(1)

Zaštita mreže ili njezina funkcioniranja od štete, zaštita osobnih podataka i privatnosti korisnika i pretplatnika te zaštita od prijevara elementi su kojima se podupire zaštita od kibersigurnosnih rizika.

(2)

Kako je navedeno u uvodnoj izjavi 13. Direktive 2014/53/EU, zaštita osobnih podataka i privatnosti korisnika i pretplatnika radijske opreme te zaštita od prijevare može se pojačati određenim funkcijama radijske opreme. U skladu s tom uvodnom izjavom, radijska oprema trebala bi stoga u odgovarajućim slučajevima biti projektirana tako da podržava te funkcije.

(3)

U nadolazećim godinama 5G mreža imat će važnu ulogu u razvoju digitalnog gospodarstva i društva Unije te će potencijalno utjecati na gotovo svaki aspekt života građana Unije. U dokumentu naslovljenom „Kibersigurnost 5G mreža – Paket instrumenata EU-a za smanjivanje rizika” (2) navodi se mogući zajednički skup mjera za ublažavanje glavnih kibersigurnosnih rizika 5G mreža i daju smjernice za odabir mjera kojima bi trebalo dati prednost u planovima za ublažavanje na nacionalnoj razini i na razini Unije. Uz te je mjere vrlo važno slijediti usklađeni pristup bitnim zahtjevima koji se odnose na elemente zaštite kibersigurnosti koji se primjenjuju na 5G radijsku opremu pri stavljanju na tržište Unije.

(4)

Razinom sigurnosti primjenjivom u skladu s bitnim zahtjevima Unije utvrđenima u članku 3. stavku 3. točkama (d), (e) i (f) radi zaštite mreže, uvođenja zaštitnih mjera za zaštitu osobnih podataka i privatnosti te zaštite od prijevara ne smije se ugroziti visoka razina sigurnosti koja se zahtijeva na nacionalnoj razini za decentralizirane pametne mreže u području energetike u kojem će se upotrebljavati pametna brojila koja podliježu tim zahtjevima i za 5G mrežnu opremu kojom se koriste pružatelji javnih elektroničkih komunikacijskih mreža i javno dostupnih elektroničkih komunikacijskih usluga u smislu Direktive (EU) 2018/1972 Europskog parlamenta i Vijeća (3).

(5)

U brojnim je stajalištima izražena i zabrinutost zbog sve većih kibersigurnosnih rizika do kojih dolazi jer se stručnjaci i potrošači, uključujući djecu, sve više koriste radijskom opremom koja: i. može komunicirati putem interneta, neovisno o tome komunicira li izravno ili posredovanjem bilo koje druge opreme („radijska oprema priključena na internet”), tj. takva oprema povezana s internetom upravlja protokolima potrebnima za razmjenu podataka s internetom, bilo izravno ili putem posredničke opreme; ii. može biti igračka s radijskom funkcijom koja je ujedno obuhvaćena područjem primjene Direktive 2009/48/EZ Europskog parlamenta i Vijeća (4) ili je projektirana ili namijenjena isključivo za skrb o djeci, kao što su monitori za nadgledanje djece; ili iii. je izrađena ili namijenjena, isključivo ili ne, za nošenje pričvršćena ili obješena na bilo kojem dijelu ljudskog tijela (uključujući glavu, vrat, trup, ruke, dlanove, noge i stopala) ili bilo kojoj odjeći (uključujući pokrivala za glavu i ruke te obuću) koju nose ljudi, kao što je radijska oprema u obliku ručnog sata, prstena, narukvice, slušalica ili naočala („radijska oprema za nošenje na tijelu”).

(6)

U tom bi se pogledu svaka radijska oprema za skrb o djeci, radijska oprema obuhvaćena Direktivom 2009/48/EZ ili radijska oprema za nošenje na tijelu koja može komunicirati putem interneta, neovisno o tome komunicira li izravno ili posredovanjem bilo koje druge opreme, trebala smatrati radijskom opremom priključenom na internet. Primjerice, implantati se ne bi trebali smatrati radijskom opremom za nošenje pričvršćena ili obješena na tijelu jer se ne nose ni na kojem dijelu ljudskog tijela ni ikojoj odjeći niti vješaju s nikojeg dijela ljudskog tijela ni odjeće. Međutim, implantate bi trebalo smatrati radijskom opremom priključenom na internet ako su sposobni komunicirati putem interneta, bez obzira na to komuniciraju li izravno ili posredovanjem bilo koje druge opreme.

(7)

S obzirom na zabrinutost zbog činjenice da radijska oprema ne osigurava zaštitu od elemenata kibersigurnosnih rizika, potrebno je na određene kategorije ili razrede radijske opreme primijeniti bitne zahtjeve Direktive 2014/53/EU povezane sa zaštitom mreže od štete, zaštitom osobnih podataka i privatnosti korisnika i pretplatnika te zaštitom od prijevara.

(8)

Direktiva 2014/53/EU primjenjuje se na proizvode koji odgovaraju definiciji „radijske opreme” iz njezina članka 2., podložno posebnim izuzećima navedenima u njezinu članku 1. stavcima 2. i 3. Iako se definicija radijske opreme u članku 2. Direktive 2014/53/EU odnosi na opremu koja može komunicirati radijskim valovima, u zahtjevima Direktive 2014/53/EU ne pravi se razlika između radijskih i neradijskih funkcija radijske opreme pa bi stoga svi aspekti i dijelovi opreme trebali biti u skladu s bitnim zahtjevima iz ove Delegirane uredbe.

(9)

Kad je riječ o šteti mreže ili njezinog funkcioniranja ili zlouporabi mrežnih resursa, neprihvatljivo umanjivanje kakvoće usluga može biti uzrokovano radijskom opremom priključenom na internet koja ne osigurava da se mreže ne oštete ili da se ne zloupotrebljavaju. Na primjer, napadač može zlonamjerno preplaviti internetsku mrežu kako bi spriječio zakoniti mrežni promet, poremetiti veze između dva radijska proizvoda i tako spriječiti pristup usluzi, spriječiti određenu osobu da pristupi usluzi, prekinuti uslugu prema određenom sustavu ili osobi ili ometati informacije. Umanjivanje kakvoće internetskih usluga stoga može dovesti do zlonamjernih kibernapada, što će uzrokovati povećane troškove, neugodnosti ili rizike za operatore, pružatelje usluga ili korisnike. Članak 3. stavak 3. točka (d) Direktive 2014/53/EU, kojim se zahtijeva da radijska oprema ne šteti mreži niti njezinom funkcioniranju niti zlorabi mrežne resurse jer bi u suprotnom došlo do neprihvatljivog umanjivanja kakvoće usluge, stoga bi se trebao primjenjivati na radijsku opremu priključenu na internet.

(10)

Izražena je zabrinutost i u pogledu zaštite osobnih podataka i privatnosti korisnika i pretplatnika radijske opreme priključene na internet zbog mogućnosti te radijske opreme da snima, pohranjuje i dijeli informacije, komunicira s korisnikom, uključujući djecu, kad su zvučnici, mikrofoni i drugi senzori integrirani u tu radijsku opremu. Ta se zabrinutost posebno odnosi na sposobnost te radijske opreme da snima fotografije, videozapise, podatke o lokaciji, podatke povezane s iskustvom igranja te broj otkucaja srca, navike spavanja ili druge osobne podatke. Na primjer, naprednim postavkama radijske opreme može se pristupiti s pomoću zadane lozinke ako priključak ili podaci nisu šifrirani ili ako nije uspostavljen pouzdan mehanizam autentifikacije.

(11)

Stoga je važno da radijska oprema priključena na internet koja se stavlja na tržište Unije sadržava mjere za zaštitu osobnih podataka i privatnosti ako je u stanju obrađivati osobne podatke kako su definirani u članku 4. stavku 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća (5) ili podatke definirane u članku 2. točkama (b) i (c) Direktive 2002/58/EZ Europskog parlamenta i Vijeća (6). Članak 3. stavak 3. točka (e) Direktive 2014/53/EU stoga bi se trebao primjenjivati na radijsku opremu priključenu na internet.

(12)

Usto, kad je riječ o zaštiti osobnih podataka i privatnosti, radijska oprema za skrb o djeci, radijska oprema obuhvaćena Direktivom 2009/48/EZ i radijska oprema za nošenje na tijelu predstavlja sigurnosni rizik čak i ako nema internetske veze. Presretanje osobnih podataka moguće je i ako radijska oprema emitira ili prima radijske valove, a nedostaju mjere kojima se osigurava zaštita osobnih podataka i privatnosti. Radijska oprema za skrb o djeci, radijska oprema obuhvaćena Direktivom 2009/48/EZ i radijska oprema za nošenje na tijelu može postupno pratiti i bilježiti niz osjetljivih (osobnih) podataka korisnika i dalje ih prenositi putem komunikacijskih tehnologija koje bi mogle biti nesigurne. Radijska oprema za skrb o djeci, radijska oprema obuhvaćena Direktivom 2009/48/EZ i radijska oprema za nošenje na tijelu usto bi trebala osigurati zaštitu osobnih podataka i privatnosti ako u smislu članka 4. stavka 2. Uredbe (EU) 2016/679 ima sposobnost obrade osobnih podataka kako su definirani u članku 4. stavku 1. Uredbe (EU) 2016/679 ili podataka o prometu i lokaciji kako su definirani u članku 2. točkama (b) i (c) Direktive 2002/58/EZ. Članak 3. stavak 3. točka (e) Direktive 2014/53/EU stoga bi se trebao primjenjivati na tu radijsku opremu.

(13)

Kad je riječ o prijevarama, informacije, uključujući osobne podatke, mogu se ukrasti s radijske opreme priključene na internet, čime se otvara mogućnost prijevara. Posebne vrste prijevara odnose se na radijsku opremu priključenu na internet kad se ta oprema upotrebljava za plaćanja putem interneta. Troškovi mogu biti visoki i ne odnose se samo na osobu koja je pretrpjela prijevaru nego i na društvo u cjelini (na primjer, trošak policijske istrage, troškovi službi za žrtve, troškovi sudskih postupaka za utvrđivanje odgovornosti). Stoga je potrebno osigurati pouzdane transakcije i svesti na najmanju moguću mjeru rizik od financijskog gubitka za korisnika radijske opreme priključene na internet koji izvršava plaćanje putem te radijske opreme i primatelja plaćanja izvršenog upotrebom te radijske opreme.

(14)

Radijska oprema priključena na internet stavljena na tržište Unije trebala bi podržavati značajke kojima se osigurava zaštita od prijevara ako ujedno omogućuje nositelju ili korisniku prijenos novca, novčane vrijednosti ili virtualne valute kako je definirano u članku 2. točki (d) Direktive (EU) 2019/713 Europskog parlamenta i Vijeća (7). Članak 3. stavak 3. točka (f) Direktive 2014/53/EU stoga bi se trebao primjenjivati na tu radijsku opremu.

(15)

Uredbom (EU) 2017/745 Europskog parlamenta i Vijeća (8) utvrđuju se pravila o medicinskim proizvodima, a Uredbom (EU) 2017/746 Europskog parlamenta i Vijeća (9) utvrđuju se pravila o in vitro dijagnostičkim medicinskim proizvodima. Uredbom (EU) 2017/745 i Uredbom (EU) 2017/746 obuhvaćeni su određeni elementi kibersigurnosnih rizika povezanih s rizicima obuhvaćenima člankom 3. stavkom 3. točkama (d), (e) i (f) Direktive 2014/53/EU. Radijska oprema na koju se primjenjuje bilo koja od tih uredaba stoga ne bi trebala biti obuhvaćena kategorijama ili razredima radijske opreme koja bi trebala biti u skladu s bitnim zahtjevima iz članka 3. stavka 3. točaka (d), (e) i (f) Direktive 2014/53/EU.

(16)

Uredbom (EU) 2019/2144 Europskog parlamenta i Vijeća (10) utvrđuju se zahtjevi za homologaciju vozila te njihovih sustava i sastavnih dijelova. Usto, glavni je cilj Uredbe (EU) 2018/1139 Europskog parlamenta i Vijeća (11) uspostaviti i održavati visoku i ujednačenu razinu sigurnosti civilnog zračnog prometa u Uniji. Štoviše, Direktivom (EU) 2019/520 Europskog parlamenta i Vijeća (12) utvrđeni su zahtjevi za interoperabilnost elektroničkih sustava za naplatu cestarine i olakšavanje prekogranične razmjene informacija o neplaćanju cestarina u Uniji. Uredbe (EU) 2019/2144 i (EU) 2018/1139 te Direktiva (EU) 2019/520 odnose se na elemente kibersigurnosnih rizika povezanih s rizicima utvrđenima u članku 3. stavku 3. točkama (e) i (f) Direktive 2014/53/EU. Radijska oprema na koju se primjenjuju uredbe (EU) 2019/2144 i (EU) 2018/1139 ili Direktiva (EU) 2019/520 stoga ne bi trebala biti obuhvaćena kategorijama ili razredima radijske opreme koja bi trebala biti u skladu s bitnim zahtjevima iz članka 3. stavka 3. točaka (e) i (f) Direktive 2014/53/EU.

(17)

Člankom 3. Direktive 2014/53/EU utvrđeni su bitni zahtjevi koje gospodarski subjekti moraju ispunjavati. Kako bi se olakšala procjena usklađenosti s tim zahtjevima, njome je predviđena mogućnost pretpostavke o usklađenosti radijske opreme koja je usklađena s dobrovoljnim usklađenim normama donesenima na temelju Uredbe (EU) br. 1025/2012 Europskog parlamenta i Vijeća (13) u svrhu iskazivanja detaljnih tehničkih specifikacija tih zahtjeva. Specifikacijama će se uzeti u obzir i obuhvatiti razina rizika koja odgovara predviđenoj uporabi svake kategorije ili razreda radijske opreme na koju se odnosi ova Uredba.

(18)

Gospodarskim subjektima trebalo bi dati dovoljno vremena za prilagodbu zahtjevima ove Uredbe. Primjenu ove Uredbe stoga bi trebalo odgoditi. Ovom se Uredbom ne sprečava gospodarske subjekte da ispunjavaju njezine zahtjeve od datuma njezina stupanja na snagu.

(19)

Komisija je tijekom pripremnog rada provela odgovarajuća savjetovanja o mjerama utvrđenima u ovoj Uredbi te se savjetovala sa Stručnom skupinom za radijsku opremu,