(1)

Η προστασία του δικτύου ή της λειτουργίας του από βλάβη, η προστασία των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής των χρηστών και του συνδρομητή και η προστασία από απάτη, αποτελούν στοιχεία τα οποία υποστηρίζουν την προστασία έναντι κινδύνων κυβερνοασφάλειας.

(2)

Όπως αναφέρεται στην αιτιολογική σκέψη 13 της οδηγίας 2014/53/ΕΕ, η προστασία των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικότητας των χρηστών και των συνδρομητών του ραδιοεξοπλισμού και η προστασία από απάτη μπορούν να βελτιωθούν με τη χρήση συγκεκριμένων χαρακτηριστικών του ραδιοεξοπλισμού. Σύμφωνα με την εν λόγω αιτιολογική σκέψη, ο ραδιοεξοπλισμός θα πρέπει, κατά συνέπεια, στις κατάλληλες περιπτώσεις, να σχεδιάζεται κατά τέτοιον τρόπο, ώστε να υποστηρίζει αυτά τα χαρακτηριστικά.

(3)

Το 5G θα διαδραματίσει καθοριστικό ρόλο στην ανάπτυξη της ενωσιακής ψηφιακής οικονομίας και κοινωνίας κατά τα επόμενα έτη και θα επηρεάσει ενδεχομένως σχεδόν κάθε πτυχή της ζωής των πολιτών της Ένωσης. Στο έγγραφο με τίτλο «Κυβερνοασφάλεια των δικτύων 5G – Εργαλειοθήκη της ΕΕ για μέτρα μετριασμού των κινδύνων» (2) προσδιορίζεται μια ενδεχόμενη κοινή δέσμη μέτρων, τα οποία μπορούν να μετριάσουν του κύριους κινδύνους κυβερνοασφάλειας των δικτύων 5G, και παρέχει καθοδήγηση για την επιλογή των μέτρων στα οποία θα πρέπει να δοθεί προτεραιότητα στα σχέδια μετριασμού σε εθνικό και ενωσιακό επίπεδο. Εκτός από τα εν λόγω μέτρα, είναι ιδιαίτερα σημαντικό να ακολουθηθεί μια εναρμονισμένη προσέγγιση ως προς τις ουσιώδεις απαιτήσεις που σχετίζονται με στοιχεία προστασίας της κυβερνοασφάλειας που μπορούν να εφαρμοστούν σε ραδιοεξοπλισμό 5G κατά τη διάθεσή του στην αγορά της Ένωσης.

(4)

Το επίπεδο ασφάλειας που ισχύει δυνάμει των ουσιωδών απαιτήσεων της Ένωσης, οι οποίες ορίζονται στο άρθρο 3 παράγραφος 3 στοιχεία δ), ε) και στ) για την εξασφάλιση της προστασίας του δικτύου, των διασφαλίσεων για την προστασία των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής και της προστασίας από απάτη δεν υπονομεύουν το υψηλό επίπεδο ασφάλειας που απαιτείται σε εθνικό επίπεδο για αποκεντρωμένα έξυπνα δίκτυα στον τομέα της ενέργειας, όπου οι έξυπνοι μετρητές που υπόκεινται στις εν λόγω απαιτήσεις πρόκειται να χρησιμοποιηθούν, καθώς και για εξοπλισμό δικτύου 5G που χρησιμοποιούν οι πάροχοι δημόσιων δικτύων ηλεκτρονικών επικοινωνιών και διαθέσιμων στο κοινό υπηρεσιών ηλεκτρονικών επικοινωνιών, κατά την έννοια της οδηγίας (ΕΕ) 2018/1972 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (3).

(5)

Εκφράστηκαν επίσης πολλές σχετικά με τους αυξανόμενους κινδύνους κυβερνοασφάλειας που απορρέουν από την αυξημένη ανησυχίες χρήση από επαγγελματίες και καταναλωτές, συμπεριλαμβανομένων παιδιών, ραδιοεξοπλισμού ο οποίος: i) είναι σε θέση από μόνος του να επικοινωνεί μέσω διαδικτύου, ανεξάρτητα από το αν επικοινωνεί απευθείας ή μέσω οποιουδήποτε άλλου εξοπλισμού (στο εξής: ραδιοεξοπλισμός συνδεδεμένος με το διαδίκτυο), δηλαδή ο εν λόγω συνδεδεμένος με το διαδίκτυο ραδιοεξοπλισμός εκτελεί πρωτόκολλα που είναι αναγκαία για την ανταλλαγή δεδομένων με το διαδίκτυο είτε απευθείας είτε μέσω ενδιάμεσου εξοπλισμού, ii) μπορεί είτε να είναι παιχνίδι με ραδιολειτουργία που εμπίπτει επίσης στο πεδίο εφαρμογής της οδηγίας 2009/48/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (4) είτε να είναι σχεδιασμένος ή να προορίζεται αποκλειστικά για παιδική φροντίδα, όπως οθόνες παρακολούθησης παιδιών (child monitors) ή iii) είναι σχεδιασμένος ή προορίζεται, αποκλειστικά ή μη, για να φορεθεί, να δεθεί ή να κρεμαστεί από οποιοδήποτε μέρος του ανθρώπινου σώματος (συμπεριλαμβανομένων του κεφαλιού, του λαιμού, των άνω και κάτω άκρων) ή από οποιοδήποτε είδος ρουχισμού (συμπεριλαμβανομένων εκείνων για το κεφάλι, τα χέρια και των υποδημάτων) που φοριέται από ανθρώπους, όπως ραδιοεξοπλισμός με τη μορφή ρολογιού χειρός, δαχτυλιδιού, βραχιολιού, ακουστικών, ακουστικών αυτιών ή γυαλιών (στο εξής: φορετός ραδιοεξοπλισμός).

(6)

Από αυτήν την άποψη, κάθε ραδιοεξοπλισμός παιδικής φροντίδας, ο ραδιοεξοπλισμός που καλύπτεται από την οδηγία 2009/48/ΕΚ ή φορετός ραδιοεξοπλισμός, ο οποίος είναι σε θέση από μόνος του να επικοινωνεί μέσω διαδικτύου, ανεξάρτητα από το αν επικοινωνεί απευθείας ή μέσω οποιουδήποτε άλλου εξοπλισμού, θα πρέπει να θεωρείται ότι συνιστά ραδιοεξοπλισμό συνδεδεμένο στο διαδίκτυο. Τα εμφυτεύματα, για παράδειγμα, δεν θα πρέπει να θεωρούνται φορετός ραδιοεξοπλισμός καθώς δεν φοριούνται, δένονται ή κρεμιούνται από οποιοδήποτε μέρος του ανθρώπινου σώματος ή οποιοδήποτε είδος ρουχισμού. Ωστόσο, τα εμφυτεύματα θα πρέπει να θεωρούνται ραδιοεξοπλισμός συνδεδεμένος με το διαδίκτυο αν είναι σε θέση από μόνα τους να επικοινωνούν μέσω διαδικτύου, ανεξάρτητα από το αν επικοινωνούν απευθείας ή μέσω οποιουδήποτε άλλου εξοπλισμού.

(7)

Δεδομένων των ανησυχιών που εκφράστηκαν λόγω του γεγονότος ότι ο ραδιοεξοπλισμός δεν εξασφαλίζει προστασία έναντι στοιχείων των κινδύνων κυβερνοασφάλειας, είναι απαραίτητο να καταστεί δυνατή η εφαρμογή, όσον αφορά ραδιοεξοπλισμό εντός ορισμένων κατηγοριών ή κλάσεων, των ουσιωδών απαιτήσεων της οδηγίας 2014/53/ΕΕ που σχετίζονται με την προστασία του δικτύου από βλάβη, την προστασία των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής των χρηστών και των συνδρομητών και την προστασία από απάτη.

(8)

Η οδηγία 2014/53/ΕΕ εφαρμόζεται σε προϊόντα που πληρούν τον ορισμό του «ραδιοεξοπλισμού» του άρθρου 2 της εν λόγω οδηγίας και υπόκεινται σε ειδικές εξαιρέσεις που προσδιορίζονται στο άρθρο 1 παράγραφος 2 και στο άρθρο 1 παράγραφος 3 της εν λόγω οδηγίας. Παρότι ο ορισμός του ραδιοεξοπλισμού στο άρθρο 2 της οδηγίας 2014/53/ΕΕ αναφέρεται σε εξοπλισμό που μπορεί να επικοινωνεί με ραδιοκύματα, οι απαιτήσεις της οδηγίας 2014/53/ΕΕ δεν διακρίνουν μεταξύ ραδιολειτουργιών και μη του ραδιοεξοπλισμού και, συνεπώς, όλες οι πτυχές και τα μέρη του εξοπλισμού θα πρέπει να συμμορφώνονται με τις ουσιώδεις απαιτήσεις που προβλέπονται στον παρόντα κατ’ εξουσιοδότηση κανονισμό.

(9)

Όσον αφορά τη βλάβη στο δίκτυο ή στη λειτουργία του ή την κατάχρηση των πόρων του δικτύου, η μη αποδεκτή υποβάθμιση των υπηρεσιών μπορεί να προκληθεί από ραδιοεξοπλισμό συνδεδεμένο στο διαδίκτυο ο οποίος δεν εξασφαλίζει ότι τα δίκτυα δεν βλάπτονται ή ότι δεν αποτελούν αντικείμενο κατάχρησης. Για παράδειγμα, ένας επιτιθέμενος μπορεί κακόβουλα να κατακλύσει το δίκτυο του διαδικτύου ώστε να αποτρέψει τη θεμιτή κίνηση του δικτύου, να διακόψει τις συνδέσεις μεταξύ δύο ραδιοπροϊόντων αποτρέποντας με τον τρόπο αυτό την πρόσβαση σε υπηρεσία, να εμποδίσει συγκεκριμένο πρόσωπο να έχει πρόσβαση σε υπηρεσία, να διακόψει μια υπηρεσία σε ένα συγκεκριμένο σύστημα ή σε πρόσωπο ή να διακόψει την πληροφόρηση. Η υποβάθμιση των διαδικτυακών υπηρεσιών μπορεί με αυτόν τον τρόπο να οδηγήσει σε κακόβουλες κυβερνοεπιθέσεις, οι οποίες θα συνεπάγονται αυξημένο κόστος, ταλαιπωρία ή κινδύνους για τους φορείς εκμετάλλευσης, τους παρόχους υπηρεσιών ή τους χρήστες. Συνεπώς, το άρθρο 3 παράγραφος 3 στοιχείο δ) της οδηγίας 2014/53/ΕΕ που επιβάλλει ο ραδιοεξοπλισμός να μην βλάπτει το δίκτυο ή τη λειτουργία του ούτε να κάνει κατάχρηση των πόρων του δικτύου με αποτέλεσμα τη μη αποδεκτή υποβάθμιση της υπηρεσίας, θα πρέπει να εφαρμόζεται σε ραδιοεξοπλισμό συνδεδεμένο στο διαδίκτυο.

(10)

Επίσης, εκφράστηκαν ανησυχίες σχετικά με την προστασία των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής του χρήστη και του συνδρομητή του συνδεδεμένου με το διαδίκτυο ραδιοεξοπλισμού λόγω της δυνατότητας του εν λόγω ραδιοεξοπλισμού να καταγράφει, να αποθηκεύει και να ανταλλάσσει πληροφορίες, καθώς και να αλληλεπιδρά με τον χρήστη, συμπεριλαμβανομένων των παιδιών, όταν είναι ενσωματωμένα στον εν λόγω ραδιοεξοπλισμό ηχεία, μικρόφωνα και άλλοι αισθητήρες. Οι ανησυχίες αυτές σχετίζονται με τη δυνατότητα του εν λόγω ραδιοεξοπλισμού να καταγράφει φωτογραφίες, βίντεο, δεδομένα εντοπισμού θέσης, δεδομένα που συνδέονται με την εμπειρία του παιχνιδιού, καθώς και τους καρδιακούς παλμούς, τις συνήθειες ύπνου ή άλλα δεδομένα προσωπικού χαρακτήρα. Για παράδειγμα, στις προηγμένες ρυθμίσεις του ραδιοεξοπλισμού είναι δυνατή η πρόσβαση μέσω ενός προεπιλεγμένου κωδικού πρόσβασης αν η σύνδεση ή τα δεδομένα δεν είναι κρυπτογραφημένα ή αν δεν υπάρχει ισχυρός μηχανισμός επαλήθευσης.

(11)

Κατά συνέπεια, είναι σημαντικό ο συνδεδεμένος με το διαδίκτυο ραδιοεξοπλισμός, που διατίθεται στην αγορά της Ένωσης, να ενσωματώνει διασφαλίσεις για την εξασφάλιση της προστασίας των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής όταν έχει τη δυνατότητα να επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, όπως ορίζονται στο άρθρο 4 στοιχείο 1) του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (5) ή τα δεδομένα που ορίζονται στο άρθρο 2 στοιχεία β) και γ) της οδηγίας 2002/58/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (6). Το άρθρο 3 παράγραφος 3 στοιχείο ε) της οδηγίας 2014/53/ΕΕ θα πρέπει, συνεπώς, να εφαρμοστεί στον συνδεδεμένο με το διαδίκτυο ραδιοεξοπλισμό.

(12)

Επιπλέον, όσον αφορά την προστασία των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής, ο ραδιοεξοπλισμός παιδικής φροντίδας, ο ραδιοεξοπλισμός που καλύπτεται από την οδηγία 2009/48/ΕΚ και ο φορετός ραδιοεξοπλισμός ενέχουν κινδύνους ασφάλειας, ακόμη και όταν δεν υπάρχει σύνδεση στο διαδίκτυο. Τα δεδομένα προσωπικού χαρακτήρα μπορούν να υποκλαπούν όταν ο εν λόγω ραδιοεξοπλισμός εκπέμπει ή λαμβάνει ραδιοκύματα και δεν διαθέτει διασφαλίσεις που να εξασφαλίζουν την προστασία των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής. Ο ραδιοεξοπλισμός παιδικής φροντίδας, ο ραδιοεξοπλισμός που καλύπτεται από την οδηγία 2009/48/ΕΚ και ο φορετός ραδιοεξοπλισμός μπορούν να παρακολουθούν και να καταχωρίζουν πολλά ευαίσθητα (προσωπικού χαρακτήρα) δεδομένα του χρήστη με την πάροδο του χρόνου και να τα αναδιαβιβάζουν μέσω τεχνολογιών επικοινωνίας που ενδέχεται να μην είναι ασφαλείς. Ο ραδιοεξοπλισμός παιδικής φροντίδας, ο ραδιοεξοπλισμός που καλύπτεται από την οδηγία 2009/48/ΕΚ και ο φορετός ραδιοεξοπλισμός θα πρέπει επίσης να εξασφαλίζουν προστασία των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής όταν έχουν τη δυνατότητα να επεξεργάζονται, κατά την έννοια του άρθρου 4 στοιχείο 2) του κανονισμού (ΕΕ) 2016/679, δεδομένα προσωπικού χαρακτήρα όπως ορίζονται στο άρθρο 4 στοιχείο 1) του κανονισμού (ΕΕ) 2016/679 ή δεδομένα κίνησης και δεδομένα θέσης, όπως ορίζονται στο άρθρο 2 στοιχεία β) και γ) της οδηγίας 2002/58/ΕΚ. Το άρθρο 3 παράγραφος 3 στοιχείο ε) της οδηγίας 2014/53/ΕΕ θα πρέπει, συνεπώς, να εφαρμοστεί στον εν λόγω ραδιοεξοπλισμό.

(13)

Σε σχέση με την απάτη, οι πληροφορίες που περιέχονται σε δεδομένα προσωπικού χαρακτήρα μπορούν να κλαπούν από ραδιοεξοπλισμό συνδεδεμένο με το διαδίκτυο που δεν εξασφαλίζει προστασία από απάτη. Ορισμένα είδη απάτης αφορούν ραδιοεξοπλισμό συνδεδεμένο με το διαδίκτυο όταν χρησιμοποιείται για την πραγματοποίηση πληρωμών μέσω διαδικτύου. Το κόστος μπορεί να είναι υψηλό και δεν αφορά μόνο το πρόσωπο που έπεσε θύμα απάτης αλλά και την κοινωνία στο σύνολό της (για παράδειγμα, το κόστος της αστυνομικής έρευνας, το κόστος των υπηρεσιών υποστήριξης θυμάτων, το κόστος των δικαστηρίων για την απόδοση ευθυνών). Συνεπώς, είναι απαραίτητο να διασφαλίζονται αξιόπιστες συναλλαγές και να ελαχιστοποιείται ο κίνδυνος πρόκλησης χρηματικής ζημίας για τους χρήστες του συνδεδεμένου με το διαδίκτυο ραδιοεξοπλισμού που εκτελούν πληρωμές μέσω του εν λόγω ραδιοεξοπλισμού και για τον αποδέκτη της πληρωμής που διενεργήθηκε μέσω αυτού του ραδιοεξοπλισμού.

(14)

Ο συνδεδεμένος με το διαδίκτυο ραδιοεξοπλισμός που διατίθεται στην αγορά της Ένωσης θα πρέπει να υποστηρίζει χαρακτηριστικά για την εξασφάλιση προστασίας από απάτη όταν παρέχει τη δυνατότητα στον κάτοχο ή τον χρήστη να μεταφέρει χρήματα, νομισματική αξία ή εικονικό νόμισμα, όπως ορίζεται στο άρθρο 2 στοιχείο δ) της οδηγίας (ΕΕ) 2019/713 του Ευρωπαϊκού κοινοβουλίου και του Συμβουλίου (7). Το άρθρο 3 παράγραφος 3 στοιχείο στ) της οδηγίας 2014/53/ΕΕ θα πρέπει, συνεπώς, να εφαρμοστεί στον εν λόγω ραδιοεξοπλισμό.

(15)

Ο κανονισμός (ΕΕ) 2017/745 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (8) θεσπίζει κανόνες σχετικά με τα ιατροτεχνολογικά προϊόντα και ο κανονισμός (ΕΕ) 2017/746 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (9) θεσπίζει κανόνες σχετικά με τα in vitro διαγνωστικά ιατροτεχνολογικά προϊόντα. Τόσο ο κανονισμός (ΕΕ) 2017/745 όσο και ο κανονισμό (ΕΕ) 2017/746 αντιμετωπίζουν ορισμένα στοιχεία των κινδύνων κυβερνοασφάλειας που σχετίζονται με του κινδύνους που αντιμετωπίζονται από το άρθρο 3 παράγραφος 3 στοιχεία δ), ε) και στ) της οδηγίας 2014/53/ΕΕ. Συνεπώς, ο ραδιοεξοπλισμός, στον οποίο εφαρμόζεται οποιοσδήποτε από αυτούς τους κανονισμούς, δεν θα πρέπει να εμπίπτει στις κατηγορίες ή κλάσεις ραδιοεξοπλισμού οι οποίες πρέπει να συμμορφώνονται με τις ουσιώδεις απαιτήσεις που ορίζονται στο άρθρο 3 παράγραφος 3 στοιχεία δ), ε) και στ) της οδηγίας 2014/53/ΕΕ.

(16)

Ο κανονισμός (ΕΕ) 2019/2144 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (10) θεσπίζει απαιτήσεις για την έγκριση τύπου οχημάτων και των συστημάτων και κατασκευαστικών τους στοιχείων. Επιπλέον, ο κύριος στόχος του κανονισμού (ΕΕ) 2018/1139 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (11) είναι η εγκαθίδρυση και διατήρηση υψηλού και ομοιόμορφου επιπέδου ασφαλείας της πολιτικής αεροπορίας στην Ένωση. Επίσης, η οδηγία (ΕΕ) 2019/520 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (12) θεσπίζει τους όρους για τη διαλειτουργικότητα των συστημάτων τηλεδιοδίων και για τη διευκόλυνση της διασυνοριακής ανταλλαγής πληροφοριών για μη καταβολή οδικών τελών στην Ένωση. Οι κανονισμοί (ΕΕ) 2019/2144 και (ΕΕ) 2018/1139, και η οδηγία (ΕΕ) 2019/520 αντιμετωπίζουν στοιχεία των κινδύνων κυβερνοασφάλειας που σχετίζονται με του κινδύνους που αναφέρονται στο το άρθρο 3 παράγραφος 3 στοιχεία δ), ε) και στ) της οδηγίας 2014/53/ΕΕ. Συνεπώς, ο ραδιοεξοπλισμός στον οποίο εφαρμόζονται οι κανονισμοί (ΕΕ) 2019/2144 και (ΕΕ) 2018/1139 ή η οδηγία (ΕΕ) 2019/520 δεν θα πρέπει να εμπίπτει στις κατηγορίες ή στις κλάσεις ραδιοεξοπλισμού οι οποίες θα πρέπει να συμμορφώνονται με τις ουσιώδεις απαιτήσεις που ορίζονται στο άρθρο 3 παράγραφος 3 στοιχεία ε) και στ) της οδηγίας 2014/53/ΕΕ.

(17)

Το άρθρο 3 της οδηγίας 2014/53/ΕΕ προβλέπει ουσιώδεις απατήσεις προς τις οποίες πρέπει να συμμορφώνονται οικονομικοί φορείς. Για να διευκολυνθεί η αξιολόγηση της συμμόρφωσης με τις εν λόγω απαιτήσεις, προβλέπει ένα τεκμήριο συμμόρφωσης για ραδιοεξοπλισμό που συμμορφώνεται με εθελοντικά εναρμονισμένα πρότυπα τα οποία εκδίδονται σύμφωνα με τον κανονισμό (ΕΕ) αριθ. 1025/2012 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου (13) με σκοπό τη διατύπωση λεπτομερών τεχνικών προδιαγραφών των εν λόγω απαιτήσεων. Οι προδιαγραφές θα εξετάσουν και θα αντιμετωπίσουν το επίπεδο των κινδύνων που αντιστοιχούν στην προβλεπόμενη χρήση κάθε κατηγορίας ή κλάσης ραδιοεξοπλισμού που αφορά αυτός ο κανονισμός.

(18)

Θα πρέπει να δοθεί επαρκής χρόνος στους οικονομικούς φορείς ώστε να προσαρμοστούν στις απαιτήσεις του παρόντος κανονισμού. Για τον λόγο αυτόν, η εφαρμογή του παρόντος κανονισμού θα πρέπει να μετατεθεί χρονικά. Ο παρών κανονισμός δεν εμποδίζει τους οικονομικούς φορείς να συμμορφώνονται με αυτόν από την ημερομηνία έναρξης της ισχύος του.

(19)

Η Επιτροπή διεξήγαγε τις κατάλληλες διαβουλεύσεις κατά τις προπαρασκευαστικές εργασίες των μέτρων που ορίζονται στον παρόντα κανονισμό και ζήτησε τη γνώμη της ομάδας εμπειρογνωμόνων για τον ραδιοεξοπλισμό,