Tento dokument slouží výhradně k informačním účelům a nemá žádný právní účinek. Orgány a instituce Evropské unie nenesou za jeho obsah žádnou odpovědnost. Závazná znění příslušných právních předpisů, včetně jejich právních východisek a odůvodnění, jsou zveřejněna v Úředním věstníku Evropské unie a jsou k dispozici v databázi EUR-Lex. Tato úřední znění jsou přímo dostupná přes odkazy uvedené v tomto dokumentu

NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2024/2847

ze dne 23. října 2024

o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky a o změně nařízení (EU) č. 168/2013 a (EU) 2019/1020 a směrnice (EU) 2020/1828 (akt o kybernetické odolnosti)

(Text s významem pro EHP)

KAPITOLA I

OBECNÁ USTANOVENÍ

Článek 1

Předmět

Tímto nařízením se stanovují:

pravidla pro dodání produktů s digitálními prvky na trh s cílem zajistit kybernetickou bezpečnost těchto produktů,

základní požadavky na kybernetickou bezpečnost týkající se navrhování, vývoje a výroby produktů s digitálními prvky a povinnosti hospodářských subjektů v souvislosti s těmito produkty s ohledem na kybernetickou bezpečnost,

základní požadavky na kybernetickou bezpečnost týkající se procesů řešení zranitelnosti zavedené výrobci s cílem zajistit kybernetickou bezpečnost produktů s digitálními prvky během předpokládané doby používání produktu a povinnosti hospodářských subjektů v souvislosti s těmito procesy,

pravidla pro dozor nad trhem, včetně monitoringu, a prosazování pravidel a požadavků uvedených v tomto článku.

Článek 2

Oblast působnosti

Toto nařízení se vztahuje na produkty s digitálními prvky dodané na trh, jejichž zamýšlený účel nebo rozumně předvídatelné použití zahrnuje přímé nebo nepřímé logické nebo fyzické datové připojení k zařízení nebo síti.

Toto nařízení se nevztahuje na produkty s digitálními prvky, na něž se vztahují tyto právní akty Unie:

nařízení (EU) 2017/745,

nařízení (EU) 2017/746,

nařízení (EU) 2019/2144.

Toto nařízení se nevztahuje na výrobky s digitálními prvky, které byly certifikovány v souladu s nařízením (EU) 2018/1139.

Toto nařízení se nevztahuje na výstroj spadající do oblasti působnosti směrnice Evropského parlamentu a Rady 2014/90/EU ( 1 ).

Použití tohoto nařízení na produkty s digitálními prvky, na něž se vztahují jiná pravidla Unie stanovující požadavky, které se týkají všech nebo některých rizik, pro které platí základní požadavky na kybernetickou bezpečnost stanovené v příloze I, může být omezeno nebo vyloučeno, pokud:

je toto omezení nebo vyloučení v souladu s celkovým regulačním rámcem, který se na tyto produkty vztahuje, a

odvětvová pravidla dosahují stejné nebo vyšší úrovně ochrany, než jakou stanovuje toto nařízení.

Komisi je svěřena pravomoc přijímat akty v přenesené pravomoci v souladu s článkem 61 za účelem doplnění tohoto nařízení upřesněním, zda je toto omezení nebo vyloučení nezbytné, a specifikací dotčených produktů a pravidel a případně i rozsahu omezení.

Toto nařízení se nevztahuje na náhradní díly, které jsou dodávány na trh za účelem nahrazení totožných komponent v produktech s digitálními prvky a které jsou vyrobeny podle stejných specifikací jako komponent, které mají nahradit.

Toto nařízení se nevztahuje na produkty s digitálními prvky vyvinuté nebo upravené výlučně pro účely národní bezpečnosti nebo obrany, ani na produkty speciálně určené ke zpracování utajovaných informací.

Povinnosti stanovené v tomto nařízení nezahrnují poskytování informací, jejichž zpřístupnění by bylo v rozporu se zásadními zájmy členských států v oblasti národní bezpečnosti, veřejné bezpečnosti nebo obrany.

Článek 3

Definice

Pro účely tohoto nařízení se rozumí:

„produktem s digitálními prvky“ softwarový nebo hardwarový produkt a jeho řešení pro zpracování dat na dálku, včetně softwarových nebo hardwarových komponent, které jsou uváděny na trh samostatně;

„zpracováním dat na dálku“ zpracování dat na dálku, pro které výrobce navrhuje a vyvíjí software nebo za jehož návrh a vývoj výrobce odpovídá, přičemž neexistence tohoto softwaru by bránila tomu, aby produkt s digitálními prvky plnil některou ze svých funkcí;

„kybernetickou bezpečností“ kybernetická bezpečnost ve smyslu čl. 2 bodu 1 nařízení (EU) 2019/881;

„softwarem“ část elektronického informačního systému, která sestává z počítačového kódu;

„hardwarem“ fyzický elektronický informační systém nebo jeho části schopné zpracovávat, uchovávat nebo přenášet digitální data;

„komponenta“ software nebo hardware určený pro začlenění do elektronického informačního systému;

„elektronickým informačním systémem“ systém, včetně elektrických nebo elektronických zařízení, který je schopen zpracovávat, uchovávat nebo přenášet digitální data;

„logickým připojením“ virtuální forma datového připojení zajišťovaná prostřednictvím softwarového rozhraní;

„fyzickým připojením“ spojení mezi elektronickými informačními systémy nebo komponentami zajišťované fyzickými prostředky, včetně elektrických, optických nebo mechanických rozhraní, vodičů nebo rádiových vln;

10)

„nepřímým připojením“ připojení k zařízení nebo síti, které neprobíhá přímo, ale spíše jako součást větší soustavy, kterou lze k tomuto zařízení nebo síti přímo připojit;

11)

„koncovým bodem“ jakékoli zařízení, které je připojeno k síti a slouží jako vstupní bod do této sítě;

12)

„hospodářským subjektem“ výrobce, zplnomocněný zástupce, dovozce, distributor nebo jiná fyzická nebo právnická osoba, na kterou se vztahují povinnosti v souvislosti s výrobou produktů s digitálními prvky nebo s jejich dodáváním na trh v souladu s tímto nařízením;

13)

„výrobcem“ fyzická nebo právnická osoba, která vyvíjí nebo vyrábí produkty s digitálními prvky, nebo která nechala produkty s digitálními prvky navrhnout, vyvinout nebo vyrobit a nabízí je pod svým jménem nebo ochrannou známkou, ať už za úplatu, jiné zpeněžení nebo bezplatně;

14)

„správcem softwaru s otevřeným zdrojovým kódem“ právnická osoba jiná než výrobce, jejímž účelem nebo cílem je systematicky a dlouhodobě podporovat vývoj konkrétních produktů s digitálními prvky považovaných za svobodný software s otevřeným zdrojovým kódem a určených pro obchodní činnost, a která zajišťuje životaschopnost těchto produktů;

15)

„zplnomocněným zástupcem“ fyzická nebo právnická osoba usazená v Unii, která byla výrobcem písemně pověřena, aby při plnění konkrétních úkolů jednala jeho jménem;

16)

„dovozcem“ fyzická nebo právnická osoba usazená v Unii, která uvádí na trh produkt s digitálními prvky označený jménem nebo ochrannou známkou fyzické nebo právnické osoby usazené mimo Unii;

17)

„distributorem“ fyzická nebo právnická osoba v dodavatelském řetězci jiná než výrobce nebo dovozce, která dodává produkt s digitálními prvky na trh Unie, aniž by ovlivňovala jeho vlastnosti;

18)

„spotřebitelem“ fyzická osoba, která jedná za účelem, který není v rámci její obchodní činnosti, podnikání, řemesla nebo povolání;

19)

„mikropodniky“, „malými podniky“ a „středními podniky“ mikropodniky, malé podniky a střední podniky ve smyslu definice uvedené v příloze k doporučení 2003/361/ES;

20)

„dobou podpory“ období, během něhož musí výrobce zajistit, aby se zranitelnosti produktu s digitálními prvky řešily účinně a v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II;

21)

„uvedením na trh“ první dodání produktu s digitálními prvky na trh Unie;

22)

„dodáním na trh“ dodání produktu s digitálními prvky k distribuci nebo použití na trhu Unie v rámci obchodní činnosti, ať už za úplatu, nebo bezplatně;

23)

„zamýšleným účelem“ použití produktu s digitálními prvky určené výrobcem, včetně konkrétního kontextu a podmínek použití, které jsou uvedeny v informacích dodaných výrobcem v návodu k použití, v propagačních nebo prodejních materiálech a prohlášeních, jakož i v technické dokumentaci;

24)

„rozumně předvídatelným použitím“ použití, které není nutně zamýšleným účelem uvedeným výrobcem v návodu k použití, propagačních nebo prodejních materiálech a prohlášeních, jakož i v technické dokumentaci, ale které pravděpodobně vyplývá z důvodně předvídatelného lidského chování nebo technických operací nebo interakcí;

25)

„rozumně předvídatelným nesprávným použitím“ použití produktu s digitálními prvky způsobem, který není v souladu s jeho zamýšleným účelem, avšak může vyplývat z důvodně předvídatelného lidského chování nebo z interakce s jinými systémy;

26)

„oznamujícím orgánem“ vnitrostátní orgán odpovědný za stanovení a provádění postupů nezbytných pro posuzování, jmenování a oznamování subjektů posuzování shody a za jejich monitorování;

27)

„posouzením shody“ postup ověřující, zda byly splněny základní požadavky na kybernetickou bezpečnost stanovené v příloze I;

28)

„subjektem posuzování shody“ subjekt posuzování shody ve smyslu čl. 2 bodu 13 nařízení (ES) č. 765/2008;

29)

„oznámeným subjektem“ subjekt posuzování shody určený v souladu s článkem 43 a dalšími příslušnými harmonizačními právními předpisy Unie;

30)

„podstatnou změnou“ změna produktu s digitálními prvky po jeho uvedení na trh, která ovlivňuje soulad produktu s digitálními prvky se základními požadavky na kybernetickou bezpečnost stanovenými v části I přílohy I, nebo která vede ke změně zamýšleného účelu, pro nějž bylo provedeno posouzení produktu s digitálními prvky;

31)

„označením CE“ označení, kterým výrobce vyjadřuje, že produkt s digitálními prvky a postupy zavedené výrobcem jsou ve shodě se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I a s dalšími použitelnými harmonizačními právními předpisy Unie, které upravují umístění tohoto označení;

32)

„harmonizačními právními předpisy Unie“ právní předpisy Unie uvedené v příloze I nařízení (EU) 2019/1020 a jakékoli jiné právní předpisy Unie harmonizující podmínky pro nabízení výrobků, na něž se vztahuje uvedené nařízení, na trh;

33)

„orgánem dozoru nad trhem“ orgán dozoru nad trhem ve smyslu čl. 3 bodu 4 nařízení (EU) 2019/1020;

34)

„mezinárodní normou“ mezinárodní norma ve smyslu čl. 2 bodu 1 písm. a) nařízení (EU) č. 1025/2012;

35)

„evropskou normou“ evropská norma ve smyslu čl. 2 odst. 1 písm. b) nařízení (EU) č. 1025/2012;

36)

„harmonizovanou normou“ harmonizovaná norma ve smyslu čl. 2 bodu 1 písm. c) nařízení (EU) č. 1025/2012;

37)

„kybernetickým bezpečnostním rizikem“ možnost ztráty nebo narušení v důsledku incidentu, přičemž toto riziko má být vyjádřeno jako kombinace rozsahu takové ztráty nebo takového narušení a pravděpodobnosti výskytu incidentu;

38)

„významným kybernetickým bezpečnostním rizikem“ kybernetické bezpečnostní riziko, o němž lze na základě jeho technických charakteristik předpokládat, že u něj existuje vysoká pravděpodobnost incidentu, který by mohl vést k závažnému negativnímu dopadu, mimo jiné způsobením značné hmotné nebo nehmotné ztráty nebo narušení;

39)

„softwarovým kusovníkem“ (SBOM) formální záznam obsahující podrobné informace o komponentách obsažených v softwarových prvcích produktu s digitálními prvky a o vztazích těchto komponent k dodavatelskému řetězci;

40)

„zranitelností“ slabina, snížená odolnost nebo chyba produktu s digitálními prvky, kterou lze zneužít v rámci kybernetické hrozby;

41)

„zneužitelnou zranitelností“ zranitelnost, která může být za praktických provozních podmínek účinně zneužita nepřátelským subjektem;

42)

„aktivně zneužívanou zranitelností“ zranitelnost, u níž existují spolehlivé důkazy o tom, že ji škodlivý aktér v systému zneužil bez svolení vlastníka systému;

43)

„incidentem“ incident ve smyslu čl. 6 bodu 6 směrnice (EU) 2022/2555;

44)

„incidentem s dopadem na bezpečnost produktu s digitálními prvky“ incident, který negativně ovlivňuje nebo může negativně ovlivnit schopnost produktu s digitálními prvky chránit dostupnost, autenticitu, integritu nebo důvěrnost dat nebo funkcí;

45)

„významnou událostí“ významná událost ve smyslu čl. 6 bodu 5 směrnice (EU) 2022/2555;

46)

„kybernetickou hrozbou“ kybernetická hrozba ve smyslu čl. 2 bodu 8 nařízení (EU) 2019/881;

47)

„osobními údaji“ osobní údaje ve smyslu čl. 4 bodu 1 nařízení (EU) 2016/679;

48)

„svobodným softwarem s otevřeným zdrojovým kódem“ software, jehož zdrojový kód je volně sdílen a který je zpřístupněn na základě licence k svobodnému softwaru s otevřeným zdrojovým kódem, jež poskytuje veškerá práva na to, aby byl volně přístupný, použitelný, upravitelný a dále distribuovatelný;

49)

„stažením z oběhu“ stažení z oběhu ve smyslu čl. 3 bodu 22 nařízení (EU) 2019/1020;

50)

„stažením z trhu“ stažení z trhu ve smyslu čl. 3 bodu 23 nařízení (EU) 2019/1020;

51)

„týmem CSIRT určeným jako koordinátor“ tým CSIRT, který byl určen koordinátorem podle čl. 12 odst. 1 směrnice (EU) 2022/2555.

Článek 4

Volný pohyb

Členské státy nesmějí v záležitostech, na něž se vztahuje toto nařízení, bránit tomu, aby byly na trh dodávány produkty s digitálními prvky, které jsou v souladu s tímto nařízením.

Na veletrzích, výstavách, předváděcích nebo podobných akcích nesmějí členské státy bránit prezentaci ani používání produktu s digitálními prvky, který není v souladu s tímto nařízením, včetně jeho prototypů, za předpokladu, že je produkt prezentován s viditelným označením, které jasně ukazuje, že produkt není v souladu s tímto nařízením a nemá být dodáván na trh, dokud s ním nebude v souladu.

Členské státy nebrání dodávání nedokončeného softwaru, který není v souladu s tímto nařízením, na trh, za předpokladu, že software bude zpřístupněn pouze po omezenou dobu nezbytnou pro účely testování s viditelným označením jasně uvádějícím, že není v souladu s tímto nařízením a nebude dodáván na trh k jiným účelům než k testování.

Odstavec 3 se nevztahuje na bezpečnostní komponenty, které jsou uvedeny v jiných harmonizačních právních předpisech Unie než v tomto nařízení.

Článek 5

Zadávání zakázek na produkty s digitálními prvky nebo používání těchto produktů

Toto nařízení nebrání členským státům v tom, aby při zadávání zakázek na produkty s digitálními prvky nebo při jejich používání pro konkrétní účely, mimo jiné v případech, kdy jsou tyto produkty pořizovány či používány pro účely národní bezpečnosti nebo obrany, vyžadovaly, aby se na tyto produkty vztahovaly dodatečné požadavky na kybernetickou bezpečnost, a to za předpokladu, že takové požadavky jsou v souladu s povinnostmi členských států stanovenými v právu Unie a jsou nezbytné a přiměřené z hlediska dosažení těchto účelů.

Aniž jsou dotčeny směrnice 2014/24/EU a 2014/25/EU, v případech, kdy jsou pořizovány produkty s digitálními prvky, které spadají do oblasti působnosti tohoto nařízení, členské státy zajistí, aby byl při zadávání příslušných zakázek zohledněn soulad se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I tohoto nařízení, včetně schopnosti výrobců účinně řešit zranitelnosti.

Článek 6

Požadavky na produkty s digitálními prvky

Produkty s digitálními prvky se na trh dodávají pouze tehdy, pokud:

splňují základní požadavky na kybernetickou bezpečnost stanovené v části I přílohy I, za předpokladu, že jsou řádně instalovány, udržovány, používány k zamýšlenému účelu nebo za podmínek, které lze rozumně předvídat, a případně vybaveny nezbytnými bezpečnostními aktualizacemi, a

postupy zavedené výrobcem jsou v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v části II přílohy I.

Článek 7

Důležité produkty s digitálními prvky

Produkty s digitálními prvky, jejichž klíčová funkce spadá do produktové kategorie stanovené v příloze III, se považují za důležité produkty s digitálními prvky a podléhají postupům posuzování shody uvedeným v čl. 32 odst. 2 a 3. Začlenění produktu s digitálními prvky, který má klíčovou funkci spadající do produktové kategorie stanovené v příloze III, samo o sobě neznamená, že produkt, do něhož je začleněn produkt s klíčovou funkci spadající do produktové kategorie stanovené v příloze III, podléhá postupům posuzování shody uvedeným v čl. 32 odst. 2 a 3.

Kategorie produktů s digitálními prvky uvedené v odstavci 1 tohoto článku, rozdělené do třídy I a II, jak jsou stanoveny v příloze III, splňují alespoň jedno z těchto kritérií:

produkt s digitálními prvky plní primárně funkce, které mají zásadní význam z hlediska kybernetické bezpečnosti jiných produktů, sítí nebo služeb, včetně zabezpečení ověřování a přístupu, prevence a detekce narušení, bezpečnosti koncových bodů nebo ochrany sítě,

produkt s digitálními prvky plní funkci, která s sebou nese značné riziko nepříznivých účinků, pokud jde o intenzitu a možnost narušit, ovládat nebo poškodit velký počet jiných produktů nebo zdraví, zabezpečení či bezpečnost jeho uživatelů prostřednictvím přímé manipulace, například funkci centrálního systému, včetně správy sítě, řízení konfigurace, virtualizace nebo zpracování osobních údajů.

Komisi je svěřena pravomoc přijímat akty v přenesené pravomoci v souladu s článkem 61 za účelem změny přílohy III zařazením nové kategorie do každé třídy kategorií produktů s digitálními prvky na příslušném seznamu, upřesněním její definice, přesunutím kategorie produktů do jiné třídy nebo vynětím stávající kategorie z tohoto seznamu. Při posuzování potřeby změnit seznam uvedený v příloze III Komise zohlední funkcionalitu nebo funkci související s kybernetickou bezpečností a úroveň kybernetického bezpečnostního rizika, které s sebou nesou produkty s digitálními prvky, jak je stanoveno v kritériích uvedených v odstavci 2 tohoto článku.

V aktech v přenesené pravomoci uvedených v prvním pododstavci tohoto odstavce je případně stanoveno minimální přechodné období v délce 12 měsíců, zejména pokud je do třídy I nebo II doplněna nová kategorie důležitých produktů s digitálními prvky nebo pokud je přesunuta z třídy I do třídy II, jak jsou stanoveny v příloze III, před tím, než se začnou uplatňovat příslušné postupy posuzování shody uvedené v čl. 32 odst. 2 a 3, jestliže není ze závažných naléhavých důvodů opodstatněno stanovení kratšího přechodného období.

Do 11. prosince 2025 přijme Komise prováděcí akt, kterým upřesní technický popis kategorií produktů s digitálními prvky třídy I a II jak jsou stanoveny v příloze III a technický popis kategorií produktů s digitálními prvky jak jsou stanoveny v příloze IV. Tento prováděcí akt se přijme přezkumným postupem podle čl. 62 odst. 2.

Článek 8

Kritické produkty s digitálními prvky

Komisi je svěřena pravomoc přijímat akty v přenesené pravomoci v souladu s článkem 61 za účelem doplnění tohoto nařízení tím, že určí, které produkty s digitálními prvky, jež mají klíčovou funkci produktové kategorie stanovené v příloze IV tohoto nařízení, musejí získat v rámci evropského schématu certifikace kybernetické bezpečnosti přijatého podle nařízení (EU) 2019/881 evropský certifikát kybernetické bezpečnosti alespoň na úrovni záruky „významná“, aby prokázaly shodu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I tohoto nařízení nebo jejich částmi, pokud bylo v souladu s nařízením (EU) 2019/881 přijato evropské schéma certifikace kybernetické bezpečnosti zahrnující tyto kategorie produktů s digitálními prvky a je k dispozici výrobcům. Tyto akty v přenesené pravomoci stanoví požadovanou úroveň záruky, která je úměrná úrovni kybernetického bezpečnostního rizika spojeného s produkty s digitálními prvky, a zohlední jejich zamýšlený účel, včetně kritické závislosti základních subjektů uvedených v čl. 3 odst. 1 směrnice (EU) 2022/2555 na daných produktech s digitálními prvky.

Před přijetím těchto aktů v přenesené pravomoci posoudí Komise potenciální dopad plánovaných opatření na trh a uspořádá konzultace s příslušnými zúčastněnými stranami, mimo jiné s Evropskou skupinou pro certifikaci kybernetické bezpečnosti zřízenou nařízením (EU) 2019/881. Při tomto posuzování zohlední připravenost a kapacitu členských států pro uplatňování příslušných evropských schémat certifikace kybernetické bezpečnosti. Pokud nebyl přijat žádný akt v přenesené pravomoci uvedený v prvním pododstavci tohoto odstavce, vztahují se na produkty s digitálními prvky, které mají klíčovou funkci produktové kategorie, jak jsou stanoveny v příloze IV, postupy posuzování shody uvedené v čl. 32 odst. 3.

V aktech v přenesené pravomoci uvedených v prvním pododstavci je stanoveno minimální přechodné šestiměsíční období, není-li ze závažných naléhavých důvodů opodstatněno stanovení kratšího přechodného období.

Komisi je svěřena pravomoc přijímat akty v přenesené pravomoci v souladu s článkem 61 za účelem změny přílohy IV doplněním nebo vynětím kategorií kritických produktů s digitálními prvky. Při určování těchto kategorií kritických produktů s digitálními prvky a požadované úrovně záruky v souladu s odstavcem 1 tohoto článku Komise zohlední kritéria uvedená v čl. 7 odst. 2 a rovněž to, do jaké míry platí alespoň jedno z těchto kritérií:

existuje kritická závislost základních subjektů uvedených v článku 3 směrnice (EU) 2022/2555 na kategorii produktů s digitálními prvky,

incidenty a zneužívané zranitelnosti týkající se kategorie produktů s digitálními prvky mohou vést k vážnému narušení kritických dodavatelských řetězců na celém vnitřním trhu.

Před přijetím těchto aktů v přenesené pravomoci provede Komise posouzení typu uvedené v odstavci 1.

Článek 9

Konzultace se zúčastněnými stranami

Při přípravě opatření pro uplatňování tohoto nařízení Komise vede konzultace s příslušnými zúčastněnými stranami, jako jsou příslušné orgány členských států, podniky ze soukromého sektoru, včetně mikropodniků a malých a středních podniků, komunita zabývající se softwarem s otevřeným zdrojovým kódem, sdružení spotřebitelů, akademická obec a příslušné agentury a subjekty Unie a také odborné skupiny zřízené na úrovni Unie, a zohledňuje jejich názory. Komise případně konzultuje strukturovaným způsobem zejména s těmito zúčastněnými stranami a vyžádá si jejich názory:

při vypracovávání doporučujících pokynů podle článku 26,

při přípravě technických popisů kategorií produktů stanovených v příloze III v souladu s čl. 7 odst. 4, při posuzování nutnosti případné aktualizace seznamu kategorií produktů v souladu s čl. 7 odst. 3 a čl. 8 odst. 2 nebo při posuzování potenciálního dopadu na trh podle čl. 8 odst. 1, aniž je dotčen článek 61;

při provádění přípravných prací za účelem hodnocení a přezkumu tohoto nařízení.

Komise pořádá pravidelné konzultační a informační schůzky, a to nejméně jednou ročně, s cílem získat názory zúčastněných stran uvedených v odstavci 1 na uplatňování tohoto nařízení.

Článek 10

Prohloubení dovedností v oblasti kyberneticky odolného digitálního prostředí

Členské státy, pro účely tohoto nařízení a s cílem reagovat na potřeby odborníků při podpoře uplatňování tohoto nařízení, ve vhodných případech za podpory Komise, Evropského centra kompetencí pro kybernetickou bezpečnost a agentury ENISA a za plného respektování odpovědnosti členských států v oblasti vzdělávání, prosazují opatření a strategie zaměřené na:

rozvoj dovedností v oblasti kybernetické bezpečnosti a vytváření organizačních a technických nástrojů s cílem zajistit dostatečnou dostupnost kvalifikovaných odborníků na podporu činnosti orgánů dozoru nad trhem a subjektů posuzování shody,

prohloubení spolupráce mezi soukromým sektorem, hospodářskými subjekty, mimo jiné prostřednictvím rekvalifikace a prohlubování dovedností zaměstnanců výrobců, a mezi spotřebiteli, poskytovateli odborné přípravy a veřejnou správou, čímž rozšíří možnosti mladých lidí získat přístup k pracovním místům v odvětví kybernetické bezpečnosti.

Článek 11

Obecná bezpečnost produktů

Odchylně od čl. 2 odst. 1 třetího pododstavce písm. b) nařízení (EU) 2023/988 se na produkty s digitálními prvky s ohledem na aspekty a rizika nebo kategorie rizik neupravené tímto nařízením použije oddíl 1 kapitoly III, kapitola V a VII a kapitola IX až XI uvedeného nařízení, pokud se na tyto produkty nevztahují zvláštní požadavky na bezpečnost stanovené v jiných „harmonizačních právních předpisech Unie“ ve smyslu čl. 3 bodu 27 nařízení (EU) 2023/988.

Článek 12

Vysoce rizikové systémy umělé inteligence

Aniž jsou dotčeny požadavky na přesnost a spolehlivost stanovené v článku 15 nařízení (EU) 2024/1689, považují se produkty s digitálními prvky, které spadají do oblasti působnosti tohoto nařízení a jsou klasifikovány jako vysoce rizikové systémy umělé inteligence podle článku 6 uvedeného nařízení, za produkty, které jsou v souladu s požadavky na kybernetickou bezpečnost stanovenými v článku 15 uvedeného nařízení, pokud:

splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I,

postupy zavedené výrobcem splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II a

dosažení takové úrovně ochrany kybernetické bezpečnosti, kterou vyžaduje článek 15 nařízení (EU) 2024/1689, je potvrzeno v EU prohlášení o shodě vydaném podle tohoto nařízení.

U produktů s digitálními prvky a požadavků na kybernetickou bezpečnost podle odstavce 1 tohoto článku se použije příslušný postup posuzování shody stanovený v článku 43 nařízení (EU) 2024/1689. Pro účely tohoto posouzení jsou oznámené subjekty, které jsou příslušné ke kontrole shody vysoce rizikových systémů umělé inteligence podle nařízení (EU) 2024/1689, příslušné rovněž ke kontrole shody vysoce rizikových systémů umělé inteligence, které spadají do oblasti působnosti tohoto nařízení, s požadavky stanovenými v příloze I tohoto nařízení, pokud byl soulad těchto oznámených subjektů s požadavky stanovenými v článku 39 tohoto nařízení posouzen v rámci postupu oznamování podle nařízení (EU) 2024/1689.

Odchylně od odstavce 2 tohoto článku, se na důležité produkty s digitálními prvky uvedené v příloze III tohoto nařízení, na něž se vztahují postupy posuzování shody podle čl. 32 odst. 2 písm. a) a b) a čl. 32 odst. 3 tohoto nařízení, a na kritické produkty s digitálními prvky, jak jsou uvedeny v příloze IV tohoto nařízení, které musejí získat evropský certifikát kybernetické bezpečnosti podle čl. 8 odst. 1 tohoto nařízení, nebo na něž se v opačném případě vztahují postupy posuzování shody uvedené v čl. 32 odst. 3 tohoto nařízení, a které jsou klasifikovány jako vysoce rizikové systémy umělé inteligence podle článku 6 nařízení (EU) 2024/1689 a na něž se vztahuje postup posuzování shody založený na interní kontrole, jak je uvedeno v příloze VI nařízení (EU) 2024/1689, vztahují postupy posuzování shody stanovené v tomto nařízení, pokud jde o základní požadavky na kybernetickou bezpečnost stanovené v tomto nařízení.

Výrobci produktů s digitálními prvky uvedených v odst. 1 tohoto článku se mohou účastnit regulačních sandboxů pro umělou inteligenci, která jsou uvedena v článku 57 nařízení (EU) 2024/1689.

KAPITOLA II

POVINNOSTI HOSPODÁŘSKÝCH SUBJEKTŮ A USTANOVENÍ SOUVISEJÍCÍ SE SVOBODNÝM SOFTWAREM S OTEVŘENÝM ZDROJOVÝM Kódem

Článek 13

Povinnosti výrobců

Při uvádění produktu s digitálními prvky na trh výrobci zajistí, aby byl produkt navržen, vyvinut a vyroben v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I.

Pro účely splnění povinnosti stanovené v odstavci 1 provedou výrobci posouzení kybernetických bezpečnostních rizik spojených s produktem s digitálními prvky a výsledek tohoto posouzení zohlední během fáze plánování, navrhování, vývoje, výroby, dodání a údržby produktu s digitálními prvky s cílem minimalizovat kybernetická bezpečnostní rizika, předcházet incidentům a co nejvíce omezit jejich dopady, a to i v souvislosti se zdravím a bezpečností uživatelů.

Posouzení kybernetických bezpečnostních rizik se během doby podpory stanoveného v souladu s odstavcem 8 tohoto článku zdokumentuje a podle potřeby aktualizuje. Toto posouzení kybernetických bezpečnostních rizik zahrnuje alespoň analýzu kybernetických bezpečnostních rizik založenou na zamýšleném účelu a rozumně předvídatelném použití produktu s digitálními prvky a také na podmínkách jeho použití, jako je provozní prostředí nebo aktiva, která mají být ochráněna, s přihlédnutím k očekávané době používání produktu. Při posuzování kybernetických bezpečnostních rizik se zjistí, zda a pokud ano, jakým způsobem se bezpečnostní požadavky stanovené v příloze I části I bodě 2 vztahují na příslušný produkt s digitálními prvky a jak jsou tyto požadavky na základě posuzování kybernetických bezpečnostních rizik uplatňovány. Uvede se rovněž, jak má výrobce uplatňovat přílohu I část I bod 1 a požadavky na řešení zranitelností stanovené v příloze I části II.

Při uvádění produktu s digitálními prvky na trh zahrne výrobce posouzení kybernetických bezpečnostních rizik uvedené v odstavci 3 tohoto článku do technické dokumentace, jak vyžadují ustanovení článku 31 a přílohy VII. U produktů s digitálními prvky podle článku 12, který se řídí i jinými právními akty Unie, může být posouzení kybernetických bezpečnostních rizik součástí posouzení rizik vyžadovaného těmito právními akty Unie. Pokud se na produkt s digitálními prvky nevztahují určité základní požadavky na kybernetickou bezpečnost, výrobce do této technické dokumentace zahrne jasné odůvodnění.

Pro účely splnění povinnosti stanovené v odstavci 1 musejí výrobci při začleňování komponent pocházejících od třetích stran postupovat s náležitou péčí, aby tyto komponenty nenarušovaly kybernetickou bezpečnost produktu s digitálními prvky, včetně případů začleňování komponent svobodného softwaru s otevřeným zdrojovým kódem, které nebyly dodány na trh v rámci obchodní činnosti.

Po zjištění zranitelnosti v určité komponenty, včetně komponenty s otevřeným zdrojovým kódem, která je začleněna do produktu s digitálními prvky, oznámí výrobci zranitelnost osobě nebo subjektu, který komponentu vyrábí nebo provádí její údržbu, a tuto zranitelnost řeší a sjednají nápravu v souladu s požadavky na řešení zranitelností uvedenými v příloze I části II. Pokud výrobci vyvinuli změnu softwaru nebo hardwaru s cílem řešit zranitelnost této komponenty, poskytnou příslušný kód nebo dokumentaci osobě nebo subjektu, který komponentu vyrábí nebo provádí její údržbu, a to případně ve strojově čitelném formátu.

Výrobci systematicky dokumentují relevantní aspekty kybernetické bezpečnosti týkající se produktů s digitálními prvky, a to způsobem, který je přiměřený povaze a kybernetickým bezpečnostním rizikům, včetně zranitelností, o nichž se dozvědí, a veškerých relevantních informací poskytnutých třetími stranami, a případně aktualizují posouzení kybernetického bezpečnostního rizika produktů.

Při uvádění produktu s digitálními prvky na trh a během doby podpory výrobci zajistí, aby se zranitelnostmi tohoto produktu, včetně zranitelností jeho komponent, bylo nakládáno účinně a v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II.

Výrobci stanoví dobu podpory tak, aby odrážela dobu, po kterou se očekává používání produktu, zejména s přihlédnutím k přiměřeným očekáváním uživatelů, k povaze produktu, včetně jeho zamýšleného účelu, a k příslušnému právu Unie, které určuje životnost produktů s digitálními prvky. Při stanovování doby podpory mohou výrobci rovněž zohlednit dobu podpory produktů s digitálními prvky, které nabízejí podobnou funkci a byly uvedeny na trh jinými výrobci, dostupnost provozního prostředí, dobu podpory začleněných komponent, které zajišťují klíčové funkce a pocházejí od třetích stran, stejně jako příslušné pokyny, které poskytla specializovaná skupina pro správní spolupráci zřízená podle čl. 52 odst. 15 a Komise. Záležitosti, které je třeba vzít v úvahu při stanovován doby podpory, se zohledňují tak, aby byla zajištěna proporcionalita.

Aniž je dotčen druhý pododstavec, trvá doba podpory nejméně pět let. Pokud se očekává, že produkt s digitálními prvky bude používán méně než pět let, odpovídá doba podpory očekávané době použití.

S přihlédnutím k doporučením specializované skupiny pro správní spolupráci podle čl. 52 odst. 16 může Komise přijmout akty v přenesené pravomoci v souladu s článkem 61 za účelem doplnění tohoto nařízení upřesněním minimální doby podpory pro konkrétní kategorie produktů, u nichž údaje v oblasti dozoru nad trhem naznačují, že jejich doby podpory nejsou dostatečné.

Výrobci uvedou informace, které byly zohledněny při stanovování doby podpory produktu s digitálními prvky, v technické dokumentaci, jak je stanovena v příloze VII.

Výrobci mají vhodnou politiku a postupy, včetně politiky koordinovaného zveřejňování zranitelností podle přílohy I části II bodu 5, pro zpracování a nápravu možných zranitelností v produktu s digitálními prvky hlášených z interních nebo externích zdrojů.

Výrobci zajistí, aby každá bezpečnostní aktualizace uvedená v příloze I části II bodě 8, která byla zpřístupněna uživatelům během doby podpory, byla po vydání dále k dispozici po dobu nejméně deseti let, nebo po zbytek doby podpory, podle toho, které z těchto časových období je delší.

10.

Pokud výrobce uvedl na trh další podstatně změněné verze softwarového produktu, může soulad se základním požadavkem na kybernetickou bezpečnost stanoveným v příloze I části II bodě 2 zajistit pouze pro verzi, kterou uvedl na trh jako poslední, za předpokladu, že uživatelé verzí, jež byly uvedeny na trh dříve, mají bezplatný přístup k verzi, která byla uvedena na trh jako poslední, a že jim nevznikají dodatečné náklady na úpravu hardwarového a softwarového prostředí, v němž používají původní verzi tohoto výrobku.

11.

Výrobci mohou vést veřejné softwarové archivy, které rozšiřují přístup uživatelů k předchozím verzím. V takových případech jsou uživatelé snadno přístupným způsobem jasně informováni o rizicích spojených s používáním nepodporovaného softwaru.

12.

Před uvedením produktu s digitálními prvky na trh vypracují výrobci technickou dokumentaci podle článku 31.

Výrobci provedou nebo nechají provést zvolené postupy posuzování shody podle článku 32.

Pokud byl v rámci postupu posuzování shody prokázán soulad produktu s digitálními prvky se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a soulad postupů zavedených výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II, vypracují výrobci EU prohlášení o shodě v souladu s článkem 28 a umístí označení CE v souladu s článkem 30.

13.

Výrobci technickou dokumentaci a EU prohlášení o shodě uchovávají pro potřebu orgánů dozoru nad trhem po dobu nejméně deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší.

14.

Výrobci zajistí, aby byly zavedeny postupy, díky nimž produkty s digitálními prvky, které jsou součástí sériové výroby, zůstanou ve shodě s tímto nařízením. Výrobci náležitě přihlédnou ke změnám ve vývoji a výrobním postupu nebo v návrhu či vlastnostech produktu s digitálními prvky a změnám harmonizovaných norem, evropských schémat certifikace kybernetické bezpečnosti nebo společných specifikací uvedených v článku 27, na jejichž základě se prohlašuje nebo ověřuje shoda produktu s digitálními prvky.

15.

Výrobci zajistí, aby bylo na jejich produktech s digitálními prvky uvedeno číslo typu, šarže nebo série či jiný prvek umožňující jejich identifikaci, nebo pokud to není možné, aby byla tato informace uvedena na obalu nebo v dokumentu přiloženém k produktu s digitálními prvky.

16.

Výrobci na produktu s digitálními prvky, na jeho obalu nebo v dokumentu přiloženém k tomuto produktu uvedou své jméno, zapsaný obchodní název nebo zapsanou ochrannou známku výrobce a poštovní adresu, e-mailovou adresu nebo jiné digitální kontaktní údaje, a případně internetovou stránku, na níž lze výrobce kontaktovat. Tyto údaje jsou obsaženy rovněž v informacích a pokynech pro uživatele stanovených v příloze II. Kontaktní údaje se uvádějí v jazyce snadno srozumitelném uživatelům a orgánům dozoru nad trhem.

17.

Pro účely tohoto nařízení určí výrobci jednotné kontaktní místo, které uživatelům umožní s nimi přímo a rychle komunikovat, mimo jiné s cílem usnadnit oznamování zranitelností produktu s digitálními prvky.

Výrobci zajistí, aby bylo jednotné kontaktní místo pro uživatele snadno identifikovatelné. Jednotné kontaktní místo uvedou také v informacích a pokynech pro uživatele stanovených v příloze II.

Jednotné kontaktní místo uživatelům umožní zvolit si upřednostňované komunikační prostředky a neomezí tyto prostředky na automatizované nástroje.

18.

Výrobci zajistí, aby k produktům s digitálními prvky byly v papírové nebo elektronické podobě přiloženy informace a pokyny pro uživatele stanovené v příloze II. Tyto informace a pokyny jsou poskytnuty v jazyce snadno srozumitelném uživatelům a orgánům dozoru nad trhem. Jsou jasné, srozumitelné, snadno pochopitelné a čitelné. Umožňují bezpečnou instalaci, provoz a používání produktů s digitálními prvky. Výrobci tyto informace a pokyny pro uživatele stanovené v příloze II uchovávají pro potřebu uživatelů a orgánů dozoru nad trhem po dobu nejméně deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší. Pokud jsou tyto informace a pokyny poskytovány online, výrobci zajistí, aby byly přístupné, uživatelsky přívětivé a dostupné online po dobu nejméně deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší.

19.

Výrobci zajistí, aby byl v době nákupu jasně a srozumitelně uveden alespoň měsíc a rok skončení doby podpory stanovené v odstavci 8, snadno přístupným způsobem, a to na produktu s digitálními prvky, případně na jeho obalu nebo digitálními prostředky.

Je-li to s ohledem na povahu produktu s digitálními prvky technicky proveditelné, zobrazí výrobci uživatelům oznámení, kterým je informují o tom, že jejich produktu s digitálními prvky končí doba podpory.

20.

Výrobci k produktu s digitálními prvky přiloží buď kopii EU prohlášení o shodě, nebo zjednodušené EU prohlášení o shodě. Je-li poskytnuto zjednodušené EU prohlášení o shodě, musí obsahovat přesnou internetovou adresu, kde je přístupné celé EU prohlášení o shodě.

21.

Od uvedení na trh a po dobu podpory výrobci, kteří vědí nebo mají důvod se domnívat, že produkt s digitálními prvky nebo postupy zavedené výrobcem nejsou ve shodě se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I, přijmou okamžitě nápravná opatření nezbytná k dosažení shody produktu s digitálními prvky nebo postupů výrobce nebo případně ke stažení produktu z trhu či z oběhu.

22.

Výrobci poskytnou orgánu dozoru nad trhem na základě jeho odůvodněné žádosti v jazyce, kterému tento orgán snadno rozumí, všechny informace a dokumentaci v papírové nebo elektronické podobě nezbytnou k prokázání shody produktu s digitálními prvky a postupů zavedených výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I. Na žádost tohoto orgánu s ním výrobci spolupracují na veškerých opatřeních přijatých k odstranění kybernetických bezpečnostních rizik představovaných produktem s digitálními prvky, který uvedli na trh.

23.

Výrobce, který ukončí svou činnost, a v důsledku toho není schopen dodržovat toto nařízení, informuje před tím, než ukončení činnosti nabude účinku, příslušné orgány dozoru nad trhem a v co největší míře také uživatele příslušných produktů s digitálními prvky uvedené na trh o nadcházejícím ukončení činnosti.

24.

Komise může prostřednictvím prováděcích aktů zohledňujících evropské nebo mezinárodní normy a osvědčené postupy stanovit formát a prvky softwarového kusovníku uvedeného v příloze I části II bodě 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 62 odst. 2.

25.

Za účelem posouzení závislosti členských států a Unie jako celku na softwarových komponentách, a zejména na komponentách, které jsou považovány za svobodný software s otevřeným zdrojovým kódem, se může specializovaná skupina pro správní spolupráci rozhodnout provést celounijní posouzení závislosti u konkrétních kategorií produktů s digitálními prvky. Za tímto účelem mohou orgány dozoru nad trhem požádat výrobce těchto kategorií produktů s digitálními prvky, aby poskytli příslušné softwarové kusovníky uvedené v příloze I části II bodě 1. Na základě těchto informací mohou orgány dozoru nad trhem poskytnout specializované skupině pro správní spolupráci anonymizované souhrnné informace o závislosti na softwaru. Specializovaná skupina pro správní spolupráci předloží zprávu o výsledcích posouzení závislosti skupině pro spolupráci zřízené podle článku 14 směrnice (EU) 2022/2555.

Článek 14

Povinnosti výrobců podávat zprávy

Výrobce každou aktivně zneužívanou zranitelnost obsaženou v produktu s digitálními prvky, o níž se dozví, oznámí současně týmu CSIRT určenému jako koordinátor a agentuře ENISA v souladu s odstavcem 7 tohoto článku. Výrobce tuto aktivně zneužívanou zranitelnost oznámí prostřednictvím jednotné platformy pro podávání zpráv zřízené podle článku 16.

Pro účely oznamování ve smyslu odstavce 1 výrobce předloží:

včasné varování o aktivně zneužívané zranitelnosti, a to bez zbytečného odkladu a v každém případě do 24 hodin od okamžiku, kdy se o ní dozví, případně s uvedením členských států, na jejichž území je podle vědomostí výrobce jeho produkt s digitálními prvky zpřístupněn,

pokud již nebyly poskytnuty příslušné informace, oznámení o zranitelnosti, a to bez zbytečného odkladu a v každém případě do 72 hodin od okamžiku, kdy se o aktivně zneužívané zranitelnosti dozví, které obsahuje dostupné obecné informace o dotčeném produktu s digitálními prvky, o obecné povaze zneužívání a dotčené zranitelnosti, o veškerých přijatých nápravných nebo zmírňujících opatřeních a o nápravných nebo zmírňujících opatřeních, která mohou přijmout uživatelé, a v němž je případně rovněž uvedeno, nakolik výrobce považuje oznámené informace za citlivé,

pokud ještě nebyly příslušné informace poskytnuty, závěrečnou zprávu nejpozději do 14 dnů od okamžiku, kdy začalo být k dispozici nápravné nebo zmírňující opatření, která obsahuje alespoň tyto informace:

popis zranitelnosti, včetně její závažnosti a dopadu,

ii)

případné informace o každém škodlivém aktéru, který zranitelnost zneužil nebo zneužívá,

iii)

podrobné informace o bezpečnostních aktualizacích nebo jiných nápravných opatřeních, které jsou k dispozici k odstranění zranitelnosti.

Výrobce každý závažný incident, který má dopad na bezpečnost produktu s digitálními prvky, o němž se dozví, oznámí v souladu s odstavcem 7 tohoto článku současně týmu CSIRT určenému jako koordinátor a agentuře ENISA. Výrobce tento incident oznámí prostřednictvím jednotné platformy pro podávání zpráv zřízené podle článku 16.

Pro účely oznamování ve smyslu odstavce 3 předloží výrobce:

včasné varování o závažném incidentu, který má dopad na bezpečnost produktu s digitálními prvky, a to bez zbytečného odkladu a v každém případě do 24 hodin od okamžiku, kdy se o něm dozví, včetně alespoň informace, zda existuje podezření, že byl incident způsoben nezákonným nebo škodlivým jednáním, případně také s uvedením členských států, na jejichž území je podle vědomostí výrobce jeho produkt s digitálními prvky zpřístupněn,

pokud již nebyly poskytnuty příslušné informace, oznámení o incidentu, a to bez zbytečného odkladu a v každém případě do 72 hodin od okamžiku, kdy se o incidentu dozví, které obsahuje dostupné obecné informace o povaze incidentu, o počátečním posouzení incidentu, o veškerých přijatých nápravných nebo zmírňujících opatřeních a o nápravných nebo zmírňujících opatřeních, která mohou přijmout uživatelé, a v němž je případně uvedeno, nakolik výrobce považuje oznámené informace za citlivé,

pokud již nebyly poskytnuty příslušné informace, závěrečnou zprávu nejpozději do jednoho měsíce od okamžiku, kdy bylo vydáno oznámení o incidentu podle písmene b), která obsahuje alespoň tyto informace:

podrobný popis incidentu včetně jeho závažnosti a dopadu,

ii)

druh hrozby nebo základní příčinu, která incident pravděpodobně spustila,

iii)

učiněná a probíhající zmírňující opatření.

Pro účely odstavce 3 se incident, který má dopad na bezpečnost produktu s digitálními prvky, považuje za závažný, pokud:

negativně ovlivňuje nebo může negativně ovlivnit schopnost produktu s digitálními prvky chránit dostupnost, autenticitu, integritu nebo důvěrnost citlivých či důležitých dat nebo funkcí; nebo

vedl či může vést k zavedení nebo spuštění škodlivého kódu v produktu s digitálními prvky nebo v síti a informačních systémech uživatele tohoto produktu.

V případě potřeby může tým CSIRT určený jako koordinátor, který obdržel oznámení jako první, výrobce požádat, aby mu poskytli průběžnou zprávu o relevantním vývoji týkajícím se aktivně zneužívané zranitelnosti nebo závažného incidentu, které mají dopad na bezpečnost produktu s digitálními prvky.

Oznámení uvedená v odstavcích 1 a 3 tohoto článku se podávají prostřednictvím jednotné platformy pro podávání zpráv uvedené v článku 16 za použití jednoho z koncových bodů elektronického oznamování uvedených v čl. 16 odst. 1. Oznámení se podává prostřednictvím koncového bodu elektronického oznamování týmu CSIRT určeného jako koordinátor toho členského státu, v němž mají výrobci hlavní provozovnu v Unii, a je současně přístupné agentuře ENISA.

Pro účely tohoto nařízení se má za to, že hlavní provozovnu má výrobce v Unii v tom členském státě, v němž jsou nejčastěji přijímána rozhodnutí týkající se kybernetické bezpečnosti jeho produktů s digitálními prvky. Nelze-li takový členský stát určit, má se za to, že dotčený výrobce má hlavní provozovnu v tom členském státě, v němž má provozovnu s nejvyšším počtem zaměstnanců v Unii.

Pokud výrobce v Unii nemá hlavní provozovnu, podává oznámení uvedená v odstavcích 1 a 3 prostřednictvím koncového bodu elektronického oznamování týmu CSIRT určenému jako koordinátor v členském státě, který je stanoven na základě informací, jež má výrobce k dispozici, a v tomto pořadí:

v členském státě, v němž je usazen zplnomocněný zástupce jednající jménem výrobce pro nejvyšší počet produktů s digitálními prvky tohoto výrobce,

v členském státě, v němž je usazen dovozce uvádějící na trh nejvyšší počet produktů s digitálními prvky tohoto výrobce,

v členském státě, v němž je usazen distributor, který dodává na trh nejvyšší počet produktů s digitálními prvky tohoto výrobce,

v členském státě, v němž se nachází nejvyšší počet uživatelů produktů s digitálními prvky tohoto výrobce.

V souvislosti s třetím pododstavcem písm. d) může výrobce podávat oznámení týkající se jakékoli následné aktivně zneužívané zranitelnosti nebo závažného incidentu, které mají dopad na bezpečnost produktu s digitálními prvky, témuž týmu CSIRT určenému jako koordinátor, jemuž podal prvotní oznámení.

Poté, co se dozví o aktivně zneužívané zranitelnosti nebo závažném incidentu, které mají dopad na bezpečnost produktu s digitálními prvky, výrobce informuje zasažené uživatele produktu s digitálními prvky, a případně všechny uživatele, o této zranitelnosti nebo incidentu; v případě potřeby informuje také o veškerých opatřeních na zmírnění rizik a nápravných opatřeních, která mohou uživatelé zavést ke zmírnění dopadu této zranitelnosti nebo incidentu, a to pokud možno ve strukturovaném, strojově čitelném a snadno automaticky zpracovatelném formátu. Pokud výrobce uživatele produktu s digitálními prvky neinformuje včas, mohou týmy CSIRT určené jako koordinátoři, které obdržely oznámení, tyto informace uživatelům poskytnout, je-li to považováno za přiměřené a nezbytné k předejití nebo zmírnění dopadu této zranitelnosti či incidentu.

Do 11. prosince 2025 přijme Komise akty v přenesené pravomoci v souladu s článkem 61 tohoto nařízení za účelem doplnění tohoto nařízení stanovením podmínek pro uplatňování důvodů souvisejících s kybernetickou bezpečností, pokud jde o odklad rozesílání oznámení podle čl. 16 odst. 2 tohoto nařízení. Komise při vypracovávání návrhu aktů v přenesené pravomoci spolupracuje se sítí CSIRT zřízenou podle článku 15 směrnice (EU) 2022/2555 a s agenturou ENISA.

10.

Komise může prostřednictvím prováděcích aktů dále upřesnit formát a postupy oznamování uvedené v tomto článku a článcích 15 a 16. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 62 odst. 2. Komise při vypracovávání návrhů těchto prováděcích aktů spolupracuje se sítí CSIRT a s agenturou ENISA.

Článek 15

Dobrovolné podávání zpráv

Výrobci i jiné fyzické nebo právnické osoby mohou jakoukoliv zranitelnost produktu s digitálními prvky a rovněž kybernetické hrozby, které by mohly ovlivnit rizikový profil tohoto produktu, dobrovolně oznámit týmu CSIRT určenému jako koordinátor nebo agentuře ENISA.

Výrobci i jiné fyzické nebo právnické osoby mohou týmu CSIRT určenému jako koordinátor nebo agentuře ENISA dobrovolně oznámit každý incident, který má dopad na bezpečnost produktu s digitálními prvky, jakož i významné události, které k takovému incidentu téměř vedly.

Tým CSIRT určený jako koordinátor nebo agentura ENISA zpracuje oznámení uvedená v odstavcích 1 a 2 tohoto článku v souladu s postupem stanoveným v článku 16.

Tým CSIRT určený jako koordinátor může před zpracováním dobrovolných oznámení upřednostnit zpracování povinných oznámení.

Pokud aktivně zneužívanou zranitelnost nebo závažný incident, který má dopad na bezpečnost produktu s digitálními prvky, oznámí v souladu s odstavcem 1 nebo 2 fyzická nebo právnická osoba jiná než výrobce, informuje o tom tým CSIRT určený jako koordinátor bez zbytečného odkladu výrobce.

Tým CSIRT určený jako koordinátor a agentura ENISA zajistí důvěrnost a odpovídající ochranu informací poskytnutých oznamující fyzickou nebo právnickou osobou. Aniž je dotčena prevence, vyšetřování, odhalování a stíhání trestných činů, nesmí vést dobrovolné oznámení vést k tomu, aby oznamující právnické nebo fyzické osobě byly uloženy další povinnosti, které by neměla, pokud by dané oznámení nepodala.

Článek 16

Zřízení jednotné platformy pro podávání zpráv

Pro účely oznámení uvedených v čl. 14 odst. 1 a 3 a čl. 15 odst. 1 a 2 a s cílem zjednodušit povinnosti výrobců podávat zprávy zřídí agentura ENISA jednotnou platformu pro podávání zpráv. Každodenní provoz této platformy řídí a udržuje agentura ENISA. Struktura jednotné platformy pro podávání zpráv umožní členským státům a agentuře ENISA zavést vlastní koncové body elektronického oznamování.

Tým CSIRT určený jako koordinátor, který obdrží oznámení jako první, jej prostřednictvím jednotné platformy pro podávání zpráv neprodleně rozešle týmům CSIRT určeným jako koordinátoři, na jejichž území byl podle informací výrobce produkt s digitálními prvky zpřístupněn.

Za výjimečných okolností, a zejména na žádost výrobce a s ohledem na úroveň citlivosti oznámených informací uvedenou výrobcem podle čl. 14 odst. 2 písm. a) tohoto nařízení, může být rozesílání oznámení z opodstatněných důvodů souvisejících s kybernetickou bezpečností po nezbytně nutnou dobu odloženo, a to i tehdy, když se na zranitelnost vztahuje postup koordinovaného zveřejňování zranitelností podle čl. 12 odst. 1 směrnice (EU) 2022/2555. Pokud se tým CSIRT rozhodne rozesílání oznámení odložit, neprodleně o tomto rozhodnutí informuje agenturu ENISA, odklad zdůvodní a zároveň uvede, kdy bude v souladu s postupem pro rozesílání informací stanoveným v tomto odstavci oznámení rozesílat. Při uplatňování důvodů souvisejících s kybernetickou bezpečností v souvislosti s odkladem rozesílání uvedených oznámení může být týmu CSIRT nápomocna agentura ENISA.

Za zvláště výjimečných okolností, pokud výrobce v oznámení podle čl. 14 odst. 2 písm. b) uvede, že:

oznámená zranitelnost je aktivně zneužívána škodlivým aktérem a podle dostupných informací není zneužívána v žádném jiném členském státě, než je členský stát týmu CSIRT, který byl určen jako koordinátor, jemuž výrobce zranitelnost oznámil,

okamžité další rozesílání oznámení o dané zranitelnosti by pravděpodobně vedlo k poskytnutí informací, jejichž zveřejnění by bylo v rozporu se zásadními zájmy tohoto členského státu, nebo

oznámená zranitelnost představuje bezprostřední vysoké kybernetické bezpečnostní riziko vyplývající z dalšího šíření těchto informací,

jsou agentuře ENISA souběžně zpřístupněny pouze informace o tom, že výrobce podal oznámení, obecné informace o produktu, informace o obecné povaze zneužívání a informace o tom, že byly uvedeny důvody související s bezpečností, a to až do chvíle, než bude dotčeným týmům CSIRT a agentuře ENISA rozesláno úplné oznámení. Pokud se agentura ENISA na základě těchto informací domnívá, že existuje systémové riziko ovlivňující bezpečnost na vnitřním trhu, doporučí týmu CSIRT, který získal oznámení jako první, aby ostatním týmům CSIRT určeným jako koordinátoři i samotné agentuře ENISA zaslal úplné oznámení.

Po obdržení oznámení o aktivně zneužívané zranitelnosti produktu s digitálními prvky nebo o závažném incidentu, který má dopad na bezpečnost produktu s digitálními prvky, poskytnou týmy CSIRT určené jako koordinátoři orgánům dozoru nad trhem ve svých příslušných členských státech oznámené informace nezbytné k tomu, aby orgány dozoru nad trhem mohly plnit své povinnosti podle tohoto nařízení.

Agentura ENISA přijme vhodná a přiměřená technická, provozní a organizační opatření k řízení rizik ohrožujících bezpečnost jednotné platformy pro podávání zpráv a informací předkládaných nebo rozesílaných prostřednictvím jednotné platformy pro podávání zpráv. Každý bezpečnostní incident, který má dopad na jednotnou platformu pro podávání zpráv, oznámí bez zbytečného odkladu síti CSIRT a Komisi.

Agentura ENISA ve spolupráci se sítí CSIRT poskytuje a uplatňuje specifikace technických, provozních a organizačních opatření týkajících se zřízení, údržby a bezpečného provozu jednotné platformy pro podávání zpráv uvedené v odstavci 1, a to včetně alespoň bezpečnostních opatření týkajících se zřízení, provozu a údržby jednotné platformy pro podávání zpráv, jakož i koncových bodů elektronického oznamování zřízených na úrovni členských států týmy CSIRT určenými jako koordinátoři a na úrovni Unie agenturou ENISA, včetně procesních aspektů, a sice s cílem zajistit, aby v případě, že pro oznámenou zranitelnost nejsou k dispozici žádná nápravná ani zmírňující opatření, byly informace o této zranitelnosti poskytovány v souladu s přísnými bezpečnostními protokoly a na základě zásady „vědět jen to nejnutnější“ (need to know).

Pokud byl tým CSIRT určený jako koordinátor upozorněn na aktivně zneužívanou zranitelnost v rámci postupu koordinovaného zveřejňování zranitelností podle čl. 12 odst. 1 směrnice (EU) 2022/2555, může tým CSIRT určený jako koordinátor, který obdržel oznámení jako první, odložit rozesílání příslušného oznámení prostřednictvím jednotné platformy pro podávání zpráv na základě oprávněných důvodů souvisejících s kybernetickou bezpečností na nezbytně nutnou dobu, a to až do okamžiku, než získá souhlas stran zapojených do koordinovaného zveřejňování zranitelností. Tento požadavek nebrání výrobcům v dobrovolném oznamování dané zranitelnosti v souladu s postupem stanoveným v tomto článku.

Článek 17

Další ustanovení týkající se podávání zpráv

Agentura ENISA může Evropské síti styčných organizací pro řešení kybernetických krizí (EU-CyCLONe) zřízené článkem 16 směrnice (EU) 2022/2555 poskytovat informace oznámené podle čl. 14 odst. 1 a 3 a čl. 15 odst. 1 a 2 tohoto nařízení, pokud jsou tyto informace relevantní z hlediska koordinovaného řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí na operativní úrovni. Při určování toho, zda jsou tyto informace relevantní, může agentura ENISA zohlednit technické analýzy provedené sítí CSIRT, jsou-li k dispozici.

Je-li k prevenci nebo ke zmírnění závažného incidentu, který má dopad na bezpečnost produktu s digitálními prvky, nebo k řešení probíhajícího incidentu nezbytná informovanost veřejnosti, nebo pokud je zveřejnění incidentu jinak ve veřejném zájmu, může tým CSIRT určený jako koordinátor v příslušném členském státě po konzultaci s dotčeným výrobcem a případně ve spolupráci s agenturou ENISA o incidentu informovat veřejnost nebo požádat výrobce, aby tak učinil.

Agentura ENISA na základě oznámení obdržených podle čl. 14 odst. 1 a 3 a čl. 15 odst. 1 a 2 tohoto nařízení vypracuje každých 24 měsíců odbornou zprávu o nových trendech týkajících se kybernetických bezpečnostních rizik u produktů s digitálními prvky a předloží ji skupině pro spolupráci zřízené podle článku 14 směrnice (EU) 2022/2555. První z těchto zpráv je nutné předložit do 24 měsíců ode dne, kdy se začaly uplatňovat povinnosti stanovené v čl. 14 odst. 1 a 3. Agentura ENISA zahrne příslušné informace ze svých odborných zpráv do své zprávy o stavu kybernetické bezpečnosti v Unii podle článku 18 směrnice (EU) 2022/2555.

Pouhé oznámení podle čl. 14 odst. 1 a 3 nebo čl. 15 odst. 1 a 2 nepředstavuje pro oznamující subjekt vyšší míru právní odpovědnosti oznamujícího subjektu..

Poté, co je k dispozici bezpečnostní aktualizace nebo jiná forma nápravného či zmírňujícího opatření, přidá agentura ENISA po dohodě s výrobcem dotčeného produktu s digitálními prvky veřejně známou zranitelnost oznámenou podle čl. 14 odst. 1 nebo čl. 15 odst. 1 tohoto nařízení do evropské databáze zranitelností zřízené podle čl. 12 odst. 2 směrnice (EU) 2022/2555.

Týmy CSIRT určené jako koordinátoři poskytují v souvislosti s povinností podávat zprávy podle článku 14 helpdesk podporu výrobcům, a to především těm, kteří naplňují definici mikropodniků nebo malých či středních podniků.

Článek 18

Zplnomocnění zástupci

Výrobce může písemným pověřením jmenovat zplnomocněného zástupce.

Povinnosti stanovené v čl. 13 odst. 1 až 11, čl. 13 odst. 12 prvním pododstavci a čl. 13 odst. 14 nejsou součástí pověření zplnomocněného zástupce.

Zplnomocněný zástupce plní úkoly stanovené v pověření, které obdržel od výrobce. Na vyžádání poskytne kopii pověření orgánům dozoru nad trhem. Pověření musí zplnomocněnému zástupci umožňovat alespoň:

uchovávat EU prohlášení o shodě podle článku 28 a technickou dokumentaci uvedenou v článku 31 pro potřebu orgánů dozoru nad trhem po dobu nejméně deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší,

poskytnout příslušnému orgánu dozoru nad trhem na základě jeho odůvodněné žádosti veškeré informace a dokumentaci nezbytné k prokázání shody produktu s digitálními prvky,

spolupracovat s orgány dozoru nad trhem na jejich žádost při veškerých činnostech, jejichž cílem je odstranit rizika vyvolaná produktem s digitálními prvky, na který se vztahuje pověření zplnomocněného zástupce.

Článek 19

Povinnosti dovozců

Dovozci uvádějí na trh pouze produkty s digitálními prvky, které splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a u nichž jsou postupy zavedené výrobcem v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II.

Před uvedením produktu s digitálními prvky na trh dovozci zajistí, aby:

výrobce provedl příslušné postupy posuzování shody podle článku 32,

výrobce vypracoval technickou dokumentaci,

produkt s digitálními prvky byl opatřen označením CE podle článku 30 a bylo k němu přiloženo EU prohlášení o shodě podle čl. 13 odst. 20 a informace a pokyny pro uživatele stanovené v příloze II v jazyce snadno srozumitelném uživatelům a orgánům dozoru nad trhem,

výrobce splnil požadavky stanovené v čl. 13 odst. 15, 16 a 19.

Pro účely tohoto odstavce musí být dovozci schopni poskytnout nezbytné dokumenty prokazující splnění požadavků stanovených v tomto článku.

Jestliže se dovozce domnívá nebo má důvod se domnívat, že produkt s digitálními prvky nebo postupy zavedené výrobcem nejsou ve shodě s tímto nařízením, neuvede dovozce produkt na trh, dokud u tohoto produktu nebo u postupů zavedených výrobcem nebude dosaženo shody s tímto nařízením. Pokud navíc produkt s digitálními prvky představuje významné kybernetické bezpečnostní riziko, informuje o tom dovozce výrobce a orgány dozoru nad trhem.

Pokud má dovozce důvod se domnívat, že určitý produkt s digitálními prvky může představovat významné kybernetické bezpečnostní riziko s ohledem na rizikové faktory jiné než technické povahy, informuje o tom orgány dozoru nad trhem. Po obdržení takovýchto informací se orgány dozoru nad trhem řídí postupy uvedenými v čl. 54 odst. 2.

Dovozci uvedou na produktu s digitálními prvky nebo na jeho obalu či v dokumentu přiloženém k tomuto produktu své jméno, zapsaný obchodní název nebo zapsanou ochrannou známku, poštovní adresu, e-mailovou adresu nebo jiné digitální kontaktní údaje, a případně internetovou stránku, na níž je lze kontaktovat. Kontaktní údaje se uvádějí v jazyce snadno srozumitelném uživatelům a orgánům dozoru nad trhem.

Dovozci, kteří vědí nebo mají důvod se domnívat, že produkt s digitálními prvky, který uvedli na trh, není v souladu s tímto nařízením, přijmou okamžitě nápravná opatření nezbytná k zajištění toho, aby byl produkt s digitálními prvky uveden do souladu s tímto nařízením, nebo aby byl v případě potřeby stažen z trhu či z oběhu.

Poté, co se dovozci dozvědí o zranitelnosti produktu s digitálními prvky, informují o této zranitelnosti bez zbytečného odkladu výrobce. Dále, pokud produkt s digitálními prvky představuje významné kybernetické bezpečnostní riziko, informují o tom dovozci neprodleně orgány dozoru nad trhem v členských státech, v nichž produkt s digitálními prvky dodali na trh, a uvedou podrobnosti, zejména o nesouladu a o přijatých nápravných opatřeních.

Dovozci po dobu alespoň deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší, uchovávají kopii EU prohlášení o shodě pro potřebu orgánů dozoru nad trhem a zajišťují, aby těmto orgánům mohla být na žádost předložena technická dokumentace.

Dovozci poskytnou orgánu dozoru nad trhem na základě jeho odůvodněné žádosti všechny informace a dokumentaci v tištěné nebo elektronické podobě, které jsou nezbytné k prokázání shody produktu s digitálními prvky se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I, jakož i shody postupů zavedených výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II, a to v jazyce snadno srozumitelném tomuto orgánu. Spolupracují s tímto orgánem na jeho žádost na veškerých opatřeních přijatých k odstranění kybernetických bezpečnostních rizik představovaných produktem s digitálními prvky, který uvedli na trh.

Pokud se dovozce produktu s digitálními prvky dozví, že výrobce tohoto produktu ukončil svou činnost, a v důsledku toho není schopen splnit povinnosti stanovené v tomto nařízení, informuje o této situaci příslušné orgány dozoru nad trhem a jakýmikoli dostupnými prostředky a v co největší míře také uživatele produktů s digitálními prvky uváděných na trh.

Článek 20

Povinnosti distributorů

Při dodávání produktu s digitálními prvky na trh distributoři jednají s řádnou péčí, pokud jde o požadavky stanovené v tomto nařízení.

Před dodáním produktu s digitálními prvky na trh dovozci ověří, že:

produkt s digitálními prvky je opatřen označením CE,

výrobce a dovozce splnili povinnosti uvedené v čl. 13 odst. 15, 16, 18, 19 a 20 a čl. 19 odst. 4 a předali veškeré nezbytné dokumenty distributorovi.

Jestliže se distributor na základě informací, které má k dispozici, domnívá nebo má důvod se domnívat, že produkt s digitálními prvky nebo postupy zavedené výrobcem nejsou ve shodě se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I, nesmí dodat produkt s digitálními prvky na trh, dokud tento produkt nebo postupy zavedené výrobcem nedosáhnou shody s tímto nařízením. Pokud navíc produkt s digitálními prvky představuje významné kybernetické bezpečnostní riziko, informuje o tom distributor bez zbytečného odkladu výrobce a orgány dozoru nad trhem.

Distributoři, kteří na základě informací, jež mají k dispozici, vědí nebo mají důvod se domnívat, že produkt s digitálními prvky, který dodali na trh, nebo postupy zavedené jeho výrobcem nejsou ve shodě s tímto nařízením, zajistí, aby byla přijata nápravná opatření nezbytná k tomu, aby produkt s digitálními prvky nebo postupy zavedené jeho výrobcem dosáhly shody, nebo případně ke stažení tohoto produktu z trhu nebo z oběhu.

Poté, co se dozvědí o zranitelnosti produktu s digitálními prvky, informují distributoři o této zranitelnosti bez zbytečného odkladu výrobce. Dále, pokud produkt s digitálními prvky představuje významné kybernetické bezpečnostní riziko, informují o tom distributoři neprodleně orgány dozoru nad trhem členských států, v nichž produkt s digitálními prvky dodali na trh, a uvedou podrobnosti, zejména o nesouladu a o přijatých nápravných opatřeních.

Distributoři poskytnou orgánu dozoru nad trhem na základě jeho odůvodněné žádosti všechny informace a dokumentaci v tištěné nebo elektronické podobě, které jsou nezbytné k prokázání shody produktu s digitálními prvky a postupů zavedených jeho výrobcem s tímto nařízením, a to v jazyce snadno srozumitelném tomuto orgánu. Spolupracují s tímto orgánem na jeho žádost na veškerých opatřeních přijatých k odstranění kybernetických bezpečnostních rizik představovaných produktem s digitálními prvky, který dodali na trh.

Pokud distributor produktu s digitálními prvky na základě informací, které má k dispozici, zjistí, že výrobce tohoto produktu ukončil svou činnost, a v důsledku toho není schopen splnit povinnosti stanovené v tomto nařízení, informuje o této situaci bez zbytečného odkladu příslušné orgány dozoru nad trhem a jakýmikoli dostupnými prostředky a v co největší míře také uživatele produktů s digitálními prvky uváděných na trh.

Článek 21

Případy, kdy se povinnosti výrobců vztahují na dovozce a distributory

Dovozce nebo distributor je pro účely tohoto nařízení považován za výrobce a vztahují se na něj ustanovení článku 13 a 14, pokud tento dovozce nebo distributor uvede na trh produkt s digitálními prvky pod svým jménem nebo pod svou ochrannou známkou nebo provede podstatnou změnu produktu s digitálními prvky, který již byl na trh uveden.

Článek 22

Ostatní případy, na něž se vztahují povinnosti výrobců

Fyzická nebo právnická osoba jiná než výrobce, dovozce nebo distributor, která provádí podstatnou změnu produktu s digitálními prvky a dodává tento produkt na trh, se pro účely tohoto nařízení považuje za výrobce.

Na osobu uvedenou v odstavci 1 tohoto článku se vztahují povinnosti stanovené v článku 13 a 14, ohledně části produktu s digitálními prvky, která je touto podstatnou změnou ovlivněna, nebo jestliže má tato podstatná změna dopad na kybernetickou bezpečnost produktu s digitálními prvky jako celku, ohledně celého produktu.

Článek 23

Identifikace hospodářských subjektů

Hospodářské subjekty poskytnou orgánům dozoru nad trhem na žádost následující informace:

jméno a adresu každého hospodářského subjektu, který jim dodal produkt s digitálními prvky,

název a adresu každého hospodářského subjektu, kterému dodaly produkt s digitálními prvky, jsou-li k dispozici.

Hospodářské subjekty musejí být schopny poskytnout informace uvedené v odstavci 1 po dobu deseti let poté, co jim byl produkt s digitálními prvky dodán, a po dobu deseti let poté, co produkt s digitálními prvky dodaly.

Článek 24

Povinnosti správců softwaru s otevřeným zdrojovým kódem

Správci softwaru s otevřeným zdrojovým kódem zavedou a ověřitelným způsobem zdokumentují politiku kybernetické bezpečnosti, která podporuje vývoj bezpečného produktu s digitálními prvky a efektivní řešení zranitelností vývojáři daného produktu. Tato politika podporuje také dobrovolné hlášení zranitelností vývojáři daného produktu, jak je stanoveno v článku 15, a zohledňuje specifickou povahu správce softwaru s otevřeným zdrojovým kódem a právní a organizační opatření, která se na něj vztahují. Tato politika zahrnuje především aspekty související s dokumentací, řešením a odstraňováním zranitelností a podporuje sdílení informací týkajících se zjištěných zranitelností v rámci komunity zabývající se vývojem softwaru s otevřeným zdrojovým kódem.

Správci softwaru s otevřeným zdrojovým kódem spolupracují, jsou-li o to požádáni, s orgány dozoru nad trhem na zmírnění kybernetických bezpečnostních rizik, která představuje produkt s digitálními prvky považovaný za svobodný software s otevřeným zdrojovým kódem.

Na základě odůvodněné žádosti orgánu dozoru nad trhem poskytnou správci softwaru s otevřeným zdrojovým kódem tomuto orgánu dokumentaci uvedenou v odstavci 1, a to v tištěné nebo elektronické podobě a v jazyce, který je pro něj snadno srozumitelný.

Povinnosti stanovené v čl. 14 odst. 1 se na správce softwaru s otevřeným zdrojovým kódem uplatní do té míry, do jaké jsou zapojeni do vývoje produktů s digitálními prvky. Povinnosti stanovené v čl. 14 odst. 3 a 8 se na správce softwaru s otevřeným zdrojovým kódem uplatní do té míry, do jaké závažné incidenty s dopadem na bezpečnost produktů s digitálními prvky ovlivňují síť a informační systémy poskytované správci softwaru s otevřeným zdrojovým kódem k vývoji takových produktů.

Článek 25

Potvrzení o bezpečnosti svobodného softwaru s otevřeným zdrojovým kódem

S cílem usnadnit plnění povinnosti náležité péče stanovené v čl. 13 odst. 5, zejména pokud jde o výrobce, kteří do svých produktů s digitálními prvky začleňují komponenty sestávající ze svobodného softwaru s otevřeným zdrojovým kódem, je Komisi svěřena pravomoc přijímat akty v přenesené pravomoci v souladu s článkem 61 za účelem doplnění tohoto nařízení zavedením programů dobrovolného potvrzení o bezpečnosti, které vývojářům nebo uživatelům produktů s digitálními prvky považovaných za svobodný software s otevřeným zdrojovým kódem a dalším třetím stranám umožní posoudit shodu těchto produktů se všemi nebo některými základními požadavky na kybernetickou bezpečnost či jinými povinnostmi stanovenými v tomto nařízení.

Článek 26

Pokyny

S cílem usnadnit důsledné uplatňování tohoto nařízení zveřejní Komise doporučující pokyny, které hospodářským subjektům pomohou s jeho uplatňováním, a to zejména s důrazem na usnadnění jeho dodržování mikropodnikům a malým a středním podnikům.

Pokud má Komise v úmyslu poskytnout pokyny podle odstavce 1, bude se zabývat přinejmenším následujícími aspekty:

oblastí působnosti tohoto nařízení se zvláštním důrazem na řešení pro zpracování dat na dálku a na svobodný software s otevřeným zdrojovým kódem,

používáním doby podpory ve vztahu k určitým kategoriím produktů s digitálními prvky,

pokyny pro výrobce, na které se vztahuje toto nařízení i jiné harmonizační právní předpisy Unie, než je toto nařízení, či další související právní akty Unie,

koncepcí podstatné změny.

Komise rovněž vede snadno přístupný seznam aktů v přenesené pravomoci a prováděcích aktů přijatých podle tohoto nařízení.

Při přípravě pokynů podle tohoto článku Komise vede konzultace s příslušnými zúčastněnými stranami.

KAPITOLA III

SHODA PRODUKTU S DIGITÁLNÍMI PRVKY

Článek 27

Předpoklad shody

Předpokládá se, že produkty s digitálními prvky a postupy zavedené výrobcem, které jsou ve shodě s harmonizovanými normami nebo jejich částmi, na něž byly zveřejněny odkazy v Úředním věstníku Evropské unie, jsou ve shodě se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I, na které se tyto normy nebo jejich části vztahují.

Komise v souladu s čl. 10 odst. 1 nařízení (EU) č. 1025/2012 požádá jednu nebo více evropských normalizačních organizací o vypracování harmonizovaných norem pro základní požadavky na kybernetickou bezpečnost stanovené v příloze I tohoto nařízení. Při přípravě žádosti o normalizaci pro účely tohoto nařízení usiluje Komise o zohlednění stávajících evropských nebo mezinárodních norem pro kybernetickou bezpečnost, které byly zavedeny nebo jsou vyvíjeny, s cílem zjednodušit vypracování harmonizovaných norem, v souladu s nařízením (EU) č. 1025/2012.

Komise může přijmout prováděcí akty, jimiž stanoví společné specifikace týkající se technických požadavků, které představují prostředek ke splnění základních požadavků na kybernetickou bezpečnost stanovených v příloze I u produktů s digitálními prvky spadajících do oblasti působnosti tohoto nařízení.

Tyto prováděcí akty se přijmou, pouze pokud jsou splněny tyto podmínky:

Komise podle čl. 10 odst. 1 nařízení (EU) č. 1025/2012 požádala jednu nebo více evropských normalizačních organizací o vypracování harmonizované normy pro základní požadavky na kybernetickou bezpečnost stanovené v příloze I a:

tato žádost nebyla přijata,

ii)

harmonizované normy, kterých se žádost týkala, nebyly dodány ve lhůtě stanovené v souladu s čl. 10 odst. 1 nařízení (EU) č. 1025/2012, nebo

iii)

harmonizované normy neodpovídají žádosti a

v Úředním věstníku Evropské unie nebyl v souladu s nařízením (EU) č. 1025/2012 zveřejněn odkaz na harmonizované normy, které se vztahují na příslušné základní požadavky na kybernetickou bezpečnost stanovené v příloze I tohoto nařízení, ani se neočekává, že takový odkaz bude v přiměřené lhůtě zveřejněn.

Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 62 odst. 2.

Před vypracováním návrhu prováděcího aktu podle odstavce 2 tohoto článku informuje Komise výbor uvedený v článku 22 nařízení (EU) č. 1025/2012 o tom, že se domnívá, že podmínky uvedené v odstavci 2 tohoto článku byly splněny.

Při vypracovávání návrhu prováděcího aktu podle odstavce 2 zohlední Komise stanoviska příslušných subjektů a vede řádné konzultace se všemi příslušnými zúčastněnými stranami.

Předpokládá se, že produkty s digitálními prvky a postupy zavedené výrobcem, které jsou ve shodě se společnými specifikacemi stanovenými v prováděcích aktech uvedených v odstavci 2 tohoto článku, nebo s jejich částmi, splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I, na které se vztahují tyto společné specifikace nebo jejich části.

Pokud je harmonizovaná norma přijata evropskou normalizační organizací a předložena Komisi ke zveřejnění odkazu na ni v Úředním věstníku Evropské unie, posoudí Komise tuto harmonizovanou normu v souladu s nařízením (EU) č. 1025/2012. Je-li odkaz na harmonizovanou normu zveřejněn v Úředním věstníku Evropské unie, Komise zruší prováděcí akty uvedené v odstavci 2 tohoto článku nebo jejich části, které se týkají stejných základních požadavků na kybernetickou bezpečnost jako požadavky uvedené v této harmonizované normě.

Pokud se členský stát domnívá, že společná specifikace zcela nesplňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I, uvědomí o tom Komisi prostřednictvím podrobného vysvětlení. Komise toto podrobné vysvětlení posoudí a v odůvodněném případě může prováděcí akt, kterým se daná společná specifikace stanovuje, změnit.

Předpokládá se, že produkty s digitálními prvky a postupy zavedené výrobcem, pro něž bylo vydáno EU prohlášení o shodě nebo certifikát v rámci evropského schématu certifikace kybernetické bezpečnosti přijatého podle nařízení (EU) 2019/881, jsou ve shodě se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I, pokud se na tyto požadavky vztahuje EU prohlášení o shodě nebo evropský certifikát kybernetické bezpečnosti či jeho části.

Komisi je za účelem doplnění tohoto nařízení svěřena pravomoc přijímat akty v přenesené pravomoci v souladu s článkem 61 tohoto nařízení, jimiž upřesní evropská schémata certifikace kybernetické bezpečnosti přijatá podle nařízení (EU) 2019/881, která lze použít k prokázání shody produktů s digitálními prvky se základními požadavky na kybernetickou bezpečnost nebo jejich částmi stanovenými v příloze I tohoto nařízení. Vydání evropského certifikátu kybernetické bezpečnosti vydaného v rámci těchto schémat alespoň na úrovni záruky „významná“ dále ruší povinnost výrobce nechat provést posouzení shody třetí stranou pro účely příslušných požadavků, jak je stanoveno v čl. 32 odst. 2 písm. a) a b) a čl. 32 odst. 3 písm. a) a b) tohoto nařízení.

Článek 28

EU prohlášení o shodě

EU prohlášení o shodě vypracují výrobci v souladu s čl. 13 odst. 12 a je v něm uvedeno, že bylo prokázáno splnění příslušných základních požadavků na kybernetickou bezpečnost stanovených v příloze I.

EU prohlášení o shodě je vypracováno podle vzoru uvedeného v příloze V a obsahuje prvky stanovené v příslušných postupech posuzování shody stanovených v příloze VIII. Toto prohlášení je podle potřeby aktualizováno. Prohlášení je k dispozici v jazycích požadovaných členským státem, v němž je produkt s digitálními prvky uváděn nebo dodáván na trh.

Zjednodušené EU prohlášení o shodě podle čl. 13 odst. 20 se vypracuje podle vzoru uvedeného v příloze VI. Je k dispozici v jazycích požadovaných členským státem, v němž je produkt s digitálními prvky uváděn nebo dodáván na trh.

Pokud se na produkt s digitálními prvky vztahuje více než jeden právní akt Unie vyžadující EU prohlášení o shodě, vypracuje se pro všechny tyto právní akty Unie jediné EU prohlášení o shodě. V prohlášení se uvedou dotčené právní akty Unie, včetně odkazů na jejich zveřejnění.

Vypracováním EU prohlášení o shodě přebírá výrobce odpovědnost za soulad produktu s digitálními prvky s příslušnými požadavky.

Komisi je svěřena pravomoc přijímat akty v přenesené pravomoci v souladu s článkem 61 za účelem doplnění tohoto nařízení přidáním dalších prvků k minimálnímu obsahu EU prohlášení o shodě stanoveného v příloze V s cílem zohlednit technický vývoj.

Článek 29

Obecné zásady, kterými se řídí označení CE

Označení CE podléhá obecným zásadám uvedeným v článku 30 nařízení (ES) č. 765/2008.

Článek 30

Pravidla a podmínky pro umístění označení CE

Označení CE se umístí viditelně, čitelně a nesmazatelně na produkt s digitálními prvky. Pokud to vzhledem k povaze produktu s digitálními prvky není možné nebo opodstatněné, umístí se označení CE na obal a na EU prohlášení o shodě podle článku 28, které je přiloženo k produktu s digitálními prvky. U produktů s digitálními prvky, které jsou ve formě softwaru, se označení CE umístí buď na EU prohlášení o shodě podle článku 28, nebo na internetové stránky doprovázející softwarový produkt. V druhém případě musí být příslušná část internetové stránky snadno a přímo přístupná spotřebitelům.

Vzhledem k povaze produktu s digitálními prvky může být výška označení CE umístěného na produkt s digitálními prvky menší než 5 mm za předpokladu, že označení zůstane viditelné a čitelné.

Označení CE se umístí před uvedením produktu s digitálními prvky na trh. Za označením může následovat piktogram nebo jakákoli jiná značka označující zvláštní kybernetické bezpečnostní riziko nebo použití stanovené v prováděcích aktech podle odstavce 6.

Za označením CE následuje identifikační číslo oznámeného subjektu, je-li tento subjekt zapojen do postupu posuzování shody založeného na komplexním zabezpečování kvality (na základě modulu H) podle článku 32.

Identifikační číslo oznámeného subjektu umístí sám subjekt, nebo jej umístí podle jeho pokynů výrobce či zplnomocněný zástupce výrobce.

Členské státy vycházejí ze stávajících mechanismů, aby zajistily řádné uplatňování režimu označování CE, a přijmou vhodná opatření v případě nesprávného použití tohoto označení. Pokud se na produkt s digitálními prvky vztahují jiné harmonizační právní předpisy Unie, než je toto nařízení, které rovněž stanovují umístění označení CE, pak se v tomto označení uvede, že produkt splňuje také požadavky stanovené v těchto jiných harmonizačních právních předpisech Unie.

Komise může prostřednictvím prováděcích aktů stanovit technické specifikace pro označování, piktogramy nebo jakékoli jiné značky týkající se bezpečnosti produktů s digitálními prvky, dobu jejich podpory a mechanismy na podporu jejich používání a na zvýšení informovanosti veřejnosti o bezpečnosti produktů s digitálními prvky. Při vypracovávání návrhů prováděcích aktů vede Komise konzultace s příslušnými zúčastněnými stranami a se specializovanou skupinou pro správní spolupráci, pokud již byla zřízena podle čl. 52 odst. 15. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 62 odst. 2.

Článek 31

Technická dokumentace

Technická dokumentace musí obsahovat všechny příslušné údaje nebo podrobné informace o prostředcích, které výrobce použil k zajištění toho, aby produkt s digitálními prvky a postupy zavedené výrobcem byly v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I. Technická dokumentace obsahuje alespoň prvky stanovené v příloze VII.

Technická dokumentace se vypracuje před uvedením produktu s digitálními prvky na trh a ve vhodných případech je průběžně aktualizována přinejmenším během doby podpory.

Pro produkty s digitálními prvky podle článku 12, které se řídí i jinými právními akty Unie, které se zabývají technickou dokumentaci, se vypracuje jediný soubor technické dokumentace obsahující informace podle přílohy VII a informace požadované těmito právními akty Unie.

Technická dokumentace a korespondence týkající se jakéhokoli postupu posuzování shody se vypracuje v úředním jazyce členského státu, v němž je oznámený subjekt usazen, nebo v jazyce pro tento subjekt přijatelném.

Komisi je svěřena pravomoc přijímat akty v přenesené pravomoci v souladu s článkem 61 za účelem doplnění tohoto nařízení přidáním prvků, které mají být zahrnuty do technické dokumentace stanovené v příloze VII, s cílem zohlednit technický vývoj i vývoj při uplatňování tohoto nařízení. Komise se za tímto účelem snaží zajistit, aby byla administrativní zátěž pro mikropodniky a malé a střední podniky přiměřená.

Článek 32

Postupy posuzování shody u produktů s digitálními prvky

Výrobce provede posouzení shody produktu s digitálními prvky a postupů, které zavedl, s cílem určit, zda jsou splněny základní požadavky na kybernetickou bezpečnost stanovené v příloze I. Výrobce prokazuje shodu se základními požadavky na kybernetickou bezpečnost v rámci některého z těchto postupů:

postupu interní kontroly (na základě modulu A) stanoveného v příloze VIII,

EU přezkoušení typu (na základě modulu B) podle přílohy VIII, po kterém následuje shoda s EU typem založená na interním řízení výroby (na základě modulu C) podle přílohy VIII,

posuzování shody založeného na komplexním zabezpečování kvality (na základě modulu H) podle přílohy VIII, nebo

případně, pokud je k dispozici, evropského schématu certifikace kybernetické bezpečnosti podle čl. 27 odst. 9.

Pokud při posuzování souladu důležitého produktu s digitálními prvky, který spadá do třídy I podle přílohy III, a postupů zavedených jeho výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I výrobce nepoužil harmonizované normy, společné specifikace nebo evropská schémata certifikace kybernetické bezpečnosti alespoň na úrovni záruky „významná“ podle článku 27, nebo je použil pouze částečně, nebo jestliže takové harmonizované normy, společné specifikace nebo evropská schémata certifikace kybernetické bezpečnosti neexistují, použije se na dotčený produkt s digitálními prvky a na postupy zavedené výrobcem s ohledem na tyto základní požadavky na kybernetickou bezpečnost kterýkoliv z těchto postupů:

EU přezkoušení typu (na základě modulu B) podle přílohy VIII, po kterém následuje shoda s EU typem založená na interním řízení výroby (na základě modulu C) podle přílohy VIII, nebo

posuzování shody založené na komplexním zabezpečování kvality (na základě modulu H) podle přílohy VIII.

Pokud je produkt důležitým produktem s digitálními prvky, který spadá do třídy II podle přílohy III, výrobce prokáže shodu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I v rámci některého z těchto postupů:

EU přezkoušení typu (na základě modulu B) podle přílohy VIII, po kterém následuje shoda s EU typem založená na interním řízení výroby (na základě modulu C) podle přílohy VIII,

posuzování shody založeného na komplexním zabezpečování kvality (na základě modulu H) podle přílohy VIII, nebo

případně, pokud je k dispozici, evropského schématu certifikace kybernetické bezpečnosti uvedeného v čl. 27 odst. 9 tohoto nařízení alespoň na úrovni záruky „významná“ podle nařízení (EU) 2019/881.

U kritických produktů s digitálními prvky uvedených v příloze IV se prokazuje shoda se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I v rámci jednoho z těchto postupů:

evropského schématu certifikace kybernetické bezpečnosti podle čl. 8 odst. 1, nebo

pokud nejsou splněny podmínky v čl. 8 odst. 1, některého z postupů uvedených v odst. 3 tohoto článku.

Výrobci produktů s digitálními prvky považovaných za svobodný software s otevřeným zdrojovým kódem, které patři do kategorií uvedených v příloze III, mají možnost prokázat shodu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I v rámci jednoho z postupů uvedených v odst. 1 tohoto článku za předpokladu, že je v okamžiku uvedení těchto produktů na trh zpřístupněna veřejnosti technická dokumentace uvedená v článku 31.

Při stanovování poplatků za posuzování shody se vezmou v úvahu specifické zájmy a potřeby mikropodniků a malých a středních podniků, včetně začínajících podniků, a tyto poplatky se přiměřeně k jejich specifickým zájmům a potřebám sníží.

Článek 33

Podpůrná opatření pro mikropodniky a malé a střední podniky, včetně začínajících podniků

Členské státy ve vhodných případech přijmou opatření upravená pro potřeby mikropodniků a malých podniků, kterými:

zajistí konkrétní osvětovou a školicí činnost týkající se uplatňování tohoto nařízení,

zřídí vyhrazený kanál pro komunikaci s mikropodniky a malými podniky a případně s místními orgány veřejné správy s cílem poskytovat poradenství a reagovat na dotazy ohledně provádění tohoto nařízení,

podpoří činnost v oblasti testování a posuzování shody, případně s podporou Evropského centra kompetencí pro kybernetickou bezpečnost.

Členské státy mohou případně vytvořit regulační sandboxy pro kybernetickou odolnost. Tyto regulační sandboxy představují kontrolované testovací prostředí pro inovativní produkty s digitálními prvky, které by mělo usnadnit jejich vývoj, návrh, validaci a testování pro účely souladu s tímto nařízením po omezenou dobu před jejich uvedením na trh. Komise a případně agentura ENISA může poskytnout technickou podporu, poradenství a nástroje k vytvoření a provozování regulačních sandboxů. Regulační sandboxy se zřizují pod přímým dohledem orgánů dozoru nad trhem, podle jejich pokynů a s jejich podporou. Členské státy informují Komisi a ostatní orgány dozoru nad trhem o zřízení regulačního sandboxu prostřednictvím specializované skupiny pro správní spolupráci. Regulační sandboxy nesmějí mít vliv na pravomoci příslušných orgánů v oblasti dozoru a nápravy. Členské státy zajistí otevřený, spravedlivý a transparentní přístup k regulačním sandboxům, zejména snadnější přístup mikropodniků a malých podniků, včetně začínajících podniků.

V souladu s článkem 26 poskytne Komise doporučující pokyny mikropodnikům a malým a středním podnikům v oblasti uplatňování tohoto nařízení.

Komise bude informovat o dostupné finanční podpoře v regulačním rámci stávajících programů Unie, zejména s cílem snížit finanční zátěž mikropodniků a malých podniků.

Mikropodniky a malé podniky mohou poskytnout veškeré prvky technické dokumentace uvedené v příloze VII ve zjednodušeném formátu. Pro tento účel Komise prostřednictvím prováděcích aktů upřesní zjednodušený formulář technické dokumentace zaměřený na potřeby mikropodniků a malých podniků, včetně toho, jak mají být poskytnuty prvky uvedené v příloze VII. V případě, že se mikropodnik nebo malý podnik rozhodne poskytnout informace stanovené v příloze VII ve zjednodušeném formátu, použije formulář uvedený v tomto odstavci. Oznámené subjekty tento formulář přijmou pro účely posouzení shody.

Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 62 odst. 2.

Článek 34

Dohody o vzájemném uznávání

S ohledem na úroveň technického vývoje a na přístup k posuzování shody v případě třetích zemí může Unie v zájmu podpory a usnadnění mezinárodního obchodu uzavřít se třetími zeměmi dohody o vzájemném uznávání podle článku 218 Smlouvy o fungování EU.

KAPITOLA IV

OZNAMOVÁNÍ SUBJEKTŮ POSUZOVÁNÍ SHODY

Článek 35

Oznámení

Členské státy oznámí Komisi a ostatním členským státům subjekty, které jsou oprávněny vykonávat posuzování shody podle tohoto nařízení.

Členské státy usilují o zajištění toho, aby do 11. prosince 2026 existoval v Unii dostatečný počet oznámených subjektů k provádění posuzování shody, aby nedocházelo překážkám a problémům, které by bránily vstupu na trh.

Článek 36

Oznamující orgány

Každý členský stát jmenuje oznamující orgán odpovědný za stanovení a provádění postupů nezbytných pro posuzování, jmenování a oznamování subjektů posuzování shody a za jejich monitorování, včetně souladu s článkem 41.

Členské státy mohou rozhodnout, že posuzování a kontrolu podle odstavce 1 provádí vnitrostátní akreditační orgán ve smyslu nařízení (ES) č. 765/2008 a v souladu s ním.

Pokud oznamující orgán přenese posuzování, oznamování nebo kontrolu podle odstavce 1 tohoto článku na subjekt, který není orgánem veřejné správy, nebo tomuto subjektu svěří plnění uvedených úkolů jiným způsobem, musí být tento subjekt právnickou osobou a musí splňovat požadavky článku 37 obdobně. Tento subjekt musí dále přijmout opatření, aby byla pokryta odpovědnost vyplývající z jeho činnosti.

Oznamující orgán nese za úkoly vykonávané subjektem uvedeným v odstavci 3 plnou odpovědnost.

Článek 37

Požadavky týkající se oznamujících orgánů

Oznamující orgán musí být zřízen takovým způsobem, aby nedošlo ke střetu zájmů se subjekty posuzování shody.

Oznamující orgán je organizován a funguje tak, aby byla chráněna objektivita a nestrannost jeho činnosti.

Oznamující orgán je organizován takovým způsobem, aby každé rozhodnutí týkající se oznámení subjektu posuzování shody bylo přijato odborně způsobilými osobami jinými než osobami, které provedly posouzení.

Oznamující orgán nenabízí ani nezajišťuje žádnou činnost, kterou provádějí subjekty posuzování shody, ani neposkytuje poradenské služby na komerčním či konkurenčním základě.

Oznamující orgán chrání důvěrnost informací, které obdržel.

Oznamující orgán má k dispozici dostatečný počet odborně způsobilých pracovníků, aby mohl řádně vykonávat své úkoly.

Článek 38

Informační povinnost oznamujících orgánů

Členské státy informují Komisi o svých postupech pro posuzování a oznamování subjektů posuzování shody a kontrolu oznámených subjektů a o veškerých změnách týkajících se těchto postupů.

Komise informace uvedené v odstavci 1 zveřejní.

Článek 39

Požadavky týkající se oznámených subjektů

Pro účely oznámení musí subjekt posuzování shody splňovat požadavky stanovené v odstavcích 2 až 12.

Subjekt posuzování shody musí být zřízen podle vnitrostátního práva a mít právní subjektivitu.

Subjekt posuzování shody musí být třetí stranou nezávislou na organizaci nebo produktu s digitálními prvky, které posuzuje.

Za subjekt, který je třetí stranou, může být považován subjekt patřící k hospodářskému sdružení nebo profesnímu svazu, které zastupují podniky zapojené do projektování, vývoje, výroby, dodávání, montáže, používání nebo údržby produktů s digitálními prvky, které tento subjekt posuzuje, pokud je prokázána jeho nezávislost a neexistence jakéhokoli střetu zájmů.

Subjekt posuzování shody, jeho nejvyšší vedení a pracovníci odpovědní za vykonávání úkolů posuzování shody nesmějí být osobami, které projektují, vyvíjejí, vyrábějí, dodávají, dovážejí, distribuují, instalují, nakupují, vlastní, používají nebo udržují produkty s digitálními prvky, které posuzují, ani zplnomocněnými zástupci kterékoli z těchto stran. To nevylučuje používání posuzovaných produktů, které jsou nezbytné pro činnost subjektu posuzování shody, ani používání takových produktů k osobním účelům.

Subjekt posuzování shody, jeho nejvyšší vedení a pracovníci odpovědní za vykonávání úkolů posuzování shody se nesmějí přímo podílet na projektování, vývoji, výrobě, dovozu, distribuci, nabízení, instalaci, používání ani údržbě produktů s digitálními prvky, které posuzují, ani nesmějí zastupovat strany, které se těmito činnostmi zabývají. Nesmějí vykonávat žádnou činnost, která by mohla ohrozit jejich nezávislý úsudek nebo integritu ve vztahu k činnostem při posuzování shody, k jejímuž vykonávání jsou oznámeni. To platí zejména pro poradenské služby.

Subjekty posuzování shody musí zajistit, aby činnosti jejich dceřiných společností nebo subdodavatelů neohrožovaly důvěrnost, objektivitu a nestrannost jejich činnosti při posuzování shody.

Subjekty posuzování shody a jejich pracovníci vykonávají činnost při posuzování shody na nejvyšší úrovni profesní integritu a požadované odborné způsobilosti v konkrétní oblasti a nesmějí být vystaveni žádným tlakům a podnětům, zejména finančním, které by mohly ovlivnit jejich úsudek nebo výsledky jejich činnosti při posuzování shody, zejména ze strany osob nebo skupin osob, které mají na výsledcích této činnosti zájem.

Subjekt posuzování shody musí být schopen plnit všechny úkoly spojené s posuzováním shody podle přílohy VIII, v souvislosti s nímž byl oznámen, bez ohledu na to, zda tyto úkoly plní subjekt posuzování shody sám, nebo jsou plněny jeho jménem a na jeho odpovědnost.

Subjekt posuzování shody musí mít vždy a pro každý postup posuzování shody a každý druh nebo kategorii produktů s digitálními prvky, v souvislosti s nímž byl oznámen, k dispozici nezbytné:

pracovníky s odbornými znalostmi a dostatečnými zkušenostmi potřebnými k plnění úkolů spojených s posuzováním shody,

popisy postupů, podle nichž má být posuzování shody prováděno, aby byla zajištěna transparentnost těchto postupů a možnost jejich zopakování. Musí mít zavedenu náležitou politiku a postupy pro rozlišení mezi úkoly, jež vykonává jako oznámený subjekt, a svou další činností,

postupy pro výkon činností, které řádně zohledňují velikost podniku, odvětví, v němž působí, jeho strukturu, míru složitosti technologie daného produktu a hromadný či sériový způsob výroby.

Subjekt posuzování shody musí mít prostředky nezbytné k řádnému plnění technických a administrativních úkolů spojených s činností při posuzování shody a musí mít přístup k veškerému potřebnému vybavení nebo zařízením.

Pracovníci odpovědní za provádění činnosti při posuzování shody musí:

mít dobrou technickou a odbornou přípravu zahrnující veškerou činnost při posuzování shody, v souvislosti s nímž byl subjekt posuzování shody oznámen,

mít uspokojivou znalost požadavků souvisejících s posuzováním, které provádějí, a odpovídající pravomoc toto posuzování provádět,

mít náležité znalosti základních požadavků na kybernetickou bezpečnost stanovených v příloze I, použitelných harmonizovaných norem a společných specifikací a příslušných ustanovení právních předpisů Unie a jejich prováděcích aktů a rozumět jim,

být schopni vypracovávat certifikáty, záznamy a zprávy prokazující provedení posuzování shody.

Musí být zaručena nestrannost subjektů posuzování shody, jejich nejvyššího vedení a pracovníků, kteří posuzování provádějí.

Odměňování nejvyššího vedení a pracovníků subjektu posuzování shody, kteří posuzování provádějí, nesmí záviset na počtu provedených posouzení ani na jejich výsledcích.

Subjekty posuzování shody uzavřou pojištění odpovědnosti za škodu, pokud tuto odpovědnost nepřevzal jejich členský stát v souladu s vnitrostátním právem nebo pokud není za posuzování shody přímo odpovědný sám členský stát.

10.

Pracovníci subjektu posuzování shody zachovávají služební tajemství, pokud jde o veškeré informace, které obdrželi při plnění svých úkolů podle přílohy VIII nebo podle jakéhokoli ustanovení vnitrostátního práva, kterými se provádí, s výjimkou styku s příslušnými orgány dozoru nad trhem členského státu, v němž vykonávají svou činnost. Vlastnická práva jsou chráněna. Subjekt posuzování shody musí mít dokumentované postupy zajišťující soulad s tímto odstavcem.

11.

Subjekty posuzování shody se podílejí na příslušné normalizační činnosti a na činnosti koordinační skupiny oznámených subjektů zřízené podle článku 51 nebo zajistí, aby byli jejich pracovníci o této činnosti informováni, a obecně se řídí správními rozhodnutími a jinými dokumenty, které jsou výsledkem práce této skupiny.

12.

Subjekty posuzování shody fungují v souladu se souborem důsledných, spravedlivých, přiměřených a opodstatněných podmínek a zároveň brání zbytečnému zatěžování hospodářských subjektů, zejména s přihlédnutím k zájmům mikropodniků a malých a středních podniků, co se týče poplatků.

Článek 40

Předpoklad shody oznámených subjektů

Pokud subjekt posuzování shody prokáže svou shodu s kritérii stanovenými v příslušných harmonizovaných normách nebo jejich částech, na něž byly zveřejněny odkazy v Úředním věstníku Evropské unie, předpokládá se, že splňuje požadavky stanovené v článku 39 v rozsahu, v němž se harmonizované normy na tyto požadavky vztahují.

Článek 41

Dceřiné společnosti oznámených subjektů a zadávání subdodávek

Pokud oznámený subjekt zadá konkrétní úkoly týkající se posuzování shody subdodavateli nebo dceřiné společnosti, zajistí, aby subdodavatel nebo dceřiná společnost splňovali požadavky stanovené v článku 39, a informuje o tom oznamující orgán.

Oznámené subjekty nesou plnou odpovědnost za úkoly provedené subdodavateli nebo dceřinými společnostmi bez ohledu na to, kde jsou tito subdodavatelé nebo dceřiné společnosti usazeni.

Činnost lze zadat subdodavateli nebo dceřiné společnosti pouze se souhlasem výrobce.

Oznámený subjekt uchovává pro potřebu oznamujícího orgánu příslušné doklady týkající se posouzení kvalifikace subdodavatele nebo dceřiné společnosti a práce provedené subdodavatelem nebo dceřinou společností podle tohoto nařízení.

Článek 42

Žádost o oznámení

Subjekt posuzování shody podává žádost o oznámení oznamujícímu orgánu členského státu, v němž je usazen.

Součástí žádosti je popis činnosti při posuzování shody, postupu nebo postupů posuzování shody a produktu nebo produktů s digitálními prvky, pro něž se subjekt prohlašuje za způsobilý, jakož i případné osvědčení o akreditaci vydané vnitrostátním akreditačním orgánem, které potvrzuje, že subjekt posuzování shody splňuje požadavky stanovené v článku 39.

Nemůže-li dotčený subjekt posuzování shody předložit osvědčení o akreditaci, poskytne oznamujícímu orgánu veškeré doklady nezbytné k ověření, uznání a pravidelné kontrole svého souladu s požadavky stanovenými v článku 39.

Článek 43

Postup oznamování

Oznamující orgány oznámí pouze subjekty posuzování shody, které splňují požadavky stanovené v článku 39.

Oznamující orgán uvědomí Komisi a ostatní členské státy prostřednictvím informačního systému oznámených a jmenovaných organizací podle nového přístupu, který vyvinula a spravuje Komise.

Oznámení obsahuje veškeré podrobné informace o činnosti při posuzování shody, modulu nebo modulech posuzování shody, dotčeném produktu nebo produktech s digitálními prvky a příslušné osvědčení o akreditaci.

Pokud se oznámení nezakládá na osvědčení o akreditaci uvedeném v čl. 42 odst. 2, poskytne oznamující orgán Komisi a ostatním členským státům podklady, které dokládají způsobilost subjektu posuzování shody, a informuje je o opatřeních, jež zajišťují, aby byl subjekt pravidelně kontrolován a i v budoucnu splňoval požadavky uvedené v článku 39.

Dotčený subjekt může vykonávat činnost oznámeného subjektu, pouze pokud proti tomu Komise ani ostatní členské státy nevznesly námitky do dvou týdnů po oznámení v případě, že se použije osvědčení o akreditaci, nebo do dvou měsíců po oznámení, jestliže se akreditace nepoužije.

Pouze takový subjekt se považuje za oznámený subjekt pro účely tohoto nařízení.

Komisi a ostatním členským státům je třeba oznámit veškeré následné významné změny týkající se oznamování.

Článek 44

Identifikační čísla a seznamy oznámených subjektů

Komise oznámenému subjektu přidělí identifikační číslo.

Komise subjektu přidělí jediné číslo i v případě, že je subjekt oznámen podle několika právních aktů Unie.

Komise zveřejní seznam subjektů oznámených podle tohoto nařízení, včetně identifikačních čísel, která jim byla přidělena, a činností, pro něž byly oznámeny.

Komise zajistí, aby byl tento seznam průběžně aktualizován.

Článek 45

Změny v oznámeních

Pokud oznamující orgán zjistí nebo je upozorněn na to, že oznámený subjekt již nesplňuje požadavky stanovené v článku 39 nebo neplní své povinnosti, omezí, pozastaví nebo případně zruší oznámení podle toho, nakolik je neplnění těchto požadavků nebo povinností závažné. Informuje o tom neprodleně Komisi a ostatní členské státy.

V případě omezení, pozastavení nebo zrušení oznámení nebo v případě, že oznámený subjekt ukončil svou činnost, oznamující členský stát přijme příslušné kroky k zajištění toho, aby byly spisy tohoto subjektu buď zpracovány jiným oznámeným subjektem, nebo byly na vyžádání k dispozici příslušným oznamujícím orgánům a orgánům dozoru nad trhem.

Článek 46

Zpochybnění způsobilosti oznámených subjektů

Komise vyšetří všechny případy, kdy má pochybnosti nebo kdy je upozorněna na pochybnosti o způsobilosti oznámeného subjektu plnit požadavky a povinnosti, které jsou mu uloženy, nebo o tom, zda je oznámený subjekt nadále plní.

Oznamující členský stát předloží Komisi na vyžádání všechny informace týkající se podkladů pro oznámení nebo zachování způsobilosti dotčeného subjektu.

Komise zajistí, aby se se všemi citlivými informacemi získanými v průběhu tohoto šetření nakládalo jako s důvěrnými.

Pokud Komise zjistí, že oznámený subjekt nesplňuje nebo přestal splňovat požadavky na své oznámení, informuje o tom oznamující členský stát a vyzve ho, aby přijal nezbytná nápravná opatření, včetně případného zrušení oznámení.

Článek 47

Povinnosti týkající se činnosti oznámených subjektů

Oznámené subjekty provádějí posuzování shody v souladu s postupy posuzování shody stanovenými v článku 32 a příloze VIII.

Posuzování shody se provádí přiměřeným způsobem, aby se zabránilo zbytečné zátěži hospodářských subjektů. Subjekty posuzování shody při výkonu své činnosti řádně zohlední velikost podniků, zejména pokud jde o mikropodniky a malé a střední podniky, odvětví, v němž působí, jejich strukturu, míru složitosti a míru kybernetického rizika produktů s digitálními prvky a dané technologie a hromadnou nebo sériovou povahu výrobního procesu.

Oznámený subjekt však musí zachovávat míru přísnosti a úroveň ochrany, jež jsou vyžadovány, aby byly produkty s digitálními prvky v souladu s tímto nařízením.

Pokud oznámený subjekt zjistí, že výrobce nesplnil požadavky stanovené v příloze I nebo v odpovídajících harmonizovaných normách či ve společných specifikacích podle článku 27, vyzve výrobce, aby přijal vhodná nápravná opatření, a nevydá certifikát shody.

Pokud v průběhu kontroly shody po vydání certifikátu oznámený subjekt zjistí, že produkt s digitálními prvky již nesplňuje požadavky stanovené v tomto nařízení, vyzve výrobce, aby přijal vhodná nápravná opatření, a v případě nutnosti platnost certifikátu pozastaví nebo zruší.

Pokud nejsou nápravná opatření přijata nebo pokud nemají požadovaný účinek, oznámený subjekt podle potřeby omezí, pozastaví nebo zruší platnost příslušných certifikátů.

Článek 48

Odvolání proti rozhodnutí oznámených subjektů

Členské státy zajistí, aby bylo možné se proti rozhodnutí oznámených subjektů odvolat.

Článek 49

Informační povinnost oznámených subjektů

Oznámené subjekty informují oznamující orgán:

o každém zamítnutí, omezení, pozastavení nebo zrušení certifikátu,

o všech okolnostech majících vliv na rozsah a podmínky oznámení,

o každé žádosti o informace týkající se činnosti při posuzování shody, kterou obdržely od orgánů dozoru nad trhem,

na vyžádání o činnosti při posuzování shody vykonané v rámci působnosti jejich oznámení a o jakékoli jiné vykonané činnosti, včetně přeshraniční činnosti a zadávání subdodávek.

Oznámené subjekty poskytnou ostatním subjektům oznámeným podle tohoto nařízení, které vykonávají obdobnou činnost při posuzování shody a zabývají se stejnými produkty s digitálními prvky, příslušné informace o otázkách týkajících se negativních a, na vyžádání, pozitivních výsledků posuzování shody.

Článek 50

Výměna zkušeností

Komise organizačně zabezpečuje výměnu zkušeností mezi vnitrostátními orgány členských států, které jsou odpovědné za politiku oznamování.

Článek 51

Koordinace oznámených subjektů

Komise zajistí zavedení a řádné provádění vhodné koordinace a spolupráce mezi oznámenými subjekty ve formě meziodvětvové skupiny oznámených subjektů.

Členské státy zajistí, aby se jimi oznámené subjekty účastnily práce této skupiny, a to přímo nebo prostřednictvím určených zástupců.

KAPITOLA V

DOZOR NAD TRHEM A VYMÁHÁNÍ PRÁVA

Článek 52

Dozor nad trhem a kontrola produktů s digitálními prvky na trhu Unie

Na produkty s digitálními prvky spadající do oblasti působnosti tohoto nařízení se použije nařízení (EU) 2019/1020.

Pro účely zajištění účinného uplatňování tohoto nařízení každý členský stát určí jeden nebo více orgánů dozoru nad trhem. Členské státy mohou určit stávající nebo nový orgán, který bude působit jako orgán dozoru nad trhem pro účely tohoto nařízení.

Orgány dozoru nad trhem určené podle odstavce 2 tohoto článku odpovídají rovněž za provádění dozoru nad trhem v souvislosti s povinnostmi správců softwaru s otevřeným zdrojovým kódem stanovenými v článku 24. Pokud orgán dozoru nad trhem zjistí, že správce softwaru s otevřeným zdrojovým kódem neplní povinnosti stanovené v uvedeném článku, vyzve jej, aby zajistil přijetí veškerých vhodných nápravných opatření. Správci softwaru s otevřeným zdrojovým kódem zajistí, aby byla přijata veškerá vhodná nápravná opatření s ohledem na jejich povinnosti podle tohoto nařízení.

Orgány dozoru nad trhem případně spolupracují s vnitrostátními orgány certifikace kybernetické bezpečnosti určenými v souladu s článkem 58 nařízení (EU) 2019/881 a vyměňují si pravidelně informace. Pokud jde o dohled nad plněním povinností podávat zprávy podle článku 14 tohoto nařízení, určené orgány dozoru nad trhem spolupracují s týmy CSIRT určenými jako koordinátoři a s agenturou ENISA a pravidelně si s nimi vyměňují informace.

Orgány dozoru nad trhem mohou tým CSIRT určený jako koordinátor nebo agenturu ENISA požádat o poskytnutí technického poradenství v záležitostech souvisejících s uplatňováním a prosazováním tohoto nařízení. Při provádění šetření podle článku 54 mohou orgány dozoru nad trhem požádat tým CSIRT určený jako koordinátor nebo agenturu ENISA, aby vypracovaly analýzu na podporu hodnocení souladu produktů s digitálními prvky.

Orgány dozoru nad trhem případně spolupracují s dalšími orgány dozoru nad trhem určenými na základě harmonizačních právních předpisů Unie jiných než toto nařízení a pravidelně si vyměňují informace.

Orgány dozoru nad trhem případně spolupracují s orgány dohledu nad právem Unie v oblasti ochrany údajů. Tato spolupráce zahrnuje informování těchto orgánů o veškerých zjištěních relevantních z hlediska plnění jejich pravomocí, a to i při vydávání pokynů a poskytování poradenství podle odstavce 10, pokud se tyto pokyny a poradenství týkají zpracování osobních údajů.

Orgány vykonávající dohled nad právem Unie v oblasti ochrany údajů mají pravomoc požadovat jakoukoli dokumentaci vytvořenou nebo vedenou podle tohoto nařízení a přístup k ní, pokud je přístup k této dokumentaci nezbytný pro plnění jejich úkolů. O každé takové žádosti informují určené orgány dozoru nad trhem dotčeného členského státu.

Členské státy zajistí, aby určeným orgánům dozoru nad trhem byly poskytnuty odpovídající finanční a technické zdroje, včetně nástrojů pro automatické zpracování dat tam, kde je to vhodné, jakož i lidské zdroje s potřebnými dovednostmi v oblasti kybernetické bezpečnosti, které jim umožní plnit úkoly podle tohoto nařízení.

Komise podporuje a usnadňuje výměnu zkušeností mezi určenými orgány dozoru nad trhem.

10.

Orgány dozoru nad trhem mohou s podporou Komise a případně týmů CSIRT a agentury ENISA poskytovat hospodářským subjektům pokyny a poradenství ohledně uplatňování tohoto nařízení.

11.

Orgány dozoru nad trhem informují spotřebitele o tom, kde se podávají stížnosti, které by mohly v souladu s článkem 11 nařízení (EU) 2019/1020 poukazovat na nesoulad s tímto nařízením, a poskytnou spotřebitelům informace o tom, kde a jak získat přístup k mechanismům usnadňujícím oznamování zranitelností, incidentů a kybernetických hrozeb, které mohou ovlivnit produkty s digitálními prvky.

12.

Orgány dozoru nad trhem případně usnadňují spolupráci s příslušnými zúčastněnými stranami, včetně vědeckých, výzkumných a spotřebitelských organizací.

13.

Orgány dozoru nad trhem každoročně podávají Komisi zprávy o výsledcích příslušné činnosti v oblasti dozoru nad trhem. Určené orgány dozoru nad trhem neprodleně ohlásí Komisi a příslušným vnitrostátním orgánům pro hospodářskou soutěž veškeré informace zjištěné v průběhu činnosti v oblasti dozoru nad trhem, které by mohly mít potenciální význam pro uplatňování práva Unie v oblasti hospodářské soutěže.

14.

V případě produktů s digitálními prvky spadajících do oblasti působnosti tohoto nařízení, které jsou klasifikovány jako vysoce rizikové systémy umělé inteligence podle článku 6 nařízení (EU) 2024/1689, jsou orgány odpovědnými za činnost v oblasti dozoru nad trhem požadovanou tímto nařízením orgány dozoru nad trhem určené pro účely nařízení (EU) 2024/1689. Orgány dozoru nad trhem určené podle uvedeného nařízení spolupracují podle potřeby s orgány dozoru nad trhem určenými podle tohoto nařízení, s týmy CSIRT určenými jako koordinátoři a s agenturou ENISA, pokud jde o dohled nad plněním povinností podávat zprávy podle článku 14 tohoto nařízení. Orgány dozoru nad trhem určené podle nařízení (EU) 2024/1689 zejména informují orgány dozoru nad trhem určené podle tohoto nařízení o veškerých zjištěních, která jsou relevantní pro plnění jejich úkolů v souvislosti s uplatňováním tohoto nařízení.

15.

Pro jednotné uplatňování tohoto nařízení se zřizuje specializovaná skupina pro správní spolupráci podle čl. 30 odst. 2 nařízení (EU) 2019/1020. Tato skupina se skládá ze zástupců určených orgánů dozoru nad trhem a případně i ze zástupců ústředních styčných úřadů. Zabývá se rovněž konkrétními záležitostmi souvisejícími s činností v oblasti dozoru nad trhem, pokud jde o povinnosti uložené správcům softwaru s otevřeným zdrojovým kódem.

16.

Orgány dozoru nad trhem monitorují, jak výrobci při určování doby podpory svých produktů s digitálními prvky uplatňují kritéria uvedená v čl. 13 odst. 8.

Skupina pro správní spolupráci zveřejní ve veřejně přístupné a uživatelsky vstřícné podobě příslušné statistiky o kategoriích produktů s digitálními prvky, včetně průměrných dob podpory, jak je uvedl výrobce podle čl. 13 odst. 8, a poskytne pokyny, které zahrnují orientační doby podpory pro kategorie produktů s digitálními prvky.

Pokud z těchto údajů vyplývá, že doba podpory pro konkrétní kategorie produktů s digitálními prvky není dostatečná, může specializovaná skupina pro správní spolupráci vydat orgánům dozoru nad trhem doporučení, aby svou činnost zaměřily na tyto kategorie produktů s digitálními prvky.

Článek 53

Přístup k údajům a dokumentaci

Je-li to nezbytné k posouzení shody produktů s digitálními prvky a postupů zavedených jejich výrobci se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I, udělí se orgánům dozoru nad trhem na základě odůvodněné žádosti přístup k údajům požadovaným pro posouzení návrhu, vývoje, výroby a řešení zranitelnosti těchto produktů, včetně související interní dokumentace příslušného hospodářského subjektu, a to v jazyce, kterému snadno porozumí.

Článek 54

Postup na vnitrostátní úrovni týkající se produktů s digitálními prvky představujících významné kybernetické bezpečnostní riziko

Pokud má orgán dozoru nad trhem členského státu dostatečný důvod domnívat se, že produkt s digitálními prvky, včetně řešení jeho zranitelnosti, představuje významné kybernetické bezpečnostní riziko, provede bez zbytečného odkladu a případně ve spolupráci s příslušným týmem CSIRT hodnocení dotčeného produktu s digitálními prvky z hlediska jeho souladu se všemi požadavky stanovenými v tomto nařízení. Příslušné hospodářské subjekty s orgánem dozoru nad trhem podle potřeby spolupracují.

Pokud v průběhu tohoto hodnocení orgán dozoru nad trhem zjistí, že produkt s digitálními prvky nesplňuje požadavky stanovené v tomto nařízení, neprodleně vyzve příslušný hospodářský subjekt, aby přijal veškerá vhodná nápravná opatření k uvedení produktu s digitálními prvky do souladu s těmito požadavky nebo k jeho stažení z trhu či z oběhu v přiměřené lhůtě úměrné povaze kybernetického bezpečnostního rizika, kterou může stanovit orgán dozoru nad trhem.

Orgán dozoru nad trhem o tom informuje příslušný oznámený subjekt. Na nápravná opatření se použije článek 18 nařízení (EU) 2019/1020.

Při určování významu kybernetického bezpečnostního rizika uvedeného v odstavci 1 tohoto článku zohlední orgány dozoru nad trhem rovněž rizikové faktory jiné než technické povahy, zejména ty, které byly stanoveny na základě koordinovaného posouzení bezpečnostních rizik kritických dodavatelských řetězců na úrovni Unie provedeného v souladu s článkem 22 směrnice (EU) 2022/2555. Pokud má orgán dozoru nad trhem dostatečný důvod se domnívat, že určitý produkt s digitálními prvky představuje s ohledem na rizikové faktory jiné než technické povahy významné kybernetické bezpečnostní riziko, vyrozumí příslušné orgány určené nebo zřízené podle článku 8 směrnice (EU) 2022/2555 a podle potřeby s těmito orgány spolupracuje.

Domnívá-li se orgán dozoru nad trhem, že se nesoulad netýká pouze území jeho členského státu, informuje Komisi a ostatní členské státy o výsledcích hodnocení a o opatřeních, která má hospodářský subjekt na jeho žádost přijmout.

Hospodářský subjekt zajistí, aby byla přijata veškerá vhodná nápravná opatření ohledně všech dotčených produktů s digitálními prvky, které dodal na trh v celé Unii.

Pokud hospodářský subjekt ve lhůtě uvedené ve druhém pododstavci odstavce 1 nepřijme přiměřená nápravná opatření, přijme orgán dozoru nad trhem veškerá vhodná dočasná opatření k zákazu nebo omezení dodávání tohoto produktu s digitálními prvky na trh svého členského státu nebo k zajištění toho, aby byl stažen z trhu či z oběhu.

O takových opatřeních tento orgán neprodleně vyrozumí Komisi a ostatní členské státy.

Součástí informací uvedených v odstavci 5 jsou všechny dostupné podrobné informace, zejména údaje nezbytné pro identifikaci nevyhovujícího produktu s digitálními prvky, údaje o původu dotčeného produktu s digitálními prvky, povaze údajného nesouladu a souvisejícího rizika, povaze a době trvání opatření přijatých na vnitrostátní úrovni a údaje o stanovisku příslušného hospodářského subjektu. Orgán dozoru nad trhem zejména uvede, zda je důvodem nesouladu jeden nebo více těchto nedostatků:

produkt s digitálními prvky nebo postupy zavedené výrobcem nesplňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I,

nedostatky v harmonizovaných normách, evropských schématech certifikace kybernetické bezpečnosti nebo společných specifikacích uvedených v článku 27.

Orgány dozoru nad trhem členských států jiné než orgán dozoru nad trhem členského státu, který zahájil tento postup, neprodleně informují Komisi a ostatní členské státy o veškerých opatřeních, která přijaly, a o všech doplňujících údajích týkajících se nesouladu dotčeného produktu s digitálními prvky, které mají k dispozici, a v případě nesouhlasu s oznámeným vnitrostátním opatřením o svých námitkách.

Jestliže do tří měsíců od přijetí oznámení uvedeného v odstavci 5 tohoto článku nevznese žádný členský stát ani Komise proti předběžnému opatření přijatému členským státem námitku, považuje se opatření za důvodné. Tím nejsou dotčena procesní práva dotčeného hospodářského subjektu v souladu s článkem 18 nařízení (EU) 2019/1020.

Orgány dozoru nad trhem všech členských států zajistí, aby byla v souvislosti s dotčeným produktem s digitálními prvky bezodkladně přijata náležitá restriktivní opatření, například stažení daného produktu z jejich trhu.

Článek 55

Ochranný postup Unie

Pokud do tří měsíců od obdržení oznámení uvedeného v čl. 54 odst. 5 vznese některý členský stát proti opatření přijatému jiným členským státem námitku nebo pokud se Komise domnívá, že je dané opatření v rozporu s právem Unie, zahájí Komise neprodleně konzultaci s dotčeným členským státem a hospodářským subjektem nebo subjekty a provede hodnocení tohoto vnitrostátního opatření. Na základě výsledků tohoto hodnocení Komise do devíti měsíců od oznámení uvedeného v čl. 54 odst. 5 rozhodne, zda je dané vnitrostátní opatření důvodné či nikoli, a toto rozhodnutí oznámí dotčenému členskému státu.

Pokud je vnitrostátní opatření považováno za důvodné, přijmou všechny členské státy nezbytná opatření k zajištění toho, aby byl nevyhovující produkt s digitálními prvky stažen z jejich trhu, a informují o tom Komisi. Pokud vnitrostátní opatření není považováno za důvodné, dotčený členský stát toto opatření zruší.

Pokud je vnitrostátní opatření považováno za důvodné a je-li nesoulad produktu s digitálními prvky přisuzován nedostatkům v harmonizovaných normách, použije Komise postup stanovený v článku 11 nařízení (EU) č. 1025/2012.

Pokud je vnitrostátní opatření považováno za důvodné a je-li nesoulad produktu s digitálními prvky přisuzován nedostatkům v evropském schématu certifikace kybernetické bezpečnosti podle článku 27, Komise zváží, zda změnit nebo zrušit akt v přenesené pravomoci přijatý podle čl. 27 odst. 9, v němž je stanoven předpoklad shody týkající se daného schématu certifikace.

Pokud je vnitrostátní opatření považováno za důvodné a je-li nesoulad produktu s digitálními prvky přisuzován nedostatkům ve společných specifikacích podle článku 27, Komise zváží, zda změnit nebo zrušit některý prováděcí akt přijatý podle čl. 27 odst. 2, v němž jsou stanoveny tyto společné specifikace.

Článek 56

Postup na úrovni Unie týkající se produktů s digitálními prvky představujících významné kybernetické bezpečnostní riziko

Pokud má Komise dostatečný důvod se domnívat, a to i na základě informací poskytnutých agenturou ENISA, že produkt s digitálními prvky, který představuje významné kybernetické bezpečnostní riziko, není v souladu s požadavky stanovenými v tomto nařízení, informuje o tom příslušné orgány dozoru nad trhem. Jestliže orgány dozoru nad trhem provádějí hodnocení produktu s digitálními prvky, který by mohl představovat významné kybernetické bezpečnostní riziko, pokud jde o jeho soulad s požadavky stanovenými v tomto nařízení, použijí se postupy uvedené v článcích 54 a 55.

Pokud má Komise dostatečný důvod se domnívat, že produkt s digitálními prvky představuje významné kybernetické bezpečnostní riziko s ohledem na rizikové faktory jiné než technické povahy, informuje o tom příslušné orgány dozoru nad trhem, případně příslušné orgány určené nebo zřízené podle článku 8 směrnice (EU) 2022/2555, a podle potřeby s těmito orgány spolupracuje. Komise rovněž zváží v rámci svých úkolů týkajících se koordinovaného posuzování bezpečnostních rizik kritických dodavatelských řetězců na úrovni Unie podle článku 22 směrnice (EU) 2022/2555 význam zjištěných rizik pro daný produkt s digitálními prvky a v případě potřeby konzultuje se skupinou pro spolupráci zřízenou podle článku 14 směrnice (EU) 2022/2555 a s agenturou ENISA.

Za okolností, které odůvodňují okamžitý zásah za účelem zachování řádného fungování vnitřního trhu, a pokud má Komise dostatečný důvod domnívat se, že produkt s digitálními prvky uvedený v odstavci 1 nadále nesplňuje požadavky stanovené v tomto nařízení a příslušné orgány dozoru nad trhem nepřijaly účinná opatření, provede Komise hodnocení souladu a může požádat agenturu ENISA, aby vypracovala analýzu na podporu tohoto hodnocení. Komise odpovídajícím způsobem informuje příslušné orgány dozoru nad trhem. Příslušné hospodářské subjekty s agenturou ENISA podle potřeby spolupracují.

Na základě hodnocení podle odstavce 3 může Komise rozhodnout, že je třeba nápravné nebo omezující opatření na úrovni Unie. Za tímto účelem neprodleně konzultuje dotčené členské státy a příslušný hospodářský subjekt nebo subjekty.

Na základě konzultace uvedené v odstavci 4 tohoto článku může Komise přijmout prováděcí akty, v nichž stanoví nápravná nebo omezující opatření na úrovni Unie, včetně požadavku, aby byly dotčené produkty s digitálními prvky staženy z trhu nebo z oběhu, a to v přiměřené lhůtě úměrné povaze rizika. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 62 odst. 2.

Komise o prováděcích aktech podle odstavce 5 neprodleně uvědomí příslušný hospodářský subjekt či subjekty. Členské státy tyto prováděcí akty neodkladně uplatňují a odpovídajícím způsobem informují Komisi.

Odstavce 3 až 6 se použijí po dobu trvání výjimečné situace, která odůvodňovala zásah Komise, za předpokladu, že dotčený produkt s digitálními prvky není uveden do souladu s tímto nařízením.

Článek 57

Vyhovující produkty s digitálními prvky, které představují významné kybernetické bezpečnostní riziko

Orgán dozoru nad trhem členského státu vyzve hospodářský subjekt, aby přijal veškerá vhodná opatření, pokud po provedení hodnocení podle článku 54 zjistí, že ačkoli jsou produkt s digitálními prvky a postupy zavedené výrobcem v souladu s tímto nařízením, představují významné kybernetické bezpečnostní riziko, jakož i riziko pro:

zdraví nebo bezpečnost osob,

dodržování povinností podle unijního nebo vnitrostátního práva, jejichž cílem je ochrana základních práv,

dostupnost, autenticitu, integritu nebo důvěrnost služeb nabízených prostřednictvím elektronického informačního systému základními subjekty uvedenými v čl. 3 odst. 1 směrnice (EU) 2022/2555 nebo

jiné aspekty ochrany veřejného zájmu.

Opatření uvedená v prvním pododstavci mohou zahrnovat opatření k zajištění toho, aby dotčený produkt s digitálními prvky a postupy zavedené výrobcem v době dodání na trh již toto riziko nepředstavovaly, a ke stažení dotčeného produktu s digitálními prvky z trhu nebo z oběhu, přičemž tato opatření jsou přiměřená povaze daných rizik.

Výrobce nebo jiné příslušné hospodářské subjekty zajistí, aby bylo přijato nápravné opatření ve vztahu k dotčeným produktům s digitálními prvky, které dodali na trh v rámci celé Unie, ve lhůtě stanovené orgánem dozoru nad trhem členského státu uvedeným v odstavci 1.

Členský stát neprodleně informuje Komisi a ostatní členské státy o opatřeních přijatých podle odstavce 1. Tyto informace musejí obsahovat všechny dostupné podrobné informace, zejména údaje nezbytné k identifikaci dotčeného produktu s digitálními prvky, údaje o původu a dodavatelském řetězci těchto produktů s digitálními prvky, údaje o povaze souvisejícího rizika a údaje o povaze a době trvání opatření přijatých na vnitrostátní úrovni.

Komise neprodleně zahájí konzultaci s členskými státy a příslušným hospodářským subjektem a vyhodnotí přijatá vnitrostátní opatření. Na základě výsledků tohoto hodnocení Komise rozhodne, zda je opatření důvodné či nikoli, a pokud je to nutné, navrhne vhodná opatření.

Rozhodnutí Komise uvedené v odstavci 4 je určeno všem členským státům.

Pokud má Komise dostatečný důvod se domnívat, a to i na základě informací poskytnutých agenturou ENISA, že ačkoli je produkt s digitálními prvky v souladu s tímto nařízením, představuje rizika uvedená v odstavci 1 tohoto článku, informuje o tom příslušný orgán nebo orgány dozoru nad trhem a může je požádat, aby provedly hodnocení a řídily se postupy uvedenými v článku 54 a v odstavcích 1, 2 a 3 tohoto článku.

Za okolností, které odůvodňují okamžitý zásah za účelem zachování řádného fungování vnitřního trhu, a pokud má Komise dostatečný důvod se domnívat, že produkt s digitálními prvky uvedený v odstavci 6 nadále představuje rizika podle odstavce 1 a příslušné vnitrostátní orgány dozoru nad trhem nepřijaly účinná opatření, provede Komise hodnocení rizik, která tento produkt s digitálními prvky představuje, a může požádat agenturu ENISA, aby vypracovala analýzu na podporu tohoto hodnocení, a informuje o tom příslušné orgány dozoru nad trhem. Příslušné hospodářské subjekty s agenturou ENISA podle potřeby spolupracují.

Na základě hodnocení podle odstavce 7 může Komise stanovit, že je zapotřebí nápravného nebo omezujícího opatření na úrovni Unie. Za tímto účelem neprodleně konzultuje s dotčenými členskými státy a s příslušným hospodářským subjektem nebo subjekty.

Na základě konzultace uvedené v odstavci 8 tohoto článku může Komise přijmout prováděcí akty s cílem rozhodnout o nápravných nebo omezujících opatřeních na úrovni Unie, včetně požadavku, aby byly dotčené produkty s digitálními prvky staženy z trhu nebo z oběhu, a to v přiměřené lhůtě úměrné povaze rizika. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 62 odst. 2.

10.

Komise o prováděcích aktech podle odstavce 9 neprodleně uvědomí příslušný hospodářský subjekt či subjekty. Členské státy tyto prováděcí akty neodkladně uplatňují a odpovídajícím způsobem informují Komisi.

11.

Odstavce 6 až 10 se použijí po dobu trvání výjimečné situace, která odůvodňovala zásah Komise, a po dobu, po kterou dotčený produkt s digitálními prvky nadále představuje rizika uvedená v odstavci 1.

Článek 58

Formální nesoulad

Orgán dozoru nad trhem daného členského státu vyzve příslušného výrobce, aby odstranil nesoulad spočívající v některé z těchto skutečností::

označení CE bylo umístěno v rozporu s články 29 a 30,

označení CE nebylo umístěno,

nebylo vypracováno EU prohlášení o shodě,

EU prohlášení o shodě nebylo vypracováno správně,

nebylo případně umístěno identifikační číslo oznámeného subjektu, který je zapojen do postupu posuzování shody,

technická dokumentace buď není dostupná, nebo je neúplná.

Pokud nesoulad uvedený v odstavci 1 trvá i nadále, přijme dotčený členský stát veškerá vhodná opatření s cílem omezit nebo zakázat dodávání produktu s digitálními prvky na trh, nebo zajistit, aby byl stažen z oběhu či z trhu.

Článek 59

Společné činnosti orgánů dozoru nad trhem

Orgány dozoru nad trhem se mohou dohodnout s dalšími příslušnými orgány na provádění společných činností zaměřených na zajištění kybernetické bezpečnosti a ochrany spotřebitelů, pokud jde o konkrétní produkty s digitálními prvky uváděné nebo dodávané na trh, zejména produkty s digitálními prvky, u nichž se často zjišťuje, že představují kybernetické bezpečnostní riziko.

Komise nebo agentura ENISA navrhne společné činnosti pro kontrolu souladu s tímto nařízením, které budou provádět orgány dozoru nad trhem na základě údajů nebo informací o možném nesouladu produktů s digitálními prvky, které spadají do oblasti působnosti tohoto nařízení, v několika členských státech s požadavky stanovenými v tomto nařízení.

Orgány dozoru nad trhem a případně Komise zajistí, aby dohoda o provádění společných činností nevedla k nekalé soutěži mezi hospodářskými subjekty a nepříznivě nenarušovala objektivitu, nezávislost a nestrannost stran dohody.

Orgán dozoru nad trhem může použít jakékoli informace získané při společných činnostech vykonávaných v rámci jakéhokoli jeho šetření, které provádí.

Dotčený orgán dozoru nad trhem a případně Komise zveřejní dohodu o společných činnostech, včetně názvů zúčastněných stran.

Článek 60

Společné kontrolní akce

Orgány dozoru nad trhem provádějí souběžné koordinované kontrolní akce (dále jen „společné kontrolní akce“) u konkrétních produktů s digitálními prvky nebo jejich kategorií za účelem kontroly souladu s tímto nařízením nebo odhalení jeho porušení. Tyto společné kontrolní akce mohou zahrnovat kontroly produktů s digitálními prvky pořízených pod krycí identitou.

Pokud se zapojené příslušné orgány dozoru nad trhem nedohodnou jinak, koordinuje společné kontrolní akce Komise. Koordinátor společné kontrolní akce zveřejní dle potřeby souhrnné výsledky.

Pokud agentura ENISA při plnění svých úkolů, mimo jiné na základě oznámení obdržených podle čl. 14 odst. 1 a 3, určí kategorie produktů s digitálními prvky, u nichž mohou být organizovány společné kontrolní akce, předloží koordinátorovi návrh na společnou kontrolní akci podle odstavce 2 tohoto článku k posouzení orgány dozoru nad trhem.

Zapojené orgány dozoru nad trhem mohou při provádění společných kontrolních akcí využívat vyšetřovací pravomoci stanovené v článcích 52 až 58 a jakékoli další pravomoci, které jim svěřuje vnitrostátní právo.

Orgány dozoru nad trhem mohou k účasti na společných kontrolních akcích přizvat úředníky Komise a další doprovázející osoby pověřené Komisí.

KAPITOLA VI

PŘENESENÉ PRAVOMOCI A POSTUP PROJEDNÁVÁNÍ VE VÝBORU

Článek 61

Výkon přenesení pravomoci

Pravomoc přijímat akty v přenesené pravomoci je svěřena Komisi za podmínek stanovených v tomto článku.

Pravomoc přijímat akty v přenesené pravomoci uvedená v čl. 2 odst. 5 druhém pododstavci, čl. 7 odst. 3, čl. 8 odst. 1 a 2, čl. 13 odst. 8 čtvrtém pododstavci, čl. 14 odst. 9, článku 25, čl. 27 odst. 9, čl. 28 odst. 5 a čl. 31 odst. 5 je svěřena Komisi na dobu pěti let ode dne 10. prosince 2024. Komise vypracuje zprávu o přenesení pravomoci nejpozději devět měsíců před koncem tohoto pětiletého období. Přenesení pravomoci se automaticky prodlužuje o stejně dlouhá období, pokud Evropský parlament nebo Rada nevysloví proti tomuto prodloužení námitku nejpozději tři měsíce před koncem každého z těchto období.

Evropský parlament nebo Rada mohou přenesení pravomoci uvedené v čl. 2 odst. 5 druhém pododstavci, čl. 7 odst. 3, čl. 8 odst. 1 a 2, čl. 13 odst. 8 čtvrtém pododstavci, čl. 14 odst. 9, článku 25, čl. 27 odst. 9, čl. 28 odst. 5 a čl. 31 odst. 5 kdykoli zrušit. Rozhodnutím o zrušení se ukončuje přenesení pravomoci v něm určené. Rozhodnutí nabývá účinku prvním dnem po zveřejnění v Úředním věstníku Evropské unie, nebo k pozdějšímu dni, který je v něm upřesněn. Nedotýká se platnosti již platných aktů v přenesené pravomoci.

Před přijetím aktu v přenesené pravomoci Komise vede konzultace s odborníky jmenovanými jednotlivými členskými státy v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů.

Přijetí aktu v přenesené pravomoci Komise neprodleně oznámí současně Evropskému parlamentu a Radě.

Akt v přenesené pravomoci přijatý podle čl. 2 odst. 5 druhého pododstavce, čl. 7 odst. 3, čl. 8 odst. 1 nebo 2, čl. 13 odst. 8 čtvrtého pododstavce, čl. 14 odst. 9, článku 25, čl. 27 odst. 9, čl. 28 odst. 5 nebo čl. 31 odst. 5 vstoupí v platnost pouze tehdy, pokud proti němu Evropský parlament nebo Rada nevysloví námitky ve lhůtě dvou měsíců ode dne, kdy jim byl tento akt oznámen, nebo pokud Evropský parlament i Rada před uplynutím této lhůty informují Komisi o tom, že námitky nevysloví. Z podnětu Evropského parlamentu nebo Rady se tato lhůta prodlouží o dva měsíce.

Článek 62

Postup projednávání ve výboru

Komisi je nápomocen výbor. Tento výbor je výborem ve smyslu nařízení (EU) č. 182/2011.

Odkazuje-li se na tento odstavec, použije se článek 5 nařízení (EU) č. 182/2011.

Má-li být stanovisko výboru získáno písemným postupem, ukončuje se tento postup bez výsledku, pokud o tom ve lhůtě pro vydání stanoviska rozhodne předseda výboru nebo pokud o to požádá člen výboru.

KAPITOLA VII

DŮVĚRNOST A SANKCE

Článek 63

Zachování důvěrnosti

Všechny strany, které se podílejí na uplatňování tohoto nařízení, zachovávají důvěrnost informací a údajů, které získají při provádění svých úkolů a činnosti, takovým způsobem, aby chránily zejména:

práva duševního vlastnictví a důvěrné obchodní informace nebo obchodní tajemství fyzických nebo právnických osob, včetně zdrojového kódu, s výjimkou případů, na které se vztahuje článek 5 směrnice Evropského parlamentu a Rady (EU) 2016/943 ( 2 ),

účinné uplatňování tohoto nařízení, zejména za účelem inspekcí, šetření nebo auditů,

veřejné a národní bezpečnostní zájmy,

integritu trestního nebo správního řízení.

Aniž je dotčen odstavec 1, informace vyměňované důvěrně mezi orgány dozoru nad trhem a mezi orgány dozoru nad trhem a Komisí se nezpřístupní bez předchozí dohody s orgánem dozoru nad trhem, od kterého informace pocházejí.

Ustanoveními odstavců 1 a 2 nejsou dotčena práva a povinnosti Komise, členských států a oznámených subjektů ohledně vzájemného informování a šíření výstrah ani povinnosti dotčených osob poskytovat informace podle trestního práva členských států.

Komise a členské státy si mohou v případě potřeby vyměňovat citlivé informace s relevantními orgány třetích zemí, s nimiž uzavřely dvoustranná nebo vícestranná ujednání o ochraně důvěrnosti zaručující přiměřenou úroveň ochrany.

Článek 64

Sankce

Členské státy stanoví pravidla pro ukládání sankcí za porušení tohoto nařízení a přijmou veškerá opatření nezbytná k zajištění jejich uplatňování. Tyto sankce musejí být účinné, přiměřené a odrazující. Členské státy bez prodlení uvědomí o takových pravidlech a opatřeních Komisi a neprodleně ji informují o veškerých pozdějších změnách těchto pravidel nebo opatření.

Za nedodržení základních požadavků na kybernetickou bezpečnost stanovených v příloze I a povinností stanovených v článcích 13 a 14 se uloží správní pokuty až do výše 15 000 000 EUR, nebo dopustí-li se porušení podnik, až do výše 2,5 % jeho celkového ročního obratu celosvětově za předchozí finanční rok podle toho, která hodnota je vyšší.

Za nedodržení povinností stanovených v článcích 18 až 23, článku 28, čl. 30 odst. 1 až 4, čl. 31 odst. 1 až 4, čl. 32 odst. 1, 2 a 3, čl. 33 odst. 5 a v článcích 39, 41, 47, 49 a 53 se uloží správní pokuty až do výše 10 000 000 EUR, nebo dopustí-li se porušení podnik, až do výše 2 % jeho celkového ročního obratu celosvětově za předchozí finanční rok podle toho, která hodnota je vyšší.

Za poskytnutí nesprávných, neúplných nebo zavádějících informací oznámeným subjektům a orgánům dozoru nad trhem v reakci na žádost se uloží správní pokuty až do výše 5 000 000 EUR, nebo dopustí-li se porušení podnik, až do výše 1 % jeho celkového ročního obratu celosvětově za předchozí finanční rok podle toho, která hodnota je vyšší.

Při rozhodování o výši správní pokuty se v jednotlivých případech zohlední všechny relevantní okolnosti konkrétní situace a náležitě se přihlédne k následujícím okolnostem:

k povaze, závažnosti a době trvání porušení a jeho následkům,

k tomu, zda již byly stejnému hospodářskému subjektu za podobné porušení uloženy správní pokuty stejnými nebo jinými orgány dozoru nad trhem,

k velikosti hospodářského subjektu, který se porušení dopustil, zejména s ohledem na mikropodniky a malé a střední podniky, včetně začínajících podniků, a k jeho podílu na trhu.

Orgány dozoru nad trhem, které ukládají správní pokuty, informují o uložení pokut orgány dozoru nad trhem jiných členských států prostřednictvím informačního a komunikačního systému podle článku 34 nařízení (EU) 2019/1020.

Každý členský stát stanovuje pravidla týkající se toho, zda a do jaké míry je možno ukládat správní pokuty orgánům veřejné moci a veřejným subjektům usazeným v daném členském státě.

V závislosti na právním systému členských států lze pravidla pro správní pokuty uplatňovat tak, aby pokuty byly ukládány příslušnými vnitrostátními soudy nebo jinými orgány v souladu s pravomocemi stanovenými na vnitrostátní úrovni v těchto členských státech. Uplatňování těchto pravidel v uvedených členských státech má rovnocenný účinek.

Správní pokuty mohou být uloženy v závislosti na okolnostech každého jednotlivého případu spolu s jakýmikoli dalšími nápravnými nebo omezujícími opatřeními, které uplatní orgány dozoru nad trhem v souvislosti se stejným porušením.

10.

►C1 Odchylně od odstavců 2 až 9 se správní pokuty uvedené v těchto odstavcích nevztahují na: ◄

výrobce, kteří jsou považováni za mikropodniky nebo malé podniky, pokud jde o jakékoli nedodržení lhůty uvedené v čl. 14 odst. 2 písm. a) nebo čl. 14 odst. 4 písm. a),

jakékoli porušení tohoto nařízení správci softwaru s otevřeným zdrojovým kódem.

Článek 65

Zástupné žaloby

Na zástupné žaloby podané proti hospodářským subjektům ve věci porušení ustanovení tohoto nařízení, které poškozuje nebo může poškodit kolektivní zájmy spotřebitelů, se vztahuje směrnice (EU) 2020/1828.

KAPITOLA VIII

PŘECHODNÁ A ZÁVĚREČNÁ USTANOVENÍ

Článek 66

Změna nařízení (EU) 2019/1020

V příloze I nařízení (EU) 2019/1020 se doplňuje nový bod, který zní:

„72.

Nařízení Evropského parlamentu a Rady (EU) 2024/2847 ( *1 ).

Článek 67

Změna směrnice (EU) 2020/1828

V příloze I směrnice (EU) 2020/1828 se doplňuje nový bod, který zní:

▼C2

„72.

Nařízení Evropského parlamentu a Rady (EU) 2024/2847 ( *2 ).

▼B

Článek 68

Změna nařízení (EU) č. 168/2013

V části C1 v tabulce v příloze II nařízení Evropského parlamentu a Rady (EU) č. 168/2013 ( 3 ) se doplňuje nová položka, která zní:

„

Ochrana vozidla proti kybernetickým útokům

“

Článek 69

Přechodná ustanovení

Certifikáty EU přezkoušení typu a rozhodnutí o schválení vydané v souvislosti s požadavky na kybernetickou bezpečnost produktů s digitálními prvky, které podléhají jiným harmonizačním právním předpisům Unie než tomuto nařízení, zůstávají v platnosti do 11. června 2028, pokud jejich platnost neskončí před tímto datem nebo pokud není stanoveno jinak v těchto jiných harmonizačních právních předpisech Unie, přičemž v takovém případě zůstávají v platnosti podle uvedených právních předpisů.

Produkty s digitálními prvky, které byly uvedeny na trh před 11. prosincem 2027, se řídí požadavky tohoto nařízení pouze tehdy, pokud po uvedeném datu procházejí tyto produkty podstatnou změnou.

Odchylně od odstavce 2 tohoto článku se povinnosti stanovené v článku 14 vztahují na všechny produkty s digitálními prvky spadající do oblasti působnosti tohoto nařízení, které byly uvedeny na trh před 11. prosincem 2027.

Článek 70

Hodnocení a přezkum

Do 11. prosince 2030 a poté každé čtyři roky předloží Komise Evropskému parlamentu a Radě zprávu o hodnocení a přezkumu tohoto nařízení. Tyto zprávy se zveřejní.

Do 11. září 2028 předloží Komise po konzultaci s agenturou ENISA a sítí CSIRT Evropskému parlamentu a Radě zprávu, ve které posoudí účinnost jednotné platformy pro podávání zpráv stanovené v článku 16 a dopad uplatňování důvodů souvisejících s kybernetickou bezpečností uvedených v čl. 16 odst. 2 týmy CSIRT určenými jako koordinátoři na účinnost jednotné platformy pro podávání zpráv, pokud jde o včasné rozesílání obdržených oznámení dalším příslušným týmům CSIRT.

Článek 71

Vstup v platnost a použitelnost

Toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.

Toto nařízení se použije ode dne 11. prosince 2027.

Článek 14 se však použije se ode dne 11. září 2026 a kapitola IV (články 35 až 51) se použije ode dne 11. června 2026.

Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.

PŘÍLOHA I

ZÁKLADNÍ POŽADAVKY NA KYBERNETICKOU BEZPEČNOST

Část I Požadavky na kybernetickou bezpečnost týkající se vlastností produktů s digitálními prvky

1) Produkty s digitálními prvky musí být navrženy, vyvinuty a vyrobeny tak, aby zajišťovaly odpovídající úroveň kybernetické bezpečnosti zohledňující rizika.

2) na základě posouzení kybernetického bezpečnostního rizika podle čl. 13 odst. 2 jsou v příslušných případech produkty s digitálními prvky:

dodávány na trh bez známých zneužitelných zranitelností,

dodávány na trh v konfiguraci zabezpečené na úrovni standardního nastavení, pokud se výrobce nedohodne s podnikatelským uživatelem v souvislosti s produktem s digitálními prvky uzpůsobeným na míru jinak, včetně možnosti obnovit produkt do původního stavu,

zajišťují, aby bylo možné řešit zranitelnosti prostřednictvím bezpečnostních aktualizací, a automatických bezpečnostních aktualizací tam, kde je to možné, které lze v přiměřeném časovém rámci nainstalovat jako výchozí nastavení, s jasným a snadno použitelným mechanismem výjimky, a to prostřednictvím oznamování dostupných aktualizací uživatelům a možnosti je dočasně odložit,

zajišťují ochranu před neoprávněným přístupem vhodnými kontrolními mechanismy, mimo jiné na základě systémů správy ověřování, identity nebo přístupu, a podávají zprávy o možném neoprávněném přístupu,

chrání důvěrnost uchovávaných, předávaných nebo jinak zpracovávaných údajů, ať již osobních či jiných, například šifrováním příslušných uložených nebo přenášených údajů prostřednictvím nejmodernějších mechanismů a za pomoci jiných technických prostředků,

chrání integritu uchovávaných, předávaných nebo jinak zpracovávaných údajů, osobních či jiných údajů, příkazů, programů a konfigurace před jakoukoli manipulací nebo změnou, které uživatel nepovolil, a podávají zprávy o poškození,

zpracovávají pouze osobní nebo jiné údaje, které jsou přiměřené, relevantní a omezené na to, co je nezbytné ve vztahu k zamýšlenému účelu produktu s digitálními prvky („minimalizace údajů“),

chrání dostupnost základních a klíčových funkcí, a to i po incidentu, prostřednictvím opatření ke zvýšení odolnosti vůči útokům, jejichž důsledkem je odepření služby, a opatření ke zmírňování těchto útoků,

minimalizují svůj vlastní nepříznivý dopad nebo dopad připojených zařízení na dostupnost služeb poskytovaných jinými zařízeními nebo sítěmi,

jsou navrženy, vyvinuty a vyrobeny tak, aby omezily prostory k útoku, včetně vnějších rozhraní,

jsou navrženy, vyvinuty a vyrobeny tak, aby se snížil dopad incidentu použitím vhodných mechanismů a technik zmírňujících zneužití,

poskytují informace související s bezpečností tím, že zaznamenávají a kontrolují příslušnou interní činnost, včetně přístupu k údajům, službám nebo funkcím či jejich změn, s možností využít mechanismus výjimky pro uživatele,

poskytují uživatelům možnost bezpečně a snadno natrvalo odstranit všechny údaje a nastavení, a pokud mohou být tyto údaje přeneseny do jiných produktů nebo systémů, zajišťují, aby se tak stalo bezpečným způsobem.

Část II Požadavky na řešení zranitelností

Výrobci produktů s digitálními prvky:

určí a zdokumentují zranitelnosti a komponenty obsažené v produktech s digitálními prvky, mj. na základě vypracování softwarového kusovníku (SBOM) v běžně používaném strojově čitelném formátu, který obsahuje přinejmenším nejdůležitější závislosti produktu,

v souvislosti s riziky, která pro produkty s digitálními prvky představují, neprodleně řeší a odstraňují zranitelnosti, mj. na základě poskytování bezpečnostních aktualizací; v případě, že je to technicky možné, jsou bezpečnostní aktualizace poskytovány odděleně od funkčních aktualizací,

provádějí účinné a pravidelné testy a pravidelný přezkum bezpečnosti produktu s digitálními prvky,

po zveřejnění bezpečnostní aktualizace poskytují a uveřejňují informace o opravených zranitelnostech, včetně popisu těchto zranitelností, informací umožňujících uživatelům zjistit dotčený produkt s digitálními prvky, dopadu zranitelností, jejich závažnosti a jasných a přístupných informací, které uživatelům pomáhají tyto zranitelnosti odstranit; v řádně odůvodněných případech, pokud se výrobci domnívají, že bezpečnostní rizika spojená se zveřejněním převažují nad bezpečnostními přínosy, mohou oddálit zveřejnění informací týkajících se opravy zranitelností až do doby, kdy budou mít uživatelé možnost příslušnou opravu použít,

zavádějí a prosazují politiku koordinovaného zveřejňování zranitelností,

přijímají opatření ke snadnějšímu sdílení informací o možných zranitelnostech svého produktu s digitálními prvky a o komponentách třetích stran obsažených v daném produktu, mimo jiné poskytnutím kontaktní adresy pro oznamování zranitelností zjištěných v produktu s digitálními prvky,

stanovují mechanismy pro bezpečnou distribuci aktualizací produktů s digitálními prvky s cílem zajistit, že zranitelnosti budou včas opraveny nebo zmírněny, a že se tak bude u bezpečnostních aktualizací dít automaticky, je-li to možné,

zajišťují, aby v případě, že jsou k dispozici bezpečnostní aktualizace pro řešení zjištěných bezpečnostních problémů, byly neprodleně, a pokud neexistuje jiná dohoda mezi výrobcem a podnikatelským uživatelem s ohledem na produkt s digitálními prvky zhotovený na zakázku, bezplatně šířeny spolu s poradními zprávami, které uživatelům poskytují relevantní informace, včetně informací o možných opatřeních, jež je třeba přijmout.

PŘÍLOHA II

INFORMACE A POKYNY PRO UŽIVATELE

K produktu s digitálními prvky musejí být přiloženy alespoň následující informace:

jméno, zapsaný obchodní název nebo zapsaná ochranná známka výrobce, poštovní a e-mailová adresa nebo jiný digitální kontakt a případně internetová stránka, na níž lze výrobce kontaktovat,

jednotné kontaktní místo, kde lze oznámit a obdržet informace o zranitelnostech produktu s digitálními prvky a kde lze nalézt výrobcovu politiku koordinovaného zveřejňování zranitelností,

název a typ a veškeré další informace umožňující jedinečnou identifikaci produktu s digitálními prvky,

zamýšlený účel produktu s digitálními prvky, včetně bezpečnostního prostředí poskytovaného výrobcem, jakož i základní funkce produktu a informace o jeho bezpečnostních vlastnostech,

jakékoli známé nebo předvídatelné okolnosti související s používáním produktu s digitálními prvky v souladu s jeho zamýšleným účelem nebo za podmínek rozumně předvídatelného nesprávného použití, které mohou vést k významným kybernetickým bezpečnostním rizikům,

případně internetová adresa, na níž je možné získat přístup k EU prohlášení o shodě,

druh technické bezpečnostní podpory, kterou výrobce nabízí, a datum skončení doby podpory, během níž uživatelé mohou očekávat, že budou řešeny zranitelnosti a že obdrží bezpečnostní aktualizace;

podrobné pokyny nebo internetová adresa odkazující na tyto podrobné pokyny a informace:

o nezbytných opatřeních během počátečního uvedení produktu s digitálními prvky do provozu a po celou dobu jeho životnosti, aby bylo zajištěno jeho bezpečné používání,

o tom, jak mohou změny produktu s digitálními prvky ovlivnit bezpečnost údajů,

o tom, jak lze nainstalovat bezpečnostní aktualizace,

o bezpečném vyřazení produktu s digitálními prvky z provozu, včetně informací o tom, jak lze bezpečně odstranit údaje o uživatelích,

o tom, jak lze vypnout standardní nastavení umožňující automatickou instalaci bezpečnostních aktualizací, jak se požaduje v příloze I části I písm. c),

v případě, že je produkt s digitálními prvky určen k zabudování do jiných produktů s digitálními prvky, informace, které potřebuje ten, kdo produkt kompletuje, k tomu, aby mohl dodržet základní požadavky na kybernetickou bezpečnost stanovené v příloze I a požadavky na dokumentaci stanovené v příloze VII,

rozhodne-li se výrobce, že uživateli zpřístupní softwarový kusovník, informace o tom, kde k němu lze získat přístup.

PŘÍLOHA III

DŮLEŽITÉ PRODUKTY S DIGITÁLNÍMI PRVKY

Třída I

1. Software pro systémy správy identity a pro správu privilegovaného přístupu a hardware, včetně čtečky k ověřování totožnosti a ke kontrole přístupu, mj. biometrické čtečky

2. samostatné a vestavěné prohlížeče

3. správci hesel

4. software, který vyhledává škodlivé programy, odstraňuje je nebo je dává do karantény

5. produkty s digitálními prvky s funkcí virtuální soukromé sítě (VPN)

6. systémy řízení sítě

7. systémy řízení bezpečnostních informací a událostí

8. boot manageři

9. infrastruktura veřejných klíčů a software k vydávání digitálních certifikátů

10. fyzická a virtuální síťová rozhraní

11. operační systémy

12. směrovače, modemy určené pro připojení k internetu a přepínače

13. mikroprocesory s bezpečnostními funkcemi

14. mikrořadiče s bezpečnostními funkcemi

15. aplikačně specifické integrované obvody (ASIC) a programovatelná hradlová pole (FPGA) s bezpečnostními funkcemi

16. obecní virtuální asistenti pro chytré domácnosti

17. produkty pro chytré domácnosti s bezpečnostními funkcemi, včetně chytrých dveřních zámků, bezpečnostních kamer, systémů pro monitorování dětí a poplašných systémů

18. hračky připojené k internetu, na které se vztahuje směrnice Evropského parlamentu a Rady 2009/48/ES ( 4 ) a které mají sociální interaktivní funkce (např. k mluvení nebo natáčení) nebo funkce ke sledování polohy

19. osobní výrobky k nošení, které se nosí nebo umísťují na lidské tělo, jejichž účelem je sledovat zdravotní stav a na něž se nevztahuje nařízení (EU) 2017/745 ani (EU) 2017/746, nebo osobní výrobky k nošení, které jsou určeny pro děti a k používání u dětí

Třída II

1. hypervizory a systémy runtime kontejnerů, které podporují virtualizované provedení operačních systémů a podobných prostředí

2. firewally, systémy detekce narušení a prevence

3. mikroprocesory odolné proti manipulaci

4. mikrořadiče odolné proti manipulaci

PŘÍLOHA IV

KRITICKÉ PRODUKTY S DIGITÁLNÍMI PRVKY

1. Hardwarová zařízení s bezpečnostními schránkami

2. přístroje (EU) Smart meter gateway v rámci inteligentních měřicích systémů vymezených v čl. 2 bodu 23 směrnice Evropského parlamentu a Rady (EU) 2019/944 ( 5 ) a další přístroje pro účely zajištění větší bezpečnosti, mj. pro bezpečné přijímání plateb v kryptoměně

3. čipové karty nebo podobná zařízení, včetně zabezpečených prvků

PŘÍLOHA V

EU PROHLÁŠENÍ O SHODĚ

EU prohlášení o shodě podle článku 28 obsahuje všechny tyto informace:

název a druh a veškeré další informace umožňující jedinečnou identifikaci produktu s digitálními prvky

jméno a adresu výrobce nebo jeho zplnomocněného zástupce

uvedení skutečnosti, že EU prohlášení o shodě se vydává na výhradní odpovědnost poskytovatele

předmět prohlášení (identifikace produktu s digitálními prvky umožňující jej zpětně vysledovat, která může v případě potřeby obsahovat fotografii)

konstatování, že předmět výše popsaného prohlášení je ve shodě s příslušnými harmonizačními právními předpisy Unie

odkazy na veškeré příslušné harmonizované normy, které byly použity, nebo na veškeré další společné specifikace či certifikace kybernetické bezpečnosti, v souvislosti s nimiž se shoda prohlašuje

tam, kde je to relevantní, název a číslo oznámeného subjektu, popis postupu posuzování shody a identifikace vydaného certifikátu

další informace:

Podepsáno za a jménem:

(místo a datum vydání):

(jméno, funkce) (podpis):

PŘÍLOHA VI

ZJEDNODUŠENÉ EU PROHLÁŠENÍ O SHODĚ

Zjednodušené EU prohlášení o shodě uvedené v čl. 13 odst. 20 se předkládá v této formě:

… [Název/jméno výrobce] tímto prohlašuje, že typ produktu s digitálními prvky … [uvedení typu produktu s digitálními prvky] je v souladu s nařízením (EU) 2024/2847 ( 6 ).

Úplné znění EU prohlášení o shodě je dostupné na této internetové adrese: …

PŘÍLOHA VII

OBSAH TECHNICKÉ DOKUMENTACE

Technická dokumentace podle 31 obsahuje alespoň tyto informace, které se vztahují na příslušný produkt s digitálními prvky:

všeobecný popis produktu s digitálními prvky, včetně:

jeho zamýšleného účelu,

verzí softwaru, které mají vliv na soulad se základními požadavky na kybernetickou bezpečnost,

fotografií nebo ilustrací, které zobrazují vnější znaky, označení a vnitřní uspořádání, pokud je produkt s digitálními prvky hardwarovým produktem,

informací a pokynů pro uživatele, jak je uvedeno v příloze II,

popis návrhu, vývoje a výroby produktu s digitálními prvky a postupů řešení zranitelností, včetně:

nezbytných informací o návrhu a vývoji produktu s digitálními prvky, případně včetně výkresů a schémat a popisu architektury systému s vysvětlením, jakým způsobem na sebe komponenty softwaru vzájemně navazují nebo jak jsou do sebe začleněny a integrovány do celkového zpracování,

nezbytných informací a specifikací postupů při řešení zranitelností zavedených výrobcem, včetně softwarového kusovníku, politiky koordinovaného zveřejňování zranitelností, důkazů o poskytnutí kontaktní adresy pro podávání zpráv o zranitelnostech a popisu technických řešení zvolených pro bezpečnou distribuci aktualizací,

nezbytných informací a specifikací postupů výroby a monitorování produktu s digitálními prvky a ověření těchto postupů,

posouzení kybernetických bezpečnostních rizik, na ochranu před nimiž je produkt s digitálními prvky navrhován, vyvíjen, vyráběn, dodáván a udržován, podle článku 13, včetně toho, jak se uplatní základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I,

příslušné informace, které byly vzaty v úvahu při stanovení doby podpory produktu s digitálními prvky, podle čl. 13 odst. 8,

seznam harmonizovaných norem, které byly zcela nebo zčásti použity a na které byly zveřejněny odkazy v Úředním věstníku Evropské unie, společných specifikací stanovených v článku 27 tohoto nařízení nebo evropských schémat certifikace kybernetické bezpečnosti přijatých podle nařízení (EU) 2019/881 v souladu s čl. 27 odst. 8 tohoto nařízení, a pokud tyto harmonizované normy, společné specifikace nebo evropská schémata certifikace kybernetické bezpečnosti použity nebyly, popis řešení zvolených ke splnění základních požadavků na kybernetickou bezpečnost stanovených v příloze I, části I a II včetně seznamu jiných příslušných technických specifikací, jež byly použity. V případě částečně použitých harmonizovaných norem, společných specifikací nebo evropských schémat certifikace kybernetické bezpečnosti se v technické dokumentaci uvedou ty části, jež byly použity,

protokoly o zkouškách provedených za účelem ověření shody produktu s digitálními prvky a postupů při řešení zranitelností s příslušnými základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a II,

kopie EU prohlášení o shodě,

případně softwarový kusovník na základě odůvodněné žádosti orgánu dozoru nad trhem za předpokladu, že je to nezbytné k tomu, aby tento orgán mohl ověřit soulad se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I.

PŘÍLOHA VIII

POSTUPY POSUZOVÁNÍ SHODY

Část I Postup posuzování shody založený na interní kontrole (na základě modulu A)

1. Interní kontrola je postupem posuzování shody, kterým výrobce plní povinnosti stanovené v bodech 2, 3 a 4 této části a na vlastní odpovědnost zaručuje a prohlašuje, že produkty s digitálními prvky splňují všechny základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že výrobce splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.

2. Výrobce vypracuje technickou dokumentaci podle přílohy VII.

3. Návrh, vývoj, výroba a řešení zranitelností produktů s digitálními prvky

Výrobce přijme veškerá nezbytná opatření, aby postupy pro návrh, vývoj, výrobu a řešení zranitelností a jejich monitorování zajišťovaly soulad vyráběných nebo vyvíjených produktů s digitálními prvky a postupů zavedených výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a II.

4. Označení shody a prohlášení o shodě

4.1. Výrobce umístí označení CE na každý jednotlivý produkt s digitálními prvky, který splňuje příslušné požadavky stanovené v tomto nařízení.

4.2. Výrobce vypracuje pro každý produkt s digitálními prvky v souladu s článkem 28 písemné EU prohlášení o shodě a po dobu deseti let poté, co byl produkt s digitálními prvky uveden na trh, nebo po dobu trvání doby podpory, podle toho, které z těchto období je delší, je společně s technickou dokumentací uchovává, aby byly k dispozici vnitrostátním orgánům. V EU prohlášení o shodě je uveden produkt s digitálními prvky, pro nějž bylo vypracováno. Kopie EU prohlášení o shodě se na žádost poskytne příslušným orgánům.

5. Zplnomocnění zástupci

Povinnosti výrobce stanovené v bodě 4 mohou být jeho jménem a na jeho odpovědnost splněny jeho zplnomocněným zástupcem, pokud jsou příslušné povinnosti uvedeny v pověření.

Část II EU přezkoušení typu (na základě modulu B)

1. EU přezkoušení typu je tou částí postupu posuzování shody, v níž oznámený subjekt přezkoumává technický návrh a vývoj produktu s digitálními prvky a postupy řešení zranitelností zavedené výrobcem a osvědčí, že produkt s digitálními prvky splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že výrobce splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.

2. EU přezkoušení typu se provádí posouzením vhodnosti technického návrhu a vývoje produktu s digitálními prvky prostřednictvím přezkoumání technické dokumentace a podkladů podle bodu 3 a přezkoušením vzorků jedné nebo více kritických částí produktu (kombinace výrobního typu a konstrukčního typu).

3. Výrobce podá u jediného oznámeného subjektu, který si zvolil, žádost o EU přezkoušení typu.

Žádost obsahuje:

3.1.

jméno a adresu výrobce, a pokud žádost podává zplnomocněný zástupce, jméno a adresu tohoto zplnomocněného zástupce,

3.2.

písemné prohlášení, že stejná žádost nebyla podána u jiného oznámeného subjektu,

3.3.

technickou dokumentaci, která musí umožňovat posouzení shody produktu s digitálními prvky s příslušnými základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a postupy výrobce pro řešení zranitelností stanovenými v příloze I části II, a zahrnuje odpovídající analýzu a posouzení rizik. V technické dokumentaci musejí být uvedeny příslušné požadavky a v míře nutné pro posouzení se musí vztahovat na návrh, výrobu a fungování produktu s digitálními prvky. Technická dokumentace obsahuje v příslušných případech alespoň prvky stanovené v příloze VII,

3.4.

podklady dokládající přiměřenost technických návrhů a vývojových řešení a postupů řešení zranitelností. Tyto podklady musejí odkazovat na všechny příslušné dokumenty, které byly použity, zejména pokud příslušné harmonizované normy nebo technické specifikace nebyly použity v celém rozsahu. Podklady zahrnují v případě potřeby výsledky zkoušek provedených příslušnou laboratoří výrobce nebo jinou zkušební laboratoří jeho jménem a na jeho odpovědnost.

4. Oznámený subjekt:

4.1.

přezkoumá technickou dokumentaci a podklady s cílem posoudit přiměřenost technického návrhu a vývoje produktu s digitálními prvky se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a soulad postupů pro řešení zranitelností zavedených výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II;

4.2.

ověří, zda byly vzorky vyvinuty nebo vyrobeny ve shodě s technickou dokumentací, a určí prvky, které byly navrženy a vyvinuty v souladu s použitelnými ustanoveními příslušných harmonizovaných norem nebo technických specifikací, a také prvky, které byly navrženy a vyvinuty, aniž byla použita příslušná ustanovení uvedených norem;

4.3.

provede nebo nechá provést vhodná přezkoušení a zkoušky, aby ověřil, zda v případě, že výrobce zvolil pro požadavky stanovené v příloze I řešení podle příslušných harmonizovaných norem nebo technických specifikací, byly tyto normy a specifikace použity správně;

4.4.

provede nebo nechá provést příslušná přezkoušení a zkoušky, aby ověřil, zda v případě, že pro požadavky stanovené v příloze I nebyla použita řešení podle příslušných harmonizovaných norem nebo technických specifikací, splňují řešení, která výrobce použil, odpovídající základní požadavky na kybernetickou bezpečnost;

4.5.

dohodne se s výrobcem, na kterém místě budou přezkoušení a zkoušky provedeny.

5. Oznámený subjekt vypracuje zprávu o hodnocení, která zaznamená činnosti provedené podle bodu 4 a jejich výstupy. Aniž jsou dotčeny povinnosti oznámeného subjektu vůči oznamujícím orgánům, zveřejní oznámený subjekt obsah této zprávy, v celém rozsahu nebo částečně, pouze se souhlasem výrobce.

6. Pokud typ a postupy řešení zranitelností splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I, vydá oznámený subjekt výrobci certifikát o EU přezkoušení typu. Certifikát musí obsahovat jméno a adresu výrobce, závěry přezkoušení, podmínky platnosti certifikátu (existují-li) a údaje nezbytné k identifikaci schváleného typu a postupů řešení zranitelností. K certifikátu může být přiložena jedna nebo více příloh.

Certifikát a jeho přílohy obsahují všechny náležité informace umožňující vyhodnotit, zda jsou vyrobené nebo vyvinuté produkty s digitálními prvky ve shodě s přezkoušeným typem a postupy řešení zranitelností, a provést kontrolu za provozu.

Pokud typ a postupy řešení zranitelností nesplňují příslušné základní požadavky na kybernetickou bezpečnost stanovené v příloze I, oznámený subjekt odmítne vydat certifikát o EU přezkoušení typu a uvědomí o tom žadatele, přičemž odmítnutí podrobně odůvodní.

7. Oznámený subjekt dbá na to, aby byl informován o veškerých změnách obecně uznávaného stavu techniky, které by naznačovaly, že schválený typ a postupy řešení zranitelností již nemusí být v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I, a rozhodne, zda tyto změny vyžadují doplňující šetření. Pokud šetření vyžadují, oznámený subjekt o tom informuje výrobce.

Výrobce informuje oznámený subjekt, který uchovává technickou dokumentaci týkající se certifikátu o EU přezkoušení typu, o veškerých změnách schváleného typu a postupech řešení zranitelností, které mohou ovlivnit shodu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I nebo podmínky platnosti certifikátu. Tyto změny vyžadují dodatečné schválení formou dodatku k původnímu certifikátu o EU přezkoušení typu.

8. Oznámený subjekt provádí pravidelné audity, aby zajistil příslušné uplatňování postupů řešení zranitelností, které jsou uvedeny v příloze I části II.

9. Každý oznámený subjekt informuje své oznamující orgány o certifikátech o EU přezkoušení typu nebo dodatcích k nim, které vydal nebo zrušil, a pravidelně či na žádost zpřístupní svým oznamujícím orgánům seznam certifikátů nebo dodatků k nim, které zamítl, pozastavil či jinak omezil.

Každý oznámený subjekt informuje ostatní oznámené subjekty o certifikátech o EU přezkoušení typu nebo dodatcích k nim, které zamítl, zrušil, pozastavil či jinak omezil, a na žádost také o certifikátech nebo dodatcích k nim, které vydal.

Komise, členské státy a ostatní oznámené subjekty mohou na žádost obdržet kopii certifikátů o EU přezkoušení typu a veškerých jejich dodatků. Komise a členské státy mohou na základě žádosti obdržet kopii technické dokumentace a výsledků přezkoušení provedených oznámeným subjektem. Do uplynutí doby platnosti certifikátu o EU přezkoušení typu uchovává oznámený subjekt kopii uvedeného certifikátu, jeho příloh a dodatků a také soubor technické dokumentace včetně dokumentace předložené výrobcem.

10. Po dobu deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto období je delší, uchovává výrobce pro potřebu vnitrostátních orgánů kopii certifikátu EU přezkoušení typu, jeho příloh a dodatků spolu s technickou dokumentací.

11. Zplnomocněný zástupce výrobce může podat žádost uvedenou v bodě 3 a plnit povinnosti stanovené v bodech 7 a 10 za předpokladu, že jsou uvedeny v pověření.

Část III Shoda s typem založená na interním řízení výroby (na základě modulu C)

1. Shoda s typem založená na interním řízení výroby je tou částí postupu posuzování shody, kterým výrobce plní povinnosti stanovené v bodech 2 a 3 této části a zaručuje a prohlašuje, že dané produkty s digitálními prvky jsou ve shodě s typem popsaným v certifikátu EU přezkoušení typu a splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že výrobce splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.

2. Výroba

Výrobce přijme veškerá nezbytná opatření, aby výroba a její kontrola zajišťovaly shodu vyráběných produktů s digitálními prvky se schváleným typem popsaným v certifikátu EU přezkoušení typu a se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I, a zajišťuje, že splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.

3. Označení shody a prohlášení o shodě

3.1.

Výrobce umístí označení CE na každý jednotlivý produkt s digitálními prvky, který je ve shodě s typem popsaným v certifikátu EU přezkoušení typu a splňuje příslušné požadavky stanovené v tomto nařízení.

3.2.

Výrobce vypracuje pro daný model produktu písemné prohlášení o shodě a po dobu deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší, je uchovává pro potřebu vnitrostátních orgánů. V prohlášení o shodě se uvede model produktu, pro nějž bylo vypracováno. Kopie prohlášení o shodě se na žádost poskytne příslušným orgánům.

4. Zplnomocněný zástupce

Povinnosti výrobce stanovené v bodě 3 mohou být jeho jménem a na jeho odpovědnost splněny jeho zplnomocněným zástupcem, pokud jsou uvedeny v příslušném pověření.

Část IV Shoda založená na komplexním zabezpečování kvality (na základě modulu H)

1. Shoda založená na komplexním zabezpečování kvality je postupem posuzování shody, kterým výrobce plní povinnosti stanovené v bodech 2 a 5 této části a na vlastní odpovědnost zaručuje a prohlašuje, že dané produkty s digitálními prvky nebo kategorie produktů splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že postupy pro řešení zranitelností zavedené výrobcem splňují požadavky stanovené v příloze I části II.

2. Návrh, vývoj, výroba a řešení zranitelností produktů s digitálními prvky

Výrobce používá schválený systém kvality podle bodu 3 pro navrhování, vývoj a závěrečnou kontrolu a zkoušení daných produktů s digitálními prvky a pro řešení zranitelností, zachovává jeho účinnost během doby podpory a podléhá dozoru podle bodu 4.

3. Systém kvality

3.1.

Výrobce podá u oznámeného subjektu, který si zvolil, žádost o posouzení svého systému kvality pro dané produkty s digitálními prvky.

Žádost obsahuje:

jméno a adresu výrobce, a pokud žádost podává zplnomocněný zástupce, jméno a adresu tohoto zplnomocněného zástupce,

technickou dokumentaci pro jeden model z každé kategorie produktů s digitálními prvky, které se mají vyrábět nebo vyvíjet. Technická dokumentace obsahuje v příslušných případech přinejmenším prvky stanovené v příloze VII této směrnice,

dokumentaci týkající se systému kvality a

písemné prohlášení, že stejná žádost nebyla podána u jiného oznámeného subjektu.

3.2.

Systém kvality zajistí shodu produktů se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a soulad postupů pro řešení zranitelností zavedených výrobcem s požadavky stanovenými v příloze I části II.

Všechny prvky, požadavky a předpisy používané výrobcem musejí být systematicky a uspořádaně dokumentovány ve formě písemných koncepcí, postupů a návodů. Dokumentace systému kvality musí umožňovat jednotný výklad programů, plánů, příruček a záznamů týkajících se kvality.

Dokumentace systému řízení kvality musí obsahovat zejména přiměřený popis:

cílů z hlediska kvality a organizační struktury, odpovědnosti a pravomocí vedení, pokud jde o návrh, vývoj, kvalitu produktu a řešení zranitelností,

technických specifikací návrhu a vývoje, včetně norem, které budou použity, a v případě, že se příslušné harmonizované normy nebo technické specifikace nepoužijí v celém rozsahu, popis prostředků, které budou použity, aby bylo zajištěno splnění základních požadavků na kybernetickou bezpečnost stanovených v příloze I části I, které se na produkty s digitálními prvky vztahují,

procesních specifikací návrhu, včetně norem, které budou použity, a v případě, že se příslušné harmonizované normy nebo technické specifikace nepoužijí v celém rozsahu, popis prostředků, které budou použity, aby bylo zajištěno splnění základních požadavků na kybernetickou bezpečnost stanovených v příloze I části II, které se na výrobce vztahují,

metod, postupů a systematických opatření týkajících se kontroly a ověřování návrhu, které budou použity při navrhování produktů s digitálními prvky náležejících do příslušné kategorie produktu,

odpovídajících metod, postupů a systematických opatření, které budou použity při výrobě, kontrole a zabezpečování kvality,

kontrol a zkoušek, které budou provedeny před výrobou, během výroby a po výrobě, s uvedením jejich četnosti,

záznamů o kvalitě, například protokolů o kontrolách, výsledků zkoušek, záznamů z provedených kalibrací a zpráv o kvalifikaci příslušných pracovníků,

prostředků umožňujících monitoring požadované kvality návrhu a produktu a efektivního fungováním systému kvality.

3.3.

Oznámený subjekt posoudí systém kvality s cílem určit, zda splňuje požadavky podle bodu 3.2.

U prvků systému kvality, které odpovídají příslušným specifikacím vnitrostátní normy, kterou se provádí příslušná harmonizovaná norma nebo technická specifikace, předpokládá shodu s těmito požadavky.

Auditorský tým musí mít zkušenosti se systémy řízení kvality a znalosti použitelných požadavků stanovených v tomto nařízení a alespoň jeden jeho člen musí mít zkušenosti s hodnocením příslušné oblasti produktu a technologie daného produktu. Audit zahrnuje návštěvu v provozních prostorách výrobce za účelem jejich posouzení, pokud takové prostory existují. Auditorský tým přezkoumá technickou dokumentaci uvedenou v písm. b) bodu 3.1, aby ověřil, že je výrobce schopen určit příslušné požadavky stanovené v tomto nařízení a provádět nezbytná přezkoušení, aby zajistil soulad produktu s digitálními prvky s těmito požadavky.

Rozhodnutí se oznámí výrobci nebo jeho zplnomocněnému zástupci.

Oznámení musí obsahovat závěry auditu a odůvodněné rozhodnutí o posouzení.

3.4.

Výrobce se zavazuje, že bude plnit povinnosti vyplývající ze schváleného systému kvality a že jej bude udržovat, aby byl i nadále odpovídající a účinný.

3.5.

Výrobce informuje oznámený subjekt, který schválil systém kvality, o každé zamýšlené změně tohoto systému.

Oznámený subjekt navrhované změny posoudí a rozhodne, zda změněný systém kvality bude i nadále splňovat požadavky podle bodu 3.2, nebo zda je třeba provést nové posouzení.

Oznámený subjekt oznámí své rozhodnutí výrobci. Oznámení musí obsahovat závěry kontrol a odůvodněné rozhodnutí o posouzení.

4. Dohled, za který odpovídá oznámený subjekt

4.1.

Účelem dozoru je zajistit, aby výrobce řádně plnil povinnosti vyplývající ze schváleného systému kvality.

4.2.

Za účelem posouzení umožní výrobce oznámenému subjektu přístup do prostor určených pro navrhování, vývoj, výrobu, kontrolu, zkoušky a skladování a poskytne mu veškeré potřebné informace, zejména:

dokumentaci systému kvality,

záznamy o kvalitě uvedené v části systému kvality týkající se navrhování, např. výsledky analýz, výpočtů a zkoušek,

záznamy o kvalitě uvedené ve výrobní části systému kvality, např. protokoly o kontrolách, výsledky zkoušek, záznamy z provedených kalibrací a zprávy o kvalifikaci příslušných pracovníků.

4.3.

Oznámený subjekt provádí pravidelné audity, aby se ujistil, že výrobce udržuje a používá systém kvality, a předkládá výrobci zprávu o auditu.

5. Označení shody a prohlášení o shodě

5.1.

Výrobce umístí označení shody a na odpovědnost oznámeného subjektu uvedeného v bodě 3.1. identifikační číslo tohoto subjektu na každý jednotlivý produkt s digitálními prvky, který splňuje požadavky stanovené v příloze I části I.

5.2.

Kopie prohlášení o shodě se na žádost poskytne příslušným orgánům.

6. Výrobce uchovává pro potřebu vnitrostátních orgánů po dobu nejméně deseti let po uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší:

technickou dokumentaci uvedenou v bodě 3.1,

dokumentaci týkající se systému kvality uvedenou v bodě 3.1,

informace o schválené změně podle bodu 3.5,

rozhodnutí a zprávy oznámeného subjektu podle bodů 3.5 a 4.3.

7. Každý oznámený subjekt informuje své oznamující orgány o schváleních systému kvality, která vydal nebo zrušil, a pravidelně či na žádost zpřístupní svým oznamujícím orgánům seznam schválení systému kvality, která zamítl, pozastavil či jinak omezil.

Každý oznámený subjekt informuje ostatní oznámené subjekty o schváleních systému kvality, která zamítl, pozastavil nebo zrušil, a na žádost o schváleních systému kvality, která vydal.

8. Zplnomocněný zástupce

Povinnosti výrobce stanovené v bodech 3.1, 3.5, 5 a 6 mohou být jeho jménem a na jeho odpovědnost plněny jeho zplnomocněným zástupcem, pokud jsou uvedeny v pověření.

K tomuto aktu bylo učiněno prohlášení, které lze nalézt v Úř. věst. C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.

( ) Směrnice Evropského parlamentu a Rady 2014/90/EU ze dne 23. července 2014 o lodní výstroji a o zrušení směrnice Rady 96/98/ES (Úř. věst L 257, 28.8.2014, s. 146).

( ) Směrnice Evropského parlamentu a Rady (EU) 2016/943 ze dne 8. června 2016 o ochraně nezveřejněného know-how a obchodních informací (obchodního tajemství) před jejich neoprávněným získáním, využitím a zpřístupněním (Úř. věst. L 157, 15.6.2016, s. 1).

( *1 ) Nařízení Evropského parlamentu a Rady (EU) 2024/2847 ze dne 23. října 2024 o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky a o změně nařízení (EU) č. 168/2013 a (EU) 2019/1020 a směrnice (EU) 2020/1828 (akt o kybernetické odolnosti) (Úř. věst. L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).“

( *2 ) Nařízení Evropského parlamentu a Rady (EU) 2024/2847 ze dne 23. října 2024 o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky a o změně nařízení (EU) č. 168/2013 a (EU) 2019/1020 a směrnice (EU) 2020/1828 (akt o kybernetické odolnosti) (Úř. věst. L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).“

( ) Nařízení Evropského parlamentu a Rady (EU) č. 168/2013 ze dne 15. ledna 2013 o schvalování dvoukolových nebo tříkolových vozidel a čtyřkolek a dozoru nad trhem s těmito vozidly (Úř. věst. L 60, 2.3.2013, s. 52).

( ) Směrnice Evropského parlamentu a Rady 2009/48/ES ze dne 18. června 2009 o bezpečnosti hraček (Úř. věst. L 170, 30.6.2009, s. 1).

( ) Směrnice Evropského parlamentu a Rady (EU) 2019/944 ze dne 5. června 2019 o společných pravidlech pro vnitřní trh s elektřinou a o změně směrnice 2012/27/EU (Úř. věst. L 158, 14.6.2019, s. 125).

( ) Úř. věst. L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj.

►C1	Oprava, Úř. věst. L 90555, 2.7.2025, s. 1 (2024/2847)
►C2	Oprava, Úř. věst. L 90828, 17.10.2025, s. 1 (2024/2847)