og mellemstore virksomheders, herunder nyetablerede virksomheders, særlige interesser og behov ved fastsættelsen af gebyrerne for overensstemmelsesvurderingsprocedurer, og disse gebyrer skal reduceres i forhold til deres særlige interesser og behov.
Artikel 33
Støtteforanstaltninger for mikrovirksomheder og små og mellemstore virksomheder, herunder nyetablerede virksomheder
1.   Medlemsstaterne iværksætter, hvor det er relevant, følgende tiltag skræddersyet til mikrovirksomheders og små virksomheders behov:
a)
tilrettelæggelse af specifikke oplysnings- og uddannelsesaktiviteter om anvendelsen af denne forordning
b)
oprettelse af en særlig kommunikationskanal for mikrovirksomheder og små virksomheder og, i det omfang det er relevant, lokale offentlige myndigheder med henblik på at yde rådgivning og besvare spørgsmål om gennemførelsen af denne forordning
c)
støtte af afprøvnings- og overensstemmelsesvurderingsaktiviteter, herunder, hvor det er relevant, med støtte fra Det Europæiske Kompetencecenter for Cybersikkerhed.
2.   Medlemsstaterne kan, hvor det er relevant, oprette reguleringsmæssige sandkasser for cyberrobusthed. Sådanne reguleringsmæssige sandkasser skal sikre kontrollerede afprøvningsmiljøer for innovative produkter med digitale elementer for at lette deres udvikling, design, validering og afprøvning med henblik på at overholde denne forordning i en begrænset periode, inden de bringes i omsætning. Kommissionen og, hvor det er relevant, ENISA kan yde teknisk støtte og rådgivning samt tilvejebringe værktøjer til oprettelse og drift af reguleringsmæssige sandkasser. De reguleringsmæssige sandkasser oprettes under direkte tilsyn, vejledning og støtte fra markedsovervågningsmyndighederne. Medlemsstaterne underretter Kommissionen og de øvrige markedsovervågningsmyndigheder om oprettelsen af en reguleringsmæssig sandkasse gennem ADCO. De reguleringsmæssige sandkasser berører ikke de kompetente myndigheders tilsynsbeføjelser eller korrigerende beføjelser. Medlemsstaterne sikrer åben, retfærdig og gennemsigtig adgang til reguleringsmæssige sandkasser og letter navnlig adgangen for mikrovirksomheder og små virksomheder, herunder nyetablerede virksomheder.
3.   I overensstemmelse med artikel 26 yder Kommissionen vejledning til mikrovirksomheder og små og mellemstore virksomheder i forbindelse med gennemførelsen af denne forordning.
4.   Kommissionen bekendtgør den finansielle støtte, der er tilgængelig inden for de lovgivningsmæssige rammer for eksisterende EU-programmer, navnlig for at lette den finansielle byrde for mikrovirksomheder og små virksomheder.
5.   Mikrovirksomheder og små virksomheder kan tilvejebringe alle elementer af den tekniske dokumentation, der er angivet i bilag VII, ved hjælp af et forenklet format. Med henblik herpå præciserer Kommissionen ved hjælp af gennemførelsesretsakter den forenklede tekniske dokumentationsformular, der er rettet mod mikrovirksomheders og små virksomheders behov, herunder hvordan elementerne i bilag VII skal tilvejebringes. Hvis en mikrovirksomhed eller en lille virksomhed vælger at tilvejebringe de oplysninger, der er fastlagt i bilag VII, på en forenklet måde, skal den anvende den formular, der er omhandlet i dette stykke. Bemyndigede organer accepterer denne formular med henblik på en overensstemmelsesvurdering.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 62, stk. 2.
Artikel 34
Aftaler om gensidig anerkendelse
Unionen kan under hensyntagen til niveauet for teknisk udvikling og tilgangen til overensstemmelsesvurdering i et tredjeland indgå aftaler om gensidig anerkendelse med tredjelande i overensstemmelse med artikel 218 i TEUF med det formål at fremme og lette international handel.
KAPITEL IV
BEMYNDIGELSE AF OVERENSSTEMMELSESVURDERINGSORGANER
Artikel 35
Bemyndigelse og underretning
1.   Medlemsstaterne underretter Kommissionen og de øvrige medlemsstater om, hvilke organer der er bemyndiget til at udføre overensstemmelsesvurderingsopgaver i overensstemmelse med denne forordning.
2.   Medlemsstaterne bestræber sig på senest den 11. december 2026 at sikre, at der er et tilstrækkeligt antal bemyndigede organer i Unionen til at foretage overensstemmelsesvurderinger, så der undgås flaskehalse og forhindringer for markedsadgang.
Artikel 36
Bemyndigende myndigheder
1.   Hver medlemsstat udpeger en bemyndigende myndighed, som er ansvarlig for at indføre og gennemføre de nødvendige procedurer for vurdering, udpegning og bemyndigelse af overensstemmelsesvurderingsorganer og for overvågning heraf, herunder overholdelsen af artikel 41.
2.   Medlemsstater kan bestemme, at den stk. 1 omhandlede vurdering og overvågning foretages af et nationalt akkrediteringsorgan i den i forordning (EF) nr. 765/2008 anvendte betydning og i overensstemmelse med nævnte forordning.
3.   Hvis den bemyndigende myndighed uddelegerer eller på anden måde betror den vurdering, bemyndigelse eller overvågning, der er omhandlet i denne artikels stk. 1, til et organ, der ikke er en statslig enhed, skal dette organ være en juridisk enhed og på tilsvarende vis overholde artikel 37. Derudover skal det have truffet foranstaltninger til dækning af erstatningsansvar i forbindelse med sine aktiviteter.
4.   Den bemyndigende myndighed påtager sig det fulde ansvar for de opgaver, der udføres af det i stk. 3 omhandlede organ.
Artikel 37
Krav til bemyndigende myndigheder
1.   En bemyndigende myndighed skal oprettes på en sådan måde, at der ikke opstår interessekonflikter med overensstemmelsesvurderingsorganer.
2.   En bemyndigende myndighed skal være organiseret og arbejde på en sådan måde, at det sikres, at dens aktiviteter udøves objektivt og uvildigt.
3.   En bemyndigende myndighed skal være organiseret på en sådan måde, at alle beslutninger om bemyndigelse af overensstemmelsesvurderingsorganet træffes af kompetente personer, der ikke er identiske med dem, der foretog vurderingen.
4.   En bemyndigende myndighed må ikke udføre aktiviteter, som udføres af overensstemmelsesvurderingsorganer, eller yde rådgivningsservice på kommercielt eller konkurrencemæssigt grundlag.
5.   En bemyndigende myndighed skal sikre, at de oplysninger, som den indhenter, behandles fortroligt.
6.   En bemyndigende myndighed skal have et tilstrækkeligt antal kompetente medarbejdere til, at den kan udføre sine opgaver behørigt.
Artikel 38
Oplysningskrav for bemyndigende myndigheder
1.   Medlemsstaterne underretter Kommissionen om deres procedurer for vurdering og bemyndigelse af overensstemmelsesvurderingsorganer og overvågning af bemyndigede organer og om eventuelle ændringer heraf.
2.   Kommissionen gør de i stk. 1 omhandlede oplysninger offentligt tilgængelige.
Artikel 39
Krav til bemyndigede organer
1.   Med henblik på bemyndigelse skal et overensstemmelsesvurderingsorgan opfylde kravene i stk. 2-12.
2.   Et overensstemmelsesvurderingsorgan skal oprettes i henhold til national ret og skal være en juridisk person.
3.   Et overensstemmelsesvurderingsorgan skal være et tredjepartsorgan, der er uafhængigt af den organisation eller det produkt med digitale elementer, som det vurderer.
Et organ, der tilhører en erhvervsorganisation eller brancheforening, som repræsenterer virksomheder, der er involveret i design, udvikling, produktion, tilvejebringelse, sammensætning, brug eller vedligeholdelse af produkter med digitale elementer, som det vurderer, kan, forudsat at det er påvist, at det er uafhængigt, og at der ikke foreligger interessekonflikter, anses for at være et sådant tredjepartsorgan.
4.   Overensstemmelsesvurderingsorganet, dets øverste ledelse og det personale, der er ansvarligt for at foretage overensstemmelsesvurdering, må ikke være designeren, udvikleren, fabrikanten, leverandøren, importøren, distributøren, montøren, køberen, ejeren, brugeren eller reparatøren af de produkter med digitale elementer, som de vurderer, eller den bemyndigede repræsentant for nogen af disse parter. Dette forhindrer ikke anvendelse af vurderede produkter, der er nødvendige for overensstemmelsesvurderingsorganets aktiviteter, eller anvendelse af sådanne produkter til personlige formål.
Overensstemmelsesvurderingsorganet, dets øverste ledelse og det personale, der er ansvarligt for at foretage overensstemmelsesvurdering, må ikke være direkte involveret i design, udvikling, produktion, import, distribution, markedsføring, montering, anvendelse eller vedligeholdelse af de produkter med digitale elementer, som de vurderer, eller repræsentere parter, der er involveret i disse aktiviteter. De må ikke deltage i aktiviteter, som kan være i strid med deres objektivitet og integritet i forbindelse med de overensstemmelsesvurderingsaktiviteter, de er bemyndiget til. Dette gælder navnlig rådgivningstjenester.
Overensstemmelsesvurderingsorganer skal sikre, at deres dattervirksomheders eller underleverandørers aktiviteter ikke påvirker fortroligheden, objektiviteten eller uvildigheden af deres overensstemmelsesvurderingsaktiviteter.
5.   Overensstemmelsesvurderingsorganerne og deres personale skal udføre overensstemmelsesvurderingsaktiviteterne med den størst mulige faglige integritet og den nødvendige tekniske kompetence på det specifikke område og må ikke påvirkes af nogen form for pression eller incitament, navnlig af økonomisk art, som kan have indflydelse på deres afgørelser eller resultaterne af deres overensstemmelsesvurderingsaktiviteter, særlig fra personer eller grupper af personer, som har en interesse i resultaterne af disse aktiviteter.
6.   Et overensstemmelsesvurderingsorgan skal være i stand til at gennemføre alle de i bilag VIII omhandlede overensstemmelsesvurderingsopgaver, for hvilke det er blevet notificeret, uanset om disse opgaver udføres af overensstemmelsesvurderingsorganet selv eller på dets vegne og under dets ansvar.
Til enhver tid og for hver overensstemmelsesvurderingsprocedure og type eller kategori af produkter med digitale elementer, for hvilket det er blevet notificeret, skal et overensstemmelsesvurderingsorgan have følgende til rådighed:
a)
personale med teknisk viden og med tilstrækkelig og relevant erfaring til at udføre overensstemmelsesvurderingsopgaverne
b)
beskrivelser af de procedurer, i henhold til hvilke overensstemmelsesvurderingen skal foretages, således at gennemsigtigheden og muligheden for at reproducere disse procedurer sikres. Det skal have indført hensigtsmæssige politikker og procedurer, som skelner mellem de opgaver, det udfører som bemyndiget organ, og andre aktiviteter
c)
procedurer, der sætter det i stand til at udføre sine aktiviteter under behørig hensyntagen til en virksomheds størrelse, den sektor, som virksomheden opererer i, virksomhedens struktur, den pågældende produktteknologis kompleksitet og produktionsprocessens karakter af masse- eller serieproduktion.
Et overensstemmelsesvurderingsorgan skal råde over de fornødne midler til på en passende måde at udføre de tekniske og administrative opgaver, der er forbundet med overensstemmelsesvurderingsarbejdet, og det skal have adgang til alt nødvendigt udstyr og alle nødvendige faciliteter.
7.   Det personale, som skal udføre overensstemmelsesvurderingsopgaverne, skal have:
a)
en solid teknisk og faglig uddannelse inden for alle de overensstemmelsesvurderingsaktiviteter, som organets bemyndigelse dækker
b)
tilfredsstillende kendskab til kravene vedrørende de vurderinger, de foretager, og tilstrækkelig bemyndigelse til at udføre sådanne vurderinger
c)
tilstrækkeligt kendskab til og tilstrækkelig forståelse af de væsentlige cybersikkerhedskrav i bilag I, de gældende harmoniserede standarder og fælles specifikationer samt de relevante bestemmelser i EU-harmoniseringslovgivning og gennemførelsesretsakter
d)
færdighed i at udarbejde attester, registreringer og rapporter, der viser, at vurderingerne er udført.
8.   Det skal sikres, at overensstemmelsesvurderingsorganerne, den øverste ledelse og det personale, der er ansvarligt for at foretage overensstemmelsesvurdering, arbejder uvildigt.
Aflønningen af den øverste ledelse og vurderingspersonalet må ikke afhænge af, hvor mange vurderinger de udfører eller resultaterne af disse vurderinger.
9.   Overensstemmelsesvurderingsorganerne skal tegne en ansvarsforsikring, medmindre deres medlemsstat har overtaget ansvaret efter national ret, eller medmindre medlemsstaten selv er direkte ansvarlig for overensstemmelsesvurderingen.
10.   Overensstemmelsesvurderingsorganets personale har tavshedspligt med hensyn til alle oplysninger, det kommer i besiddelse af ved udførelsen af dets opgaver i henhold til bilag VIII eller enhver bestemmelse i national ret til gennemførelse heraf, undtagen over for markedsovervågningsmyndighederne i den medlemsstat, hvor aktiviteterne udføres. Ejendomsrettigheder skal beskyttes. Overensstemmelsesvurderingsorganet skal have dokumenterede procedurer, der sikrer overholdelse af dette stykke.
11.   Overensstemmelsesvurderingsorganet skal deltage i, eller sikre at dets vurderingspersonale er orienteret om, de relevante standardiseringsaktiviteter og aktiviteterne i den koordineringsgruppe af bemyndigede organer, der er nedsat i henhold til artikel 51, og skal som generel retningslinje anvende de administrative afgørelser og dokumenter, som arbejdet i denne gruppe udmøntes i.
12.   Overensstemmelsesvurderingsorganer skal fungere i henhold til et sæt konsekvente, retfærdige, forholdsmæssige og rimelige vilkår og betingelser, samtidig med at unødvendige byrder undgås for erhvervsdrivende, idet der særlig tages hensyn til mikrovirksomheders og små og mellemstore virksomheders interesser for så vidt angår gebyrer.
Artikel 40
Formodning om bemyndigede organers overensstemmelse
Hvis et overensstemmelsesvurderingsorgan dokumenterer, at det opfylder kriterierne i de relevante harmoniserede standarder eller dele heraf, hvortil der er offentliggjort referencer i 
Den Europæiske Unions Tidende
, formodes det at opfylde kravene i artikel 39, for så vidt som de gældende harmoniserede standarder dækker disse krav.
Artikel 41
Dattervirksomheder og underleverandører i tilknytning til bemyndigede organer
1.   Hvis et bemyndiget organ giver bestemte opgaver i forbindelse med overensstemmelsesvurdering til underleverandører eller anvender en dattervirksomhed, sikrer det bemyndigede organ, at underleverandøren eller dattervirksomheden opfylder kravene i artikel 39, og underretter den bemyndigende myndighed herom.
2.   De bemyndigede organer har det fulde ansvar for de opgaver, der udføres af underleverandører eller dattervirksomheder, uanset hvor de er etableret.
3.   Aktiviteter må kun gives til underleverandører eller udføres af en dattervirksomhed, hvis fabrikanten har givet sit samtykke.
4.   De bemyndigede organer sikrer, at de relevante dokumenter vedrørende vurderingen af underleverandørens eller dattervirksomhedens kvalifikationer og det arbejde, som de har udført i henhold til denne forordning, er til rådighed for den bemyndigende myndighed.
Artikel 42
Ansøgning om bemyndigelse
1.   Et overensstemmelsesvurderingsorgan indgiver en ansøgning om bemyndigelse til den bemyndigende myndighed i den medlemsstat, hvor det er etableret.
2.   Ansøgningen ledsages af en beskrivelse af de overensstemmelsesvurderingsaktiviteter, den eller de overensstemmelsesvurderingsprocedurer og det eller de produkter med digitale elementer, som organet hævder at være kompetent til, samt, i givet fald, af et akkrediteringscertifikat udstedt af et nationalt akkrediteringsorgan, hvor det attesteres, at overensstemmelsesvurderingsorganet opfylder kravene i artikel 39.
3.   Hvis det pågældende overensstemmelsesvurderingsorgan ikke kan forelægge et akkrediteringscertifikat, forelægger det den bemyndigende myndighed al den dokumentation, der er nødvendig for at kontrollere, anerkende og regelmæssigt overvåge, at det opfylder kravene i artikel 39.
Artikel 43
Bemyndigelsesprocedure
1.   De bemyndigende myndigheder må kun bemyndige overensstemmelsesvurderingsorganer, som opfylder kravene i artikel 39.
2.   Den bemyndigende myndighed underretter Kommissionen og de øvrige medlemsstater ved hjælp af informationssystemet New Approach Notified and Designated Organisations, der er udviklet og forvaltes af Kommissionen.
3.   Underretningen skal indeholde fyldestgørende oplysninger om overensstemmelsesvurderingsaktiviteterne, det pågældende overensstemmelsesvurderingsmodul eller de pågældende overensstemmelsesvurderingsmoduler og det pågældende produkt eller de pågældende produkter med digitale elementer og den relevante dokumentation for kompetencen.
4.   Hvis en bemyndigelse ikke er baseret på et akkrediteringscertifikat som anført i artikel 42, stk. 2, forelægger den bemyndigende myndighed Kommissionen og de øvrige medlemsstater dokumentation, der attesterer overensstemmelsesvurderingsorganets kompetence og de ordninger, der er indført til sikring af, at der regelmæssigt føres tilsyn med organet, og at organet også fremover vil opfylde de i artikel 39 fastsatte krav.
5.   Det pågældende organ må kun udføre aktiviteter som bemyndiget organ, hvis Kommissionen og de øvrige medlemsstater ikke har gjort indsigelse inden for to uger efter en underretning baseret på et akkrediteringscertifikat eller inden for to måneder efter en underretning, der ikke er baseret på et akkrediteringscertifikat.
Kun et sådant organ anses for at være et bemyndiget organ i denne forordnings forstand.
6.   Kommissionen og de øvrige medlemsstater skal underrettes om eventuelle efterfølgende relevante ændringer af bemyndigelsen.
Artikel 44
Identifikationsnumre for og lister over bemyndigede organer
1.   Kommissionen tildeler et bemyndiget organ et identifikationsnummer.
Hvert bemyndiget organ tildeles kun ét sådant nummer, også selv om organet er notificeret i henhold til flere EU-retsakter.
2.   Kommissionen offentliggør listen over organer, der er notificeret i henhold til denne forordning, herunder de identifikationsnumre, de er blevet tildelt, og de aktiviteter, for hvilke de er notificeret.
Kommissionen sikrer, at denne liste holdes ajour.
Artikel 45
Ændringer af bemyndigelser
1.   Hvis en bemyndigende myndighed har konstateret eller er blevet underrettet om, at et bemyndiget organ ikke længere opfylder kravene i artikel 39, eller at det ikke opfylder sine forpligtelser, begrænser, suspenderer eller inddrager den bemyndigende myndighed bemyndigelsen, alt efter hvad der er relevant, og afhængigt af i hvor høj grad disse krav eller forpligtelser ikke er blevet opfyldt. Den underretter omgående Kommissionen og de øvrige medlemsstater herom.
2.   Hvis en bemyndigelse begrænses, suspenderes eller inddrages, eller hvis det bemyndigede organ har indstillet sin virksomhed, træffer den bemyndigende medlemsstat de nødvendige foranstaltninger for at sikre, at dette organs sager enten behandles af et andet bemyndiget organ eller gøres tilgængelige for de ansvarlige bemyndigende myndigheder og markedsovervågningsmyndigheder efter disses anmodning.
Artikel 46
Anfægtelse af de bemyndigede organers kompetence
1.   Kommissionen undersøger alle tilfælde, hvor den tvivler på et bemyndiget organs kompetence eller på, at et bemyndiget organ fortsat opfylder de krav og forpligtelser, der påhviler det, og tilfælde, hvor den bliver gjort opmærksom på en sådan tvivl.
2.   Den bemyndigende medlemsstat forelægger efter anmodning Kommissionen alle oplysninger om grundlaget for bemyndigelsen eller fastholdelsen af det bemyndigede organs kompetence.
3.   Kommissionen sikrer, at alle følsomme oplysninger, den indhenter som led i sine undersøgelser, behandles fortroligt.
4.   Hvis Kommissionen konstaterer, at et bemyndiget organ ikke eller ikke længere opfylder kravene vedrørende dets bemyndigelse, underretter Kommissionen den bemyndigende medlemsstat herom og anmoder den om at træffe de nødvendige korrigerende foranstaltninger, herunder om nødvendigt inddragelse af bemyndigelsen.
Artikel 47
Bemyndigede organers operationelle forpligtelser
1.   Bemyndigede organer foretager overensstemmelsesvurdering i overensstemmelse med de overensstemmelsesvurderingsprocedurer, der er fastsat i artikel 32 og bilag VIII.
2.   Overensstemmelsesvurderingerne foretages i overensstemmelse med proportionalitetsprincippet, således at de erhvervsdrivende ikke pålægges unødige byrder. Overensstemmelsesvurderingsorganer udfører deres aktiviteter under behørig hensyntagen til virksomhedernes størrelse, især med hensyn til mikrovirksomheder og små og mellemstore virksomheder, den sektor, som de opererer inden for, deres struktur, deres kompleksitet og cybersikkerhedsrisikoniveauet for de pågældende produkter med digitale elementer og den pågældende teknologi, og om produktionsprocessen har karakter af masse- eller serieproduktion.
3.   Bemyndigede organer skal dog respektere den grad af strenghed og det beskyttelsesniveau, der kræves for, at produkterne med digitale elementer opfylder denne forordning.
4.   Hvis et bemyndiget organ finder, at fabrikanten ikke har opfyldt kravene i bilag I eller i de dertil svarende harmoniserede standarder eller de fælles specifikationer som omhandlet i artikel 27, kræver det, at det fabrikanten træffer afhjælpende foranstaltninger, og det udsteder ikke en overensstemmelsesattest.
5.   Hvis et bemyndiget organ i forbindelse med overensstemmelsesovervågning efter udstedelse af en attest finder, at et produkt med digitale elementer ikke længere opfylder kravene i denne forordning, kræver det, at fabrikanten afhjælper dette og suspenderer eller inddrager attesten om nødvendigt.
6.   Hvis der ikke træffes afhjælpende foranstaltninger, eller hvis disse ikke har den ønskede virkning, begrænser, suspenderer eller inddrager det bemyndigede organ eventuelle attester, alt efter hvad der er relevant.
Artikel 48
Klage over afgørelser truffet af bemyndigede organer
Medlemsstaterne sikrer, at der findes en procedure for klager over de bemyndigede organers afgørelser.
Artikel 49
Oplysningspligt for bemyndigede organer
1.   De bemyndigede organer oplyser den bemyndigende myndighed om følgende:
a)
ethvert afslag på udstedelse, eller enhver begrænsning, suspension eller inddragelse, af en attest
b)
alle forhold, der har indflydelse på omfanget af og betingelserne for bemyndigelsen
c)
eventuelle anmodninger om oplysninger, de har modtaget fra markedsovervågningsmyndigheder vedrørende overensstemmelsesvurderingsaktiviteter
d)
efter anmodning, overensstemmelsesvurderingsaktiviteter, der er udført på det område, som deres bemyndigelse gælder for, og enhver anden udført aktivitet, herunder grænseoverskridende aktiviteter og brug af underleverandører.
2.   De bemyndigede organer giver de øvrige organer, der er bemyndiget i henhold til denne forordning, og som udfører lignende overensstemmelsesvurderingsaktiviteter og dækker samme produkter med digitale elementer, relevante oplysninger om spørgsmål vedrørende negative og, efter anmodning, positive overensstemmelsesvurderingsresultater.
Artikel 50
Erfaringsudveksling
Kommissionen sørger for, at der tilrettelægges erfaringsudveksling mellem medlemsstaternes nationale myndigheder med ansvar for bemyndigelsespolitik.
Artikel 51
Koordinering af bemyndigede organer
1.   Kommissionen sikrer, at der etableres passende koordinering og samarbejde mellem bemyndigede organer, og at denne koordinering og dette samarbejde fungerer efter hensigten i form af en tværsektoriel gruppe af bemyndigede organer.
2.   Medlemsstaterne sørger for, at de organer, de har bemyndiget, deltager i arbejdet i denne gruppe enten direkte eller gennem udpegede repræsentanter.
KAPITEL V
MARKEDSOVERVÅGNING OG HÅNDHÆVELSE
Artikel 52
Markedsovervågning og kontrol af produkter med digitale elementer på EU-markedet
1.   Forordning (EU) 2019/1020 finder anvendelse på produkter med digitale elementer, der er omfattet af nærværende forordnings anvendelsesområde.
2.   Hver medlemsstat udpeger med henblik på en virkningsfuld gennemførelse af denne forordning en eller flere markedsovervågningsmyndigheder. Medlemsstaterne kan udpege en eksisterende eller ny myndighed til at virke som markedsovervågningsmyndighed med henblik på denne forordning.
3.   De markedsovervågningsmyndigheder, der er udpeget i henhold til denne artikels stk. 2, er også ansvarlige for at gennemføre markedsovervågningsaktiviteter i forbindelse med de forpligtelser for open source software-forvaltere, der er fastsat i artikel 24. Hvis en markedsovervågningsmyndighed finder, at en open source software-forvalter ikke opfylder forpligtelserne i nævnte artikel, skal den kræve, at open source software-forvalteren sikrer, at der træffes alle passende korrigerende tiltag. Open source software-forvaltere sikrer, at der træffes alle passende korrigerende tiltag med hensyn til deres forpligtelser i henhold til denne forordning.
4.   Markedsovervågningsmyndighederne samarbejder, hvor det er relevant, med de nationale cybersikkerhedscertificeringsmyndigheder, der er udpeget i henhold til artikel 58 i forordning (EU) 2019/881, og udveksler regelmæssigt oplysninger. De udpegede markedsovervågningsmyndigheder samarbejder og udveksler regelmæssigt oplysninger med de CSIRT'er, der er udpeget som koordinatorer, og ENISA for så vidt angår tilsynet med gennemførelsen af rapporteringsforpligtelserne i henhold til nærværende forordnings artikel 14.
5.   Markedsovervågningsmyndighederne kan anmode en CSIRT, der er udpeget som koordinator, eller ENISA om at yde teknisk rådgivning om spørgsmål vedrørende gennemførelsen og håndhævelsen af denne forordning. Markedsovervågningsmyndighederne kan, når de foretager en undersøgelse i henhold til artikel 54, anmode den CSIRT, der er udpeget som koordinator, eller ENISA om at fremlægge en analyse for at understøtte overensstemmelsesvurderinger af produkter med digitale elementer.
6.   Markedsovervågningsmyndighederne samarbejder, hvor det er relevant, med andre markedsovervågningsmyndigheder, der er udpeget på grundlag af anden EU-harmoniseringslovgivning end denne forordning, og udveksler regelmæssigt oplysninger.
7.   Markedsovervågningsmyndighederne samarbejder, alt efter hvad der er relevant, med de myndigheder, der fører tilsyn med EU- databeskyttelsesretten. Et sådant samarbejde omfatter underretning af disse myndigheder om ethvert resultat, der er relevant for udøvelsen af deres beføjelser, herunder ved ydelse af vejledning og rådgivning i henhold til stk. 10, hvis sådan vejledning og rådgivning vedrører behandling af personoplysninger.
De myndigheder, der fører tilsyn med EU-databeskyttelsesretten, har beføjelse til at anmode om og få adgang til al dokumentation, der er udarbejdet eller opbevares i henhold til denne forordning, når adgang til denne dokumentation er nødvendig for udførelsen af deres opgaver. De underretter de udpegede markedsovervågningsmyndigheder i den berørte medlemsstat om enhver sådan anmodning.
8.   Medlemsstaterne sikrer, at de udpegede markedsovervågningsmyndigheder modtager tilstrækkelige finansielle og tekniske ressourcer, herunder, hvor det er relevant, behandlingsautomatiseringsværktøjer, samt menneskelige ressourcer med de cybersikkerhedsfærdigheder, der er nødvendige for at kunne udføre deres opgaver i henhold til denne forordning.
9.   Kommissionen tilskynder til og letter udvekslingen af erfaringer mellem udpegede markedsovervågningsmyndigheder.
10.   Markedsovervågningsmyndighederne kan yde vejledning og rådgivning til erhvervsdrivende om gennemførelsen af denne forordning med støtte fra Kommissionen og, hvor det er relevant, CSIRT'er og ENISA.
11.   Markedsovervågningsmyndighederne oplyser forbrugerne om, hvor der kan indgives klager, der kunne tyde på manglende overholdelse af denne forordning, i overensstemmelse med artikel 11 i forordning (EU) 2019/1020, og giver forbrugerne oplysninger om, hvor og hvordan de kan få adgang til mekanismer, som kan lette indberetningen af sårbarheder, hændelser og cybertrusler, der kan påvirke produkter med digitale elementer.
12.   Markedsovervågningsmyndighederne letter, hvor det er relevant, samarbejdet med relevante interessenter, herunder videnskabelige organisationer og forsknings- og forbrugerorganisationer.
13.   Markedsovervågningsmyndighederne aflægger årligt rapport til Kommissionen om resultaterne af relevante markedsovervågningsaktiviteter. Den udpegede markedsovervågningsmyndighed indberetter straks alle oplysninger, der er fremskaffet i forbindelse med markedsovervågningsaktiviteter, og som kan være af potentiel interesse for anvendelsen af EU-konkurrenceretten, til Kommissionen og de relevante nationale konkurrencemyndigheder.
14.   For produkter med digitale elementer, der er omfattet af denne forordnings anvendelsesområde, og som er klassificeret som højrisiko-AI-systemer i henhold til artikel 6 i forordning (EU) 2024/1689, skal de markedsovervågningsmyndigheder, der udpeges med henblik på nævnte forordning, være de myndigheder, der er ansvarlige for de markedsovervågningsaktiviteter, der kræves i henhold til nærværende forordning. De markedsovervågningsmyndigheder, der er udpeget i henhold til forordning (EU) 2024/1689, samarbejder, hvor det er relevant, med de markedsovervågningsmyndigheder, der er udpeget i henhold til nærværende forordning, og med de CSIRT'er, der er udpeget som koordinatorer, og med ENISA om tilsynet med gennemførelsen af rapporteringsforpligtelserne i henhold til nærværendes forordnings artikel 14. Markedsovervågningsmyndigheder udpeget i henhold til forordning (EU) 2024/1689 underretter navnlig markedsovervågningsmyndigheder udpeget i henhold til nærværende forordning om ethvert resultat, der er relevant for udførelsen af deres opgaver i forbindelse med gennemførelsen af nærværende forordning.
15.   ADCO oprettes i henhold til artikel 30, stk. 2, i forordning (EU) 2019/1020 med henblik på ensartet gennemførelse af nærværende forordning. ADCO skal bestå af repræsentanter fra de udpegede markedsovervågningsmyndigheder og, hvis det er relevant, repræsentanter fra centrale forbindelseskontorer. ADCO behandler også specifikke spørgsmål vedrørende markedsovervågningsaktiviteterne i forbindelse med de forpligtelser, der pålægges open source software-forvaltere.
16.   Markedsovervågningsmyndighederne overvåger, hvordan fabrikanterne har anvendt de kriterier, der er omhandlet i artikel 13, stk. 8, når de fastsætter supportperioden for deres produkter med digitale elementer.
ADCO offentliggør i en offentligt tilgængelig og brugervenlig form relevante statistikker om kategorier af produkter med digitale elementer, herunder gennemsnitlige supportperioder som fastsat af fabrikanten i henhold til artikel 13, stk. 8, og udstikker retningslinjer, der omfatter vejledende supportperioder for kategorier af produkter med digitale elementer.
Hvis dataene tyder på utilstrækkelige supportperioder for specifikke kategorier af produkter med digitale elementer, kan ADCO udstede henstillinger til markedsovervågningsmyndighederne om at fokusere deres aktiviteter på sådanne kategorier af produkter med digitale elementer.
Artikel 53
Adgang til oplysninger og dokumentation
Hvis det er nødvendigt for at vurdere, om produkter med digitale elementer og de processer, som fabrikanten har indført, opfylder de væsentlige cybersikkerhedskrav i bilag I, tildeles markedsovervågningsmyndighederne efter begrundet anmodning adgang til de data på et for dem let forståeligt sprog, som er nødvendige for at vurdere designet, udviklingen, produktionen og sårbarhedshåndteringen af sådanne produkter, herunder den relevante interne dokumentation fra den relevante erhvervsdrivende.
Artikel 54
Procedure på nationalt plan vedrørende produkter med digitale elementer, der udgør en væsentlig cybersikkerhedsrisiko
1.   Hvis en medlemsstats markedsovervågningsmyndighed har tilstrækkelig grund til at antage, at et produkt med digitale elementer, herunder dets sårbarhedshåndtering, udgør en væsentlig cybersikkerhedsrisiko, foretager den uden unødigt ophold og, hvor det er hensigtsmæssigt, i samarbejde med den relevante CSIRT en evaluering af det pågældende produkt med digitale elementer for så vidt angår dets opfyldelse af alle de krav, der er fastsat i denne forordning. De relevante erhvervsdrivende samarbejder i nødvendigt omfang med markedsovervågningsmyndigheden.
Hvis markedsovervågningsmyndigheden i forbindelse med denne evaluering konstaterer, at produkter med digitale elementer ikke opfylder kravene i denne forordning, pålægger den straks den pågældende erhvervsdrivende at træffe alle fornødne afhjælpende tiltag for at bringe produktet med digitale elementer i overensstemmelse med disse krav, trække produktet med digitale elementer tilbage fra markedet eller tilbagekalde det inden for en rimelig tidsfrist, alt efter hvad markedsovervågningsmyndigheden måtte fastsætte i forhold til cybersikkerhedsrisikoens art.
Markedsovervågningsmyndigheden underretter det relevante bemyndigede organ herom. Artikel 18 i forordning (EU) 2019/1020 finder anvendelse på de afhjælpende tiltag.
2.   Ved fastlæggelsen af væsentligheden af en cybersikkerhedsrisiko, der er omhandlet i denne artikels stk. 1, tager markedsovervågningsmyndighederne også hensyn til ikketekniske risikofaktorer, navnlig dem, der er fastsat som følge af koordinerede sikkerhedsrisikovurderinger af kritiske forsyningskæder på EU-plan, som foretages i overensstemmelse med artikel 22 i direktiv (EU) 2022/2555. Hvor en markedsovervågningsmyndighed har tilstrækkelig grund til at antage, at et produkt med digitale elementer udgør en væsentlig cybersikkerhedsrisiko i lyset af ikketekniske risikofaktorer, underretter den de kompetente myndigheder, der er udpeget eller oprettet i henhold til artikel 8 i direktiv (EU) 2022/2555, og samarbejder i nødvendigt omfang med disse myndigheder.
3.   Hvis markedsovervågningsmyndigheden finder, at den manglende overensstemmelse ikke er begrænset til dens nationale område, underretter den Kommissionen og de øvrige medlemsstater om resultaterne af evalueringen og om de tiltag, som den har pålagt den erhvervsdrivende at træffe.
4.   Den erhvervsdrivende sikrer, at der træffes alle passende afhjælpende tiltag for så vidt angår alle de produkter med digitale elementer, som den erhvervsdrivende har gjort tilgængelige på EU-markedet.
5.   Hvis den erhvervsdrivende ikke træffer tilstrækkelige afhjælpende tiltag inden for den frist, der er omhandlet i stk. 1, andet afsnit, træffer markedsovervågningsmyndigheden de nødvendige foreløbige foranstaltninger for at forbyde eller begrænse tilgængeliggørelsen af produktet med digitale elementer på det nationale marked eller for at trække produktet tilbage fra markedet eller kalde det tilbage.
Myndigheden underretter straks Kommissionen og de øvrige medlemsstater om disse foranstaltninger.
6.   De i stk. 5 omhandlede oplysninger skal indeholde alle tilgængelige oplysninger, navnlig de data, der er nødvendige for identifikation af det produkt med digitale elementer, der ikke opfylder kravene, oprindelsesstedet for produktet med digitale elementer, arten af den påståede manglende opfyldelse af kravene og af den pågældende risiko, arten og varigheden af de trufne nationale foranstaltninger samt de synspunkter, som den pågældende erhvervsdrivende har fremsat. Markedsovervågningsmyndighederne oplyser navnlig, om den manglende overensstemmelse med kravene skyldes:
a)
at produktet med digitale elementer eller de processer, som fabrikanten har indført, ikke opfylder de væsentlige cybersikkerhedskrav i bilag I
b)
at der er mangler ved de harmoniserede standarder, europæiske cybersikkerhedscertificeringsordninger eller fælles specifikationer som omhandlet i artikel 27.
7.   De øvrige medlemsstater ud over den medlemsstat, der har indledt proceduren, underretter straks Kommissionen og de øvrige medlemsstater om eventuelt trufne foranstaltninger og om yderligere oplysninger, som de måtte råde over, om, at det pågældende produkt med digitale elementer ikke opfylder kravene, og om deres indsigelser, i fald de ikke er indforstået med den meddelte nationale foranstaltning.
8.   Hvis der ikke inden for tre måneder efter modtagelsen af den i stk. 5 i denne artikel omhandlede underretning er blevet gjort indsigelse af en medlemsstat eller Kommissionen mod en foreløbig foranstaltning truffet af en medlemsstat, anses denne foranstaltning for at være berettiget. Dette berører ikke den berørte erhvervsdrivendes procedurerettigheder i henhold til artikel 18 i forordning (EU) 2019/1020.
9.   Markedsovervågningsmyndighederne i alle medlemsstaterne sikrer, at der straks træffes de fornødne restriktive foranstaltninger med hensyn til det pågældende produkt med digitale elementer såsom tilbagetrækning af dette produkt fra deres marked.
Artikel 55
EU-beskyttelsesprocedure
1.   Hvor en medlemsstat inden for tre måneder efter modtagelsen af den i artikel 54, stk. 5, omhandlede underretning gør indsigelse mod en anden medlemsstats foranstaltning, eller hvor Kommissionen finder, at foranstaltningen er i strid med EU-retten, drøfter Kommissionen straks spørgsmålet med den relevante medlemsstat og den eller de relevante erhvervsdrivende og evaluerer den nationale foranstaltning. På grundlag af resultaterne af denne evaluering træffer Kommissionen senest ni måneder efter den i artikel 54, stk. 5, omhandlede underretning afgørelse om, hvorvidt den nationale foranstaltning er berettiget eller ej, og meddeler den pågældende medlemsstat denne afgørelse.
2.   Hvis den nationale foranstaltning anses for at være berettiget, træffer alle medlemsstaterne de nødvendige foranstaltninger for at sikre, at produktet med digitale elementer, der ikke er i overensstemmelse med kravene, trækkes tilbage fra deres marked, og underretter Kommissionen herom. Hvis den nationale foranstaltning ikke anses for at være berettiget, trækker den pågældende medlemsstat foranstaltningen tilbage.
3.   Hvor den nationale foranstaltning anses for at være berettiget, og produktet med digitale elementer ikke overholder kravene som følge af mangler ved de harmoniserede standarder, anvender Kommissionen proceduren i artikel 11 i forordning (EU) nr. 1025/2012.
4.   Hvor den nationale foranstaltning anses for at være berettiget, og produktet med digitale elementer ikke overholder kravene som følge af mangler ved en europæisk cybersikkerhedscertificeringsordning som omhandlet i artikel 27, tager Kommissionen stilling til, om en eventuel delegeret retsakt, der er vedtaget i henhold til artikel 27, stk. 9, og som fastsætter formodningen om overensstemmelse for den pågældende certificeringsordning, skal ændres eller ophæves.
5.   Hvor den nationale foranstaltning anses for at være berettiget, og den manglende overensstemmelse for så vidt angår produktet med digitale elementer tilskrives mangler ved de fælles specifikationer som omhandlet i artikel 27, tager Kommissionen stilling til, om en eventuel gennemførelsesretsakt, der er vedtaget i henhold til artikel 27, stk. 2, og som fastsætter disse fælles specifikationer, skal ændres eller ophæves.
Artikel 56
Procedure på EU-plan vedrørende produkter med digitale elementer, der udgør en væsentlig cybersikkerhedsrisiko
1.   Hvor Kommissionen har tilstrækkelig grund til at antage, herunder på grundlag af oplysninger fra ENISA, at et produkt med digitale elementer, der udgør en væsentlig cybersikkerhedsrisiko, ikke opfylder kravene i denne forordning, underretter den de relevante markedsovervågningsmyndigheder. Hvor markedsovervågningsmyndighederne foretager en evaluering af det pågældende produkt med digitale elementer, der kan udgøre en væsentlig cybersikkerhedsrisiko for så vidt angår dets overholdelse af kravene i denne forordning, finder de procedurer, der er omhandlet i artikel 54 og 55, anvendelse.
2.   Hvor Kommissionen har tilstrækkelig grund til at antage, at et produkt med digitale elementer udgør en væsentlig cybersikkerhedsrisiko i lyset af ikketekniske risikofaktorer, underretter den de relevante markedsovervågningsmyndigheder og, hvor det er relevant, de kompetente myndigheder, der er udpeget eller oprettet i henhold til artikel 8 i direktiv (EU) 2022/2555, og samarbejder i nødvendigt omfang med disse myndigheder. Kommissionen tager også hensyn til relevansen af de identificerede risici for det pågældende produkt med digitale elementer i lyset af dens opgaver vedrørende de koordinerede sikkerhedsrisikovurderinger af kritiske forsyningskæder på EU-plan, der er foreskrevet i artikel 22 i direktiv (EU) 2022/2555, og hører i nødvendigt omfang den samarbejdsgruppe, der er nedsat i henhold til artikel 14 i direktiv (EU) 2022/2555, og ENISA.
3.   Under omstændigheder, der berettiger et hurtigt indgreb for at bevare et velfungerende indre marked, og hvor Kommissionen har tilstrækkelig grund til at antage, at det i stk. 1 omhandlede produkt med digitale elementer fortsat ikke overholder kravene i denne forordning, og de relevante markedsovervågningsmyndigheder ikke har truffet effektive foranstaltninger, foretager Kommissionen en evaluering af overholdelsen og kan anmode ENISA om at fremlægge en analyse for at understøtte denne. Kommissionen underretter de relevante markedsovervågningsmyndigheder herom. De relevante erhvervsdrivende samarbejder i nødvendigt omfang med ENISA.
4.   På grundlag af den evaluering, der er omhandlet i stk. 3, kan Kommissionen beslutte, at en korrigerende eller restriktiv foranstaltning er nødvendig på EU-plan. Med henblik herpå hører den straks de berørte medlemsstater og den eller de relevante erhvervsdrivende.
5.   På grundlag af den denne artikels stk. 4 omhandlede høring kan Kommissionen vedtage gennemførelsesretsakter med henblik på at træffe korrigerende eller restriktive foranstaltninger på EU-plan, herunder krav om, at de pågældende produkter med digitale elementer skal trækkes tilbage fra markedet eller tilbagekaldes inden for en rimelig tidsfrist, alt efter risikoens art. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, artikel 62, stk. 2.
6.   Kommissionen meddeler omgående de i stk. 5 omhandlede gennemførelsesretsakter til den eller de relevante erhvervsdrivende. Medlemsstaterne gennemfører disse gennemførelsesretsakter straks og underretter Kommissionen herom.
7.   Stk. 3-6 finder anvendelse, så længe den ekstraordinære situation, der begrundede Kommissionens indgreb, gør sig gældende, forudsat at produktet med digitale elementer ikke er bragt til at overholde denne forordning.
Artikel 57
Produkter med digitale elementer, der overholder kravene og udgør en væsentlig cybersikkerhedsrisiko
1.   En medlemsstats markedsovervågningsmyndighed pålægger en erhvervsdrivende at træffe alle passende foranstaltninger, hvor den efter at have foretaget en evaluering i henhold til artikel 54 finder, at et produkt med digitale elementer og de processer, som fabrikanten har indført, overholder denne forordning, men at de udgør en væsentlig cybersikkerhedsrisiko og en risiko for:
a)
menneskers sundhed eller sikkerhed
b)
overholdelsen af forpligtelser i henhold til EU-ret eller national ret, der har til formål at beskytte de grundlæggende rettigheder
c)
tilgængeligheden, autenticiteten, integriteten eller fortroligheden af tjenester, der leveres ved brug af et elektronisk informationssystem af væsentlige enheder som omhandlet i artikel 3, stk. 1, i direktiv (EU) 2022/2555, eller
d)
andre aspekter af beskyttelsen af den offentlige interesse.
De foranstaltninger, der er omhandlet i første afsnit, kan omfatte foranstaltninger til at sikre, at det pågældende produkt med digitale elementer og de processer, som fabrikanten har indført, ikke længere udgør de relevante risici, når det gøres tilgængeligt på markedet, tilbagetrækning fra markedet af det pågældende produkt med digitale elementer eller tilbagekaldelse af det, og de skal stå i et rimeligt forhold til arten af disse risici.
2.   Fabrikanten eller andre relevante erhvervsdrivende sikrer, at der træffes korrigerende foranstaltninger med hensyn til de produkter med digitale elementer, som de har gjort tilgængelige på markedet i hele Unionen, inden for den tidsfrist, der er fastsat af medlemsstatens i stk. 1 omhandlede markedsovervågningsmyndighed.
3.   Medlemsstaten underretter omgående Kommissionen og de øvrige medlemsstater om de foranstaltninger, der er truffet i henhold til stk. 1. Denne underretning skal omfatte alle tilgængelige oplysninger, særlig de data, der er nødvendige til identifikation af de pågældende produkter med digitale elementer, disse produkters oprindelse og forsyningskæde, arten af den pågældende risiko og arten og varigheden af de trufne nationale foranstaltninger.
4.   Kommissionen drøfter straks spørgsmålet med medlemsstaterne og den relevante erhvervsdrivende og evaluerer de trufne nationale foranstaltninger. På grundlag af resultaterne af denne evaluering træffer Kommissionen afgørelse om, hvorvidt foranstaltningen er berettiget eller ej, og foreslår om nødvendigt passende foranstaltninger.
5.   Kommissionen retter den i stk. 4 omhandlede afgørelse til medlemsstaterne.
6.   Hvor Kommissionen har tilstrækkelig grund til at antage, herunder på grundlag af oplysninger fra ENISA, at et produkt med digitale elementer, selv om det overholder denne forordning, udgør de i denne artikels stk. 1 omhandlede risici, skal den informere den relevante markedsovervågningsmyndighed eller de relevante markedsovervågningsmyndigheder og kan anmode den eller dem om at foretage en evaluering og følge de procedurer, der er omhandlet i artikel 54 og i nærværende artikels stk. 1, 2 og 3.
7.   Under omstændigheder, der berettiger et hurtigt indgreb for at bevare et velfungerende indre marked, og hvor Kommissionen har tilstrækkelig grund til at antage, at det i stk. 6 omhandlede produkt med digitale elementer fortsat udgør de i stk. 1 omhandlede risici, og de relevante nationale markedsovervågningsmyndigheder ikke har truffet effektive foranstaltninger, foretager Kommissionen en evaluering af risiciene forbundet med det pågældende produkt med digitale elementer og kan anmode ENISA om at fremlægge en analyse for at understøtte denne evaluering, og Kommissionen underretter de relevante markedsovervågningsmyndigheder herom. De relevante erhvervsdrivende samarbejder i nødvendigt omfang med ENISA.
8.   På grundlag af den evaluering, der er omhandlet i stk. 7, kan Kommissionen beslutte, at der skal træffes en korrigerende eller restriktiv foranstaltning på EU-plan. Med henblik herpå hører den straks de berørte medlemsstater og den eller de relevante erhvervsdrivende.
9.   På grundlag af den i denne artikels stk. 8 omhandlede høring kan Kommissionen vedtage gennemførelsesretsakter med henblik på at træffe afgørelse om korrigerende eller restriktive foranstaltninger på EU-plan, herunder krav om, at de pågældende produkter med digitale elementer skal trækkes tilbage fra markedet eller tilbagekaldes inden for en rimelig tidsfrist, alt efter risikoens art. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 62, stk. 2.
10.   Kommissionen meddeler omgående de i stk. 9 omhandlede gennemførelsesretsakter til den eller de relevante erhvervsdrivende. Medlemsstaterne gennemfører disse gennemførelsesretsakter straks og underretter Kommissionen herom.
11.   Stk. 6-10 finder anvendelse, indtil den ekstraordinære situation, der begrundede Kommissionens indgreb, ikke længere er til stede, og så længe det pågældende produkt med digitale elementer fortsat udgør de i stk. 1 omhandlede risici.
Artikel 58
Formel manglende overholdelse
1.   Hvor en medlemsstats markedsovervågningsmyndighed konstaterer et af følgende forhold, pålægger myndigheden den pågældende fabrikant at bringe den manglende overholdelse til ophør:
a)
CE-mærkningen er anbragt i strid med artikel 29 og 30
b)
CE-mærkningen er ikke anbragt
c)
EU-overensstemmelseserklæringen er ikke udarbejdet
d)
EU-overensstemmelseserklæringen er ikke udarbejdet korrekt
e)
identifikationsnummeret på det bemyndigede organ, der er involveret i overensstemmelsesvurderingsproceduren, hvor dette er relevant, er ikke anbragt
f)
den tekniske dokumentation mangler eller er ufuldstændig.
2.   Hvis den i stk. 1 omhandlede manglende overholdelse varer ved, træffer den pågældende medlemsstat alle nødvendige foranstaltninger til at begrænse eller forbyde tilgængeliggørelsen af produktet med digitale elementer på markedet eller sikre, at det tilbagekaldes eller trækkes tilbage fra markedet.
Artikel 59
Markedsovervågningsmyndighedernes fælles aktiviteter
1.   Markedsovervågningsmyndighederne kan aftale med andre relevante myndigheder at gennemføre fælles aktiviteter, der har til formål at sikre cybersikkerhed og forbrugerbeskyttelse for så vidt angår specifikke produkter med digitale elementer, der bringes i omsætning eller gøres tilgængelige på markedet, navnlig produkter med digitale elementer, der ofte viser sig at udgøre en cybersikkerhedsrisiko.
2.   Kommissionen eller ENISA foreslår fælles aktiviteter til kontrol af overholdelsen af denne forordning, der skal udføres af markedsovervågningsmyndighederne på grundlag af tegn på eller oplysninger om, at kravene i denne forordning til produkter med digitale elementer, der falder inden for denne forordnings anvendelsesområde, muligvis ikke overholdes i flere medlemsstater.
3.   Markedsovervågningsmyndighederne og, i givet fald, Kommissionen sikrer, at aftalen om at udføre fælles aktiviteter ikke medfører illoyal konkurrence mellem de erhvervsdrivende og ikke påvirker aftaleparternes objektivitet, uafhængighed og uvildighed negativt.
4.   En markedsovervågningsmyndighed kan anvende alle oplysninger, der er opnået som resultat af de fælles aktiviteter, der gennemføres som led i en undersøgelse, som den iværksætter.
5.   Den pågældende markedsovervågningsmyndighed og, i givet fald, Kommissionen gør aftalen om fælles aktiviteter, herunder de involverede parters navne, tilgængelig for offentligheden.
Artikel 60
Kontrolaktioner
1.   Markedsovervågningsmyndighederne gennemfører samtidige, koordinerede kontrolaktioner af bestemte produkter med digitale elementer eller kategorier heraf for at kontrollere overholdelse eller afsløre overtrædelser af denne forordning. Disse kontrolaktioner kan omfatte inspektioner af produkter med digitale elementer, der er erhvervet under en dækidentitet.
2.   Medmindre andet aftales af de involverede markedsovervågningsmyndigheder, koordinerer Kommissionen kontrolaktionerne. Kontrolaktionens koordinator gør, hvor det er hensigtsmæssigt, de samlede resultater offentligt tilgængelige.
3.   Hvor ENISA i forbindelse med udførelsen af sine opgaver, herunder på grundlag af underretningerne modtaget i henhold til artikel 14, stk. 1 og 3, identificerer kategorier af produkter med digitale elementer, for hvilke der kan tilrettelægges kontrolaktioner, forelægger ENISA et forslag til kontrolaktion for den koordinator, der er omhandlet i nærværende artikels stk. 2, med henblik på markedsovervågningsmyndighedernes vurdering.
4.   Ved gennemførelsen af kontrolaktioner kan de involverede kontrolovervågningsmyndigheder gøre brug af undersøgelsesbeføjelserne i artikel 52-58 og eventuelle andre beføjelser, som de er tillagt i henhold til national ret.
5.   Markedsovervågningsmyndighederne kan opfordre tjenestemænd i Kommissionen og andre ledsagende personer, der er bemyndiget af Kommissionen, til at deltage i kontrolaktioner.
KAPITEL VI
DELEGEREDE BEFØJELSER OG UDVALGSPROCEDURE
Artikel 61
Udøvelse af de delegerede beføjelser
1.   Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 2, stk. 5, andet afsnit, artikel 7, stk. 3, artikel 8, stk. 1 og 2, artikel 13, stk. 8, fjerde afsnit, artikel 14, stk. 9, artikel 25, artikel 27, stk. 9, artikel 28, stk. 5, og artikel 31, stk. 5, tillægges Kommissionen for en periode på fem år fra den 10. december 2024. Kommissionen udarbejder en rapport vedrørende delegationen af beføjelser senest ni måneder inden udløbet af femårsperioden. Delegationen af beføjelser forlænges stiltiende for perioder af samme varighed, medmindre Europa-Parlamentet eller Rådet modsætter sig en sådan forlængelse senest tre måneder inden udløbet af hver periode.
3.   Den i artikel 2, stk. 5, andet afsnit, artikel 7, stk. 3, artikel 8, stk. 1 og 2, artikel 13, stk. 8, fjerde afsnit, artikel 14, stk. 9, artikel 25, artikel 27, stk. 9, artikel 28, stk. 5, og artikel 31, stk. 5, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i 
Den Europæiske Unions Tidende
 eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4.   Inden vedtagelse af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.
5.   Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
6.   En delegeret retsakt vedtaget i henhold til artikel 2, stk. 5, andet afsnit, artikel 7, stk. 3, artikel 8, stk. 1 eller 2, artikel 13, stk. 8, fjerde afsnit, artikel 14, stk. 9, artikel 25, artikel 27, stk. 9, artikel 28, stk. 5, eller artikel 31, stk. 5, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på to måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med to måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 62
Udvalgsprocedure
1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.
3.   Når udvalgets udtalelse indhentes efter en skriftlig procedure, afsluttes proceduren uden noget resultat, hvis formanden for udvalget træffer beslutning herom, eller et udvalgsmedlem anmoder herom inden fristen for afgivelse af udtalelsen.
KAPITEL VII
FORTROLIGHED OG SANKTIONER
Artikel 63
Fortrolighed
1.   Alle parter, der involveret i anvendelsen af denne forordning, skal overholde tavshedspligten for oplysninger og data, der indhentes under udførelsen af deres opgaver og arbejde, på en sådan måde, at de navnlig beskytter:
a)
intellektuelle ejendomsrettigheder og fysiske eller juridiske personers fortrolige forretningsoplysninger eller forretningshemmeligheder, herunder kildekode, med undtagelse af de tilfælde, der er omhandlet i artikel 5 i Europa-Parlamentets og Rådets direktiv (EU) 2016/943 
(
37
)
b)
den effektive gennemførelse af denne forordning, navnlig for så vidt angår inspektioner, undersøgelser eller kontrolbesøg
c)
offentlige og nationale sikkerhedsinteresser
d)
strafferetlige eller administrative procedurers integritet.
2.   Uden at det berører stk. 1, må oplysninger, der udveksles på fortrolig basis mellem markedsovervågningsmyndighederne og mellem markedsovervågningsmyndighederne og Kommissionen, ikke videregives uden forudgående tilladelse fra den oprindelige markedsmyndighed.
3.   Stk. 1 og 2 berører ikke Kommissionens, medlemsstaternes og de bemyndigede organers rettigheder og forpligtelser med hensyn til udveksling af oplysninger og udsendelse af advarsler eller de berørte personers forpligtelse til at afgive oplysninger inden for rammerne af medlemsstaternes strafferet.
4.   Kommissionen og medlemsstaterne kan om nødvendigt udveksle følsomme oplysninger med relevante myndigheder i tredjelande, med hvilke de har indgået bilaterale eller multilaterale aftaler om fortrolighed, der garanterer en tilstrækkelig grad af beskyttelse.
Artikel 64
Sanktioner
1.   Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af bestemmelserne i denne forordning, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. Medlemsstaterne giver straks Kommissionen meddelelse om disse regler og foranstaltninger og underretter den straks om senere ændringer, der berører dem.
2.   Manglende opfyldelse af de væsentlige cybersikkerhedskrav i bilag I og forpligtelserne i artikel 13 og 14 straffes med administrative bøder på op til 15 000 000 EUR eller, hvis lovovertræderen er en virksomhed, op til 2,5 % af dens samlede globale årsomsætning i det foregående regnskabsår, alt efter hvilket beløb der er størst.
3.   Manglende opfyldelse af forpligtelserne i artikel 18-23, artikel 28, artikel 30, stk. 1-4, artikel 31, stk. 1-4, artikel 32, stk. 1, 2 og 3, artikel 33, stk. 5, og artikel 39, 41, 47, 49 og 53, straffes med administrative bøder på op til 10 000 000 EUR eller, hvis lovovertræderen er en virksomhed, op til 2 % af dens samlede globale årsomsætning i det foregående regnskabsår, alt efter hvilket beløb der er størst.
4.   Afgivelse af ukorrekte, ufuldstændige eller vildledende oplysninger til bemyndigede organer og markedsovervågningsmyndigheder som svar på en anmodning straffes med administrative bøder på op til 5 000 000 EUR eller, hvis lovovertræderen er en virksomhed, op til 1 % af dens samlede globale årlige omsætning i det foregående regnskabsår, alt efter hvilket beløb der er størst.
5.   Ved fastsættelsen af den administrative bødes størrelse tages der i hvert enkelt tilfælde hensyn til alle relevante omstændigheder i den specifikke situation, og der tages behørigt hensyn til følgende:
a)
overtrædelsens art, grovhed og varighed samt dens konsekvenser
b)
hvorvidt de samme eller andre markedsovervågningsmyndigheder allerede har pålagt den samme erhvervsdrivende administrative bøder for en lignende overtrædelse
c)
størrelsen på, navnlig med hensyn til mikrovirksomheder og små og mellemstore virksomheder, herunder nyetablerede virksomheder, og markedsandelen for den erhvervsdrivende, der har begået overtrædelsen.
6.   Markedsovervågningsmyndigheder, der pålægger administrative bøder, underretter markedsovervågningsmyndighederne i andre medlemsstater om denne pålæggelse gennem det informations- og kommunikationssystem, der er omhandlet i artikel 34 i forordning (EU) 2019/1020.
7.   Hver medlemsstat fastsætter regler om, hvorvidt og i hvilket omfang administrative bøder må pålægges offentlige myndigheder og offentlige organer, der er etableret i den pågældende medlemsstat.
8.   Afhængigt af medlemsstaternes retssystem kan reglerne om administrative bøder anvendes på en sådan måde, at bøderne pålægges af kompetente nationale domstole eller andre organer i overensstemmelse med de kompetencer, der er fastlagt på nationalt plan i de pågældende medlemsstater. Anvendelsen af sådanne regler i disse medlemsstater har tilsvarende virkning.
9.   Afhængigt af omstændighederne i hver enkelt sag kan der pålægges administrative bøder i tillæg til eventuelle andre korrigerende eller restriktive foranstaltninger, som markedsovervågningsmyndighederne anvender for den samme overtrædelse.
10.   Uanset stk. 3-9 finder de administrative bøder, der er omhandlet i disse stykker, ikke anvendelse på følgende:
a)
fabrikanter, der betragtes som mikrovirksomheder eller små virksomheder for så vidt angår manglende overholdelse af den frist, som er omhandlet i artikel 14, stk. 2, litra a), eller artikel 14, stk. 4, litra a)
b)
enhver overtrædelse af denne forordning begået af open source software-forvaltere.
Artikel 65
Gruppesøgsmål
Direktiv (EU) 2020/1828 finder anvendelse på gruppesøgsmål, som anlægges som følge af erhvervsdrivendes overtrædelser af bestemmelser i denne forordning, som skader eller kan skade forbrugernes kollektive interesser.
KAPITEL VIII
OVERGANGSBESTEMMELSER OG AFSLUTTENDE BESTEMMELSER
Artikel 66
Ændring af forordning (EU) 2019/1020
I bilag I til forordning (EU) 2019/1020 indsættes følgende punkt:
»72.
Europa-Parlamentets og Rådets forordning (EU) 2024/2847
 (
*1
)
.
Artikel 67
Ændring af direktiv (EU) 2020/1828
I bilag I til direktiv (EU) 2020/1828 tilføjes følgende punkt:
»69.
Europa-Parlamentets og Rådets forordning (EU) 2024/2847
 (
*2
)
.
Artikel 68
Ændring af forordning (EU) nr. 168/2013
I tabellen i del C i bilag II til Europa-Parlamentets og Rådets forordning (EU) nr. 168/2013 
(
38
)
 tilføjes følgende punkt:
»
16
18
beskyttelse af køretøjer mod cyberangreb
x
x
x
x
x
x
x
x
x
x
x
x
x
X
«
Artikel 69
Overgangsbestemmelser
1.   Udstedte EU-typeafprøvningsattester og afgørelser om godkendelse vedrørende cybersikkerhedskrav til produkter med digitale elementer, der er omfattet af anden EU-harmoniseringslovgivning end denne forordning, forbliver gyldige indtil 11. juni 2028, medmindre de udløber inden denne dato, eller medmindre andet er angivet i sådan anden EU-harmoniseringslovgivning, i hvilket tilfælde de forbliver gyldige som omhandlet i den pågældende lovgivning.
2.   Produkter med digitale elementer, der er bragt i omsætning inden den 11. december 2027, er kun omfattet af kravene i denne forordning, hvis disse produkter fra denne dato er genstand for væsentlige ændringer.
3.   Uanset denne artikels stk. 2 finder de forpligtelser, der er fastsat i artikel 14, anvendelse på alle produkter med digitale elementer, der er omfattet af denne forordnings anvendelsesområde, og som er bragt i omsætning inden den 11. december 2027.
Artikel 70
Evaluering og revision
1.   Senest den 11. december 2030 og hvert fjerde år derefter forelægger Kommissionen Europa-Parlamentet og Rådet en rapport om evaluering og revision af denne forordning. Disse rapporter offentliggøres.
2.   Senest den 11. september 2028 forelægger Kommissionen efter høring af ENISA og CSIRT-netværket en rapport for Europa-Parlamentet og Rådet med en vurdering af effektiviteten af den fælles indberetningsplatform, der er fastsat i artikel 16, og indvirkningen af anvendelsen af de cybersikkerhedsrelaterede grunde, der er omhandlet i artikel 16, stk. 2, af de CSIRT'er, der er udpeget som koordinatorer, på effektiviteten af den fælles indberetningsplatform for så vidt angår rettidig formidling af modtagne underretninger til andre relevante CSIRT'er.
Artikel 71
Ikrafttræden og anvendelse
1.   Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
2.   Denne forordning finder anvendelse fra den 11. december 2027.
Artikel 14 finder dog anvendelse fra den 11. september 2026, og kapitel IV (artikel 35 til 51) finder anvendelse fra den 11. juni 2026.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Strasbourg, den 23. oktober 2024.
På Europa-Parlamentets vegne
R. METSOLA
Formand
På Rådets vegne
ZSIGMOND B. P.
Formand
(
1
)
  
            
EUT C 100 af 16.3.2023, s. 101
.
(
2
)
  Europa-Parlamentets holdning af 12.3.2024 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 10.10.2024.
(
3
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/881 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (
EUT L 151 af 7.6.2019, s. 15
).
(
4
)
  Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (
EUT L 333 af 27.12.2022, s. 80
).
(
5
)
  Kommissionens henstilling 2003/361/EF af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder (
EUT L 124 af 20.5.2003, s. 36
).
(
6
)
  
            
EUT C 67 af 8.2.2022, s. 81
.
(
7
)
  Europa-Parlamentets og Rådets direktiv 2014/24/EU af 26. februar 2014 om offentlige udbud og om ophævelse af direktiv 2004/18/EF (
EUT L 94 af 28.3.2014, s. 65
).
(
8
)
  Europa-Parlamentets og Rådets direktiv 2014/25/EU af 26. februar 2014 om fremgangsmåderne ved indgåelse af kontrakter inden for vand- og energiforsyning, transport samt posttjenester og om ophævelse af direktiv 2004/17/EF (
EUT L 94 af 28.3.2014, s. 243
).
(
9
)
  Europa-Parlamentets og Rådets forordning (EU) 2017/745 af 5. april 2017 om medicinsk udstyr, om ændring af direktiv 2001/83/EF, forordning (EF) nr. 178/2002 og forordning (EF) nr. 1223/2009 og om ophævelse af Rådets direktiv 90/385/EØF og 93/42/EØF (
EUT L 117 af 5.5.2017, s. 1
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU) 2017/746 af 5. april 2017 om medicinsk udstyr til in vitro-diagnostik og om ophævelse af direktiv 98/79/EF og Kommissionens afgørelse 2010/227/EU (
EUT L 117 af 5.5.2017, s. 176
).
(
11
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/2144 af 27. november 2019 om krav til typegodkendelse af motorkøretøjer og påhængskøretøjer dertil samt systemer, komponenter og separate tekniske enheder til sådanne køretøjer for så vidt angår deres generelle sikkerhed og beskyttelsen af køretøjspassagerer og bløde trafikanter og om ændring af Europa-Parlamentets og Rådets forordning (EU) 2018/858 og ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 78/2009, forordning (EF) nr. 79/2009 og forordning (EF) nr. 661/2009 og Kommissionens forordning (EF) nr. 631/2009, (EU) nr. 406/2010, (EU) nr. 672/2010, (EU) nr. 1003/2010, (EU) nr. 1005/2010, (EU) nr. 1008/2010, (EU) nr. 1009/2010, (EU) nr. 19/2011, (EU) nr. 109/2011, (EU) nr. 458/2011, (EU) nr. 65/2012, (EU) nr. 130/2012, (EU) nr. 347/2012, (EU) nr. 351/2012, (EU) nr. 1230/2012 og (EU) 2015/166 (
EUT L 325 af 16.12.2019, s. 1
).
(
12
)
  
            
EUT L 82 af 9.3.2021, s. 30
.
(
13
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1139 af 4. juli 2018 om fælles regler for civil luftfart og oprettelse af Den Europæiske Unions Luftfartssikkerhedsagentur og om ændring af Europa-Parlamentets og Rådets forordning (EF) nr. 2111/2005, (EF) nr. 1008/2008, (EU) nr. 996/2010, (EU) nr. 376/2014 og direktiv 2014/30/EU og 2014/53/EU og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 552/2004 og (EF) nr. 216/2008 og Rådets forordning (EØF) nr. 3922/91 (
EUT L 212 af 22.8.2018, s. 1
).
(
14
)
  Kommissionens delegerede forordning (EU) 2022/30 af 29. oktober 2021 om supplerende regler til Europa-Parlamentets og Rådets direktiv 2014/53/EU for så vidt angår anvendelsen af de væsentlige krav, der er omhandlet i nævnte direktivs artikel 3, stk. 3, litra d), e) og f) (
EUT L 7 af 12.1.2022, s. 6
).
(
15
)
  Europa-Parlamentets og Rådets direktiv 2014/53/EU af 16. april 2014 om harmonisering af medlemsstaternes love om tilgængeliggørelse af radioudstyr på markedet og om ophævelse af direktiv 1999/5/EF (
EUT L 153 af 22.5.2014, s. 62
).
(
16
)
  Europa-Parlamentets og Rådets direktiv (EU) 2024/2853 af 23. oktober 2024 om produktansvar og om ophævelse af Rådets direktiv 85/374/EØF (
EUT L, 2024/2853, 18.11.2024, ELI: http://data.europa.eu/eli/dir/2024/2853/oj
).
(
17
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
18
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (
EUT L 257 af 28.8.2014, s. 73
).
(
19
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/1781 af 13. juni 2024 om fastlæggelse af en ramme for fastsættelse af krav til miljøvenligt design for bæredygtige produkter, om ændring af direktiv (EU) 2020/1828 og forordning (EU) 2023/1542 og om ophævelse af direktiv 2009/125/EF (
EUT L, 2024/1781, 28.6.2024, ELI: http://data.europa.eu/eli/reg/2024/1781/oj
).
(
20
)
  Kommissionens gennemførelsesforordning (EU) 2024/482 af 31. januar 2024 om regler for anvendelsen af Europa-Parlamentets og Rådets forordning (EU) 2019/881 for så vidt angår vedtagelsen af den europæiske cybersikkerhedscertificeringsordning baseret på fælles kriterier (EUCC) (
EUT L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj
).
(
21
)
  Europa-Parlamentets og Rådets forordning (EU) 2023/988 af 10. maj 2023 om produktsikkerhed i almindelighed, om ændring af Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 og Europa-Parlamentets og Rådets direktiv (EU) 2020/1828 og om ophævelse af Europa-Parlamentets og Rådets direktiv 2001/95/EF og Rådets direktiv 87/357/EØF (
EUT L 135 af 23.5.2023, s. 1
).
(
22
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/1689 af 13. juni 2024 om harmoniserede regler for kunstig intelligens og om ændring af forordning (EF) nr. 300/2008, (EU) nr. 167/2013, (EU) nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 og (EU) 2019/2144 samt direktiv 2014/90/EU, (EU) 2016/797 og (EU) 2020/1828 (forordningen om kunstig intelligens) (
EUT L, 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj
).
(
23
)
  Kommissionens henstilling (EU) 2019/534 af 26. marts 2019 Cybersikkerheden i forbindelse med 5G-net (
EUT L 88 af 29.3.2019, s. 42
).
(
24
)
  Europa-Parlamentets og Rådets forordning (EU) 2023/1230 af 14. juni 2023 om maskiner og om ophævelse af Europa-Parlamentets og Rådets direktiv 2006/42/EF og af Rådets direktiv 73/361/EØF (
EUT L 165 af 29.6.2023, s. 1
).
(
25
)
  Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 og (EU) 2016/1011 (
EUT L 333 af 27.12.2022, s. 1
).
(
26
)
  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (
EFT L 201 af 31.7.2002, s. 37
).
(
27
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/1020 af 20. juni 2019 om markedsovervågning og produktoverensstemmelse og om ændring af direktiv 2004/42/EF og forordning (EF) nr. 765/2008 og (EU) nr. 305/2011 (
EUT L 169 af 25.6.2019, s. 1
).
(
28
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 af 25. oktober 2012 om europæisk standardisering, om ændring af Rådets direktiv 89/686/EØF og 93/15/EØF og Europa-Parlamentets og Rådets direktiv 94/9/EF, 94/25/EF, 95/16/EF, 97/23/EF, 98/34/EF, 2004/22/EF, 2007/23/EF, 2009/23/EF og 2009/105/EF og om ophævelse af Rådets beslutning 87/95/EØF og Europa-Parlamentets og Rådets afgørelse nr. 1673/2006/EF (
EUT L 316 af 14.11.2012, s. 12
).
(
29
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 af 9. juli 2008 om kravene til akkreditering og om ophævelse af forordning (EØF) nr. 339/93 (
EUT L 218 af 13.8.2008, s. 30
).
(
30
)
  Europa-Parlamentets og Rådets afgørelse nr. 768/2008/EF af 9. juli 2008 om fælles rammer for markedsføring af produkter og om ophævelse af Rådets afgørelse 93/465/EØF (
EUT L 218 af 13.8.2008, s. 82
).
(
31
)
  
            
EUT L 123 af 12.5.2016, s. 1
.
(
32
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
, ELI: http://data.europa.eu/eli/reg/2011/182/oj).
(
33
)
  Europa-Parlamentets og Rådets direktiv (EU) 2020/1828 af 25. november 2020 om adgang til anlæggelse af gruppesøgsmål til beskyttelse af forbrugernes kollektive interesser og om ophævelse af direktiv 2009/22/EF (
EUT L 409 af 4.12.2020, s. 1
).
(
34
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
35
)
  
            
EUT C 452 af 29.11.2022, s. 23
.
(
36
)
  Europa-Parlamentets og Rådets direktiv 2014/90/EU af 23. juli 2014 om skibsudstyr og om ophævelse af Rådets direktiv 96/98/EF (
EUT L 257 af 28.8.2014, s. 146
).
(
37
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/943 af 8. juni 2016 om beskyttelse af fortrolig knowhow og fortrolige forretningsoplysninger (forretningshemmeligheder) mod ulovlig erhvervelse, brug og videregivelse (
EUT L 157 af 15.6.2016, s. 1
).
(
38
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 168/2013 af 15. januar 2013 om godkendelse og markedsovervågning af to- og trehjulede køretøjer samt quadricykler (
EUT L 60 af 2.3.2013, s. 52
).
BILAG I
VÆSENTLIGE CYBERSIKKERHEDSKRAV
Del I Cybersikkerhedskrav vedrørende egenskaberne ved produkter med digitale elementer
1)
Produkter med digitale elementer skal designes, udvikles og produceres på en sådan måde, at de sikrer et passende cybersikkerhedsniveau baseret på risiciene.
2)
På grundlag af den cybersikkerhedsrisikovurdering, der er omhandlet i artikel 13, stk. 2, og hvor det er relevant, skal produkter med digitale elementer:
a)
gøres tilgængelige på markedet uden kendte sårbarheder, der kan udnyttes
b)
gøres tilgængelige på markedet med en sikker konfiguration som standard, medmindre andet er aftalt mellem fabrikanten og erhvervsbrugeren i forbindelse med et skræddersyet produkt med digitale elementer, herunder muligheden for at nulstille produktet til dets oprindelige tilstand
c)
sikre, at sårbarheder kan afhjælpes gennem sikkerhedsopdateringer, herunder, hvor det er relevant, ved hjælp af automatiske sikkerhedsopdateringer, der som standardindstilling installeres, inden for en passende tidsramme, med en klar og brugervenlig fravalgsmekanisme og gennem underretning af brugerne om tilgængelige opdateringer og muligheden for midlertidigt at udsætte dem
d)
sikre beskyttelse mod uautoriseret adgang ved hjælp af passende kontrolmekanismer, herunder, men ikke begrænset til, autentificerings-, identitets- eller adgangsstyringssystemer, og give melding om mulig ikkeautoriseret adgang
e)
beskytte fortroligheden af opbevarede, videresendte eller på anden måde behandlede personoplysninger eller andre data, såsom ved at kryptere relevante data i hvile eller i transit ved brug af mekanismer på det aktuelle tekniske niveau og ved brug af andre tekniske midler
f)
beskytte integriteten af opbevarede, videresendte eller på anden måde behandlede personoplysninger eller andre data, kommandoer, programmer og konfigurationer mod enhver manipulation eller ændring, som brugeren ikke har givet tilladelse til, og give melding om korruption
g)
kun behandle personoplysninger eller andre data, der er tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til det tilsigtede formål med produktet med digitale elementer (»dataminimering«)
h)
beskytte tilgængeligheden af væsentlige og grundlæggende funktioner, også efter en hændelse, herunder gennem modstandsdygtigheds- og afbødningsforanstaltninger mod denial of service-angreb
i)
minimere den negative indvirkning af selve produkterne eller forbundne enheder på tilgængeligheden af tjenester, der leveres af andre enheder eller netværk
j)
designes, udvikles og produceres med henblik på at begrænse angrebsflader, herunder eksterne grænseflader
k)
designes, udvikles og produceres med henblik på at mindske virkningen af en hændelse ved hjælp af passende mekanismer og teknikker til begrænsning af udnyttelsen
l)
levere sikkerhedsrelaterede oplysninger ved at registrere og overvåge relevante interne aktiviteter, herunder adgang til eller ændring af data, tjenester eller funktioner, med en fravalgsmekanisme for brugeren
m)
give brugerne mulighed for på sikker og nem vis at fjerne alle data og indstillinger på permanent basis og, hvis sådanne data kan overføres til andre produkter eller systemer, sikre, at dette gøres på en sikker måde.
Del II Krav til håndtering af sårbarheder
Fabrikanter af produkter med digitale elementer skal:
1)
identificere og dokumentere sårbarheder og komponenter i produkter med digitale elementer, herunder ved at udarbejde en softwarekomponentliste i et almindeligt anvendt og maskinlæsbart format, der som minimum dækker de vigtigste produktafhængigheder
2)
i forbindelse med risiciene forbundet med produkter med digitale elementer straks håndtere og afhjælpe sårbarheder, herunder ved at sørge for sikkerhedsopdateringer, og hvor det er teknisk muligt, skal nye sikkerhedsopdateringer leveres adskilt fra funktionalitetsopdateringer
3)
anvende effektive og regelmæssige afprøvninger og gennemgange af sikkerheden af produktet med digitale elementer
4)
når en sikkerhedsopdatering er gjort tilgængelig, dele og offentliggøre oplysninger om afhjulpne sårbarheder, herunder en beskrivelse af sårbarhederne, oplysninger, der gør det muligt for brugerne at identificere det berørte produkt med digitale elementer, sårbarhedernes indvirkning og alvor, og tydelige og tilgængelige oplysninger, der gør det lettere for brugerne at afhjælpe sårbarhederne; i behørigt begrundede tilfælde, hvor fabrikanterne mener, at sikkerhedsrisiciene ved offentliggørelse opvejer sikkerhedsfordelene, kan de udsætte offentliggørelsen af oplysninger om en afhjulpen sårbarhed, indtil brugerne har fået mulighed for at anvende den relevante rettelse
5)
indføre og håndhæve en politik for koordineret offentliggørelse af sårbarheder
6)
træffe foranstaltninger til at lette udvekslingen af oplysninger om potentielle sårbarheder i deres produkt med digitale elementer samt i tredjepartskomponenter indeholdt i det pågældende produkt, herunder ved at anføre en kontaktadresse til indberetning af de sårbarheder, der opdages i produktet med digitale elementer
7)
sørge for mekanismer til sikker distribution af opdateringer for produkter med digitale elementer for at sikre, at sårbarheder afhjælpes eller afbødes rettidigt og, hvor det er relevant for sikkerhedsopdateringer, automatisk
8)
sikre, at tilgængelige sikkerhedsopdateringer til afhjælpning af identificerede sikkerhedsproblemer formidles uden unødigt ophold og, medmindre andet er aftalt mellem en fabrikant og en erhvervsbruger i forhold til et skræddersyet produkt med digitale elementer, gratis sammen med vejledende meddelelser, der giver brugerne de relevante oplysninger, herunder om mulige foranstaltninger, der skal træffes.
BILAG II
OPLYSNINGER OG ANVISNINGER TIL BRUGEREN
Produktet med digitale elementer skal som minimum ledsages af:
1.
Fabrikantens navn, registrerede firmanavn eller registrerede varemærke og postadresse, e-mailadresse eller andre digitale kontaktoplysninger samt, hvis et sådant foreligger, det websted, hvor fabrikanten kan kontaktes
2.
det centrale kontaktpunkt, hvor oplysninger om sårbarheder i produktet med digitale elementer kan indberettes og modtages, og hvor fabrikantens politik for koordineret offentliggørelse af sårbarheder kan findes
3.
navn og type og eventuelle yderligere oplysninger, der gør det muligt entydigt at identificere produktet med digitale elementer
4.
det tilsigtede formål med produktet med digitale elementer, herunder det sikkerhedsmiljø, som fabrikanten leverer, samt produktets væsentlige funktioner og oplysninger om sikkerhedsegenskaberne
5.
alle kendte eller forudsigelige omstændigheder vedrørende anvendelsen af produktet med digitale elementer i overensstemmelse med dets tilsigtede formål eller ved fejlanvendelse, der med rimelighed kan forudses, der kan medføre betydelige cybersikkerhedsrisici
6.
i givet fald den internetadresse, hvor der er adgang til EU-overensstemmelseserklæringen
7.
den type tekniske sikkerhedsstøtte, som fabrikanten tilbyder, og slutdatoen for den supportperiode, hvor brugerne kan forvente, at sårbarheder håndteres, og hvor brugerne kan forvente at modtage sikkerhedsopdateringer
8.
detaljerede anvisninger eller en internetadresse med henvisning til sådanne detaljerede anvisninger og oplysninger om:
a)
de nødvendige foranstaltninger ved første ibrugtagning og i hele levetiden for produktet med digitale elementer for at sikre en sikker anvendelse heraf
b)
hvordan ændringer af produktet med digitale elementer kan påvirke datasikkerheden
c)
hvordan sikkerhedsrelevante opdateringer kan installeres
d)
sikker nedlukning af produktet med digitale elementer, herunder oplysninger om, hvordan brugerdata kan fjernes sikkert
e)
hvordan den standardindstilling, der muliggør automatisk installation af sikkerhedsopdateringer som krævet af bilag I, del I, nr. 2, litra c), kan slås fra
f)
hvor produktet med digitale elementer er beregnet til at blive integreret i andre produkter med digitale elementer, de oplysninger, der er nødvendige for, at integratoren kan opfylde de væsentlige cybersikkerhedskrav, der er fastlagt i bilag I, og de dokumentationskrav, der er fastlagt i bilag VII
9.
hvis fabrikanten beslutter at stille softwarekomponentlisten til rådighed for brugeren, oplysninger om, hvor softwarekomponentlisten kan tilgås.
BILAG III
VIGTIGE PRODUKTER MED DIGITALE ELEMENTER
Klasse I
1.
Software og hardware til identitetsstyringssystemer og til styring af privilegeret adgang, herunder autentificerings- og adgangskontrollæsere, herunder biometriske læsere
2.
Enkeltstående og indlejrede browsere
3.
Adgangskoder
4.
Software, der søger efter, fjerner eller sætter ondsindet software i karantæne
5.
Produkter med digitale elementer, der fungerer som et virtuelt privat netværk (VPN)
6.
Netstyringssystemer
7.
Systemer til sikkerhedsinformations- og hændelseshåndtering (SIEM)
8.
Boot managers
9.
Public key-infrastruktur og software for udstedelse af digitale certifikater
10.
Fysiske og virtuelle netværksgrænseflader
11.
Operativsystemer
12.
Routere, modemmer til internetforbindelse og afbrydere
13.
Mikroprocessorer med sikkerhedsrelaterede funktioner
14.
Mikrocontrollere med sikkerhedsrelaterede funktioner
15.
Applikationsspecifikke integrerede kredsløb (ASIC) og programmerbare porte (FPPT) med sikkerhedsrelaterede funktioner
16.
Virtuelle assistenter til generelle formål i intelligente bygninger
17.
Produkter til intelligente bygninger med sikkerhedsfunktioner, herunder intelligente dørlåse, sikkerhedskameraer, systemer til overvågning af spædbørn og alarmsystemer
18.
Internetforbundet legetøj, der er omfattet af Europa-Parlamentets og Rådets direktiv 2009/48/EF 
(
1
)
, og som har sociale interaktive funktioner (f.eks. at det kan tale eller filme), eller som har lokaliseringsfunktioner
19.
Personlige wearable-produkter, der skal bæres af eller anbringes på et menneskelegeme, og som har et sundhedsovervågningsformål (såsom sporing), og som forordning (EU) 2017/745 eller (EU) 2017/746 ikke finder anvendelse på, eller personlige wearable-produkter, der skal anvendes af og til børn.
Klasse II
1.
Hypervisorer og container runtime-systemer, der understøtter virtuel udførelse af operativsystemer og lignende miljøer
2.
Firewalls, systemer til opdagelse og forebyggelse af indtrængen
3.
Mikroprocessorer, der er sikret mod manipulation
4.
Mikrocontrollere, der er sikret mod manipulation.
(
1
)
  Europa-Parlamentets og Rådets direktiv 2009/48/EF af 18. juni 2009 om sikkerhedskrav til legetøj (
EUT L 170 af 30.6.2009, s. 1
).
BILAG IV
KRITISKE PRODUKTER MED DIGITALE ELEMENTER
1.
Hardwareenheder med sikkerhedsbokse.
2.
Gateways til intelligente målere inden for intelligente målersystemer som defineret i artikel 2, nr. 23), i Europa-Parlamentets og Rådets direktiv (EU) 2019/944 
(
1
)
 og andre enheder til avancerede sikkerhedsformål, herunder til sikker krypteringsbehandling.
3.
Smartcards eller lignende enheder, herunder sikre elementer.
(
1
)
  Europa-Parlamentets og Rådets direktiv (EU) 2019/944 af 5. juni 2019 om fælles regler for det indre marked for elektricitet og om ændring af direktiv 2012/27/EU (
EUT L 158 af 14.6.2019, s. 125
).
BILAG V
EU-OVERENSSTEMMELSESERKLÆRING
Den i artikel 28 omhandlede EU-overensstemmelseserklæring skal indeholde følgende oplysninger:
1.
Navn og type og eventuelle yderligere oplysninger, der gør det muligt entydigt at identificere produktet med digitale elementer.
2.
Navn og adresse på fabrikanten eller dennes bemyndigede repræsentant.
3.
En erklæring om, at EU-overensstemmelseserklæringen udstedes på udbyderens eksklusive ansvar.
4.
Erklæringens genstand (identifikation af produktet med digitale elementer, så det kan spores, hvilket kan omfatte et foto, hvor det er relevant).
5.
En erklæring om, at genstanden for erklæringen beskrevet ovenfor er i overensstemmelse med den relevante EU-harmoniseringslovgivning.
6.
Henvisninger til de relevante anvendte harmoniserede standarder eller referencer til anden fælles specifikation eller cybersikkerhedscertificering, som der erklæres overensstemmelse med.
7.
Hvis det er relevant, navnet og nummeret på det bemyndigede organ, en beskrivelse af den udførte overensstemmelsesvurderingsprocedure og identifikation af den udstedte attest.
8.
Yderligere oplysninger:
Underskrevet for og på vegne af:
(udstedelsessted og -dato):
(navn, stilling) (underskrift):
BILAG VI
FORENKLET EU-OVERENSSTEMMELSESERKLÆRING
Den i artikel 13, stk. 20, omhandlede forenklede EU-overensstemmelseserklæring udformes som følger:
… [fabrikantens navn] erklærer herved, at typen af produktet med digitale elementer … [betegnelse for type af produkt med digitale elementer] er i overensstemmelse med forordning (EU) 2024/2847 
(
1
)
.
EU-overensstemmelseserklæringens fulde tekst kan findes på følgende internetadresse: …
(
1
)
  
            
EUT L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj
.
BILAG VII
INDHOLD AF DEN TEKNISKE DOKUMENTATION
Den i artikel 31 omhandlede tekniske dokumentation skal som minimum indeholde følgende oplysninger, alt efter hvad der er relevant for det pågældende produkt med digitale elementer:
1.
en generel beskrivelse af produktet med digitale elementer, herunder:
a)
dets tilsigtede formål
b)
softwareversioner, der påvirker overholdelsen af de væsentlige cybersikkerhedskrav
c)
hvis produktet med digitale elementer er et hardwareprodukt, fotografier eller illustrationer af dets eksterne elementer, mærkninger og intern indretning
d)
oplysninger og anvisninger til brugeren som anført bilag II
2.
en beskrivelse af design, udvikling og produktion af produktet med digitale elementer og af sårbarhedshåndteringsprocesser, herunder:
a)
nødvendige oplysninger om design og udvikling af produktet med digitale elementer, herunder i givet fald tegninger og skemaer og en beskrivelse af systemarkitekturen, der forklarer, hvordan softwarekomponenter bygger på eller indgår i hinanden og integreres i den samlede behandling
b)
nødvendige oplysninger om og specifikationer for de sårbarhedshåndteringsprocesser, som fabrikanten har indført, herunder softwarekomponentlisten, politikken for koordineret offentliggørelse af sårbarheder, dokumentation for angivelse af en kontaktadresse til indberetning af sårbarheder og en beskrivelse af de tekniske løsninger, der er valgt til sikker distribution af opdateringer
c)
nødvendige oplysninger om og specifikationer for produktions- og overvågningsprocesserne for produktet med digitale elementer og validering af disse processer
3.
en vurdering af de cybersikkerhedsrisici, som produktet med digitale elementer i henhold til artikel 13 designes, udvikles, produceres, leveres og vedligeholdes til at beskytte imod, herunder hvordan de væsentlige cybersikkerhedskrav i bilag I, del 1, finder anvendelse
4.
relevante oplysninger, der blev taget i betragtning ved fastlæggelsen af supportperioden i henhold til artikel 13, stk. 8, for produktet med digitale elementer
5.
en liste over de helt eller delvist anvendte harmoniserede standarder, hvis referencer er offentliggjort i 
Den Europæiske Unions Tidende
, fælles specifikationer som fastsat i denne forordnings artikel 27 eller europæiske cybersikkerhedscertificeringsordninger, der er vedtaget i henhold til forordning (EU) 2019/881 i henhold til nærværende forordnings artikel 27, stk. 8, og, hvor disse harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger ikke er blevet anvendt, beskrivelser af de løsninger, der er anvendt for at opfylde de væsentlige cybersikkerhedskrav i bilag I, del I og II, herunder en liste over andre relevante tekniske specifikationer, som er anvendt. I tilfælde af delvis anvendelse af harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger skal den tekniske dokumentation angive, hvilke dele der er anvendt
6.
rapporter om de afprøvninger, der er foretaget for at kontrollere, at produktet med digitale elementer og sårbarhedshåndteringsprocesserne opfylder de gældende væsentlige cybersikkerhedskrav som fastsat i bilag I, del I og II
7.
en kopi af EU-overensstemmelseserklæringen
8.
i givet fald softwarekomponentlisten efter en begrundet anmodning fra en markedsovervågningsmyndighed, forudsat at det er nødvendigt for, at denne myndighed kan kontrollere overholdelsen af de væsentlige cybersikkerhedskrav i bilag I.
BILAG VIII
OVERENSSTEMMELSESVURDERINGSPROCEDURER
Del I Overensstemmelsesvurderingsprocedure på grundlag af intern kontrol (baseret på modul A)
1.
Intern kontrol er den procedure for overensstemmelsesvurdering, hvorved fabrikanten opfylder forpligtelserne i denne dels punkt 2, 3 og 4 og på eget eksklusive ansvar sikrer og erklærer, at produkterne med digitale elementer opfylder alle de væsentlige cybersikkerhedskrav i bilag I, del I, og at fabrikanten opfylder de væsentlige cybersikkerhedskrav i bilag I, del II.
2.
Fabrikanten udarbejder den tekniske dokumentation, der er beskrevet i bilag VII.
3.
Design, udvikling, produktion og håndtering af sårbarheder i produkter med digitale elementer
Fabrikanten træffer alle nødvendige foranstaltninger for, at det i forbindelse med design, udvikling og produktion og sårbarhedshåndteringsprocesserne og overvågningen heraf sikres, at de fremstillede eller udviklede produkter med digitale elementer og de procedurer, som fabrikanten har indført, opfylder de væsentlige cybersikkerhedskrav i bilag I, del I og II.
4.
Overensstemmelsesmærkning og overensstemmelseserklæring
4.1.
Fabrikanten anbringer CE-mærkningen på hvert enkelt produkt med digitale elementer, der opfylder kravene i denne forordning.
4.2.
Fabrikanten udarbejder en skriftlig EU-overensstemmelseserklæring for hvert enkelt produkt med digitale elementer i overensstemmelse med artikel 28 og opbevarer den sammen med den tekniske dokumentation, så den står til rådighed for de nationale myndigheder i ti år efter, at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst. Det skal af EU-overensstemmelseserklæringen fremgå, hvilket produkt med digitale elementer den vedrører. Et eksemplar af EU-overensstemmelseserklæringen stilles efter anmodning til rådighed for de relevante myndigheder.
5.
Bemyndigede repræsentanter
Fabrikantens forpligtelser i punkt 4 kan opfyldes af dennes bemyndigede repræsentant på fabrikantens vegne og ansvar, forudsat at de relevante forpligtelser er angivet i fuldmagten.
Del II EU-typeafprøvning (baseret på modul B)
1.
EU-typeafprøvning er den del af overensstemmelsesvurderingsproceduren, hvor et bemyndiget organ undersøger det tekniske design og udviklingen af et produkt med digitale elementer og de sårbarhedshåndteringsprocesser, som fabrikanten har indført, og attesterer, at et produkt med digitale elementer opfylder de væsentlige cybersikkerhedskrav i bilag I, del I, og at fabrikanten opfylder de væsentlige cybersikkerhedskrav i bilag I, del II.
2.
EU-typeafprøvning udføres som en vurdering af egnetheden af det tekniske design og udviklingen af et produkt med digitale elementer ved undersøgelse af den tekniske dokumentation og den støttedokumentation, der er omhandlet i punkt 3, samt undersøgelse af prøveeksemplarer af en eller flere kritiske dele af produktet (kombination af produktionstype og designtype)
3.
Fabrikanten indgiver ansøgning om EU-typeafprøvning til et enkelt bemyndiget organ efter eget valg.
Ansøgningen skal indeholde:
3.1.
fabrikantens navn og adresse samt, hvis ansøgningen indgives af den bemyndigede repræsentant, denne bemyndigede repræsentants navn og adresse
3.2.
en skriftlig erklæring om, at samme ansøgning ikke er indgivet til et andet bemyndiget organ
3.3.
den tekniske dokumentation, der skal gøre det muligt at vurdere, om produktet med digitale elementer er i overensstemmelse med de gældende væsentlige cybersikkerhedskrav i bilag I, del I, og fabrikantens sårbarhedshåndteringsprocesser i bilag I, del II, og skal indeholde en fyldestgørende analyse og vurdering af risiciene. Den tekniske dokumentation skal angive de gældende krav og skal, i det omfang det er relevant for vurderingen, omfatte designet, fremstillingen og brugen af produktet med digitale elementer. Den tekniske dokumentation skal, hvor det er relevant, mindst indeholde de elementer, der er anført i bilag VII
3.4.
støttedokumentationen, der viser egnetheden af de tekniske design- og udviklingsløsninger og sårbarhedshåndteringsprocesserne. I denne støttedokumentation skal nævnes al dokumentation, der er blevet anvendt, særlig hvis de relevante harmoniserede standarder eller tekniske specifikationer ikke er blevet anvendt fuldt ud. I støttedokumentationen skal om nødvendigt indgå resultaterne af afprøvninger, som er blevet foretaget af fabrikantens laboratorium eller af et andet afprøvningslaboratorium på fabrikantens vegne og ansvar.
4.
Det bemyndigede organ skal træffe følgende foranstaltninger:
4.1.
undersøge den tekniske dokumentation og støttedokumentationen for at vurdere tilstrækkeligheden af det tekniske design og udviklingen af produktet med digitale elementer for så vidt angår de væsentlige cybersikkerhedskrav i bilag I, del I, og af de sårbarhedshåndteringsprocesser, som fabrikanten har indført, for så vidt angår de væsentlige cybersikkerhedskrav i bilag I, del II
4.2.
kontrollere, at prøveeksemplarer er udviklet og fremstillet i overensstemmelse med den tekniske dokumentation, og fastslå, hvilke elementer der er designet og udviklet i overensstemmelse med de relevante bestemmelser i de pågældende harmoniserede standarder eller tekniske specifikationer, samt hvilke elementer der er designet og udviklet uden anvendelse af de relevante bestemmelser i disse standarder
4.3.
foretage eller lade foretage de nødvendige undersøgelser og afprøvninger til at kontrollere, at de relevante harmoniserede standarder eller tekniske specifikationer for kravene i bilag I er blevet anvendt korrekt, såfremt fabrikanten har valgt at anvende de løsninger, der er nævnt heri
4.4.
foretage eller lade foretage de nødvendige undersøgelser og afprøvninger til at kontrollere, at fabrikantens løsninger opfylder de væsentlige cybersikkerhedskrav, såfremt fabrikanten ikke har anvendt de løsninger, der er omhandlet i de relevante harmoniserede standarder eller tekniske specifikationer for kravene i bilag I
4.5.
aftale med fabrikanten, hvor undersøgelserne og afprøvningerne skal foretages.
5.
Det bemyndigede organ udarbejder en evalueringsrapport om aktiviteterne udført i overensstemmelse med punkt 4 og resultatet af disse. Uden at dette berører det bemyndigede organs ansvar over for de bemyndigende myndigheder, offentliggør det bemyndigede organ ikke indholdet af denne rapport, hverken helt eller delvist, uden fabrikantens samtykke.
6.
Hvor typen og sårbarhedshåndteringsprocesserne opfylder de væsentlige cybersikkerhedskrav i bilag I, udsteder det bemyndigede organ en EU-typeafprøvningsattest til fabrikanten. Attesten skal indeholde fabrikantens navn og adresse, undersøgelsens konklusioner, eventuelle betingelser for attestens gyldighed og de oplysninger, der er nødvendige for at identificere den godkendte type og sårbarhedshåndteringsprocesserne. Attesten kan have et eller flere bilag.
Attesten og bilagene dertil skal indeholde alle relevante oplysninger for at gøre det muligt at vurdere, om fremstillede eller udviklede produkter med digitale elementer er i overensstemmelse med den undersøgte type og de undersøgte sårbarhedshåndteringsprocesser, og at foretage kontrol under brug.
Hvor typen og sårbarhedshåndteringsprocesserne ikke opfylder de relevante væsentlige cybersikkerhedskrav i bilag I, afviser det bemyndigede organ at udstede en EU-typeafprøvningsattest og oplyser ansøgeren herom med en detaljeret begrundelse for afslaget.
7.
Det bemyndigede organ holder sig ajour med eventuelle ændringer i det generelt anerkendte aktuelle tekniske niveau, som tyder på, at den godkendte type og sårbarhedshåndteringsprocesserne måske ikke længere opfylder de relevante væsentlige cybersikkerhedskrav i bilag I, og beslutter, om sådanne ændringer kræver yderligere undersøgelser. I bekræftende fald underretter det bemyndigede organ fabrikanten herom.
Fabrikanten underretter det bemyndigede organ, som opbevarer den tekniske dokumentation vedrørende EU-typeafprøvningsattesten, om enhver ændring af den godkendte type og sårbarhedshåndteringsprocesserne, som kan påvirke overensstemmelsen med de væsentlige cybersikkerhedskrav i bilag I eller betingelserne for attestens gyldighed. Sådanne ændringer kræver en tillægsgodkendelse i form af en tilføjelse til den oprindelige EU-typeafprøvningsattest.
8.
Det bemyndigede organ aflægger regelmæssigt kontrolbesøg for at sikre, at sårbarhedshåndteringsprocesserne som fastsat i bilag I, del II, gennemføres på passende vis.
9.
Hvert bemyndiget organ oplyser dets bemyndigende myndigheder om de EU-typeafprøvningsattester og tillæg hertil, som det har udstedt eller trukket tilbage, og stiller med jævne mellemrum eller efter anmodning listen over attester og eventuelle tillæg hertil, der er blevet afvist, suspenderet eller på anden måde begrænset, til rådighed for dets bemyndigende myndigheder
Hvert bemyndiget organ oplyser de øvrige bemyndigede organer om de EU-typeafprøvningsattester og tillæg hertil, som det har afvist, trukket tilbage, suspenderet eller på anden måde begrænset, og, efter anmodning, om attester og tillæg hertil, som det har udstedt.
Kommissionen, medlemsstaterne og de øvrige bemyndigede organer kan efter anmodning få en kopi af EU-typeafprøvningsattesterne og eventuelle tillæg hertil. Efter anmodning kan Kommissionen og medlemsstaterne få en kopi af den tekniske dokumentation og resultaterne af de undersøgelser, som det bemyndigede organ har foretaget. Det bemyndigede organ opbevarer en kopi af EU-typeafprøvningsattesten, bilagene og tillæggene hertil samt den tekniske dokumentation, herunder den dokumentation, som fabrikanten har indgivet, indtil udløbet af attestens gyldighedsperiode.
10.
Fabrikanten opbevarer en kopi af EU-typeafprøvningsattesten, bilagene og tillæggene hertil samt den tekniske dokumentation, så disse dokumenter står til rådighed for de nationale myndigheder i ti år efter, at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst.
11.
Fabrikantens bemyndigede repræsentant kan indgive den i punkt 3 omhandlede ansøgning og opfylde de i punkt 7 og 10 omhandlede forpligtelser, forudsat at de relevante forpligtelser er angivet i fuldmagten.
Del III Typeoverensstemmelse på grundlag af intern produktionskontrol (baseret på modul C)
1.
Typeoverensstemmelse på grundlag af intern produktionskontrol er den del af overensstemmelsesvurderingsproceduren, hvorved fabrikanten opfylder forpligtelser i denne dels punkt 2 og 3 og sikrer og erklærer, at produkterne med digitale elementer er i overensstemmelse med den type, der er beskrevet i EU-typeafprøvningsattesten, og opfylder de væsentlige cybersikkerhedskrav i bilag I, del I, og at fabrikanten opfylder de væsentlige cybersikkerhedskrav i bilag I, del II.
2.
Produktion
Fabrikanten træffer alle nødvendige foranstaltninger for, at det ved produktionen og overvågningen heraf sikres, at de fremstillede produkter med digitale elementer er i overensstemmelse med den godkendte type beskrevet i EU-typeafprøvningsattesten og opfylder de væsentlige cybersikkerhedskrav i bilag I, del I, og sikrer, at fabrikanten opfylder de væsentlige cybersikkerhedskrav i bilag I, del II.
3.
Overensstemmelsesmærkning og overensstemmelseserklæring
3.1.
Fabrikanten anbringer CE-mærkningen på hvert enkelt produkt med digitale elementer, som er i overensstemmelse med typen beskrevet i EU-typeafprøvningsattesten, og som opfylder de relevante krav i denne forordning.
3.2.
Fabrikanten udarbejder en skriftlig overensstemmelseserklæring for hver produktmodel og opbevarer den, så den står til rådighed for de nationale myndigheder i ti år efter, at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst. Det skal af overensstemmelseserklæringen fremgå, hvilken produktmodel den vedrører. Et eksemplar af overensstemmelseserklæringen stilles efter anmodning til rådighed for de relevante myndigheder.
4.
Bemyndiget repræsentant
Fabrikantens forpligtelser i henhold til punkt 3 kan opfyldes af dennes bemyndigede repræsentant på fabrikantens vegne og ansvar, forudsat at de relevante forpligtelser er angivet i fuldmagten.
Del IV Overensstemmelse på grundlag af fuld kvalitetssikring (baseret på modul H)
1.
Overensstemmelse på grundlag af fuld kvalitetssikring er den procedure for overensstemmelsesvurdering, hvorved fabrikanten opfylder forpligtelserne i denne dels punkt 2 og 5 og på eget eksklusive ansvar sikrer og erklærer, at de pågældende produkter med digitale elementer eller produktkategorier opfylder de væsentlige cybersikkerhedskrav i bilag I, del I, og at de sårbarhedshåndteringsprocesser, som fabrikanten har indført, opfylder kravene i bilag I, del II.
2.
Design, udvikling, produktion og håndtering af sårbarheder i produkter med digitale elementer
Fabrikanten skal ved design, udvikling og endelig produktinspektion og -afprøvning af de pågældende produkter med digitale elementer og ved håndtering af sårbarheder anvende et godkendt kvalitetsstyringssystem som angivet i punkt 3, sikre dets effektivitet i hele supportperioden og være underlagt overvågning som angivet i punkt 4.
3.
Kvalitetsstyringssystem
3.1.
Fabrikanten indgiver en ansøgning om vurdering af kvalitetsstyringssystemet for de pågældende produkter med digitale elementer til et bemyndiget organ efter eget valg.
Ansøgningen skal indeholde:
a)
fabrikantens navn og adresse samt, hvis ansøgningen indgives af den bemyndigede repræsentant, denne bemyndigede repræsentants navn og adresse
b)
den tekniske dokumentation for en model af hver kategori af produkter med digitale elementer, der påtænkes fremstillet eller udviklet. Den tekniske dokumentation skal, hvor det er relevant, mindst indeholde de elementer, der er anført i bilag VII
c)
dokumentation vedrørende kvalitetsstyringssystemet, og
d)
en skriftlig erklæring om, at samme ansøgning ikke er blevet indgivet til et andet bemyndiget organ.
3.2.
Kvalitetsstyringssystemet skal sikre, at produkterne med digitale elementer opfylder de væsentlige cybersikkerhedskrav i bilag I, del I, og at de sårbarhedshåndteringsprocesser, som fabrikanten har indført, opfylder kravene i bilag I, del II.
Alle de forhold, krav og bestemmelser, som fabrikanten har taget hensyn til, skal dokumenteres på en systematisk og overskuelig måde i form af skriftlige politikker, procedurer og anvisninger. Dokumentationen vedrørende kvalitetsstyringssystemet skal sikre, at kvalitetsprogrammer, -planer, -manualer og -registreringer fortolkes ens.
Den skal navnlig indeholde en fyldestgørende beskrivelse af:
a)
kvalitetsmålsætningerne og organisationsstrukturerne samt ledelsens ansvar og beføjelser med hensyn til design, udvikling, fremstilling, produktkvalitet og håndtering af sårbarheder
b)
de tekniske design- og udviklingsspecifikationer, herunder standarder, som vil blive anvendt, og, hvor de relevante harmoniserede standarder eller tekniske specifikationer ikke vil blive anvendt fuldt ud, de metoder, der vil blive anvendt til at sikre, at de væsentlige cybersikkerhedskrav i bilag I, del I, der gælder for produkterne med digitale elementer, vil blive opfyldt
c)
de proceduremæssige specifikationer, herunder standarder, som vil blive anvendt, og, hvor de relevante harmoniserede standarder eller tekniske specifikationer ikke vil blive anvendt fuldt ud, de metoder, der vil blive anvendt til at sikre, at de væsentlige cybersikkerhedskrav i bilag I, del II, der gælder for fabrikanten, vil blive opfyldt
d)
de teknikker og processer og systematiske foranstaltninger til design- og udviklingskontrol og -verifikation, der vil blive anvendt ved design og udvikling af produkter med digitale elementer, der henhører under den pågældende produktkategori
e)
de teknikker, fremgangsmåder og systematiske foranstaltninger, der vil blive anvendt ved produktion, kvalitetskontrol og kvalitetssikring
f)
de undersøgelser og afprøvninger, der skal udføres før, under og efter produktionen, og den hyppighed, hvormed dette sker
g)
kvalitetsregistreringerne såsom inspektionsrapporter og afprøvningsdata, kalibreringsdata og rapporter vedrørende det berørte personales kvalifikationer
h)
metoderne til kontrol af, at den krævede design- og produktkvalitet er opnået, og at kvalitetsstyringssystemet fungerer effektivt.
3.3.
Det bemyndigede organ vurderer kvalitetsstyringssystemet for at fastslå, om det opfylder de i punkt 3.2 omhandlede krav.
De elementer i kvalitetsstyringssystemet, som overholder de relevante specifikationer i den nationale standard, der gennemfører den relevante harmoniserede standard eller tekniske specifikation, skal af det bemyndigede organ anses for at opfylde kravene.
Ud over erfaring med kvalitetsstyringssystemer skal kontrolholdet have mindst ét medlem med erfaring i vurdering på det relevante produktområde og inden for den pågældende produktteknologi og have viden om de gældende krav i denne forordning. Kontrollen skal indbefatte et besøg på fabrikantens eventuelle anlæg. Kontrolholdet skal gennemgå den tekniske dokumentation, der er omhandlet i punkt 3.1, litra b), med henblik på at kontrollere fabrikantens evne til at fastslå de relevante krav i denne forordning og foretage de nødvendige undersøgelser for at sikre, at produktet med digitale elementer overholder disse krav.
Afgørelsen meddeles fabrikanten eller dennes bemyndigede repræsentant.
Meddelelsen skal indeholde resultaterne af kontrollen og begrundelsen for afgørelsen.
3.4.
Fabrikanten forpligter sig til at opfylde de forpligtelser, der stammer fra kvalitetsstyringssystemet, således som det er godkendt, og til at vedligeholde det, således at det forbliver hensigtsmæssigt og effektivt.
3.5.
Fabrikanten underretter det bemyndigede organ, som har godkendt kvalitetsstyringssystemet, om enhver påtænkt ændring af systemet.
Det bemyndigede organ evaluerer de foreslåede ændringer og afgør, om det ændrede kvalitetsstyringssystem stadig opfylder de i punkt 3.2 omhandlede krav, eller om en fornyet vurdering er nødvendig.
Det bemyndigede organ meddeler fabrikanten sin afgørelse. Meddelelsen skal indeholde resultaterne af undersøgelsen og en begrundelse for afgørelsen.
4.
Overvågning under det bemyndigede organs ansvar
4.1.
Formålet med overvågningen er at sikre, at fabrikanten behørigt opfylder de forpligtelser der stammer fra det godkendte kvalitetssystem.
4.2.
Fabrikanten skal med henblik på kontrol give det bemyndigede organ adgang til design-, udviklings-, produktions-, inspektions-, afprøvnings- og lagerfaciliteterne og give det alle nødvendige oplysninger, navnlig:
a)
dokumentation om kvalitetsstyringssystemet
b)
kvalitetsregistreringer som fastsat i konstruktionsdelen af kvalitetsstyringssystemet, herunder resultater af analyser, beregninger og afprøvninger
c)
kvalitetsregistreringer som fastsat i produktionsdelen af kvalitetsstyringssystemet såsom inspektionsrapporter og afprøvningsdata, kalibreringsdata og rapporter om personalets kvalifikationer.
4.3.
Det bemyndigede organ aflægger jævnligt kontrolbesøg for at sikre, at fabrikanten opretholder og anvender kvalitetsstyringssystemet, og det udsteder en kontrolrapport til fabrikanten.
5.
Overensstemmelsesmærkning og overensstemmelseserklæring
5.1.
Fabrikanten anbringer CE-mærkningen, og på det i punkt 3.1 omhandlede bemyndigede organs ansvar dette organs identifikationsnummer på hvert produkt med digitale elementer, som opfylder kravene i bilag I, del I.
5.2.
Fabrikanten udarbejder en skriftlig overensstemmelseserklæring for hver produktmodel og opbevarer den, så den står til rådighed for de nationale myndigheder i ti år efter, at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst. Det skal af overensstemmelseserklæringen fremgå, hvilken produktmodel den vedrører.
Et eksemplar af overensstemmelseserklæringen stilles efter anmodning til rådighed for de relevante myndigheder.
6.
Fabrikanten skal, i mindst ti år efter at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst, kunne forelægge de nationale myndigheder:
a)
den i punkt 3.1 omhandlede tekniske dokumentation
b)
den i punkt 3.1 omhandlede dokumentation vedrørende kvalitetsstyringssystemet
c)
de i punkt 3.5 omhandlede ændringer som godkendt
d)
de i punkt 3.5 og 4.3 omhandlede afgørelser og rapporter fra det bemyndigede organ.
7.
Hvert bemyndiget organ skal underrette sine bemyndigende myndigheder om udstedte eller tilbagekaldte godkendelser af kvalitetsstyringssystemer og med jævne mellemrum eller efter anmodning stille en fortegnelse over afviste, suspenderede eller på anden måde begrænsede godkendelser af kvalitetsstyringssystemer til rådighed for sine bemyndigende myndigheder.
Hvert bemyndiget organ skal underrette de øvrige bemyndigede organer om afviste, suspenderede eller tilbagekaldte godkendelser af kvalitetsstyringssystemer og, efter anmodning, om udstedte godkendelser af kvalitetsstyringssystemer.
8.
Bemyndiget repræsentant
Fabrikantens forpligtelser i henhold til punkt 3.1, 3.5, 5 og 6 kan opfyldes af den bemyndigede repræsentant på fabrikantens vegne og ansvar, forudsat at de relevante forpligtelser er angivet i fuldmagten.
Der er fremsat en erklæring/erklæringer vedrørende denne retsakt, og den kan findes i 
EUT C, C/2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj
.
ELI: http://data.europa.eu/eli/reg/2024/2847/oj
ISSN 1977-0634 (electronic edition)

Summary:
Horisontale cybersikkerhedskrav til produkter med digitale elementer (forordningen om cyberrobusthed)
RESUMÉ AF:
Forordning (EU) 2024/2847 om horisontale cybersikkerhedskrav til produkter med digitale elementer
HVAD ER FORMÅLET MED FORORDNINGEN?
Forordning (EU) 2024/2847, forordningen om cyberrobusthed (CRA), har til formål at styrke 
cybersikkerheden
 i hele 
Den Europæiske Union
 (EU). Den fastlægger en omfattende ramme for at sikre, at digitale produkter og tjenesteydelser:
er sikre som følge af indbygget sikkerhed
er modstandsdygtige over for cybertrusler
kan levere beskyttelse i hele deres livscyklus.
Den omhandler de voksende udfordringer med cybersikkerhed, der er opstået som følge af enheders øgede konnektivitet og stigningen i cyberangreb, som har betydelige økonomiske og samfundsmæssige virkninger.
HOVEDPUNKTER
CRA har flere centrale mål.
Styrke cybersikkerheden i hele EU ved at fastsætte 
obligatoriske cybersikkerhedskrav
 til produkter med digitale elementer.
Fremme af 
sikker praksis
 ved at opfordre fabrikanterne til at integrere cybersikkerhed i produktudformningen og udviklingsfaserne.
Sikre 
gennemsigtighed og ansvarlighed
 ved at kræve, at fabrikanterne angiver klare oplysninger om deres produkters cybersikkerhedsfunktioner og tager ansvar for at afhjælpe sårbarheder.
Fremme et 
indre marked for cybersikkerhed
 ved at harmonisere reglerne på tværs af EU’s 
medlemsstater
 for at mindske fragmentering og sikre lige konkurrencevilkår.
Anvendelsesområde
Forordningen
 finder anvendelse på en lang række produkter med digitale elementer, der bringes i omsætning i EU, uanset hvor fabrikanten er etableret, og som kan kobles direkte eller indirekte til andre anordninger eller netværk, herunder:
hardwareprodukter (f.eks. IoT-enheder (Internet of Things), intelligente husholdningsapparater, industrielle styresystemer, mikrochips)
softwareprodukter (f.eks. videospil, apps og computerprogrammer).
Visse produkter er undtaget, såsom:
medicinsk udstyr, der allerede er omfattet af specifikke EU-forordninger
fly- og bilprodukter, der er reguleret i henhold til sektorspecifik lovgivning
skibsudstyr.
De vigtigste krav til fabrikanterne
Sikre produkter som følge af indbygget sikkerhed
Fabrikanterne skal integrere cybersikkerhed i produktdesign og -udvikling. Dette omfatter blandt andet standardkonfigurationer, passende niveauer af kryptering og adgangskontrol.
Risikovurdering og afbødning
Fabrikanterne skal foretage en risikovurdering og holde den ajourført samt gennemføre foranstaltninger for at afhjælpe identificerede sårbarheder i løbet af produktets livscyklus.
Hvis fabrikanterne er afhængige af tredjepartskomponenter eller -tjenesteydelser, skal de udvise rettidig omhu, når de integrerer dem i deres produkter.
Gennemsigtighed og dokumentation
Fabrikanterne skal levere tydelig og omfattende dokumentation, herunder:
en beskrivelse af produktets cybersikkerhedsfunktioner
anvisninger om sikker installation, konfiguration og brug
oplysninger om, hvordan man indberetter sårbarheder
en overensstemmelseserklæring for at bekræfte overholdelse af forordningen.
Indberetning af hændelser
Fabrikanter skal:
indberette alvorlige cybersikkerhedshændelser og aktivt udnyttede sårbarheder til relevante nationale myndigheder og 
Den Europæiske Unions Agentur for Cybersikkerhed
 (ENISA) uden unødig forsinkelse
informere brugerne om potentielle risici og vejlede om afbødning af dem.
Softwareopdateringer og support
Fabrikanterne skal levere sikkerhedsopdateringer i løbet af produktets supportperiode, som skal afspejle den periode, produktet forventes at være i brug.
Opdateringerne skal imødekomme sårbarheder og sikre produktets fortsatte sikkerhed.
Importørers og distributørers forpligtelser
Forordningen pålægger også importører og distributører ansvaret for at sikre, at produkterne overholder cybersikkerhedskravene.
Importørerne skal kontrollere, at fabrikanterne har overholdt forordningen og sikre, at produkterne er mærket og dokumenteret korrekt.
Distributørerne skal sikre, at produkterne bærer 
CE-mærkningen
, og at oplysninger og anvisninger til brugeren er leveret, før de gøres tilgængelige på markedet.
Produkterne skal være CE-mærket for at angive, at de overholder CRA-kravene.
Ikke-EU-fabrikanter skal overholde forordningen for at få adgang til EU’s marked og potentielt påvirke globale cybersikkerhedsstandarder.
Håndhævelse
For at sikre overensstemmelse fastlægger forordningen en robust ramme for håndhævelse.
De nationale markedsovervågningsmyndigheder overvåger overholdelsen og udfører inspektioner.
Manglende overholdelse kan resultere i væsentlige sanktioner, der kan omfatte:
bøder på op til 
2,5 %
 af fabrikantens samlede globale årsomsætning
forbud eller begrænsning af et produkts tilgængelighed
krav om at et produkt tilbagekaldes eller trækkes tilbage
myndighederne i medlemsstaterne udveksler oplysninger og koordinerer håndhævelsesforanstaltningerne.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Forordningen træder i kraft den 
11. december
 2027
 med visse undtagelser:
indberetningsforpligtelser vedrørende aktivt udnyttede sårbarheder og alvorlige hændelser træder i kraft den 
11. september
 2026
underretning om overensstemmelsesvurderingsorganer træder i kraft den 
11. juni
 2026
.
BAGGRUND
For yderligere oplysninger henvises til:
Forordningen om cyberrobusthed
 (Europa-Kommissionen)
Forordningen om cyberrobusthed — faktablad
 (Europa-Kommissionen)
Programmet for et digitalt Europa
 (Europa-Kommissionen).
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2024/2847
 af 
23. oktober
 2024
 om horisontale cybersikkerhedskrav til produkter med digitale elementer og om ændring af forordning (EU) nr. 168/2013 og (EU) 2019/1020 og direktiv (EU) 2020/1828 (forordningen om cyberrobusthed) (EUT 
L, 2024/2847
 af 
20.11.2024
).
Efterfølgende ændringer til direktiv (EU) 2024/2847 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2024/1689
 af 
13. juni
 2024
 om harmoniserede regler for kunstig intelligens og om ændring af forordning (EF) nr. 300/2008, (EU) nr. 167/2013, (EU) nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 og (EU) 2019/2144 samt direktiv 2014/90/EU, (EU) 2016/797 og (EU) 2020/1828 (forordningen om kunstig intelligens) (EUT 
L, 2024/1689
 af 
12.7.2024
).
Europa-Parlamentets og Rådets direktiv (EU) 
2022/2555
 af 
14. december
 2022
 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (EUT 
L 333
 af 
27.12.2022
, 
s. 80-152
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2020/1828
 af 
25. november
 2020
 om adgang til anlæggelse af gruppesøgsmål til beskyttelse af forbrugernes kollektive interesser og om ophævelse af direktiv 2009/22/EF (EUT 
L 409
 af 
4.12.2020
, 
s. 1-27
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2019/881
 af 
17. april
 2019
 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (EUT 
L 151
 af 
7.6.2019
, 
s. 15-69
).
Europa-Parlamentets og Rådets forordning (EU) 
2019/1020
 af 
20. juni
 2019
 om markedsovervågning og produktoverensstemmelse og om ændring af direktiv 2004/42/EF og forordning (EF) nr. 765/2008 og (EU) nr. 305/2011 (EUT 
L 169
 af 
25.6.2019
, 
s. 1-44
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2019/2144
 af 
27. november
 2019
 om krav til typegodkendelse af motorkøretøjer og påhængskøretøjer dertil samt systemer, komponenter og separate tekniske enheder til sådanne køretøjer for så vidt angår deres generelle sikkerhed og beskyttelsen af køretøjspassagerer og bløde trafikanter og om ændring af Europa-Parlamentets og Rådets forordning (EU) 2018/858 og ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 78/2009, forordning (EF) nr. 79/2009 og forordning (EF) nr. 661/2009 og Kommissionens forordning (EF) nr. 631/2009, (EU) nr. 406/2010, (EU) nr. 672/2010, (EU) nr. 1003/2010, (EU) nr. 1005/2010, (EU) nr. 1008/2010, (EU) nr. 1009/2010, (EU) nr. 19/2011, (EU) nr. 109/2011, (EU) nr. 458/2011, (EU) nr. 65/2012, (EU) nr. 130/2012, (EU) nr. 347/2012, (EU) nr. 351/2012, (EU) nr. 1230/2012 og (EU) 2015/166 (EUT 
L 325
 af 
16.12.2019
, 
s. 1-40
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2018/1139
 af 
4. juli
 2018
 om fælles regler for civil luftfart og oprettelse af Den Europæiske Unions Luftfartssikkerhedsagentur og om ændring af forordning (EF) nr. 2111/2005, (EF) nr. 1008/2008, (EU) nr. 996/2010, (EU) nr. 376/2014 og direktiv 2014/30/EU og 2014/53/EU og om ophævelse af (EF) nr. 552/2004 og (EF) nr. 216/2008 og Rådets forordning (EØF) nr. 3922/91 (EUT 
L 212
 af 
22.8.2018
, 
s. 1-122
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2017/745
 af 
5. april
 2017
 om medicinsk udstyr, om ændring af direktiv 2001/83/EF, forordning (EF) nr. 178/2002 og forordning (EF) nr. 1223/2009 og om ophævelse af Rådets direktiv 90/385/EØF og 93/42/EØF (EUT 
L 117
 af 
5.5.2017
, 
s. 1-175
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2017/746
 af 
5. april
 2017
 om medicinsk udstyr til in vitro-diagnostik og om ophævelse af direktiv 98/79/EF og Kommissionens afgørelse 2010/227/EU (EUT 
L 117
 af 
5.5.2017
, 
s. 176-332
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2016/943
 af 
8. juni
 2016
 om beskyttelse af fortrolig knowhow og fortrolige forretningsoplysninger (forretningshemmeligheder) mod ulovlig erhvervelse, brug og videregivelse (EUT 
L 157
 af 
15.6.2016
, 
s. 1-18
).
Europa-Parlamentets og Rådets direktiv 
2014/90/EU
 af 
23. juli
 2014
 om skibsudstyr og om ophævelse af Rådets direktiv 96/98/EF (EUT 
L 257
 af 
28.8.2014
, 
s. 146-185
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) nr. 
168/2013
 af 
15. januar
 2013
 om godkendelse og markedsovervågning af to- og trehjulede køretøjer samt quadricykler (EUT 
L 60
 af 
2.3.2013
, 
s. 52-128
).
Se den 
konsoliderede udgave
.
seneste ajourføring 
18.2.2025